RGPD - Quelles sont les obligations du CSE ?

Gestion des subventions, billetterie, voyages, aides sociales, communication avec les salariés… Pour toutes ces missions, le CSE manipule des données personnelles.

Données qui circulent entre élus, prestataires et outils numériques. Est-ce conforme au règlement général sur la protection des données ?

‍Le CSE doit-il respecter le RGPD ? Quelles sont ses obligations ? Et les sanctions applicables en cas de violation ? Découvrez les réponses. 

Le CSE est-il concerné par le RGPD ?

Oui. Le CSE est concerné par le Règlement général sur la protection des données dès lors qu'il manipule des informations permettant d'identifier une personne.

En effet, le RGPD s'applique en effet à toute organisation qui traite des données personnelles. Et ce, quel que soit son statut juridique. Le comité social et économique n'échappe donc pas à ce cadre.

Car dans l'exercice de ses missions, le CSE est régulièrement amené à accéder à des informations relatives aux salariés de l'entreprise.

Par exemple, lorsqu'il gère des fichiers pour organiser ses activités, lorsqu'il communique avec les salariés ou lorsqu'il assure le suivi de certaines démarches internes.

Dès qu'une information permet d'identifier directement ou indirectement une personne (un nom, une adresse email ou un identifiant), il s'agit d'une donnée personnelle au sens du RGPD.

Quelles données le CSE peut-il traiter  ? 

Le CSE peut être amené à manipuler différentes catégories de données personnelles dans l'exercice de ses missions. Mais quand il le fait, il ne doit collecter que les informations strictement nécessaires à l'objectif poursuivi (article 5 du RGPD).

Les données nécessaires à la gestion des activités sociales et culturelles

Afin d'organiser ses activités sociales et culturelles (billetterie, voyages, événements, etc.), le CSE peut collecter des données personnelles des salariés. On peut citer à titre d'exemple :

• Les données relatives à leur identité (nom, prénom, date de naissance, numéro de téléphone)
• Les informations bancaires pour les versements ou les remboursements
• Les informations relatives à des régimes spécialisés ou des allergies alimentaires pour les événements
• Les préférences professionnelles ou personnelles pour adapter les activités

‍⚠️ Attention : Certaines données relèvent du RGPD mais pas d'autres. Par exemple, la date de naissance n'est pas une donnée sensible au sens du RGPD (contrairement à l'origine ethnique ou aux convictions politiques par exemple).

Les données relatives à la gestion des aides sociales

Lors de l'instruction de demandes d'aides sociales (allocations logement, aide au transport, etc.), le CSE collecte nécessairement des informations personnelles. Par exemple :

• L'identité du salarié et de sa famille
• La composition du foyer
• Les ressources mensuelles et les dépenses
• La situation de santé ou des difficultés rencontrées
• Des informations bancaires pour les virements

Ces données sont nécessaires pour évaluer les demandes et respecter les critères d'attribution des aides.

Les données collectées lors des scrutins sociaux

Lors de l'organisation d'élections (élections du CSE, élection du CSSCT, etc.), le CSE procède à la collecte de certaines données personnelles. Par exemple :

• La liste nominative des salariés
• L'enregistrement de leurs votes pour les instances en place
• L'identification des délégués syndicaux

Les données relatives à la communication et la transparence

Afin d'assurer sa transparence et de communiquer avec les salariés, le CSE peut être amené à utiliser les adresses emails, téléphones et adresses postales. Il peut également diffuser des messages ou mettre en place des outils de communication (newsletters, intranet, etc.).

Quelles sont les bases juridiques du traitement des données par le CSE ?

Dans le cadre du RGPD, tout traitement de données personnelles doit reposer sur une ou plusieurs bases juridiques. La Commission Nationale de l'Informatique et des Libertés (CNIL) en recense six :

‍1. Le consentement 

Le consentement est une base juridique fréquemment utilisée par les CSE. Par exemple, pour récupérer les adresses email des salariés afin de leur envoyer une newsletter.

Dans ce cas, le CSE doit obtenir un consentement préalable, libre, spécifique et éclairé du salarié. Ce consentement ne peut être qu'une finalité unique (par exemple envoyer la newsletter).

‍2. L'exécution du contrat 

Certaines données personnelles sont nécessaires pour exécuter les obligations du CSE. Par exemple, les coordonnées bancaires pour verser les aides sociales.

‍3. Le respect d'une obligation légale

Le CSE doit respecter certaines obligations légales qui justifient la collecte de données. Par exemple, la loi sur la confidentialité des scrutins électoraux impose au CSE de maintenir une liste nominative des salariés ayant le droit de vote.

‍4. La protection des intérêts vitaux 

Cette base juridique est rarement appliquée aux CSE. Elle s'applique en cas de risque imminent pour la santé ou la vie.

‍5. L'exécution d'une tâche d'intérêt public 

Certaines missions du CSE relèvent de l'intérêt public. Par exemple, lorsqu'il s'agit de protéger les droits et les intérêts des salariés.

‍6. Les intérêts légitimes 

Cette base juridique est aussi applicable au CSE. Par exemple, pour améliorer la qualité de ses services auprès des salariés.

Quelles sont les obligations du CSE en matière de RGPD ?

1. Collecter les informations du consentement

Si le CSE utilise le consentement comme base juridique, il doit :

• Demander un consentement explicite et non présumé
• Fournir une information claire sur les usages des données
• Proposer une option pour refuser ou se rétracter facilement
• Conserver les traces du consentement

2. Mettre en œuvre une démarche de conformité

Le CSE doit :

• Documenter ses traitements de données personnelles
• Évaluer les risques liés à ces traitements
• Mettre en place les mesures de sécurité appropriées
• Désigner un responsable des données si nécessaire

3. Respecter le droit des personnes

Le RGPD confère aux salariés des droits importants :

• Le droit d'accès à leurs données
• Le droit de rectification s'il y a une erreur
• Le droit à l'oubli (ou droit à l'effacement)
• Le droit à la limitation du traitement
• Le droit à la portabilité de leurs données
• Le droit d'opposition au traitement

Le CSE doit mettre en place les procédures permettant à chaque salarié d'exercer ces droits, notamment en nommant une personne responsable de la gestion de ces demandes.

4. Sécuriser les données

Le CSE doit mettre en place des mesures techniques et organisationnelles pour assurer la confidentialité et l'intégrité des données. Par exemple :

• Chiffrer les données sensibles
• Restreindre l'accès aux données (notamment aux élus du CSE)
• Utiliser des outils sécurisés
• Mettre en place une gestion des accès
• Sauvegarder régulièrement les données

5. Effectuer un audit régulier

Le CSE devrait effectuer régulièrement un audit de conformité. Cela permet de :

• Lister tous les traitements de données
• Évaluer les risques
• Identifier les manquements
• Mettre en place les mesures correctrices

Quelles sont les sanctions applicables en cas de violation du RGPD ?

Les violations du RGPD peuvent entraîner des sanctions pénales ou administratives.

Les sanctions administratives

La CNIL peut imposer des amendes selon la nature de la violation. Pour les violations graves, l'amende peut atteindre :

• 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial pour certains traitements non conformes
• 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial pour les violations plus graves

‍⚠️ Attention : Les sanctions peuvent être très importantes. Même un CSE, qui n'a pas à proprement parler de chiffre d'affaires, peut être tenu responsable en tant qu'organisme du secteur privé.

Les sanctions pénales

En cas de violation grave et répétée du RGPD, le CSE peut être poursuivi en justice pour :

• Violation du secret professionnel (données confidentielles diffusées sans consentement)
• Usurpation d'identité numérique
• Extorsion de données à titre frauduleux

Ces violations peuvent entraîner des peines de prison et des amendes pénales.

Quelques recommandations pour assurer la conformité du CSE au RGPD

Pour éviter tout problème, nous vous recommandons de :

• Édifier un registre de conformité : Listez tous les traitements de données, les finalités, les bases juridiques, etc.
• Nommer un responsable des données : Cette personne doit coordonner l'application du RGPD au sein du CSE
• Évaluer les risques : Identifiez les traitements risqués et les mesures de sécurité requises
• Sensibiliser les élus : Tous les élus doivent être conscients des obligations du RGPD
• Revoir les contrats avec les prestataires : Les sous-traitants doivent respecter les obligations du RGPD
• Documenter les consentements : Conservez les traces des consentements obtenus
• Mettre en place un protocole d'incident : En cas de violation de données, réagissez rapidement

Le CSE doit-il respecter le RGPD ? Oui, à coup sûr. Mais il ne s'agit pas forcément de tâches compliquées. Avec une bonne organisation et une sensibilisation appropriée, chaque CSE peut assurer la conformité de ses traitements de données personnelles à la loi.