En tant qu’élu CSE, vous êtes amené chaque jour à manipuler des informations sur les salariés : dossiers d’attribution d’aide sociale, fichiers de bénéficiaires pour les activités culturelles, listes de participants à des sorties. Ce traitement de données n’est pas anodin. Depuis l’entrée en vigueur du Règlement général sur la protection des données (RGPD) en 2018, le comité social et économique est pleinement soumis à ces obligations, au même titre que l’employeur.
Pourtant, beaucoup d’élus ignorent encore les contraintes que cela implique. Quelles données peut-on collecter ? Comment les stocker ? Quelles informations les salariés peuvent-ils exiger ? Voici un guide pratique pour exercer votre mandat en toute conformité.
Le CSE responsable de traitement : ce que dit le RGPD
Le RGPD s’applique à toute entité qui détermine les finalités et les moyens d’un traitement de données à caractère personnel. Le CSE, personne morale dotée de la personnalité juridique, est donc un responsable de traitement à part entière, indépendamment de l’employeur.
Quand le CSE devient-il responsable de traitement ?
Dès lors que le comité collecte, stocke ou utilise des données sur des personnes physiques dans le cadre de ses attributions, il agit comme responsable de traitement. Cela couvre notamment la gestion des activités sociales et culturelles (ASC), l’attribution d’aides financières, la billetterie, ou encore les enquêtes auprès des salariés.
La CNIL précise que chaque traitement doit reposer sur une base légale : consentement de la personne, exécution d’un contrat, intérêt légitime, ou obligation légale. Pour les ASC, la base la plus courante est l’intérêt légitime du comité à gérer ses activités.
Les données que le CSE peut légitimement collecter
Le comité peut collecter les informations strictement nécessaires à ses missions : nom, prénom, situation familiale (nombre d’enfants, quotient familial), coordonnées professionnelles, et parfois des justificatifs pour les aides sociales ciblées. La règle d’or est la minimisation des données : ne collecter que ce qui est indispensable à la finalité poursuivie.
Il est interdit de collecter des données sensibles sauf exception stricte : état de santé, appartenance syndicale, convictions religieuses ou politiques ne peuvent jamais figurer dans un fichier de bénéficiaires d’ASC sans base légale spécifique et solide.
Les obligations pratiques du CSE en matière de RGPD
Le registre des activités de traitement
Tout responsable de traitement doit tenir un registre des activités de traitement. Pour un CSE, ce document recense chaque traitement mis en oeuvre : gestion de la billetterie, attribution d’aides, enquêtes de satisfaction, liste de diffusion de la newsletter. Pour chaque traitement, le registre indique la finalité, les catégories de données, les destinataires, la durée de conservation et les mesures de sécurité.
Ce document n’est pas public mais doit être mis à disposition de la CNIL en cas de contrôle. La CNIL propose des modèles téléchargeables qui simplifient grandement cet exercice.
Information des personnes et durée de conservation
Les salariés dont les données sont traitées par le CSE doivent être informés : identité du responsable de traitement, finalité du traitement, durée de conservation, droits dont ils disposent (accès, rectification, effacement, opposition). Cette information peut figurer sur les formulaires de demande d’aide ou dans le règlement intérieur du CSE.
La durée de conservation doit être limitée à ce qui est nécessaire. Les dossiers d’attribution d’aide sociale peuvent être conservés le temps de l’exercice concerné, plus quelques années pour répondre à d’éventuels recours. Au-delà, les données doivent être supprimées ou anonymisées.
Depuis 2022, la CNIL a publié des recommandations spécifiques sur la protection des données dans les comités sociaux et économiques. Ces recommandations, disponibles sur cnil.fr, constituent le référentiel de conformité à suivre pour les élus.
Données sensibles et interdits : les zones à risque pour le CSE
Certaines pratiques courantes dans les CSE exposent à un risque RGPD réel. La collecte du quotient familial ou de justificatifs de revenus pour moduler les aides est légale, mais nécessite une information claire et une sécurisation renforcée. En revanche, demander le diagnostic médical d’un salarié pour lui attribuer une aide est en principe interdit.
Les listes d’abonnés à la newsletter du CSE constituent elles aussi un traitement à encadrer. Les salariés doivent pouvoir se désabonner à tout moment, et leurs adresses ne peuvent pas être cédées à des prestataires sans accord explicite.
Enfin, lorsque le CSE fait appel à un sous-traitant (agence de billetterie, logiciel de gestion), un contrat de sous-traitance conforme à l’article 28 du RGPD doit être conclu. Ce contrat précise les obligations du prestataire en matière de protection des données.
Pour approfondir la transparence de l’information dans le comité, consultez notre article sur l’affichage obligatoire du CSE. Sur les droits d’information des élus, voir également notre guide sur la BDESE et les droits d’information du CSE.
Swizy centralise tous vos outils CSE en une seule plateforme intuitive.
Tester Swizy gratuitementFAQ - Questions fréquentes des élus CSE sur le RGPD
Le CSE doit-il désigner un délégué à la protection des données (DPO) ?
La désignation d'un DPO est obligatoire seulement dans certains cas (traitement à grande échelle de données sensibles, autorité publique). Pour la plupart des CSE, elle n'est pas légalement requise, mais elle reste conseillée comme bonne pratique pour structurer la démarche de conformité.
Un salarié peut-il demander à consulter les données que le CSE détient sur lui ?
Oui. Le droit d'accès est un droit fondamental garanti par le RGPD. Tout salarié peut adresser une demande au CSE, qui dispose d'un mois pour répondre. Le comité doit fournir une copie des données traitées et expliquer la finalité de leur traitement.
Les données collectées pour les ASC peuvent-elles être transmises à l'employeur ?
Non. Les données collectées par le CSE dans le cadre de ses attributions propres (ASC notamment) sont confidentielles et ne peuvent pas être transmises à l'employeur sans le consentement des personnes concernées. Le CSE et l'employeur sont deux responsables de traitement distincts.
Que risque le CSE en cas de manquement au RGPD ?
La CNIL peut prononcer des avertissements, des mises en demeure ou des sanctions financières. Si le manquement cause un préjudice à un salarié, la responsabilité civile du CSE peut également être engagée. Les élus ont donc tout intérêt à prendre ces obligations au sérieux.
