RGPD (Règlement Général sur la Protection des Données)
Le RGPD (Règlement général sur la protection des données) est le règlement européen qui encadre le traitement des données personnelles. Il s'applique au CSE comme à l'employeur : dès que vous gérez un fichier de bénéficiaires, une billetterie ou une liste de salariés, vous êtes concernés.
⚖️ Ce que dit le droit
Le CSE est doté de la personnalité civile. Lorsqu'il décide pourquoi et comment des données de salariés sont utilisées, il devient responsable de traitement au sens du RGPD, et non simple utilisateur des fichiers de l'employeur.
- Règlement (UE) 2016/679 du 27 avril 2016, article 30 : tout organisme doit tenir un registre des activités de traitement. Les organismes de moins de 250 salariés bénéficient d'un allègement, mais restent tenus de documenter les traitements réguliers, ceux qui présentent un risque et ceux portant sur des données sensibles.
- Article 37 du RGPD : la désignation d'un délégué à la protection des données (DPO) n'est obligatoire que dans trois cas, dont le suivi régulier et systématique à grande échelle des personnes ou le traitement à grande échelle de données sensibles. Un CSE n'est donc que rarement tenu d'en désigner un, mais il peut le faire volontairement.
- Article 83 du RGPD : les amendes administratives peuvent atteindre 10 millions d'euros ou 2 % du chiffre d'affaires mondial, et 20 millions d'euros ou 4 % pour les manquements aux principes fondamentaux du traitement.
- Article L. 2312-38 du Code du travail : le CSE est informé préalablement à l'introduction dans l'entreprise de traitements automatisés de gestion du personnel, et informé et consulté, avant la décision, sur les moyens ou techniques permettant un contrôle de l'activité des salariés.
- Article L. 2315-3 du Code du travail : les élus sont tenus au secret professionnel pour les procédés de fabrication et à une obligation de discrétion sur les informations présentées comme confidentielles par l'employeur.
À noter : l'article L. 2315-30 du Code du travail, parfois cité à ce sujet, ne traite pas du RGPD. Il porte sur la communication de l'ordre du jour trois jours au moins avant la réunion.
🛡️ Deux casquettes à ne pas confondre
Le CSE croise le RGPD de deux façons très différentes. Confondre les deux fait perdre du temps en réunion.
| Le CSE traite ses propres données | Le CSE est consulté sur les outils de l'employeur | |
|---|---|---|
| Exemples | Fichier des bénéficiaires ASC, billetterie, quotient familial, listes de diffusion | Badgeuse, géolocalisation, vidéosurveillance, logiciel RH, outils d'analyse d'activité |
| Rôle du CSE | Responsable de traitement | Instance informée et consultée |
| Texte applicable | RGPD et loi Informatique et Libertés du 6 janvier 1978 | Article L. 2312-38 du Code du travail |
| Ce qu'il faut faire | Tenir un registre, limiter les données, informer les salariés, sécuriser l'accès | Demander finalité, durée de conservation et destinataires avant de rendre un avis |
🧭 Concrètement, pour les élus du CSE
Quelques réflexes suffisent à mettre un CSE en conformité, sans expertise technique.
- Ne collectez que ce qui sert réellement : pour une subvention vacances, le quotient familial suffit le plus souvent, l'avis d'imposition complet est excessif.
- Fixez une durée de conservation par fichier et supprimez les données des salariés partis, ainsi que les listes de bénéficiaires des campagnes closes.
- Informez les salariés : une mention claire sur les formulaires d'inscription indique qui traite les données, pourquoi, combien de temps et comment exercer ses droits.
- Limitez les accès. La liste des bénéficiaires n'a pas à circuler sur les téléphones de tous les élus : désignez qui y accède, souvent le trésorier du CSE et le secrétaire.
- Encadrez vos prestataires : une plateforme de billetterie agit comme sous-traitant, un contrat doit prévoir ce qu'elle peut faire des données.
- Inscrivez ces règles dans le règlement intérieur du CSE : elles survivront au renouvellement des élus.
❓ Questions fréquentes
L'employeur peut-il refuser de nous donner la liste des salariés au nom du RGPD ?
Non, pas de façon générale. Le RGPD n'interdit pas la transmission de données nécessaires à l'exercice de vos attributions, notamment pour la gestion des activités sociales et culturelles. Il impose seulement de limiter ce qui est transmis à ce qui est utile : nom, service et éléments nécessaires au calcul des prestations, et non l'intégralité du dossier du salarié.
Notre CSE doit-il nommer un DPO ?
Dans la plupart des cas, non : les trois situations d'obligation de l'article 37 du RGPD sont rarement réunies pour un CSE. Il reste utile de désigner un élu référent, chargé de tenir le registre et de répondre aux demandes des salariés.
Un salarié peut-il demander l'effacement de ses données au CSE ?
Oui. Il peut demander l'accès à ses données, leur rectification et, dans les conditions prévues par le RGPD, leur effacement. Le CSE doit répondre dans un délai d'un mois et conserver la trace de sa réponse.
Ces obligations rejoignent celles de confidentialité attachées à la BDESE : nos formations CSE abordent la gestion des données des bénéficiaires, et notre accompagnement juridique intervient si un désaccord s'installe avec la direction sur les données transmises.