Les règles sur la protection des données personnelles se renforcent. Les entreprises doivent donc sécuriser leurs pratiques.
Le Comité Social et Économique (CSE) manipule aussi des données de salariés. Il doit appliquer le RGPD (Règlement Général sur la Protection des Données).
Depuis mai 2018, le RGPD impose des exigences claires. Il encadre la collecte, l’utilisation, la conservation et la sécurité des données.
Dans cet article, on explique le lien entre CSE et RGPD. On détaille aussi les obligations concrètes et les risques en cas d’erreur.
Qu’est-ce que le Comité Social et Économique (CSE) ?
CSE : rôle et données traitées
Le CSE représente les salariés. Il existe dans les entreprises d’au moins 11 salariés. Il intervient sur les conditions de travail, la santé, la sécurité et les avantages sociaux.
Les élus du CSE accèdent à des informations personnelles. L’employeur consulte aussi le CSE sur certains sujets RH. Cela inclut parfois des sujets liés aux données.
Le CSE a accès à un certain nombre de données concernant les employés, telles que :
- Identité et contact : nom, prénom, email, téléphone.
- Données liées aux avantages : inscriptions, bénéficiaires, billetterie, chèques cadeaux.
- Données sensibles (cas à risque) : informations de santé liées à un signalement, une enquête, ou une situation de travail.
RGPD : les principes à respecter
Le RGPD protège la vie privée. Il impose des règles à toute organisation qui traite des données personnelles, y compris un CSE.
Le RGPD pose plusieurs principes fondamentaux :
- Transparence : on informe les personnes.
- Finalité : on collecte pour un but précis.
- Minimisation : on ne collecte que le nécessaire.
- Exactitude : on met à jour et on corrige.
- Durée de conservation limitée : on supprime quand ce n’est plus utile.
- Sécurité : on protège contre les accès non autorisés et les fuites.
Obligations RGPD du CSE : ce qu’il faut faire
Le CSE peut agir comme responsable de traitement (souvent). Il peut aussi agir comme sous-traitant selon les cas.
Dans tous les cas, il doit cadrer ses pratiques.
1) Informer les salariés
Le CSE doit expliquer :
- comment exercer ses droits (accès, rectification, suppression).
- quelles données il utilise,
- pourquoi il les utilise,
- combien de temps il les garde,
2) Tenir un registre des traitements
Le registre liste chaque traitement : finalité, type de données, accès, durée, sécurité.
C’est un document central. Il sert aussi de preuve en cas de contrôle.
3) Sécuriser l’accès et les outils
Le CSE doit limiter l’accès aux données.
Il doit aussi sécuriser ses outils : mots de passe forts, droits d’accès, sauvegardes, chiffrement si possible.
Et il doit encadrer les échanges : éviter les fichiers non protégés envoyés par email.
4) Encadrer les prestataires
Billetterie, plateforme d’avantages, logiciel CSE : ces prestataires traitent souvent des données.
Le CSE doit signer des clauses RGPD : responsabilités, sécurité, sous-traitance, notifications d’incident.
Risques en cas de non-conformité
Le RGPD prévoit des sanctions élevées. Les amendes peuvent aller jusqu’à 20 M€ ou 4 % du chiffre d’affaires annuel mondial (le plus élevé des deux).
Au-delà des sanctions, une mauvaise gestion des données détruit la confiance. Les salariés attendent du CSE un comportement exemplaire.
Mise en conformité RGPD du CSE : l’accompagnement EXPERTORISK
EXPERTORISK vous accompagne pour sécuriser les pratiques du CSE et réduire le risque..
Cette prestation comprendra :
- Un audit de votre CSE vis-à-vis du RGPD avec un plan d’actions
- Rédaction de documents, consignes RGPD
- Rédaction du registre des traitement
- Réunion de restitution
Cliquez pour un renseignement ou un devis.
