Un formulaire d’inscription à une sortie, un avis d’imposition pour calculer une aide, la date de naissance d’un enfant : le CSE manipule des informations personnelles au fil de ses activités. Appliquer le RGPD consiste à savoir pourquoi chaque donnée est demandée, qui peut la consulter et quand elle doit disparaître. Cette organisation protège les bénéficiaires et facilite aussi le travail des élus, notamment lors d’un changement d’équipe.
Recenser les fichiers et leur usage
Commencez par les outils réellement utilisés : plateforme, tableurs, messagerie, dossiers papier et espaces partagés. Pour chaque traitement, décrivez la finalité, les personnes concernées, les catégories de données, les destinataires, les mesures de sécurité et les durées retenues. Un registre utile décrit par exemple la gestion des aides aux vacances, pas seulement le nom du logiciel qui héberge les demandes.
Le CSE qui détermine les objectifs et les moyens de ces traitements en assume la responsabilité. Un prestataire peut agir pour son compte, tandis qu’un autre organisme peut avoir ses propres finalités. Documentez ces rôles au lieu de supposer que l’employeur ou le fournisseur s’occupe de tout. Le chapitre IV du RGPD (lien externe, nouvel onglet) encadre ces responsabilités et le registre des activités de traitement.
Choisir une base légale pour chaque finalité
La collecte doit reposer sur un fondement juridique identifié avant son lancement. Selon l’opération, il peut notamment s’agir d’une obligation légale, de l’exécution d’un contrat ou d’un intérêt légitime, après examen de sa nécessité et des droits des personnes. Le seul fait que le CSE exerce une mission légale ne justifie pas toute collecte imaginable.
Le consentement convient à certains usages facultatifs, mais ne constitue pas une autorisation générale. Il doit pouvoir être refusé ou retiré dans les conditions prévues par le RGPD. Lisez la méthode de la CNIL pour choisir une base légale (lien externe, nouvel onglet) avec le cas concret à traiter. Distinguez aussi l’information donnée au salarié de son éventuel consentement : une case « J’ai lu la politique de confidentialité » ne règle pas cette analyse.
Collecter les éléments nécessaires à la prestation
Pour une aide modulée selon les ressources, partez des critères d’attribution adoptés. Identifiez les informations réellement utiles au calcul. Si un justificatif contient d’autres rubriques, prévoyez leur masquage lorsqu’elles ne sont pas nécessaires, plutôt que conserver systématiquement l’intégralité du document.
Pour une prestation destinée aux enfants, l’âge ou la date de naissance peut être utile ; les informations concernant toute la famille ne le sont pas automatiquement. Évitez les commentaires libres sur les situations personnelles. Les données de santé ou révélant une appartenance syndicale relèvent d’un régime particulier : ne les ajoutez pas à une fiche ordinaire de bénéficiaire. La minimisation des données (lien externe, nouvel onglet) consiste à vérifier cette nécessité champ par champ, y compris dans les pièces jointes.
Précisez au moment de la collecte les finalités, la base légale, les destinataires, la durée ou ses critères de détermination et les moyens d’exercer ses droits. Rendez l’information accessible sans obliger le salarié à chercher dans un ancien courriel. Les principes présentés par la CNIL (lien externe, nouvel onglet) aident à vérifier cette transparence.
Fixer des durées par type de dossier
Il n’existe pas une durée RGPD unique applicable à tous les fichiers du CSE. Distinguez les informations nécessaires à une campagne en cours, les pièces conservées pour une obligation comptable ou une preuve, puis celles qui n’ont plus d’utilité. Une durée d’archivage ne justifie pas de laisser tous les documents accessibles dans l’espace de gestion quotidien.
Créez un tableau indiquant, pour chaque catégorie, le point de départ, la durée, sa justification et le sort final. Les repères de la CNIL sur la conservation (lien externe, nouvel onglet) distinguent la base active et l’archivage intermédiaire. Rapprochez ce tableau des obligations comptables du comité : la conservation d’une pièce comptable n’autorise pas celle de toutes les données personnelles collectées autour d’elle.
Encadrer les accès et les prestataires
Un élu chargé de publier les actualités n’a pas nécessairement besoin de lire les justificatifs de revenus. Attribuez des comptes individuels, limitez les habilitations aux missions et revoyez-les lors des changements de rôle. Évitez les copies de dossiers dans les messageries personnelles.
Pour un prestataire agissant comme sous-traitant, vérifiez le contrat : instructions, confidentialité, sécurité, sous-traitants ultérieurs, aide à l’exercice des droits, incidents et restitution ou suppression des données. La fiche CNIL sur les relations avec les sous-traitants (lien externe, nouvel onglet) permet de préparer cet examen. Vérifiez aussi les lieux de traitement et les éventuels transferts.
Les outils de conformité RGPD de LiveCSE permettent notamment de présenter vos documents et de suivre leur acceptation. Les rôles encadrent les accès ; ces fonctions accompagnent les décisions du comité sans déterminer à sa place ses bases légales ou ses durées de conservation.
Préparer la passation des données
Avant les élections, établissez la liste des dossiers, des contrats, des accès et des demandes de droits en cours. À la passation, transmettez les informations nécessaires à la nouvelle équipe, retirez les habilitations des sortants et faites supprimer les copies personnelles devenues inutiles. Le renouvellement du mandat n’est ni une raison de tout effacer ni une autorisation de tout garder. Prévoyez enfin une personne de contact pour les demandes des salariés et les incidents, afin que les bonnes pratiques continuent après le départ de l’élu qui les avait mises en place.
Questions fréquentes
Le CSE est-il responsable des données de ses bénéficiaires ?
Lorsqu'il décide pourquoi et comment utiliser ces données pour ses activités, le CSE est responsable du traitement. Le recours à un logiciel ou à un prestataire ne transfère pas cette responsabilité. Les rôles doivent être précisés pour chaque traitement.
Faut-il demander un consentement pour toutes les données ?
Non. Chaque finalité doit reposer sur une base légale adaptée, déterminée avant la collecte. Le consentement n'est qu'une possibilité et doit être libre, spécifique, éclairé et révocable. Accepter une politique de confidentialité ne vaut pas consentement général à tous les usages.
Faut-il effacer tous les fichiers après les élections ?
Non. Le renouvellement des élus ne met pas fin aux activités du CSE. Les dossiers encore nécessaires sont transmis de manière sécurisée à la nouvelle équipe, les accès des sortants sont retirés et les copies personnelles sont supprimées. Les données arrivées au terme de leur durée de conservation doivent être effacées.
