Vous avez une question en droit du travail ?
Vous recherchez une information ?
Vous souhaitez travailler avec nous ?
La gestion des activités sociales et culturelles par le comité social et économique implique nécessairement la collecte et le traitement de nombreuses données personnelles des salariés, de leurs familles et des stagiaires. Cette mission, essentielle au fonctionnement du CSE, doit désormais s’exercer dans le strict respect du règlement général sur la protection des données, lequel impose aux représentants du personnel des obligations renforcées de conformité et de transparence.
1. Le CSE, responsable de traitement au sens du RGPD
1.1. Le monopole de gestion des ASC et ses implications
Le comité social et économique dispose d’un monopole légal pour la gestion des activités sociales et culturelles établies dans l’entreprise, au bénéfice prioritaire des salariés, de leur famille et des stagiaires (C. trav. art. L. 2312-78). Cette gestion peut être assurée directement par le comité, déléguée à une commission spéciale ou confiée à des organismes créés par lui, lesquels demeurent responsables devant le comité (C. trav. art. R. 2312-36). L’exercice de cette mission implique la collecte de nombreuses données personnelles : identité des bénéficiaires, situation familiale, revenus, coordonnées bancaires ou quotient familial. Il convient de souligner que le CSE ne peut exiger la remise du fichier du personnel détenu par l’employeur et doit organiser son propre dispositif de collecte auprès des salariés (Cass. soc. 2-6-1993, n° 91-13.901).
1.2. Le passage à une logique de responsabilisation
L’entrée en application du règlement européen du 27 avril 2016 a profondément modifié les obligations pesant sur le CSE (Règlement UE 2016/679). Les anciennes dispenses de déclaration auprès de la CNIL, notamment celle prévue par la délibération n° 2006-230 du 17 octobre 2006 pour les comités d’entreprise, n’ont plus de valeur juridique depuis le 25 mai 2018. Le CSE est désormais soumis à une logique de responsabilisation qui lui impose de pouvoir démontrer à tout moment la conformité de ses traitements aux exigences réglementaires. Cette évolution substitue à l’ancien régime déclaratif une obligation permanente de documentation et de mise en conformité.
2. Les principes fondamentaux applicables aux fichiers ASC
2.1. Finalité et licéité du traitement
Le CSE, en qualité de responsable de traitement, doit veiller à ce que chaque collecte de données repose sur une base légale appropriée et réponde à une finalité déterminée, explicite et légitime (RGPD, art. 5). Les données ne peuvent être collectées que pour des objectifs précis, tels que la gestion des chèques-vacances, de la billetterie ou des aides aux vacances. Toute réutilisation pour une finalité distincte, telle que la prospection syndicale ou commerciale, serait en principe illicite. La jurisprudence rappelle que les obligations imposées par le règlement intérieur du CSE ne doivent pas excéder ce qui est prévu par la loi (CA Bourges, 14-4-2022, n° 21/00497).
2.2. Minimisation des données et respect de la vie privée
Le principe de minimisation impose de ne collecter que les données strictement nécessaires à la finalité poursuivie (RGPD, art. 5 §1 c). Cette exigence se conjugue avec le droit au respect de la vie privée garanti par l’article 9 du code civil. La Cour de cassation a ainsi jugé qu’un comité ne peut subordonner l’octroi d’une prime de vacances à la présentation de la déclaration de revenus, celle-ci comportant des renseignements excédant ce qui est nécessaire à l’objectif poursuivi (Cass. 1re civ. 29-5-1984, n° 82-12.232). Par extension, l’exigence de production du bulletin de paie complet apparaît disproportionnée et devrait être remplacée par une attestation employeur ou une déclaration sur l’honneur. Le refus du salarié de communiquer des documents relevant de sa vie privée ne saurait justifier son exclusion totale du bénéfice des ASC : il doit au minimum se voir appliquer le tarif le moins favorable. De même, l’utilisation du numéro de sécurité sociale doit être strictement limitée aux opérations avec les organismes sociaux, le CSE devant privilégier un identifiant interne.
2.3. Sécurité et confidentialité
Le CSE doit mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la sécurité des données qu’il traite (RGPD, art. 32). Ces mesures comprennent notamment la sécurisation des accès informatiques par des mots de passe robustes, la création de profils utilisateurs différenciés limitant l’accès aux seules personnes habilitées, ainsi que l’insertion de clauses de sécurité dans les contrats conclus avec les prestataires externes. Les membres du CSE sont par ailleurs tenus à une obligation de discrétion qui complète les exigences du RGPD (C. trav. art. L. 2315-3). Des élus ont ainsi pu être sanctionnés pour avoir transmis à la presse des documents estampillés « confidentiel » (Cass. soc. 6-3-2012, n° 10-24.367) ou pour avoir violé les protocoles de sécurité informatique en imprimant des documents confidentiels (Cass. soc. 15-6-2022, n° 21-10.366).
3. Les obligations pratiques du CSE
3.1. Documentation et registre des traitements
Le CSE doit tenir un registre des activités de traitement inventoriant l’ensemble des fichiers contenant des données personnelles (RGPD, art. 30). Ce registre précise, pour chaque traitement, les finalités poursuivies, les catégories de données et de personnes concernées, les destinataires, la durée de conservation et les mesures de sécurité mises en œuvre. La délibération n° 2019-118 du 12 septembre 2019 dispense les traitements destinés à la gestion des ASC de l’obligation de réaliser une analyse d’impact, sans pour autant exonérer le CSE du respect des autres obligations réglementaires. Le comité peut utilement s’appuyer sur le délégué à la protection des données désigné par l’employeur, dans le respect de son autonomie.
3.2. Information et droits des salariés
Les articles 13 et 14 du RGPD imposent une information complète des personnes lors de la collecte de leurs données. Tout formulaire d’inscription aux prestations doit mentionner l’identité du responsable de traitement, les finalités du traitement, les destinataires, la durée de conservation ainsi que les droits dont disposent les personnes concernées. Ces droits comprennent l’accès aux données, leur rectification, leur effacement, la limitation du traitement et la portabilité (RGPD, art. 15 à 18 et 20). Le CSE doit organiser des canaux effectifs permettant l’exercice de ces droits et répondre aux demandes dans un délai d’un mois. Un salarié peut s’opposer à ce que l’employeur transmette au CSE des données le concernant, sous réserve d’être informé des conséquences de ce refus.
3.3. Gestion des violations de données
En cas de violation de données, le CSE doit notifier l’incident à la CNIL dans les 72 heures lorsqu’il est susceptible d’engendrer un risque pour les droits et libertés des personnes (RGPD, art. 33). Lorsque ce risque est élevé, les personnes concernées doivent également être informées individuellement (RGPD, art. 34).
4. Les risques juridiques encourus
Le non-respect des règles relatives à la protection des données expose le CSE à un triple risque. Sur le plan pénal, les articles 226-16 à 226-24 du code pénal répriment les atteintes aux droits des personnes résultant de traitements informatiques. Sur le plan administratif, la CNIL dispose de pouvoirs de sanction incluant l’avertissement, la mise en demeure et les amendes administratives (Loi n° 78-17 du 6-1-1978, art. 20 et 21). Sur le plan civil, la Cour de cassation a admis la possibilité de condamner un comité à des dommages-intérêts en réparation du préjudice subi par les salariés du fait du non-respect des règles de collecte et d’accès aux données (Cass. soc. 7-6-1995, n° 91-44.919). Ces enjeux contentieux imposent au CSE d’anticiper les risques en documentant rigoureusement sa conformité et en formant ses membres aux exigences de la protection des données.
Xavier Berjot
Avocat associé
xberjot@sancy-avocats.com
Partager ?