RGPD et CSE : comment protéger les données personnelles des salariés ?

En 2025, la CNIL a enregistré 6 167 violations de données personnelles, un chiffre record qui rappelle l’importance de protéger les informations sensibles (rapport annuel CNIL 2025). Un risque qui concerne aussi les CSE. En tant qu’élu, vous manipulez régulièrement des données personnelles des salariés : coordonnées, revenus, situation familiale ou justificatifs pour les activités sociales et culturelles (ASC).

Mais savez-vous réellement quelles informations vous pouvez collecter, utiliser et conserver ? Le RGPD impose au CSE des obligations pour garantir la confidentialité et la sécurité de ces données. Ce guide vous explique les règles à respecter et les bonnes pratiques à adopter pour protéger les données personnelles des salariés et assurer la conformité RGPD de votre CSE.

Ce qu’il faut retenir

Le RGPD s’applique au CSE dès lors qu’il collecte et utilise des données personnelles des salariés.
La collecte doit être limitée aux informations nécessaires, notamment pour la gestion des activités sociales et culturelles (ASC).
Le CSE doit respecter plusieurs obligations : informer les salariés, protéger leurs droits et encadrer la conservation des données.
La sécurité et la confidentialité des informations reposent sur des mesures adaptées : accès restreints, fichiers sécurisés et suppression des données inutiles.
Le non-respect du RGPD peut entraîner des sanctions de la CNIL et engager la responsabilité du CSE selon les circonstances.

Le RGPD s'applique-t-il au CSE ?

Oui, le Règlement général sur la protection des données (RGPD) s’applique aussi au Comité social et économique (CSE). Depuis le 25 mai 2018, ce règlement encadre la collecte et l’utilisation des données personnelles, quelle que soit la taille de l’organisme concerné. Le CSE doit donc respecter ces règles lorsqu’il traite des informations sur les salariés.

Les principes du RGPD et la protection des données personnelles

Le RGPD et les données personnelles sont étroitement liés : ce règlement vise à protéger la vie privée des personnes en encadrant la collecte et l’utilisation de leurs informations. Pour les élus du CSE, cela implique de respecter plusieurs principes essentiels :

Collecter uniquement les données nécessaires à une mission précise.
Informer les salariés de l’utilisation de leurs informations.
Garantir la confidentialité et la sécurité des données collectées.
Ne pas conserver les informations plus longtemps que nécessaire.

La responsabilité du CSE dans le traitement des données des salariés

Le CSE peut être considéré comme responsable de traitement lorsqu’il décide pourquoi et comment les données personnelles sont utilisées, notamment pour gérer les activités sociales et culturelles (ASC).

Par exemple, si votre CSE collecte des justificatifs de revenus pour attribuer des chèques-vacances, il doit veiller à leur protection et limiter leur utilisation à cet objectif.

En revanche, l’employeur reste responsable des traitements de données RH dont il détermine les finalités et les moyens. Les responsabilités doivent donc être distinguées selon les situations.

Pour mieux maîtriser ces questions juridiques dans l’exercice de votre mandat, vous pouvez également bénéficier de notre accompagnement juridique complet pour votre CSE

Quelles données personnelles le CSE peut-il collecter et utiliser ?

Dans le cadre de ses missions, le CSE peut être amené à recueillir différentes informations sur les salariés. Toutefois, le RGPD impose de limiter la collecte aux données strictement nécessaires à un objectif précis. Le CSE ne peut donc pas demander n’importe quelle information, même pour faciliter sa gestion.

Les données des salariés nécessaires aux missions du CSE

Les données collectées dépendent des activités du comité. Il peut notamment s’agir :

Des données d’identification : nom, prénom, adresse e-mail ou numéro de téléphone.

Des informations professionnelles : service, établissement ou ancienneté, lorsque ces éléments sont nécessaires.

Des informations familiales : nombre d’enfants ou composition du foyer pour certaines prestations.

Des données financières : quotient familial ou tranche de revenus pour déterminer le montant de certaines aides.

Par exemple, pour attribuer une aide aux vacances selon les ressources du foyer, le CSE peut demander un justificatif adapté. En revanche, il doit éviter de recueillir des informations financières plus détaillées que nécessaire.

Les données sensibles et les informations liées aux activités sociales et culturelles (ASC)

La gestion des activités sociales et culturelles (ASC) peut conduire le CSE à traiter des informations particulièrement personnelles, notamment sur la situation familiale ou les revenus des bénéficiaires.

Certaines données, comme celles relatives à la santé ou à l’appartenance syndicale, sont considérées comme sensibles au sens du RGPD. Leur traitement est en principe interdit, sauf exception prévue par la réglementation.

Avant de demander un document, posez-vous donc une question simple : cette information est-elle vraiment indispensable pour accorder la prestation ? Si une tranche de revenus suffit, inutile de conserver un avis d’imposition complet.

Formez votre CSE aux enjeux du RGPD

Quelles sont les obligations du CSE pour respecter le RGPD ?

Pour assurer sa conformité au RGPD, le CSE doit respecter plusieurs obligations lorsqu’il collecte et utilise des données personnelles des salariés. Il doit notamment informer les personnes concernées, justifier l’utilisation de leurs informations et définir combien de temps celles-ci seront conservées.

La collecte des données, l’information et les droits des salariés

Avant de collecter des données personnelles, le CSE doit définir leur utilisation et s’appuyer sur une base légale adaptée. Le consentement des salariés n’est pas systématiquement obligatoire : d’autres fondements juridiques peuvent être utilisés selon la situation.

Le CSE doit également informer clairement les salariés de l’objectif de la collecte, de l’utilisation prévue de leurs informations, des personnes autorisées à y accéder, y compris les éventuels prestataires, ainsi que de leur durée de conservation. Les salariés doivent aussi être informés de leurs droits, notamment le droit d’accès, de rectification et, dans certaines conditions, d’effacement de leurs données personnelles.

Le registre des traitements et les durées de conservation des données

Le registre des traitements RGPD permet au CSE de recenser les utilisations des données personnelles : gestion des bénéficiaires des ASC, attribution des aides ou organisation d’événements. Obligatoire dans les cas prévus par le RGPD, notamment pour les traitements non occasionnels, il précise les données collectées, leurs finalités, leurs destinataires et leurs durées de conservation.

Concernant la conservation des données RGPD, aucune durée unique ne s’applique à tous les documents du CSE. Les informations doivent être supprimées ou archivées lorsqu’elles ne sont plus nécessaires, tout en respectant les éventuelles obligations légales. Par exemple, un justificatif fourni pour une aide ponctuelle ne doit pas être conservé indéfiniment.

Adoptez les bons réflexes pour protéger vos données

Comment protéger les données personnelles des salariés au quotidien ?

Respecter le RGPD ne se limite pas aux obligations administratives. Le CSE doit aussi adopter des mesures concrètes pour sécuriser les données personnelles des salariés, notamment lors de leur stockage, de leur consultation et de leur transmission.

La sécurisation des fichiers et la confidentialité des informations

Les élus du CSE manipulent régulièrement des fichiers contenant des informations confidentielles : listes de bénéficiaires, justificatifs de revenus ou coordonnées des salariés.

Pour éviter tout accès non autorisé, plusieurs précautions sont nécessaires :

Protéger les fichiers avec des mots de passe robustes et des espaces de stockage sécurisés.
Limiter les accès aux seuls élus ou prestataires qui ont besoin des informations pour leurs missions.
Sécuriser les échanges de documents sensibles, notamment lors des envois par e-mail.
Éviter le stockage de données personnelles sur des appareils ou des supports non sécurisés.

Les bonnes pratiques pour limiter les risques de violation des données

La protection des données personnelles repose aussi sur les bonnes pratiques des élus. Un simple envoi de fichier au mauvais destinataire peut entraîner une fuite d’informations confidentielles. Pour limiter ces risques, le CSE doit contrôler les accès aux documents, supprimer les données inutiles et sensibiliser ses membres aux règles de confidentialité.

En cas de perte ou de divulgation de données, il doit réagir rapidement pour limiter les conséquences et déterminer si une notification à la CNIL est nécessaire. Pour mieux maîtriser ces responsabilités au quotidien, notre formation secrétaire du CSE vous aide à organiser et sécuriser le fonctionnement de votre comité.

Quels sont les risques et sanctions en cas de non-respect du RGPD par le CSE ?

Le non-respect du RGPD par le CSE peut avoir des conséquences pour les salariés et engager la responsabilité du comité lorsqu’il est responsable du traitement concerné. Une mauvaise gestion des données personnelles peut également entraîner des sanctions de la CNIL.

Les conséquences d’une violation des données personnelles

Une violation de données peut résulter d’un piratage, de la perte d’un document ou de l’envoi d’informations confidentielles au mauvais destinataire.

Pour les salariés concernés, les conséquences peuvent être importantes : atteinte à la vie privée, divulgation de revenus ou utilisation frauduleuse de leurs informations.

En cas d’incident, le CSE doit documenter la violation et évaluer les risques. Si celle-ci présente un risque pour les droits et libertés des salariés, il doit, lorsqu’il est responsable du traitement, la notifier à la CNIL dans les meilleurs délais, si possible sous 72 heures

Les contrôles de la CNIL et les sanctions possibles

La CNIL peut contrôler le respect des obligations du RGPD et sanctionner les manquements constatés. Selon leur gravité, les sanctions peuvent aller d’un rappel à l’ordre à une amende administrative.

Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour certaines infractions. Ces plafonds ne constituent toutefois pas des sanctions automatiques pour les CSE : chaque situation est appréciée individuellement.

Pour limiter ces risques, le CSE a tout intérêt à mettre en place des règles claires et à vérifier régulièrement ses pratiques. Chez Formoz, nous accompagnons les élus dans la compréhension de leurs obligations et la sécurisation de leur mandat.

FAQ : Tout savoir sur le RGPD et les obligations du CSE

Le CSE doit-il désigner un délégué à la protection des données (DPO) ?

Non, la désignation d’un DPO n’est pas systématiquement obligatoire pour le CSE. Elle dépend notamment de la nature et de l’ampleur des traitements réalisés. Le CSE peut toutefois désigner volontairement un référent pour faciliter le suivi de sa conformité au RGPD.

Le CSE peut-il transmettre les données des salariés à un prestataire extérieur ?

Oui, le CSE peut transmettre certaines données à un prestataire, notamment pour organiser des voyages ou gérer des prestations sociales. Cette transmission doit être justifiée, limitée aux informations nécessaires et encadrée par des garanties adaptées. Si le prestataire agit comme sous-traitant, un contrat conforme au RGPD est nécessaire.

Le CSE peut-il publier des photos de salariés lors d'un événement ?

Le CSE doit en principe obtenir l’autorisation des salariés avant de publier des photos sur lesquelles ils sont reconnaissables, notamment sur son site internet ou ses réseaux sociaux. Cette autorisation doit préciser les utilisations prévues. Le droit à l’image s’applique en complément du RGPD.

Que deviennent les données personnelles lors du renouvellement du CSE ?

Lors d’un renouvellement, les fichiers nécessaires à la continuité des activités du CSE peuvent être transmis aux nouveaux élus habilités. Les accès des anciens membres doivent être supprimés lorsqu’ils ne sont plus justifiés. Les documents devenus inutiles doivent être supprimés ou archivés conformément aux règles applicables.

Le CSE peut-il consulter les données personnelles détenues par l'employeur ?

Le CSE peut accéder à certaines informations nécessaires à l’exercice de ses missions, dans les conditions prévues par le Code du travail. Cela ne lui donne pas un accès illimité aux dossiers individuels des salariés. L’employeur doit respecter les règles de confidentialité et de protection des données lors de leur transmission.