Sébastien TREBUCHET, Délégué à la protection des données (DPO)
⋅ Titulaire du Diplôme d’Université Délégué à la protection des données : droit et management de la sécurité des données (UFR Droit et Science Politique – Montpellier).
⋅ DPO certifié PECB depuis 2021.
⋅ DPO certifié CNIL par Bureau Veritas (2021 et 2024).
⋅ Adhérent à l’AFCDP (Association française des Correspondants à la protection des Données à caractère Personnel)
⋅ Formateur pour logiciels CSE (ACL INFORMATIQUE / DIP) depuis 10 ans.
⋅ Conseils et accompagnement à la mise en conformité RGPD des CSE.
Dix ans après l’entrée en application du RGPD, le constat est sans appel : les violations de données personnelles continuent d’augmenter et les cyberattaques touchent désormais tous les types de structures, y compris les comités sociaux et économiques (CSE).
Dans son dernier rapport d’activité, la CNIL indique avoir enregistré plus de 20 000 plaintes en 2025 ainsi que plus de 6 000 violations de données notifiées, des chiffres records depuis l’entrée en application du règlement européen.
Les CSE sont particulièrement concernés. Gestion des activités sociales et culturelles, billetterie, voyages, comptabilité, communication avec les bénéficiaires, réunions du CSE, plateformes cloud ou encore outils d’intelligence artificielle: les données personnelles circulent aujourd’hui dans de nombreux outils et entre de multiples acteurs.
Tour d’horizon de 10 erreurs que les CSE continuent trop souvent de commettre en 2026… malgré les 10 ans du RGPD.
Beaucoup de CSE pensent être dispensés de registre de traitement en raison de leur taille. Pourtant, cette exemption doit être appréciée avec prudence comme le nuance le RGPD dans son article 30. Les CSE traitent pourtant de nombreuses données personnelles, parfois sensibles: IBAN, composition familiale, justificatifs fiscaux ou encore données de santé. Et les CSE, comme tous responsables de traitement doivent assurer une conformité de leurs traitements de données (base légale, mesures de sécurité, durées de conservation, destinataires…).
Le registre permet justement d’identifier quelles données sont collectées, pourquoi, qui y accède, combien de temps elles sont conservées et quels prestataires interviennent: en effet, impossible de sécuriser des traitements que l’on ne cartographie pas.
Conseil du DPO : Au-delà de l’aspect réglementaire, le registre constitue souvent le point de départ indispensable d’une démarche de conformité.
Les activités sociales et culturelles sont les plus gourmandes en données personnelles des bénéficiaires mais les attributions économiques professionnelles (AEP) ne sont pas exemptes d’obligations en matière de protection des données.
Les enregistrements audio des réunions CSE constituent également des traitements de données personnelles soumis au RGPD. Cette pratique, de plus en plus répandue pour faciliter la rédaction des procès-verbaux, nécessite plusieurs précautions: choix du prestataire, sécurisation des fichiers audio, limitation de la durée de conservation ou encore information préalable des participants.
L’utilisation d’une intelligence artificielle pour retranscrire automatiquement les échanges appelle une vigilance renforcée.En effet, ces réunions peuvent contenir des données sensibles ou des échanges relatifs à des situations individuelles confidentielles.
Conseil du DPO : Le CSE doit porter une attention particulière à l’utilisation d’une IA dans ce contexte, notamment concernant l’information des participants, l’hébergement des données au sein de l’Union européenne (ou l’encadrement strict des transferts hors UE), l’absence de réutilisation des données à des fins d’entraînement des modèles d’IA ainsi que les garanties de sécurité mises en œuvre par le prestataire.
À l’issue des élections, certaines équipes oublient de désactiver les accès des anciens élus aux outils du CSE. Ainsi, il n’est pas rare qu’un ancien élu conserve encore plusieurs mois après son mandat un accès à la messagerie du CSE, à l’espace de stockage partagé, à la plateforme ASC ou encore aux comptes bancaires en ligne. Pourtant, un compte utilisateur toujours actif constitue un risque important: accès non autorisés, fuite de données ou impossibilité de tracer certaines actions.
Chaque utilisateur ne doit également disposer que des accès strictly nécessaires à ses fonctions: un élu en charge des voyages n’a pas vocation à consulter les avis d’imposition de l’ensemble des bénéficiaires du CSE !
Conseil du DPO : Le renouvellement des élus doit systématiquement s’accompagner d’une revue des habilitations et de la suppression des accès obsolètes. Les prestataires et éditeurs de logiciels du CSE doivent être sollicités rapidement afin de mettre à jour les comptes utilisateurs.
Le CSE a pour mission d’offrir des prestations sociales et culturelles aux bénéficiaires éligibles (salariés de l’entreprise voire retraités). Dès qu’un salarié n’est plus éligible aux prestations du CSE, les informations le concernant doivent donc être supprimées à l’issue des durées légales applicables, notamment en matière URSSAF cela inclut les données brutes ainsi que les justificatifs éventuellement collectés (livret de famille, RIB, avis d’imposition…). Moins de données conservées, c’est potentiellement moins de données compromises en cas de violation.
Conseil du DPO : Les copies de pièces d’identité ou passeports collectées pour l’organisation d’un voyage n’ont généralement plus vocation à être conservées après le retour des participants. Au retour du voyage: suppression des justificatifs.
La première des erreurs concerne sans surprise les mots de passe. Même si les mots de passe « 123456 » ou « admin » deviennent heureusement plus rares dans les CSE qui utilisent des mots de passe plus sécurisés que le serveur de vidéosurveillance du Louvre, il est encore courant de rencontrer des mots de passe insuffisamment robustes: pourtant la CNIL recommande au minimum 12 caractères comprenant majuscule, minuscule, chiffre et caractère spécial lorsqu’un mécanisme limite les tentatives de connexion (ce qui est le cas la plupart du temps).
Ne pas respecter ces recommandations expose fortement le CSE à un risque de compromission des comptes et peut être considéré comme une insuffisance des mesures de sécurité.
Il convient également de rappeler qu’un mot de passe est personnel et confidentiel, au même titre que le code secret de votre carte bancaire: on ne le communique pas aux collègues, même lorsque l’on part en vacances.
Conseil du DPO : Rapprochez-vous de votre éditeur logiciel pour mettre en place une authentification multifacteur (MFA) si possible.
Autre pratique encore très répandue, le mail, outil du quotidien de tout élu ou salarié de CSE est souvent utilisé avec excès de confiance et méconnaissance des risques. Soyons clairs ! L’envoi par mail de fichiers contenant des données personnelles doit faire l’objet d’une vigilance particulière et de mesures de sécurité adaptées.
Conseil du DPO : Dès lors que le CSE doit transmettre un fichier contenant des données personnelles, il convient d’utiliser une plateforme sécurisée de transfert, idéalement une solution française éprouvée (plusieurs solutions disposent du visa de sécurité de l’ANSSI.)
Lorsque l’on parle sous-traitant à un CSE il pense immédiatement à son prestataire informatique ou à son éditeur de logiciel cloud. Pourtant, le CSE collabore avec nombre de partenaires auxquels il communique des données à caractère personnel: plateformes de billetterie, de bons ou cartes cadeaux, agences de voyages… Or le prestataire n’endosse pas la responsabilité du CSE.
Le CSE reste donc responsable des données personnelles des salariés qu’il transmet. C’est pourquoi le CSE doit s’assurer que les prestataires avec lesquels il collabore répondent à des exigences de sécurité minimales.
Avant de choisir un prestataire CSE, voici les 10 questions RGPD à poser :
Conseil du DPO : Un hébergement hors Union européenne n’est pas interdit, mais il nécessite des garanties complémentaires et une vigilance particulière.
Conseil du DPO : Les accès doivent être tracés afin de savoir précisément qui est intervenu sur les données.
Conseil du DPO : Les prestataires disposant de plateformes en ligne permettant de déposer les fichiers bénéficiaires du CSE constituent généralement un bon indicateur du niveau de sécurité du prestataire. L’authentification multifacteur (MFA) est également un gage de sécurité bienvenu.
Conseil du DPO : À l’initiative du sous-traitant ou du CSE, ce contrat est obligatoire (article 28 du RGPD) et va au-delà de quelques lignes glissées dans un contrat de prestation: il doit préciser entre autres l’objet du traitement, les mesures de sécurité, la durée de conservation des données, le recours à des sous-traitants ultérieurs et leur liste, l’assistance due au CSE en cas de violation.
Conseil du DPO : Le prestataire doit être en mesure de préciser les modalités de gestion des violations de données, les délais d’alerte, les sauvegardes et les mesures de continuité d’activité. Rappelons que les données appartiennent au CSE qui a obligation de faire une notification à la CNIL, et aux personnes concernées selon les cas.
Conseil du DPO : Aucune donnée ne peut être conservée ad vitam aeternam ! Les données doivent être supprimées à la fin du contrat ou du délai légal qui s’applique.
Conseil du DPO : Les données doivent être restituées au CSE ou supprimées dans un délai raisonnable précisé au contrat.
Conseil du DPO : Le CSE doit connaître qui intervient, où, et pour quoi faire.
Conseil du DPO : Le contrat doit prévoir des mécanismes permettant au CSE de disposer d’un niveau suffisant d’information et de contrôle sur les mesures de sécurité mises en œuvre.
Conseil du DPO : Le CSE doit pouvoir retrouver rapidement les données, les corriger, les supprimer.
Le besoin de communiquer sur les activités sociales et culturelles (ASC) est essentiel pour les CSE: mails, newsletters ou SMS… les technologies de communication permettent aujourd’hui de diffuser rapidement les informations, parfois même sur plusieurs canaux simultanément.
Il est bon de rappeler que les coordonnées des bénéficiaires des ASC du CSE ne doivent pas être réutilisées pour d’autres finalités: pas de transmission d’e-mails à un partenaire commercial, d’envoi de SMS promotionnels, ni de détournement de la liste de diffusion ASC à des fins syndicales, sans base légale appropriée et sans information claire des bénéficiaires.
Conseil du DPO : Le bénéficiaire doit pouvoir choisir ses canaux de communication ou s’opposer à certaines sollicitations sans que cela ne limite son accès aux prestations du CSE.
De plus, lors d’un mailing il est important d’utiliser la fonction « copie conforme invisible » (« cci » et non « cc ») afin de ne pas afficher la liste des adresses des destinataires.
Le RGPD ne s’applique pas uniquement aux outils numériques ou aux logiciels: il concerne toutes les données à caractère personnel, quel que soit le support utilisé. Les documents papier contenant des informations relatives aux salariés ou bénéficiaires du CSE sont donc également concernés.
Les règles relatives à la protection des données doivent ainsi être appliquées aux archives papier: tri des documents, respect des durées de conservation, destruction sécurisée des dossiers, limitation des accès ou encore mise en place de mesures de sécurité physiques adaptées (armoires fermées à clé, bureaux sécurisés, accès limités aux locaux…).
Or, dans la pratique, les risques liés aux documents papier sont souvent sous-estimés: dossiers laissés sur un bureau accessible, listes imprimées oubliées sur une imprimante, affichages internes visibles par des tiers ou encore documents conservés sans utilité pendant plusieurs années.
Conseil du DPO : Attention aux panneaux d’affichage internes du CSE accessibles aux bénéficiaires lors des permanences. Ceux-ci peuvent contenir des données à caractère personnel telles que des numéros de téléphone, adresses personnelles ou informations individuelles qui ne devraient pas être librement consultables.
Supprimer les données obsolètes des bénéficiaires du CSE dans le logiciel de gestion est une bonne pratique… mais cela ne suffit pas toujours. Il n’est pas rare de retrouver encore des données personnelles dans des fichiers enregistrés sur les postes de travail, dans des historiques de messagerie non purgés, des espaces cloud partagés, des sauvegardes, des archives papier ou même dans la corbeille des ordinateurs.
Or, une donnée conservée inutilement reste une donnée susceptible d’être compromise en cas de violation de données ou de cyberattaque. La suppression des données doit donc être pensée de manière globale et concerner l’ensemble des supports utilisés par le CSE.
Conseil du DPO : La destruction des documents doit être réalisée de manière sécurisée. Pour les documents papier, le recours à un broyeur est préférable à une simple mise au rebut dans une corbeille de tri sélectif. Il est aussi possible de faire appel à un prestataire spécialisé dans la collecte et la destruction sécurisée des documents et supports contenant des données personnelles (voir les questions à poser aux sous-traitants ci-dessus).
Dix ans après l’entrée en application du RGPD, les CSE restent confrontés aux mêmes difficultés: multiplication des outils numériques, renouvellement des élus, recours croissant aux prestataires, développement du cloud et désormais arrivée massive de l’intelligence artificielle dans les usages du quotidien.
Pourtant, le RGPD ne doit pas être perçu comme une contrainte purement administrative ou juridique. Il constitue avant tout un cadre permettant de protéger les données personnelles des salariés et de sécuriser le fonctionnement du CSE.
Les CSE manipulent aujourd’hui des données particulièrement sensibles: coordonnées bancaires, situation familiale, données fiscales, informations relatives aux activités sociales et culturelles, voire parfois des données de santé ou des situations individuelles confidentielles.
Dans un contexte où les violations de données et les cyberattaques se multiplient, ces structures ne sont plus épargnées par les risques numériques.
La conformité ne repose pas nécessairement sur des mesures complexes ou coûteuses. Bien souvent, quelques bonnes pratiques permettent déjà de réduire fortement les risques : limiter les accès, supprimer les données devenues inutiles, encadrer les prestataires, sécuriser les échanges ou sensibiliser les utilisateurs.
Le RGPD n’est désormais plus un sujet théorique réservé aux grandes entreprises : il est devenu un enjeu concret de sécurité, de confiance et de responsabilité pour l’ensemble des CSE.
Article rédigé par DIP & ACL INFORMATIQUE
Le manquement à l’obligation légale de sécurité et de protection de la santé à laquelle l’employeur est tenu envers le travailleur a le caractère d’une faute inexcusable si l’employeur avait ou aurait dû avoir conscience du danger auquel était soumis le salarié et qu’il n’a pas pris les mesures nécessaires pour l’en préserver (Cass. 2e civ. 8 […]
Des entreprises employant beaucoup de salariés ont récemment réduit les jours de télétravail, à commencer par la Société générale (lire Social CSE 140), mais les employeurs n’ont pas modifié leur organisation, constate une étude de l’Apec réalisée auprès de 2 000 cadres et de 1 000 entreprises, publiée en mars. 9 % de TPE et PME […]
Le travail plaît-il encore vraiment aux Français, ou le salaire est-il devenu le dernier rempart face au désengagement professionnel ? L’agence How Much a interrogé 2 615 actifs français pour mesurer leur rapport au travail, à la rémunération et à l’épanouissement. Si « le travail, c’est la santé », c’est encore loin d’être la panacée. En […]
