RGPD et CSE : gérer le fichier des salariés en conformité
Dès lors que votre comité décide pourquoi et comment il utilise les données de ses bénéficiaires, il agit comme responsable de traitement au sens du RGPD. Cinq gestes couvrent l’essentiel : ne garder que le nécessaire, informer les salariés, fixer une durée de conservation, répondre aux demandes sous un mois et tenir un registre. Nous n’avons pas trouvé de référentiel de la CNIL propre aux CSE : ces règles sont celles du RGPD, appliquées à votre comité, et non des règles écrites pour lui.
Le CSE est-il responsable de traitement ?
Le responsable de traitement est l’organisme qui détermine les finalités et les moyens d’un traitement de données. Le mot « traitement » désigne toute utilisation d’une donnée personnelle : collecte, stockage, envoi, tri.
Un sous-traitant ne vous décharge pas de vos responsabilités. Vous devez signer un contrat comportant les mentions de l’article 28 du RGPD, vous assurer qu’il respecte ses obligations et formaliser vos instructions. La qualification de chacun dépend de ce qu’il fait réellement : elle ne se choisit pas librement.
Et sous 50 salariés ?
La personnalité civile prévue par l’article L2315-23 concerne les comités des entreprises d’au moins 50 salariés. Si votre petit comité tient néanmoins un fichier, appliquez les mêmes principes et clarifiez les rôles avec l’employeur.
Quelles données l’employeur peut-il transmettre au CSE ?
La CNIL l’indique dans sa fiche sur la gestion du personnel : l’employeur peut transmettre au comité, après information des salariés, des données sur ceux qui ne s’y sont pas opposés, pour lui permettre de proposer des activités et prestations adaptées. Cette fiche, datée du 17 août 2023, parle encore de « comité d’entreprise ».
Son référentiel de gestion des ressources humaines donne un second éclairage. Quand un employeur gère lui-même l’action sociale, il cite les CSE parmi les destinataires possibles, « à condition que le bénéficiaire en ait fait la demande ». Ce référentiel exclut par ailleurs de son champ les traitements des instances représentatives du personnel. Il ne fixe donc pas de règle directe pour votre propre fichier.
Notre conseil pratique : demandez à l’employeur le minimum, informez les salariés avant le premier envoi et laissez-les s’opposer. Puis complétez le fichier par une inscription faite par le salarié lui-même.
| Donnée | Utile ? | Précaution |
|---|---|---|
| Nom, prénom, e-mail professionnel | Oui, pour contacter et ouvrir un compte | Vérifier la mise à jour et les départs |
| Date d’entrée, site | Si vos règles en dépendent | Vérifier la règle d’attribution |
| Enfants et ayants droit | Si la prestation en dépend | Collecte auprès du salarié, avec justificatif |
| Revenus, quotient familial | Seulement pour un barème social | Demander le résultat utile, limiter les accès |
| Salaire individuel, NIR | En principe non | Ne pas demander sans nécessité démontrée |
| Santé, handicap, syndicat | Exceptionnel | Données sensibles : voir ci-dessous |
Le RGPD interdit par principe de traiter les données de santé, l’appartenance syndicale et d’autres données dites sensibles, sauf exception (article 9). Une aide liée à un handicap peut en impliquer. Dans ce cas, limitez la pièce demandée, réservez l’accès à une ou deux personnes, et recueillez le consentement explicite du salarié, l’une des exceptions prévues par ce texte.
Si le comité reçoit des données par l’employeur, il informe les salariés dès que possible, et au plus tard dans un délai d’un mois, sauf exceptions. Il indique alors l’origine des données et leurs catégories.
Quelle base légale choisir pour le fichier du CSE ?
Tout traitement doit reposer sur l’une des six bases de l’article 6 du RGPD : consentement, contrat, obligation légale, intérêts vitaux, mission d’intérêt public ou intérêt légitime. Le choix s’apprécie finalité par finalité, et il se note dans le registre.
| Usage | Piste à valider | Attention |
|---|---|---|
| Gestion des ASC et des droits | Intérêt légitime, ou contrat si une inscription formalisée existe | Le droit d’opposition s’applique en cas d’intérêt légitime |
| Comptabilité et pièces | Obligation légale (art. L2315-64) | Conserver sur la durée applicable |
| Infolettre sur les offres du comité | Intérêt légitime, ou consentement | Prévoir une désinscription |
| Photos sur le fil d’actualité | Consentement | Possibilité de retrait |
Le seul repère de la CNIL que nous ayons trouvé sur ce point vise un autre acteur : pour une action sociale et culturelle directement mise en œuvre par un employeur privé, son référentiel retient l’intérêt légitime. Il constitue une analogie utile, mais pas une règle écrite pour le comité. Une courte analyse écrite, votée en réunion, sécurisera votre choix.
Combien de temps conserver les données ?
Le principe est simple : une donnée n’est pas conservée indéfiniment. La CNIL distingue la base active, utilisée au quotidien, et, si besoin, l’archivage intermédiaire, séparé et accessible à quelques personnes, pour une obligation légale ou un possible contentieux. L’archivage définitif reste exceptionnel.
La CNIL ne fixe pas de durée propre aux fichiers des CSE. Dans son référentiel de durées en ressources humaines, publié le 2 avril 2026 et mis à jour le 20 mai 2026, aucun passage ne traite des activités sociales et culturelles. Vous fixez donc vos durées et vous les documentez. Voici des repères.
| Donnée | Repère | Fondement |
|---|---|---|
| Fiche d’un salarié actif | Tant qu’il peut bénéficier des activités | Finalité, art. 5 RGPD |
| Fiche d’un salarié parti | Courte période de clôture, à fixer, puis suppression | Finalité, art. 5 RGPD |
| Pièces justifiant une écriture comptable | 10 ans en archive, accès limité | Art. L2315-75 C. trav. |
| Justificatifs non comptables | Le temps du contrôle, puis suppression | Minimisation |
| Statut d’élu (fichier de l’employeur) | Mandat + 6 mois | Référentiel CNIL RH, vise l’employeur |
Prenons un exemple fictif. Une salariée quitte l’entreprise le 31 mars 2026. Le comité ferme son compte, puis supprime sa fiche active après un délai fixé à l’avance, par exemple 3 mois. Son remboursement de licence sportive, comptabilisé sur l’exercice 2026, reste dans les pièces comptables jusqu’au 31 décembre 2036, dans une archive à accès limité. Sa date de naissance et ses préférences d’activités, elles, n’ont plus de raison d’être conservées.
L’article L2315-75 du Code du travail fixe cette durée pour les comptes du comité et leurs pièces justificatives.
Comment répondre aux droits des salariés ?
Tout salarié peut demander l’accès à ses données, leur rectification, leur effacement, la limitation du traitement, leur portabilité dans certains cas, et s’opposer au traitement pour des motifs légitimes. Prévoyez une adresse dédiée, facile à trouver.
Enregistrer la demande
Notez la date de réception : le délai d’un mois commence à ce moment.
Vérifier l’identité si besoin
Seulement en cas de doute raisonnable. Ne demandez pas une pièce d’identité par réflexe.
Chercher les données
Logiciel, tableurs, messageries, papier. Si le comité n’a rien sur la personne, il répond quand même.
Répondre
Sous un mois. Ce délai peut être prolongé de deux mois si la demande est complexe ou si les demandes sont nombreuses, à condition de prévenir la personne dans le premier mois.
Refuser si nécessaire
L’effacement peut être écarté pour des documents à conserver. Motivez la réponse et rappelez le droit de saisir la CNIL.
Le CSE doit-il tenir un registre ?
En pratique, oui. La CNIL précise que tous les organismes qui traitent des données sont concernés. L’exception prévue pour les organismes de moins de 250 salariés ne couvre pas les traitements qui ne sont pas occasionnels : un fichier de bénéficiaires utilisé toute l’année en fait partie. La CNIL recommande, en cas de doute, de le porter au registre, et propose un modèle simplifié.
Le registre peut tenir sur un tableau écrit. Un petit comité peut commencer par quatre fiches : gestion des bénéficiaires, comptabilité, communication et billetterie. Chaque fiche précise :
- le responsable, un contact et les finalités ;
- les catégories de personnes et de données ;
- les destinataires, dont les sous-traitants et les éventuels transferts hors de l’Union européenne ;
- les durées de conservation et les mesures de sécurité.
Gardez-le à jour au renouvellement du comité : il fait partie des documents à remettre. Voir notre article sur la passation entre deux mandatures.
Que faire pour la sécurité et en cas d’incident ?
Les fuites viennent souvent de gestes simples : un tableur envoyé en pièce jointe, un identifiant partagé, un ancien élu qui garde son accès. Réservez chaque fichier aux personnes qui en ont besoin, et supprimez les copies locales.
En cas de violation (perte, accès non autorisé, envoi au mauvais destinataire), trois gestes s’imposent :
- Consigner : toute violation est notée dans un registre interne, même sans notification.
- Notifier : si elle présente un risque, le comité prévient la CNIL au plus tard 72 heures après en avoir eu connaissance.
- Informer : en cas de risque élevé, le comité prévient aussi les personnes concernées, dans les meilleurs délais.
Un accès et un rôle par élu
Dans Andy, chaque membre du comité peut avoir son accès administrateur, sans partage de mot de passe, avec un rôle qui n’ouvre que certaines fonctionnalités. Les données sont hébergées en France et chiffrées.
Voir la plateforme et ses accèsPour la suite, relisez aussi votre règlement d’attribution : les critères qu’il retient déterminent les données dont vous avez réellement besoin.
- Le comité agit en principe en responsable de traitement pour le fichier qu’il utilise ; l’éditeur est en principe sous-traitant.
- L’employeur peut transmettre des données après information des salariés, et pour ceux qui ne s’y sont pas opposés (CNIL).
- Choisissez une base légale par usage et consignez-la : la CNIL ne fixe pas de règle propre au comité.
- Fixez vos durées et séparez ce qui reste en archive ; comptez 10 ans pour les pièces comptables (article L2315-75).
- Répondez aux demandes sous un mois, prolongeable de deux mois si la demande est complexe.
- Tenez un registre, simple mais réel ; notifiez la CNIL sous 72 heures en cas de violation à risque.
Questions fréquentes
Sources
- CNIL, Le registre des activités de traitement
- CNIL, Les règles pour la gestion du personnel
- CNIL, Référentiel des durées de conservation en gestion des ressources humaines (2026)
- CNIL, Les droits des personnes sur leurs données
- CNIL, Violations de données personnelles : les règles à suivre
- CNIL, Référentiel relatif à la gestion des ressources humaines
Repères vérifiés le 5 novembre 2026 sur les pages de la CNIL. Cet article présente des principes généraux et ne constitue pas un conseil juridique.