{« title »: « Consultation du comité d’entreprise (CSE) et RGPD : ce que doit faire l’employeur », « seo_title »: « Consultation comité d’entreprise RGPD : vos obligations », « excerpt »: « Vidéosurveillance, badgeuse, IA RH : découvrez quand consulter le CSE sur le RGPD et comment sécuriser votre procédure. », « focus_keyword »: « consultation comité d’entreprise rgpd », « content_html »: «
La consultation du comité d’entreprise (aujourd’hui comité social et économique, ou CSE) est obligatoire dès qu’un employeur introduit un traitement de données personnelles susceptible d’affecter les conditions de travail : vidéosurveillance, géolocalisation, badgeuse, logiciel RH ou outil de contrôle d’activité. Cette consultation s’ajoute, sans s’y substituer, aux obligations RGPD classiques comme l’analyse d’impact.
Qu’est-ce que la consultation du CSE en matière de RGPD ?
Le comité d’entreprise a disparu en 2018, remplacé par le comité social et économique (CSE) dans toutes les entreprises de plus de 11 salariés. Le terme « comité d’entreprise » reste toutefois très utilisé dans le langage courant pour désigner cette instance représentative du personnel.
Le CSE dispose d’un droit de regard sur l’introduction de nouvelles technologies dans l’entreprise. Ce droit est distinct des obligations posées par le Règlement général sur la protection des données (RGPD), mais les deux se recoupent largement dès qu’un outil numérique traite des données sur les salariés.
Concrètement, consulter le CSE sur un sujet RGPD signifie :
- Informer les élus du projet avant sa mise en œuvre
- Leur présenter la finalité du traitement et les données concernées
- Recueillir leur avis avant toute décision définitive
- Documenter cet échange pour prouver la conformité en cas de contrôle
Dans quels cas l’employeur doit-il consulter le CSE ?
La consultation est obligatoire chaque fois qu’un projet de l’employeur touche à l’organisation, la gestion ou la marche générale de l’entreprise, ou introduit une nouvelle technologie ayant un impact sur les conditions de travail.
Les dispositifs de contrôle et de surveillance
- Vidéosurveillance des locaux ou des postes de travail
- Géolocalisation des véhicules professionnels
- Badgeuses et systèmes de contrôle d’accès
- Analyse des connexions internet et de la messagerie professionnelle
- Outils de mesure de la productivité
Les nouveaux outils numériques RH
- Logiciels de gestion des ressources humaines (SIRH)
- Outils d’intelligence artificielle utilisés pour le recrutement ou l’évaluation
- Plateformes de télétravail avec suivi d’activité
- Systèmes biométriques (reconnaissance faciale, empreinte digitale)
Dans tous ces cas, l’employeur ne peut pas se contenter d’informer le CSE après coup : la consultation doit précéder la mise en service du dispositif. C’est un point de vigilance fréquent lors d’un audit RGPD mené en entreprise.
Quelle est la procédure de consultation du CSE pas à pas ?
La procédure suit un formalisme précis pour être opposable en cas de litige ou de contrôle de l’inspection du travail.
- L’employeur inscrit le projet à l’ordre du jour du CSE
- Il transmet une note d’information détaillant l’outil, sa finalité et les données traitées
- Le CSE dispose d’un délai raisonnable pour étudier le dossier, éventuellement avec l’appui d’un expert
- Une réunion est organisée pour recueillir l’avis des élus
- L’avis, favorable ou défavorable, est consigné dans un procès-verbal
- L’employeur peut mettre en œuvre le projet, l’avis du CSE n’étant pas contraignant mais devant être recueilli
L’absence d’avis contraignant ne dispense jamais l’employeur de consulter : seule la trace de cette consultation permet de démontrer sa bonne foi. Beaucoup de dirigeants font appel à un accompagnement en consulting RGPD pour sécuriser cette étape et rédiger une note d’information conforme.
Quel rôle joue le DPO dans la consultation du CSE ?
Le délégué à la protection des données (DPO) n’a pas vocation à se substituer au CSE, mais il joue un rôle de conseil essentiel :
- Il vérifie que le traitement respecte les principes du RGPD avant même la consultation
- Il aide à rédiger une information claire et complète à destination des élus
- Il peut être associé à la réunion pour répondre aux questions techniques
- Il s’assure que la consultation du CSE et l’analyse d’impact avancent en parallèle
Dans les PME qui n’ont pas de DPO en interne, solliciter un consultant RGPD CNIL permet d’obtenir un regard extérieur et documenté sur ces projets sensibles.
Que risque l’entreprise qui ne consulte pas le CSE ?
Le défaut de consultation du CSE constitue un délit d’entrave, sanctionné pénalement. Il expose également l’employeur à :
- La suspension du dispositif contesté devant le juge
- L’inopposabilité des preuves collectées grâce à l’outil non consulté (par exemple des images de vidéosurveillance utilisées en licenciement)
- Un signalement à la CNIL, qui peut ouvrir un contrôle sur l’ensemble des traitements de l’entreprise
- Une atteinte à la relation sociale et à la confiance des salariés
Les tribunaux ont déjà annulé des preuves obtenues par des outils de contrôle mis en place sans consultation préalable du CSE, y compris lorsque le traitement était par ailleurs déclaré conforme au RGPD.
Comment articuler consultation du CSE et analyse d’impact (AIPD) ?
Quand un traitement présente un risque élevé pour les droits des salariés, le RGPD impose une analyse d’impact relative à la protection des données (AIPD), comme le rappelle la CNIL. Cette analyse et la consultation du CSE doivent être menées de façon coordonnée :
- L’AIPD identifie les risques et les mesures pour les réduire
- La consultation du CSE porte sur l’opportunité et les modalités du projet
- Les conclusions de l’AIPD peuvent alimenter l’information transmise aux élus
- L’avis du CSE peut, en retour, faire émerger de nouveaux risques à intégrer à l’AIPD
Cette double conformité, sociale et RGPD, demande une bonne coordination entre RH, direction et DPO. Pour les projets complexes, faire appel à un consultant RGPD permet de gagner du temps et d’éviter les allers-retours entre les instances.
Le rôle et les attributions du CSE sont précisément encadrés par le code du travail, ce qui impose à l’employeur une rigueur particulière dans la formalisation de chaque étape. Selon la taille de l’entreprise et la sensibilité du projet, le tarif d’un consultant RGPD reste souvent inférieur au coût d’un contentieux ou d’une sanction pour défaut de consultation.
Questions fréquentes
Faut-il consulter le CSE pour toute nouvelle donnée collectée sur les salariés ?
Non. La consultation est obligatoire uniquement pour les projets qui introduisent une nouvelle technologie ou modifient les conditions de travail, comme un outil de surveillance ou un logiciel RH. Une simple mise à jour de formulaire administratif ne l’exige pas systématiquement.
L’avis du CSE peut-il bloquer un projet RGPD de l’employeur ?
L’avis du CSE n’est pas contraignant : l’employeur peut mettre en œuvre son projet même en cas d’avis défavorable. Mais l’absence totale de consultation, elle, est sanctionnée et peut rendre le dispositif inopposable devant un juge.
Le CSE peut-il se faire assister par un expert lors de la consultation ?
Oui, le CSE peut recourir à un expert agréé, notamment sur les projets technologiques complexes. Ce recours a un coût partiellement ou totalement pris en charge par l’employeur selon les cas prévus par le code du travail.
Que faire si un dispositif a déjà été mis en place sans consultation du CSE ?
Il faut régulariser rapidement la situation : informer le CSE, engager la consultation a posteriori et documenter les mesures correctives. Un accompagnement par un DPO externe permet souvent d’objectiver le risque et de sécuriser la suite.
La consultation du CSE remplace-t-elle l’information des salariés eux-mêmes ?
Non. L’information individuelle des salariés sur un traitement de données reste une obligation distincte du RGPD. La consultation du CSE porte sur le projet global, tandis que l’information individuelle concerne chaque personne concernée.
« , « faq »: [{« question »: « Faut-il consulter le CSE pour toute nouvelle donnée collectée sur les salariés ? », « answer »: « Non. La consultation est obligatoire uniquement pour les projets qui introduisent une nouvelle technologie ou modifient les conditions de travail, comme un outil de surveillance ou un logiciel RH. Une simple mise à jour de formulaire administratif ne l’exige pas systématiquement. »}, {« question »: « L’avis du CSE peut-il bloquer un projet RGPD de l’employeur ? », « answer »: « L’avis du CSE n’est pas contraignant : l’employeur peut mettre en œuvre son projet même en cas d’avis défavorable. Mais l’absence totale de consultation, elle, est sanctionnée et peut rendre le dispositif inopposable devant un juge. »}, {« question »: « Le CSE peut-il se faire assister par un expert lors de la consultation ? », « answer »: « Oui, le CSE peut recourir à un expert agréé, notamment sur les projets technologiques complexes. Ce recours a un coût partiellement ou totalement pris en charge par l’employeur selon les cas prévus par le code du travail. »}, {« question »: « Que faire si un dispositif a déjà été mis en place sans consultation du CSE ? », « answer »: « Il faut régulariser rapidement la situation : informer le CSE, engager la consultation a posteriori et documenter les mesures correctives. Un accompagnement par un DPO externe permet souvent d’objectiver le risque et de sécuriser la suite. »}, {« question »: « La consultation du CSE remplace-t-elle l’information des salariés eux-mêmes ? », « answer »: « Non. L’information individuelle des salariés sur un traitement de données reste une obligation distincte du RGPD. La consultation du CSE porte sur le projet global, tandis que l’information individuelle concerne chaque personne concernée. »}]}