CONTACT

L’expert du CSE, passe muraille du RGPD

22 septembre 2020 | Derriennic Associés |

CA Paris, 2 juil. 2020, n°19/22158

Pour la première fois, la Cour d’appel de Paris se prononce sur la possibilité, ou plutôt l’impossibilité pour l’employeur, d’invoquer le RGPD afin de faire obstacle à la demande d’informations sollicitée par l’expert du CSE.

Au cas d’espèce, le cabinet d’expertise Diagoris, désigné par un CSE aux fins de l’assister dans le cadre de sa consultation sur la situation économique, financière et la politique sociale de l’entreprise, sollicitait de l’employeur qu’il lui remette une base non nominative du personnel, sur les trois derniers exercices, comprenant notamment le numéro de sécurité sociale des salariés.

Estimant la demande particulièrement intrusive, la société s’y est opposée.

Le RGPD peut-il faire obstacle à ce que l’expert désigné par le CSE puisse obtenir de l’employeur les données personnelles des salariés ?

La Cour y répond par la négative, avançant trois arguments au soutien de la demande de l’expert. Elle rappelle en premier lieu que l’expert-comptable du CSE a accès à l’ensemble des informations qu’il estime utile et dont il est le seul juge de l’utilité. Cette utilité ne semble donc pas pouvoir pâlir face au RGPD…Et en effet, en second lieu, les articles 5 et 28 du RGPD, invoqués par l’employeur, sont examinés par la Cour au soutien d’un éventuel débouté de l’expert.

Concernant l’article 5 b) qui exige que les données à caractère personnel soient collectées pour des finalités déterminées, explicites et légitimes, la Cour rappelle que la condition est manifestement remplie, au motif que la demande a pour finalité légitime l’accomplissement, pour le compte du CSE, dans le cadre du pouvoir consultatif conféré par la loi, de la mission d’analyse de la politique sociale de l’entreprise, des conditions de travail et de l’emploi. Cette position est pour le moins déroutante dans la mesure où le NIR s’avère être une information particulièrement sensible dont la CNIL réserve le traitement à des cas limités. Il n’est pas certain que le traitement d’une telle donnée, pour les finalités d’espèce, ait résisté à un examen approfondi du respect du principe de minimisation des données. D’ailleurs, la Cour n’indique pas en quoi ce numéro serait légitime à l’accomplissement de cette mission…dont on comprend que l’expert est seul juge.

Quant à l’article 28, celui-ci prévoit une obligation de confidentialité à la charge du sous-traitant (la personne traitant des données personnelles) de la personne recueillant les données personnelles, obligation légale à laquelle l’expert du CSE est tenu. Les garanties de protection prévues par le RGPD semblent donc satisfaites, si bien que la Cour considère, en conséquence, que « force est de constater que la SMI ne montre pas que la demande de communication de la société Diagoris serait contraire au RGPD », de sorte que la contestation fondée sur ce règlement n’est pas sérieuse. De manière ainsi surprenante et non moins discutable, les magistrats parisiens condamnent l’entreprise à communiquer les numéros de sécurité sociale à l’expert. Cela n’est pas sans rappeler le jugement du Tribunal de Metz qui avait, le 22 avril 2019, condamné un employeur à transmettre à l’expert du CHSCT les adresses des salariés. Les salariés de l’entreprise doivent donc aujourd’hui s’attendre à ce que leurs défenseurs puissent un jour avoir accès à leurs données personnelles…