Elections du CSE et données personnelles : la CNIL rappelle quelques principes

À quelques mois des prochaines élections professionnelles, qui auront lieu dans la plupart des entreprises, la Commission nationale de l’informatique et des libertés (CNIL), dans une FAQ publiée sur son site Internet, rappelle quelques principes en matière de respect des données personnelles des électeurs.

​Listes électorales

La CNIL rappelle que la liste électorale ne doit mentionner qu’un nombre restreint d’informations :

• Nom et prénom ;
• Âge ;
• Appartenance à l’entreprise ;
• Ancienneté.

Les mentions devant figurer sur la liste électorale doivent être précisées dans l’accord préélectoral.

Attention ! L’adresse du domicile n’a pas à figurer sur la liste électorale, sauf dans des cas très particuliers (exemple : salariés exerçant à domicile).

​Vote électronique

S’agissant du vote électronique, l’employeur ou son prestataire doivent veiller à ne pas envoyer au domicile de l’électeur l’identifiant et le mot de passe dans deux courriers postaux distincts:

« Si l’authentification des électeurs sur la plateforme de vote repose sur l’utilisation d’un couple identifiant/mot de passe, la CNIL recommande que ces derniers soient dédiés à l’élection et remis aux électeurs de manière sécurisée, par le biais de deux canaux de communication distincts définis avant l’élection, afin de réduire les risques d’interception par un tiers. ».

Sauf en cas de demande expresse de l’électeur (qu’il appartiendra à l’employeur de démontrer), les e-mails ou les numéros de téléphone personnels ne peuvent pas être utilisés comme canaux de transmission des moyens d’authentification (identifiant et lien permettant la définition du mot de passe).

Pour transmettre ses moyens d’authentification au salarié, il est par exemple possible :

• de lui adresser un courrier postal à son domicile ;
• de les lui envoyer par le biais de sa messagerie ou de son téléphone professionnels ;
• de les lui remettre en mains propres sur son lieu de travail ;
• ou de les rendre accessibles via un intranet professionnel ou un coffre-fort numérique auxquels seul le salarié accède.

La recommandation de la CNIL du 25 avril 2019 présente aux responsables de traitement, souhaitant recourir au vote électronique, les objectifs de sécurité à atteindre en fonction du niveau de risque.

Elle s’accompagne d’une fiche pratique qui présente :

• Une grille d’analyse pour déterminer le niveau de sécurité que le système de vote par correspondance électronique doit respecter (exemples : nombre d’électeurs, utilisation d’autres modalités de vote) ;
• Des objectifs de sécurité avec des exemples de moyens minimaux à mettre en œuvre pour atteindre ces objectifs.

​Référence

Questions-réponses CNIL du 24 octobre 2022.