Ce qu’il y a à retenir :
La BDESE ne doit contenir aucune donnée nominative. Si des données personnelles sont présentes, vous devez impérativement appliquer les règles du RGPD : sécurisation des accès, registre de traitement, durée de conservation maîtrisée.
La Base de Données Économiques, Sociales et Environnementales (BDESE) a pour finalité d’informer les représentants du personnel sur les grandes orientations économiques et sociales de l’entreprise. Elle repose sur des indicateurs collectifs et consolidés. En principe, elle ne contient donc pas de données personnelles.
Toutefois, dans la pratique, certaines entreprises intègrent des éléments qui peuvent relever du RGPD, notamment dans les logs de connexion, les historiques de consultation, ou lorsqu’un détail d’indicateur est trop précis. Ces situations exigent la mise en œuvre de garanties spécifiques.
1. Éviter les données personnelles dans la BDESE
Le meilleur moyen de rester conforme est de ne jamais intégrer de données à caractère personnel dans votre BDESE. Ni nom, ni matricule, ni information permettant d’identifier un salarié directement ou indirectement ne doivent y figurer.
Si vous avez besoin de fournir des données fines pour les représentants du personnel, privilégiez l’anonymisation ou la pseudonymisation en amont.
2. Enregistrer les traitements dans le registre RGPD
Lorsque des données personnelles sont traitées, même à la marge, vous devez en consigner l’usage dans votre registre de traitement RGPD. Ce registre doit inclure les finalités du traitement, les catégories de données concernées, les durées de conservation, les mesures de sécurité, et les personnes ayant accès à ces données.
Ce registre vous permet de démontrer votre conformité en cas de contrôle ou de litige.
3. Gérer les accès et garantir la confidentialité
L’accès à la BDESE doit être strictement réservé aux personnes habilitées (membres du CSE, délégués syndicaux, direction). Ces accès doivent être sécurisés par des identifiants individuels, et les consultations doivent être traçables.
Chaque utilisateur doit être informé de son devoir de confidentialité, en particulier s’il a accès à des données sensibles ou stratégiques. Ce devoir doit être formalisé, assorti de sanctions en cas de manquement.
4. Sécuriser le stockage et les flux de données
Les données contenues dans la BDESE doivent être hébergées sur une infrastructure conforme aux exigences du RGPD : hébergement sécurisé, cryptage des données sensibles, sauvegardes régulières, canaux d’accès protégés.
Le support (logiciel ou portail) utilisé pour la BDESE doit permettre de configurer des niveaux d’accès différenciés, de journaliser les actions, et d’appliquer des politiques de rétention conformes aux durées légales.
5. Respecter les principes fondamentaux du RGPD
Pour être en conformité avec le RGPD dans le cadre de votre BDESE, vous devez :
- Respecter le principe de minimisation des données
- Définir une finalité claire à chaque traitement
- Limiter la durée de conservation des données
- Assurer la sécurité et la confidentialité des données partagées
- Permettre l’exercice des droits des personnes concernées, si nécessaire
Recommandations pratiques
- Vérifiez que la BDESE ne contient aucune information nominative.
- Si des données personnelles sont nécessaires, pseudonymisez-les ou justifiez-les dans le registre RGPD.
- Sécurisez les accès par des profils différenciés, avec traçabilité complète.
- Hébergez les données sur une infrastructure conforme au RGPD.
- Mettez en place des procédures de purge ou d’anonymisation régulières.
- Formalisez le devoir de confidentialité des utilisateurs.
- Formez les personnes concernées aux enjeux RGPD appliqués à la BDESE.
Comment Altays répond à ce besoin
La solution BDESE d’Altays permet de structurer les données de manière conforme, sans exposition de données personnelles. Elle intègre des profils d’accès sécurisés, une traçabilité des consultations, une politique de rétention des données maîtrisée et une compatibilité RGPD native pour fiabiliser le partage des données avec les représentants du personnel.
Non, sauf exception dûment justifiée. Par défaut, seules des données agrégées et anonymes doivent y figurer.
Oui, si elle contient des données personnelles, même indirectement. Le registre doit documenter les traitements, finalités, accès et durées.
En mettant en place des profils d’accès restreints, des identifiants individuels, une traçabilité des consultations, et un contrôle de la confidentialité.
La durée dépend de la finalité du traitement. Elle doit être définie et limitée, avec des procédures de suppression ou d’anonymisation en place.
Oui. Altays propose un module conforme RGPD, avec accès sécurisés, registre intégré, traçabilité complète et hébergement conforme.