2. Les traitements de données en matière d’élections sociales

2.1. Les responsables de traitements

L’organisation et le déroulement des élections des délégués du personnel et des représentants du personnel dans les conseils d’administration des sociétés anonymes, la publication des résultats et le contentieux éventuel y afférent conduisent nécessairement les chefs d’établissement et leurs délégués à inclure dans les traitements qu’ils opèrent en application de la législation sociale des données relatives à l’appartenance syndicale des personnes qui sont présentées sur les listes de candidats ou mandataires et présentateurs de ces listes.

Par ailleurs, la computation des effectifs pour la détermination des mandats à pourvoir et l’établissement des listes électorales renseignant sur les conditions de l’électorat actif et passif constituent des obligations pesant sur les employeurs et chefs d’établissement parmi leurs devoirs relatifs à l’organisation des élections sociales et au déroulement de celles-ci.

Enfin, l’article L 413-1 paragraphe 6 et 7 du Code du travail [1] et l’article 1^er du Règlement grand-ducal du 11 septembre 2018 concernant les opérations électorales pour la désignation des délégués du personnel [2] prévoit que l’Inspection du Travail et des mines met en œuvre une plateforme interactive sécurisée de l’Etat concernant les opérations électorales pour la désignation des délégués du personnel qui permet de centraliser les informations relatives aux opérations électorales.

Sont à considérer comme responsables de traitements de données les employeurs et les chefs d’établissement – personnes physiques ou morales – qui opèrent lesdits traitements en application des obligations relatives à l’organisation et au déroulement des élections des délégués du personnel et des représentants du personnel dans les conseils d’administration des sociétés anonymes mises à leur charge en application de la législation en vigueur.

2.2. Le traitement de données dites « sensibles »

Les opérations électorales impliquent des traitements de données portant sur des catégories particulières de données à caractère personnel (données dites « sensibles ») telles que visées à l’article 9 du RGPD. L’article 9 du RGPD interdit le traitement de données révélant l’appartenance syndicale, sauf s’il est légitimé sur base des conditions visées à l’article 9 paragraphe (2) lettres (a) à (j) du RGPD.

Concernant les traitements opérés par les responsables des traitements en la matière, les deux conditions de légitimité suivantes, énumérées à l’article 9 paragraphe (2) RGPD, sous les lettres b) et e), peuvent être envisagées par les responsables des traitements. Ainsi, l’article 9 paragraphe 2 du RGPD permet de légitimer un traitement de données portant sur des données sensibles, lorsque

« b) le traitement est nécessaire aux fins de l’exécution des obligations et de l’exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, […] dans la mesure où ce traitement est autorisé par […] le droit [national] » et/ou
« e) le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée ».

2.3. Les finalités du traitement

L’organisation et le déroulement des élections des délégués du personnel[3] et des représentants du personnel dans les conseils d’administration des sociétés anonymes [4], ainsi que la proclamation des résultats de ces élections amènent les employeurs à enregistrer et traiter les données à caractère personnel relatives aux salariés et apprentis de l’entreprise et aux candidats qui se présentent pour les différents mandats à pourvoir ainsi qu’ aux mandataires et présentateurs de chaque liste de candidats.

Les opérations de traitements de données se déroulent notamment dans l’accomplissement des devoirs revenant aux chefs d’entreprise, conformément à la législation en vigueur au niveau de la constatation des effectifs à représenter, de la détermination du nombre de délégués à élire et des conditions de l’électorat actif et passif, de l’établissement des listes électorales, de la réception et publication des candidatures, de l’établissement des bulletins de vote, des opérations électorales proprement dites, du dépouillement du scrutin, de l’établissement et de la publication des résultats, de l’attribution des sièges ainsi que dans le cadre du contentieux éventuel auquel donneront lieu les élections sociales.

L’accomplissement des tâches et devoirs relèvent dans ce contexte de la responsabilité de l’employeur respectivement du chef d’établissement ou de son délégué.

2.4. Description détaillée des données ou catégories de données et des traitements auxquels elles sont soumises

Les données relatives aux électeurs, aux présentateurs et mandataires des listes de candidats et à ces derniers, relèvent notamment des documents suivants :

les listes alphabétiques indiquant le nom, prénom, date de naissance et ancienneté des électeurs admis à l’électorat actif et / ou passif dans l’entreprise/établissement ;
l’affiche reproduisant les candidatures conformément aux dispositions de:
- l’article 9 du Règlement grand-ducal du 11 septembre 2018 concernant les opérations électorales pour la désignation des délégués du personnel concernant les opérations électorales pour la désignation des délégués du personnel,
- l’article 10 du Règlement grand-ducal modifié du 24 septembre 1974 concernant les opérations électorales pour la désignation des représentants du personnel dans les comités mixtes d'entreprise et les conseils d'administration ;
les bulletins de vote ;
les listes de dépouillement et procès-verbaux ;
les communications et/ou les publications faisant connaître les résultats du scrutin.

Les traitements doivent :

porter que sur des données objectives aisément contrôlables par les intéressés grâce à l’exercice du droit individuel d’accès ;
appliquer à ces données que des logiciels dont les résultats peuvent être facilement contrôlés ;
ne pas donner lieu à des interconnexions autres que celles expressément prévues par un texte légal ;
ne pas donner lieu à des rapprochements autres que ceux nécessaires à l’accomplissement des devoirs compris dans les finalités énoncées au point ci-dessus ;
satisfaire en outre aux conditions énoncées aux points élaborés ci-dessous.

Les données collectées et traitées doivent être adéquates, pertinentes et non excessives au regard de l’objet de l’organisation des élections des délégués du personnel et des représentants du personnel dans les conseils d’administration des sociétés anonymes ainsi que l’accomplissement des tâches et devoirs relevant dans ce contexte de la responsabilité de l’employeur respectivement du chef d’établissement ou de son délégué.

2.5. Origine des données

Les données individuelles concernant exclusivement les travailleurs sous contrat de louage de services ou d’apprentissage ont été fournies par les concernés dans le cadre de la conclusion et de l’exécution de leur contrat d’emploi ou d’apprentissage.

Les données à caractère personnel relatives aux présentateurs, mandataires et candidats auront été fournies par ceux-ci (p.ex. manifestement rendues publiques) dans le cadre de la présentation de candidatures sous les formes prévues par la loi (art.4 du Règlement grand-ducal du 11 septembre 2018 concernant les opérations électorales pour la désignation des délégués du personnel / art. 6 du Règlement grand-ducal modifié du 24 septembre 1974 concernant les opérations électorales pour la désignation des représentants du personnel dans les comités mixtes d'entreprise et les conseils d'administration).

2.6. Description des catégories de personnes concernées

Les catégories de personnes concernées sont les suivantes :

le personnel sous contrat de travail, les salariés travaillant à temps partiel, les salariés sous contrat à durée déterminée et les travailleurs mis à disposition dans la mesure où les concernés entrent en ligne de compte pour le calcul des effectifs du personnel occupé dans l’entreprise ou de l’établissement ;
le personnel sous contrat de louage de services ou d’apprentissage dans la mesure où les concernés sont électeurs/éligibles ;
les présentateurs, les mandataires et les candidats figurant sur les listes présentées pour lesdites élections.

2.7. Destinataires ou catégories de destinataires auxquels les données sont susceptibles d’être communiquées

Aucune communication de données à des tiers autres que ceux énumérés ci-après ne peut avoir lieu, sauf dans le cadre de l’application d’une disposition légale ou réglementaire, ou encore aux fins de la gestion normale d’entreprise :

les concernés eux-mêmes ;
le personnel ;
l’Inspection du Travail et des Mines ;
les syndicats présentant des candidats ;
la/les délégation(s) élue(s) ;
le conseil d’administration des sociétés anonymes pour lequel des représentants du personnel ont été désignés.

2.8. Pays tiers à destination desquels des transferts de données sont envisagés

Les données à caractère personnel faisant l’objet de traitements dans le cadre de l’organisation et du déroulement des élections sociales ne doivent en principe pas être transférées à destination de pays tiers (hors Union européenne).

Un éventuel transfert doit être encadré par des outils qui assurent un niveau de protection suffisant et approprié des personnes concernées. En absence d’une décision d’adéquation en vertu de l’article 45 du RGPD, reconnaissant que le pays du destinataire assure une protection équivalente à celle prévue par le RGPD, le responsable du traitement ou le sous-traitant doit prévoir des garanties appropriées et s’assurer que les personnes concernées disposent de droits opposables et de voies de droit effectives. Conformément à l’article 46 du RGPD, ces garanties appropriées peuvent être fournies par des clauses contractuelles types de protection ou des règles d’entreprises contraignantes.

2.9. Description détaillée permettant d’apprécier le respect des mesures de sécurité prévues aux articles 24, 25 et 32 du RGPD

Pour l’essentiel la procédure électorale fait l’objet d’un traitement manuel sauf que les données issues du signalétique des salariés de l’entreprise font l’objet d’un traitement informatique en vue de la détermination du corps électoral et de la confection des listes d’électeurs et d’éligibles. Les dossiers, documents, listes et données appréhendés sous forme automatisée doivent faire l’objet de mesures de sécurité organisationnelles et techniques suffisantes conformément à l’article 32 du RGPD. L’ensemble des mesures prises pour assurer la sécurité du traitement en application des articles 24, 25 et 32 du RGPD doit conférer un niveau de sécurité approprié au regard des risques présentés par le traitement et de la nature des données à protéger, le tout en fonction du risque d’atteinte à la vie privée, ainsi que de l’état de l’art et des coûts liés à la mise en œuvre dudit traitement.

L’Inspection du Travail et des Mines met en œuvre les mesures de sécurité adéquates dans la mise en place de la plateforme interactive sécurisée de l’Etat concernant les opérations électorales pour la désignation des délégués du personnel conformément à l’article L 413-1 paragraphe 6 et 7 du Code du travail[5] et de l’article 1^er du Règlement grand-ducal du 11 septembre 2018 concernant les opérations électorales pour la désignation des délégués du personnel [6].

2.10. Durée de conservation des données

Conformément à l’article 5 paragraphe (1) lettre (e) RGPD, les données traitées ne peuvent être « conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées ». Conformément à l’article 39 du Règlement grand-ducal du 11 septembre 2018 concernant les opérations électorales pour la désignation des délégués du personnel, et conformément à l’article 38 du Règlement grand-ducal modifié du 24 septembre 1974 concernant les opérations électorales pour la désignation des représentants du personnel dans les comités mixtes d'entreprise et les conseils d'administration, toutes les données à caractère personnel comprises dans les pièces relatives aux élections sont conservées par la délégation du personnel, respectivement par le conseil d’administration, jusqu’à l’expiration du mandat de la délégation du personnel ou du conseil d’administration. Par ailleurs, toutes les données sont susceptibles d’être conservées 5 ans après la fin du mandat de la délégation du personnel ou du conseil d’administration, lorsque cela s’avère nécessaire pour les besoins de l’entreprise ou de la représentation du personnel concernée.

------------------------------------------------------------------------------------------------------------------------

[1] Applicable à partir du 1^er février 2019.

[2] Applicable à partir du 1^er février 2019.

[3] Voir article 411-1 Code du travail et Règlement grand-ducal du 11 septembre 2018 concernant les opérations électorales pour la désignation des délégués du personnel (Mém A n° 838 du 18 septembre 2018).

[4] Voir articles 426-1 ss. Code du travail et Règlement grand-ducal modifié du 24 septembre 1974 concernant les opérations électorales pour la désignation des représentants du personnel dans les comités mixtes d'entreprise et les conseils d'administration (Mém. A n° 69 du 27 septembre 1979).

[5] Applicable à partir du 1^er février 2019.

[6] Applicable à partir du 1^er février 2019.