L’essentiel
Les articles 25 à 27 imposent une collecte loyale et l’information des personnes concernées. L’article 29 interdit la communication d’informations à des tiers non autorisés. La Commission relève également l’insuffisance des mesures de confidentialité et la conservation, par la police municipale, d’un fichier manuel contenant des informations sur la moralité et la vie privée, communiqué à des organismes ne bénéficiant pas nécessairement d’une habilitation légale.
En application de l’article 21-4° de la même loi, la CNIL adresse un avertissement au maire et lui demande, sous un mois, de déclarer les traitements non déclarés, de renforcer la sécurité des traitements, de limiter les communications aux tiers légalement autorisés conformément aux articles 29 et 45, et de détruire le fichier manuel en justifiant cette destruction. La destruction des questionnaires liés à l’étude et la transmission de seuls résultats statistiques anonymes écartent en revanche la création d’un traitement informatisé correspondant.
En résumé
- Avertissement adressé au maire pour manquements déclaratifs et de confidentialité
- Articles 15 et 17 : déclaration obligatoire des traitements automatisés
- Articles 25 à 27 : collecte loyale et information des intéressés
- Fichier manuel contenant des données de moralité et de vie privée
- Communications limitées aux seuls tiers légalement autorisés
- Destruction du fichier manuel avec procès-verbal justificatif
Contexte de l’affaire
Une vérification sur place révèle quatre traitements informatisés non déclarés : la paie du personnel et le fichier électoral de la mairie, ainsi que la paie du personnel et la gestion des aides ménagères du CCAS. Elle constate aussi l’existence d’un fichier manuel de police municipale contenant des informations sur la moralité et la vie privée d’une partie de la population, collectées sans information des intéressés et communiquées à divers organismes.
Le sous-traitant indique avoir détruit les questionnaires et transmis uniquement des statistiques anonymes. Le maire reconnaît les irrégularités concernant le fichier manuel et ne répond pas entièrement aux observations relatives aux traitements du CCAS.
Conditions / critères (ce que le juge vérifie)
- Identifier un traitement automatisé d’informations nominatives non déclaré
- Constater une collecte déloyale ou l’absence d’information des personnes
- Établir l’insuffisance des mesures de confidentialité et de sécurité
- Vérifier la présence de données relatives à la moralité ou à la vie privée
- Constater une communication à des organismes non autorisés
- Ordonner la régularisation, la limitation des transmissions ou la destruction
Preuves retenues (ce qui a fait pencher la décision)
- Compte-rendu de vérification sur place de la CNIL
- Constat de quatre traitements informatisés non déclarés
- Constat de l’existence du fichier manuel de police municipale
- Reconnaissance du maire concernant les communications à des organismes divers
- Correspondance du sous-traitant attestant la destruction des questionnaires
Conséquences pratiques
- Déclaration des traitements du CCAS
- Renforcement de la confidentialité des fichiers
- Limitation des transmissions aux tiers autorisés
- Destruction du fichier manuel de police municipale
- Transmission du procès-verbal de destruction à la CNIL
Checklist pour Avocats
À faire
- Déclarer les traitements automatisés non déclarés
- Recenser tous les fichiers municipaux et du CCAS
- Renforcer les mesures de sécurité et de confidentialité
- Vérifier l’habilitation légale de chaque destinataire
- Établir et transmettre le procès-verbal de destruction
À éviter
- Conserver des données collectées sans information
- Diffuser des informations à des organismes non autorisés
- Maintenir un fichier manuel sur la moralité des personnes
- Omettre la déclaration d’un traitement nominatif
- Répondre de manière incomplète aux observations de la CNIL
FAQ / Q-R juridiques
La déclaration des traitements automatisés d’informations nominatives
Les articles 15 et 17 de la loi n° 78-17 du 6 janvier 1978 imposent au responsable d’une collectivité territoriale de déclarer ses traitements automatisés d’informations nominatives à la CNIL. La vérification a établi que quatre traitements municipaux et du CCAS n’avaient pas été déclarés. La CNIL demande donc la déclaration des deux traitements du CCAS encore non régularisés.
La loyauté et l’information des personnes fichées
Les articles 25 à 27 de la loi n° 78-17 prévoient que les fichiers ne peuvent être constitués de manière déloyale ou illicite et que les intéressés doivent être informés. Le fichier manuel de police municipale contenait des données relatives à la moralité et à la vie privée, collectées et conservées à l’insu des personnes concernées. La CNIL demande sa destruction.
La communication des informations aux tiers autorisés
L’article 29 de la loi n° 78-17 interdit de communiquer des informations nominatives à des tiers non autorisés. Le maire a reconnu que le fichier municipal répondait à des demandes émanant d’organismes qui, pour la plupart, ne bénéficiaient pas de cette qualité. La CNIL demande de limiter les transmissions aux cas prévus par les textes, conformément aux articles 29 et 45.