Formalités CNIL et sécurité des traitements automatisés d’une collectivité territoriale

La CNIL rappelle que les traitements automatisés d’informations nominatives mis en œuvre par une collectivité territoriale doivent respecter les formalités préalables prévues par les articles 15 et 17 de la loi n° 78-17 du 6 janvier 1978. L’absence de déclaration, la collecte de données relatives aux condamnations dans les listes électorales et l’utilisation du numéro de sécurité sociale dans la gestion du personnel justifient des régimes déclaratifs ou une demande d’avis adaptés.

L’article 30 de la même loi encadre le traitement automatisé des informations relatives aux infractions, condamnations ou mesures de sûreté. La CNIL exige également le renforcement des mesures de sécurité destinées à préserver la confidentialité des données, conformément à l’article 1er.

Après vérification sur place et absence d’observations ou de régularisation, la Commission prend acte des engagements de la mairie : demandes d’avis, déclarations simplifiées, suppressions de traitements et transmission de pièces dans un délai d’un mois. Elle adresse au maire un avertissement sur le fondement de l’article 21, 4°, de la loi n° 78-17.

⬇️Télécharger la décision version officielle

Une mairie avait mis en œuvre de nombreux traitements nominatifs sans accomplir les formalités requises. Le fichier électoral comportait des motifs de radiation liés à des condamnations, le numéro de sécurité sociale était utilisé sans avis préalable et les mesures de confidentialité étaient insuffisantes. Après l’absence de réponse de la mairie, la CNIL a pris acte des engagements de régularisation et adressé un avertissement.

La CNIL a constaté qu’une mairie avait mis en œuvre plusieurs traitements automatisés d’informations nominatives concernant notamment le personnel, les listes électorales, l’état civil, les permis de construire, les interventions du maire, la jeunesse, la bibliothèque et les télécommunications.

Ces traitements n’avaient pas fait l’objet des formalités requises. Le traitement des listes électorales comportait notamment des motifs de radiation liés à des condamnations. La gestion du personnel utilisait le numéro de sécurité sociale sans demande d’avis préalable. Les mesures de sécurité destinées à garantir la confidentialité ont également été jugées insuffisantes.

La mairie n’a pas répondu à la demande de la CNIL ni formulé d’observations après la vérification sur place. Le système d’automates d’appels n’était pas encore exploité. La CNIL a pris acte des engagements de régularisation et a adressé un avertissement au maire.

• Existence de traitements automatisés d’informations nominatives
• Absence des formalités prévues par les articles 15 et 17
• Traitement de données relatives aux condamnations
• Utilisation du numéro de sécurité sociale sans demande d’avis
• Mesures de sécurité insuffisantes pour préserver la confidentialité
• Absence de réponse et de régularisation après intervention de la CNIL

• Compte rendu de la vérification sur place du 7 juin 1991
• Notification du compte rendu au maire le 14 juin 1991
• Lettre de la CNIL du 27 mars 1991 restée sans réponse
• Constat de l’absence de formalités pour plusieurs traitements
• Constat de l’utilisation du numéro de sécurité sociale

La mairie doit régulariser les traitements identifiés et renforcer la confidentialité des données. Le maire fait l’objet d’un avertissement CNIL et doit transmettre les documents requis dans le délai d’un mois.n

• Déposer les demandes d’avis pour les traitements concernés
• Effectuer les déclarations simplifiées lorsque les normes sont respectées
• Déclarer la suppression des traitements visés
• Renforcer les mesures de sécurité et de confidentialité
• Saisir la CNIL avant l’exploitation des automates d’appels

À faire

• Recenser chaque traitement automatisé d’informations nominatives
• Déposer les formalités préalables requises auprès de la CNIL
• Demander un avis pour les traitements soumis à autorisation
• Renforcer les contrôles de confidentialité et d’accès
• Transmettre les justificatifs dans le délai d’un mois

À éviter

• Mettre en œuvre un traitement sans formalité préalable
• Inscrire des condamnations sans vérifier le cadre légal applicable
• Utiliser le numéro de sécurité sociale sans demande d’avis
• Exploiter les automates d’appels avant saisine de la CNIL
• Laisser sans réponse une demande de régularisation de la CNIL

Les formalités préalables des traitements automatisés

nLes responsables de traitements d’une collectivité territoriale doivent effectuer les formalités prévues par les articles 15 et 17 de la loi n° 78-17 du 6 janvier 1978. La CNIL a relevé l’absence de formalités pour plusieurs traitements municipaux et demandé des demandes d’avis, déclarations simplifiées ou déclarations de suppression selon les cas.n

Le traitement des données relatives aux condamnations

nL’article 30 de la loi n° 78-17 du 6 janvier 1978 réserve, sauf dispositions contraires, le traitement automatisé des informations nominatives relatives aux infractions, condamnations ou mesures de sûreté aux juridictions et autorités publiques agissant dans leurs attributions légales, ainsi qu’à certaines personnes morales sous conditions. La présence de motifs de radiation liés aux condamnations a justifié un examen spécifique.n

Les mesures de sécurité et l’avertissement

nLa CNIL a considéré que les mesures de sécurité protégeant la confidentialité des données étaient insuffisantes. Après vérification sur place, absence de réponse et défaut de régularisation, elle a pris acte d’engagements de mise en conformité et adressé un avertissement au maire sur le fondement de l’article 21, 4°, de la loi n° 78-17 du 6 janvier 1978.

Article 1er de la loi n° 78-17 du 6 janvier 1978, Article 15 de la loi n° 78-17 du 6 janvier 1978, Article 17 de la loi n° 78-17 du 6 janvier 1978, Article 21, 4° de la loi n° 78-17 du 6 janvier 1978, Article 30 de la loi n° 78-17 du 6 janvier 1978, Loi n° 79-18 du 3 janvier 1979, Décret n° 78-774 du 17 juillet 1978