La Commission nationale de l’informatique et des libertés, Saisie de réclamations relatives à la diffusion sur internet de la liste des propositions de titularisations, promotions ou mutations des surveillants de l’administration pénitentiaire examinées lors des commissions administratives paritaires ; Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, pris ensemble le décret n° 78-774 du 17 juillet 1978 modifié ; Vu le décret n° 82-451 du 28 mai 1982 relatif aux commissions administratives paritaires ; Vu la délibération de la Commission nationale de l’informatique et des libertés n° 87-25 du 10 février 1987 fixant le règlement intérieur de la CNIL, et notamment son article 54 ; Vu le courrier adressé par la CNIL à X le 19 septembre 2003, et les observations reçues en réponse ; Après avoir entendu Monsieur Patrick DELNATTE, commissaire, en son rapport, et Madame Charlotte Marie PITRAT, commissaire du Gouvernement, en ses observations ; FORMULE LES OBSERVATIONS SUIVANTES Le 25 octobre 2001, la CNIL a été saisie d’une plainte relative à la diffusion, sur le site internet de l’Union X – syndicat de personnels de l’administration pénitentiaire – des propositions de titularisations, promotions ou mutations des surveillants de l’administration pénitentiaire examinées lors de la commission administrative paritaire d’octobre 2001. Il ressort du décret n° 82-451 du 28 mai 1982 relatif aux commissions administratives paritaires que « les séances des commissions administratives paritaires ne sont pas publiques » et que « les membres des commissions administratives sont soumis à l’obligation de discrétion professionnelle en ce qui concerne tous les faits et documents dont ils ont eu connaissance en cette qualité ». Dès lors, les propositions de titularisations, promotions ou mutations des surveillants de l’administration pénitentiaire examinées lors des commissions administratives paritaires ne peuvent être régulièrement diffusées au public sur internet par une organisation syndicale. Sur demande de la CNIL, X a effectué, le 19 mars 2002, conformément aux dispositions de l’article 16 de la loi du 6 janvier 1978, la déclaration de son site internet et s’est engagée à ménager un accès restreint aux résultats des commissions administratives paritaires mises en ligne sur son site, l’accès à ces informations étant réservé aux seuls membres de l’administration pénitentiaire adhérents de X, après communication d’un mot de passe. La CNIL, estimant que cette diffusion en accès restreint n’appelait pas d’observation au regard des dispositions de la loi du 6 janvier 1978, a procédé à la clôture de la plainte le 7 août 2002. Le 27 mars 2003, la CNIL a été à nouveau saisie de faits similaires, concernant la diffusion de nouveaux résultats de commissions administratives paritaires, sur le site internet d’une association. L’instruction de cette nouvelle réclamation a permis d’établir que les responsables de ce site internet avaient pu se procurer les listes en cause, sur le site internet de X, puis les avaient diffusées sur son propre site. Les informations mises en ligne par X sur son site internet, auxquelles l’accès aurait dû être restreint comme cette organisation syndicale l’avait indiqué dans la déclaration de son site internet, étaient, techniquement, librement accessibles sur internet, grâce notamment aux moteurs de recherche. X, saisie par la CNIL sur ce point, a indiqué, dans un courrier du 8 juillet 2003 qu’elle suspendait la diffusion des résultats des commissions administrative paritaires et a proposé la mise en place de nouvelles mesures techniques relatives à l’accès restreint à ces documents. Les nouvelles propositions de X ne permettant pas de garantir la confidentialité des informations mises en ligne et mettant en évidence une méconnaissance du fonctionnement d’internet et des moteurs de recherche, la CNIL a, le 19 septembre 2003, adressé un courrier à cette organisation lui demandant de faire valoir ses observations sur ce dossier, la Commission envisageant de faire application de l’article 21-4° de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. X a indiqué en réponse renoncer à la diffusion sur son site internet des résultats des commissions administratives paritaires. Il ressort de l’instruction de cette plainte par la CNIL que la mise en ligne des résultats de commissions administratives paritaires effectuée par X sur son site internet, initialement en accès libre, puis en accès restreint mais sans que des précautions suffisantes aient été prises, a eu pour effet de porter à la connaissance du public des informations nominatives concernant les propositions de titularisations, promotions ou mutations des surveillants de l’administration pénitentiaire examinées lors des commissions administratives paritaires. Or, l’article 29 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés prévoit que le maître du traitement s’engage « vis-à-vis des personnes concernées, à prendre toutes précautions utiles afin de préserver la sécurité des informations et notamment d’empêcher qu’elles ne soient déformées, endommagées ou communiquées à des tiers non autorisés ». Le non-respect de ces dispositions est puni par l’article 226-17 du code pénal de cinq ans d’emprisonnement et de 300.000 euros d’amende. Les informations nominatives en cause sont par ailleurs issues d’un traitement automatisé ayant fait l’objet d’une déclaration auprès de la CNIL par la direction de l’administration pénitentiaire du ministère de la justice. Cette déclaration, effectuée en application de l’article 17 de la loi du 6 janvier 1978, par référence à la norme simplifiée n° 37 (délibération de la CNIL n° 93-021 du 2 mars 1993), relative à la gestion des personnels de l’Etat, concerne un traitement ayant la finalité suivante « système de gestion automatisée et de préparation des commissions administratives paritaires ». La norme simplifiée n° 37, à laquelle la déclaration fait référence, prévoit que peuvent seuls être destinataires éventuels des informations enregistrées, les agents chargés des opérations administratives et comptables concernant les intéressés, les agents responsables de la gestion des personnels en cause et les membres des commissions administratives et techniques, les supérieurs hiérarchiques des intéressés et les membres des services d’inspection. X, en tant qu’organisation syndicale, est membre des commissions administratives paritaires, et a, à ce seul titre, eu connaissance des propositions de mutations. Cette organisation syndicale ne pouvait pas en faire un quelconque autre usage, sans encourir les sanctions prévues l’article 226-21 du code pénal qui incrimine le fait de « par toute personne détentrice d’informations nominatives à l’occasion de leur enregistrement, de leur classement, de leur transmission ou de toute autre forme de traitement, de détourner ces informations de leur finalité telle que définie par (…) les déclarations préalables à la mise en oeuvre de ce traitement, est puni de cinq ans d’emprisonnement et de 300.000 euros d’amende ». Si les faits imputables à X paraissent susceptibles de constituer les infractions prévues par les articles 226-17 et 226-21 du code pénal, il ressort de deux arrêts du Conseil d’Etat en date du 27 octobre 1999 et du 30 juillet 2003 que la CNIL conserve la possibilité, même lorsqu’elle estime qu’une infraction est constituée, d’apprécier si les faits dont elle a connaissance lui paraissent suffisamment établis et s’ils portent une atteinte suffisamment caractérisée aux dispositions dont elle a pour mission d’assurer l’application. Or, les éléments recueillis au cours de l’instruction de ce dossier montrent que X a bien eu l’intention de prendre les mesures de sécurité requises, mais qu’à la suite d’une méconnaissance technique d’internet, ces mesures n’ont pas été efficaces. Les termes des courriers adressés par X à la CNIL attestent d’une telle méconnaissance. X indique en outre suspendre toute diffusion des résultats des commissions administratives paritaires. Dans ces conditions, un avertissement à l’Union X est la mesure appropriée. DECIDE, faisant application des dispositions de l’article 21.4° de la loi du 6 janvier 1978, d’adresser à cet effet un AVERTISSEMENT à l’Union X, dont le siège est situé […].

Le Président,

Michel GENTOT