La Commission Nationale de l’Informatique et des Libertés,

Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;

Vu l’article 9 du code civil ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l’Informatique, aux fichiers et aux libertés, et notamment ses articles 16, 18, 21-4, 25, 26 et 29 ;

Vu le décret n° 78-774 du 17 juillet 1978 pris pour l’application de la loi du 6 Janvier 1978 susvisée ;

Vu la plainte n° 91-0389 déposée à la CNIL le 28 février 1991 par Z ;

Vu la plainte n° 90-2023 déposée à la CNIL le 28 novembre 1990 par une enseignante concernant le service télématique « […] » mis en oeuvre par Y ;

Vu les déclarations ordinaires n° 912.731, 912.732 et 912.733 déposées par le syndicat X ; Après avoir entendu Monsieur Marcel PINET en son rapport et Madame Charlotte-Marie PITRAT, Commissaire du Gouvernement en ses observations ;

Considérant que Z, syndicat d’enseignants, a déposé le 28 février 1991 une plainte à la Commission Nationale de l’Informatique et des Libertés concernant la mise en oeuvre par le syndicat X d’un traitement automatisé de données nominatives n’ayant pas fait l’objet d’une déclaration à la Commission et relatif aux promotions et aux mutations des personnels enseignants du second degré, ces données étant recueillies à l’issue des réunions des commissions administratives paritaires ; que ce traitement est accessible par Minitel grâce au service télématique 36-15 […] à partir du numéro de sécurité sociale des membres des personnels intéressés et concerne l’ensemble des enseignants du second degré sans distinction selon la qualité d’adhérent ou non au syndicat ;

Considérant qu’à l’occasion de l’instruction de la plainte sus-mentionnée, la Commission Nationale de l’Informatique et des Libertés a constaté l’existence d’un service télématique accessible par Minitel (service 36-15 […]), développé depuis plusieurs années par Y ; que ce traitement accessible par le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) concerne l’ensemble du personnel enseignant du second degré ; qu’il permet d’avoir connaissance des promotions et mutations des personnels à la suite des réunions des commissions administratives paritaires ; que la CNIL a adressé les 11 avril et 21 mai 1991 un courrier à Y faisant état de la connaissance par la Commission du service 36-15 […] accessible par le NIR et non déclaré à la Commission ; Considérant que le 28 novembre 1990 la Commission Nationale de l’Informatique et des Libertés a été saisie d’une plainte émanant d’une enseignante dans l’académie de […] mettant en cause un autre traitement automatisé, dénommé « […] », mis en oeuvre par Y, permettant par la voie du Minitel de formuler des voeux de mutation par le personnel enseignant, système également accessible par l’intermédiaire du numéro de sécurité sociale ; que cette enseignante se plaignait de ce qu’une demande de mutation à son nom avait pû être présentée à son insu par un tiers utilisant ce système ; que le rectorat de l’académie de […] puis Y ont été saisi de cette plainte par courriers en date respectivement du 11 mars 1991 et du 21 mai 1991 ;

Considérant enfin que pendant l’instruction de la plainte dirigée contre lui, le syndicat X a déposé notamment trois déclarations ordinaires correspondant aux traitements dénoncés par la plainte et concernant respectivement les affectations et mutations académiques, les mutations nationales, et les opérations de gestion des carrières des enseignants du second degré ; En ce qui concerne la plainte n° 91-0389 dirigée contre le syndicat X :

Sur le non-respect des obligations de déclaration préalable

Considérant qu’en application de l’article 16 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, les traitements automatisés d’informations nominatives effectués pour le compte de personnes autres que celles qui sont soumises aux dispositions de l’article 15 doivent, préalablement à leur mise en oeuvre, être déclarés auprès de la Commission Nationale de l’Informatique et des Libertés ; que la déclaration comporte l’engagement que le traitement satisfait aux exigences de la loi ; que même lorsqu’il a reçu le récépissé de la Commission l’autorisant à mettre en oeuvre le traitement, le déclarant n’est exonéré d’aucune de ses responsabilités ;

Considérant que X a mis en oeuvre le service télématique 36-15 […] sans aucune déclaration préalable auprès de la Commission Nationale de l’Informatique et des Libertés ; que c’est par le dépôt d’une plainte d’une autre organisation syndicale que la Commission a eu connaissance de ce traitement automatisé d’informations nominatives ; que cette mise en oeuvre est dès lors effectuée en violation de l’article 16 précité ;

Sur l’utilisation du numéro de sécurité sociale

Considérant qu’en application de l’article 18 de la loi du 6 janvier 1978, toute utilisation du répertoire national d’identification des personnes physiques en vue d’effectuer des traitements nominatifs, est autorisée par décret en Conseil d’Etat pris après avis de la Commission Nationale de l’Informatique et des Libertés ; que X n’a présenté à la Commission aucune demande d’utilisation du répertoire ; qu’aucun texte de nature législative ou réglementaire n’habilite X à opérer une telle utilisation sans l’accomplissement des formalités prévues par l’article 18 ;

Considérant, qu’ainsi, l’utilisation par X du numéro de sécurité sociale est faite en violation de l’article 18 précité ; En ce qui concerne les traitements mis en oeuvre par Y :

Sur le non-respect des obligations de déclaration préalable

Considérant qu’en application de l’article 15 de la loi du 6 janvier 1978, hormis les cas où ils doivent être autorisés par la loi, les traitements automatisés d’informations nominatives opérés pour le compte de l’Etat sont décidés par un acte réglementaire pris après avis motivé de la Commission Nationale de l’Informatique et des Libertés ; qu’il ne peut être passé outre à un avis défavorable de la Commission que par décret pris sur avis conforme du Conseil d’Etat ; que Y met en oeuvre le service télématique […] à l’égard des personnels enseignants du second degré et le service télématique […] sans les avoir déclarés à la Commission ; qu’ainsi le service télématique […] dans ses applications relatives aux enseignants du second degré et le service télématique […] ne sont pas conformes aux dispositions de la loi du 6 janvier 1978 ; Sur l’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques

Considérant qu’en application de l’article 18 de la loi du 6 janvier 1978, toute utilisation du répertoire national d’identification des personnes physiques en vue d’effectuer des traitements nominatifs est autorisée par décret en Conseil d’Etat pris après avis de la Commission ;

Considérant que la procédure de l’article 18 de la loi du 6 janvier 1978 n’a pas été respectée par Y s’agissant des deux services télématiques susdésignés, alors au surplus que celui-ci était informé de la position négative de la Commission Nationale de l’Informatique et des Libertés à l’égard des services télématiques accessibles par le NIR, un traitement similaire relatif aux instituteurs ayant été déclaré à la Commission en 1988 après que Y ait renoncé à utiliser ce numéro sur demande de la Commission ; que dès lors l’utilisation dudit numéro par les services télématiques […] méconnaît à la fois les dispositions de la loi du 6 janvier 1978 et les positions exprimées auparavant à Y sur ce point par la Commission ;

Sur les dispositions relatives à la sécurité

Considérant que l’utilisation du NIR comme clé d’accès aux services télématiques mis en cause ne permet pas en outre, d’assurer une protection suffisante des informations personnelles engagées, ainsi qu’en témoigne la plainte ci-dessus analysée émanant de l’enseignante de l’académie de […] ; En ce qui concerne les déclarations ordinaires n° 912.731, 912.732 et 912.733 déposées par X :

Considérant que les trois traitements décrits par les déclarations ci-dessus désignées correspondent aux traitements déjà mis en oeuvre de façon contraire aux dispositions de la loi du 6 janvier 1978 comme il a été dit précédemment ; que les traitements visés par ces déclarations sont présentés comme ayant pour objet, d’une part de permettre aux élus du syndicat membres des commissions administratives paritaires de mieux exercer leurs responsabilités, d’autre part, de permettre aux enseignants du second degré d’être informés des résultats des travaux des commissions administratives paritaires dès leur achèvement, soit en interrogeant par Minitel le service 36-15 […], accessible par indication de son numéro de sécurité sociale par l’enseignant, soit en présentant une demande par courrier, téléphone ou télégramme, l’un quelconque de ces modes d’informations donnant lieu à l’envoi par courrier d’un duplicata de la fiche individuelle de l’enseignant ; que les déclarations précisent que les informations enregistrées par les traitements comportent en particulier le numéro de sécurité sociale des enseignants et sont issues de la communication qui en est faite par l’administration aux élus du personnel dans le cadre de la gestion paritaire des opérations de mutations et de gestion des personnels organisée par le statut général de la fonction publique de l’Etat ;

Considérant qu’aux termes de l’article L 411-1 du code du travail, « les syndicats professionnels ont exclusivement pour objet l’étude et la défense des droits ainsi que des intérêts matériels et moraux, tant collectifs qu’individuels, des personnes visées par leur statut » ; Sur les finalités des traitements déclarés

Considérant que les données à caractère personnel faisant l’objet d’un traitement automatisé ne peuvent être enregistrées que pour des finalités déterminées et légitimes ;

Considérant qu’en l’espèce, les données enregistrées portent sur les conclusions des travaux des commissions administratives paritaires appelées à émettre un avis sur les mutations et les opérations de gestion des carrières des personnels du second degré ; que la finalité des traitements est de permettre aux membres des commissions administratives paritaires de porter à la connaissance des personnes intéressées les résultats de ces travaux aussitôt qu’ils sont achevés, ces personnes pouvant par ailleurs elles-mêmes interroger directement un service télématique sur ces résultats ;

Considérant qu’en vertu de la loi n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l’Etat, et du décret n° 82-451 du 28 mai 1982 modifié, relatif aux commissions administratives paritaires, celles-ci sont appelées à émettre de simples avis sur les questions individuelles dont elles ont à connaître ; que les résultats de leurs travaux ne présentent donc pas le caractère de décisions susceptibles d’exécution et que notamment les mutations et opérations de gestion des carrières ne peuvent découler que des décisions prises par l’autorité administrative compétente, ainsi préalablement informée des avis émis par les commissions administratives paritaires ; que, par suite, les résultats des travaux de ces commissions, simples éléments de caractère préparatoire dans le cadre d’une procédure complexe d’élaboration des décisions administratives, ne sont pas de nature à donner lieu à une divulgation avant l’intervention des décisions de l’autorité administrative ; qu’il n’appartient donc pas à X d’assurer la diffusion des résultats des travaux des commissions administratives paritaires, malgré la circonstance que certains de ses membres siègent dans ces dernières comme représentants élus des personnels ; Sur la collecte des informations enregistrées par les traitements déclarés :

Considérant que les données enregistrées dans un traitement automatisé doivent être obtenues loyalement et licitement ;

Considérant d’une part, que les déclarations susvisées mentionnent que les données enregistrées proviennent des informations contenues dans les documents fournis par Y aux responsables du syndicat X siégeant dans les commissions administratives paritaires en qualité de membres élus par les personnels intéressés ; mais que l’article 33 du décret n° 82-451 du 28 mai 1982 modifié précité dispose que « les séances des commissions administratives paritaires ne sont pas publiques » et que l’article 39 du même décret précise dans son dernier alinéa que « les membres des commissions administratives sont soumis à l’obligation de discrétion professionnelle en ce qui concerne tous les faits et documents dont ils ont eu connaissance en cette qualité » ; que c’est en violation de l’obligation de discrétion professionnelle ainsi instituée et donc de manière non licite que les traitements déclarés par le syndicat X enregistrent des informations communiquées ou acquises à l’occasion des travaux des commissions administratives paritaires ; Considérant d’autre part, que les traitements déclarés se proposent d’enregistrer des informations nominatives concernant la totalité des personnes concernées par les mouvements des personnels et les opérations de gestion des carrières ; que de la sorte, en violation de la loi, ces données seraient enregistrées à l’insu de ces personnes, alors que toute personne doit pouvoir connaître l’existence d’un fichier de données à caractère personnel la concernant afin d’être en mesure d’user du droit que lui reconnaît la loi de s’opposer à ce que des informations nominatives la concernant fassent l’objet d’un traitement ;

Sur l’exercice du droit d’accès et la sécurité des traitements

Considérant d’une part, que les traitements déclarés ne prévoient pas, en violation de la loi, pour les personnes dont les données nominatives sont enregistrées un droit d’accès à ces données et n’organisent pas les conditions d’exercice de ce droit d’accès et du droit de rectification qui en découle ;

Considérant d’autre part, que l’utilisation du seul numéro de sécurité sociale comme clé d’accès aux traitements déclarés n’offre pas une sécurité suffisante de nature à garantir que des informations nominatives relatives à une personne ne puissent pas être communiquées à des tiers non autorisés ; Sur l’utilisation du numéro de sécurité sociale

Considérant que le numéro de sécurité sociale est à la fois une des données nominatives enregistrées par les traitements déclarés et la clé d’accès aux services télématiques communiquant les données enregistrées ; que l’enregistrement et l’utilisation du numéro de sécurité sociale apparaissent ainsi comme constituant un élément déterminant des traitements déclarés ;

Considérant qu’en application de l’article 18 de la loi du 6 janvier 1978, toute utilisation du répertoire national d’identification des personnes physiques en vue d’effectuer des traitements nominatifs est autorisée par décret en Conseil d’Etat, pris après avis de la Commission Nationale de l’Informatique et des Libertés ; que le traitement du numéro d’inscription au répertoire, en dehors même de toute consultation directe du répertoire, doit être regardé comme une utilisation dudit répertoire au sens de l’article 18 précité et doit être en connaissance autorisé par décret en Conseil d’Etat ; Considérant, d’une part, que les déclarations susvisées ne comportent aucun projet de décret en Conseil d’Etat autorisant cette utilisation ni même aucune lettre demandant à Y d’élaborer un tel projet ; qu’aucune disposition de nature législative ou réglementaire n’autorise X à utiliser le numéro de sécurité sociale en dispense de l’application de l’article 18 de la loi du 6 janvier 1978 ;

Considérant, d’autre part, que les traitements en cause ne justifient pas l’enregistrement et l’utilisation du numéro de sécurité sociale ; qu’en effet, ces traitements ne sont en aucune façon relatifs à une matière impliquant l’établissement de relations avec des organismes de protection sociale, de retraite ou de prévoyance ; Sur la conformité des traitements déclarés aux exigences de la loi

Considérant qu’il résulte de ce qui précède que les traitements déclarés ne satisfont pas aux exigences de la loi, contrairement aux prescriptions de la loi du 6 janvier 1978 ; – Décide d’adresser un avertissement, en application des dispositions de l’article 21-4 de la loi du 6 janvier 1978, au secrétaire général du syndicat X, – Invite Y à se conformer strictement aux dispositions de la loi du 6 janvier 1978, – Demande au secrétaire général du syndicat X et à Y de faire connaître à la Commission dans les meilleurs délais qu’il a été mis fin à la mise en oeuvre des traitements fonctionnant en méconnaissance de la loi, – Décide de ne pas délivrer les récépissés des déclarations ordinaires n° 912-731, 912-732 et 912-733 déposées par le syndicat X.

Jacques FAUVET