Protection des données : la CNIL sanctionne la minimisation insuffisante et les habilitations excessives

La formation restreinte retient la responsabilité de l’établissement, qui déterminait les finalités et les moyens des traitements liés aux commissions de classement, au sens de l’article 4, point 7, du RGPD. Elle lui impute les manquements constatés dans plusieurs unités opérationnelles, malgré l’existence de règles internes et d’actions de sensibilisation.

Le traitement distinct du nombre de jours de grève dans les fichiers d’évaluation méconnaît les articles 5, paragraphe 1, c), et 5, paragraphe 2, du RGPD. Le nombre total d’absences pouvait être pris en compte, mais le motif de l’absence n’était ni nécessaire ni pertinent pour apprécier les performances professionnelles. Le responsable devait également garantir effectivement la purge des données excédentaires.

Sur le fondement de l’article 32 du RGPD, la CNIL sanctionne une politique d’habilitation donnant accès à des données dépassant les besoins des utilisateurs, ainsi que l’accès collectif à des fichiers préparatoires contenant les données de nombreux agents. Des profils différenciés, un cloisonnement par unité et une limitation des extractions étaient requis.

La persistance des manquements, leur ampleur et la sensibilité des données justifient une amende de 400 000 euros et la publicité de la décision. La mesure est prononcée sur le fondement de l’article 20 de la loi du 6 janvier 1978 et de l’article 83 du RGPD.

⬇️Télécharger la décision version officielle

Des fichiers préparatoires à des commissions de classement mentionnaient le nombre de jours de grève des agents, alors que seules les indisponibilités pouvaient être prises en compte sans distinction de motif. La CNIL a également relevé un accès trop large aux données dans l’outil de gestion et sur un serveur partagé. Elle a prononcé une amende de 400 000 euros et ordonné la publicité de sa décision.

Un établissement public industriel et commercial organisait chaque année des commissions de classement destinées à proposer l’avancement de conducteurs de bus. Des fichiers préparatoires étaient constitués dans plusieurs unités opérationnelles à partir de données relatives notamment à l’activité, aux absences et à l’évaluation professionnelle.

À la suite d’une plainte syndicale et d’une notification de violation de données, la CNIL a contrôlé les traitements. Elle a constaté que certains fichiers individualisaient le nombre de jours de grève sur plusieurs années, alors que les règles applicables autorisaient seulement la prise en compte des indisponibilités sans distinction de motif. Elle a également relevé que l’outil de gestion permettait à des utilisateurs habilités de consulter et d’extraire les données de nombreux agents, sans cloisonnement suffisant.

Des fichiers préparatoires étaient en outre accessibles sur un serveur à des responsables d’équipe n’ayant pas tous besoin de connaître les données concernées. La CNIL a retenu plusieurs manquements au RGPD, prononcé une amende administrative de 400 000 euros et ordonné la publicité de sa décision, avec anonymisation ultérieure de l’établissement.

• Déterminer les finalités et moyens des traitements d’évaluation.
• Limiter les données aux catégories nécessaires à l’avancement.
• Ne pas individualiser les motifs d’absence sans nécessité démontrée.
• Garantir effectivement la purge des données excessives.
• Restreindre les accès et extractions au besoin d’en connaître.
• Adapter les profils d’habilitation aux fonctions et unités.
• Mettre en place des mesures organisationnelles et techniques effectives.

• Fiches du registre des activités de traitement.
• Fichiers Excel contenant les onglets relatifs aux jours de grève.
• Constatations des contrôles sur place dans plusieurs centres.
• Configuration de l’outil permettant l’extraction globale des données.
• Accès serveur des responsables d’équipe aux fichiers préparatoires.

L’établissement supporte une amende de 400 000 euros et la publicité de la sanction en raison de manquements multiples et persistants. Il doit revoir ses fichiers d’évaluation, ses durées de conservation et ses habilitations afin de limiter l’accès aux seules données nécessaires.

• Exclusion des motifs d’absence non nécessaires à l’évaluation.
• Cloisonnement des accès par fonction et unité opérationnelle.
• Limitation des extractions aux données strictement utiles.
• Contrôle effectif de la purge et des onglets masqués.
• Documentation et supervision renforcées des mesures RGPD.

À faire

• Inventorier les données présentes dans chaque fichier d’évaluation.
• Supprimer les motifs d’absence non nécessaires.
• Créer des profils d’habilitation différenciés.
• Limiter les accès aux agents concernés.
• Journaliser et contrôler les extractions de données.

À éviter

• Individualiser les jours de grève dans les évaluations.
• Conserver des onglets masqués contenant des données excessives.
• Autoriser un accès transversal sans justification fonctionnelle.
• Partager les fichiers complets sur un serveur commun.
• Se fier uniquement aux règles internes non contrôlées.

La minimisation des données dans les fichiers d’évaluation

Le nombre total de jours d’absence pouvait être pris en compte, mais l’individualisation des jours de grève ne l’était pas. La formation restreinte a considéré que le motif de l’absence n’était ni nécessaire ni pertinent pour évaluer les performances, au regard de l’article 5, paragraphe 1, c), et de l’obligation de responsabilité prévue à l’article 5, paragraphe 2, du RGPD.

Les habilitations fondées sur le besoin d’en connaître

L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées afin de garantir la confidentialité. La formation restreinte a retenu un manquement lorsque les utilisateurs pouvaient consulter et extraire l’ensemble des données, sans distinction selon leurs fonctions ou leur unité. Elle a également jugé disproportionné l’accès permanent des responsables d’équipe à des fichiers concernant des agents qui ne relevaient pas tous de leur responsabilité.

Les critères de l’amende administrative

La pluralité, la persistance et la gravité des manquements, le nombre important de personnes concernées, la sensibilité des données, les mesures correctrices et la situation financière de l’organisme ont été pris en compte conformément à l’article 83 du RGPD. Ces éléments ont justifié une amende de 400 000 euros et la publicité de la décision.

Article 4, point 7, du règlement (UE) 2016/679, Articles 5, paragraphes 1 c), 1 e) et 2, du règlement (UE) 2016/679, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 30 du règlement (UE) 2016/679, Article 32 du règlement (UE) 2016/679, Article 40 du décret n° 2019-536 du 29 mai 2019, Article L. 1324-7 du code des transports, Article R. 3243-4 du code du travail, Article 83 du règlement (UE) 2016/679, Article 89, paragraphe 1, du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978