Traitement illicite de données de bacheliers par un parlementaire non habilité

L’article 5-1-a du RGPD impose que les données à caractère personnel soient traitées de manière licite, loyale et transparente. La CNIL rappelle que l’arrêté du 22 avril 2013 réservait l’accès aux données du traitement OCEAN aux destinataires qu’il habilitait, notamment certains agents des services académiques et des collectivités territoriales participant au service public de l’éducation. Un parlementaire ne peut être assimilé à une collectivité territoriale ni à l’un de ses agents et ne peut donc recevoir ces données sur ce fondement.

La demande de communication, l’enregistrement du fichier, l’utilisation des données pour adresser des courriers et leur destruction ultérieure constituaient un traitement distinct non autorisé. La CNIL retient ainsi un manquement à l’article 5-1-a du RGPD, même lorsque les données avaient été communiquées par un service disposant lui-même d’un accès légitime.

En application du III de l’article 20 de la loi du 6 janvier 1978, la formation restreinte peut prononcer un rappel à l’ordre après une procédure contradictoire. Elle a retenu cette mesure en tenant compte du renouvellement du traitement, du nombre élevé de personnes concernées, de la présence de mineurs et des fonctions publiques exercées. La publicité pendant un an a été jugée justifiée par ces mêmes circonstances.

⬇️Télécharger la décision version officielle

Un rectorat a transmis à une députée un fichier non chiffré contenant les données de 11 856 lycéens, au-delà du périmètre demandé. Le fichier a été utilisé pour un publipostage puis détruit. La CNIL a considéré que la députée n’était pas habilitée à recevoir ni traiter ces données issues du traitement OCEAN et a prononcé un rappel à l’ordre avec publication pendant un an.

Une députée a demandé à un rectorat les coordonnées de lauréats du baccalauréat de sa circonscription afin de leur adresser des courriers de félicitations. Le rectorat lui a transmis par courriel un fichier Excel non chiffré contenant les données de 11 856 lycéens du département, dont les noms, adresses, dates de naissance, établissements et résultats.

Le fichier dépassait le périmètre territorial de la demande. Un membre de l’équipe de la députée a enregistré les données, effectué un publipostage puis détruit le fichier. La transmission et le traitement sont intervenus pour la deuxième année consécutive.

Saisie d’une plainte, la CNIL a instruit le dossier et considéré que la députée n’était pas habilitée à recevoir ni à traiter les données issues du traitement OCEAN. Elle a prononcé un rappel à l’ordre et décidé de publier sa délibération pendant un an, sans identification nominative ultérieure.

• Vérifier le régime juridique applicable au traitement OCEAN
• Identifier les destinataires habilités par l’arrêté du 22 avril 2013
• Établir l’absence d’habilitation du parlementaire
• Qualifier l’enregistrement et l’utilisation du fichier de traitement distinct
• Constater la finalité d’envoi de courriers aux lauréats
• Tenir compte du nombre de personnes et de la présence de mineurs
• Apprécier le renouvellement du traitement et les fonctions publiques exercées

• Fichier Excel transmis par courriel non chiffré
• Échanges entre le collaborateur et les services du rectorat
• Déclarations relatives à l’enregistrement et à la destruction du fichier
• Liste comportant les données de 11 856 lycéens
• Demande limitée à une circonscription et transmission départementale
• Résultats de la mission de vérification menée auprès du rectorat

Le parlementaire a fait l’objet d’un rappel à l’ordre pour traitement illicite de données personnelles. La décision a été rendue publique pendant un an, en raison du volume des données, de la présence de mineurs et de la qualité d’élue.

• Exclusion du parlementaire des destinataires habilités
• Interdiction de traiter les données OCEAN pour son propre compte
• Rappel à l’ordre fondé sur l’article 5-1-a du RGPD
• Prise en compte du renouvellement du traitement
• Publication de la décision pendant un an

À faire

• Vérifier les destinataires autorisés par le texte créant le traitement
• Contrôler l’habilitation de chaque destinataire
• Limiter les données au périmètre précisément demandé
• Documenter la finalité et la base juridique du traitement
• Saisir préalablement le délégué à la protection des données

À éviter

• Transmettre un fichier global faute de temps
• Assimiler un parlementaire à une collectivité territoriale
• Réutiliser les données pour une finalité non autorisée
• Envoyer des données personnelles par courriel non chiffré
• Conserver ou traiter un fichier sans habilitation

La licéité des destinataires des données du traitement OCEAN

L’article 3 de l’arrêté du 22 avril 2013 habilitait certains agents des services académiques et, sous conditions, des collectivités territoriales participant au service public de l’éducation. Un parlementaire ne pouvait être assimilé à une collectivité territoriale ni à l’un de ses agents. Il ne pouvait donc être destinataire des données issues du traitement OCEAN.

Le traitement distinct par une personne non habilitée

La formation restreinte a considéré que l’enregistrement du fichier, l’utilisation des données pour l’envoi de courriers et leur destruction constituaient un traitement distinct. La personne concernée n’étant pas habilitée à recevoir ces données, ce traitement méconnaissait l’article 5-1-a du RGPD, qui impose un traitement licite, loyal et transparent.

Les critères du rappel à l’ordre et de sa publicité

Sur le fondement du III de l’article 20 de la loi du 6 janvier 1978, la CNIL a prononcé un rappel à l’ordre. Elle a retenu le renouvellement du traitement, les données de 11 856 personnes, la présence de mineurs et les fonctions publiques exercées pour justifier cette mesure et sa publicité pendant un an.

Article 5-1-a du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978