L’essentiel
En application de l’article 29 de la loi du 6 janvier 1978, le maître du traitement doit prendre toutes précautions utiles pour assurer la sécurité des informations et empêcher leur communication à des tiers non autorisés. Un accès présenté comme restreint est insuffisant lorsque des défauts techniques permettent une consultation libre par internet ou par les moteurs de recherche.
L’article 17 de la même loi et la norme simplifiée n° 37 limitent les destinataires des données aux personnes intervenant dans la gestion des personnels, aux membres des commissions et à certaines fonctions d’encadrement ou d’inspection. Une organisation syndicale ne peut utiliser ces informations à une autre fin que celle du traitement déclaré, sous peine de relever de l’article 226-21 du code pénal. Le défaut de sécurité peut également relever de l’article 226-17 du même code.
La CNIL a néanmoins retenu un avertissement plutôt qu’une mesure plus sévère, compte tenu de l’intention de mettre en place des mesures de sécurité, de la méconnaissance technique constatée, de la suspension de la diffusion et du renoncement ultérieur à celle-ci.
En résumé
- Avertissement pour diffusion publique de données nominatives insuffisamment sécurisées
- Confidentialité imposée aux séances des commissions administratives paritaires
- Accès restreint inefficace en raison des moteurs de recherche
- Destinataires limités par la finalité du traitement déclaré
- Suspension et renoncement à la diffusion pris en compte
Contexte de l’affaire
Après une première plainte, l’organisation a déclaré son site et annoncé un accès réservé à ses adhérents au moyen d’un mot de passe. La CNIL a clôturé cette première réclamation. Une nouvelle instruction a toutefois révélé que les documents restaient techniquement accessibles à tous, notamment par les moteurs de recherche, et avaient été repris sur le site d’une autre association.
La CNIL a demandé des explications et envisagé l’application de l’article 21-4° de la loi du 6 janvier 1978. L’organisation a suspendu la diffusion, proposé de nouvelles mesures techniques, puis renoncé à publier ces résultats. La CNIL a finalement adressé un avertissement, en relevant une intention de sécurisation mais une mise en œuvre inefficace.
Conditions / critères (ce que le juge vérifie)
- Informations nominatives issues d’un traitement déclaré auprès de la CNIL
- Données communiquées à l’organisation syndicale en raison de sa qualité de membre
- Diffusion à des personnes non autorisées
- Mesures techniques incapables de garantir la confidentialité
- Usage des informations excédant la finalité du traitement
- Prise en compte de la suspension et du renoncement à la diffusion
Preuves retenues (ce qui a fait pencher la décision)
- Listes nominatives publiées sur le site de l’organisation syndicale
- Accessibilité technique des documents par les moteurs de recherche
- Reprise des listes sur le site d’une autre association
- Déclaration du site et engagement d’un accès par mot de passe
- Courriers attestant la suspension puis l’abandon de la diffusion
Conséquences pratiques
- Avertissement formel par la CNIL
- Fin de la diffusion des résultats nominatifs
- Abandon des dispositifs techniques insuffisamment sécurisés
- Risque de qualification au titre des articles 226-17 et 226-21 du code pénal
- Vérification technique préalable de tout accès restreint
Checklist pour Avocats
À faire
- Identifier les données nominatives diffusées
- Vérifier les destinataires autorisés
- Tester l’accès depuis un moteur de recherche
- Sécuriser authentification et contrôle des droits
- Suspendre immédiatement toute publication non maîtrisée
À éviter
- Publier des résultats de commissions en accès libre
- Confondre mot de passe et confidentialité effective
- Utiliser les données à une autre finalité
- Négliger les traces d’indexation en ligne
- Maintenir une diffusion malgré une alerte CNIL
FAQ / Q-R juridiques
La confidentialité des séances des commissions administratives paritaires
Les séances des commissions administratives paritaires ne sont pas publiques et leurs membres sont tenus à la discrétion professionnelle concernant les faits et documents connus dans cette qualité, conformément au décret n° 82-451 du 28 mai 1982. Les propositions nominatives examinées dans ce cadre ne peuvent donc être diffusées au public sur internet par une organisation syndicale.
La sécurité des informations nominatives
L’article 29 de la loi du 6 janvier 1978 impose au maître du traitement de prendre toutes précautions utiles pour empêcher la communication des informations à des tiers non autorisés. Un accès prétendument restreint ne satisfait pas cette exigence lorsque des défauts techniques permettent une consultation libre, notamment par les moteurs de recherche. Les faits peuvent relever de l’article 226-17 du code pénal.
La limitation des finalités et destinataires des données
L’article 17 de la loi du 6 janvier 1978 et la norme simplifiée n° 37 encadrent les destinataires des données issues de la gestion des personnels. Une organisation syndicale, informée en tant que membre d’une commission, ne peut en faire un autre usage. Le détournement de finalité est incriminé par l’article 226-21 du code pénal.
Textes cités
RGPD & protection des données
Approfondir ce sujet :