Sécurité des données nominatives et diffusion syndicale des résultats de commissions administratives paritaires

La diffusion sur internet de propositions nominatives de titularisation, promotion ou mutation examinées par une commission administrative paritaire méconnaît les exigences de confidentialité attachées à ces séances. Le décret n° 82-451 du 28 mai 1982 impose la non-publicité des séances et la discrétion professionnelle des membres concernant les faits et documents connus dans cette fonction.

En application de l’article 29 de la loi du 6 janvier 1978, le maître du traitement doit prendre toutes précautions utiles pour assurer la sécurité des informations et empêcher leur communication à des tiers non autorisés. Un accès présenté comme restreint est insuffisant lorsque des défauts techniques permettent une consultation libre par internet ou par les moteurs de recherche.

L’article 17 de la même loi et la norme simplifiée n° 37 limitent les destinataires des données aux personnes intervenant dans la gestion des personnels, aux membres des commissions et à certaines fonctions d’encadrement ou d’inspection. Une organisation syndicale ne peut utiliser ces informations à une autre fin que celle du traitement déclaré, sous peine de relever de l’article 226-21 du code pénal. Le défaut de sécurité peut également relever de l’article 226-17 du même code.

La CNIL a néanmoins retenu un avertissement plutôt qu’une mesure plus sévère, compte tenu de l’intention de mettre en place des mesures de sécurité, de la méconnaissance technique constatée, de la suspension de la diffusion et du renoncement ultérieur à celle-ci.

⬇️Télécharger la décision version officielle

Une organisation syndicale a publié sur internet des listes nominatives concernant des agents pénitentiaires, malgré la mise en place annoncée d’un accès réservé aux adhérents. Les documents restaient accessibles par les moteurs de recherche et avaient été repris ailleurs. Après leur retrait et l’abandon de leur publication, la CNIL a adressé un avertissement, jugeant les mesures de sécurisation initiales inefficaces.

Une organisation syndicale membre de commissions administratives paritaires a publié sur son site internet des listes nominatives de propositions de titularisations, promotions ou mutations concernant des surveillants de l’administration pénitentiaire.

Après une première plainte, l’organisation a déclaré son site et annoncé un accès réservé à ses adhérents au moyen d’un mot de passe. La CNIL a clôturé cette première réclamation. Une nouvelle instruction a toutefois révélé que les documents restaient techniquement accessibles à tous, notamment par les moteurs de recherche, et avaient été repris sur le site d’une autre association.

La CNIL a demandé des explications et envisagé l’application de l’article 21-4° de la loi du 6 janvier 1978. L’organisation a suspendu la diffusion, proposé de nouvelles mesures techniques, puis renoncé à publier ces résultats. La CNIL a finalement adressé un avertissement, en relevant une intention de sécurisation mais une mise en œuvre inefficace.

• Informations nominatives issues d’un traitement déclaré auprès de la CNIL
• Données communiquées à l’organisation syndicale en raison de sa qualité de membre
• Diffusion à des personnes non autorisées
• Mesures techniques incapables de garantir la confidentialité
• Usage des informations excédant la finalité du traitement
• Prise en compte de la suspension et du renoncement à la diffusion

• Listes nominatives publiées sur le site de l’organisation syndicale
• Accessibilité technique des documents par les moteurs de recherche
• Reprise des listes sur le site d’une autre association
• Déclaration du site et engagement d’un accès par mot de passe
• Courriers attestant la suspension puis l’abandon de la diffusion

L’organisation syndicale reçoit un avertissement en raison de la divulgation de données nominatives et de mesures d’accès inefficaces. La suspension puis l’abandon de la publication ont été pris en compte dans l’appréciation de la réponse de la CNIL.

• Avertissement formel par la CNIL
• Fin de la diffusion des résultats nominatifs
• Abandon des dispositifs techniques insuffisamment sécurisés
• Risque de qualification au titre des articles 226-17 et 226-21 du code pénal
• Vérification technique préalable de tout accès restreint

À faire

• Identifier les données nominatives diffusées
• Vérifier les destinataires autorisés
• Tester l’accès depuis un moteur de recherche
• Sécuriser authentification et contrôle des droits
• Suspendre immédiatement toute publication non maîtrisée

À éviter

• Publier des résultats de commissions en accès libre
• Confondre mot de passe et confidentialité effective
• Utiliser les données à une autre finalité
• Négliger les traces d’indexation en ligne
• Maintenir une diffusion malgré une alerte CNIL

La confidentialité des séances des commissions administratives paritaires

Les séances des commissions administratives paritaires ne sont pas publiques et leurs membres sont tenus à la discrétion professionnelle concernant les faits et documents connus dans cette qualité, conformément au décret n° 82-451 du 28 mai 1982. Les propositions nominatives examinées dans ce cadre ne peuvent donc être diffusées au public sur internet par une organisation syndicale.

La sécurité des informations nominatives

L’article 29 de la loi du 6 janvier 1978 impose au maître du traitement de prendre toutes précautions utiles pour empêcher la communication des informations à des tiers non autorisés. Un accès prétendument restreint ne satisfait pas cette exigence lorsque des défauts techniques permettent une consultation libre, notamment par les moteurs de recherche. Les faits peuvent relever de l’article 226-17 du code pénal.

La limitation des finalités et destinataires des données

L’article 17 de la loi du 6 janvier 1978 et la norme simplifiée n° 37 encadrent les destinataires des données issues de la gestion des personnels. Une organisation syndicale, informée en tant que membre d’une commission, ne peut en faire un autre usage. Le détournement de finalité est incriminé par l’article 226-21 du code pénal.

Article 16 de la loi n° 78-17 du 6 janvier 1978, Article 17 de la loi n° 78-17 du 6 janvier 1978, Article 21-4° de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 226-17 du Code pénal, Article 226-21 du Code pénal