Déclaration des traitements nominatifs et sécurité des données par une collectivité publique

La CNIL rappelle que les détenteurs de traitements automatisés d’informations nominatives doivent déclarer leurs traitements, conformément aux articles 15 et 16 de la loi n° 78-17 du 6 janvier 1978. Les traitements de paie, de gestion du personnel, de fournisseurs et d’aide sociale mis en œuvre sans déclaration méconnaissent ces obligations.

L’article 27 impose également d’informer les personnes concernées du caractère obligatoire ou facultatif des réponses, des destinataires des informations ainsi que de l’existence des droits d’accès et de rectification. La décision relève en outre l’insuffisance des mesures de sécurité destinées à préserver la confidentialité des données, notamment la sensibilisation du personnel et le contrôle des accès aux systèmes informatiques.

En application de l’article 21, 4° de la loi, la CNIL adresse un avertissement à la collectivité. La prise d’engagements concernant la formation du personnel, la sensibilisation à la sécurité et la révision des procédures de connexion n’efface pas les manquements constatés. La collectivité doit transmettre les dossiers de déclaration dans le délai de quinze jours suivant la notification.

⬇️Télécharger la décision version officielle

Une vérification auprès d’un conseil général a révélé plusieurs traitements nominatifs non déclarés, concernant notamment la paie, les fournisseurs et les bénéficiaires de l’aide sociale. La CNIL a également demandé de renforcer la confidentialité et la sécurité des accès informatiques. La collectivité a annoncé des formations et la révision de ses procédures, puis devait transmettre ses déclarations.

La CNIL a effectué une vérification sur place auprès d’un conseil général, à la suite d’une délibération autorisant cette intervention. Le compte rendu de visite et la réponse du président de la collectivité ont été examinés.

La vérification a révélé la mise en œuvre non déclarée de plusieurs traitements automatisés d’informations nominatives : paie et gestion du personnel, fichier des fournisseurs, fichiers d’allocataires de l’aide sociale générale et à l’enfance, ainsi qu’un fichier protocolaire.

La CNIL a également constaté que les mesures de sécurité protégeant la confidentialité des données devaient être renforcées, notamment par la sensibilisation du personnel et la sécurisation des accès informatiques. La collectivité a annoncé un cycle de formation, une sensibilisation du personnel et la révision des procédures de connexion. Elle devait transmettre ses dossiers de déclaration dans les quinze jours suivant la notification.

• Identifier chaque traitement automatisé d’informations nominatives
• Effectuer une déclaration auprès de la CNIL
• Informer les personnes du caractère obligatoire ou facultatif des réponses
• Préciser les destinataires des informations collectées
• Garantir les droits d’accès et de rectification
• Renforcer la sensibilisation du personnel et les contrôles d’accès

• Compte rendu de la vérification effectuée sur place
• Constat de plusieurs traitements automatisés non déclarés
• Constat d’insuffisances dans les mesures de sécurité informatique
• Réponse de la collectivité annonçant formation et révision des procédures

La collectivité est avertie en raison de traitements non déclarés et de mesures de sécurité insuffisantes. Elle doit régulariser ses déclarations et renforcer l’organisation de la confidentialité des données dans le délai fixé par la CNIL.

• Transmettre les dossiers de déclaration sous quinze jours
• Former et sensibiliser le personnel à la confidentialité
• Réviser les procédures de connexion aux systèmes informatiques
• Renforcer les mesures de contrôle des accès
• Préparer la régularisation de chaque traitement identifié

À faire

• Recenser tous les traitements automatisés nominatifs
• Préparer une déclaration pour chaque traitement
• Informer les personnes sur leurs droits
• Former le personnel à la confidentialité
• Réviser les procédures de connexion

À éviter

• Mettre en œuvre un traitement sans déclaration
• Omettre les destinataires des informations collectées
• Négliger les droits d’accès et de rectification
• Laisser les accès informatiques insuffisamment contrôlés
• Dépasser le délai de quinze jours

Les obligations de déclaration des traitements automatisés

nLes articles 15 et 16 de la loi n° 78-17 du 6 janvier 1978 imposent au détenteur d’un traitement automatisé d’informations nominatives de le déclarer à la CNIL. La mise en œuvre non déclarée de traitements concernant notamment le personnel, les fournisseurs et les allocataires caractérise un manquement justifiant l’intervention de la Commission.n

L’information des personnes sur les données nominatives

nL’article 27 de la loi impose d’informer les personnes concernées du caractère obligatoire ou facultatif des réponses, des destinataires des informations et de l’existence des droits d’accès et de rectification. Cette exigence fait partie des obligations applicables au recueil d’informations nominatives.n

Les mesures de sécurité des données personnelles

nLa confidentialité des données impose des mesures de sécurité suffisantes, notamment la sensibilisation du personnel et la maîtrise des accès aux systèmes informatiques. La Commission a relevé leur insuffisance, tout en prenant en compte les engagements de formation et de révision des procédures de connexion pour adresser un avertissement sur le fondement de l’article 21, 4°.

Article 1 de la loi n° 78-17 du 6 janvier 1978, Articles 15 et 16 de la loi n° 78-17 du 6 janvier 1978, Article 21, 2° et 4° de la loi n° 78-17 du 6 janvier 1978, Article 27 de la loi n° 78-17 du 6 janvier 1978, Loi n° 79-18 du 3 janvier 1979, Décret n° 78-774 du 17 juillet 1978