Protection des données communales : avertissement de la CNIL pour traitements non déclarés et accès illicite

La CNIL rappelle que les traitements automatisés d’informations nominatives doivent faire l’objet des formalités préalables prévues par les articles 15 et 16 de la loi n° 78-17 du 6 janvier 1978. La mairie avait informatisé plusieurs fichiers sans déclaration ni demande d’avis, malgré une relance de la Commission.

La décision relève également la conservation, à l’insu des intéressés, d’une liste d’abstentionnistes, information assimilable à une opinion politique au sens de l’article 31. Elle constate aussi que la police municipale n’était pas habilitée à consulter le fichier national des cartes grises, au regard des règles résultant du Code de procédure pénale et de la loi du 24 juin 1970.

Les formulaires d’aide sociale méconnaissaient l’article 27, faute d’informer les personnes sur le caractère obligatoire ou facultatif des réponses, les destinataires et les droits d’accès et de rectification. Les mesures de sécurité étaient en outre insuffisantes au regard de l’article 29.

En application de l’article 21-4° de la loi n° 78-17, la CNIL adresse un avertissement au maire. La régularisation ultérieure de plusieurs traitements est prise en compte, tandis que la suppression de la fonction de recensement des abstentions est demandée.

⬇️Télécharger la décision version officielle

La CNIL a constaté qu’une mairie exploitait plusieurs traitements non déclarés, dont une application recensant les abstentionnistes, information révélatrice d’une opinion politique. La police municipale consultait aussi illicitement le fichier des cartes grises, tandis que les formulaires d’aide sociale et les mesures de sécurité étaient insuffisants. La mairie a engagé des régularisations et prévu de supprimer la fonction litigieuse.

La mairie avait mis en œuvre depuis 1976 plusieurs traitements automatisés concernant la paie du personnel, les listes électorales, un fichier protocolaire et les permis de construire, sans déclaration préalable auprès de la CNIL.

Le contrôle a révélé que l’application électorale recensait notamment les abstentionnistes, à l’insu des intéressés. Cette information a été assimilée à une opinion politique. Des agents de la police municipale interrogeaient également le fichier national des cartes grises, alors qu’ils ne figuraient pas parmi les autorités habilitées.

Les formulaires de demande d’aide sociale ne comportaient pas les informations légalement requises. La CNIL a aussi considéré que les mesures de sécurité protégeant les données étaient insuffisantes. Après le contrôle, la mairie a transmis plusieurs dossiers de déclaration et indiqué vouloir supprimer la fonction relative aux abstentions.

• Existence de traitements automatisés d’informations nominatives.
• Absence de déclaration ou de demande d’avis préalable auprès de la CNIL.
• Collecte ou conservation des données à l’insu des personnes concernées.
• Révélation d’une opinion politique sans accord exprès de l’intéressé.
• Accès à un fichier réservé aux autorités habilitées.
• Défaut d’information conforme aux prescriptions de l’article 27.
• Mesures de sécurité insuffisantes pour garantir la confidentialité.

• Compte rendu de la visite effectuée à la mairie.
• Recensement CNIL des traitements communaux non déclarés.
• Informations observées dans l’application des listes électorales.
• Constat du contrôle préfectoral sur les consultations du fichier des cartes grises.
• Examen des formulaires de demande d’aide sociale.
• Déclarations et demandes d’avis transmises après le contrôle.

La mairie reçoit un avertissement et doit régulariser les traitements concernés. Elle doit également supprimer la fonction recensant les abstentions, renforcer la confidentialité et mettre fin aux accès non habilités aux fichiers administratifs.

• Déclarer les traitements ou solliciter les avis requis.
• Supprimer la fonction « liste des abstentions ».
• Réserver les fichiers aux seuls destinataires habilités.
• Compléter les formulaires d’aide sociale conformément à l’article 27.
• Renforcer les mesures de sécurité et de confidentialité.
• Conserver les justificatifs des démarches de régularisation.

À faire

• Recenser tous les traitements automatisés nominatifs.
• Déposer les déclarations ou demandes d’avis nécessaires.
• Supprimer la fonction recensant les abstentionnistes.
• Vérifier les habilitations d’accès aux fichiers externes.
• Mettre à jour les formulaires et mesures de sécurité.

À éviter

• Exploiter un traitement sans formalité préalable.
• Conserver des données politiques sans accord exprès.
• Autoriser la police municipale à consulter le fichier des cartes grises.
• Omettre l’information sur les droits des personnes.
• Communiquer des données à des tiers non autorisés.

Les formalités préalables des traitements automatisés

nLes articles 15 et 16 de la loi n° 78-17 imposent une déclaration ou une demande d’avis pour les traitements automatisés d’informations nominatives. La mise en œuvre de plusieurs fichiers communaux sans formalité, malgré une relance de la CNIL, justifie l’intervention de cette dernière.n

La conservation de données révélant une opinion politique

nL’article 31 interdit, sauf accord exprès de l’intéressé, la mise ou conservation en mémoire informatisée de données faisant apparaître notamment des opinions politiques. La liste des abstentionnistes, gérée à l’insu des personnes concernées, a été assimilée à une telle opinion ; sa suppression a été demandée.n

L’habilitation d’accès aux fichiers administratifs

nLa police municipale n’était pas mentionnée parmi les destinataires habilités du fichier des cartes grises. La CNIL en déduit, au regard du Code de procédure pénale et de la loi du 24 juin 1970, que ses agents ne pouvaient pas le consulter.

Article 1 de la loi n° 78-17 du 6 janvier 1978, Articles 15 et 16 de la loi n° 78-17 du 6 janvier 1978, Article 21-4° de la loi n° 78-17 du 6 janvier 1978, Article 25 de la loi n° 78-17 du 6 janvier 1978, Article 27 de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 31 de la loi n° 78-17 du 6 janvier 1978, Loi n° 79-18 du 3 janvier 1979, Loi du 24 juin 1970 concernant la centralisation de la documentation relative à la circulation routière