Fichier nominatif révélant des opinions politiques : avertissement de la CNIL pour collecte illicite et défaut de sécurité

La Commission qualifie le fichier de traitement automatisé d’informations nominatives révélant les opinions politiques des personnes recensées. Sa mise en œuvre aurait dû faire l’objet d’une demande d’avis préalable auprès de la CNIL, qui n’a pas été présentée. La collecte d’opinions politiques méconnaît l’article 31, alinéa 3, de la loi du 6 janvier 1978, tandis que l’absence d’autorisation réglementaire spécifique fait obstacle à la conservation de telles données.

La Commission relève également l’insuffisance des mesures de sécurité destinées à empêcher la communication du fichier à des tiers non autorisés : son envoi postal ne comportait aucune précaution particulière et identifiait clairement son origine. Le défaut de demande d’avis, la collecte illicite et les carences de sécurité n’étant pas contestés, ces manquements sont imputés aux responsables de la direction générale, de la direction régionale et au concepteur du fichier.

La destruction ultérieure du fichier et le vol dénoncé au parquet ne font pas disparaître les irrégularités initiales. La Commission retient néanmoins, au regard de ces manquements, un avertissement adressé au responsable de l’organisation des services, sur le fondement notamment des articles 15, 21, 29 et 31 de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Un document administratif recensait les noms et adresses de 791 personnes, certaines étant qualifiées selon leurs opinions ou engagements politiques. Constitué sans formalités préalables, ce traitement automatisé révélait des opinions politiques et avait été transmis sans mesures de sécurité suffisantes. La CNIL a également relevé l’identification possible de son origine et a adressé un avertissement au responsable de l’organisation des services.

Lors d’une mission de contrôle, un document provenant d’une administration a été remis à la CNIL. Il recensait les noms et adresses de 791 personnes, certaines présentées comme susceptibles de soutenir une organisation, d’autres qualifiées de sympathisants ou de séparatistes corses.

Une enquête administrative a établi que le document constituait un traitement automatisé révélant les opinions politiques des personnes concernées. Le fichier avait été conçu par un responsable local, sans demande d’avis préalable à la CNIL ni autorisation de l’autorité hiérarchique compétente. Les données avaient été transmises sans mesures suffisantes de sécurité et le courrier permettait d’identifier son origine.

L’administration a indiqué que le fichier avait été constitué dans un contexte de violences et qu’il avait été détruit après un vol à main armée. La CNIL a toutefois retenu la mise en œuvre irrégulière du traitement, la collecte illicite d’opinions politiques et l’insuffisance des mesures de sécurité, puis a adressé un avertissement au responsable de l’organisation des services.

• Qualifier le fichier de traitement automatisé d’informations nominatives.
• Constater l’absence de demande d’avis préalable à la CNIL.
• Établir que les données révèlent les opinions politiques des personnes.
• Vérifier l’absence d’autorisation réglementaire requise.
• Constater l’insuffisance des mesures de sécurité.
• Imputer les manquements aux responsables de la conception et de l’organisation.

• Document recensant les noms et adresses de 791 personnes.
• Rapport de l’inspection générale communiqué à la Commission.
• Entretiens avec les responsables de l’administration concernée.
• Analyse fonctionnelle adressée à la sous-direction compétente.
• Modalités d’envoi postal sans précaution particulière.

Le responsable de l’organisation des services reçoit un avertissement en raison de la mise en œuvre irrégulière du traitement. Les responsables administratifs et le concepteur du fichier sont concernés par les manquements relatifs à l’avis préalable, à la collecte des opinions politiques et à la sécurité des données.

• Avertissement adressé au responsable de l’organisation.
• Constat d’irrégularité malgré la destruction ultérieure du fichier.
• Imputation des carences aux responsables de la conception et de la transmission.
• Renforcement nécessaire de la confidentialité des envois.
• Contrôle préalable des formalités avant tout nouveau traitement.

À faire

• Identifier les données révélant des opinions politiques.
• Présenter la demande d’avis préalable à la CNIL.
• Vérifier l’autorisation réglementaire applicable.
• Formaliser les responsabilités de conception et d’organisation.
• Sécuriser tout envoi à des destinataires autorisés.

À éviter

• Constituer un fichier avant l’accomplissement des formalités.
• Collecter des opinions politiques sans fondement autorisé.
• Transmettre un fichier sans précautions de confidentialité.
• Identifier ostensiblement l’origine sensible des documents.
• Considérer la destruction du fichier comme régularisation.

La demande d’avis préalable des traitements automatisés

nLa mise en œuvre du fichier, conçu puis constitué sans demande d’avis présentée à la CNIL, est irrégulière. L’absence de cette formalité constitue l’un des manquements retenus par la Commission, avec l’absence d’autorisation de l’autorité hiérarchique compétente.n

La collecte des opinions politiques

nLe fichier faisait apparaître les opinions politiques des personnes recensées. La Commission constate que l’autorité concernée n’était pas autorisée par un décret en Conseil d’État pris sur avis conforme de la CNIL à mettre en mémoire de telles données, en méconnaissance de l’article 31, alinéa 3, de la loi du 6 janvier 1978.n

La sécurité des informations nominatives

nLes mesures destinées à empêcher la communication à des tiers non autorisés étaient insuffisantes. L’envoi postal n’avait fait l’objet d’aucune précaution particulière et mentionnait clairement l’origine administrative des documents. Cette carence, imputée aux responsables concernés, justifie avec les autres manquements l’avertissement prononcé.

Article 15 de la loi n° 78-17 du 6 janvier 1978, Article 21 de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 31 de la loi n° 78-17 du 6 janvier 1978