Protection des données : avertissement et arrêt d’un fichier syndical non déclaré

La délibération rappelle qu’un traitement automatisé d’informations nominatives ne peut être mis en œuvre avant la déclaration prévue par l’article 16 de la loi n° 78-17 du 6 janvier 1978. Une déclaration postérieure et non conforme à l’article 19 ne régularise pas la situation, d’autant que le récépissé prévu par l’article 16 n’a pas été délivré conformément à l’article 22 du décret du 17 juillet 1978.

Sur le fond, l’article 29 impose de prendre les précautions utiles pour assurer la sécurité des informations et empêcher leur communication à des tiers non autorisés. La Commission relève un mot de passe trop court et l’absence de blocage après plusieurs erreurs, mesures jugées insuffisantes malgré les corrections ultérieures.

Les articles 30 et 31 interdisent respectivement au syndicat professionnel de traiter certaines informations relatives aux infractions ou mesures de sûreté, ainsi que de conserver des données révélant directement ou indirectement l’origine raciale sans accord exprès. La présence de telles données, ainsi que d’informations portant atteinte à l’intimité de la vie privée, justifie l’intervention de la Commission.

En application de l’article 21, la Commission adresse un avertissement, ordonne l’arrêt immédiat du traitement et subordonne toute reprise à la délivrance d’un récépissé, à la sécurisation du fichier, à la suppression des mentions interdites et à un contrôle préalable. Les articles 41 et 42 prévoient par ailleurs des peines en cas de traitement non déclaré ou réalisé en violation des articles 29, 30 et 31.

⬇️Télécharger la décision version officielle

Un syndicat avait créé un fichier recensant les personnes n’ayant pas réglé leur note, diffusé auprès d’hôteliers affiliés sans déclaration préalable conforme. L’accès était insuffisamment sécurisé et le fichier contenait notamment des données relatives à l’origine raciale, aux infractions et à la vie privée. La CNIL a ordonné l’arrêt immédiat du traitement et subordonné sa reprise à sa mise en conformité.

Un syndicat professionnel a mis en œuvre un traitement automatisé destiné à diffuser, auprès d’hôteliers affiliés, une liste de personnes n’ayant pas réglé leur note. Le traitement a commencé sans déclaration préalable conforme et sans délivrance du récépissé requis.

La base de données était insuffisamment sécurisée : son accès reposait sur un mot de passe de quatre caractères et aucun mécanisme ne limitait les essais successifs erronés. Les mesures correctives adoptées ensuite ont été jugées encore insuffisantes.

Le fichier enregistrait et diffusait également des informations relatives à l’origine raciale, à des infractions ou mesures de sûreté, ainsi que des données susceptibles de porter atteinte à l’intimité de la vie privée. La Commission a adressé un avertissement, ordonné l’arrêt immédiat du traitement et subordonné sa reprise à sa mise en conformité et à un contrôle préalable.

• Déclaration préalable conforme avant la mise en œuvre
• Délivrance du récépissé requis par la réglementation
• Mesures efficaces garantissant la confidentialité des informations
• Accès limité aux seules personnes autorisées
• Suppression des données relatives aux infractions ou mesures de sûreté
• Suppression des données révélant l’origine raciale sans accord exprès
• Contrôle préalable de la mise en conformité

• Constat d’une mise en œuvre sans déclaration préalable
• Absence de récépissé délivré par la Commission
• Mot de passe limité à quatre caractères
• Absence d’interruption après des mots de passe erronés
• Informations détenues par la Commission sur les données enregistrées

Le syndicat doit interrompre immédiatement le traitement et ne peut le reprendre avant sa mise en conformité. La Commission conserve un pouvoir de contrôle préalable sur la sécurité du fichier et la suppression des données interdites.

• Arrêt immédiat du traitement
• Mise en place de mesures de confidentialité effectives
• Suppression des mentions légalement interdites
• Dépôt d’une déclaration conforme
• Obtention du récépissé avant toute reprise
• Soumission aux vérifications de la Commission

À faire

• Interrompre immédiatement le traitement
• Déposer une déclaration conforme
• Renforcer le contrôle des accès
• Supprimer les données interdites
• Obtenir le récépissé avant reprise

À éviter

• Traiter sans déclaration préalable
• Utiliser un mot de passe insuffisant
• Autoriser des essais illimités
• Conserver des données raciales sans accord
• Enregistrer des données relatives aux infractions

La déclaration préalable des traitements automatisés

La mise en œuvre sans déclaration prévue par l’article 16 de la loi n° 78-17 du 6 janvier 1978 est sanctionnée. Une déclaration postérieure, non conforme à l’article 19, et l’absence de récépissé empêchent la régularisation du traitement. La reprise est subordonnée à la délivrance de ce récépissé.

La sécurité des informations nominatives

L’article 29 impose toutes précautions utiles pour préserver la sécurité des informations et empêcher leur communication à des tiers non autorisés. Un mot de passe de quatre caractères et l’absence de blocage après des essais erronés ne garantissent pas un accès limité. Les mesures correctives doivent permettre un contrôle effectif de la confidentialité.

Les données nominatives interdites aux syndicats

L’article 30 n’autorise pas un syndicat professionnel à traiter les informations relatives aux infractions ou mesures de sûreté. L’article 31 interdit, sauf accord exprès de l’intéressé, les données révélant l’origine raciale. Leur présence justifie la suppression des mentions interdites et l’arrêt du traitement.

Loi n° 78-17 du 6 janvier 1978, articles 1, 4, 14, 16, 19, 21, 29, 30, 31, 41, 42 et 43, Décret n° 78-774 du 17 juillet 1978, article 22