Protection des fichiers nominatifs contre leur utilisation à des fins politiques incompatibles

La décision rappelle le principe de finalité des traitements automatisés posé par l’article 5 b de la Convention du Conseil de l’Europe du 28 janvier 1981 : les données doivent être enregistrées pour des finalités déterminées et légitimes et ne peuvent être utilisées de manière incompatible avec celles-ci.

L’article 29 de la loi n° 78-17 du 6 janvier 1978 impose à toute personne ordonnant ou effectuant un traitement d’informations nominatives de prendre les précautions utiles pour préserver la sécurité des informations, notamment empêcher leur communication à des tiers non autorisés.

La Commission retient que l’utilisation vraisemblable du fichier et du matériel d’un conseil départemental de l’ordre pour adresser une invitation à une manifestation politique, au bénéfice d’un organisme tiers non autorisé, méconnaît ces obligations. L’erreur de secrétariat alléguée ne fait pas disparaître le manquement. Ces circonstances justifient un avertissement adressé au président de l’organisme responsable du fichier.

⬇️Télécharger la décision version officielle

Un fichier et du matériel appartenant à un conseil départemental de l’ordre des médecins avaient vraisemblablement été utilisés pour adresser aux médecins une invitation à une manifestation politique. La CNIL a estimé que le fichier avait ainsi été employé pour une finalité différente de celle prévue, au profit d’un organisme tiers non autorisé, et a adressé un avertissement au président du conseil départemental.

La Commission nationale de l’informatique et des libertés a été saisie d’une plainte concernant l’envoi, par un centre départemental de professions de santé, d’un courrier invitant des médecins à une manifestation politique.

L’instruction a fait ressortir que le matériel et le fichier d’un conseil départemental de l’ordre des médecins avaient vraisemblablement été utilisés pour cette opération. Le fichier aurait ainsi servi à une finalité différente de celle pour laquelle il avait été créé, au profit d’un organisme tiers non autorisé.

La Commission a considéré que cette utilisation, même résultant d’une éventuelle erreur de secrétariat, justifiait l’envoi d’un avertissement au président du conseil départemental de l’ordre des médecins.

• Existence d’un traitement automatisé de données à caractère personnel
• Finalité initiale déterminée et légitime du fichier
• Utilisation du fichier pour une finalité incompatible
• Bénéfice de l’utilisation à un organisme tiers non autorisé
• Insuffisance des précautions de sécurité des informations
• Circonstances justifiant un avertissement au responsable concerné

• Plainte relative à l’envoi d’un courrier politique
• Pièces du dossier examinées pendant l’instruction
• Explications fournies lors de l’instruction
• Utilisation vraisemblable du matériel du conseil ordinal
• Utilisation vraisemblable du fichier du conseil ordinal

Le responsable du fichier doit empêcher toute utilisation étrangère à la finalité déclarée et toute communication à un tiers non autorisé. Une erreur matérielle ou de secrétariat n’écarte pas la responsabilité attachée au respect des obligations de sécurité et de finalité.

• Avertissement adressé au président de l’organisme
• Rappel des obligations de finalité du traitement
• Renforcement du contrôle des accès au fichier
• Interdiction des utilisations politiques étrangères à la finalité
• Prévention des communications à des organismes tiers

À faire

• Définir précisément la finalité du fichier
• Limiter les accès aux personnes autorisées
• Tracer les utilisations et extractions de données
• Contrôler tout envoi réalisé depuis le fichier
• Former le secrétariat aux règles de sécurité

À éviter

• Utiliser le fichier pour une finalité politique
• Transmettre les données à un organisme tiers
• Confondre erreur de secrétariat et absence de responsabilité
• Permettre l’accès sans habilitation préalable
• Envoyer un courrier sans vérifier sa finalité

La finalité déterminée des traitements automatisés

L’article 5 b de la Convention du Conseil de l’Europe du 28 janvier 1981 impose que les données soient enregistrées pour des finalités déterminées et légitimes et ne soient pas utilisées de manière incompatible avec ces finalités. La Commission retient que l’emploi d’un fichier ordinal pour une invitation à une manifestation politique constituait une utilisation étrangère à sa finalité initiale.

La sécurité des informations nominatives

L’article 29 de la loi n° 78-17 du 6 janvier 1978 oblige la personne ordonnant ou effectuant le traitement à prendre toutes précautions utiles pour préserver la sécurité des informations et empêcher leur communication à des tiers non autorisés. L’utilisation du fichier au bénéfice d’un organisme tiers méconnaît cette obligation.

L’avertissement lié à une utilisation irrégulière

La Commission considère que les circonstances de l’utilisation irrégulière justifient un avertissement au président du conseil départemental de l’ordre. L’éventuelle erreur de secrétariat ne neutralise pas les obligations de finalité et de sécurité applicables au traitement.

Article 5 b de la Convention du Conseil de l’Europe du 28 janvier 1981, Article 29 de la loi n° 78-17 du 6 janvier 1978