Protection des données sociales : avertissement pour utilisation syndicale détournée d’un fichier de prestations

L’article 29 de la loi n° 78-17 du 6 janvier 1978 impose à toute personne ordonnant ou réalisant un traitement d’informations nominatives de prendre les précautions utiles pour préserver leur sécurité et empêcher leur communication à des tiers non autorisés. L’article 44 réprime le détournement d’informations de leur finalité.

La Commission relève qu’un fichier de prestations d’assurance maladie et mutualiste, dont la finalité ne prévoyait pas la transmission des noms et adresses aux organisations syndicales, a servi à éditer des étiquettes destinées à un envoi syndical. Le responsable du traitement a reconnu l’insuffisance de ses précautions, tandis que le syndicat a reconnu l’utilisation détournée du fichier.

Sur le fondement de l’article 21, alinéa 4, de la même loi, la Commission adresse un avertissement au responsable du traitement et au syndicat. La décision illustre la responsabilité distincte du détenteur du fichier, tenu d’en garantir la sécurité et la finalité, et de l’utilisateur qui détourne les données à des fins étrangères au traitement autorisé.

⬇️Télécharger la décision version officielle

Un fichier de prestations sociales et mutualistes, soumis à la CNIL sur la base d’un modèle national, a été utilisé pour éditer des étiquettes destinées à un syndicat préparant une élection professionnelle. Cette utilisation n’était pas prévue par le traitement et les précautions nécessaires n’avaient pas été prises. La Commission a adressé un avertissement au responsable du traitement et au syndicat.

Un responsable d’un traitement de prestations de sécurité sociale et mutualiste avait soumis ce traitement à la Commission nationale de l’informatique et des libertés, qui avait rendu un avis favorable sur la base d’un modèle national.

Le traitement ne prévoyait pas que les organisations syndicales puissent recevoir les noms et adresses des assurés sociaux. Pourtant, le fichier de prestations a été utilisé pour éditer des étiquettes-adresses servant à l’envoi de courriers émanant d’un syndicat dans le cadre de la préparation d’une élection professionnelle.

Les investigations et l’examen des plaintes ont établi cette utilisation. Le responsable du traitement a reconnu ne pas avoir pris suffisamment de précautions pour garantir le respect de la finalité du fichier. Le syndicat a également reconnu avoir utilisé et détourné les données. La Commission a adressé un avertissement aux deux intervenants.

• Existence d’un traitement d’informations nominatives
• Finalité autorisée ne prévoyant pas la transmission aux syndicats
• Utilisation effective du fichier pour une communication syndicale
• Absence de précautions suffisantes pour préserver la sécurité
• Détournement des informations de leur finalité initiale
• Reconnaissance des manquements par les intervenants concernés

• Demandes d’avis et modèle national du traitement
• Examen des plaintes reçues par la Commission
• Investigations de la Commission
• Étiquettes-adresses éditées à partir du fichier de prestations
• Reconnaissance du responsable du traitement
• Reconnaissance du syndicat

Le responsable du traitement est averti pour n’avoir pas suffisamment protégé la finalité de son fichier. Le syndicat est également averti pour avoir utilisé les données à une fin étrangère au traitement autorisé.

• Avertissement du responsable du traitement
• Avertissement du syndicat
• Renforcement des précautions de sécurité du fichier
• Interdiction de transmettre noms et adresses hors finalité autorisée
• Contrôle des extractions et éditions d’étiquettes

À faire

• Définir précisément la finalité du fichier
• Limiter les accès aux données nominatives
• Contrôler les extractions et éditions d’adresses
• Vérifier les destinataires autorisés
• Documenter les mesures de sécurité adoptées

À éviter

• Utiliser le fichier pour une finalité syndicale étrangère
• Transmettre les noms et adresses aux syndicats
• Éditer des étiquettes sans contrôle préalable
• Négliger les précautions de sécurité
• Réutiliser les données hors traitement autorisé

La sécurité des informations nominatives

L’article 29 de la loi n° 78-17 du 6 janvier 1978 impose de prendre toutes précautions utiles pour préserver la sécurité des informations et empêcher leur communication à des tiers non autorisés. La Commission retient l’insuffisance des précautions reconnue par le responsable du traitement, malgré l’utilisation du fichier pour une finalité étrangère à celle prévue.

Le détournement de finalité des fichiers

L’article 44 de la loi n° 78-17 du 6 janvier 1978 vise le détenteur d’informations qui les détourne de leur finalité lors de leur enregistrement, transmission ou traitement. Le fichier de prestations ne pouvait prévoir la transmission des noms et adresses aux organisations syndicales. Son utilisation pour un envoi syndical caractérise le détournement.

Le pouvoir d’avertissement de la Commission

Sur le fondement de l’article 21, alinéa 4, de la loi du 6 janvier 1978, la Commission adresse un avertissement au responsable du traitement et au syndicat. La mesure tient compte des manquements reconnus de chacun : absence de précautions suffisantes pour l’un, utilisation détournée du fichier pour l’autre.

Article 21, alinéa 4, de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 44 de la loi n° 78-17 du 6 janvier 1978, Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés