Détournement d’un fichier de prestations sociales et sécurité des traitements nominatifs

La Commission nationale de l’informatique et des libertés rappelle que l’article 29 de la loi n° 78-17 du 6 janvier 1978 impose à toute personne ordonnant ou réalisant un traitement d’informations nominatives de prendre les précautions utiles pour garantir la sécurité des données et empêcher leur communication à des tiers non autorisés. L’article 44 de cette loi sanctionne également le détournement d’informations de leur finalité.

La Commission constate qu’un fichier de prestations d’assurance maladie et mutualistes a servi à éditer des étiquettes destinées à l’envoi d’un document syndical. Un tel traitement ne pouvait prévoir la transmission des noms et adresses des assurés aux organisations syndicales. Elle retient, d’une part, l’insuffisance des précautions prises par le responsable du traitement et, d’autre part, le détournement de finalité imputable au syndicat. Des avertissements sont prononcés sur le fondement de l’article 21, alinéa 4, de la loi précitée.

⬇️Télécharger la décision version officielle

Un fichier de prestations d’assurance maladie a été utilisé pour adresser à des salariés un courrier syndical relatif à la privatisation d’un service industriel. La CNIL a constaté une insuffisance de protection du fichier et un détournement de finalité, le traitement ne prévoyant pas la transmission de coordonnées aux organisations syndicales. Elle a prononcé un avertissement contre le responsable du traitement et le syndicat.

Le responsable d’un traitement de prestations de sécurité sociale et mutualistes avait déposé une demande d’avis auprès de la Commission nationale de l’informatique et des libertés, en se référant à un modèle national approuvé par celle-ci.

Un fichier de prestations d’assurance maladie a ensuite été utilisé pour éditer des étiquettes comportant les noms et adresses d’assurés sociaux. Ces étiquettes ont servi à adresser aux domiciles de salariés un courrier syndical relatif à la privatisation d’un service de traitement industriel des résidus urbains.

Saisie de plaintes, la Commission a constaté que le traitement ne prévoyait pas que les organisations syndicales puissent recevoir les coordonnées des assurés. Elle a relevé une insuffisance des mesures de protection du fichier par le responsable du traitement et un détournement de finalité par le syndicat, puis a prononcé un avertissement à l’encontre de chacun.

• Existence d’un traitement d’informations nominatives
• Détermination d’une finalité précise du fichier
• Communication des coordonnées à des tiers non autorisés
• Absence de précautions suffisantes pour préserver la finalité
• Utilisation des données pour une finalité syndicale distincte
• Établissement des faits par plaintes et investigations

• Demande d’avis relative au traitement de prestations sociales
• Modèle national approuvé par la Commission
• Résultats de l’examen des plaintes
• Investigations de la Commission
• Étiquettes-adresses éditées depuis le fichier « prestations »
• Courrier syndical adressé aux domiciles des salariés

Le responsable du traitement reçoit un avertissement pour ne pas avoir suffisamment protégé la finalité du fichier. Le syndicat reçoit également un avertissement pour avoir utilisé les coordonnées issues du fichier de prestations à une finalité distincte.

• Avertissement administratif au responsable du traitement
• Avertissement administratif au syndicat
• Constat d’une insuffisance des précautions de sécurité
• Qualification d’un détournement de finalité
• Interdiction de transmettre les coordonnées à des organisations syndicales

À faire

• Définir précisément la finalité du fichier
• Limiter les destinataires aux personnes autorisées
• Contrôler les extractions de coordonnées
• Tracer l’édition des étiquettes-adresses
• Vérifier la conformité des usages avant tout envoi

À éviter

• Utiliser un fichier social pour une finalité syndicale
• Communiquer les coordonnées à des tiers non autorisés
• Réutiliser les données sans contrôle de finalité
• Négliger les précautions de sécurité
• Éditer des adresses sans habilitation vérifiée

La sécurité des informations nominatives

L’article 29 de la loi n° 78-17 du 6 janvier 1978 impose de prendre toutes précautions utiles pour empêcher la déformation, la détérioration ou la communication des informations à des tiers non autorisés. La Commission retient l’insuffisance des précautions prises par le responsable du traitement, dont le fichier a permis l’utilisation des coordonnées à une fin non prévue.

Le détournement de finalité des données

L’article 44 de la loi n° 78-17 sanctionne le détenteur d’informations qui les détourne de leur finalité lors de leur enregistrement, transmission ou traitement. L’utilisation du fichier de prestations pour l’envoi d’un document syndical constitue un tel détournement, le traitement n’autorisant pas la transmission des coordonnées aux organisations syndicales.

Les conditions de l’avertissement administratif

Sur le fondement de l’article 21, alinéa 4, de la loi n° 78-17, la Commission adresse un avertissement au responsable du traitement pour défaut de précaution et au syndicat pour détournement de finalité.

Article 21, alinéa 4, de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 44 de la loi n° 78-17 du 6 janvier 1978