Sécurité des fichiers de personnel et interdiction du détournement de finalité

La transmission d’extraits d’un fichier de gestion du personnel à un organisme destinataire peut être admise lorsqu’elle poursuit la finalité de gestion des œuvres sociales prévue par le statut applicable. En revanche, l’utilisation ultérieure des données pour diffuser une publication étrangère à cette finalité est susceptible de caractériser un détournement de finalité sanctionné par l’article 44 de la loi n° 78-17 du 6 janvier 1978.

L’article 29 de cette loi impose au responsable du traitement et au destinataire de prendre les précautions nécessaires pour préserver la sécurité des informations nominatives et empêcher leur communication à des tiers non autorisés. La CNIL retient ici la responsabilité respective des organismes ayant accès au fichier, indépendamment de la finalité initialement licite de la transmission.

La décision prononce un avertissement public et invite les organismes responsables et destinataires à renforcer leurs mesures de sécurité. Elle rappelle également à l’éditeur et au directeur de publication l’interdiction d’utiliser un fichier pour une finalité différente de celle déclarée à la Commission.

⬇️Télécharger la décision version officielle

Un fichier informatique de gestion du personnel a servi à diffuser à des cadres une revue éditée par un organisme de publication. La CNIL a relevé que des informations transmises pour la gestion des œuvres sociales avaient été utilisées à une autre fin, par des organismes non autorisés. Elle a adressé un avertissement public aux responsables et rappelé l’interdiction d’utiliser des fichiers pour des finalités non déclarées.

À l’occasion d’élections de représentants salariés au conseil d’administration d’une entreprise, des cadres ont reçu à leur domicile une revue éditée par un organisme de publication.

L’enquête de la Commission nationale de l’informatique et des libertés, fondée notamment sur les documents transmis par les plaignants et les déclarations recueillies, a établi qu’un fichier informatique de gestion du personnel avait servi à diffuser cette publication.

L’employeur communiquait des extraits de ce fichier à un organisme chargé de la gestion des œuvres sociales, conformément au statut du personnel. Ces informations ont toutefois été utilisées pour une diffusion étrangère à cette finalité. La Commission a considéré que cette transmission à des organismes non autorisés pouvait constituer un détournement de finalité et que les organismes responsables et destinataires devaient assurer la sécurité des données. Elle leur a adressé un avertissement public et a rappelé à l’éditeur ainsi qu’au directeur de publication l’interdiction d’utiliser les fichiers à des fins non déclarées.

• Existence d’un fichier informatique contenant des informations nominatives
• Communication d’extraits à un organisme destinataire
• Finalité initiale limitée à la gestion des œuvres sociales
• Utilisation ultérieure pour une finalité étrangère à cette destination
• Communication possible à des organismes non autorisés
• Obligation pour responsables et destinataires de préserver la sécurité

• Documents transmis par les plaignants
• Déclarations recueillies au cours de l’enquête
• Extraits du fichier de gestion du personnel
• Éléments établissant la diffusion de la publication aux domiciles

Les organismes responsables et destinataires du fichier doivent renforcer la sécurité des informations nominatives et empêcher tout accès ou usage non autorisé. L’éditeur et le directeur de publication doivent respecter la finalité déclarée du fichier, sous peine d’exposition à la qualification de détournement de finalité.n

• Avertissement public des organismes responsables et destinataires
• Adoption de précautions de sécurité adaptées
• Contrôle des accès aux extraits du fichier
• Interdiction des usages étrangers à la finalité déclarée
• Rappel de la responsabilité liée à la diffusion de données nominatives

À faire

• Définir précisément la finalité du fichier
• Limiter les extractions aux données nécessaires
• Contrôler les habilitations des destinataires
• Tracer les transmissions d’informations nominatives
• Renforcer les mesures de sécurité applicables

À éviter

• Utiliser le fichier pour une publication non déclarée
• Transmettre des données à des tiers non autorisés
• Confondre gestion sociale et diffusion éditoriale
• Négliger les précautions imposées par l’article 29
• Permettre un usage différent de la finalité déclarée

Le détournement de finalité des fichiers nominatifs

nL’utilisation d’extraits d’un fichier de gestion du personnel pour diffuser une publication étrangère à la gestion des œuvres sociales est susceptible de constituer le délit de détournement de finalité prévu par l’article 44 de la loi n° 78-17 du 6 janvier 1978. La finalité initialement licite de la communication ne couvre pas cet usage distinct.n

Les obligations de sécurité des responsables et destinataires

nL’article 29 de la loi n° 78-17 impose à l’employeur et à l’organisme destinataire, dans le cadre de leurs attributions respectives, de prendre toutes les précautions nécessaires pour préserver les informations nominatives et empêcher leur communication à des tiers non autorisés.n

Les mesures correctrices prononcées par la CNIL

nLa Commission adresse un avertissement public aux organismes responsables et destinataires du fichier et les invite à adopter des mesures de sécurité. Elle rappelle parallèlement à l’éditeur et au directeur de publication l’interdiction d’utiliser un fichier pour une finalité différente de celle déclarée.

Article 21, 4° et 6°, de la loi n° 78-17 du 6 janvier 1978, Article 29 de la loi n° 78-17 du 6 janvier 1978, Article 32 de la loi n° 78-17 du 6 janvier 1978, Article 42 de la loi n° 78-17 du 6 janvier 1978, Article 43 de la loi n° 78-17 du 6 janvier 1978, Article 44 de la loi n° 78-17 du 6 janvier 1978