Protection des données personnelles : interdiction du NIR et divulgation des avis de commissions administratives paritaires

Les avis des commissions administratives paritaires, dépourvus de caractère décisionnel, constituent des éléments préparatoires qui ne peuvent être diffusés avant la décision de l’autorité administrative compétente. La collecte de ces informations méconnaît également les obligations de discrétion professionnelle prévues par les articles 33 et 39 du décret n° 82-451 du 28 mai 1982.

La CNIL relève en outre l’absence d’information des personnes concernées, de droit d’accès et de rectification, ainsi qu’une sécurité insuffisante lorsque le seul numéro de sécurité sociale sert de clé d’accès. L’article L. 411-1 du code du travail ne justifie pas une diffusion excédant l’objet légal des syndicats. Les traitements ont donc été jugés non conformes, donnant lieu à un avertissement, à une injonction de cessation et au refus des récépissés.

⬇️Télécharger la décision version officielle

Un autre organisme public exploitait deux services télématiques similaires, dont l’un permettait de formuler des vœux de mutation. Une enseignante avait signalé qu’une demande pouvait être présentée à son insu par un tiers.

Pendant l’instruction, le syndicat a déposé trois déclarations concernant les affectations, mutations et opérations de carrière. Les traitements prévoyaient la diffusion des résultats de commissions administratives paritaires avant les décisions administratives définitives, sans droit d’accès organisé ni sécurité suffisante. La CNIL a constaté plusieurs violations de la loi Informatique et Libertés et a refusé les récépissés.

• Effectuer une déclaration préalable avant toute mise en œuvre
• Obtenir l’autorisation requise pour utiliser le répertoire national d’identification
• Poursuivre une finalité déterminée et légitime
• Collecter loyalement et licitement les informations personnelles
• Respecter la discrétion professionnelle des membres des commissions
• Informer les personnes concernées et organiser leurs droits d’accès et de rectification
• Garantir une sécurité empêchant l’accès des tiers non autorisés

• Plainte signalant le traitement télématique non déclaré du syndicat
• Plainte d’une enseignante concernant une demande de mutation présentée par un tiers
• Courriers de la CNIL informant l’organisme public de l’irrégularité des services
• Trois déclarations ordinaires déposées pendant l’instruction
• Contenu des déclarations mentionnant l’enregistrement et l’utilisation du NIR

• Cessation des services utilisant le NIR sans autorisation
• Fin de la diffusion des avis avant les décisions administratives
• Information de la CNIL sur l’arrêt des traitements irréguliers
• Refus des récépissés des trois déclarations
• Réexamen des accès, de l’information et des droits des personnes

À faire

• Déclarer le traitement avant toute mise en œuvre
• Vérifier l’autorisation réglementaire d’utilisation du NIR
• Informer les personnes concernées de l’existence du fichier
• Organiser les droits d’accès et de rectification
• Renforcer l’authentification et la sécurité des accès

À éviter

• Utiliser le numéro de sécurité sociale comme clé unique
• Diffuser les avis paritaires avant la décision administrative
• Collecter des informations couvertes par la discrétion professionnelle
• Mettre en œuvre un traitement sans déclaration préalable
• Transmettre des données à des tiers non autorisés

Les obligations de déclaration préalable des traitements

La mise en œuvre d’un traitement automatisé d’informations nominatives pour le compte d’une personne privée devait être précédée d’une déclaration à la CNIL en application de l’article 16 de la loi du 6 janvier 1978. Pour les traitements opérés pour le compte de l’État, l’article 15 imposait un acte réglementaire pris après avis motivé de la Commission. Les services concernés avaient été mis en œuvre sans accomplir ces formalités.

L’utilisation du numéro de sécurité sociale

L’article 18 de la loi du 6 janvier 1978 soumettait toute utilisation du répertoire national d’identification des personnes physiques à une autorisation par décret en Conseil d’État après avis de la CNIL. La CNIL a considéré que le simple traitement du NIR constituait une utilisation du répertoire, même sans consultation directe. Aucune habilitation ni projet de décret ne justifiait son emploi, qui n’était pas nécessaire aux finalités poursuivies.

La divulgation des avis des commissions administratives paritaires

Les commissions administratives paritaires ne rendent que des avis, les décisions relevant de l’autorité administrative compétente. Leurs travaux constituent donc des éléments préparatoires qui ne peuvent être diffusés avant ces décisions. Les articles 33 et 39 du décret n° 82-451 du 28 mai 1982 imposaient en outre la non-publicité des séances et la discrétion professionnelle des membres, rendant illicite la collecte et la diffusion des informations communiquées dans ce cadre.