AgentPublic/cnil huggingface dataset:
Le projet de décret encadre la gestion du dossier individuel des agents publics sur support électronique, c’est à dire l’ensemble des " opérations de collecte, de référencement, de gestion de cycle de vie des documents, de consultation, de modification, d’exploitation, de conservation, de transfert, de suppression ou d’effacement des documents, et de versement au titre des archives " (article 3).
Il identifie quatre principes essentiels à la mise en œuvre de la dématérialisation, à savoir :
- le basculement progressif du support papier vers le support électronique : le projet de décret établit qu’un arrêté, ou une décision, pris par l’autorité administrative concernée après avis du comité technique compétent définira " une date à compter de laquelle toute nouvelle pièce versée au dossier ne peut l’être que sous format électronique " (article 4) ; 
- la transparence du processus de dématérialisation : il existe une obligation d’informer les agents des conditions de mise en œuvre de la dématérialisation du dossier sur support électronique et des modalités pratiques d’exercice de leurs droits ;
- le droit d’accès de l’agent public à son dossier individuel sur support électronique : les conditions d’exercice du droit de consultation des documents joints au dossier sous format électronique se conforment aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée en 2004 (articles 10 à 13).
- l’unicité du contenu informationnel : une même pièce du dossier de l’agent existera uniquement sur support électronique ou bien sur support papier (article 1er).
 
Concernant le basculement progressif du support papier vers le support électronique, la Commission relève avec intérêt qu’à compter d’une date fixée par arrêté, ou par décision, de l’autorité administrative ou territoriale mettant en œuvre la dématérialisation, toute nouvelle pièce versée au dossier ne pourra l’être " que sous format électronique " (article 4 du projet de décret).
 
Sur ce point, la Commission
 a pris acte que le dispositif mis en place doit " permettre aux administrations qui le souhaitent de ne pas se limiter aux nouveaux dossiers (flux), mais de procéder également à la dématérialisation de dossiers existants (stock), en tout ou en partie ". 
 
En outre, le traitement des données du dossier individuel de l’agent " peut être établi et géré, en tout ou partie, sur support électronique " (article 1er alinéa 2 du projet de décret). 
 
Ainsi, " l'objectif à moyen terme est bien de dématérialiser chaque dossier dans sa totalité, et non de conserver deux supports ".
 
Sur les données traitées
 
L’article 1er alinéa 1 du projet de décret précise que le dossier individuel de l’agent public est composé des " documents qui intéressent la situation administrative de l’agent et sont essentiels au suivi de son évolution professionnelle ".
Conformément à l’article 1er du projet de décret, les documents susceptibles de figurer dans le dossier de l’agent public sur support électronique feront l’objet d’une nomenclature cadre établie par arrêté du ministre de la Fonction publique.
 
Les catégories de données concernées seront notamment relatives à l’état civil des personnes, à leur situation familiale, à leur situation militaire, au recrutement de l’agent ou à sa titularisation (titulaire/non titulaire ; recrutement contractuel handicapé), à leur changement de position statutaire ou à leur réintégration (détachement " sortant ", détachement " entrant ", mise à disposition " sortant ", mise à disposition " entrant ", disponibilité, congé parental, hors cadre, réintégration), au cumul d’emploi public et de création d’entreprise, au cumul d’activité, au changement de modalités de temps de travail, à la gestion des congés et absences, à l’évaluation, à la notation et à l’avancement d’échelon, à la promotion, à la mutation ou à l’affectation de l’agent, à la gestion des compétences, à la discipline, à la cessation de fonction, aux services publics et aux activités privées, aux distinctions honorifiques, aux accidents de service. 
 
Les documents relatifs à la paie, notamment le bulletin de paie, ne constituent pas des éléments "intéressant la situation administrative" de l'agent et n'ont pas à figurer dans les dossiers individuels.
Par ailleurs, la Commission relève que le dossier individuel de l’agent est susceptible de comporter certaines données sensibles au sens de l’article 8 de la loi du 6 janvier 1978 modifiée dans la mesure où ces dernières sont susceptibles de figurer sur des pièces justificatives à l’appui de demandes spécifiques (exemples : certificats médicaux, dans le cas de congés maladie) ou encore dans le cadre de son dossier disciplinaire.
 
Elle souligne également que certaines des informations figurant dans le dossier individuel des agents publics seront collectées et stockées à titre obligatoire (certains renseignements relatifs à l'état civil et à la situation de famille, au recrutement, au déroulement de carrière et à la cessation de fonctions), tandis que d’autres le seront à titre facultatif, et avec le consentement de la personne concernée (photographie). 
 
La Commission estime en conséquence qu’elle devrait être saisie pour avis du projet d’arrêté établissant la liste précise des documents référencés conformément à une nomenclature cadre constituant le dossier individuel de l’agent
 
Enfin, la Commission rappelle que les principes applicables sur support papier demeurent sur support électronique : les documents contenus dans un dossier ne peuvent pas être librement annotés, même si les agents concernés pourront produire des commentaires ou observations qui seront annexées aux documents. 
 
Sur les destinataires des informations
Les destinataires des données portées au dossier individuel de l’agent sur support électronique correspondent aux destinataires de ces informations identifiés sous format papier :
- l'agent concerné (ou le mandataire qu'il aura désigné), 
- les gestionnaires RH chargés de la gestion des dossiers, 
- les supérieurs hiérarchiques, exclusivement en ce qui concerne les rubriques " évaluation-notation/avancement d'échelon " et " gestion des compétences ",
- les représentants du personnel siégeant dans les commissions administratives paritaires compétentes pour l'examen des questions individuelles (pour les seuls documents nécessaires à leur mission, et dans le cadre précisé dans l'ordre du jour de la séance),
- le service des pensions.
 
La Commission
 prend note que l'Opérateur National de Paie (ONP) sera uniquement destinataire de copies des pièces justificatives demandées en cas de contrôle.
Par ailleurs, la Commission observe que l’administration, la collectivité, l’établissement public ou l’organisme d’origine de l’agent public transmet l’ensemble des données qu’il a traitées à l’administration, la collectivité, l’établissement public ou l’organisme d’accueil de l’agent, dès lors que son lien statutaire ou contractuel conclu avec l’agent est rompu. Le dossier sur support électronique est alors transféré à l’entité avec laquelle un lien statutaire ou contractuel nouveau est établi.
L’ensemble de ces éléments n’appelle pas d’observations.
 
 
Sur la durée de conservation
En application de l’article 6-5° de la loi du 6 janvier 1978 modifiée en 2004, la Commission rappelle que les données inscrites dans le dossier individuel des agents doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées "
 
Ainsi, les informations nécessaires au calcul des droits à retraite (pièces financières et comptables) pourront être conservées jusqu'à la liquidation des pensions. 
 
Conformément aux textes applicables dans la fonction publique, certaines données, telles que les sanctions adressées à l’agent sont soumises à une durée de conservation limitée : sauf dispositions législatives contraires, les données relatives aux motifs d'absence ne peuvent être conservées plus de deux ans et (si aucune sanction n’est intervenue dans cette période) le blâme doit être effacé au bout de trois ans. 
 
Enfin, la Commission appelle l’attention de la DGAFP sur le fait que les durées de conservation figurant dans le projet de nomenclature des pièces composant le dossier individuel des agents publics correspondent aux durées d’archivage définitif du dossier.
 
A cet égard, elle recommande que le projet de nomenclature des pièces composant le dossier individuel des agents publics précise, d’une part, la durée de conservation des données en base active, et, d’autre part, la durée d’archivage de ces données.
 
Sur la sécurité
Conformément à l’article 34 de la loi du 6 janvier 1978 modifiée, l’article 7 du projet de décret rappelle les obligations relatives à la sécurité des données traitées. 
 
La Commission
 prend acte que ces obligations sont étendues. Il ne s’agit plus seulement de garantir la confidentialité, l’intégrité des données et la traçabilité des opérations de gestion, mais également " l’accessibilité et la lisibilité du dossier sur support électronique ". 
 
La Commission observe que le projet de décret prévoit dans son article 6 que " l’autorité administrative ou territoriale recourt à des fonctions de sécurité et d’interopérabilité " telles que définies par les titres IV et V (article 9 à 12) de l’ordonnance du 8 décembre 2005 et précisées par :
- le décret du n°2007-284 du 2 mars 2007 fixant les modalités d'élaboration, d'approbation, de modification et de publication du référentiel général d'interopérabilité (RGI) ;
- le décret n°2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ; 
- et l’arrêté du 9 novembre 2009 portant approbation du référentiel général d'interopérabilité. 
 
Aussi, la Commission note avec intérêt que les administrations qui feraient le choix de gérer les dossiers de leurs agents sous forme électronique devraient respecter :
1/ d’une part, les principales exigences du référentiel général de sécurité (RGS) adopté par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la Direction générale de la modernisation de l’État du ministère du Budget, des comptes publics et de la réforme de l’État (DGME).
2/ d’autre part, le référentiel général d’interopérabilité (RGI) adopté par la DGME.
 
La Commission observe que les décrets et textes visés par le projet de décret précisent la manière d’appliquer ces exigences, mais laissent aussi une grande liberté d’interprétation au responsable de traitement.
 
Il conviendra donc que la Commission se prononce sur la définition de ces exigences par les administrations concernées, et les sécurités à mettre en œuvre.
 
L’article 4 aliéna 3 dispose que " les outils et procédés utilisés pour l’établissement et la gestion sur support électronique des dossiers individuels sont définis dans un cahier des charges qui est transmis pour information au comité technique compétent ".
 
Le système des habilitations délivrées par l’autorité administrative ou l’autorité territoriale aux agents chargés de la gestion des dossiers, décrit par l’article 5 du projet de décret, prévoit que pour chaque personne habilitée sont précisées : 1/ " les documents concernés ", 2/ " les types d’opérations autorisées ", 3/ " la durée de l’habilitation ".
A cet égard, la Commission rappelle que le système d’habilitation devra également préciser quels agents chargés de la gestion des dossiers sont habilités à les créer, à les modifier ou seulement à les consulter. 
 
La Commission
 prend acte que l’article 6 du projet de décret pose non seulement l’obligation générale de " prendre toute précaution pour préserver la confidentialité des données personnelles ainsi que l’intégrité, l’accessibilité et la lisibilité du dossier sur support électronique " mais également celle de préserver la confidentialité de " l’ensemble des informations attachées aux documents " et de permettre la traçabilité de l’ensemble des opérations de gestion du dossier individuel électronique (alinéa 2). 
 
L’article 7 du projet de décret rappelle les obligations relatives à la sécurité des données traitées en indiquant que " l’autorité administrative et territoriale est tenue de prendre toute précaution " pour se conformer à l’article 34 de la loi du 6 janvier 1978 modifiée.
 
C’est pourquoi, dans un souci de simplification, et eu égard au caractère essentiel de la sécurité des données figurant dans le dossier dématérialisé des agents publics, la Commission propose de préciser les sécurités à mettre en œuvre dans le cadre de la dématérialisation du dossier des agents publics sur la base d’un acte réglementaire unique au sens de l’article 27-III de la loi du 6 janvier 1978 modifiée. 
 
Sur les droits des personnes
Concernant le droit à l’information des agents publics concernés, le projet de décret dispose que " les agents dont le dossier a été dématérialisé sont tenus informés des modalités pratiques de leur droit de consultation " (article 10).
 
La Commission relève que l’information des personnes ne devrait pas uniquement viser le droit de consultation. En ce sens, elle recommande que l’article 10 du décret se réfère non seulement aux " modalités
pratiques de leur droit de consultation ", mais également à l’ensemble des droits garantis au titre des articles 38 à 40 de la loi du 6 janvier 1978 modifiée.
 
Concernant les données pouvant être inscrites au dossier à titre facultatif, telles que les photographies, la Commission rappelle que l’agent dispose d’un droit d’opposition, et doit, de ce fait, être clairement informé de ce droit lors de la constitution du dossier individuel.
 
Concernant les modalités d’accès, prévues par les dispositions du Titre II relatif à l’" accès de l’agent à son dossier individuel ", la Commission approuve le principe de neutralité des supports dans l’exercice des droits d’accès et de rectification, rappelé par l’article 10 du projet de décret. 
 
Elle prend note que toute demande de " rectification, de retrait ou d’ajout d’un document " est rendue possible " soit lors de la consultation soit ultérieurement, par courrier électronique ou par voie postale " (article 12 alinéa 1 du projet de décret).
De même, la possibilité de consigner les observations de l’agent en annexe du document concerné constitue une modalité d’application satisfaisante de l’article 40 de la loi du 6 janvier 1978 modifiée. 
 
La Commission
 rappelle que la constitution du dossier individuel d’un nouvel agent, qui serait exclusivement électronique, n’est pas susceptible, en elle-même, de provoquer une rupture d’égalité entre les agents.
 
Elle confirme toutefois que la coexistence de plusieurs supports est susceptible d’accroître les difficultés actuellement connues par certains agents pour accéder librement à l’ensemble des documents constituant leur dossier. 
 
Elle souligne que cette problématique exigera une particulière vigilance pour gérer la dualité du support papier et électronique.
 
En ce sens, la Commission approuve l’article 13 du projet de décret, qui permet aux agents de demander une attestation papier des documents figurant dans leur dossier individuel, par exemple par voie postale. 
 
Conformément au troisième alinéa de l’article 38 alinéa 3 de la loi du 6 janvier 1978 modifiée, le droit d’opposition ne s’applique pas au présent traitement.
Néanmoins, la Commission rappelle que l’article 39 de la loi du 6 janvier 1978 modifiée dispose, respectivement dans ses alinéas 4 et 5, du droit de toute personne physique justifiant de son identité d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir " la communication, sous une forme accessible, des données à caractère personnel qui la concernent " et " les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l'égard de l'intéressé ".
 
*
 
Par conséquent, la Commission recommande que :
- l’article 10 du projet de décret se réfère non seulement aux " modalités
pratiques de leur droit de consultation ", mais également à l’ensemble des droits garantis au titre des articles 38 à 40 de la loi du 6 janvier 1978 modifiée ;
- les durées de conservation des données indexées dans le projet de nomenclature indiquent effectivement les durées de conservation préconisées par la CNIL et non les durées d’archivage ;
- la DGAFP informe l’ensemble des autorités administratives et territoriales de leur obligation d’accomplir les formalités préalables auprès de la CNIL ;
- la Commission soit saisie pour avis concernant l’arrêté du ministre chargé de la fonction publique précisant la nomenclature cadre des documents constituant le dossier.
Eu égard au grand nombre d’autorités administratives ou territoriales susceptibles de saisir la Commission pour avis (environ 37 000 autorités), la Commission propose que les formalités relatives à la mise en œuvre du dossier des agents publics sur support électronique puissent être accomplies sur la base d’un acte réglementaire unique au sens de l’article 27-III de la loi du 6 janvier 1978 modifiée. 
 
Le Président
Alex Türk
La Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en 2004, notamment son article 11 ;
Vu la loi n° 83-634 du 13 juillet 1983 modifiée portant droits et obligations des fonctionnaires, ensemble la loi n° 84-16 du 11 janvier 1984 modifiée portant dispositions statutaires relatives à la fonction publique de l’Etat ;
Vu le décret n° 82-451 du 28 mai 1982 modifié relatif aux dispositions générales applicables aux agents non titulaires de l’Etat pris pour l’application de l’article 7 de la loi n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l’Etat ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié en 2007 ;
Vu le décret n° 2011-184 du 15 février 2011 relatif aux comités techniques dans les administrations et les établissements publics de l’Etat ;
Vu la délibération n° 2010-371 du 21 octobre 2010 portant adoption d'une recommandation relative à la sécurité des systèmes de vote électronique;
Sur le rapport de Mme Isabelle Falque-Pierrotin, Vice-présidente, et les observations de Mme Elisabeth ROLIN, commissaire du gouvernement ;
 
Emet l’avis suivant :
 
Le Ministère du Budget, des comptes publics, de la fonction publique et de la réforme de l’Etat a saisi la CNIL le 10 février 2011 d’une demande d’avis sur deux projets de textes :
un projet de décret relatif aux conditions de vote par voie électronique pour l’élection des représentants du personnel au sein des instances de représentation du personnel de la fonction publique de l’Etat ;
un projet d’arrêté relatif à la mise en œuvre du vote électronique pour l’élection des représentants du personnel au sein desdites instances.
 
Il a fait parvenir, par l’intermédiaire du Commissaire du gouvernement, une demande rectificative à la CNIL le 7 mars dernier après achèvement de la phase de concertation avec les organisations syndicales.
 
Le cadre juridique posé par ces textes pour la mise en œuvre du vote électronique concerne potentiellement tous les agents de l'Etat.
 
A titre liminaire
La Commission souhaite souligner qu’elle est très attentive aux conditions de développement du vote électronique. Compte tenu des risques particuliers que ces traitements peuvent présenter pour les personnes, comme la divulgation de leurs opinions politiques ou syndicales, la Commission rappelle au ministère l’importance de mettre en place des mesures de sécurité adéquates. A ce titre, la Commission souhaite donc insister sur la nécessité de respecter sa recommandation du 21 octobre 2010 remplaçant sa recommandation du 1er juillet 2003. En outre, la Commission tient à préciser qu’au cas par cas, des mesures de sécurité additionnelles peuvent être prévues, comme par exemple la conduite d’une analyse de risques dans le cas d’élections de grande ampleur et/ou à fort enjeu national.
 
Sur le régime de formalités préalables applicable
 
Le décret et l’arrêté fixent le cadre général permettant le vote électronique dans la fonction publique pour l’élection des représentants du personnel et notamment, les mesures de sécurité à respecter par les administrations et les établissements publics de l’Etat lors de l’organisation des scrutins.
Toutefois, ces textes ne créent pas les traitements automatisés de données mis en œuvre pour le vote électronique et ne dispensent donc pas les administrations et établissements publics de l’Etat, en tant que responsables des traitements, de l’obligation de déclarer leurs systèmes de vote à la CNIL. En vertu de l’article 27-II-4° de la loi de 1978 modifiée sur les téléservices de l’administration électronique, les organismes seront amenés à saisir la CNIL d’autres textes réglementaires.
 
Le projet de décret soumis précise les informations que devront contenir ces actes réglementaires, à savoir :
la description détaillée du fonctionnement du système retenu et du déroulement des opérations.  (article 4 du projet de décret) ;
les modalités d’accès au vote pour les électeurs ne disposant pas d’un poste informatique sur leur lieu de travail  (article 2 du projet de décret) ;
les modalités de dépôt des listes, d’information des électeurs, de conditions de consultation des listes, etc. (article 5 du projet de décret) ;
les modalités de fonctionnement de la cellule d’assistance technique à l’électeur prévue à l’article 8 du projet de décret ;
la durée de scrutin (article 9 du projet de décret) ;
les modalités d’établissement des clés de chiffrement (article 13 du projet de décret) ;
l’institution d’un bureau de vote centralisateur (article 16 du projet de décret).
Sur l’expertise indépendante
 du dispositif de vote électronique
L’article 6 du projet de décret reprend le principe d’une expertise complète du système de vote, que ce soit avant, pendant ou après le scrutin. Il est également indiqué que le rapport de l’expert doit être communiqué à la CNIL. Sur ce point, la Commission considère qu’il semble pertinent de préciser que le rapport doit être transmis intégralement à l’autorité ou l’administration organisant le vote.
Par ailleurs, l’article 12 mentionne la possibilité d’exprimer son vote sur un poste dédié dans un lieu aménagé à cet effet : il serait utile que l’expertise porte également sur la mise en place de cette possibilité. La Commission suggère donc d’ajouter à la fin du premier alinéa de l’article 6 la phrase suivante :  Elle couvre également les mesures particulières prises pour la mise en place du poste dédié mentionné à l’article 12. 
 
Sur l’anonymat du scrutin
 
L’article 7 du projet de décret reprend la formulation de la recommandation de la CNIL de 2003. Dans sa recommandation de 2010, la CNIL a adopté une formulation de principe garantissant  que l’identité de l’électeur ne peut pas être mise en relation avec l’expression de son vote, et cela à tout moment du processus de vote, y compris après le dépouillement. 
La Commission attire l’attention du ministère sur le fait que la séparation physique du fichier des électeurs et de l’urne prévue à l’article 7 du projet de décret n’est qu’une solution parmi d’autres pour garantir cet anonymat.