AgentPublic/cnil huggingface dataset:
24. La rapporteure relève que, dans le cadre de l’instruction, la délégation de contrôle de la CNIL a constaté que la fiche de registre relative à la préparation des commissions de classement, établie en mai 2018, prévoit les catégories de données à caractère personnel qui sont considérées comme nécessaires au traitement et qui peuvent donc figurer dans les fichiers préparatoires aux commissions selon X. Ces catégories de données sont les suivantes : " les nom, prénom de l’agent, nom du responsable d’équipe ", " les matricule, date d’embauche, date de qualification ", " l’ancien niveau avec date, le niveau proposé, les gratifications éventuelles ", " la date des entretiens d’appréciation et de progrès, le cas échéant des plans de progrès ", " les critères professionnels d’évaluation ", " la présence au travail ", " les indisponibilités (sans distinction entre les motifs) ", " l’accidentologie ", " les éventuels plaintes clients, rapports d’information, sanctions ". Le responsable des ressources humaines du département BUS a en outre rappelé à l’ensemble du personnel gestionnaire des ressources humaines des centres de bus, dans un courriel adressé le 5 mai 2020, que les catégories de données à caractère personnel pouvant être contenues dans ces fichiers préparatoires étaient limitativement énumérées dans la fiche du registre correspondante et que les fichiers ne pouvaient contenir d’autres données.
25. La rapporteure note également qu’il a été constaté que la pratique de la préparation des commissions de classement dans les centres de bus contrôlés consistait à intégrer aux fichiers préparatoires, en sus du nombre de jours d’absence au cours des années évaluées, des données relatives aux motifs d’indisponibilité des agents, dont, notamment, le nombre de jours de grève par agent au cours de la période évaluée (soit trois ans).
26. Au regard de ces constatations, la rapporteure considère que la finalité du traitement que constitue la préparation des commissions de classement est l’évaluation des agents en vue de la prise de décisions relatives à leur avancement et que le traitement à cette fin de données relatives au nombre de jours de grève par agent apparaît excessif, en ce qu’elles ne constituent pas des données adéquates, pertinentes et nécessaires à l’atteinte de cette finalité.
27. En outre, la rapporteure relève que X a informé la délégation avoir procédé, pour mettre fin à la violation de données notifiée à la CNIL le 18 mai 2020 et avant les contrôles de la délégation, à la mise en conformité de tous les fichiers préparatoires établis en vue des commissions de classement des années 2019 et 2020 dans chacun des centres de bus avec la fiche correspondante du registre des activités de traitement du département BUS. La rapporteure note que les constatations ne confirment pas cette affirmation dans la mesure où le manquement perdurait à la date des contrôles sur place dans au moins deux centres de bus (X et X).
28. En défense, X ne conteste pas la constitution de fichiers contenant des données relatives au nombre de jours de grève des agents mais souligne que cette pratique est contraire à ses règles internes, que cela ne concerne que quelques unités opérationnelles et que la durée d’une telle pratique ne peut être établie. Quant à la persistance du manquement au jour des contrôles sur place, X soutient qu’il s’agit d’une erreur technique due à la mauvaise maîtrise de l’outil Excel et fournit des déclarations des directeurs des unités opérationnelles concernées attestant qu’ils ignoraient l’existence de ces onglets, qui ne pouvaient donc, a fortiori, être utilisés.
29. En premier lieu, s’agissant de la pertinence du traitement d’une donnée relative au nombre de jours de grève, la formation restreinte relève d’abord que X a fait valoir, notamment au cours des contrôles, que les règles en matière de déroulement de carrière et d’avancement étaient fixées par des accords collectifs négociés avec les organisations syndicales. Ces accords ne prévoient pas d’avancement automatique mais la prise en compte de l’évaluation des performances individuelles. X a précisé les catégories de données pouvant figurer dans les fichiers préparatoires aux commissions de classement et, parmi celles-ci, se trouvent les données relatives à la " présence au travail " et aux " indisponibilités (sans distinction entre les motifs) ". La formation restreinte relève que ces critères sont notamment traduits, dans les fichiers préparatoires en cause, par des colonnes relatives au nombre de jours de travail, au temps de " roulage ", au nombre de jours de repos et au nombre de jours d’absence. S’agissant de cette dernière colonne, il n’est pas prévu par les règles applicables qu’elle contienne le motif des absences.
30. La formation restreinte relève ainsi que le nombre de jours d’absence, au même titre que, par exemple, le nombre de jours de travail et le nombre de jours de repos, est une donnée qui peut être prise en considération dans le cadre des accords collectifs.
31. Elle relève que les accords collectifs prévoient que certaines absences, telles que l’absence liée à un congé de maternité, doivent apparaître de manière distincte afin que cette donnée ne soit pas prise en compte défavorablement dans l’évaluation de la performance de l’agent concerné. En revanche, en dehors de ces exceptions définies dans les accords, il ne ressort pas de cet ensemble de règles que les motifs d’absence des agents puissent être pris en compte pour leur évaluation.
32. Par conséquent, si la formation restreinte ne remet pas en cause la pertinence du traitement du nombre de jours d’absence au regard des règles fixées, notamment par les accords collectifs, elle estime qu’il n’est pas pertinent, en vue de l’évaluation des agents, de traiter des données relatives au nombre de jours de grève en tant que catégorie distincte du nombre total de jours d’absence. En effet, la connaissance du motif de l’absence n’est pas nécessaire. La formation restreinte relève d’ailleurs que la fiche dédiée du registre des traitements précise que, parmi les catégories de données prévues comme pouvant figurer dans ces fichiers, figurent seulement les " indisponibilités (sans distinction entre les motifs) ". Dès lors, il apparaît excessif et contraire au principe de minimisation d’individualiser la catégorie du nombre de jours de grève parmi les absences recensées et de traiter ainsi ces données pour ces finalités.
33. X n’a pas nié le caractère illicite des fichiers réalisés dans certains centres de bus dans le cadre de la préparation des commissions de classement et a fait valoir qu’une telle pratique était contraire à sa politique générale.
34. La formation restreinte considère que, dans la mesure où les fichiers en cause constituent des fichiers d’aide à la décision, ils ne peuvent être composés que des données à caractère personnel nécessaires à la prise de décisions relatives à l’évaluation, qui ont été déterminées préalablement.
35. La formation restreinte souligne enfin la spécificité des données relatives à l’exercice du droit de grève par un agent et relève que le traitement de ces données à caractère personnel n’est pas neutre. En effet, le traitement de cette catégorie particulière de données par un employeur doit être limité à certaines finalités légitimes et doit s’insérer dans le cadre légal qui résulte notamment de l’article L. 1324-7 du code des transports et de l’article R. 3243-4 du code du travail.
36. En deuxième lieu, en ce qui concerne le nombre de personnes concernées par ces traitements, la formation restreinte relève que X a rapporté, par les notifications de violation de données ainsi que les courriels subséquents adressés à la CNIL les 11 juin et 5 août 2020, l’existence de fichiers contenant des données relatives aux jours de grève dans quatre unités opérationnelles (X, X, X et X). Les contrôles de la CNIL dans deux autres unités opérationnelles, sélectionnées au hasard, ont également permis de constater l’existence de ces fichiers d’avancement. Six unités opérationnelles sur les seize existantes sont donc concernées, les autres n’ayant pas fait l’objet de contrôles. La formation restreinte relève dès lors qu’il ne s’agit pas de faits isolés.
37. En troisième lieu, s’agissant de la persistance de la pratique en cause, la formation restreinte relève que X a fait valoir lors du contrôle que, à la suite de sa découverte du fichier au centre de bus des X, elle avait procédé, les 11 et 12 mai 2020, à une analyse de tous les fichiers préparatoires établis en vue des commissions de classement des années 2019 et 2020 dans chacun des centres de bus et mis en conformité l’ensemble de ces fichiers avec la fiche correspondante du registre des activités de traitement du département BUS. La formation restreinte souligne qu’il a pourtant été constaté, lors des contrôles dans les centres de bus des X et de X, que les fichiers relatifs à l’année 2020, présentés par X comme purgés de toute donnée non nécessaire, contenaient des onglets dans lesquels se trouvaient le détail des indisponibilités des agents et notamment des données relatives aux jours de grève.
38. À cet égard, si, pour justifier que ce manquement ait perduré, X a fait valoir qu’il s’agissait d’une erreur technique et a fourni des déclarations des directeurs des unités opérationnelles concernées attestant qu’ils ignoraient l’existence de ces onglets " masqués ", qui ne pouvaient donc être utilisés, la formation restreinte estime que X ne saurait se prévaloir de sa mauvaise maîtrise répétée de l’outil Excel pour justifier la présence de certaines données dans les fichiers en cause. En outre, même dans l’hypothèse où les directeurs des unités opérationnelles concernées auraient ignoré la présence des onglets en cause dans les fichiers concernés, cela ne remet pas en cause la matérialité du manquement constaté.
39. En dernier lieu, la formation restreinte rappelle que l’obligation de ne traiter que des données adéquates, pertinentes et nécessaires implique non seulement celle de définir les données qui doivent être traitées mais aussi de mettre en place les mesures, notamment organisationnelles, pertinentes pour veiller à ce que seules ces données nécessaires aux finalités soient effectivement traitées. Or, la formation restreinte observe que tel n’a pas été le cas en l’espèce, comme en atteste la survenance des faits en cause.
40. En effet, force est de constater que, bien que contraire à la politique générale de X, la pratique en cause ne constitue pas un acte isolé, qui n’aurait concerné qu’un petit groupe d’agents. Au contraire, tout d’abord, cette pratique résulte notamment du manque de rigueur dans la supervision de l’organisation des procédures d’avancement ainsi que des outils mis à disposition des différents départements dans ce cadre. À cet égard, en particulier, la configuration de l’outil X, qui permet seulement l’extraction de l’ensemble des données relatives à un agent ou même à l’ensemble des agents d’un centre de bus, sans qu’il soit possible de faire un tri entre les catégories de données à sélectionner pour les extraire, était susceptible de contribuer à la constitution de fichiers de commissions de classement contenant des données inadéquates au regard de la finalité poursuivie. En outre, la formation restreinte relève que certaines mesures organisationnelles, telles que celle évoquée par X au cours de la procédure afin d’éviter que de telles pratiques se reproduisent - consistant en la création d’un outil commun Excel qui doit être utilisé pour les extractions de données dans X (et les autres applications pertinentes) réalisées pour la constitution des fichiers préparatoires, afin de figer ce qu’un tableau préparatoire peut contenir en termes de données - permettent à présent d’empêcher l’émergence de telles pratiques, et auraient pu être utilement mises en œuvre avant
l’engagement de la présente procédure.
41. Au vu de l’ensemble de ce qui précède, la formation restreinte considère qu’il incombait à X, en tant que responsable de traitement, de s’assurer que ne soient utilisées que des catégories de données à caractère personnel nécessaires à la prise de décisions relatives à l’évaluation pour constituer les fichiers en cause, conformément aux articles 5.1.c et 5.2 du RGPD. Partant, la X a manqué à ses obligations en incluant dans ces fichiers des données relatives au nombre de jours de grève par agent au cours de la période évaluée et en s’abstenant de s’assurer que la purge décidée à la suite de la découverte des fichiers en cause soit effectivement mise en œuvre.
42. La formation restreinte considère par conséquent que ces faits constituent un manquement aux articles 5, paragraphe 1, e), et 5, paragraphe 2, du RGPD.
C. Sur le manquement à l’obligation de définir et de respecter une durée de conservation des données à caractère personnel proportionnée à la finalité du traitement en application de l’article 5.1.e du RGPD
43. Aux termes de l’article 5.1.e du Règlement, les données à caractère personnel doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées ; les données à caractère personnel peuvent être conservées pour des durées plus longues dans la mesure où elles seront traitées exclusivement à des fins archivistiques dans l'intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques conformément à l'article 89, paragraphe 1, pour autant que soient mises en œuvre les mesures techniques et organisationnelles appropriées requises par le présent règlement afin de garantir les droits et libertés de la personne concernée (limitation de la conservation) ".
1. S’agissant des durées de conservation des données accessibles dans l’application X
44. La rapporteure relève que la délégation a été informée que l’application X est un outil permettant de visualiser et d’extraire des données à partir de cinq applications informatiques, qui sont mises en œuvre pour le traitement et la gestion des ressources humaines du département BUS. X a indiqué que cette application a notamment pour finalité " l’exploration de données opérationnelles " (données d’exploitation, qualité de service, données relatives aux ressources humaines et économiques). En tant qu’outil de visualisation, elle ne permet pas aux utilisateurs de modifier les données dans les systèmes d’information pouvant être explorés, mais leur permet de les extraire vers des fichiers Excel.
45. La rapporteure relève également que la délégation a été informée que les données à caractère personnel contenues dans X sont conservées, en base active, pendant la durée de l’emploi de l’agent au département BUS, allongée de six ans. La rapporteure souligne que X n’a pas été en mesure de justifier cette durée de conservation des données au regard des finalités pour lesquelles elles sont traitées et considère que cette durée de conservation en base active des données dans l’outil X est ainsi excessive.
46. En défense, X fait valoir que la durée de conservation qui avait été indiquée à la délégation de contrôle, à savoir la durée de l’emploi de l’agent au département BUS, allongée de six ans, était erronée et que cette durée correspondait à la durée de conservation des données en base archive et non en base active. Dans ses écritures, X explique que la durée de conservation en base active était en fait de six ans à la date des contrôles effectués par la CNIL. Elle précise en outre que cette durée a été considérée comme excessive au cours de travaux internes et qu’elle a été réduite à deux ans, plus l’année en cours, après les contrôles effectués par la délégation.
47. La formation restreinte prend tout d’abord acte des précisions apportées par X au cours de la procédure et notamment du fait que les données étaient conservées en base active dans X pendant six ans et non pendant la durée de l’emploi allongée de six ans. 
48. La formation restreinte rappelle que la durée de conservation des données à caractère personnel doit être déterminée en fonction de la finalité poursuivie par le traitement. Lorsque cette finalité est atteinte, les données doivent en principe être supprimées, anonymisées ou faire l’objet d’un archivage intermédiaire lorsque leur conservation est nécessaire pour le respect d’obligations légales ou à des fins précontentieuses ou contentieuses.
49. En l’espèce, l’application X est un outil de visualisation de données aux fins de gestion des ressources humaines du département BUS, ayant pour finalité " l’exploration de données opérationnelles ". Elle doit permettre, entre autres, un suivi d’activité des agents. La formation restreinte relève que cette finalité, telle qu’identifiée par X, est très large et peu précise, et qu’elle ne permet pas de comprendre précisément les besoins opérationnels qui en découlent. En outre, aucun élément du dossier ne permet de déterminer quelles finalités justifieraient que les agents habilités à accéder à X puissent, en vue de les atteindre, visualiser l’ensemble de ces données relatives aux ressources humaines sur une période de six ans. Par exemple, figurent parmi ces informations les données relatives au nombre de jours de grève par agent, qui servent notamment à calculer l’assiette de la paie ainsi que des cotisations et contributions sociales. X n’établit pas pourquoi ces informations auraient vocation à être conservées dans l’application X, dès lors que le bulletin de paie est établi, pendant une durée de six ans, alors qu’une durée bien inférieure en base active serait suffisante pour l’établissement de la paie. D’autres finalités, comme la visualisation d’informations pour le suivi d’activité des agents, peuvent justifier une durée supérieure mais la nécessité de remonter sur les six années précédentes n’est pas établie.
50. La formation restreinte relève en outre que, loin d’être en mesure de justifier la durée de conservation de l’ensemble des données dans l’application X au regard des finalités de cet outil, X a au contraire fait valoir que la durée de conservation en base active de l’application X, à la date des contrôles, avait été considérée comme excessive au regard des finalités d’exploration de cette application. Cette durée a, au cours de la procédure, été réduite à deux ans plus l’année en cours, pour permettre aux managers de réaliser un suivi d’activité des agents sur une période réduite mais suffisamment significative pour voir les évolutions.
51. Par conséquent, la formation restreinte estime que la conservation des données à caractère personnel en cause pendant six ans en base active, sans qu’une approche différenciée et adaptée de conservation des données au regard des finalités précises pour lesquelles elles sont traitées soit mise en œuvre, ne permettait pas de respecter le principe de la limitation de la durée de conservation des données.
52. Au regard de l’ensemble de ces éléments, la formation restreinte considère que le manquement à l’article 5, paragraphe 1, e), du RGPD est caractérisé.
2. S’agissant de la durée de conservation des fichiers de préparation des commissions de classement
53. La rapporteure note que la délégation a été informée que la durée de conservation prévue des fichiers de préparation des commissions de classement était de dix-huit mois, à partir de la tenue de la commission de classement pour laquelle ils sont établis. Cette durée est prévue sur la fiche de registre correspondante, en fonction de la finalité de ce traitement (aide à la prise de décision en vue de l’évaluation des agents). Toutefois, la délégation a constaté que, dans les centres de bus d’X et de X, des fichiers de préparation des commissions de classement de 2017 étaient présents sur les serveurs.
54. Au regard de ces constatations, la rapporteure fait grief à la X de conserver les fichiers en cause pour une durée qui excède celle nécessaire au regard de la finalité du traitement et de ne pas mettre en œuvre de manière effective sa politique de durée de conservation.
55. En défense, X souligne le caractère isolé des faits.
56. La formation restreinte relève que les fichiers de préparation des commissions sont établis comme support de prise de décision de réunions préparatoires aux commissions de classement annuelles, en vue de l’évaluation des agents, et ne peuvent par conséquent être conservés que pour la durée nécessaire à la réalisation de cette finalité. La formation restreinte observe que la X a fixé leur durée de conservation à dix-huit mois après la commission de classement pour laquelle ces fichiers sont réalisés, ayant estimé qu’il s’agissait de la durée nécessaire à la finalité du traitement.
57. Or, la formation restreinte relève que la délégation de la CNIL a constaté la conservation, dans les centres de bus d’X et de X, des fichiers de préparation des commissions de classement datant de 2017, ce qui correspond à une durée de plus de trois ans après la tenue de la commission de classement concernée. La formation restreinte considère que cette conservation est excessive dans la mesure où elle dépasse la durée nécessaire à l’atteinte de la finalité poursuivie, qui est, selon X, de dix-huit mois après la commission de classement pour laquelle ces fichiers sont réalisés. La durée de conservation prévue des fichiers de préparation des commissions de classement n’est ainsi pas mise en œuvre de manière effective puisque seuls des fichiers relatifs aux commissions de classement 2019 et 2020 auraient dû pouvoir figurer sur les serveurs à la date des contrôles. Or, l’effectivité de la mise en œuvre d’une politique de durée de conservation des données est le pendant nécessaire de sa définition et permet d’assurer que les données sont conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Cela permet par ailleurs, notamment, de réduire les risques d’usage non autorisé des données en cause, par un salarié ou par un tiers.
58. Par conséquent, la formation restreinte considère que X a méconnu ses obligations au regard de l’article 5, paragraphe 1, e), du RGPD.
D. Sur le manquement relatif à l’obligation d’assurer la sécurité des données à caractère personnel en application de l’article 32 du RGPD
1. Sur les habilitations d’accès et d’extraction des données dans X
59. L’article 32 du Règlement dispose :
" 1. Compte tenu de l’état des connaissances, des coûts de mise en œuvre et de la nature, de la portée, du contexte et des finalités du traitement ainsi que des risques, dont le degré de probabilité et de gravité varie, pour les droits et libertés des personnes physiques, le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque, y compris entre autres, selon les besoins :
[…] b) des moyens permettant de garantir la confidentialité, l'intégrité, la disponibilité et la résilience constantes des systèmes et des services de traitement ;[…] ".
60. La rapporteure relève que la délégation a été informée que l’outil X permet à l’ensemble des agents habilités, quelles que soient leurs missions, d’effectuer les mêmes actions et, ainsi, non seulement de visualiser les données à caractère personnel stockées dans l’outil mais également d’extraire l’ensemble de ces données. La rapporteure estime en conséquence que la politique d’habilitation de X ne permet pas de limiter l’accès des utilisateurs aux seules données dont ils ont effectivement besoin dans le cadre de leurs fonctions, étant rappelé que l’outil X contient un volume important de données, notamment en lien avec la gestion des ressources humaines, et relatives à l’ensemble des agents des départements BUS et MRB (matériel roulant bus).