La Commission nationale de l'informatique et des libertés,
Saisie par M. le directeur général du travail d'une demande d'avis concernant un projet de décret modifiant le décret n° 2011-771 du 28 juin 2011 relatif à la mesure de l'audience des organisations syndicales concernant les entreprises de moins de onze salariés ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 et 27-1 (1°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie par M. le directeur général du travail d'une demande d'avis concernant un projet de décret en Conseil d'Etat modifiant le décret n° 2011-771 du 28 juin 2011 relatif à la mesure de l'audience des organisations syndicales concernant les entreprises de moins de onze salariés.
Plus précisément, la commission a été saisie de trois demandes d'avis portant sur les évolutions apportées aux modalités de ce scrutin depuis les premières opérations de vote intervenues entre les 28 novembre et 12 décembre 2012.
En effet, par deux délibérations en date du 12 mai 2011, la commission s'est prononcée sur les caractéristiques initiales de ce scrutin, et en particulier sur l'utilisation de numéros d'inscription des personnes au répertoire national d'identification des personnes physiques dans ce cadre et la mise en œuvre d'un système de vote électronique.
Au travers de la présente délibération, la commission ne se prononcera dès lors que sur les changements opérés sur le scrutin précité depuis l'adoption de sa délibération n° 2011-142 relative à la mise en œuvre d'un dispositif de vote à distance, d'une part, et de sa délibération n° 2011-146 portant sur la création d'un traitement de données à caractère personnel pour constituer les listes électorales nécessaires, d'autre part.
Sur les modifications apportées au traitement visé par les articles R. 2122-12 à R. 2122-20 du code du travail :
L'article 1er du projet de décret soumis à la commission prévoit deux nouveautés par rapport au périmètre initial du traitement créé par l' article R. 2122-12 du code du travail et ayant pour finalité l'établissement de la liste électorale pour la mesure de l'audience des organisations syndicales de salariés dans les entreprises de moins de onze salariés.
Ces deux modifications consistent plus précisément à ajouter une nouvelle catégorie de destinataires aux données de ce traitement ainsi qu'une nouvelle durée de conservation opposable à ces derniers.
En effet, afin de permettre aux organisations syndicales candidates de contacter les salariés électeurs pour les sensibiliser à l'importance du scrutin et mener une campagne électorale, le projet de décret prévoit de mettre à la disposition des mandataires de chacune des organisations syndicales candidates, sur un support électronique, un extrait de la liste des électeurs de la région et de la branche professionnelle dans laquelle ces organisations sont candidates.
Ces extraits comprennent, pour chaque électeur, la mention de son nom, de ses prénoms, de son collège d'électeur, de l'intitulé de la convention collective applicable à son emploi et, enfin, de l'adresse de son domicile.
Ces données doivent être détruites par les organisations syndicales nouvellement destinataires de ces données, à l'issue d'un délai d'un mois après la clôture du scrutin.
La commission relève que le projet de décret soumis à son examen prévoit des garanties qui seront mentionnées par le futur article R. 2122-48-4 du code du travail.
En application de cet article, les organisations syndicales concernées et leurs mandataires s'engagent en effet à ne pas faire un usage de ces données qui ne serait pas strictement lié à l'élection. Par ailleurs, cet article prévoit également qu'une utilisation détournée des données précitées ainsi que le non-respect de l'obligation de destruction au-delà d'un mois après la clôture du scrutin sont punis de l'amende prévue pour les contraventions de quatrième classe, appliquée autant de fois qu'il y a d'irrégularités relevées.
La commission relève enfin que le ministère prévoit que tout électeur puisse s'opposer pour un motif légitime à ce que son adresse soit communiquée aux organisations syndicales, d'une part, et qu'il soit informé de cette possibilité par une mention sur le site internet du ministère du travail, d'autre part.
La commission estime que le projet de décret devrait reprendre ces informations relatives au droit d'opposition dont bénéficie l'électeur par rapport à la communication de son adresse aux organisations syndicales.
Ainsi, il conviendrait de préciser que, en application de l' article 38 de la loi n° 78-17 du 6 janvier 1978, tout électeur dispose de ce droit d'opposition. Il en est informé par l'apport d'une mention sur le site du ministère du travail permettant de consulter son inscription sur la liste électorale et qu'il pourra exercer son droit d'opposition en adressant une demande écrite, y compris par voie électronique, auprès du ministre du travail, de l'emploi, de la formation professionnelle et du dialogue social, direction générale du travail, bureau des relations collectives du travail (RT2).
Dans ces conditions, la commission estime que les deux nouveautés apportées au traitement de données à caractère personnel visé par les articles R. 2122-12 à R. 2122-20 du code du travail, à savoir une nouvelle catégorie de destinataires et une nouvelle durée de conservation, n'appellent pas d'observation particulière.
Sur les autres modifications prévues par le projet de décret :
Parmi l'ensemble des nouveautés prévues par le projet de décret soumis pour avis à la commission, seuls quatre éléments relèvent de la compétence de la commission en application de la loi du 6 janvier 1978 modifiée.
En premier lieu, il s'agit de la possibilité de saisir par voie électronique, par l'intermédiaire d'une plate-forme sur internet sécurisée mise en place à cet effet, le directeur régional des entreprises, de la concurrence, de la consommation, du travail et de l'emploi d'une contestation à titre gracieux en complément des autres modes de saisine auparavant disponibles (sur place ou par voie postale).
Cette innovation vise à améliorer la qualité de la liste électorale, en permettant un traitement plus rapide des recours tendant à obtenir une inscription, une radiation ou la modification de données à caractère personnel erronées lorsqu'un salarié, après la réception du document d'information adressé à tous les électeurs avant le scrutin pour les prévenir qu'ils sont inscrits sur la liste électorale, se rendra compte d'une difficulté.
Les formulaires électroniques de saisine ainsi que les éventuelles pièces justificatives produites à l'appui d'une demande seront conservés dans des conditions de sécurité adaptées au contexte en présence, devant inclure le chiffrement des pièces d'identité conservées sous forme numérique, et détruits à compter de l'extinction des voies de recours contre les élections en cause, à savoir un an, étant précisé que les données se rapportant à un recours seront conservées jusqu'au prononcé de la décision définitive.
En second lieu, la commission relève qu'il sera désormais possible d'adresser par courrier électronique les convocations à une réunion de la commission des opérations de vote, assorties des pièces et documents nécessaires à sa préparation ou établies à son issue, en complément des autres moyens à disposition.
En troisième lieu, le projet de décret prévoit que les organisations syndicales pourront personnaliser leurs propagandes électorales, en y mentionnant les noms, prénoms, professions et photographies des salariés qu'elles envisagent de désigner dans les commissions paritaires régionales interprofessionnelles, d'une part, et impose que les maquettes de ces propagandes soient transmises, en format papier et en format électronique, aux services centraux du ministère et au directeur régional des entreprises, de la concurrence, de la consommation, du travail et de l'emploi par les organisations syndicales candidates, d'autre part.
Le stockage des maquettes transmises et des documents d'identité des salariés concernés sera assuré par l'intermédiaire de la plate-forme sécurisée utilisée également pour recevoir les recours des électeurs, accessible aux seuls agents du ministère du travail désignés pour la réception des candidatures et l'organisation du scrutin.
La commission estime, s'agissant de la transmission par voie électronique des convocations et du stockage des propagandes électorales, que les conditions de sécurité sont adaptées au contexte en présence. Elle relève, par ailleurs, que la plate-forme sécurisée précitée sera également utilisée pour stocker, dans les mêmes conditions de sécurité, les copies des titres d'identité des salariés mandatés par les organisations syndicales pour déposer les dossiers de candidature.
En dernier lieu, la commission relève que le projet de décret introduit une nouvelle mesure de sécurité applicable au vote par correspondance. Le futur article R. 2122- 73 du code du travail prévoit en effet que, pour cette modalité de vote, il est fait usage d'une enveloppe de retour adressée au centre de traitement et d'un bulletin de vote permettant à la fois l'émargement de l'électeur et l'expression de son vote et que les informations relatives à l'identité de l'électeur sont  cryptées de sorte qu'il soit impossible d'établir un lien entre le sens du vote et l'identité de l'électeur .
Au regard des éléments communiqués à la commission, il semble que le procédé technique utilisé corresponde à une présentation sous la forme d'un code-barres ou d'un  datamatrix , afin de permettre l'utilisation de solutions de lecture optique lors de l'émargement du bulletin, permettant en cela de gagner du temps lors des opérations de dépouillement. Il ne s'agit pas à proprement parler de chiffrement mais d'encodage avec un identifiant aléatoire.
Aussi la commission estime dès lors qu'il conviendrait de modifier la rédaction du futur article R. 2122-73 du code du travail pour ne plus faire référence au chiffrement, dans la mesure où il ne s'agit pas du procédé technique utilisé, et de le remplacer par la mention d'un encodage avec un identifiant aléatoire.
La commission estime enfin qu'il serait opportun que le projet de décret fasse référence à sa délibération n° 98-041 du 28 avril 1998 portant recommandation sur l'utilisation des systèmes de vote par codes-barres dans le cadre d'élections par correspondance pour les élections professionnelles, d'une part, et demande à être destinataire du rapport établi par l'expert indépendant sur la sécurité du dispositif de vote électronique, d'autre part.
La présidente,
I. Falque-Pierrotin