(Demande d’autorisation n° 1654305v1)
La Commission nationale de l'informatique et des libertés,
Saisie conjointement par le ministère des affaires sociales, de la santé et des droits des femmes, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère de la ville, de la jeunesse et des sports, d’une demande de modification de la délibération n° 2013-093 du 11 avril 2013 portant sur la mise en œuvre d’un traitement automatisé de données à caractère personnel concernant une cellule d’écoute et de traitement des signalements de discriminations dénommée « Cellule d’écoute et d’alerte »
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU004), telle que modifiée le 30 janvier 2014 ;
Vu la délibération n° 2013-093 du 11 avril 2013 autorisant le ministère des affaires sociales et de la santé, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte dédié aux discriminations ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme. Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La CNIL a été saisie, par le ministère des affaires sociales, de la santé et des droits des femmes, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère de la ville, de la jeunesse et des sports, d’une demande de modification du traitement de données à caractère personnel dénommé « Cellule d’écoute et d’alerte » (délibération n° 2013-093 du 11 avril 2013). La modification porte essentiellement sur le changement de prestataire chargé de la mise en œuvre du traitement.
Responsable du traitement
Le Directeur des ressources humaines des ministères chargés des affaires sociales (DRH) est responsable de traitement.
Sur la finalité
Le traitement dénommé « Cellule d’écoute et d’alerte » permet aux agents de signaler des faits de discrimination dont ils pensent être victimes ou dont ils sont témoins.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
La Commission rappelle qu’un dispositif d’alerte professionnelle doit, de façon générale, être limité dans son champ d’application et que son utilisation doit demeurer facultative et complémentaire par rapport aux autres voies de remontée de réclamations des salariés.
En l’espèce, le dispositif est limité aux seules alertes dans le domaine de la discrimination et du « harcèlement discriminatoire » au sens du paragraphe 1 de l’article 1er de la loi n° 2008-496 du 27 mai 2008 portant diverses dispositions d’adaptation au droit communautaire dans le domaine de la lutte contre les discriminations.
Par ailleurs, les ministères des affaires sociales ont adhéré au « label diversité » et souhaitent, dans ce cadre, mettre en place un dispositif d’alerte professionnelle dédié à la lutte contre les discriminations, prenant la forme d’une structure externe d’écoute et de traitements des signalements reçus.
Le « label diversité » a été créé par le décret n° 2008-1344 du 17 décembre 2008 et s’inscrit dans la politique gouvernementale de prévention des discriminations et de promotion de la diversité. Le ministère de l’intérieur, qui a repris les attributions de l’ancien ministère de l’immigration et de l’intégration, est désormais responsable de sa mise en œuvre en collaboration avec l’AFNOR Certification. Ce label a pour objectifs d’une part, de promouvoir la diversité et la prévention des discriminations et d’autre part, de valoriser les meilleures pratiques en matière de recrutement et d’évolution professionnelle au sein des organismes.
Le cahier des charges de l’AFNOR préconise notamment la mise en place d’outils permettant d’« identifier les plaintes et réclamations internes ou externes » et, de manière générale, d’assurer la traçabilité des signalements.
La Commission relève que le dispositif présenté s’inscrit dans le cadre des textes internationaux, européens et nationaux afférents à la prévention des discriminations, à l’égalité des chances et à la promotion de la diversité dans le domaine de la gestion des ressources humaines.
Elle constate que les faits susceptibles d’être recueillis dans le cadre de ce dispositif sont strictement limités aux alertes relatives à la discrimination et aux « harcèlements discriminatoires ».
S’agissant des modalités de signalement, la Commission prend acte que le dispositif d’alerte dédié aux discriminations est ouvert aux agents du ministère des affaires sociales, de la santé et des droits des femmes, du ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et du ministère de la ville, de la jeunesse et des sports. Il est également ouvert aux candidats aux concours et examens, dont la procédure a pris fin depuis trois mois au plus, ainsi qu’aux agents en démission ou retraite depuis six mois au plus.
Seules les personnes mentionnées ci-dessus sont susceptibles de signaler des faits de discriminations dont elles pensent être victimes ou dont elles sont témoins.
Elles peuvent saisir la cellule d’écoute et de signalement via une ligne téléphonique dédiée, par courrier et portail web sécurisé. Toutes les alertes sont réceptionnées et traitées par un prestataire extérieur auquel est confié le fonctionnement de la cellule d’écoute. La première prise de contact téléphonique doit être complétée par un échange écrit  pour recueillir l’accord de la victime avant la saisine de son employeur.
La Commission estime qu’en l’espèce le dispositif d’alerte qui lui est présenté est limité dans son champ d’application, est facultatif et répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Sont collectées ou susceptibles d’être collectées, les informations relatives à l’identité de la victime, à ses date et lieu de naissance, à sa situation professionnelle, à l’emploi occupé, à son adresse électronique personnelle, aux données de santé et de soins, aux origines raciales et ethniques, aux opinions politiques, philosophiques et religieuses, à l’appartenance syndicale et à la vie sexuelle.
L’ensemble de ces informations n’a pas vocation à être systématiquement recueilli.
Si la collecte des informations « sensibles » au sens de l’article 8 de la loi du 6 janvier 1978 modifiée est nécessaire, l’administration s’est néanmoins engagée à demander à son prestataire d’avoir recours à une grille listant les critères de discrimination prohibés par loi, sous la forme de cases à cocher. Ce n’est que lorsque le contexte de la discrimination doit être explicité que cette grille sera complétée par des informations factuelles et strictement nécessaires à l’instruction du signalement.
L’article 8-II-1° de la loi prévoit que, lorsque la finalité du traitement l’exige, les données sensibles peuvent être collectées et traitées après recueil du consentement exprès de la personne concernée.
La Commission relève que la victime doit systématiquement donner son accord au traitement de ses données avant la communication du signalement à son employeur. Le recueil du consentement se fait par écrit et doit toujours être explicite.
Les informations recueillies seront complétées par  une description objective des faits signalés par la victime, les éléments recueillis dans le cadre de la vérification de ces faits,  le compte rendu des opérations de vérification et les suites données à l’alerte.
Sur le traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées.
En l’espèce, le dispositif soumis par les ministères n’est pas conçu pour permettre des signalements anonymes. L’émetteur d’un signalement doit nécessairement s’identifier. Son identité est par la suite traitée de façon confidentielle par les personnes
chargées du recueil des alertes.
La Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires ainsi qu’à des poursuites judiciaires.
Enfin, au regard de la sensibilité des données collectées, la Commission rappelle l’obligation renforcée de confidentialité à laquelle sont soumises les personnes chargées du recueil et du traitement des données.
Compte tenu de ce qui précède, elle estime que le traitement envisagé est conforme à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Les destinataires de tout ou partie des données à caractère personnel sont, dans la limite de leurs attributions, les personnes en charge du traitement des plaintes chez le prestataire ainsi que l’entité employeur de la victime, à savoir le responsable d’une direction en capacité de mettre fin à une situation de discrimination.
Les ministères transmettent au prestataire les éléments nécessaires lui permettant d’identifier le responsable en fonction de la nature de la discrimination et des faits portés à sa connaissance.
La Commission relève que ces personnes sont toutes astreintes à une obligation de confidentialité.
La liste des destinataires n'appelle pas d'observation particulière de la Commission.
Sur l’information et le droit d’accès
L’information générale est assurée par les ministères des affaires sociales au moyen d’une instruction aux chefs de service, d’un courriel complété par un formulaire « questions-réponses » adressé à l’ensemble des agents lors de l’ouverture de la cellule, et d’une carte de visite, remise à chaque agent, comportant  les coordonnées de la cellule d’écoute. Une lettre d’information sera également adressée aux agents au moment de leur départ à la retraite ainsi qu’aux agents en démission. Cette information figurera également dans le courriel adressé par la cellule aux plaignants.
La personne éventuellement mise en cause est informée dès l'enregistrement des données la concernant.
Si le donneur d’alerte utilise le dispositif en qualité de témoin, il devra en informer préalablement la personne victime de discrimination et recueillir son accord à la poursuite de l’instruction du signalement et à la saisine de son employeur.
La Commission prend acte que le projet a été présenté en comités techniques ministériels et en CHSCT. Les organisations syndicales ont également été informées et consultées.
Les droits d’accès et de rectification s’exercent directement auprès du responsable de la cellule d’écoute et de traitement des alertes par mail ou par courrier adressé à la Cellule d’écoute des ministères des affaires sociales (CEMCAS).
Sur les mesures de sécurité
La Commission indique que des mesures doivent être prises par le responsable de traitement afin de garantir la sécurité et la confidentialité des données, et, notamment, empêcher que des tiers non autorisés y aient accès.
Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracés.
La Commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge.
La Commission rappelle également, qu’en cas de recours aux services d’un prestataire, ce dernier ne peut agir que sur instruction du responsable de traitement, lequel n’est pas dispensé de son obligation de veiller au respect des mesures de sécurité qui lui sont imposées par l’article 34 de la loi du 6 janvier 1978 modifiée. Le prestataire doit par ailleurs présenter des garanties suffisantes pour assurer la mise en œuvre des mesures de sécurité, et le contrat établi entre les parties doit comporter l’indication des obligations incombant au prestataire en matière de sécurité des données à caractère personnel.
La Commission rappelle enfin que l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sous cette réserve, les mesures de sécurité envisagées n’appellent pas d’observations particulières.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n°004, à savoir :
Cette durée de conservation apparaît pertinente au regard de la finalité poursuivie par le traitement conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Les données relatives à un signalement, considéré dès son recueil, par le responsable du traitement des signalements, comme n'entrant pas dans le champ du dispositif sont détruites immédiatement ;
Lorsque le signalement n'est pas suivi d'une procédure disciplinaire ou judiciaire, les données relatives à ce signalement sont détruites par le responsable du traitement des signalements ou ses délégataires dans un délai de deux mois à compter de la clôture des opérations de vérification ;
Lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives au signalement sont conservées pendant un délai qui n’excédera pas le délai de prescription applicable ;
Les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de prescription applicables.
Abroge la délibération n° 2013-093 du 11 avril 2013 et autorise, conformément à la présente délibération, le ministère des affaires sociales, de la santé et des femmes, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère de la ville, de la jeunesse et des sports,  à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN