(demande d’autorisation n°  2050559)
La Commission nationale de l'informatique et des libertés,
Saisie par la Caisse nationale de l’assurance vieillesse d’une demande d’autorisation relative à un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des incivilités et des agressions subies par ses agents ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9, 25-I-3° et 4°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par la Caisse nationale de l’assurance vieillesse (CNAV), en qualité d’organisme chargé de la branche Retraite du régime général de la sécurité sociale, d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des incivilités et/ou des agressions commises par les usagers à l’encontre de son personnel.
Dans la mesure où ce traitement a, d’une part, vocation à porter notamment sur des données relatives à des infractions pénales et, d’autre part, qu’il est susceptible du fait de sa nature, de sa portée et de ses finalités d’exclure temporairement des personnes de la faculté de se rendre dans les locaux de l’un des organismes pendant un temps limité, il y a lieu de faire application des dispositions prévues au 3° et 4° du I de l’article 25 de la loi du 6 janvier 1978 modifiée, qui prévoient que la création de ces catégories de traitement doit être autorisée par la Commission.
Sur la finalité
Dans le cadre de l’exercice de leurs missions d’accueil, de suivi et d’accompagnement des usagers, les employés de la branche Retraite de la sécurité sociale (CNAV Ile-de-France, caisse d’assurance retraite et de la santé (CARSAT), caisse générale de sécurité sociale (CGSS) et caisse de sécurité sociale (CSS)) peuvent être confrontés à des actes d’incivilité ou à des agressions susceptibles de prendre la forme d’insultes, de menaces, d’agression physique ou psychologique, ou encore de destruction d’objets de la part d’usagers.
Aussi, la CNAV souhaite mettre en place pour l’ensemble des caisses susvisées, un traitement automatisé de données à caractère personnel dénommé « Outil national de déclaration des incivilités et des agressions en ligne » (ODIL) permettant, d’une part, d’identifier les incivilités et agressions subies par les employés afin de proposer des actions de prévention et de correction à mettre en place et, d’autre part, de gérer les suites à donner à ces dernières par la caisse concernée.
A cet égard, chacun des organismes est susceptible de prendre des mesures qui peuvent prendre la forme, en fonction de la gravité de la situation, d’un courrier de rappel à l’ordre assorti de mise en garde en cas de récidive ou d’une suspension temporaire de l’accès aux locaux pour une durée de dix à quinze jours.
Sur ce dernier point, la Commission prend acte que les usagers ne seront pas privés de leurs indemnisations et/ou de la possibilité d’accéder aux autres services offerts par la CNAV et qui sont accessibles par l’intermédiaire des autres canaux de communication (Internet et téléphone).
Un suivi statistique des incivilités et agressions, ainsi qu’une analyse de leurs causes, seront réalisés par la CNAV afin d’identifier les récurrences et alimenter ainsi les actions de prévention mises en place.
La Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes conformément aux dispositions de l’article 6-2° de la loi Informatique et Libertés.
Sur les données traitées
La Commission prend acte que les informations permettant d’identifier directement ou indirectement la personne concernée ne seront pas collectées de manière systématique pour chaque incident mais en fonction des situations rencontrées et des suites données aux événements.
Les données collectées et enregistrées dans le cadre du traitement « ODIL » peuvent être relatives :
à l’identité de la victime : nom, prénom, numéro de l’agent, emploi occupé, service, lieu de travail, coordonnées professionnelles (numéro de téléphone et adresse courriel professionnels) ;
à l’identité de l’agresseur : profil de l’agresseur (menu déroulant proposant : assuré sans dossier, assuré avec demande ou droit en cours, tiers sans procuration, tiers avec procuration, représentant légal de l’assuré, entreprise cliente, assuré à domicile, autre le cas échéant), motifs de la visite et autres informations sur l’agresseur (champ de saisie libre) ;
au contexte de l’acte : lieu, date et heure, et le cas échéant, le nom et les coordonnées du ou des témoins (le numéro de téléphone ou l’adresse postale) ;
aux faits : nature de l’acte (un menu déroulant proposant : agression physique, agression verbale en face à face, agression verbale au téléphone, agression psychologique, dégradation matérielle, autre avec complément d’information), description des faits ;
au ressenti de la victime : intensité de la « douleur » ressentie par la victime sur une échelle d’émoticônes ;
aux mesures d’accompagnement : dans un premier temps, une zone d’expression libre dédiée à la victime afin d’indiquer les mesures d’accompagnement et la prise en charge souhaitées et, dans un deuxième temps, les informations relatives aux mesures d’accompagnement mises en œuvre.
La Commission prend note qu’aucune mention de l’évènement ne sera mise au dossier de l’assuré, sauf dans les cas les plus graves, et plus particulièrement lorsqu’une mesure d’exclusion est prononcée à l’encontre de l’assuré.
S’agissant des champs libres, la Commission prend acte que le numéro de sécurité sociale (NIR) de l’agresseur ne pourra pas être renseigné par la victime. Elle rappelle que les commentaires ne doivent pas être inappropriés, subjectifs ou insultants et qu’ils ne doivent donc contenir que des mentions neutres et factuelles.
La Commission relève que les exposés des faits contenus dans l’outil « ODIL » peuvent se rapporter à une infraction pénale, lorsque le comportement litigieux est susceptible d’être qualifié comme tel.
A cet égard, la Commission considère que la collecte des données pouvant se rapporter à des infractions pénales est légitime et conforme aux dispositions de l’article 9 de la loi du 6 janvier 1978 modifiée.
La Commission considère que les données collectées et enregistrées dans le traitement sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées conformément aux dispositions de l’article 6-3° de la loi Informatique et Libertés.
Sur les destinataires
Dans la limite de leurs attributions respectives, et chacun pour ce qui le concerne, seuls peuvent accéder aux informations enregistrées dans le traitement :
les responsables de proximité, responsables hiérarchiques de l’employé victime ;
le référent incivilité RH au sein du service RH d’une des caisses, ainsi que, le cas échéant, le personnel du service RH ayant à agir dans l’écoute et l’orientation de la prise en charge ;
le service médical de la caisse, et le cas échéant, les experts en psychologie du cabinet « Pros-consulte » ;
les membres du Comité d’hygiène, de sécurité et des conditions de travail (CHSCT).
Par ailleurs, la Commission relève que le directeur général de l’organisme pourra avoir accès aux informations contenues dans le traitement lorsqu’un courrier de rappel à l’ordre ou d’exclusion est envisagé ainsi qu’en cas de dépôt de plainte.
En outre, elle relève également que le personnel juridique de la caisse et l’autorité judiciaire pourront avoir accès aux informations contenues dans le traitement, dans le cadre d’un dépôt de plainte ou d’une main courante.
La Commission estime que les destinataires ont un intérêt légitime à connaître des données contenues dans le traitement.
Sur l’information et les droits des personnes
Les personnes concernées par le traitement « ODIL » sont informées, conformément aux dispositions de l’article 32 de la loi Informatique et Libertés, par des mentions figurant :
à destination des employés : sur le site intranet de l’organisme, sur des documents et des notes de présentation du dispositif ainsi que sur la fiche de signalement ;
à destination des usagers : sur le site internet des organismes ainsi que sur des panneaux d’affichage.
En outre, la Commission relève que la CNAV s’est engagée à apposer une mention d’information sur les courriers qui sont adressés aux usagers.
La Commission considère que les modalités d’information des personnes sont satisfaisantes.
Les droits d’opposition, d’accès et de rectification prévus par les articles 38, 39 et 40 de la loi Informatique et Libertés, s’exercent auprès du service « Relation CNIL » de chaque organisme de la branche Retraite de la sécurité sociale.
La Commission considère que les modalités d’exercice des droits des personnes sont satisfaisantes.
Par ailleurs, elle prend acte que les représentants du personnel de chaque caisse régionale seront informés de l’existence et des modalités du dispositif.
Sur la durée de conservation
Les données à caractère personnel collectées et enregistrées dans le traitement « ODIL » sont conservées pendant trois ans à compter de leur enregistrement.
La conservation de ces données, au-delà de la durée des mesures temporaires d’exclusion qui peuvent être prises à l’encontre d’un usager vise à permettre un traitement différencié d’une éventuelle réitération des faits, d’une part, et à préparer les éventuelles suites judiciaires d’un dossier, d’autre part.
La Commission estime que ces durées n’excèdent pas celles nécessaires aux finalités pour lesquelles elles sont collectées, conformément aux dispositions de l’article 6-5° de la loi Informatique et Libertés.
Sur les mesures de sécurité
Chaque responsable de caisses mettant œuvre le traitement est tenu, en application de l’article 34 de la loi du 6 janvier 1978 modifiée, de prendre toutes les précautions utiles au regard de la nature des données et des risques présentés par le traitement pour les personnes concernées afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
A cet effet, le responsable de traitement définit une politique de sécurité adaptée aux risques présentés par le traitement. Cette politique doit décrire les objectifs de sécurité et les mesures de sécurité physique, logique et organisationnelle permettant de les atteindre. Elle doit être mise à jour régulièrement pour tenir compte des évolutions du contexte et doit également prévoir des moyens permettant à tous ceux devant l'appliquer, de la connaître et de la mettre en œuvre.
Les accès aux traitements de données nécessitent une authentification des personnes accédant aux données, au moyen d'un identifiant et d'un mot de passe individuels respectant la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe mise à jour le 22 juin 2017.
Les habilitations permettant d'accéder aux données doivent être précisément définies. Ces habilitations doivent être périodiquement vérifiées et supprimées lorsque les utilisateurs n’ont plus besoin d’accéder aux données.
Les conditions d'administration du système d'information prévoient l'existence de systèmes automatiques de traçabilité (journaux, audits, etc.). Ces systèmes doivent intégrer une journalisation des connexions aux applications et aux postes de travail ainsi qu’une journalisation des opérations de consultation ou de modification des données, incluant un identifiant de la personne à l’origine de l’opération. Ces journaux doivent être conservés pendant six mois, sans préjudice de l’application d’obligations légales spécifiques.
Les opérations de destruction et suppression des données doivent être réalisées de manière sécurisée, soit en détruisant physiquement les supports papier ou informatiques, soit en utilisant des outils d’effacement sécurisés à l’état de l’art.
Les échanges de données réalisés sur des réseaux publics, notamment tous les échanges réalisés par courriel, doivent être systématiquement chiffrés avec des outils à l’état de l’art afin d’en garantir la confidentialité et l’intégrité.
Afin de garantir leur effectivité, les opérations de suppression de données doivent être réalisées de façon automatique.
Dans ces conditions, la Commission autorise, conformément à la présente délibération, la Caisse nationale de l’assurance vieillesse à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN