La Commission nationale de l'informatique et des libertés,
Saisie par le Ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet d'arrêté relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé  TéléRC  ayant pour finalité la gestion des demandes d'homologation des ruptures conventionnelles d'un contrat de travail à durée indéterminée ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail, notamment ses articles L. 1237-11 à L. 1237-16 et R. 1237-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-II-4°, 28 et 29 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le projet d'arrêté portant création d'un téléservice et d'un traitement automatisé de données nominatives relatif à la gestion des demandes d'homologation des ruptures conventionnelles d'un contrat de travail à durée indéterminée ;
Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Sur le fondement de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministère du travail, de l'emploi et de la santé d'un projet d'arrêté portant création d'un téléservice dénommé  téléRC  relatif à la gestion des demandes d'homologation des ruptures conventionnelles d'un contrat de travail à durée indéterminée (CDI).
A titre liminaire, il convient de rappeler qu'aux termes des dispositions des articles L. 1237-11 à L. 1237-16 du Code du travail, l'employeur et le salarié peuvent convenir d'un commun accord des conditions de la rupture du contrat de travail qui les lie. Cette rupture conventionnelle du contrat de travail obéit à une procédure spécifique : entretien(s) entre les deux parties, homologation de la convention par l'administration, etc.
Le téléservice  téléRC  permet aux employeurs et salariés d'effectuer en ligne la demande d'homologation de la rupture conventionnelle.
Sur les finalités du traitement :
Le projet d'arrêté prévoit la création d'un traitement automatisé de données à caractère personnel ayant pour finalités :
- la mise à disposition des usagers (employeurs et salariés) d'un téléservice, dénommé  téléRC , offrant une assistance pour la saisie du formulaire CERFA n° 14598 de demande d'homologation d'une rupture conventionnelle d'un contrat de travail à durée indéterminée ;
- l'accès à une application de gestion permettant aux agents des services du ministère d'instruire les demandes d'homologation, soit par saisie des données ou par récupération automatique des données pré-saisies depuis le portail public, à réception du formulaire papier en unité territoriale(UT) ;
- l'élaboration d'études statistiques sur des données rendues anonymes à partir des données collectées dans un outil décisionnel.
La Commission prend acte que la saisie assistée offre une garantie de qualité de remplissage des dossiers et un traitement rapide des demandes d'homologation des ruptures conventionnelles par l'administration.
La Commission considère que les finalités de l'application  téléRC  sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
La Commission relève que l'article 2 du projet d'arrêté liste les données à caractère personnel collectées et traitées via deux canaux :
• depuis le portail public
- données relatives à l'employeur (n° SIRET, raison sociale, adresse de l'établissement, nom du signataire de la convention, numéro de téléphone, courriel, n° URSSAF) ;
- données relatives au salarié (civilité, nom, prénom, date de naissance, adresse de correspondance, numéro de téléphone, courriel, qualification, emploi, convention collective) ;
- données relatives au calcul de l'indemnité (ancienneté du salarié, dernier mois rémunéré connu, montant des salaires mensuels des douze derniers mois, primes exceptionnelles des douze derniers mois, montant de la rémunération moyenne, montant brut en chiffres et en lettres de l'indemnité spécifique proposée) ;
- données relatives à l'entretien (date, nom, prénom et qualité des assistants du salarié et de l'employeur) ;
- données relatives à la convention de rupture (montant de l'indemnité de rupture, date de signature des parties, date de fin du délai de rétractation, date de rupture envisagée, autres clauses de la convention) ;
• depuis l'application de gestion
La réception des formulaires papiers en unités territoriales permet aux agents de créer un dossier depuis leur intranet métier ou de récupérer les informations pré-saisies depuis le portail public. Les données traitées sont :
- les données issues du formulaire CERFA et renseignées dans le portail public ;
- données rapatriées depuis l'annuaire SIENE interne du ministère (code APE, effectifs de l'établissement, code section d'inspection) ;
- nombre de ruptures conventionnelles dans l'entreprise sur une période de 15 mois, informations sur chaque rupture conventionnelle (unité territoriale d'attribution, numéro du dossier créé, n° SIRET de l'établissement, nom ou raison sociale de l'établissement, date de réception du formulaire en unité territoriale, décision prise, date de la décision, nom et prénom du salarié) ;
- nature de la décision (irrecevabilité, homologation implicite, homologation expresse, refus, transfert vers l'unité territoriale compétente)
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données sont conservées 2 ans à compter de la date à laquelle l'administration a rendu sa décision sur la demande d'homologation, depuis l'application de gestion.
Les données restent accessibles 60 jours du côté du portail public pour les gestionnaires en UT, qu'elles soient récupérées ou non du côté application de gestion.
Les dossiers créés par les usagers sont accessibles pendant 3 jours sur le portail public ; au-delà l'usager n'y a plus accès. A l'issue de ce délai l'usager doit générer le formulaire papier pré-rempli qu'il adresse à l'administration. Une fois le dossier instruit par l'administration, l'usager peut générer une attestation depuis le portail public. Il dispose pour ce faire d'un délai de 6 mois à compter de la fin du délai d'instruction. A l'issue de ce délai, le dossier n'est plus accessible.
Ces durées de conservation apparaissent pertinentes au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
Les destinataires des données sont, à raison de leurs attributions respectives et pour les besoins des missions qui leur sont confiées :
- les agents de l'inspection du travail ;
- les agents de la direction générale du travail au ministère chargé du travail ayant en charge le suivi de la mise en œuvre de ce traitement et de la gestion des demandes d'homologation ;
- les agents des services statistiques du ministère chargé du travail.
La liste de ces destinataires n'appelle pas d'observations de la Commission.
Sur l'information des personnes :
Les usagers sont informés, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, de leurs droits d'accès, de rectification et d'opposition sur le portail public www.teleRC.travail.gouv.fr dans la rubrique  mentions légales . Ces informations sont également mentionnées sur le formulaire CERFA.
Les conseillers du salarié relevant des directions régionales des entreprises, de la concurrence, de la consommation, du travail et de l'emploi (DIRECCTE) sont informés par courrier de la mise en place d'un traitement automatisé de données susceptibles d'inclure leur identité s'ils interviennent dans une procédure de rupture conventionnelle en assistant un salarié et qu'ils peuvent s'opposer à figurer dans ce traitement.
Ces modalités d'information des personnes apparaissent suffisantes pour la Commission.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d'accès, de rectification et d'opposition des personnes s'exercent auprès du Ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social - Direction Générale du Travail - Bureau des relations collectives du travail (RT2) ou auprès du service instructeur de la DIRECCTE compétente.
Ces modalités d'exercice des droits des personnes apparaissent suffisantes pour la Commission.
Sur la sécurité des données et la traçabilité des actions :
La Commission prend acte que des mesures de protection physiques et logiques sont prises pour préserver la sécurité du traitement de données à caractère personnel. Ces mesures visent à empêcher toute utilisation détournée ou frauduleuse des données ou que des tiers non autorisés y aient accès.
Elle prend acte que l'accès au serveur est protégé par login et mot de passe. Les utilisateurs répartis par profils n'ont accès qu'aux fonctions et données autorisées par le profil qui leur est affecté (gestionnaire, observateur, administrateur). Par ailleurs des firewalls protègent le système des intrusions malveillantes. La traçabilité des mouvements est disponible et utilisable pour détecter et vérifier les mouvements anormaux. L'accès aux logiciels est réservé au personnel habilité.
La Commission considère que ces mesures de sécurité sont satisfaisantes au regard des dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN