La Commission nationale de l'informatique et des libertés,
Saisie par le ministre du travail d’une demande d’avis concernant un projet de décret en Conseil d’Etat relatif à diverses dispositions relatives au détachement de travailleurs et au renforcement de la lutte contre le travail illégal;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel, notamment ses articles 102 et 103 ;
Vu le code du travail ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Eve JULLIEN, adjointe au commissaire du Gouvernement,
Émet l’avis suivant :
La Commission a été saisie par le ministre du travail, d’une demande d’avis portant sur un projet de décret en Conseil d’Etat relatif à diverses dispositions relatives au détachement de travailleurs et au renforcement de la lutte contre le travail illégal.
Le projet de décret prévoit les mesures d’application de la loi du 5 septembre 2018 susvisée. Les articles 102 et 103 de cette loi précisent que ces mesures sont prises, dans des conditions fixées par décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés.
En premier lieu, l’article 8 du projet de décret vise à mettre en cohérence des articles relatifs à la liste noire des entreprises condamnées pour travail illégal, conformément aux nouvelles dispositions de l’article 102 de la loi susvisée.
Cet article a en effet modifié les conditions dans lesquelles le juge pénal prononce la peine complémentaire d’affichage et de diffusion d’informations relatives à des personnes physiques ou morales condamnées pour travail illégal sur le site Internet du ministère du travail. Il a rendu obligatoire, sauf si le juge en décide autrement par une décision spécialement motivée, le prononcé de cette peine complémentaire lorsque la personne reconnue coupable est condamnée pour des faits de travail dissimulé commis avec des circonstances aggravantes (bande organisée, victimes mineures, victimes en état de vulnérabilité). Dans ce cas, la loi a prévu que la durée d’affichage et de diffusion est fixée par le juge et ne peut excéder un an.
Le projet de décret tire les conséquences de la modification législative en corrigeant les renvois faits aux articles de la partie législative du code du travail. Il supprime également la condition tenant à ce que le juge ait prononcé une amende pénale pour que la peine complémentaire soit exécutée, les infractions de travail dissimulé en cause pouvant donner lieu tant à des peines d’amende qu’à des peines d’emprisonnement. Ces modifications n’appellent pas d’observations particulières.
En deuxième lieu, l’article 9 du projet de décret prévoit les mesures d’application de l’article 103 de la loi relatif au renforcement des pouvoirs d’enquête et du droit de communication des agents de contrôle de l’inspection du travail en matière de lutte contre le travail illégal.
Il prévoit que le droit de communication de documents ou d’informations auprès de tiers prévu à l’article L. 8113-5-2 du code du travail est exercé, dans le cadre d’une enquête visant une ou plusieurs infractions constitutives de travail illégal, par les agents de contrôle de l’inspection du travail ou par le groupe national de veille, d’appui et de contrôle défini à l’article R.8121-15 ou dans l’une des unités régionales d’appui et de contrôle définie à l’article R.8122-8 du même code.
A titre liminaire, la Commission rappelle qu’elle a toujours entendu poser le principe selon lequel le droit de communication doit s’exercer de manière ponctuelle et motivée. En outre, les demandes d’information formulées dans le cadre de ce droit doivent en principe ne porter que sur des personnes identifiées.
La Commission relève que lorsque la communication porte sur des informations relatives à des personnes non identifiées, le projet de décret prévoit que la demande doit comporter les mentions suivantes :
- La nature de la relation juridique ou économique existant entre la personne à qui la demande est adressée et les personnes qui font l'objet de la demande ;
- Des critères relatifs à l'activité des personnes qui font l'objet de la demande, dont l'un au moins des trois critères suivants : lieu d'exercice de l'activité ; niveau d'activité ou niveau des ressources perçues, ces niveaux pouvant être exprimés en montant financier ou en nombre ou fréquence ou durée des opérations réalisées ou des versements reçus ; mode de paiement ou de rémunération ;
- La période, éventuellement fractionnée, mais ne pouvant excéder dix-huit mois, sur laquelle porte la demande.
La Commission souligne que ces éléments ont un caractère cumulatif afin d’identifier le plus précisément possible les personnes concernées.
Elle observe que les critères utilisés sont similaires à ceux qu’elle avait examinés dans sa délibération n° 2017-053 du 9 mars 2017 portant avis sur un projet de décret en Conseil d’Etat relatif aux conditions d’exercice du droit de communication mentionné au cinquième alinéa de l’article L.114-19 du code de la sécurité sociale.
La Commission relève que dans le cadre d’une enquête visant une ou plusieurs infractions constitutives de travail illégal
les informations communiquées sont conservées pendant un délai de trois ans à compter de leur réception et jusqu'à l'épuisement des voies et délais de recours contre les sanctions administratives ou condamnations pénales consécutifs aux contrôles réalisés sur la base de ces informations
La durée de conservation retenue dans le projet de décret doit donc permettre le traitement des contentieux pouvant intervenir dans le cadre des procédures mises en œuvre suite à l’exercice du droit de communication.
Au regard de l’ensemble de ces éléments, la Commission estime que les modalités prévues par le projet de décret pour la mise en œuvre de ce droit de communication relatif à des personnes non identifiées repose sur des éléments suffisamment objectifs permettant la transmission des seules informations pertinentes.
Enfin, le projet de décret précise que
sur demande des agents, les informations sont communiquées sur un support informatique, par un dispositif sécurisé
Au regard de la possibilité pour des tiers non autorisés d’intercepter les communications entre les organismes sollicités et les agents habilités, de prendre connaissance et d’altérer les documents et données qui seraient transmis, la Commission rappelle que des risques importants pèsent sur les personnes concernées. Elle rappelle de ce fait que des mesures de nature à limiter ces risques doivent mises en œuvre telle que recourir à des méthodes de chiffrement des supports (par exemple chiffrement asymétrique) afin d’assurer la confidentialité des informations et de mettre en œuvre des méthodes de signature numérique et de calcul d’empreinte permettant de garantir l’authenticité et l’intégrité des documents et données échangés.
La Commission rappelle en outre l’importance de mettre en œuvre des mesures techniques et organisationnelles garantissant que seules les personnes habilitées auront accès aux documents transmis. Elle rappelle qu’une politique générale de gestion des mots de passe doit être mise en œuvre conformément à sa recommandation en la matière ainsi que des mesures de traçabilité adéquates sur les accès, modifications et destructions de ces documents et données.
Pour La Présidente
Le Vice-Président délégué
Marie-France MAZARS