(Demande d’autorisation n° 1797597)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la défense d’une demande d’autorisation préalablement à la mise en œuvre d’un dispositif d’alerte professionnelle par le contrôle général des armées du ministère de la défense ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 30 janvier 2014;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (AU-004).
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant de la durée de conservation et des destinataires des données.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, du 5° de l’article 6 de la loi du 6 janvier 1978 modifiée qui prévoit que des données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède par la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, et de l’article 34 de cette loi prévoyant que des données à caractère personnel ne doivent pas être accessibles à des tiers non autorisés.
Sur le responsable du traitement
La Commission a été saisie par le ministre de la défense préalablement à la mise en œuvre par le Contrôle général des armées (CGA), organisme placé sous l’autorité directe du ministre de la défense, d’un traitement de données à caractère personnel dénommé « GESSIT » permettant de signaler certains comportements.
Ce dispositif de signalement sera administré par une cellule indépendante des armées et des services, dénommée cellule « Thémis », créée par la décision n°6877/DEF/CAB du ministre de la défense et composée de personnes placées sous l’autorité d’un membre du corps militaire du CGA.
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle, dans lequel la cellule « Thémis » sera chargée :
Les signalements, après avoir été anonymisés, pourront ensuite être utilisés pour établir des statistiques et le rapport annuel d’activité de la cellule « Thémis ».
de recueillir et d’analyser les signalements afin, notamment, d’informer les autorités et institutions compétentes pour y donner suite ;
de coordonner les investigations menées par les inspections d’armées concernées ;
le cas échéant, de mener les investigations qui lui seront confiées par le ministre de la défense ;
de formuler des recommandations ;
de permettre l’accompagnement de la victime et de l’aider dans la défense de ses droits, notamment en l’orientant vers le dispositif « Ecoute Défense » si elle n’a pas accès à un soutien psychologique ou en s’assurant de l’absence de représailles à son encontre.
La Commission rappelle qu’elle considère, de façon générale, que l’utilisation d’un dispositif d’alerte professionnelle doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée des signalements. Pour tenir compte de ce caractère intrinsèquement complémentaire, elle estime qu’un dispositif d’alerte professionnelle doit être limité dans son champ.
En l’espèce, le traitement « GESSIT » est limité aux signalements de faits censés caractériser un cas de harcèlement, de discrimination ou de violence d’ordre sexuel ou sexiste, lorsque les faits auront été commis en service ou à l’occasion de l’exécution du service, soit dans les lieux soumis à l’autorité du ministre de la défense.
Ce mode de signalement ne se substitue pas à la remontée hiérarchique classique, en ce qu’il constitue un canal de signalement alternatif pour les personnes ne souhaitant pas emprunter la voie classique.
La Commission relève, en particulier au regard de l’article 3 du projet d’arrêté du ministre de la défense autorisant la création du traitement « GESSIT », que l’examen du signalement et le traitement de données à caractère personnel est subordonné au consentement de la victime supposée des faits.
Elle relève également que la cellule « Thémis » informe la hiérarchie de la victime supposée, après avoir obtenu l’accord de cette dernière, et lui remet le dossier à des fins d’enquête interne ou, au minimum, l’informe du signalement.
La Commission estime que le dispositif qui lui est présenté est limité dans son champ d’application, est facultatif et qu’il répond à l’intérêt légitime du responsable du traitement, conformément aux dispositions du 5° de l’article 7 de la loi du 6 janvier 1978 modifiée.
Elle considère, dès lors, que les finalités du traitement « GESSIT » sont déterminées, explicites et légitimes.
S’agissant des modalités de signalement, la Commission prend acte que la cellule « Thémis » peut être saisie par téléphone, par courriel, par courrier, par remise en main propre d’un dossier, ou par oral à l’occasion de la visite d’un membre du CGA dans un organisme.
La Commission relève également que la cellule « Thémis » peut être saisie par la victime supposée des faits, par un tiers ayant eu connaissance des faits, ou par la hiérarchie de la victime supposée. Cette cellule peut, en outre, s’autosaisir d’un signalement dont elle a eu connaissance dans le cadre de la procédure dite « Even Grave », si le traitement du signalement lui paraît le justifier.
Sur les données traitées
Les données à caractère personnel enregistrées dans le traitement « GESSIT » sont relatives :
Au regard de la finalité poursuivie par le responsable de traitement à l’occasion de leur collecte, la Commission considère que ces données sont adéquates, pertinentes et non excessives.
à l’identité, à la vie personnelle, aux fonctions et aux coordonnées de l'émetteur du signalement (nom, prénoms, sexe, date et lieu de naissance, situation sous la forme « auteur du signalement » ou « témoin », adresse postale, adresse de messagerie, adresse IP, numéro de téléphone, situation familiale, statut, armée, arme, corps, grade, adresse et numéro de téléphone professionnels, congés maladie, affectations successives, distinction, reconversion éventuelle) ;
à l’identité, aux fonctions et aux coordonnées des personnes mises en cause (nom, prénoms, sexe, date et lieu de naissance, adresse postale, adresse de messagerie, adresse IP, numéro de téléphone, date d’entrée en service, grade, statut, armée, service d’affectation) ;
aux faits signalés (date et heure de commission, lieu, résumé des faits, justificatifs éventuels) ;
aux suites du signalement (service saisi, ouverture d’enquête administrative et/ou judiciaire, suites administratives, disciplinaires et /ou judiciaires).
S’agissant du traitement de l’identité de l’émetteur de l’alerte, la Commission considère que l’obligation de s’identifier pour l’émetteur de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l’intégrité professionnelle, voire personnelle des personnes concernées.
En l’espèce, elle relève que des signalements anonymes peuvent être émis mais que la procédure n’est poursuivie qu’après la levée de l’anonymat.
L’identité de l’émetteur d’un signalement est par la suite traitée de façon confidentielle par les personnes chargées de l’instruction du dossier.
Sur les destinataires
Les membres de la cellule « Thémis » individuellement désignés et spécialement habilités par le chef du CGA peuvent, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître, accéder directement aux données du traitement « GESSIT ».
Ces données peuvent également être communiquées, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître :
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du traitement « GESSIT ».
aux  membres du cabinet du ministre de la défense,
aux autorités hiérarchiques habilitées à prendre des mesures conservatoires et des sanctions disciplinaires,
aux  membres de la direction des ressources humaines du ministère de la défense,
aux agents de la division des affaires pénales militaires de la direction des affaires juridiques,
au Haut fonctionnaire à l’égalité des droits,
aux autorités judiciaires,
aux membres des corps d’inspection et de contrôle du ministère de la défense,
aux médecins du service de santé des armées,
aux psychologues du service de santé des armées.
Elle relève, à ce titre, que ces personnes sont toutes astreintes à une obligation de discrétion et de confidentialité.
Sur l’information et le droit d’accès
Les personnes concernées par le traitement « GESSIT » sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention apposée sur les formulaires de collecte, une mention sur l’intranet du ministère de la défense, ainsi que la publication au Journal officiel de l’arrêté portant autorisation de création du traitement par le ministre de la défense.
Les droits d’accès et de rectification s’exercent directement auprès de la cellule « Thémis » dépendant du Contrôle général des armées.
Les personnes concernées peuvent également exercer leur droit d’opposition pour un motif légitime auprès de la cellule « Thémis ». En cas de reconnaissance du caractère légitime d’une opposition, les données correspondantes seront supprimées.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des mesures sont prises par le responsable de traitement afin de garantir la sécurité et la confidentialité des données, et, notamment, empêcher que des tiers non autorisés y aient accès.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés. A ce titre, la Commission rappelle que des mots de passe doivent comporter au moins huit caractères et contenir des lettres minuscules et majuscules, ainsi que des chiffres ou des caractères spéciaux.
Des profils d’habilitation définissent les fonctions et les types d’informations accessibles à un utilisateur.
Les transports de données sont sécurisés, notamment par l’utilisation du protocole de sécurisation dit « SSL ».
Par ailleurs, toute opération sur les données du traitement « GESSIT » fait l’objet d’un enregistrement comprenant l’identification de l’utilisateur, la date, l’heure et la nature de l’intervention, étant précisé que ces éléments de journalisation sont conservés pendant cinq ans.
Les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données à caractère personnel et les informations relatives à la gestion d’un signalement sont supprimées à l’issue des vérifications effectuées lorsque le signalement n’est pas jugé fondé par la cellule « Thémis ».
Les données nécessaires aux traitements des signalements fondés et à l’accompagnement de la personne concernée par l’un de ces signalements sont conservées pendant cinq ans maximum, à compter de l’enregistrement du signalement.
En cas de contentieux, ces délais sont prorogés jusqu’à l’intervention d’une décision juridictionnelle devenue définitive.
Les données conservées à des fins d’établissement de statistiques sont effacées cinq ans après leur enregistrement.
La Commission considère que ces durées de conservation sont proportionnées au regard de la finalité poursuivie et du contexte de la collecte.
Autorise, conformément à la présente délibération, le ministère de la défense à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN