(Demande d’autorisation  n°1654305)
La Commission nationale de l'informatique et des libertés,
Saisie conjointement par le ministère des affaires sociales et de la santé, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative d’une demande d’autorisation portant sur la mise en œuvre d’un traitement automatisé de données à caractère personnel concernant une cellule d’écoute et de traitement des signalements de discriminations dénommée « Cellule d’écoute et d’alerte »
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle (AU004), telle que modifiée le 14 octobre 2010 ;
Après avoir entendu M. Emmanuel de GIVRY, commissaire et M Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le ministère des affaires sociales et de la santé, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative ont conjointement saisi la CNIL d’une demande d’autorisation pour la mise en œuvre d’un dispositif de traitement de données à caractère personnel dénommé « Cellule d’écoute et d’alerte ». Ce dispositif permet aux agents de signaler des faits de discriminations dont ils pensent être victimes ou dont ils sont témoins.
La Commission considère qu’il y a lieu de faire application des dispositions de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.
Elle rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle.
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par l’autorisation unique précitée s’agissant du fondement juridique et du champ d’application du dispositif d’alerte.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement soumis à son appréciation, au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Sur la détermination du responsable de traitement
L’article 3 de la loi du 6 janvier 1978 modifiée dispose que le responsable d’un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l’autorité publique, le service ou l’organisme qui détermine ses finalités et ses moyens.
Dans le cadre de l’instruction de ce dossier, il a été précisé que le directeur de l’administration générale et de la modernisation des services (DAGEMO) du ministère du travail était désigné en tant que responsable de traitement pour l’ensemble du périmètre des ministères chargés des affaires sociales.
Sur la finalité et le champ d’application du dispositif
La Commission considère que l’utilisation du dispositif d’alerte doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés. Elle estime, par ailleurs, qu’afin de tenir compte de ce caractère intrinsèquement complémentaire, un dispositif d’alerte doit être limité dans son champ.
En l’espèce, le dispositif est limité aux seules alertes dans le domaine de la discrimination et du « harcèlement discriminatoire » au sens du paragraphe 1 de l’article 1er de la  loi n° 2008-496 du 27 mai 2008 portant diverses dispositions d'adaptation au droit communautaire dans le domaine de la lutte contre les discriminations.
Par ailleurs, les ministères des affaires sociales ont adhéré au « label diversité » et souhaitent, dans ce cadre, mettre en place un dispositif d’alerte professionnelle dédié à la lutte contre les discriminations, prenant la forme d’une structure externe d’écoute et de traitements des signalements reçus.
Le « label diversité » a été créé par le décret n°2008-1344 du 17 décembre 2008 et s’inscrit dans la politique gouvernementale de prévention des discriminations et de promotion de la diversité. Le ministère de l’intérieur, qui a repris les attributions de l’ancien ministère de l’immigration et de l’intégration, est désormais responsable de sa mise en œuvre en collaboration avec l’AFNOR Certification. Ce label a pour objectifs d’une part, de promouvoir la diversité et la prévention des discriminations et d’autre part, de valoriser les meilleures pratiques en matière de recrutement et d’évolution professionnelle au sein des organismes.
Le cahier des charges de l’AFNOR préconise notamment la mise en place d’outils permettant d’« identifier les plaintes et réclamations internes ou externes » et, de manière générale, d’assurer la traçabilité des signalements.
La Commission relève que le dispositif présenté s’inscrit dans le cadre des textes internationaux, européens et nationaux afférents à la prévention des discriminations, à l’égalité des chances et à la promotion de la diversité dans le domaine de la gestion des ressources humaines.
Elle constate que les faits susceptibles d’être recueillis dans le cadre de ce dispositif sont strictement limités aux alertes relatives à la discrimination et aux « harcèlements discriminatoires ».
La Commission estime que le dispositif d’alerte qui lui est présenté est limité dans son champ et répond à l’intérêt légitime du responsable du traitement.
Sur les modalités de signalement
Le dispositif d’alerte dédié aux discriminations est ouvert aux agents du ministère des affaires sociales et de la santé, du ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et du ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative.  Il est également ouvert aux candidats aux concours et examens, dont la procédure a pris fin depuis trois mois au plus, ainsi qu’aux agents en démission ou retraite depuis six mois au plus.
Seules les personnes mentionnées ci-dessus sont susceptibles de signaler des faits de discriminations dont ils pensent être victimes ou dont ils sont témoins.
L’alerte est traitée par un prestataire extérieur, la Fondation Agir Contre l’Exclusion (FACE).
La Fondation Agir Contre l’Exclusion a pour objectifs de prévenir et lutter contre toutes les formes d'exclusion, de discrimination et de pauvreté (emploi, éducation, consommation, santé, logement, fracture numérique, citoyenneté) en mobilisant les entreprises afin de favoriser l'innovation sociale et d'apporter un soutien actif à des initiatives locales de lutte contre les exclusions. La FACE est une Fondation Reconnue d'Utilité Publique.
Les personnes concernées peuvent saisir la cellule d’écoute et de signalement via une ligne téléphonique dédiée. Toutes les alertes sont réceptionnées par le prestataire, la FACE. La 1ère prise de contact téléphonique doit être complétée par un échange écrit  pour recueillir l’accord de la victime avant la saisine de son employeur.
Sur le traitement de l’identité de l’émetteur de l’alerte
La Commission considère que l’obligation de s’identifier pour la personne à l’origine de l’alerte est de nature à limiter les risques de mise en cause abusive ou disproportionnée de l'intégrité professionnelle, voire personnelle des personnes concernées.
Le dispositif soumis par les ministères n’est pas conçu pour permettre des signalements anonymes. L’émetteur d’un signalement doit nécessairement s’identifier. Son identité est par la suite traitée de façon confidentielle par les personnes chargées du recueil des alertes.
La Commission observe qu’il est clairement rappelé que l’utilisation abusive de ce dispositif peut exposer son auteur à des sanctions disciplinaires, ainsi qu’à des poursuites judiciaires.
Compte tenu de ce qui précède, elle estime que le traitement envisagé est conforme à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur l’information des personnes
L’information générale est assurée par les ministères des affaires sociales au moyen d’une instruction aux chefs de service et d’un courriel complété par un formulaire « questions-réponses » adressé à l’ensemble des agents lors de l’ouverture de la cellule. Une lettre d’information sera également adressée aux agents au moment de leur départ à la retraite ainsi qu’aux agents en démission. Cette information figurera également dans le courriel adressé par la cellule aux plaignants.
La personne éventuellement mise en cause est informée dès l'enregistrement des données la concernant.
Si le donneur d’alerte utilise le dispositif en qualité de témoin, il devra en informer préalablement la personne victime de discrimination et recueillir son accord à la poursuite de l’instruction du signalement et à la saisine de son employeur.
La Commission prend acte que le projet a été présenté en comités techniques ministériels et en CHSCT. Les organisations syndicales ont également été informées et consultées.
Sur les catégories de données à caractère personnel enregistrées
Sont collectées ou susceptibles d’être collectées les informations relatives à l’identité de la victime, à ses date et lieu de naissance, à sa situation professionnelle, à l’emploi occupé, à son adresse électronique personnelle, aux données de santé et de soins, aux origines raciales et ethniques, aux opinions politiques, philosophiques et religieuses, à l’appartenance syndicale et à la vie sexuelle.
Votre rapporteur précise que l’ensemble de ces informations n’ont pas vocation à être systématiquement recueillies.
Si la collecte des informations « sensibles » au sens de l’article 8 de la loi du 6 janvier 1978 modifiée est nécessaire, l’administration s’est néanmoins engagée à demander à son prestataire d’avoir recours à une grille listant les critères de discriminations prohibés par loi, sous la forme de case à cocher. Ce n’est que lorsque le contexte de la discrimination doit être explicité que cette grille sera complétée par des informations factuelles et strictement nécessaires à l’instruction du signalement.
L’article 8-II-1° de la loi prévoit que, lorsque la finalité du traitement l’exige, les données sensibles peuvent être collectées et traitées après recueil du consentement exprès de la personne concernée.
La Commission relève que la victime doit systématiquement donner son accord au traitement de ses données avant la communication du signalement à son employeur. Le recueil du consentement se fait par écrit et doit toujours être explicite.
Les informations recueillies seront complétées par une description objective des faits signalés par la victime, les éléments recueillis dans le cadre de la vérification de ces faits, le compte rendu des opérations de vérification et les suites données à l’alerte.
Enfin, au regard de la sensibilité des données collectées, la Commission rappelle l’obligation renforcée de confidentialité à laquelle sont soumises les personnes chargées du recueil et du traitement des données.
Sur les droits des personnes
Les droits d’accès et de rectification s’exercent directement auprès du responsable de la cellule d’écoute et de traitement des alertes par mail ou par courrier adressé à la Cellule d’écoute des ministères des affaires sociales (CEMCAS) – Fondation Agir Contre l’Exclusion (FACE) – 29 rue du Colisée à PARIS.
Sur les destinataires des informations
Les destinataires de tout ou partie des données à caractère personnel sont, dans la limite de leurs attributions, les personnes en charge du traitement des plaintes au sein de la Fondation Agir Contre l’Exclusion ainsi que l’entité employeur de la victime, à savoir le responsable d’une direction en capacité de mettre fin à une situation de discrimination.
Les ministères transmettent au prestataire les éléments nécessaires lui permettant d’identifier le responsable en fonction de la nature de la discrimination et des faits portés à sa connaissance.
Sur la durée de conservation
La Commission relève que les durées de conservation des données sont conformes à celles prévues à l’article 6 de la délibération de la Commission n°2005-305 du 8 décembre 2005 (AU-004).
Sur les sécurités
Des mesures de sécurité sont prises afin de préserver la sécurité et la confidentialité des données et, notamment, empêcher que des tiers non autorisés y aient accès. Les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données sont tracées.
Les mesures de sécurité envisagées n’appellent pas d’observations particulières.
Dans ces conditions, la Commission autorise le ministère des affaires sociales et de la santé, le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social, et le ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative à mettre en œuvre un traitement de données ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle dédié aux signalements de discrimination.
La Présidente
Isabelle FALQUE-PIERROTIN