(Demande d’autorisation n° 1663977)
La Commission nationale de l'informatique et des libertés,
Saisie par la mairie de Grenoble d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la mise en place d’un dispositif d’alerte professionnelle dédié au traitement des cas de discrimination et de harcèlement ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-3°, 7-5°, 25-I-4° et 35 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération de la CNIL n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d’alerte professionnelle, telle que modifiée le 14 octobre 2010 ;
Vu le dossier et ses compléments ;
Sur la proposition de Monsieur Emmanuel de GIVRY, commissaire, et après avoir entendu les observations de M.  Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
A titre liminaire, la Commission rappelle qu’elle a adopté, le 8 décembre 2005, une délibération portant autorisation unique de traitements automatisés de données à caractère personnel mis en œuvre dans le cadre de dispositifs d'alerte professionnelle (autorisation unique n°4).
Elle observe que le traitement objet de la présente délibération ne répond pas aux conditions prévues par cette autorisation unique, notamment s’agissant du fondement juridique et du champ d’application du dispositif.
La Commission doit, par conséquent, procéder à une analyse spécifique du traitement, au regard des principes relatifs à la protection des données à caractère personnel et, notamment, de l’article 6-3° de la loi du 6 janvier 1978 modifiée qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Sur le responsable du traitement
La Commission est saisie par la mairie de Grenoble en parallèle de la candidature de cette dernière à l’obtention du « label diversité ».
Ce label, créé par le décret n° 2008-1344 du 17 décembre 2008, s’inscrit dans la politique gouvernementale de prévention des discriminations et de promotion de la diversité.
Il a pour objectifs de promouvoir la diversité et la prévention des discriminations, ainsi que de valoriser des bonnes pratiques en matière de recrutement et d’évolution professionnelle.
Son cahier des charges préconise, notamment, la mise en place d’outils permettant d’identifier les plaintes et réclamations internes ou externes et, de manière générale, d’assurer la traçabilité des signalements.
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la mise en œuvre d’un dispositif d’alerte professionnelle, dans le cadre d’une adhésion au « label diversité », dédié à traiter les cas de discrimination et de harcèlement ressentis par les agents municipaux de la ville de Grenoble et les candidats à un emploi municipal.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Elle rappelle que l’utilisation d’un dispositif d’alerte professionnelle doit demeurer facultative et complémentaire par rapport aux autres voies légales de remontée de réclamations des salariés.
En l’espèce, le dispositif présenté par la mairie de Grenoble a vocation a concourir au traitement des situations individuelles liées à des faits de discrimination ou de harcèlement, sans se substituer aux dispositions légales existantes ou aux rôles des instances paritaires, et ce, dans le respect des attributions des différents acteurs.
La Commission relève que les réclamations pouvant être émises par l’intermédiaire de ce dispositif ne peuvent concerner que des faits présumés de discrimination ou de harcèlement.
Elle estime, dès lors, que le dispositif est limité dans son champ et qu’il répond à l’intérêt légitime du responsable de traitement, conformément aux dispositions de l’article 7-5° de la loi du 6 janvier 1978 modifiée.
S’agissant des modalités de signalement, la Commission prend acte que tout agent de la mairie de Grenoble témoin ou victime d’un fait de harcèlement ou de discrimination supposé peut déclencher la procédure en complétant un formulaire, disponible sur l’intranet de la Mairie ou auprès du service Gestion des temps et des congés médicaux (GTCM), qu’il doit ensuite remettre dûment complété, sous pli confidentiel, au secrétariat du service GTCM.
Si la réclamation émane d'un candidat à un emploi municipal, ce dernier déclenche la procédure en remplissant un formulaire, disponible sur le site internet de la Ville ou à retirer à l’Hôtel de Ville auprès du service GTCM, qu’il doit ensuite remettre dûment complété, sous pli confidentiel, au secrétariat du service juridique.
Sur les données traitées
Les données collectées et traitées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
La Commission considère que le traitement de ces données est adéquat, pertinent et non excessif au regard de la finalité poursuivie.
identité, fonction et coordonnées de l'émetteur de l'alerte ;
identité, fonction et coordonnées des personnes faisant l'objet d'une alerte ;
identité, fonction et coordonnées des personnes intervenant dans le recueil ou le traitement de l'alerte ;
faits signalés, notamment le motif supposé et les circonstances d’une discrimination ou d’un harcèlement ;
éléments recueillis dans le cadre de la vérification des faits signalés ;
compte rendu des opérations de vérification ;
suites données à l'alerte.
La Commission rappelle que l’obligation de s’identifier à l’occasion de l’émission d’une alerte professionnelle permet de limiter les risques de mises en cause abusives.
Elle relève que le dispositif de la mairie de Grenoble impose aux utilisateurs de s’identifier, étant précisé que l’identité de ces derniers est néanmoins traitée de manière confidentielle.
Sur les destinataires
Les destinataires de tout ou partie des données à caractère personnel du présent traitement sont, dans la limite de leurs attributions respectives :
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement.
Le service municipal chargé d’enregistrer et d’instruire les réclamations, à savoir le GTCM ;
Les services de la mairie éventuellement sollicités pour leur expertise, à savoir :
le service juridique ;
le service de santé au travail  ;
le service des ressources humaines.
La cellule de veille municipale, destinataire d’un rapport transmis par le service instructeur présentant les éléments factuels recueillis et le contexte, chargée de proposer des mesures de résolution de la situation et composée :
du directeur général des services ou de son représentant ;
du chef du service GTCM ;
du juriste en charge de l’instruction de la réclamation ;
du chef de projet « Lutte contre les discriminations » ;
d’un représentant désigné par chaque organisation syndicale représentative.
L’adjointe au maire chargée de la gestion du personnel et la conseillère municipale déléguée à la lutte contre les discriminations, chargées de décider des mesures à adopter sur la base des propositions de la cellule de veille.
Elle relève, par ailleurs, que ces personnes sont toutes astreintes à une obligation de confidentialité et spécifiquement formées à la lutte contre les discriminations et le harcèlement.
Sur l’information et le droit d’accès
Les agents municipaux sont informés de l’existence du dispositif municipal de veille et de traitement des discriminations et des harcèlements par l’envoi d’un courrier personnalisé.
Cette information est délivrée aux candidats à un emploi municipal par l’intermédiaire d’une mention sur les offres d’emploi.
Les personnes souhaitant émettre une réclamation sont également informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur les formulaires de saisine.
La Commission relève, par ailleurs, que le chef du service GTCM entre en contact avec le requérant lors de l’enregistrement de la réclamation, notamment pour l’informer des étapes de la procédure et lui préciser le champ de compétences du dispositif ainsi que les dispositions réglementaires en vigueur.
Les personnes mises en cause sont informées, quant à elles, dès l’enregistrement d’une réclamation les concernant. La Commission relève que cette information peut éventuellement être retardée le temps strictement nécessaire à l’adoption de mesures conservatoires permettant notamment de prévenir la destruction des preuves.
Les droits d’accès et de rectification s’exercent directement auprès du service GTCM de la mairie de Grenoble.
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Des mesures de sécurité sont prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
Les formulaires de saisine « papiers » sont ainsi transmis au service instructeur des réclamations, sous plis confidentiels, et stockés dans des armoires fermées à clefs.
La Commission relève que les alertes émises sont exclusivement traitées en interne sans recourir à un prestataire.
Une politique d’habilitation est également mise en place pour s’assurer que les éventuels documents d’instruction en format informatisé, tels que des documents numérisés, sont accessibles aux seules personnes habilitées à cet effet.
La Commission rappelle que l’authentification des utilisateurs du traitement doit être assurée par l’utilisation de mots de passe, renouvelés à intervalles réguliers, constitués d’au moins huit caractères et contenant des lettres minuscules et majuscules, ainsi que des chiffres ou des caractères spéciaux.
Elle rappelle également que les accès au système d’information et les opérations effectuées sur les supports d’enregistrement des données doivent faire l’objet d’une fonctionnalité de journalisation, permettant d’identifier  l’utilisateur à l’origine d’une opération de consultation, de modification de création ou de suppression.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
La Commission relève que les durées de conservation prévues par le responsable de traitement sont identiques à celles mentionnées à l’article 6 de l’autorisation unique n° 4, à savoir :
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement.
les données relatives à une alerte considérée, dès son recueil par le responsable du traitement, comme n'entrant pas dans le champ du dispositif sont détruites ou archivées sans délai ;
lorsque l'alerte n'est pas suivie d'une procédure disciplinaire ou judiciaire, les données sont détruites ou archivées dans un délai de deux mois à compter de la clôture des opérations de vérification ;
lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données sont conservées jusqu'au terme de la procédure.
Autorise, conformément à la présente délibération, la mairie de Grenoble à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN