La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la décentralisation, de la réforme de l'Etat et de la fonction publique d'une demande d'avis concernant un projet de décret relatif à certaines conditions d'accès des organisations syndicales aux technologies de l'information et de la communication dans la fonction publique de l'Etat,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'avis favorable du Conseil supérieur de la fonction publique de l'Etat du 26 juin 2014 relatif au projet de décret examiné par la commission ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par la ministre de la décentralisation, de la réforme de l'Etat et de la fonction publique, sur le fondement de l'article 27 de la loi du 6 janvier 1978 modifiée, d'une demande d'avis sur un projet de décret relatif à certaines conditions d'accès des organisations syndicales aux technologies de l'information et de la communication dans la fonction publique de l'Etat.
A titre liminaire, la commission relève que le projet de décret qui lui est soumis n'emporte pas création d'un nouveau traitement de données à caractère personnel, mais vise à modifier des actes antérieurs de l'administration portant création de tels traitements, au titre de la mise en conformité des administrations concernées au regard des obligations de la loi du 6 janvier 1978 modifiée. Plus précisément, ce projet de décret a pour objet de modifier les actes réglementaires autorisant la création des traitements automatisés de données à caractère personnel relatifs à la gestion des ressources humaines concernant des agents de l'Etat (SIRH), uniquement en ce qu'il ajoute les organisations syndicales représentatives à titre de destinataires des données nécessaires à la constitution de listes d'adresses électroniques nominatives professionnelles, à savoir les adresses électroniques des agents concernés ainsi que leurs services, corps d'affectation ou, s'agissant des personnels non fonctionnaires, leur niveau de catégories.
Dans la mesure où la modification des traitements SIRH porte sur un des éléments mentionnés par l'article 29 de la loi du 6 janvier 1978 modifiée, à savoir les destinataires ou catégories de destinataires des données, une nouvelle saisine de la commission pour avis sur le fondement de l'article 27 de la loi du 6 janvier 1978 modifiée est dès lors justifiée.
Comme indiqué précédemment, l'article 3 du projet de décret soumis à la commission prévoit que « dans toutes les autorisations et dans toutes les déclarations de traitement automatisé de données à caractère personnel relatif à la gestion des ressources humaines concernant des agents de l'Etat, peuvent être destinataires des seules données requises pour la constitution de listes d'adresses électroniques nominatives professionnelles, à raison de leur mandat et dans la limite du besoin d'en connaître, les agents expressément désignés par une organisation syndicale pour l'utilisation des technologies de l'information et de la communication ».
La commission estime que le fait de rendre des organisations syndicales représentatives dans la fonction publique de l'Etat destinataires des adresses de messagerie professionnelle d'agents publics est légitime, dès lors qu'il s'agit d'organiser la communication entre ces agents et organisations syndicales et que les conditions de cette mise à disposition préservent les droits des personnes concernées.
A ce titre, la commission relève que parallèlement à la présente saisine elle a été saisie pour avis, sur le fondement de l'article 11 (2°, d) de la loi du janvier 1978 modifiée, d'un projet d'arrêté-cadre de la ministre de la décentralisation, de la réforme de l'Etat et de la fonction publique relatif aux conditions d'utilisation des technologies de l'information et de la communication par les organisations syndicales dans la fonction publique de l'Etat.
Cet arrêté fixe un cadre général en matière d'utilisation des messageries professionnelles et des réseaux intranet de l'administration et prévoit, en particulier, un socle minimal de droits et obligations qui devra, en application de l'article 3-1 du décret n° 82-447 du 28 mai 1982 modifié, être par la suite adapté et mis en œuvre dans chaque ministère, établissement public et autorité administrative indépendante, par une décision du Premier ministre, du ministre ou du chef de service, après avis du comité technique compétent.
La commission s'est dès lors prononcée sur les conditions de la mise à disposition des adresses de messagerie aux organisations syndicales au travers de sa délibération n° 2014-309 du 17 juillet 2014.
Si la commission estime que la mise à disposition des adresses électroniques d'agents publics au profit d'organisations syndicales est pertinente, en revanche, il lui apparaît que la rédaction de l'article 3 du projet de décret soumis à son examen devrait être corrigée pour viser « les actes autorisant la création de traitement automatisé de données à caractère personnel relatif à la gestion des ressources humaines concernant des agents de l'Etat », en lieu et place des autorisations et déclarations visées mentionnées dans sa version actuelle.
Par ailleurs, la commission estime qu'il serait opportun que le projet de décret vise précisément les actes réglementaires impactés par cette modification.
Enfin, la commission relève que le projet de décret qui lui a été soumis fixe les critères de représentativité des organisations syndicales, d'une part, et pose des règles particulières s'agissant de l'accès aux technologies de l'information et de la communication en périodes électorales, d'autre part.
Ces dispositions n'appellent pas d'observation particulière.
A toutes fins utiles, la commission précise qu'il n'est pas nécessaire de lui soumettre pour avis les décisions des ministres ou chefs de service fixant, en application de l'article 3-1 du décret n° 82-447 du 28 mai 1982 modifié relatif à l'organisation du droit syndical dans la fonction publique, les conditions d'utilisation des technologies de l'information et de la communication par les organisations syndicales, dès lors qu'elles respectent les obligations et principes fixés dans l'arrêté-cadre précité.