Délibération n° 2016-198 du 30 juin 2016 autorisant la commune de Tremblay-en-France à mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour objet l’enregistrement des conversations téléphoniques de ses agents afin d’assurer leur protection contre toutes formes de menaces, d’insultes, de voies de fait et d’injures.
Nature: Autre autorisation

(Demande d’autorisation n° 1931569)
La Commission nationale de l'informatique et des libertés,
Saisie par la commune de Tremblay-en-France d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour objet l’enregistrement des conversations téléphoniques de ses agents afin d’assurer leur protection contre toutes formes de menaces, d’insultes, de voies de fait et  d’injures ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9-1° et 25-I-3° ;
Vu la loi n° 83-634 du 13 juillet 1983 modifiée portant droits et obligations des fonctionnaires, notamment son article 11 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable du traitement est la commune de Tremblay-en-France (ci-après la commune), agissant en tant qu’employeur des agents municipaux.
Sur les finalités
Le traitement projeté a pour objet l’enregistrement des conversations téléphoniques émises et reçues par les agents communaux dans le cadre de leurs missions afin d’assurer leur protection contre toutes formes de menaces, d’insultes, de voies de fait et d’injures.L’article 11-IV de la loi du 13 juillet 1983 modifiée prévoit que « la collectivité publique est tenue de protéger le fonctionnaire contre les atteintes volontaires à l’intégrité de la personne, les violences, les agissements constitutifs de harcèlement, les menaces, les injures, les diffamations ou les outrages dont il pourrait être victime ».Or, la commune de Tremblay-en-France fait état de nombre d’agressions verbales que les agents municipaux subissent à l’occasion de conversations téléphoniques avec des administrés. Faute d’éléments suffisamment probants, très peu de plaintes sont déposées.C’est pourquoi la commune entend procéder à l’enregistrement des conversations téléphoniques de ses agents afin de prévenir de tels faits, d’une part, et de faciliter les poursuites pénales contre leur auteur par la production d’éléments probants, d’autre part.Le traitement projeté est susceptible de porter sur des données relatives aux infractions. Dès lors, il y a lieu de faire application des dispositions de l’article 25-I-3° de la loi du  6 janvier 1978 modifiée qui soumettent la mise en œuvre de tels traitements à l’obtention d’une autorisation de la Commission.Le dispositif n’a pas pour objet de surveiller l’activité du personnel de la commune. Néanmoins, les enregistrements pourront être utilisés dans le cadre d’une procédure disciplinaire visant un agent qui aurait proféré des menaces ou des insultes à l’encontre d’un administré.Le dispositif n’a pas non plus pour objet de permettre l’élaboration d’une liste d’administrés jugés « indésirables ».Au regard de ces éléments, la Commission considère que les finalités poursuivies par le traitement sont déterminées, légitimes et explicites, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Le dispositif envisagé ne concerne qu’un nombre limité de services de la commune identifiés, de par la nature de leurs missions, comme particulièrement exposés au comportement violent des administrés. Il s’agit notamment du service d’accueil, du service habitat et de la police municipale, ce qui représente une cinquantaine de postes de travail environ sur un total de 1 400 agents employés par la commune à ce jour.
Le dispositif ne prévoit pas un enregistrement permanent et systématique de l’ensemble des appels des agents concernés. Seul un enregistrement ponctuel, déclenché à leur initiative via une touche sur le téléphone lorsqu’ils le jugent pertinent, est envisagé.
En outre, les appels reçus ou émis par les représentants du personnel dans le cadre de leurs missions ne seront pas enregistrés.
Sont enregistrées dans le cadre du présent traitement :
les données relatives à l’identité de l’agent qui traite l’appel ainsi que de l’administré avec qui il est en contact,
leur numéro de téléphone,
les propos tenus par ces personnes.
Ces propos sont susceptibles de comporter des menaces, insultes, voies de fait et injures, faits potentiellement constitutifs d’infractions pénales. Toutefois, la Commission relève que l’article 9-1°de la loi « Informatique et Libertés » permet aux autorités publiques, agissant dans le cadre de leurs attributions légales, de mettre en œuvre des traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté, ce qui est le cas de la commune de Tremblay-en-France en l’espèce.
Le traitement peut également comporter l’ensemble des informations communiquées, de manière déclarative, par les administrés à l’occasion de la conversation téléphonique.
La Commission estime que les données personnelles traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi susmentionnée.
Sur les accédants et destinataires
Les personnes habilitées à accéder aux données sont le maire, les directeurs généraux des services, le directeur des affaires juridiques, le chef du service de police municipale et le service informatique.La Commission rappelle que ces personnes ne peuvent accéder aux données traitées qu’en raison de leurs attributions et pour les besoins exclusifs des missions qui leurs sont confiées. Elle rappelle également que les personnes concernées, telles que l’agent municipal victime d’une agression verbale, sont à distinguer des accédants.Les agents de la police nationale peuvent recevoir communication de données dans le cadre d’un dépôt de plainte.La Commission estime que ces destinataires et accédants présentent un intérêt légitime à accéder aux données.
Sur l’information et l’exercice des droits
Le responsable de traitement s’est engagé à informer les administrés via un message oral en début de conversation qui précisera l’existence et les finalités du dispositif ainsi que la possibilité pour les administrés de s’y opposer.En outre, une mention sur le site Internet de la commune, indiquant les informations listées à l’article 32 de la loi « Informatique et Libertés » et notamment les modalités d’exercice des droits d’accès, de rectification et d’opposition, est prévue.L’information des agents communaux s’effectuera par l’envoi d’un courrier personnalisé leur faisant part de l’existence du dispositif, de ses finalités ainsi que de leurs droits. Ces mentions figureront également dans la charte informatique annexée au règlement intérieur de la commune.Les droits d’accès et de rectification s’exerceront par voie postale auprès du service de l’administration générale et des affaires juridiques.L’administré souhaitant exercer son droit d’opposition pour motifs légitimes devra en faire expressément part à l’agent municipal en début de conversation.La Commission estime que ces modalités d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
Une politique de gestion des habilitations ainsi qu’une journalisation des opérations de consultation, création, modification et suppression du traitement seront mises en œuvre. Des mesures sont également prévues pour assurer la sécurité physique des matériels (badges d’accès, gardiennage).De manière générale, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du  6 janvier 1978 modifiée.Elle appelle toutefois son attention sur la nécessité de mettre en place une politique satisfaisante des mots de passe qui implique que ceux-ci soient composés de huit caractères au minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux. Ils doivent en outre être définis, ou modifiés dès la première connexion, par l’utilisateur, puis régulièrement renouvelés et ne doivent pas être stockés en clair.Enfin, la Commission rappelle que l’obligation résultant de l’article 34 susmentionné nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur la durée de conservation
Les données enregistrées sont conservées un mois à compter de leur enregistrement afin de permettre à la commune de décider de déposer plainte.En cas de dépôt de plainte, seules les données utiles à la procédure pourront être conservées jusqu’à l’issue de celle-ci.Dans l’hypothèse inverse, il conviendra de procéder à la suppression des données de manière sécurisée.La Commission considère que cette durée de conservation est conforme à l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la commune de Tremblay-en-France à mettre en œuvre le traitement susmentionné.
Pour La Présidente, 
Le Vice-Président délégué,
Marie-France MAZARS