Délibération n°2010-472 du 16 décembre 2010 portant avis sur un projet de décret en Conseil d’Etat relatif à la gestion du dossier des agents publics sur support électronique par les autorités administratives et territoriales (avis n°10021681)

Nature: Avis

La Commission nationale de l'informatique et des libertés,
 
Saisie pour avis par la Direction Générale
 de l’Administration et de la Fonction Publique le 16 septembre 2010 d’un projet de décret en Conseil d’Etat relatif à la gestion du dossier des agents publics sur support électronique ;
 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
 
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 11-2-d) ;
 
Vu la loi n°83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires, et notamment son article 18 ;
 
Vu la loi n°2009-972 du 3 août 2009 relative à la mobilité et aux parcours professionnels dans la fonction publique, et notamment son article 29 ;
 
Vu le décret n°2007-284 du 2 mars 2007 fixant les modalités d'élaboration, d'approbation, de modification et de publication du référentiel général d'interopérabilité ;
 
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 modifiée ;
 
Vu le décret n°2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ; 
 
Vu l’arrêté du 9 novembre 2009 portant approbation du référentiel général d'interopérabilité ; 
 
Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations ;
 
Emet l’avis suivant : 
 
L’article 29 de la loi du 3 août 2009 relative à la mobilité et aux parcours professionnels dans la fonction publique a modifié l’article 18 de la loi du 13 juillet 1983 portant droits et obligations des fonctionnaires.
L’article 18 de la loi de 1983 modifiée est ainsi rédigé : " Dans des conditions fixées par décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés, le dossier du fonctionnaire peut être géré sur support électronique s'il présente les garanties prévues par les alinéas précédents ".
En application de ces dispositions législatives, le projet de décret qui est soumis à la Commission a vocation à identifier des principes communs à l’ensemble des administrations mettant en œuvre la dématérialisation du dossier des agents publics. 
 
Aussi, la Commission prend acte que le projet de décret constitue " un cadre juridique commun aux trois fonctions publiques " (fonction publique de l’Etat, fonction publique territoriale et fonction publique hospitalière), " afin qu’un même niveau de garantie soit offert aux agents, quelle que soit leur administration ou leur fonction publique d’appartenance ".
Elle prend en considération que ce projet de décret n’a pas vocation à fixer l’ensemble des normes techniques qui permettront d’assurer notamment la sécurité, l’interopérabilité et la pérennité des outils et des organisations choisis par les collectivités publiques.
Par ailleurs, elle relève qu’un arrêté du ministre de la Fonction publique détermine, via une nomenclature-cadre, les types de documents pouvant figurer au dossier selon un plan de classement défini (article 1 du projet de décret).
En outre, les modalités de dématérialisation des dossiers individuels feront l’objet d’un arrêté, ou d’une décision, pris par l’autorité administrative ou territoriale compétente, après avis du comité technique compétent (article 4 du projet de décret).
Cet arrêté, ou cette décision, permettra de préciser la nature des documents, les catégories de personnels concernés et le calendrier de mise en œuvre de la dématérialisation. Il sera également l’instrument d’une harmonisation de la gestion des dossiers dans toutes les administrations, facilitant d’autant leur consultation par les agents concernés.
 
Sur les finalités
 
Le projet de décret encadre la gestion du dossier individuel des agents publics sur support électronique, c’est à dire l’ensemble des " opérations de collecte, de référencement, de gestion de cycle de vie des documents, de consultation, de modification, d’exploitation, de conservation, de transfert, de suppression ou d’effacement des documents, et de versement au titre des archives " (article 3).
Il identifie quatre principes essentiels à la mise en œuvre de la dématérialisation, à savoir :
- le basculement progressif du support papier vers le support électronique : le projet de décret établit qu’un arrêté, ou une décision, pris par l’autorité administrative concernée après avis du comité technique compétent définira " une date à compter de laquelle toute nouvelle pièce versée au dossier ne peut l’être que sous format électronique " (article 4) ; 
- la transparence du processus de dématérialisation : il existe une obligation d’informer les agents des conditions de mise en œuvre de la dématérialisation du dossier sur support électronique et des modalités pratiques d’exercice de leurs droits ;
- le droit d’accès de l’agent public à son dossier individuel sur support électronique : les conditions d’exercice du droit de consultation des documents joints au dossier sous format électronique se conforment aux dispositions de l’article 39 de la loi du 6 janvier 1978 modifiée en 2004 (articles 10 à 13).
- l’unicité du contenu informationnel : une même pièce du dossier de l’agent existera uniquement sur support électronique ou bien sur support papier (article 1er).
 
Concernant le basculement progressif du support papier vers le support électronique, la Commission relève avec intérêt qu’à compter d’une date fixée par arrêté, ou par décision, de l’autorité administrative ou territoriale mettant en œuvre la dématérialisation, toute nouvelle pièce versée au dossier ne pourra l’être " que sous format électronique " (article 4 du projet de décret).
 
Sur ce point, la Commission
 a pris acte que le dispositif mis en place doit " permettre aux administrations qui le souhaitent de ne pas se limiter aux nouveaux dossiers (flux), mais de procéder également à la dématérialisation de dossiers existants (stock), en tout ou en partie ". 
 
En outre, le traitement des données du dossier individuel de l’agent " peut être établi et géré, en tout ou partie, sur support électronique " (article 1er alinéa 2 du projet de décret). 
 
Ainsi, " l'objectif à moyen terme est bien de dématérialiser chaque dossier dans sa totalité, et non de conserver deux supports ".
 
Sur les données traitées
 
L’article 1er alinéa 1 du projet de décret précise que le dossier individuel de l’agent public est composé des " documents qui intéressent la situation administrative de l’agent et sont essentiels au suivi de son évolution professionnelle ". 
 
Conformément à l’article 1er du projet de décret, les documents susceptibles de figurer dans le dossier de l’agent public sur support électronique feront l’objet d’une nomenclature cadre établie par arrêté du ministre de la Fonction publique.
 
Les catégories de données concernées seront notamment relatives à l’état civil des personnes, à leur situation familiale, à leur situation militaire, au recrutement de l’agent ou à sa titularisation (titulaire/non titulaire ; recrutement contractuel handicapé), à leur changement de position statutaire ou à leur réintégration (détachement " sortant ", détachement " entrant ", mise à disposition " sortant ", mise à disposition " entrant ", disponibilité, congé parental, hors cadre, réintégration), au cumul d’emploi public et de création d’entreprise, au cumul d’activité, au changement de modalités de temps de travail, à la gestion des congés et absences, à l’évaluation, à la notation et à l’avancement d’échelon, à la promotion, à la mutation ou à l’affectation de l’agent, à la gestion des compétences, à la discipline, à la cessation de fonction, aux services publics et aux activités privées, aux distinctions honorifiques, aux accidents de service. 
 
Les documents relatifs à la paie, notamment le bulletin de paie, ne constituent pas des éléments "intéressant la situation administrative" de l'agent et n'ont pas à figurer dans les dossiers individuels.
 
Par ailleurs, la Commission relève que le dossier individuel de l’agent est susceptible de comporter certaines données sensibles au sens de l’article 8 de la loi du 6 janvier 1978 modifiée dans la mesure où ces dernières sont susceptibles de figurer sur des pièces justificatives à l’appui de demandes spécifiques (exemples : certificats médicaux, dans le cas de congés maladie) ou encore dans le cadre de son dossier disciplinaire.
 
Elle souligne également que certaines des informations figurant dans le dossier individuel des agents publics seront collectées et stockées à titre obligatoire (certains renseignements relatifs à l'état civil et à la situation de famille, au recrutement, au déroulement de carrière et à la cessation de fonctions), tandis que d’autres le seront à titre facultatif, et avec le consentement de la personne concernée (photographie). 
 
La Commission estime en conséquence qu’elle devrait être saisie pour avis du projet d’arrêté établissant la liste précise des documents référencés conformément à une nomenclature cadre constituant le dossier individuel de l’agent
 
Enfin, la Commission rappelle que les principes applicables sur support papier demeurent sur support électronique : les documents contenus dans un dossier ne peuvent pas être librement annotés, même si les agents concernés pourront produire des commentaires ou observations qui seront annexées aux documents. 
 
Sur les destinataires des informations
 
Les destinataires des données portées au dossier individuel de l’agent sur support électronique correspondent aux destinataires de ces informations identifiés sous format papier :
- l'agent concerné (ou le mandataire qu'il aura désigné), 
- les gestionnaires RH chargés de la gestion des dossiers, 
- les supérieurs hiérarchiques, exclusivement en ce qui concerne les rubriques " évaluation-notation/avancement d'échelon " et " gestion des compétences ",
- les représentants du personnel siégeant dans les commissions administratives paritaires compétentes pour l'examen des questions individuelles (pour les seuls documents nécessaires à leur mission, et dans le cadre précisé dans l'ordre du jour de la séance),
- le service des pensions.
 
La Commission
 prend note que l'Opérateur National de Paie (ONP) sera uniquement destinataire de copies des pièces justificatives demandées en cas de contrôle.
Par ailleurs, la Commission observe que l’administration, la collectivité, l’établissement public ou l’organisme d’origine de l’agent public transmet l’ensemble des données qu’il a traitées à l’administration, la collectivité, l’établissement public ou l’organisme d’accueil de l’agent, dès lors que son lien statutaire ou contractuel conclu avec l’agent est rompu. Le dossier sur support électronique est alors transféré à l’entité avec laquelle un lien statutaire ou contractuel nouveau est établi.
L’ensemble de ces éléments n’appelle pas d’observations.
 
 
Sur la durée de conservation
 
En application de l’article 6-5° de la loi du 6 janvier 1978 modifiée en 2004, la Commission rappelle que les données inscrites dans le dossier individuel des agents doivent être " conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées "
 
Ainsi, les informations nécessaires au calcul des droits à retraite (pièces financières et comptables) pourront être conservées jusqu'à la liquidation des pensions. 
 
Conformément aux textes applicables dans la fonction publique, certaines données, telles que les sanctions adressées à l’agent sont soumises à une durée de conservation limitée : sauf dispositions législatives contraires, les données relatives aux motifs d'absence ne peuvent être conservées plus de deux ans et (si aucune sanction n’est intervenue dans cette période) le blâme doit être effacé au bout de trois ans. 
 
Enfin, la Commission appelle l’attention de la DGAFP sur le fait que les durées de conservation figurant dans le projet de nomenclature des pièces composant le dossier individuel des agents publics correspondent aux durées d’archivage définitif du dossier.
 
A cet égard, elle recommande que le projet de nomenclature des pièces composant le dossier individuel des agents publics précise, d’une part, la durée de conservation des données en base active, et, d’autre part, la durée d’archivage de ces données.
 
Sur la sécurité
 
Conformément à l’article 34 de la loi du 6 janvier 1978 modifiée, l’article 7 du projet de décret rappelle les obligations relatives à la sécurité des données traitées. 
 
La Commission
 prend acte que ces obligations sont étendues. Il ne s’agit plus seulement de garantir la confidentialité, l’intégrité des données et la traçabilité des opérations de gestion, mais également " l’accessibilité et la lisibilité du dossier sur support électronique ". 
 
La Commission observe que le projet de décret prévoit dans son article 6 que " l’autorité administrative ou territoriale recourt à des fonctions de sécurité et d’interopérabilité " telles que définies par les titres IV et V (article 9 à 12) de l’ordonnance du 8 décembre 2005 et précisées par :
- le décret du n°2007-284 du 2 mars 2007 fixant les modalités d'élaboration, d'approbation, de modification et de publication du référentiel général d'interopérabilité (RGI) ;
- le décret n°2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ; 
- et l’arrêté du 9 novembre 2009 portant approbation du référentiel général d'interopérabilité. 
 
Aussi, la Commission note avec intérêt que les administrations qui feraient le choix de gérer les dossiers de leurs agents sous forme électronique devraient respecter :
1/ d’une part, les principales exigences du référentiel général de sécurité (RGS) adopté par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) et la Direction générale de la modernisation de l’État du ministère du Budget, des comptes publics et de la réforme de l’État (DGME).
2/ d’autre part, le référentiel général d’interopérabilité (RGI) adopté par la DGME.
 
La Commission observe que les décrets et textes visés par le projet de décret précisent la manière d’appliquer ces exigences, mais laissent aussi une grande liberté d’interprétation au responsable de traitement.
 
Il conviendra donc que la Commission se prononce sur la définition de ces exigences par les administrations concernées, et les sécurités à mettre en œuvre.
 
L’article 4 aliéna 3 dispose que " les outils et procédés utilisés pour l’établissement et la gestion sur support électronique des dossiers individuels sont définis dans un cahier des charges qui est transmis pour information au comité technique compétent ".
 
Le système des habilitations délivrées par l’autorité administrative ou l’autorité territoriale aux agents chargés de la gestion des dossiers, décrit par l’article 5 du projet de décret, prévoit que pour chaque personne habilitée sont précisées : 1/ " les documents concernés ", 2/ " les types d’opérations autorisées ", 3/ " la durée de l’habilitation ".
 
A cet égard, la Commission rappelle que le système d’habilitation devra également préciser quels agents chargés de la gestion des dossiers sont habilités à les créer, à les modifier ou seulement à les consulter. 
 
La Commission
 prend acte que l’article 6 du projet de décret pose non seulement l’obligation générale de " prendre toute précaution pour préserver la confidentialité des données personnelles ainsi que l’intégrité, l’accessibilité et la lisibilité du dossier sur support électronique " mais également celle de préserver la confidentialité de " l’ensemble des informations attachées aux documents " et de permettre la traçabilité de l’ensemble des opérations de gestion du dossier individuel électronique (alinéa 2). 
 
L’article 7 du projet de décret rappelle les obligations relatives à la sécurité des données traitées en indiquant que " l’autorité administrative et territoriale est tenue de prendre toute précaution " pour se conformer à l’article 34 de la loi du 6 janvier 1978 modifiée.
 
C’est pourquoi, dans un souci de simplification, et eu égard au caractère essentiel de la sécurité des données figurant dans le dossier dématérialisé des agents publics, la Commission propose de préciser les sécurités à mettre en œuvre dans le cadre de la dématérialisation du dossier des agents publics sur la base d’un acte réglementaire unique au sens de l’article 27-III de la loi du 6 janvier 1978 modifiée. 
 
Sur les droits des personnes
 
Concernant le droit à l’information des agents publics concernés, le projet de décret dispose que " les agents dont le dossier a été dématérialisé sont tenus informés des modalités pratiques de leur droit de consultation " (article 10).
 
La Commission relève que l’information des personnes ne devrait pas uniquement viser le droit de consultation. En ce sens, elle recommande que l’article 10 du décret se réfère non seulement aux " modalités
pratiques de leur droit de consultation ", mais également à l’ensemble des droits garantis au titre des articles 38 à 40 de la loi du 6 janvier 1978 modifiée.
 
Concernant les données pouvant être inscrites au dossier à titre facultatif, telles que les photographies, la Commission rappelle que l’agent dispose d’un droit d’opposition, et doit, de ce fait, être clairement informé de ce droit lors de la constitution du dossier individuel.
 
Concernant les modalités d’accès, prévues par les dispositions du Titre II relatif à l’" accès de l’agent à son dossier individuel ", la Commission approuve le principe de neutralité des supports dans l’exercice des droits d’accès et de rectification, rappelé par l’article 10 du projet de décret. 
 
Elle prend note que toute demande de " rectification, de retrait ou d’ajout d’un document " est rendue possible " soit lors de la consultation soit ultérieurement, par courrier électronique ou par voie postale " (article 12 alinéa 1 du projet de décret).
 
De même, la possibilité de consigner les observations de l’agent en annexe du document concerné constitue une modalité d’application satisfaisante de l’article 40 de la loi du 6 janvier 1978 modifiée. 
 
La Commission
 rappelle que la constitution du dossier individuel d’un nouvel agent, qui serait exclusivement électronique, n’est pas susceptible, en elle-même, de provoquer une rupture d’égalité entre les agents.
 
Elle confirme toutefois que la coexistence de plusieurs supports est susceptible d’accroître les difficultés actuellement connues par certains agents pour accéder librement à l’ensemble des documents constituant leur dossier. 
 
Elle souligne que cette problématique exigera une particulière vigilance pour gérer la dualité du support papier et électronique.
 
En ce sens, la Commission approuve l’article 13 du projet de décret, qui permet aux agents de demander une attestation papier des documents figurant dans leur dossier individuel, par exemple par voie postale. 
 
Conformément au troisième alinéa de l’article 38 alinéa 3 de la loi du 6 janvier 1978 modifiée, le droit d’opposition ne s’applique pas au présent traitement.
 
Néanmoins, la Commission rappelle que l’article 39 de la loi du 6 janvier 1978 modifiée dispose, respectivement dans ses alinéas 4 et 5, du droit de toute personne physique justifiant de son identité d'interroger le responsable d'un traitement de données à caractère personnel en vue d'obtenir " la communication, sous une forme accessible, des données à caractère personnel qui la concernent " et " les informations permettant de connaître et de contester la logique qui sous-tend le traitement automatisé en cas de décision prise sur le fondement de celui-ci et produisant des effets juridiques à l'égard de l'intéressé ".
 
*
 
Par conséquent, la Commission recommande que :
- l’article 10 du projet de décret se réfère non seulement aux " modalités
pratiques de leur droit de consultation ", mais également à l’ensemble des droits garantis au titre des articles 38 à 40 de la loi du 6 janvier 1978 modifiée ;
- les durées de conservation des données indexées dans le projet de nomenclature indiquent effectivement les durées de conservation préconisées par la CNIL et non les durées d’archivage ;
- la DGAFP informe l’ensemble des autorités administratives et territoriales de leur obligation d’accomplir les formalités préalables auprès de la CNIL ;
- la Commission soit saisie pour avis concernant l’arrêté du ministre chargé de la fonction publique précisant la nomenclature cadre des documents constituant le dossier. 
 
Eu égard au grand nombre d’autorités administratives ou territoriales susceptibles de saisir la Commission pour avis (environ 37 000 autorités), la Commission propose que les formalités relatives à la mise en œuvre du dossier des agents publics sur support électronique puissent être accomplies sur la base d’un acte réglementaire unique au sens de l’article 27-III de la loi du 6 janvier 1978 modifiée. 
 
Le Président
Alex Türk