Délibération n° 2021-090 du 22 juillet 2021 portant avis sur un projet de décret portant autorisation du traitement de données à caractère personnel de l’inspection du travail dénommé « SUIT » (demande d’avis n° 21008750)
Nature: Avis

La Commission nationale de l'informatique et des libertés,
Saisie par la ministre du travail, de l’emploi et d’insertion d’une demande d’avis concernant un projet de décret en Conseil d’Etat portant autorisation du traitement de données à caractère personnel de l’inspection du travail dénommé " SUIT " ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code du travail, notamment ses articles L. 8112-1 et L. 8112-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-III et 31-II;
Après avoir entendu le rapport de M. Alexandre LINDEN, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant
La Commission a été saisie par la ministre du travail, de l’emploi et de l’insertion d’une demande d’avis sur un projet de décret en Conseil d’Etat portant autorisation du traitement de données à caractère personnel de l’inspection du travail dénommé " SUIT " (Système utile pour inspection du travail) sur le fondement des articles 6.III et 31.II de la loi " Informatique et Libertés ".
Ce traitement, mis en œuvre sous la responsabilité de la direction générale du travail, vise à remplacer vers 2023 le système d’information (SI) " WIKI’T ", qui constitue le principal outil de travail des agents de l’inspection de travail dans l’accomplissement de leurs missions, étant précisé que la création et les modifications successives du SI WIKI’T ont été soumises à la Commission. La dernière saisine a fait l’objet de la délibération n° 2019-117 du 12 septembre 2019.
Une période transitoire jusqu’à fin 2022 est prévue pendant laquelle les deux SI " WIKI’T " et " SUIT " seront utilisés en parallèle de manière à permettre la migration de l’ensemble des dossiers et procédures en cours dans le nouvel outil.
Le projet de décret appelle les observations suivantes.
Sur les finalités du traitement 
La Commission relève tout d’abord que les finalités du SI " SUIT " visées à l’article 1er du projet de décret sont globalement les mêmes que celles poursuivies par le traitement " WIKI’T ".
Deux nouvelles finalités ont été introduites dans le projet de texte :
" 6° partager des données, dans le respect des dispositions prévues par les conventions de l'Organisation internationale du travail (OIT) de 1947 (n°81), de 1969 (n°129) et de 1996 (n°178), avec d'autres traitements du ministère du travail, d'autres administrations ou services exerçant une mission de service public afin de permettre la mise en œuvre des politiques publiques ; "
" 7° permettre la réalisation d'études à des fins de recherches ou de rapports à des fins statistiques par des personnes ou services habilités et conventionnés par la direction générale du travail. "
Concernant les partages de données visés par la finalité 6°, les éléments communiqués par le ministère indiquent que ces partages se traduiront tantôt par la possibilité d’exporter des données du SI SUIT en vue de leur transmission vers d’autres applications (internes ou externes), tantôt par la mise en place d’interfaces applicatives permettant directement l’interconnexion de différents applicatifs internes.
Ainsi, les interconnexions envisagées permettront d’interconnecter le SI SUIT avec d’autres outils mis en place par le ministère, tels que par exemple les applications " MARS " relative aux élections professionnelles, " SIPSI " relative aux services de prestations internationales, ou " DACCORD " relative aux accords d’entreprises. La Commission rappelle que lorsque les traitements sont régis par des actes réglementaires, la mise en relation doit respecter les dispositions régissant les autres traitements. Cela impose de s’assurer que les opérations envisagées sont conformes aux finalités, aux données et aux accédants et destinataires des autres traitements fixés par les autres actes réglementaires.
S’agissant des partages de données autres que ceux liés aux échanges dans le cadre des différentes conventions de l’OIT, le ministère indique que seul un export de données vers le ministère de l’intérieur est actuellement prévu, ceci exclusivement pour répondre aux nécessités des enquêtes encadrées par l’article R. 5221-20 du code du travail.
Enfin, concernant la finalité 7° de recherches et de statistiques, les précisions fournies par le ministère indiquent que le traitement ne prévoit ni collecte, ni exploitation du numéro d’identifiant au répertoire (NIR), et que des consignes spécifiques seront adressées aux services afin que ce numéro soit masqué avant que les documents qui en feraient mention ne soient intégrés dans le traitement, sous forme de pièces jointes.
La Commission prend note de ces précisions et rappelle qu’en tout état de cause, le traitement du NIR ne pourrait être effectué qu’en respectant les dispositions applicables, notamment celles du décret n° 2019-341 du 19 avril 2019.
Compte tenu de ce qui précède, la Commission estime que l’ensemble des finalités figurant dans le projet de décret sont déterminées, explicites et légitimes.
Sur la nature des données traitées
Le projet de décret prévoit dans son article 2 les données susceptibles d’être collectées et traitées dans le cadre du dispositif. Ces données sont en substance identiques à celles figurant dans le traitement " WIKI’T ".
Dès lors, ainsi qu’elle l’a relevé dans la délibération n° 2019-117 du 12 septembre 2019, si la Commission constate le traitement de nombreuses données particulièrement sensibles, elle les estime néanmoins adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies par le traitement.
Sur la durée de conservation des données
S’agissant des durées de conservation prévues par le projet de décret, la Commission relève qu’elles diffèrent :
d’une part, selon les catégories de personnes concernées (usagers, agents de l’inspection du travail ou agents d’autres administrations) ;
d’autre part, selon qu’un procès-verbal d’infraction a ou non été dressé, puis selon qu’un recours a ou non été exercé à l’encontre des actes ou décisions de l’inspection du travail.
Si la plupart des durées sont similaires à celles du traitement " WIKI’T ", les durées de conservation sont modifiées dans le cas où un recours est exercé à l’encontre d’un acte de l’inspection du travail, passant de " quinze ans " dans " WIKI’T " à une durée allant " jusqu’à l’épuisement des voies de recours " dans " SUIT ", ce qui n’appelle pas d’observation particulière.
S’agissant des modalités d’archivage et de suppression des données, les éléments du dossier indiquent qu’au terme des durées de conservation, les données sont archivées et non pas supprimées (à l’exclusion des journaux des traces de connexion qui, eux, feront l’objet d’une suppression automatique).
A cet égard, la Commission observe qu’il ressort des éléments apportés par le ministère qu’il n’est pas fait de distinction entre les durées de conservation selon qu’elles sont nécessaires à l’utilisation courante des données (dit base active), ou nécessaires, à l’issue de cette durée, pour répondre à une obligation légale ou à des fins de preuve (dit archivage intermédiaire).
La Commission rappelle à cet égard que la conservation de données sous forme d’archives intermédiaires n’a pas vocation à être systématique, et doit être précédée d’une évaluation des besoins de conserver telle ou telle donnée ou catégorie de données. Enfin, elle invite le ministère à faire en sorte que les décisions relatives au sort final des données arrivées en fin de cycle de vie (suppression, versement aux archives nationales, etc.) soient définies, notamment avec les services d’archives compétents.
Sur la journalisation des traces d’activité
L’article 4 du projet de décret contient des dispositions spécifiques relatives à la journalisation des traces d’activité de l’ensemble des utilisateurs du dispositif.
A cet égard, la Commission relève que la rédaction actuelle du projet de décret prévoit que seules les opérations de " création et de modification de données du traitement " seront enregistrées. Dès lors, elle attire l’attention du ministère sur le fait que cette expression paraît exclure la journalisation de certaines traces d’activité relatives notamment à la consultation des contenus contrairement à ce qu’indique l’analyse d’impact relative à la protection des données.
Le projet de décret prévoit que les traces d’activité seront conservées pendant une durée de six mois et feront ensuite l’objet d’une suppression automatique, ce qui n’appelle pas d’observations de la part de la Commission.
Enfin, en l’absence de précisions apportées par le ministère, la Commission recommande de mettre en place un contrôle automatique des traces de journalisation, afin de détecter les comportements anormaux et de générer des alertes le cas échéant.
Sur l'information des personnes
La Commission relève que l’information des personnes concernées se fera de trois manières :
de manière générale pour l’ensemble des usagers, par une mention sur le site web du ministère du travail ;
de manière individuelle, par une mention rappelée dans chaque correspondance adressée à un usager ;
enfin, sous forme de mentions d’information disponibles via le compte utilisateur de chaque agent ayant directement accès au SI " SUIT ", ainsi que par une sensibilisation lors de leur formation à cet outil.
La Commission rappelle que l’ensemble des mentions prévues aux articles 13 et 14 du RGPD devront être portées à la connaissance des personnes concernées, dans les conditions de l’article 12.
Sur la sécurité des données et la traçabilité des actions :
Il ressort des éléments apportés par le ministère que certaines mesures relatives à la sécurité font l’objet d’un plan d’action dont la mise en place prendra fin au second semestre de l’année 2022.
Dès lors que la mise en œuvre effective de ces mesures constitue une condition nécessaire à la sécurité du système, la Commission appelle le ministère à apporter une vigilance particulière quant au respect de ce plan d’action, et ce jusqu’à la fin de son déploiement.
La Présidente
Marie-Laure DENIS