Source: https://www.caprioli-avocats.com/fr/informations/traitement-biometrique-et-obligation-dinformation-individuelle--donnees-a-caractere-personnel-et-21-142-0.html
Timestamp: 2020-07-04 12:21:39+00:00
Document Index: 144329416

Matched Legal Cases: ["l'article 8", "l'article 17", "l'article 28", "l'article 89", "l'article 2", "l'article 5", "l'article 32", "l'article 32", "l'article 32", "l'article 32"]

Traitement biométrique et obligation d’information individuelle | Protection des...
Traitement biométrique...
Traitement biométrique et obligation d’information individuelle
Dans sa décision du 19 juin 2014, la cour administrative d’appel de Versailles rappelle que, dans le cadre d’un traitement biométrique de données personnelles, tout manquement à l’obligation d’information individuelle de la personne concernée a pour effet de lui rendre inopposable tous les actes de sanction pris par le responsable de traitement.
CAA Versailles, 6ème chambre, 19/06/2014
Vu la requête, enregistrée le 15 avril 2013, présentée pour M. C...A..., demeurant..., par Me Boukheloua, avocat ; M. A...demande à la Cour :
1° d'annuler le jugement n° 1104695-1105555 en date du 18 février 2013 par lequel le Tribunal administratif de Cergy-Pontoise a rejeté ses demandes tendant à l'annulation des décisions en date des 17 décembre 2010 et 20 janvier 2011 par lesquelles le maire de la commune de Garges-les-Gonesse lui a infligé un avertissement et a prononcé à son encontre une exclusion temporaire de fonctions d'une durée de deux jours, ensemble des décisions implicites rejetant ses demandes tendant au retrait de ces décisions ;
3° de mettre à la charge de la commune la somme de 3 000 euros en application de l'article L. 761-1 du code de justice administrative ;
4° de mettre à la charge de la commune la somme de 35 euros au titre des dépens ;
- le jugement est irrégulier, faute pour sa minute d'avoir été signée ;
- le jugement est entaché de dénaturation des faits ; la préfecture ne peut avoir, le 17 janvier 2008, certifié de l'existence d'un arrêté portant délégation de signature qui a été signé et transmis a posteriori ; par ailleurs, ces éléments ont été produits par la commune le 31 janvier 2013, soit le dernier jour de la clôture d'instruction sans qu'il puisse bénéficier d'un délai raisonnable pour y répondre ;
- le conseil municipal n'a pas été mis à même de délibérer de la mise en place d'un système biométrique de contrôle du temps de présence des agents communaux ;
- les premiers juges ont statué ultra petita en considérant que l'utilisation de la biométrie aux fins de contrôle des horaires était un moyen disproportionné d'atteindre cette finalité ; cette disproportion existe cependant ;
- la Commission nationale de l'informatique et des libertés a considéré que l'utilisation de la biométrie pour contrôler les horaires des agents municipaux était disproportionnée ;
- les premiers juges auraient dû apprécier la légalité des décisions attaquées à la date du jugement de l'affaire ;
- le fait que la commune ait mis en place un tel système de pointage sans délivrer la moindre information individuelle aux agents de la ville, ou prendre la moindre délibération autorisant la mise en place d'une telle technique, est attentatoire aux droits et libertés des agents ;
- une telle décision porte atteinte au droit et au respect de la vie privée protégés par l'article 8 de la convention européenne des droits de l'homme et des libertés fondamentales et l'article 17 du pacte international relatif aux droits civils et politiques ;
- il n'existe aucune obligation d'enrôlement des doigts des agents ; il n'a jamais envisagé de se soustraire au contrôle de son entrée et départ du service ; il n'a jamais manqué à une obligation légale ; les décisions querellées n'indiquent pas précisément si l'agent a été sanctionné parce qu'il avait refusé d'enrôler ses doigts ou parce qu'il aurait refusé de badger ou signaler sa présence ;
- il n'a commis aucune faute en refusant de se soumettre à un ordre manifestement illégal ;
Vu la loi n° 78-17 modifiée du 6 janvier 1978 ;
Vu la délibération n° 2006-101 du 27 avril 2006 de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu au cours de l'audience publique du 5 juin 2014 :
- et les observations de Me Boukheloua pour M. A...et de Me B...pour la commune de Garges-les-Gonesse ;
Et connaissance prise de la note en délibéré, enregistrée le 6 juin 2014, présentée pour la commune de Garges-les-Gonesse et de la note en délibéré, enregistrée le 9 juin 2014, présentée pour M.A... ;
1. Considérant qu'en 2010, la commune de Garges-les-Gonesse a décidé d'installer un système biométrique de contrôle du temps de présence de ses agents comportant une badgeuse permettant une reconnaissance du contour de deux doigts d'une main ; que le 17 décembre 2010 puis le 20 janvier 2011, le maire de la commune de Garges-les-Gonesse a pris à l'encontre de M. A... deux sanctions disciplinaires, un avertissement puis une exclusion temporaire de fonctions d'une durée de deux jours sanctionnant le refus de l'agent de se soumettre à ce contrôle biométrique de son temps de présence ; que M. A...a introduit deux recours gracieux tendant au retrait de ces décisions ; que la commune de Garges-les-Gonesse a implicitement rejeté ces demandes ; que M. A...a alors saisi le Tribunal administratif de Cergy-Pontoise de deux demandes tendant à l'annulation de chacune de ces deux décisions ; que par jugement commun en date du 18 février 2013 dont M. A...relève appel, le tribunal administratif a rejeté ses demandes ;
2. Considérant, d'une part, qu'aux termes de l'article 28 de la loi du 13 juillet 1983 : " Tout fonctionnaire, quel que soit son rang dans la hiérarchie, est responsable de l'exécution des tâches qui lui sont confiées. Il doit se conformer aux instructions de son supérieur hiérarchique, sauf dans le cas où l'ordre donné est manifestement illégal et de nature à compromettre gravement un intérêt public (...) " ; qu'aux termes de l'article 89 de la loi du 26 janvier 1984 : " Les sanctions disciplinaires sont réparties en quatre groupes : Premier groupe : l'avertissement ; le blâme ; l'exclusion temporaire de fonctions pour une durée maximale de trois jours ;(...) / Parmi les sanctions du premier groupe, seuls le blâme et l'exclusion temporaire de fonctions sont inscrits au dossier du fonctionnaire. Ils sont effacés automatiquement au bout de trois ans si aucune sanction n'est intervenue pendant cette période. / L'exclusion temporaire de fonctions, qui est privative de toute rémunération, peut être assortie d'un sursis total ou partiel (...) " ;
3. Considérant, d'autre part, qu'aux termes des dispositions de l'article 2 de la loi susvisée du 6 janvier 1978 : " La présente loi s'applique aux traitement automatisés de données à caractère personnel, ainsi qu'aux traitements non automatisés des données à caractère personnel contenues ou appelées à figurer dans des fichiers, à l'exception des traitements mis en oeuvre pour l'exercice d'activités exclusivement personnelles, lorsque leur responsable remplit les conditions prévues à l'article 5. (...) La personne concernée par un traitement de données à caractère personnel est celle à laquelle se rapportent les données qui font l'objet du traitement. " ; qu'en vertu des dispositions de l'article 32 de la même loi : " I -La personne auprès de laquelle sont recueillies des données à caractère personnel la concernant est informée, sauf si elle l'a été au préalable, par le responsable du traitement ou son représentant : 1° De l'identité du responsable du traitement et, le cas échéant, de celle de son représentant ; 2° De la finalité poursuivie par le traitement auquel les données sont destinées ; 3° Du caractère obligatoire ou facultatif des réponses ; 4° Des conséquences éventuelles, à son égard, d'un défaut de réponse ; 5° Des destinataires ou catégories de destinataires des données ; 6° Des droits qu'elle tient des dispositions de la section 2 du présent chapitre ; (...) " ;
4. Considérant qu'il ne ressort pas des pièces du dossier que l'information individuelle exigée par les dispositions précitées ait été délivrée individuellement aux agents de la commune par la commune de Garges-les-Gonesse ; qu'en effet, par deux courriers en date des 21 mars et 31 août 2011, la Commission nationale de l'informatique et des libertés a rappelé la commune à ses obligations sur ce point ; que si, par un autre courrier en date du 27 février 2012, la Commission nationale de l'informatique et des libertés a informé les agents de la commune que la commune s'était engagée à délivrer cette information, ce courrier est postérieur aux décisions attaquées ; que des attestations sur l'honneur établies postérieurement à ce courrier par certains agents de la commune indiquent par ailleurs que cet engagement n'a pas été suivi d'effet ; que si la méconnaissance d'une telle obligation à la charge de la commune est sans incidence sur la légalité de la décision du maire d'instaurer le contrôle biométrique des temps de présence dans la mesure où une telle formalité doit être accomplie avant la mise en oeuvre de l'arrêté décidant l'organisation de ce système de contrôle, et non nécessairement avant son édiction, sa méconnaissance doit en revanche être regardée comme ayant eu pour effet de rendre une telle décision inopposable aux agents de la commune ; que le maire de la commune de Garges-les-Gonesse ne pouvait donc légalement prendre, sur le fondement d'un ordre resté inopposable à ses agents à défaut d'accomplissement des formalités spécifiques exigées par les dispositions de l'article 32 de la loi du 6 janvier 1978 précitées, un avertissement puis une sanction d'exclusion temporaire de fonctions à l'encontre de M.A... sans priver ces décisions de base légale ; que, par suite, M. A...est fondé à soutenir que c'est à tort que par le jugement attaqué, le Tribunal administratif de Cergy-Pontoise a rejeté ses demandes tendant à l'annulation des décisions en date des 17 décembre 2010 et 20 janvier 2011 par lesquelles le maire de la commune de Garges-les-Gonesse a pris à l'encontre de M. A...un avertissement et une exclusion temporaire de fonctions d'une durée de deux jours ;
5. Considérant qu'il résulte de ce qui précède que le jugement du Tribunal administratif de Cergy-Pontoise en date du 18 février 2013, les décisions attaquées en date des 17 décembre 2010 et 21 janvier 2011, ainsi que les décisions implicites par lesquelles le maire de la commune de Garges-les-Gonesse a refusé de retirer ces décisions doivent être annulés ;
Sur les conclusions tendant à l'application des articles L.761-1 et R. 761-1 du code de justice administrative :
6. Considérant que les dispositions précitées font obstacle à ce que soit mise à la charge de M.A..., qui n'est pas la partie perdante, la somme demandée à ce titre par la commune de Garges-les-Gonesse ; que, dans les circonstances de l'espèce, il y a lieu en revanche de faire application de ces dispositions en mettant à la charge de la commune de Garges-les-Gonesse la somme de 700 euros au titre des frais exposés par M. A...et non compris dans les dépens ;
7. Considérant qu'en application des dispositions de l'article R. 761-1 du code de justice administrative, il y a lieu de mettre à la charge de la commune de Garges-les-Gonesse le versement à M. A...de la somme de 35 euros correspondant à la contribution pour l'aide juridique dont il s'est acquitté ;
Article 1er : Le jugement 1104695-1105555 en date du 18 février 2013, les décisions en date des 17 décembre 2010 et 20 janvier 2011 par lesquelles le maire de la commune de Garges-les-Gonesse a infligé un avertissement à M. A...et a prononcé à son encontre une exclusion temporaire de fonctions d'une durée de deux jours et les décisions implicites rejetant les recours gracieux tendant au retrait de ces décisions sont annulés.
Article 2 : La commune de Garges-les-Gonesse versera à M. A...une somme de 700 euros au titre de l'article L.761-1 du code de justice administrative.
Article 3 : La commune de Garges-les-Gonesse versera à M. A...la somme de 35 euros au titre de l'article R.761-1 du code de justice administrative.
Article 4 : Les conclusions de la commune de Garges-les-Gonesse tendant à l'application des dispositions de l'article L. 761-1 du code de justice administrative sont rejetées.
N°13VE01189
Une commune avait mis en place un système biométrique de contrôle du temps de présence de ses agents. Suite au refus de l’un de ses agents de se soumettre au contrôle de la badgeuse biométrique, la commune a prononcé deux sanctions disciplinaires successives à l’égard de cet agent. Ce dernier, M. A, a alors saisi le tribunal administratif de Cergy-Pontoise afin de demander l’annulation des deux sanctions. M. A avait fondé sa demande sur le fait que les sanctions lui étaient inopposables puisque la commune n’avait pas pris le soin de l’informer individuellement de la mise en place du système de pointage permettant une reconnaissance du contour de deux doigts d’une main. Débouté par le tribunal administratif, M. A fait appel de la décision de première instance.
La Cour Administrative d’Appel de Versailles accueille favorablement la demande de M. A et annule les deux décisions de sanction disciplinaire prononcées à son égard. Elle confirme que les sanctions étaient inopposables à l’agent pour manquement à l’obligation d’information individuelle par le responsable de traitement.
Le juge d’appel se fonde sur l’article 32 de la Loi « Informatique et Libertés » (loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés) pour justifier son raisonnement. Cet article impose, en effet, au responsable de traitement de fournir certaines informations à la personne dont les données à caractère personnel sont traitées. Ainsi, en l’espèce, la commune était tenue d’indiquer la finalité poursuivie par le traitement, les éventuels destinataires des données, et les droits reconnus aux agents (droit d’accès et droit de rectification/suppression des données erronées, notamment). Il semble que la Cour Administrative d’Appel se prête à une interprétation quelque peu extensive de la lettre de la loi. En effet, elle déduit de l’article 32 une obligation d’information individuelle de la personne concernée par un traitement de données personnelles.
Pour autant, la déduction de la Cour mérite d’être inscrite dans une perspective plus large que le seul libellé un peu elliptique de l’article 32. En effet, d’une part et pour rappel, aux termes de l’article 10 de la Directive 95/46/CE (Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données) les Etats membres doivent prévoir que le responsable de traitement doit fournir certaines informations relatives au traitement de données à caractère personnel « à la personne auprès de laquelle il collecte des données la concernant ». Par principe, la communication des informations requises est intrinsèquement liée au moment de la collecte directe des données, c’est-à-dire alors que la personne concernée est présente. D’autre part, l’article 90 du décret du 20 octobre 2005 pris pour l’application de la Loi « Informatique et Libertés » (décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 et modifié par le décret n°2077-451 du 25 mars 2007) vient utilement préciser l’article 32 de la loi « Informatique et Libertés ». Il prévoit que « Le responsable du traitement porte directement à la connaissance des personnes auprès desquelles sont recueillies des données à caractère personnel les informations énumérées au I de l'article 32 de la loi du 6 janvier 1978 ». Relevons simplement que l’adverbe « directement » est proposé comme synonyme de « personnellement » par le Larousse, ledit terme recevant la même acception que celui d’« individuellement ». Enfin et surtout, dans toutes ses autorisations uniques portant sur la mise en œuvre de dispositifs de contrôle biométrique au travail (Autorisation unique n° AU-027 - Délibération n° 2011-074 du 10 mars 2011 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l'empreinte digitale et ayant pour finalité le contrôle de l'accès aux postes informatiques portables professionnels, Autorisation unique n° AU-019 - Délibération n°2009-316 du 7 mai 2009 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle de l’accès aux locaux sur les lieux de travail, Autorisation unique n° AU-008 - Délibération n°2006-102 du 27 avril 2006 portant autorisation unique de mise en œuvre de dispositifs biométriques reposant sur la reconnaissance de l'empreinte digitale exclusivement enregistrée sur un support individuel détenu par la personne concernée et ayant pour finalité le contrôle de l'accès aux locaux sur les lieux de travail, Autorisation unique n° AU-007 - Délibération n°2012-322 du 20 septembre 2012 portant autorisation unique de mise en œuvre de traitements reposant sur la reconnaissance du contour de la main et ayant pour finalités le contrôle d'accès ainsi que la restauration sur les lieux de travail), la CNIL a toujours indiqué clairement que conformément aux dispositions de l'article 32 de la loi « Informatique et Libertés », l’information des utilisateurs devait être effectuée par la diffusion à chaque personne concernée, préalablement à la mise en œuvre du traitement, d'une note explicative.
Dès lors, on peut considérer que la Cour Administrative d’Appel vient plutôt rappeler la teneur de l’obligation faite au responsable de traitement en lui imposant d’informer la personne concernée de manière individuelle. Il semble que ce dernier ne puisse pas se contenter de l’information collective sur le dispositif de contrôle requise au titre du droit du travail (de type affichage dans les locaux de l’entreprise, communication sur l’intranet, …).
Si le juge d’appel rappelle que les décisions de sanctions disciplinaires ont été prises en toute légalité, pour autant, puisque M. A n’était pas censé connaître l’existence ni l’objectif du traitement de données personnelles inhérent au dispositif biométrique, la Cour Administrative d’Appel en déduit que ces sanctions lui étaient donc inopposables.
En conséquence, cette décision vient rappeler l’obligation d’information à charge du responsable de traitement, étant toutefois noté que l’exigence d’information individuelle est consubstantielle au caractère particulièrement sensible d’un traitement biométrique. Ce constat pourrait expliquer l’approche très stricte de la Cour Administrative d’Appel en l’espèce, et on peut supposer qu’une telle interprétation ne s’applique pas à tous les traitements.
Ajouté : 06-11-2014
Visiteurs : 2 103