C’est une sanction qui a failli nous échapper (et pourtant, on suit de très près l’actualité de la CNIL (Commission Nationale de l’Informatique et Libertés), cela aurait été dommage puisque cette sanction concerne non pas un, mais deux ministères.
Alors quels sont les faits ?
En janvier 2023, la CNIL a été saisie d’un nombre de plaintes important : 1590 pour être précis. Ces plaintes concernaient la réception d’un courriel adressé à des agents de la fonction publique.
- Son objet ? La ” Réforme des retraites : Message de Stanislas Guerini aux agents de la Fonction publique “.
- Dans le contenu du courriel, un lien vers une vidéo intitulée ” Réforme des retraites : Message de Stanislas Guerini aux agents de la fonction publique ” dans laquelle le ministre de la transformation et de la fonction publique s’exprimait.
Les plaintes concernent deux ministères : le ministère de l’Economie, des Finances et de la Souveraineté industrielle et numérique (ci-après ” ministère de l’Economie “) et le Ministère de la Transformation et de la Fonction Publiques.En effet, les plaignants dénoncent ici une « communication politique » qui leur aurait été adressée sous couvert de communication de nature administrative. Les faits nous ont rappelé une délibération du 24 juillet 2018, où la CNIL était venue sanctionner un organisme HLM pour avoir réalisé une communication politique auprès de locataires.
En 2018, l’organisme s’était défendu en indiquant qu’il s’agissait d’un mailing purement informatif, défense que reprennent ici les deux ministères. En outre, les ministères invoquent leur mission d’intérêt public d’information, avançant ainsi qu’ils étaient bien en droit d’exploiter le traitement de l’ENSAP (Espace numérique sécurisé de l’agent public) pour adresser ce mailing.
Pour la CNIL, cette défense ne tient pas vraiment la route.
Tout d’abord, la CNIL rappelle que le traitement de l’ENSAP dépend d’un décret qui en fixe les modalités : ainsi, cet espace a pour finalité « de mettre à disposition des agents publics un espace numérique sécurisé offrant des services personnalisés relatifs aux pensions de l’Etat, à la paye et aux élections des représentants du personnel dans la fonction publique de l’Etat. À ce titre, il permet à l’agent public : 1° De disposer d’un outil d’échange et de communication avec l’administration ; 2° De disposer d’un espace d’archivage de documents relatifs aux pensions de l’Etat (…) et à la paye ». En procédant à ce rappel, la CNIL montre bien ici que le mailing ne fait pas partie des finalités prévues par le décret, rendant cette utilisation interdite. Suivant ce raisonnement, et qualifiant la communication de politique malgré la défense des ministères, la CNIL sanctionne donc ici un détournement de finalité.
Autre point intéressant de cette sanction : la CNIL condamne ici deux responsables conjoints du traitement pour la première fois !
En effet, cette dernière considère que les ministères ont ici agi en tant que responsables conjoints ; c’est-à-dire qu’elle a considéré qu’ils avaient déterminé « conjointement les finalités et les moyens du traitement » (article 26 RGPD). Jusqu’à présent, cette qualification n’avait pas encore été abordée par la CNIL. La jurisprudence et la doctrine européenne rendaient parfois difficile son interprétation. Ici, la CNIL nous apporte quelques éléments à prendre en compte.
Pour parvenir à cette qualification, la CNIL s’est appuyée sur des échanges de mails entre les deux ministères. Dans une première lecture, on pourrait penser que le Ministère de la Transformation et de la Fonction Publiques se place en tant que responsable du traitement lorsqu’il demande au ministère de l’Economie d’adresser une communication aux agents de l’Etat et en précisant notamment le contenu ainsi que le public destinataire. La CNIL le dit d’ailleurs bien : ce ministère a participé à la détermination des finalités et des moyens.
Pour autant, le ministère de l’Economie gagne aussi cette casquette de responsable du traitement. Pourquoi ? Elle estime que le Ministère de l’Economie, qui met en œuvre l’ENSAP, ayant participé à l’envoi du mailing a également déterminé « certains moyens du traitement en cause ».
Ce faisant, et sans l’ombre d’un doute pour la CNIL, le ministère de l’Economie ayant participé à la détermination des finalités et moyens du traitement, il devait être tenu conjointement responsable du traitement avec le ministère de la Transformation et de la Fonction Publiques.
La sanction tombe : les deux ministères se voient rappeler à l’ordre par la CNIL.
La qualification de responsables conjoints semble ici un peu hâtive, s’il semble évident que deux acteurs participent à une même activité de traitement. La détermination des finalités semblent rattachable à l’un d’entre eux, laissant la détermination des moyens comme facteur essentiel de détermination de la qualification.
Aussi, on s’étonne de la sanction : pas d’interdiction de traitement futur ? Le mal est déjà fait, et que le rappel à l’ordre public devrait suffire à dissuader les ministères de réitérer. Peut-être verrons-nous passer un recours en Conseil d’Etat sur cette question prochainement ? Ce sera la saga de l’hiver à suivre, si c’est le cas.
En attendant, on vous dit à bientôt pour une prochaine publication !
