Rapporteur :
Mme Isabelle Lemesle
Commissaire du gouvernement :
M. Edouard Crépey
REPUBLIQUE FRANCAISE
AU NOM DU PEUPLE FRANCAIS
Vu la requête, enregistrée le 13 juillet 2012 au secrétariat du contentieux du Conseil d'Etat, présentée par le syndicat national des enseignants du second degré (SNES), dont le siège est 46, avenue d'Ivry à Paris (75647 Paris Cedex 13) ; le syndicat demande au Conseil d'Etat :
1°) d'annuler pour excès de pouvoir le décret n° 2012-342 du 8 mars 2012 portant création d'un traitement automatisé de données à caractère personnel dénommé " SIRHEN " relatif à la gestion des ressources humaines du ministère de l'éducation nationale, de la jeunesse et de la vie associative, et du ministère de l'enseignement supérieur et de la recherche ;
2°) de mettre à la charge de l'Etat la somme de 2 000 euros au titre de l'article L. 761-1 du code de justice administrative ;
Vu les autres pièces du dossier ;
Vu la Constitution, notamment son article 55 ;
Vu la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ;
Vu la loi n° 78-17 du 6 janvier 1978 ;
Vu la loi n° 83-634 du 13 juillet 1983 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 ;
Vu le décret n° 2011-184 du 15 février 2011 ;
Vu le décret n° 2012-1055 du 14 septembre 2012 ;
Vu le code de justice administrative ;
Après avoir entendu en séance publique :
- le rapport de Mme Isabelle Lemesle, Maître des Requêtes,
- les conclusions de M. Edouard Crépey, rapporteur public ;
Sur la régularité externe :
En ce qui concerne la compétence de l'auteur de l'acte :
1. Considérant qu'aux termes de l'article 22 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés : " I. - A l'exception de ceux qui relèvent des dispositions prévues aux articles 25, 26 et 27 ou qui sont visés au deuxième alinéa de l'article 36, les traitements automatisés de données à caractère personnel font l'objet d'une déclaration auprès de la Commission nationale de l'informatique et des libertés " ; que le 5° du I de l'article 25 de la même loi dispose que sont mis en oeuvre après autorisation de la Commission nationale de l'informatique et des libertés (CNIL), à l'exclusion de ceux qui sont mentionnés aux articles 26 et 27, les traitements automatisés ayant notamment pour objet l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents ; qu'aux termes du 1° du I de l'article 27 de la loi du 6 janvier 1978 sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la CNIL : " Les traitements de données à caractère personnel mis en oeuvre pour le compte de l'Etat, d'une personne morale de droit public ou d'une personne morale de droit privé gérant un service public, qui portent sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques " ; que selon l'article 30 de la même loi : " I. - Les déclarations, demandes d'autorisation et demandes d'avis adressées à la Commission nationale de l'informatique et des libertés (...) précisent : (...) / 3° Le cas échéant, les interconnexions, les rapprochements ou toutes autres formes de mise en relation avec d'autres traitements ; (...) " ;
2. Considérant, d'une part, qu'il résulte des dispositions précitées de la loi du 6 janvier 1978 qu'un fichier dont l'un des objets consiste à être interconnecté avec d'autres fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents doit faire l'objet d'une autorisation de la CNIL ; que pour l'application de ces dispositions, une interconnexion doit être regardée comme l'objet même d'un traitement qui permet d'accéder à, d'exploiter et de traiter automatiquement les données collectées pour un autre traitement et enregistrées dans le fichier qui en est issu ; qu'aux termes de l'article 3 du décret attaqué : " (...) le traitement automatisé de données à caractère personnel dénommé " SIRHEN " fait l'objet d'une interconnexion avec le traitement automatisé opérateur national de paye portant exclusivement sur les seuls éléments nécessaires au calcul et à la liquidation de la paye " ; que si le traitement " SIRHEN ", objet du présent litige, et le traitement " SI paye ", autorisé par le décret n° 2012-1055 du 14 septembre 2012, n'ont pas la même finalité, le premier ayant pour objet la gestion administrative et financière des personnels, la gestion des moyens et le pilotage national et académique par la production d'indicateurs statistiques et le second le paiement des traitements, soldes, salaires et accessoires servis par les ordonnateurs principaux et secondaires aux fonctionnaires et agents civils et militaires rémunérés par l'Etat ou les organismes publics ayant passé une convention à cet effet, leur mise en relation, dans la limite des informations nécessaires au calcul et à la liquidation de la paie, correspond au même intérêt public de gestion des personnels relevant du ministère de l'éducation nationale et du ministère de l'enseignement supérieur et de la recherche ; que, par suite, le moyen tiré de ce que décret attaqué serait entaché d'irrégularité pour n'avoir pas été soumis à l'autorisation de la CNIL en application des dispositions du 5 ° de l'article 25 de la loi du 6 janvier 1978 ne peut qu'être écarté ;
3. Considérant, d'autre part, que le décret attaqué a été pris sur le fondement des dispositions précitées du 1° du I de l'article 27 de la loi du 6 janvier 1978, qui autorisent la création de traitements, automatisés ou non, portant sur des données à caractère personnel ; que, par suite, n'est pas fondé le moyen tiré de ce qu'il est intervenu dans le domaine de la loi au motif qu'il rassemble des données personnelles portant sur les conjoints, partenaires, enfants et autres personnes à la charge des personnels du ministère de l'éducation nationale, de la jeunesse et de la vie associative, et du ministère de l'enseignement supérieur et de la recherche, notamment le numéro d'inscription des personnes au répertoire national d'identification (NIR) de leurs enfants ;
En ce qui concerne la régularité de la procédure suivie :
4. Considérant qu'aux termes de l'article L. 231-1 du code de l'éducation : " Le Conseil supérieur de l'éducation est obligatoirement consulté et peut donner son avis sur toutes les questions d'intérêt national concernant l'enseignement ou l'éducation quel que soit le département ministériel intéressé (...) " ; qu'aux termes de l'article 34 du décret du 15 février 2011 relatif aux comités techniques dans les administrations et les établissements de l'Etat qui, à date du décret attaqué, était applicable aux comités techniques paritaires régis par le décret du 28 mai 1982 relatif aux comités techniques paritaires : " Les comités techniques sont consultés, dans les conditions et les limites précisées pour chaque catégorie de comité par les articles 35 et 36 sur les questions et projets de textes relatifs :/1° A l'organisation et au fonctionnement des administrations, établissements ou services ;/2° A la gestion prévisionnelle des effectifs, des emplois et des compétences ;/3° Aux règles statutaires et aux règles relatives à l'échelonnement indiciaire ;/4° Aux évolutions technologiques et de méthodes de travail des administrations, établissements ou services et à leur incidence sur les personnels / 5° Aux grandes orientations en matière de politique indemnitaire et de critères de répartition y afférents ;/6° A la formation et au développement des compétences et qualifications professionnelles ;/7° A l'insertion professionnelle ;/8° A l'égalité professionnelle, la parité et à la lutte contre toutes les discriminations ;/9° A l'hygiène, à la sécurité et aux conditions de travail, lorsqu'aucun comité d'hygiène, de sécurité et de conditions de travail n'est placé auprès d'eux (...) " ;
5. Considérant que, d'une part, la création d'un traitement automatisé de données à caractère personnel pour la gestion des ressources humaines des ministères chargés de l'éducation nationale, de la jeunesse, de la vie associative, de l'enseignement supérieur et de la recherche, qui ne porte sur aucune question d'intérêt national concernant l'enseignement ou l'éducation au sens de l'article L. 231-1 du code de l'éducation, n'est pas au nombre des questions pour lesquelles la consultation du Conseil supérieur de l'éducation est obligatoire ; que, d'autre part, le décret attaqué, qui autorise ce traitement, ne peut être regardé comme ayant trait ni à l'organisation et au fonctionnement des administrations, ni aux évolutions technologiques ou aux méthodes de travail des administrations et à leur incidence sur les personnels ; que, par suite, il n'était pas au nombre des questions pour lesquelles la consultation d'un comité technique paritaire était obligatoire ; qu'enfin, il ressort des pièces du dossier que l'avis de la CNIL du 21 juillet 2011 a été publié, comme le décret attaqué, au Journal officiel du 10 mars 2012, conformément aux dispositions de l'article 18 du décret susvisé du 20 octobre 2005, en application desquelles les avis motivés de la commission émis en application des articles 26 et 27 de la loi du 6 janvier 1978 et les actes sur lesquels ils portent sont publiés à la même date par le responsable du traitement ; que, dès lors, les moyens relatifs à la régularité de la procédure d'adoption du décret attaqué ne peuvent qu'être écartés ;
Sur la légalité interne :
En ce qui concerne la méconnaissance de l'avis de la CNIL :
6. Considérant que, comme il a été dit, le décret attaqué a été pris en application du 1° du I de l'article 27 de la loi du 6 janvier 1978 ; que, par suite, l'avis formulé par la CNIL, dans sa délibération du 21 juillet 2011 sur le projet de décret qui lui était soumis a été rendu à titre consultatif ; qu'en tout état de cause, celui-ci revêt un caractère favorable sans réserve ; que, par suite, le moyen tiré de ce que le décret attaqué serait entaché d'erreur de droit pour ne pas avoir suivi l'ensemble des recommandations de la CNIL ne peut qu'être écarté ;
En ce qui concerne le droit d'opposition :
7. Considérant que les dispositions de l'article 6 du décret attaqué, qui écartent l'exercice du droit d'opposition, sont conformes aux dispositions de l'article 38 de la loi du 6 janvier 1978 aux termes desquelles : " Toute personne physique a le droit de s'opposer, pour des motifs légitimes, à ce que des données à caractère personnel la concernant fassent l'objet d'un traitement./ (...) Les dispositions du premier alinéa ne s'appliquent pas (...) lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement " ;
En ce qui concerne la méconnaissance des stipulations de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales, de l'article 55 de la Constitution et des dispositions des articles 1er et 6 de la loi du 6 janvier 1978 :
8. Considérant qu'aux termes de l'article 8 de la convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales : " 1. Toute personne a droit au respect de sa vie privée et familiale, de son domicile et de sa correspondance./ 2. Il ne peut y avoir ingérence d'une autorité publique dans l'exercice de ce droit que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales, à la protection de la santé ou de la morale, ou à la protection des droits et libertés d'autrui " ; qu'aux termes de l'article 1er de la loi du 6 janvier 1978 : " L'informatique doit être au service de chaque citoyen. Son développement doit s'opérer dans le cadre de la coopération internationale. Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques " ; qu'aux termes de l'article 6 de la même loi : " Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : / (...) 3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs (...) " ;
9. Considérant qu'il résulte de l'ensemble de ces dispositions que l'ingérence dans l'exercice du droit de toute personne au respect de sa vie privée que constituent la collecte, la conservation et le traitement, par une autorité publique, d'informations personnelles nominatives, ne peut être légalement autorisée que si elle répond à des finalités légitimes et que le choix, la collecte et le traitement des données sont effectués de manière adéquate et proportionnée au regard de ces finalités ;
10. Considérant que l'article 1er du décret attaqué autorise les ministres chargés de l'éducation, de l'enseignement supérieur, de la recherche, de la jeunesse et de la vie associative à mettre en oeuvre un traitement automatisé de données à caractère personnel ayant pour objet la gestion administrative et financière des personnels, la gestion des moyens (emplois, postes et heures) et le pilotage national et académique, par la production d'indicateurs statistiques ;
11. Considérant, en premier lieu, que la liste des données à caractère personnel et des informations ainsi collectées, annexée au décret attaqué, sont relatives à l'identification des agents, à leur situation familiale, à leur vie professionnelle auxquelles s'ajoutent des éléments économiques et financiers ; que la collecte de ces catégories de données est nécessaire à la finalité légitime du traitement ; que la collecte et le traitement de données telles que le nom, le prénom, la date et le lieu de naissance ainsi que le NIR des membres de la famille des agents, nécessaires pour permettre à ces derniers de bénéficier des avantages liés à leur situation de famille, sont proportionnés au regard des finalités du traitement ; qu'en revanche, l'administration ne fait état, dans ses écritures, d'aucune nécessité ou utilité quant au recueil des informations relatives au sexe et à la nationalité des conjoints ou partenaires des agents ; qu'en l'absence de toute justification sur ce point, la collecte de ces informations ne peut, en l'espèce, qu'être regardée comme excessive au regard des dispositions précitées du 3° de l'article 6 de la loi du 6 janvier 1978 ;
12. Considérant, en deuxième lieu, qu'il ressort des dispositions de l'article 3 du décret attaqué que ne sont destinataires des informations strictement nécessaires à leur mission, dans la limite de leurs attributions et du besoin d'en connaître, que les agents chargés des ressources humaines des services centraux et déconcentrés, ainsi que les inspecteurs de l'éducation nationale des ministères chargés de l'éducation, de l'enseignement supérieur, de la recherche, de la jeunesse et de la vie associative, individuellement désignés et spécialement habilités par l'autorité administrative responsable du traitement ; que les agents dûment habilités des trésoreries générales et de l'opérateur national de paye ne sont destinataires que des seules informations nécessaires au calcul et à la liquidation de la paye ; qu'en outre, l'article 4 dispose que les données ne sont conservées que jusqu'à la cessation définitive des fonctions de l'agent, à l'exception de celles relatives aux absences, conservées au maximum deux ans à compter de la date de reprise d'activité de l'agent et de celles relatives aux sanctions disciplinaires, conservées jusqu'à leur effacement du dossier administratif de l'agent ; qu'enfin, l'article 7 prévoit une traçabilité des consultations, mises à jour et échanges pendant une durée égale à celle de la conservation des données auxquelles ils se rapportent ;
13. Considérant, dès lors, que, compte tenu des restrictions et précautions dont le traitement est assorti, la collecte des données relatives à l'identification des agents, à leur situation familiale, à leur vie professionnelle, auxquelles s'ajoutent des éléments économiques et financiers, est en adéquation avec les finalités légitimes de ce dernier et ne porte pas, par son ampleur, au droit des individus au respect de leur vie privée une atteinte disproportionnée aux buts de gestion et de pilotage en vue desquels il a été créé ;
En ce qui concerne la méconnaissance de l'article 8 de la loi du 6 janvier 1978 et du 2e alinéa de l'article 18 de la loi du 13 juillet 1983 :
14. Considérant que l'article 8 de la loi du 6 janvier 1978 " interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci " à l'exception notamment, " dans la mesure où la finalité du traitement l'exige pour certaines catégories de données ", des " traitements portant sur des données à caractère personnel rendues publiques par la personne concernée " ;
15. Considérant, d'une part, que la mention du taux d'incapacité permanente ou du taux d'invalidité du " conjoint ou partenaire " et des personnes à la charge de l'agent n'est pas une donnée " relative à la santé " au sens des dispositions précitées de l'article 8 la loi du 6 janvier 1978, dès lors qu'il n'est pas même allégué qu'elle donnerait une information sur la nature du handicap ; d'autre part, que le traitement des données relatives aux élections professionnelles et aux décharges d'activité pour exercer des fonctions de représentant syndical, exigé par la finalité du traitement notamment pour l'organisation des élections professionnelles ainsi que pour la gestion des autorisations spéciales d'absence et des dispenses d'activité, s'il mentionne l'appartenance syndicale des agents concernés, ne méconnaît pas davantage les dispositions précitées de l'article 8 de la loi du 6 janvier 1978, dès lors que cette donnée a été rendue publique par la personne concernée ; qu'en tout état de cause, est inopérant le moyen tiré de la méconnaissance des dispositions du 2e alinéa de l'article 18 de la loi du 13 juillet 1983 susvisée, dès lors que le traitement critiqué ne constitue ni le " dossier du fonctionnaire ", ni un " document administratif " au sens de ces dernières ; que, par suite, le requérant n'est pas fondé à soutenir que ces mentions figurant au 15° et 16° du B du II de l'annexe du décret attaqué méconnaîtraient les dispositions de l'article 8 de la loi du 6 janvier 1978 ;
En ce qui concerne la durée de conservation des données :
16. Considérant que le moyen tiré de ce que l'archivage des seules données qui conservent une utilité administrative pendant une durée de quatre-vingt-dix ans à compter de la date de naissance de l'agent ne serait pas pertinent ne saurait être accueilli, de telles dispositions ne figurant pas dans le décret attaqué ;
17. Considérant qu'il suit de là que le syndicat n'est pas fondé à soutenir que les mesures prescrites par le décret attaqué ne sont pas adaptées, nécessaires et proportionnées au traitement et à demander la suppression du B du I de l'annexe du décret en tant qu'il fixe la liste des catégories de données afférentes à la situation familiale des personnels des ministères concernés, à l'exception toutefois, ainsi qu'il a été dit au point 11, de celles relatives au sexe et à la nationalité des conjoints et partenaires des agents ;
En ce qui concerne l'accès aux données :
18. Considérant que l'article 5 du décret attaqué dispose que les droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 s'exercent auprès des services de gestion du personnel des services centraux et déconcentrés des ministères concernés ; qu'aucune disposition légale ou réglementaire ne fait obligation au responsable du traitement de prévoir que les agents dont les données personnelles sont collectées puissent accéder à celles relatives à la traçabilité des consultations de leur dossier ; que, par suite, le moyen tiré de ce qu'une telle obligation aurait été méconnue ne peut qu'être écarté ;
En ce qui concerne les données personnelles relatives à d'autres personnes que les agents des ministères :
19. Considérant que les données personnelles collectées relatives aux conjoints, aux partenaires et aux enfants à la charge des agents concernés par le traitement ne relèvent pas des catégories interdites par le I de l'article 8 de la loi du 6 janvier 1978, sous la réserve exprimée au point 11 relativement au 3e et au 6e alinéas du 1° du B du I de l'annexe du décret attaqué ; que, par suite, le consentement exprès de ces personnes n'est pas requis ; que ces dernières bénéficient, d'ailleurs, du droit d'accès et de rectification garanti par les articles 39 et 40 de la même loi auxquels renvoie expressément l'article 5 du décret attaqué ; qu'en outre, le responsable du traitement est tenu de les informer de la collecte et du traitement des données qui les concernent, en application des dispositions du III de l'article 32 de la loi du 6 juillet 1978, sauf caractère impossible ou efforts disproportionnés par rapport à l'intérêt de la démarche ;
En ce qui concerne la mise en oeuvre du traitement automatisé des données :
20. Considérant que les conditions de mise en oeuvre d'un traitement automatisé de données personnelles sont sans incidence sur la légalité de l'acte par lequel il est autorisé ; que, par suite, sont inopérants les moyens tirés du caractère insuffisant de l'authentification de l'accès au fichier par mot de passe ou de l'anonymisation des données transmises à l'ONP ;
21. Considérant qu'il résulte de tout ce qui précède que le syndicat des enseignants du second degré est seulement fondé à demander l'annulation des dispositions du 1° du I du B de l'annexe du décret attaqué relatives à la mention du sexe et de la nationalité du conjoint ou partenaire de l'agent ;
Sur les conclusions tendant à l'application des dispositions de l'article L. 761-1 du code de justice administrative :
22. Considérant qu'il n'y a pas lieu, dans les circonstances de l'espèce, de faire droit à la demande du syndicat requérant de mettre à la charge de l'Etat une somme sur le fondement des dispositions de l'article L.761-1 du code de justice administrative ;
D E C I D E :
--------------
Article 1er : Les dispositions des 3e et 6e alinéas du 1° du B du I de l'annexe du décret n° 2012-342 du 8 mars 2012 portant création d'un traitement automatisé de données à caractère personnel dénommé " SIRHEN " relatif à la gestion des ressources humaines du ministère de l'éducation nationale, de la jeunesse et de la vie associative, et du ministère de l'enseignement supérieur et de la recherche sont annulées.
Article 2 : Le surplus des conclusions de la requête du syndicat des enseignants du second degré est rejeté.
Article 3 : La présente décision sera notifiée au syndicat des enseignants du second degré, au Premier ministre, au ministre de l'éducation nationale, au ministre de l'enseignement supérieur et de la recherche, et au ministre des sports, de la jeunesse, de l'éducation populaire et de la vie associative.
Abstrats
26-07-01-02-02 DROITS CIVILS ET INDIVIDUELS. - RECUEIL D'INFORMATIONS RELATIVES AU SEXE ET À LA NATIONALITÉ DES CONJOINTS OU PARTENAIRES D'AGENTS PUBLICS - CARACTÈRE EXCESSIF - EXISTENCE, EN L'ABSENCE DE TOUTE JUSTIFICATION APPORTÉE PAR L'ADMINISTRATION.
26-07-03-03-01 DROITS CIVILS ET INDIVIDUELS. - TRAITEMENTS AUTOMATISÉS AYANT POUR OBJET L'INTERCONNEXION DE FICHIERS RELEVANT D'UNE OU DE PLUSIEURS PERSONNES MORALES GÉRANT UN SERVICE PUBLIC ET DONT LES FINALITÉS CORRESPONDENT À DES INTÉRÊTS PUBLICS DIFFÉRENTS (5° DE L'ART. 25 DE LA LOI DU 6 JANVIER 1978) [RJ1] - EXCLUSION - INTERCONNEXION DES TRAITEMENTS SIRHEN ET SI PAYE , CES DEUX TRAITEMENTS CORRESPONDANT AU MÊME INTÉRÊT PUBLIC DE GESTION DES PERSONNELS RELEVANT DU MINISTÈRE DE L'ÉDUCATION NATIONALE ET DU MINISTÈRE DE L'ENSEIGNEMENT SUPÉRIEUR ET DE LA RECHERCHE.
Résumé
26-07-01-02-02 Traitement automatisé de données à caractère personnel ayant pour objet la gestion administrative et financière des personnels relevant d'un ministère, ainsi que la gestion des moyens et le pilotage, par la production d'indicateurs statistiques.,,,L'administration ne fait état d'aucune nécessité ou utilité quant au recueil des informations relatives au sexe et à la nationalité des conjoints ou partenaires des agents publics. En l'absence de toute justification sur ce point, la collecte de ces informations ne peut, en l'espèce, qu'être regardée comme excessive au regard des dispositions du 3° de l'article 6 de la loi n° 78-17 du 6 janvier 1978.
26-07-03-03-01 Si le traitement SIRHEN créé par le décret n° 2012-342 du 8 mars 2012 et le traitement SI paye autorisé par le décret n° 2012-1055 du 14 septembre 2012 n'ont pas la même finalité, le premier ayant pour objet la gestion administrative et financière des personnels, la gestion des moyens et le pilotage national et académique par la production d'indicateurs statistiques, et le second ayant pour objet le paiement des traitements, soldes, salaires et accessoires servis par les ordonnateurs principaux et secondaires aux fonctionnaires et agents civils et militaires rémunérés par l'Etat ou les organismes publics ayant passé une convention à cet effet, leur mise en relation, dans la limite des informations nécessaires au calcul et à la liquidation de la paie, correspond au même intérêt public de gestion des personnels relevant du ministère de l'éducation nationale et du ministère de l'enseignement supérieur et de la recherche.
Source : DILA, 23/03/2016, https://www.legifrance.gouv.fr/