La CNIL sanctionne deux ministères pour l'utilisation d'un fichier administratif à des fins de communication politique

Le 26 janvier 2023, un email intitulé « Réforme des retraites : Message de Stanislas Guerini aux agents de la Fonction publique » a été envoyé à plus de deux millions de personnes. Dans la foulée, la CNIL a reçu près de 1600 plaintes pour violation par le ministère de l’économie et le ministère de la transformation et de la fonction publiques des règles édictées par le RGPD. Dans sa délibération du 9 novembre 2023, la Commission rappelle à l’ordre les ministères concernés.

Gestion d'entreprise

La gestion d’entreprise constitue l’essentiel de l’activité d’un dirigeant d’entreprise. Elle fait appel à un grand nombre de notions empruntées de la comptabilité, de la finance (gestion des risques au moyen de la gestion des actifs et des assurances professionnelles), du droit des affaires (statut juridique, contrats commerciaux, fiscalité, cadre réglementaire et légal de l’activité), de la gestion de ressources humaines...

Découvrir tous les contenus liés

Pour retenir la qualification de responsables conjoints, la CNIL fait une analyse in concreto des décisions précédant l’envoi de l’email, qui ont été prises par la direction générale de l’administration et de la fonction publique (DGAFP) dépendant du ministère de la transformation et de la fonction publiques et par la direction générale des finances publiques (DGFiP) dépendant du ministère de l’économie.

EGAlim : vers des négociations commerciales équilibrées avec les agriculteurs

Je télécharge gratuitement

Elle relève notamment que la DGAFP a demandé à l’un des services de la DGFiP d’adresser une communication aux agents de l’État en précisant les caractéristiques, le contenu, la forme et les statistiques souhaitées (taux d’ouverture, taux de visionnage de la vidéo et nombre de clics sur la pièce jointe). La CNIL en conclut que le ministère de la transformation et de la fonction publiques a, par l’intermédiaire de la DGAFP, déterminé les moyens et les finalités du traitement.

Quant à la DGFIP, elle a réalisé des tests techniques en vue de l’envoi du courriel et a donné le « go fonctionnel » pour un envoi en masse du courriel. Elle est en outre chargée de mettre en œuvre le traitement automatisé de données à caractère personnel dénommé ENSAP (Espace numérique sécurisé de l’Agent public) en vertu du décret du 21 novembre 2022. En conséquence, la CNIL considère qu’en utilisant le fichier ENSAP et en déterminant certains des moyens mobilisés pour envoyer le courriel litigieux, le ministère de l’économie, à travers la DGFiP, a également déterminé les finalités et moyens du traitement.

En application du décret du 21 novembre 2022, l’ENSAP a pour finalité de permettre à l’administration d’adresser aux agents publics des courriels les informant qu’un document est disponible sur la plateforme qui leur est dédiée. Le traitement de leurs données personnelles s’effectue donc à visée de communication de nature administrative et non politique.

Or, en l’espèce le courriel envoyé s’inscrivait dans un objectif de communication politique. La CNIL relève à ce titre que l’envoi intervient peu après la présentation effectuée par l’un des ministres porteurs de la réforme envisagée, et ce avant l’adoption du projet de loi par le Parlement. Certains termes utilisés ainsi que la teneur générale du message visaient en outre à convaincre les agents publics de la nécessité et du bien-fondé de la réforme. Enfin, le courriel reçu par les agents ne les invitait pas à aller consulter un message dans l’ENSAP, mais contenait un document de présentation sur la réforme des retraites et un lien renvoyant vers une vidéo hébergée sur un service tiers.

Par conséquent, l’extraction des adresses électroniques pour l’envoi du courriel litigieux ne correspond pas à la finalité prévue par le décret du 21 novembre 2022 créant le traitement dénommé ENSAP. Les données personnelles des agents publics ont donc été traitées de manière incompatible avec les finalités pour lesquelles elles ont été collectées. Il en résulte une condamnation logique des ministères concernés. La CNIL opte pour la moindre des sanctions, avec un simple rappel à l’ordre, assorti tout de même d’une publicité nominative.