Loi IETL 05/2005
DELIBERATION N°2005-002 DE LA CNIL DU 13 JANVIER 2005 PORTANT ADOPTION D’UNE NORME DESTINEE A SIMPLIFIER L’OBLIGATION DE DECLARATION DES TRAITEMENTS MIS EN ŒUVRE PAR LES ORGANISMES PUBLICS ET PRIVES POUR LA GESTION DE LEURS PERSONNELS (NORME SIMPLIFIEE N° 46) J.O. n° 40 du 17 février 2005, texte n° 68 – NOR : CNIX0508057X La Commission nationale de l’informatique et des libertés, Vu la convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code du travail ; Vu les lois n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires, n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l’Etat, n° 84-53 du 26 janvier 1984 portant dispositions statutaires relatives à la fonction publique territoriale, et n° 86-33 du 9 janvier 1986 portant dispositions statutaires relatives à la fonction publique hospitalière ; Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée, et notamment son article 24 ; Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport et Mme Catherine Pozzo di Borgo, commissaire adjoint du Gouvernement, en ses observations ; En vertu de l’article 24 de la loi du 6 janvier 1978 modifiée, la Commission nationale de l’informatique et des libertés est habilitée à établir des normes destinées à simplifier l’obligation de déclaration des traitements les plus courants et dont la mise en oeuvre, dans des conditions régulières, n’est pas susceptible de porter atteinte à la vie privée ou aux libertés. Les traitements informatisés relatifs à la gestion de leurs personnels mis en oeuvre par des employeurs publics ou privés sont de ceux qui peuvent, sous certaines conditions, relever de cette définition. Après avoir recueilli les observations des représentants des organisations professionnelles d’employeurs et d’employés, et des ministères concernés, Décide : Article 1er Peut bénéficier de la procédure de la déclaration simplifiée de conformité à la présente norme tout traitement automatisé relatif à la gestion du personnel des organismes publics ou privés qui répondent aux conditions suivantes. Article 2 : finalités du traitement Le traitement peut avoir tout ou partie des finalités suivantes : – la gestion administrative des personnels : – gestion du dossier professionnel des employés, tenu conformément aux dispositions législatives et réglementaires, ainsi qu’aux dispositions statutaires, conventionnelles ou contractuelles qui régissent les intéressés ; – réalisation d’états statistiques ou de listes d’employés pour répondre à des besoins de gestion administrative ; – gestion des annuaires internes et des organigrammes ; – gestion des dotations individuelles en fournitures, équipements, véhicules et cartes de paiement ; – gestion des élections professionnelles ; – gestion des réunions des instances représentatives du personnel ; – gestion de l’action sociale et culturelle directement mise en oeuvre par l’employeur, à l’exclusion des activités de médecine du travail, de service social ou de soutien psychologique ; – la mise à disposition des personnels d’outils informatiques : – suivi et maintenance du parc informatique ; – gestion des annuaires informatiques permettant de définir les autorisations d’accès aux applications et aux réseaux ; – mise en oeuvre de dispositifs destinés à assurer la sécurité et le bon fonctionnement des applications informatiques et des réseaux, à l’exclusion de tout traitement permettant le contrôle individuel de l’activité des employés ; – gestion de la messagerie électronique professionnelle, à l’exclusion de tout traitement permettant le contrôle individuel de l’activité des employés ; – réseaux privés virtuels internes à l’organisme permettant la diffusion ou la collecte de données de gestion administrative des personnels (intranet) ; – l’organisation du travail ; – gestion des agendas professionnels ; – gestion des tâches des personnels, à l’exclusion de tout traitement permettant un contrôle individuel de leur productivité ; – la gestion des carrières et de la mobilité : – évaluation professionnelle des personnels, dans le respect des dispositions législatives, réglementaires ou conventionnelles qui la régissent, à l’exclusion des dispositifs ayant pour objet l’établissement du profil psychologique des employés ; – gestion des compétences professionnelles internes ; – validation des acquis de l’expérience professionnelle ; – simulation de carrière ; – gestion de la mobilité professionnelle ; – la formation des personnels : – suivi des demandes de formation et des périodes de formation effectuées ; – organisation des sessions de formation ; – évaluation des connaissances et des formations. Les fonctionnalités de gestion informatisée des courriers et d’archivage électronique des documents produits dans le cadre des finalités précédemment décrites sont couvertes par la présente norme. Article 3 : données traitées Les données traitées pour la réalisation des finalités décrites à l’article 2 sont : a) pour l’identification de l’employé : – identité : nom, prénom, photographie (facultatif), sexe, date et lieu de naissance, nationalité, coordonnées professionnelles, coordonnées personnelles (facultatif), matricule interne, références du passeport (uniquement pour les personnels amenés à se déplacer à l’étranger) ; – type, numéro d’ordre et copie du titre valant autorisation de travail pour les employés étrangers en application de l’article R. 620-3 du code du travail ; – le cas échéant, coordonnées des personnes à prévenir en cas d’urgence ; – distinctions honorifiques (facultatif) ; b) pour la gestion administrative de l’employé : – gestion de la carrière de l’employé : date et conditions d’embauche ou de recrutement, date, objet et motif des modifications apportées à la situation professionnelle de l’employé, simulation de carrière, desiderata de l’employé en termes d’emploi, sanctions disciplinaires à l’exclusion de celles consécutives à des faits amnistiés ; – gestion des déclarations d’accident du travail et de maladie professionnelle : coordonnées du médecin du travail, date de l’accident ou de la première constatation médicale de la maladie professionnelle, date du dernier jour de travail, date de