Fin octobre 2026, la presse a relayé un jugement du tribunal administratif de Paris rejetant le recours d’un ancien chef de pôle documentation de la DGSI. En décembre 2023, le ministère de l’Intérieur lui avait retiré son habilitation au secret de la défense nationale. Parmi les griefs figuraient des requêtes non autorisées dans les bases de données du service, faites pour retrouver les dates de naissance de collègues et leur souhaiter leur anniversaire. Le cas est anecdotique en apparence. Il illustre pourtant une consultation abusive de fichiers comme on en rencontre dans bien des organismes.
Les faits et la réponse du tribunal
Selon Seven Radio, le retrait de l’habilitation reposait sur un rapport défavorable qui relevait aussi un comportement frondeur et des tensions avec la hiérarchie. Pour sa défense, l’agent invoquait une formation insuffisante et des nécessités de service. Le tribunal a estimé que la recherche de dates d’anniversaire n’avait aucun rapport avec les missions qui justifiaient l’accès à ces données, et il a rejeté la requête.
Le motif paraît bénin. Aucune donnée n’a été divulguée, l’intention était amicale. Pour l’employeur, la question se pose autrement : un agent a utilisé un accès légitime pour une finalité qui ne l’était pas, sur un fichier de renseignement. La confiance attachée à l’habilitation n’y résiste pas.
Une consultation abusive de fichiers, partout ailleurs
Le même schéma se retrouve dans des contextes moins sensibles en apparence. Un soignant qui ouvre le dossier d’un voisin hospitalisé. Un gestionnaire RH qui consulte la fiche de paie d’un collègue. Un agent de mairie qui recherche l’adresse d’une connaissance dans un logiciel d’état civil ou d’aide sociale. Dans un service de prévention et de santé au travail, un professionnel qui consulte le dossier médical en santé au travail d’un salarié qu’il ne suit pas.
Le RGPD pose le principe de limitation des finalités (article 5) et impose au responsable de traitement des mesures de sécurité adaptées (article 32), dont la maîtrise des accès. Le Code pénal punit le détournement de finalité de données personnelles (article 226-21). Dans le secteur de la santé, le secret partagé ne couvre que les professionnels qui participent à la prise en charge de la personne. Un accès techniquement possible n’est donc pas pour autant autorisé.
Ce que l’organisme doit mettre en place
La défense de l’agent, fondée sur une formation lacunaire, rappelle qu’un employeur doit pouvoir prouver qu’il a fixé et expliqué les règles. Les mesures attendues sont connues ; leur mise en œuvre l’est moins.
- Des habilitations par profil, limitées aux besoins du poste, revues au moins une fois par an et à chaque changement de fonction ou départ.
- Une journalisation des consultations, pas seulement des modifications : qui a ouvert quel dossier, quand, depuis quel poste. La recommandation de la CNIL sur la journalisation préconise en règle générale une conservation des traces de six mois à un an.
- Une analyse régulière de ces journaux, avec des alertes sur les recherches atypiques : consultation de la fiche d’un collègue, volume anormal, accès hors des horaires habituels.
- Une charte informatique opposable, annexée au règlement intérieur, qui cite des exemples concrets d’accès interdits et les sanctions encourues.
- Une information préalable des salariés ou agents sur l’existence de ces contrôles, et, dans les structures concernées, une consultation du CSE.
- Une sensibilisation tracée : feuille d’émargement, questionnaire, date de session. C’est cette preuve qui répond à l’argument de la formation insuffisante.
Les sanctions et leur proportion
Quand une consultation injustifiée est détectée, la réponse disciplinaire doit rester proportionnée et fondée sur des faits établis par les journaux. Un premier écart peut appeler un rappel écrit ; des consultations répétées, ou portant sur des données de santé, justifient une sanction plus lourde. L’organisme doit aussi se demander s’il s’agit d’une violation de données au sens de l’article 33. Si la confidentialité de données a été atteinte, l’incident doit au minimum être inscrit au registre des violations, et la notification à la CNIL s’apprécie selon le risque pour les personnes.
Reste la question du contrôle des journaux eux-mêmes. Ils contiennent des données personnelles sur les salariés ou agents, et leur exploitation doit rester dans le cadre annoncé : détection d’accès injustifiés, sécurité, preuve en cas de litige. Une fiche de registre dédiée, une liste restreinte de personnes habilitées à les consulter et une durée de conservation fixée évitent qu’un outil de contrôle ne devienne lui-même source d’abus.
Dans les SPST, les collectivités et les établissements de santé que j’accompagne, la journalisation existe souvent dans le logiciel sans que personne ne la consulte. La décision de la DGSI rappelle qu’une trace inexploitée ne protège ni les personnes dont les données sont consultées, ni l’employeur qui devra un jour justifier une sanction.
Le réseau DPO FRANCE accompagne les organismes dans la revue des habilitations, la politique de journalisation et la sensibilisation des équipes. Le logiciel DPO SUITE enregistre les procédures, les incidents et les violations, ainsi que les preuves de sensibilisation, pour documenter chaque étape en cas de contrôle ou de contentieux.
