Un agent consulte un fichier professionnel pour des raisons privées. Le réflexe habituel consiste à traiter l’affaire en discipline interne. Une autorité européenne vient de prendre le contre-pied : elle a sanctionné l’organisme employeur, pas les agents fautifs. Deux consultations de quelques minutes, six ans de procédure.
Que s’est-il passé exactement ?
À l’origine, une plainte déposée le 4 février 2020. Le plaignant dénonçait deux consultations du fichier de population central effectuées en décembre 2019, sans autorisation et à des fins privées, par des membres du personnel d’une commune.
Les communes accèdent quotidiennement à ce fichier pour leurs missions d’état civil. Chaque consultation doit être rattachée à une finalité précise. Consulter le dossier d’un voisin, d’un ex-conjoint ou d’une connaissance par curiosité personnelle est un détournement de finalité caractérisé.
Pourquoi l’organisme est-il sanctionné et pas l’agent ?
Parce que le RGPD fait peser sur le responsable de traitement la charge de démontrer qu’il avait organisé la prévention. L’instruction a établi que la commune n’avait pas mis en place les mesures techniques et organisationnelles appropriées pour empêcher ces accès.
Deux manques précis sont relevés : l’absence de traçabilité exploitable des consultations, et l’absence d’enregistrement du motif de chaque consultation. La chambre contentieuse en a conclu à un manquement de la commune à ses obligations et a prononcé une réprimande.
La logique dépasse largement le cas des communes. Un fichier sensible consulté sans journalisation, sans motif enregistré et sans contrôle régulier des accès est une infraction en puissance, même quand personne n’a encore fauté.
Quels organismes sont concernés en France ?
Tous ceux qui donnent accès à une base nominative à des équipes nombreuses. La grille est identique quel que soit le secteur.
| Secteur | Base concernée | Consultation à risque |
|---|---|---|
| Collectivité | État civil, fichier population | Dossier d’un voisin ou d’un élu |
| Santé | Dossier patient informatisé | Dossier d’un collègue ou d’un proche |
| Banque et assurance | Fichier clients | Comptes d’un membre de la famille |
| Ressources humaines | Dossiers du personnel | Rémunération d’un collègue |
| Opérateur télécom | Base abonnés | Numéro d’une personne connue |
Une réprimande n’est pas une amende, et l’absence de sanction pécuniaire peut rassurer à bon compte. Elle établit pourtant publiquement le manquement. Les faits datant de 2019 se jugeraient aujourd’hui dans un contexte nettement plus ferme.
Prouver qui a consulté quoi, quand et pourquoi suppose de relier les habilitations, les traitements et les contrôles réalisés dans un même endroit. DPO SUITE tient ce lien à jour, pour répondre à une plainte sans reconstituer six ans d’historique.
Quelles mesures mettre en place concrètement ?
- Journaliser chaque consultation : identifiant de l’agent, horodatage, personne consultée. Sans gestion des traces exploitable, aucune enquête interne n’aboutit.
- Exiger le motif au moment de la consultation : cette seule mesure transforme la curiosité en acte tracé, et dissuade avant même de punir.
- Contrôler proactivement : échantillonnages réguliers, alertes sur les consultations atypiques comme les homonymes, les proches ou les dossiers médiatisés, revue périodique des habilitations d’accès.
- Sensibiliser nommément : dire aux agents que la consultation de complaisance est une faute et peut constituer une infraction. La sensibilisation interne se documente, elle aussi.
Si votre organisme ne peut pas dire aujourd’hui qui a consulté quoi, quand et pourquoi, la question n’est pas de savoir si un écart se produira. Elle est de savoir quand.
Source officielle : Autorité de protection des données, fil d’actualités.
FAQ
Consulter un fichier par curiosité est-il une faute ?
Oui. L’accès est autorisé pour une finalité professionnelle précise, pas pour satisfaire un intérêt personnel. Consulter le dossier d’un voisin ou d’un proche constitue un détournement de finalité. Selon le fichier concerné, le comportement peut aussi relever du droit pénal, indépendamment de la sanction disciplinaire.
L’employeur peut-il être sanctionné pour l’acte d’un agent ?
Oui, et c’est précisément le sens de cette décision. Le responsable de traitement doit démontrer qu’il avait mis en place des mesures appropriées pour prévenir les accès illégitimes. L’absence de traçabilité et de contrôle constitue un manquement autonome, distinct de la faute individuelle commise.
Combien de temps conserver les traces de consultation ?
La CNIL recommande en règle générale six mois pour les traces techniques, avec des durées plus longues justifiées par des besoins particuliers de sécurité. La durée doit être documentée dans le registre et rester proportionnée à la finalité de détection des accès anormaux.
Faut-il enregistrer le motif de chaque consultation ?
C’est la mesure que l’autorité a expressément relevée comme manquante. Sur les fichiers sensibles, demander un motif au moment de l’accès crée une friction utile et un élément de preuve. La consultation devient un acte assumé plutôt qu’un geste anodin.
Comment détecter une consultation anormale ?
Par des contrôles automatiques et des revues périodiques. Alertes sur les homonymes de l’agent, sur les dossiers de personnes médiatisées, sur les accès hors horaires ou hors secteur géographique habituel. Un échantillonnage manuel régulier complète utilement ces règles automatiques. Le motif enregistré sert alors de premier filtre de tri.
