Le 22 septembre, la formation contentieuse de la Cnil a rendu publics deux rappels à l’ordre concernant un détournement de finalité de données personnelles.

Les faits et le contentieux

En août 2019, une députée de la Manche a adressé à tous les lycéens ayant obtenu leur baccalauréat une lettre de félicitations pour leur succès. À la suite d’une plainte, la Cnil a établi que les données ayant permis cet envoi étaient issues du fichier « OCEAN », normalement dédié à la gestion des examens et concours scolaires.
En conséquence, en vertu du principe de finalité limitée du fichier, les données de celui-ci ne pouvaient être strictement utilisées que dans les cas prévus par l’arrêté du 22 avril 2013 du Ministère de l’Éducation nationale. Le rectorat de l’académie de Normandie avait donc failli en dépassant les limites d’utilisation de ces données et en les mettant à la disposition de la députée.
La Cnil a donc constaté un manquement à l’article 5 du RGPD qui dispose que les données personnelles doivent être « traitées de manière licite ».

C’est pourquoi la formation restreinte de la Cnil (formation contentieuse) a prononcé un double rappel à l’ordre :

À l’encontre du rectorat de l’académie de Normandie ;
À l’encontre de la députée.

Elle a également choisi de rendre publiques ces délibérations.

Des négligences coupables

Il est significatif que des autorités publiques comme une académie soient aussi peu au fait des rigueurs de la réglementation sur la protection des données personnelles, au point de diffuser les données d’élèves qui pour beaucoup étaient de surcroît mineurs, sur la simple demande de l’équipe d’une députée, pas vraiment au fait des lois, alors même que « Nul n’est censé ignorer la loi ».

Lire l’article du 22 septembre sur le site de la Cnil.

Afin que nul n’en ignore, la Cnil renvoie en fin d’article à une page présentant La chaîne répressive de la Cnil, qui permet de se faire une idée des moyens de contrôle, d’investigation et de sanctions de la Cnil.

Didier Frochot

Didier Frochot est titulaire d’une maîtrise de droit privé et d’un DESS de gestion. Présent dans le secteur de l’information-documentation depuis 1982, il est Consultant et Formateur depuis 1984, il collaboration à la rubrique Droit du mensuel professionnel Archimag depuis 2003. Il fut par le passé Responsable pédagogique du cycle supérieur de l’INTD/CNAM pendant 10 ans (1989-1998).

Spécialités
E-réputation – Propriété intellectuelle, Droit des technologies de l’information, de la documentation et des médiathèques, Données personnelles et RGPD – Technologies de l’information (Internet/Intranet : recherche d’informations conception de sites) – Documentation – Traitement de l’information – Information, documentation et veille juridiques.