La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/47/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu les lois n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires, n° 84-16 du 11 janvier 1984 portant dispositions statutaires relatives à la fonction publique de l'Etat, n° 84-53 du 26 janvier 1984 portant dispositions statutaires relatives à la fonction publique territoriale et n° 86-33 du 9 janvier 1986 portant dispositions statutaires à la fonction publique hospitalière ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
Vu le code des postes et des communications électroniques ;
Vu le code du travail ;
Vu l'arrêté du 1er février 2002 relatif aux factures des services téléphoniques ;
Vu la délibération de la CNIL n° 94-113 du 20 décembre 1994 portant adoption d'une norme simplifiée concernant les traitements automatisés d'informations nominatives mis en oeuvre à l'aide d'autocommutateurs téléphoniques sur les lieux de travail (norme simplifiée n° 40) ;
Après avoir entendu M. Didier Gasse, commissaire, en son rapport, et Mme Catherine Pozzo di Borgo, commissaire adjoint du Gouvernement, en ses observations,
Formule les observations suivantes :
En application des articles 11 et 24-I de la loi du 6 janvier 1978 modifiée, la CNIL est habilitée à édicter des normes simplifiées concernant certains traitements automatisés de données à caractère personnel.
Pour l'application de l'article 24-I susvisé, il faut entendre par norme simplifiée un texte à valeur réglementaire définissant l'ensemble des conditions que doit remplir une catégorie courante de traitements pour être regardée comme ne comportant manifestement pas de risques d'atteinte à la vie privée et aux libertés et comme pouvant, dès lors, faire l'objet d'une déclaration simplifiée de conformité.
La mise à disposition au bénéfice des employés d'une ligne téléphonique, fixe ou mobile, conduit l'employeur public ou privé à disposer des données relatives à l'utilisation de ce moyen de communication, que ces données soient issues de la mise en place d'un autocommutateur téléphonique (téléphonie fixe) ou de leur transmission par l'opérateur auprès duquel l'organisme est client (téléphonie fixe ou mobile).
L'utilisation d'un service de téléphonie mobile par les employés d'un organisme public ou privé peut conduire celui-ci à traiter informatiquement les données issues de l'utilisation de ces services, que ces données soient resaisies par l'entreprise ou l'organisme privé et public à partir des factures papier envoyées par l'opérateur, qu'elles soient transférées par voie électronique par l'opérateur ou encore qu'elles soient accessibles à l'organisme par l'intermédiaire du site web de l'opérateur.
Les dispositions du code des postes et des communications électroniques permettent aux clients d'un opérateur de recevoir une facturation détaillée qui n'indique pas les quatre derniers chiffres des numéros appelés, à moins que le client n'ait expressément demandé que cela soit le cas. Dès lors, une entreprise ou un organisme privé et public peut avoir accès, soit par l'intermédiaire de l'autocommutateur qu'il aura mis en place, soit par l'intermédiaire de l'opérateur auprès duquel il est client, à l'intégralité des numéros de téléphone appelés.
Si les autocommutateurs permettent la collecte systématique, et à son insu, des données relatives à l'identification de l'appelant, une telle collecte est contraire à l'article 6 de la loi du 6 janvier 1978 modifiée qui prévoit que les données sont collectées et traitées de manière loyale et licite.
Les traitements mis en oeuvre dans le cadre de l'utilisation des services de téléphonie ne doivent pas entraver l'exercice des droits reconnus par la loi en matière de droits et libertés des employés protégés.
La mise à disposition de services de communications téléphoniques au sein d'une entreprise ou d'un organisme privé et public est essentiellement destinée à satisfaire les besoins de fonctionnement de l'organisme mais, toutefois, un usage raisonnable par les employés à des fins privées de ces moyens de communication est admis.
Les numéros de téléphone constituent des données à caractère personnel au sens de l'article 2 de la loi du 6 janvier 1978 modifiée. En conséquence, lorsque les numéros appelés sont enregistrés ou traités dans un fichier informatique, l'opération qui est ainsi faite constitue un traitement automatisé de données à caractère personnel soumis aux formalités préalables prévues par le chapitre IV de la loi du 6 janvier 1978 modifiée.
Après avoir recueilli les observations des représentants des organisations professionnelles d'employeurs et d'employés et des ministères concernés,
Décide :
