(Demande d'avis n° 09015522)

La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales d'un projet de décret en Conseil d'Etat portant création du traitement automatisé de gestion des personnels des cultes d'Alsace et de Moselle ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95 / 46 / CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8 et 27 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Après avoir entendu M. Hubert Bouchet, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie le 27 mars 2009 par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales d'une demande d'avis relative à un projet de décret en Conseil d'Etat portant création d'un traitement automatisé de gestion des personnels des cultes d'Alsace et de Moselle. Cette demande est présentée sur le fondement de l'article 27-I de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004.
En application du concordat du 26 messidor an IX, les ministres des cultes et les employés de secrétariat des autorités religieuses des quatre cultes reconnus en Alsace et en Moselle sont rémunérés par l'Etat. La gestion de ces personnels est assurée par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales.
Le traitement de données à caractère personnel, soumis pour avis à l'examen de la commission, vise à assurer la gestion du personnel, incluant la prise en compte des situations civiles et administratives des 1 393 agents payés par l'Etat, le recrutement, l'avancement ainsi que le changement d'affectation et la cessation de fonctions. Il assure également la préparation et le suivi du budget.
Il se substituera au traitement manuel de ces tâches, qui est accompli à l'heure actuelle par le biais de registres papier.
La commission constate que les données suivantes sont enregistrées dans le traitement susvisé :
Concernant l'identité des personnes : le culte d'appartenance, la civilité, les nom et prénoms, nom de jeune fille, date et lieu de naissance, numéro d'inscription au répertoire national d'identification des personnes physiques, nationalité, adresse et numéros de téléphone, adresse de courrier électronique, situation au regard du supplément familial de traitement, domiciliation bancaire et numéro de compte, date d'ancienneté dans le service, situation familiale, nom, prénoms et date de naissance du conjoint, conjoint rémunéré ou non sur le budget des cultes, situation du conjoint au regard du supplément familial de traitement, nom, prénoms et date de naissance des enfants, situation des enfants au regard du supplément familial de traitement.
Concernant la carrière des agents : durée des services militaires, études poursuivies, lieu et durée, diplômes et date de leur obtention, date et lieu d'ordination diaconale ou sacerdotale ou de délivrance du certificat d'aptitude aux fonctions pastorales ou rabbiniques, postes occupés et durée et dates de nomination, prochain échelon détenu et dates de nomination, prochain échelon et date prévisionnelle de changement, autres activités exercées et périodes correspondantes, date de mise à la retraite.
La commission observe que les finalités de ce traitement exigent l'enregistrement des données faisant apparaître les opinions religieuses des ministres des cultes, toutefois, conformément aux dispositions de l'article 8 (II, 4°), leur enregistrement n'est pas soumis à l'interdiction prévue au I de ce même article, dès lors que ces informations sont rendues publiques par les personnes concernées.
Les finalités du traitement déclaré exigent également l'enregistrement du numéro d'inscription au répertoire national d'identification, qui sert de référence et d'identifiant de dossier utilisé par les organismes gérant les fonds sociaux avec qui le bureau des cultes d'Alsace-Moselle est en relation, soit la caisse régionale d'assurance vieillesse, l'IRCANTEC et l'URSSAF.
La commission prend acte que les données sont conservées pendant trois ans à compter de la cessation des fonctions des agents concernés.
La commission prend acte que seuls les personnels du ministère de l'intérieur affectés au bureau des cultes du Bas-Rhin, du Haut-Rhin et de la Moselle désignés individuellement et spécialement habilités par le directeur des libertés publiques et des affaires juridiques peuvent accéder au système.
La commission prend acte que les données collectées dans l'application « Gestion des personnels des cultes » ont vocation prochainement à migrer dans l'application « Dialogue », créée par l'arrêté du 10 mars 2004, pour permettre le transfert du paiement des traitements de ces agents à l'opérateur national de paye, créé par le décret n° 2007-903 du 15 mai 2007.
La commission prend acte que les utilisateurs s'identifient par login et mot de passe ; elle estime toutefois que le mot de passe devrait comporter au moins huit caractères alphanumériques dont au moins un chiffre, une lettre et un caractère spécial, et être renouvelé tous les six mois avec l'impossibilité de réutiliser les trois précédents mots de passe.
Elle considère qu'il conviendrait de mettre en œuvre un mécanisme de traçabilité, enregistrant chaque action effectuée sur le système, l'identité de son auteur ainsi que des données d'horodatage. Cette journalisation devrait être conservée pendant une durée de six mois maximum.