(Demande d’autorisation n° 1722991)
La Commission nationale de l'informatique et des libertés,
Saisie par Pôle emploi d’une demande d’autorisation relative à la création d’un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des incivilités et des agressions subies par ses agents ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9, 25-I-3° et 25-I-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l'informatique et des libertés a été saisie par Pôle emploi, en qualité d’institution nationale publique chargée du service public de l’emploi, d’une demande d’autorisation relative à la mise en œuvre d’un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des incivilités et des agressions commises par les usagers de Pôle emploi à l’encontre de ses agents.
Dans la mesure où ce traitement a vocation à porter notamment sur des données relatives à des infractions pénales, d’une part, et qu’il est par ailleurs susceptible du fait de sa nature, de sa portée et de ses finalités d’exclure temporairement des personnes de certaines des prestations délivrées par Pôle emploi, d’autre part, il y a en effet lieu de faire application des dispositions prévues au 3° et au 4° du I de l’article 25 de la loi du 6 janvier modifiée, qui prévoient que la création de ces catégories de traitement doit être autorisée par la Commission.
Sur la finalité du traitement :
Tel que prévu à l’article L. 5312-1 du code du travail, Pôle emploi est une institution qui a notamment pour mission d’accueillir, d’informer, d’orienter et d’accompagner les personnes à la recherche d'un emploi, d'une formation ou d'un conseil professionnel, ainsi que de prescrire toutes les actions utiles pour développer leurs compétences professionnelles et améliorer leur employabilité, favoriser leur reclassement et leur promotion professionnelle, faciliter leur mobilité géographique et professionnelle et participer aux parcours d'insertion sociale et professionnelle.
Dans le cadre de sa mission de placement et d’accompagnement des demandeurs d'emploi et des employeurs, Pôle emploi envisage de mettre en oeuvre un traitement automatisé de données à caractère personnel dénommé « LISA » permettant de gérer les incivilités et les agressions commises par ses usagers à l’encontre de son personnel, en particulier pour garantir la sécurité de ces derniers.
Les incivilités et agressions commises par les usagers de Pôle emploi peuvent prendre la forme d’agressions verbales, comportementales ou physiques, et intervenir sur leurs lieux de travail ou à l’occasion d’activités privées durant lesquelles un agent de Pôle emploi se retrouve en contact avec un usager mécontent.
Le traitement objet de la présente délibération, qui s’inscrit dans une démarche plus globale de prévention de l’agressivité, vise à permettre d’enregistrer les incivilités et agressions subies par les agents de Pôle emploi à partir de faits objectifs, d’une part, ainsi que les suites données à l’évènement par le Directeur régional territorialement compétent pour éviter qu’il se reproduise, dont certaines de ces mesures peuvent entrainer une suspension temporaire de l’accès aux locaux de Pôle emploi au profit des autres canaux de communication, d’autre part.
La Commission relève que les mesures prises par Pôle emploi à la suite du signalement et de l’enregistrement d’un évènement dans l’outil LISA sont graduées en fonction de la gravité du comportement litigieux, conformément à l’instruction Pôle Emploi n° 2015-57 du 18 novembre 2015. Trois modèles de courriers dépendant du degré de gravité de l’agression peuvent ainsi être adressés par le Directeur régional aux usagers en cause.
Le premier niveau de réponse intervient en cas de propos discourtois, insultants ou diffamatoires, de menaces ou de comportement agressif et constitue un simple rappel à l’ordre sur les devoirs de chacun, et en particulier sur le nécessaire respect des conseillers de Pôle emploi, assorti d’une mise en garde sur les suites possibles en cas de réitération (dépôt de plainte et suspension de l’accès aux agences de Pôle emploi).
Le deuxième degré de réponse intervient quant à lui en cas de propos discourtois, insultants ou diffamatoires, de menaces ou de comportement agressif justifiant le dépôt d’une plainte, ainsi qu’une exclusion temporaire des agences de Pôle emploi pour une période allant de trois à cinq jours. A la différence du premier niveau de réponse, le dépôt d’une plainte est dans ce cas rendu nécessaire par la gravité du comportement.
Dans les hypothèses les plus graves, c'est-à-dire en cas d’agressions ou de dégradations, le Directeur régional adresse un courrier à l’usager en cause pour l’informer qu’une plainte a été déposée à son encontre et que l’accès aux agences de Pôle emploi lui est interdit pour une durée allant de dix à quinze jours. De la même façon que pour le deuxième degré de réponse, ce courrier mentionne la possibilité d’exercer un recours contre cette décision (recours gracieux ou recours pour excès de pouvoir devant le Tribunal administratif).
La Commission prend ainsi acte du fait que les usagers concernés bénéficieront d’une information sur les voies de recours possibles et, surtout, qu’ils ne seront pas privés de leurs indemnisations ou de la possibilité d’accéder aux autres services offerts par Pôle emploi, ces derniers étant accessibles par l’intermédiaire des autres canaux, et en particulier par téléphone ou par Internet. Les usagers concernés seront ainsi privés de la seule possibilité de se rendre dans une des agences de Pôle emploi.
Un suivi statistique des incivilités et agressions, ainsi qu’une analyse de leurs causes seront réalisés par Pôle emploi pour identifier les récurrences et alimenter ainsi les actions de prévention mises en place.
Au regard de ces éléments, la Commission considère que les finalités du traitement mis en œuvre par Pôle emploi et dénommé LISA sont déterminées, explicites et légitimes.
Sur la nature des données traitées :
Les données collectées et traitées au travers du traitement « LISA » concernent les usagers et les agents de Pôle emploi et sont relatives :

• à l’identité des agents concernés : nom, prénom(s), poste, entité (agence de Pôle emploi concernée) ;
• à l’identité de l’auteur d’un comportement litigieux : nom et prénom(s), adresse, identifiant Pôle Emploi, situation professionnelle ;
• aux incivilités et aux agressions commises par les usagers de Pôle emploi : exposés objectifs des faits ;
• aux suites données à un comportement litigieux : date, nature, descriptif et accompagnement proposé à l’agent victime ; mesures prises à l’encontre de l’auteur de l’incivilité ou de l’agression.

La Commission relève que les exposés des faits contenus dans l’outil « LISA » peuvent se rapporter à une infraction pénale, lorsque le comportement litigieux est susceptible d’être qualifié comme tel.
A cet égard, la Commission considère que la collecte de données pouvant se rapporter à des infractions pénales est légitime et conforme aux dispositions de l’article 9 de la loi du 6 janvier 1978 modifiée, qui prévoit notamment qu’une personne morale gérant un service public agissant dans le cadre de ses attributions légales peut mettre en œuvre un traitement de données à caractère personnel portant sur des données relatives à des infractions, dans la mesure où Pôle emploi est une institution chargée du service public de l’emploi qui intervient en l’espèce dans le cadre des missions qui lui sont confiées par l’article L. 5312-1 du code du travail.
La Commission considère dès lors que les données précédemment listées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
Sur la durée de conservation des données :
Les données à caractère personnel enregistrées dans le traitement « LISA » sont conservées pour une durée maximale de trois ans.
La conservation de ces données au-delà de la durée des mesures temporaires d’exclusion qui peuvent être prises contre l’auteur d’une incivilité ou d’une agression vise à permettre un traitement différencié d’une éventuelle réitération des faits, d’une part, et à préparer les éventuelles suites judiciaires d’un dossier, d’autre part.
La Commission considère que les données enregistrées dans le traitement de Pôle emploi dénommé « LISA » sont conservées pour une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées.
Sur les destinataires des données :
Dans la limite de leurs attributions respectives et chacun pour ce qui le concerne, seuls peuvent accéder aux données du présent traitement :

• les membres habilités des services de Pôle emploi en charge de la sécurité des agences de Pôle emploi ;
• les membres habilités des services de Pôle emploi en charge des conditions de travail ;
• les membres habilités des comités d'hygiène, de sécurité et des conditions de travail de Pôle emploi ;
• les médecins du travail de Pôle emploi ;
• les membres habilités de la direction générale de Pôle emploi chargés de la politique de sécurité des personnes et des biens.

La Commission relève par ailleurs que ces données pourront, le cas échéant, être transmises à l’autorité judiciaire en cas de dépôt d’une plainte.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement, sous réserve que les données rendues accessibles présentent un lien direct et nécessaire avec leurs fonctions.
Sur l'information des personnes :
Les personnes concernées par le traitement « LISA » sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par une mention sur le site internet de Pôle emploi et les courriers adressés aux usagers, un affichage dans les agences de Pôle emploi à destination des usagers, ainsi que par des documents et des notes de présentation expliquant le dispositif aux agents de Pôle emploi.
La Commission relève, par ailleurs, que les représentants du personnel de Pôle emploi ont également été informés de l’existence et des modalités de ce dispositif.
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition pour motif légitime :
Les droits d’accès, de rectification et d’opposition pour motif légitime, prévus par les articles 38, 39 et 40 de la loi du 6 janvier 1978 modifiée, s’exercent auprès du responsable de l’agence dans laquelle s’est déroulé l’événement.
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur la sécurité des données et la traçabilité des actions :
L’authentification des utilisateurs du présent traitement est assurée par des mots de passe respectant les recommandations de la Commission en la matière.
Des profils d’habilitation définissent les données et les fonctionnalités accessibles en fonction des rôles des différents utilisateurs. A cet égard, la Commission rappelle que la gestion des habilitations doit faire l’objet de procédures formalisées validées par le responsable de traitement et portées à la connaissance des utilisateurs, et être régulièrement mise à jour.
Les échanges de données sont réalisés au moyen de canaux sécurisés.
Des sauvegardes régulières permettent de garantir l’intégrité et la disponibilité du système. Les sauvegardes sont stockées dans un lieu garantissant leur confidentialité.
Les interventions de maintenance sont enregistrées dans une main-courante. Les opérations de maintenance qui nécessitent d’accéder à des données à caractère personnel sont par ailleurs effectuées selon une procédure particulière.
Des mesures de sécurité physiques protègent l'accès aux locaux et les équipements
Une fonctionnalité de journalisation a été définie pour les opérations de consultation, de création, de mise à jour et de suppression. Les accès à l’application font l’objet d’une journalisation répertoriant l’identification de l’utilisateur et un horodatage des connexions et déconnexions. Les accès aux fichiers de données à caractère personnel font quant à eux l’objet d’une journalisation répertoriant l’identification de l’utilisateur et un horodatage. S’agissant des accès aux fichiers, la Commission recommande d’y ajouter la référence des données consultées. Elle recommande, par ailleurs, qu’un contrôle des traces soit effectué de manière automatique, pour détecter les comportements anormaux, et de prévoir des mesures pour assurer l’intégrité des traces.
Sous réserve de ses observations précédentes, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité, au regard de la réévaluation régulière des risques et de l’évolution des technologies.
Dans ces conditions, la Commission autorise Pôle emploi à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des incivilités et des agressions subies par ses agents.
La Présidente
Isabelle FALQUE-PIERROTIN