Qvt

RH & RATP : l’exploitation abusive de fichiers d'évaluation d’agents sanctionnée par la CNIL

Le | Bien-être au travail

La RATP a écopé d’une forte sanction financière de la part de la CNIL. Des centres de bus avaient intégré le nombre de jours de grève des agents dans des fichiers d’évaluation qui servaient à préparer les promotions.

RH & RATP : l’exploitation abusive de fichiers d'évaluation d’agents sanctionnée par la CNIL
RH & RATP : l’exploitation abusive de fichiers d'évaluation d’agents sanctionnée par la CNIL

La CNIL n’a pas apprécié les découvertes réalisées au cours de son enquête sur des pratiques de la RATP portant sur des fichiers d'évaluation d’agents. Elles ont abouti à une sanction financière de 400 000 euros à l’encontre de la régie de transport parisien pour des manquements liés au règlement général de protection des données (RGPD).

La délibération de la CNIL a été rendue publique le 4 novembre 2021.

Rappelons le fondement du trouble : dans tout centre de bus, une réunion d’arbitrage est organisé chaque année afin d’établir la liste des agents proposés à l’avancement de carrière par la direction. Pour centraliser les données et superviser l’exercice, un fichier d’aide à la décision est constitué par les personnels affectés aux services RH.

Mais, en mai 2020, l’organisation syndicale CGT-RATP porte plainte auprès de la CNIL à propos d’un critère abusif intégré dans ce fichier dans plusieurs centres de vus : le nombre de jours de grève exercés par les agents.

Un sujet sensible en interne, surtout après la grève de décembre 2019 qui avait affecté les activités de la RATP sur fond de débats publics intenses sur la réforme du système de retraite.

Traitement des données personnelles : plusieurs manquements constatés

La CNIL a enclenché des contrôles dans plusieurs centres de bus. Lors de la procédure, la RATP a fait part de mesures prises pour mettre fin aux manquements relevés par la CNIL.

En principe, ce fichier contient seulement les données nécessaires à l’évaluation des agents. Mais plusieurs manquements liés au RGPD sont relevés dans le cadre la procédure initiée par l’autorité nationale de régulation en charge du traitement des données personnelles : 

  • intégration du nombre de jours de grève des agents dans des fichiers d’évaluation de trois centres de bus servant à préparer les choix de promotion ;
  • conservation de fichiers d’évaluation des agents pendant plus de trois ans au lieu des 18 mois nécessaires après la tenue des commissions d’avancement ;
  • manquement à la sécurité des données.

« La RATP avait manqué à ses obligations, en particulier car seules des données strictement nécessaires à l’évaluation des agents auraient dû figurer dans ces fichiers. L’indication du nombre de jours d’absence suffisait ici, sans qu’il soit nécessaire de préciser le motif d’absence lié à l’exercice du droit de grève », a considéré la CNIL dans sa délibération en formation restreinte datée du 29/10/2021.  

Voici les points résumés dans le slider ci-dessous réalisé par notre partenaire média News Tank RH :

Une collecte de données non nécessaires (article 5.1.c et 5.2 du RGPD)

  • La RATP organise chaque année, dans chaque centre de bus, une réunion d’arbitrage dont l’objectif est d’établir la liste des agents proposés à l’avancement par la direction. À cette occasion, un fichier d’aide à la décision est créé par les personnels affectés aux services des ressources humaines. En principe, ce fichier contient seulement les données nécessaires à l’évaluation des agents.
  • Toutefois, la CNIL a constaté que dans les fichiers des centres de bus qu’elle a contrôlés, figuraient des colonnes relatives au nombre de jours de grève exercés par les agents pour chaque année évaluée.
  • Au cours de la procédure, la RATP a reconnu le caractère illicite de ces fichiers et a fait valoir qu’une telle pratique était contraire à sa politique générale.

La CNIL a retenu que l’utilisation de données relatives au nombre de jours de grève des agents n’était pas nécessaire pour atteindre les objectifs visés dans le cadre de la préparation des commissions de classement. En particulier, l’indication du nombre total de jours d’absence suffisait, sans qu’il soit nécessaire de rentrer dans le détail en distinguant les jours liés à l’exercice du droit de grève (principe de minimisation des données).

Un manquement à l’obligation de limiter la durée de conservation des données (article 5.1.e du RGPD)

  • Dans le cadre de fichiers de ressources humaines, la RATP utilise une application qui permet le suivi d’activité des agents, par des fonctionnalités de visualisation et d’extraction de nombreuses données principalement issues des systèmes d’information de ressources humaines de la RATP.
  • Les contrôles ont permis d’établir que la RATP conservait l’ensemble de ces données dans la base active de l’application, accessible à un grand nombre d’agents, pour une durée qui excède celle qui est nécessaire pour accomplir les finalités recherchées. 
  • Par ailleurs, la RATP a également conservé des fichiers d’évaluation des agents pendant plus de 3 ans après la commission d’avancement pour lesquels ils sont établis, alors que leur conservation n’était nécessaire que 18 mois après la tenue de ces commissions.

La société a toutefois pris les mesures requises au cours de la procédure concernant ce point.

Un manquement à la sécurité des données (article 32 du RGPD)

La CNIL a constaté que la RATP ne différenciait pas suffisamment les différents niveaux d’habilitation des agents.

En effet :

  • les agents habilités accédaient à l’ensemble des catégories de données contenues dans l’outil (notamment, l’ensemble des données relatives aux ressources humaines) sans distinction des fonctions ou des missions des agents ;
  • ces agents accédaient aux données relatives aux agents du centre de bus dans lequel ils exercent leurs fonctions mais également à celles des agents de tous les autres centres de bus ;
  • tous les agents habilités pouvaient extraire l’ensemble des données contenues dans l’outil.

Une telle configuration ne permettait pas de prévenir une éventuelle mauvaise utilisation des données et donc de garantir leur confidentialité.

Lors de la procédure, la RATP a fait part de mesures prises pour mettre fin aux manquements relevés par la CNIL.

« Fichage illégal à la RATP » : une deuxième plainte déposée au pénal par CGT-RATP

• « C’est avec satisfaction que la CGT-RATP reçoit, ce jour, la décision de la CNIL qui reconnaît de graves manquements de la part de dirigeants de l’entreprise », indique l’organisation syndicale CGT-RATP à l’origine de la plainte dans une contribution en date du 4 novembre 2021 sur son site Internet.

• « C’est une première victoire dans ce combat que la CGT-RATP a engagé seule dans l’entreprise en 2020. Une seconde plainte au pénal a également été déposée, dans le même temps, par notre organisation. Nous attendons les suites que la justice donnera à celle-ci. »