Toute la protection des données à caractère personnel se construit autour d’une notion d’apparence anodine : celle de fichier. Avant de se demander si un traitement est licite, loyal ou proportionné, encore faut-il déterminer si l’on est bien en présence d’un fichier au sens de la loi — car c’est cette qualification qui commande l’entrée dans le champ d’application du droit des données personnelles. Un ensemble de renseignements épars, non organisés, échappe à la réglementation ; un ensemble structuré y entre tout entier.
La question n’est donc pas seulement définitionnelle : elle est conditionnelle. Le critère retenu par la loi — la structuration selon des critères déterminés — opère comme un seuil. En deçà, la collection de données demeure un simple amas hors champ ; au-delà, elle devient un fichier soumis à l’ensemble des obligations relatives à la collecte, à la conservation et au droit d’accès des personnes concernées.
L’objet de cette étude est d’exposer la notion telle que la définit l’article 2 de la loi informatique et libertés, d’en mesurer la portée pratique, puis d’en cerner les contours à la lumière de l’interprétation qu’en a livrée le juge administratif — lequel a notamment reconnu dans le dossier individuel d’un salarié un fichier au sens de la loi.
La définition légale du fichier
L’article 2 de la loi informatique et libertés définit le fichier de données à caractère personnel comme « tout ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés, que cet ensemble soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique ».
Ensemble structuré et stable de données à caractère personnel accessibles selon des critères déterminés, sans considération de sa localisation — qu’il soit centralisé, décentralisé ou réparti de manière fonctionnelle ou géographique. Trois éléments cumulatifs ressortent de cette définition : la structuration, la stabilité, et l’accessibilité organisée par des critères préétablis.
La définition se signale par son indifférence à la forme matérielle ou à la dispersion physique de l’ensemble. Peu importe que les données soient réunies en un lieu unique ou éclatées sur plusieurs supports, voire plusieurs sites : ubi data, ibi lex — là où se trouvent des données ordonnées, la loi s’applique. Le législateur saisit le fichier par son organisation logique, non par son enveloppe technique. Ce parti pris assure la neutralité technologique de la règle : un fichier reste un fichier qu’il réside sur un serveur central, dans un nuage réparti ou dans une série d’archives géographiquement distantes.
L’enjeu : pas de fichier, pas de loi applicable
La notion de fichier n’est pas sans importance dans la mesure où, pour qu’un traitement de données à caractère personnel soit soumis aux dispositions de la loi informatique et libertés, il doit donner lieu à la constitution d’un fichier. La qualification commande ainsi l’applicabilité même du texte : elle est la porte d’entrée du régime protecteur.
Cette logique de seuil n’est pas propre au droit interne. La directive 95/46/CE du 24 octobre 1995, désormais abrogée, prévoyait dans son considérant 27 que la protection des données à caractère personnel ne devrait couvrir que les fichiers et ne s’appliquerait donc pas aux dossiers non structurés. Le droit de l’Union avait, dès l’origine, posé le même verrou : seul l’ensemble organisé entre dans le champ de la protection, à l’exclusion des amas informes de renseignements.
Un employeur conserve, dans un tiroir, une liasse de notes manuscrites prises au fil de l’eau sur ses salariés, sans index, sans classement, sans clé d’accès permettant de retrouver les informations relatives à une personne déterminée. Faute de structuration selon des critères déterminés, cet ensemble n’est pas un fichier : il échappe à la loi. Mais que le même employeur ouvre, pour chaque salarié, un dossier individuel rangé par nom et regroupant ses données — et le seuil est franchi : l’ensemble devient un fichier, soumis à l’intégralité des obligations légales, à commencer par le droit d’accès de l’intéressé.
Le critère décisif : une structuration selon des critères déterminés
En particulier, le contenu d’un fichier doit être structuré selon des critères déterminés relatifs aux personnes permettant un accès facile aux données à caractère personnel. C’est là le critère opératoire qui distingue le fichier du simple amoncellement : non la quantité d’informations réunies, mais l’existence d’une clé d’organisation — un nom, un identifiant, une référence — qui rende les données accessibles, c’est-à-dire retrouvables individuellement.
Ce critère d’accessibilité ordonnée explique la mise hors champ des dossiers non structurés voulue par le considérant 27 de la directive : ce qui fonde l’assujettissement n’est pas la sensibilité ou le volume des données, mais leur mise en ordre. Un ensemble devient un fichier dès l’instant où sa propre organisation permet de cibler la personne concernée. La structuration n’est donc pas une qualité accessoire : elle est l’élément constitutif de la qualification.
L’application : le dossier individuel comme fichier
Le juge administratif a fait une application concrète de ces critères en reconnaissant qu’un dossier individuel constitue un fichier au sens de l’article 2 de la loi. Dans un arrêt du 20 octobre 2010, le Conseil d’État a ainsi considéré que « les données à caractère personnel contenues dans son dossier individuel, lequel constitue un fichier au sens des dispositions précitées de l’article 2 de la loi du 6 janvier 1978, au seul motif qu’elles les avaient déjà communiquées à son avocat dans le cadre de la procédure de licenciement qu’elle avait engagée à son encontre ; que cette circonstance n’étant pas de nature à la dispenser de l’obligation de communiquer ces données lorsque la demande lui en fut faite sur le fondement des dispositions précitées de l’article 39, la CNIL a pu légalement relever ce manquement à ces dispositions et mettre la société requérante en demeure de communiquer l’intégralité des données personnelles du demandeur qu’elle détenait puis, constatant qu’elle n’y avait pas déféré, décider de lui infliger une sanction » (CE, 20 oct. 2010, n° 327916, Sté Centrapel).
- Faits
- Un salarié sollicite, sur le fondement du droit d’accès, la communication des données à caractère personnel le concernant figurant dans son dossier individuel tenu par son employeur. La société oppose que l’intéressé avait déjà transmis ces éléments à son avocat dans le cadre d’une procédure de licenciement, et n’y défère pas ; la CNIL la met en demeure puis la sanctionne.
- Problème
- Le dossier individuel d’un salarié constitue-t-il un fichier au sens de l’article 2 de la loi du 6 janvier 1978, ouvrant à la personne concernée le droit d’accès prévu par la loi ? La communication antérieure des données à un tiers dispense-t-elle le responsable de cette obligation ?
- Solution
- Le Conseil d’État qualifie le dossier individuel de fichier au sens de l’article 2 et juge que la communication antérieure des données à l’avocat de l’intéressé n’exonère nullement l’employeur de son obligation de communication au titre de l’article 39. La sanction infligée par la CNIL est, partant, légalement justifiée.
- Portée
- L’arrêt illustre la généralité de la notion de fichier : un dossier individuel, structuré par référence à une personne déterminée, répond à la définition légale et emporte l’ensemble des obligations qui s’y attachent, au premier rang desquelles le droit d’accès — droit qui ne s’épuise pas par une communication antérieure des mêmes données à un tiers.
La leçon de cette décision dépasse le cas du dossier salarial. Dès lors qu’un ensemble de données est organisé par référence aux personnes — un dossier par individu —, le critère de structuration de l’article 2 est rempli et la qualification de fichier s’impose. Avec elle s’ouvre tout le régime protecteur de la loi informatique et libertés : la collection cesse d’être un simple stock de renseignements pour devenir l’objet d’obligations opposables à celui qui la détient.
