La Commission nationale de l’informatique et des libertés,

Saisie par le ministre de la cohésion des territoires et des relations avec les collectivités locales d’une demande d’avis sur un projet de décret portant dispositions statutaires relatives à la fonction publique territoriale en vue de limiter l’inscription d’un candidat à un concours permettant l’accès à un emploi du même grade organisé simultanément par plusieurs centres de gestion ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;

Vu la loi n° 84-53 du 26 janvier 1984 portant dispositions statutaires relatives à la fonction publique territoriale, notamment son article 36 ;

Vu le décret n° 2013-593 du 5 juillet 2013 relatif aux conditions générales de recrutement et d’avancement de grade et portant dispositions statutaires diverses applicables aux fonctionnaires de la fonction publique territoriale, notamment ses articles 5 et suivants ;

Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,

Emet l’avis suivant :

La Commission nationale de l’informatique et des libertés (ci-après la « Commission ») a été saisie par le ministre de la cohésion des territoires et des relations avec les collectivités locales, sur le fondement de l’article 8-1-4°-a) de la loi n° 78-17 du 6 janvier 1978 modifiée, d’une demande d’avis sur un projet de décret portant dispositions statutaires relatives à la fonction publique territoriale en vue de limiter l’inscription d’un candidat à un concours permettant l’accès à un emploi du même grade organisé simultanément par plusieurs centres de gestion.

L’article 36 de la loi n° 84-53 du 26 janvier 1984 portant dispositions statutaires relatives à la fonction publique territoriale prévoit que lorsque plusieurs centres de gestion organisent un concours permettant l’accès à un emploi d’un même grade dont les épreuves ont lieu simultanément, les candidats ne peuvent pas figurer sur plusieurs listes des admis à participer, les modalités d’application de cet article étant renvoyées à un décret.

C’est l’objet du projet de décret soumis à l’avis de la Commission qui prévoit la création et les modalités de fonctionnement d’une application nationale unique dénommée « Concours-Territorial » et d’une base de données dénommée « Concours-FPT », destinées à limiter les inscriptions multiples aux concours organisés simultanément par plusieurs centres de gestion.

Sur le fonctionnement du dispositif

Le dispositif, géré et mis en œuvre par le groupement d’intérêt public informatique des centres de gestion, comporte deux phases. La première correspond à la collecte des données auprès des candidats par l’intermédiaire du site « Concours-Territorial » et la seconde correspond au traitement de ces données au sein de la base de données « Concours-FPT ».

Interrogé sur les modalités de collecte des données, le ministère a indiqué qu’elles pouvaient l’être au travers de deux canaux distincts :

• le candidat à un concours renseigne lui-même ses informations lors de la création d’un compte utilisateur sur le site « Concours-Territorial » ;

• lorsque le candidat à un concours effectue son inscription par écrit, les données sont renseignées dans la base de données « Concours-FPT » par le centre de gestion organisateur du concours au plus tard huit jours après la date de clôture des inscriptions.

A cet égard, la Commission invite le ministère à préciser que le site « Concours-territorial.fr » constitue un point d’entrée pour les inscriptions dématérialisées aux concours et que les candidats ont la possibilité d’y créer un compte utilisateur.

La Commission prend acte de ce que les traitements mis en œuvre ont pour finalité d’identifier les candidats inscrits à plusieurs concours permettant l’accès à un même grade de l’un des cadres d’emplois de la fonction publique territoriale, organisés simultanément par plusieurs centres de gestion.

Ainsi, lorsque la base de données « Concours-FPT » identifie un candidat déjà inscrit à un autre concours pour l’accès à un même grade de l’un des cadres d’emplois de la fonction publique territoriale et dont les épreuves ont lieu simultanément, l’inscription antérieure est automatiquement supprimée.

Le candidat et le centre de gestion concerné reçoivent alors notification de la suppression des inscriptions antérieures au profit de la dernière inscription, qui est la seule prise en compte dans la base de données.

Sur les données traitées

L’article 2 du projet de décret énumère les données collectées et traitées par le groupement d’intérêt public informatique des centres de gestion dans la base de données " Concours –FPT ". Cette liste contient essentiellement des données relatives à l’identité du candidat et des données administratives qui n’appellent pas d’observations particulières de la part de la Commission.

La Commission relève cependant que, bien qu’elle n’ait pas vocation à intégrer la base « Concours-FPT », le site Internet « Concours Territorial » prévoit la collecte de l’adresse électronique du candidat lors de la création d’un compte utilisateur. La Commission invite par conséquent le ministère à préciser à l’article 2 du projet de décret que l’adresse électronique du candidat est collectée par le site « Concours Territorial ».

Sur l’information des personnes concernées

Interrogé sur ce point, le ministère a précisé que les mentions relatives à l’information des candidats seront indiquées sur la page de création des comptes utilisateurs ainsi que sur la page relative à la protection des données à caractère personnel, accessible par un lien systématiquement présent sur l’ensemble des pages du site.

La Commission rappelle que l’information des personnes concernées doit être réalisée au moment de la collecte des données par le responsable de traitement selon les modalités définies à l’article 12 du RGPD, et doit comporter l’ensemble des mentions prévues par l’article 13 de ce texte. Elle invite par conséquent le ministère à s’assurer que cette information soit délivrée quel que soit le canal utilisé par les candidats pour s’inscrire aux concours.

A cet égard, si la Commission partage la position du G29 (devenu comité européen à la protection des données) présentée dans les lignes directrices sur la transparence au sens du RGPD, adoptées dans leur version révisée le 11 avril 2018, qui reconnaît, dans un univers numérique, la possibilité d’informer au travers de plusieurs niveaux, elle rappelle que certains éléments essentiels (tels que l’identité du responsable de traitement, les finalités du traitement et les modalités d’exercice des droits des personnes) doivent immédiatement être portés à la connaissance des personnes concernées. Une mention d’information contenant ces éléments essentiels devra donc être directement portée à la connaissance des candidats lors de leur inscription.

Sur l’exercice des droits des personnes concernées

L’article 6 du projet de décret prévoit que les candidats concernés disposent d’un droit d’accès, de rectification et d’effacement de leurs données à caractère personnel.

S’agissant du droit à l’effacement, l’article 6 du projet de décret précise que " les candidats peuvent demander que leurs données à caractère personnel soient effacées lorsque leur traitement est illicite ". A cet égard, la Commission rappelle que si l’article 17 du RGPD précise que les personnes concernées ont le droit d’obtenir du responsable de traitement l’effacement de leurs données lorsqu’elles ont fait l’objet d’un traitement illicite, les personnes concernées peuvent également en faire la demande dans d’autres circonstances et notamment " lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d’une autre manière « et » lorsque les données à caractère personnel doivent être effacées pour respecter une obligation légale qui est prévue par le droit de l’Union ou par le droit de l’État membre auquel le responsable du traitement est soumis ". La Commission prend acte de ce que le ministère s’engage à modifier le projet de décret en ce sens.

En, outre, la Commission rappelle que les mentions d’information devront préciser les modalités d’exercice de ces droits prévus aux articles 15 à 18 du RGPD et indiquer auprès de qui ils pourront être exercés.

La Commission prend acte de ce que le droit d’opposition est exclu, dans la mesure où le traitement répond à une obligation légale et que le droit à la limitation est également exclu en application de l’article 23 du RGPD, plus particulièrement dans un intérêt budgétaire.

Sur les destinataires

L’article 4 du projet de décret prévoit que seules les personnes individuellement désignées par le groupement d’intérêt public informatique des centres de gestion auront accès, à raison de leurs attributions et dans la limite du besoin d’en connaître, aux données à caractère personnel enregistrées dans la base de données " Concours – FPT ".

Interrogé sur ce point, le ministère a précisé que seuls les gestionnaires des concours des centres organisateurs chargés de vérifier l’admissibilité à concourir des candidats auront accès à ces données. La Commission considère que ces précisions pourraient utilement figurer dans le projet de décret.

La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.

Sur la réalisation d’une analyse d’impact

Dans la mesure où le traitement mis en œuvre est réalisé à large échelle et est susceptible d’aboutir à des prises de décisions automatiques ayant pour effet d’annuler l’inscription d’un candidat à un concours de la fonction publique, la Commission rappelle qu’une analyse d’impact devra être mise en œuvre. Celle-ci devra être communiquée à la Commission en application de l’article 36 du RGPD, dans le cas où un risque résiduel élevé pour les personnes serait identifié à l’issue de l’analyse d’impact.

La Présidente

Marie-Laure DENIS