Dans un arrêt du 10 juin 2021, le Conseil d’Etat a jugé que la publication sur internet de l’arrêté de nomination d’un fonctionnaire constitue un traitement de données à caractère personnel soumis au règlement général pour la protection des données (RGPD). L’administration est tenue de prendre, suite à une demande en ce sens du fonctionnaire, des mesures de nature à limiter le traitement des données en cause à ce qui est nécessaire.
Un agent avait été nommé dans les fonctions d’inspecteur des finances publiques, en application du décret du 25 août 1995 relatif au recrutement des travailleurs handicapés dans la fonction publique. Il avait été titularisé par un arrêté du 8 juillet 2015, qui visait l’arrêté du 25 août 1995 et renvoyait donc à son handicap. Cet arrêté a été mis en ligne et l’agent a en conséquence demandé la suppression de son nom et de sa date de naissance sur la version mise en ligne.
L’administration ayant refusé de faire droit à sa demande, l’agent a donc saisi le juge administratif, qui a considéré en appel que la publication en ligne de l’arrêté de nomination ne constituait pas un traitement de données au sens du règlement général pour la protection des données (RGPD).
Le Conseil d’Etat s’est d’abord prononcé sur la qualification de la publication en ligne de l’arrêté de nomination pour censurer l’arrêt de la Cour administrative d’appel :
« Il ressort des énonciations de l’arrêt attaqué que, pour écarter le moyen tiré de la méconnaissance des règles nationales et européennes applicables aux traitements de données à caractère personnel, la cour administrative d’appel a jugé que ni la publication par voie informatique d’un arrêté de nomination d’agents publics ne comportant que le nom des intéressés et l’indication du fondement juridique de leur nomination, ni la décision refusant de mettre un terme à cette publication, ne pouvaient être regardées comme relatives à un traitement de données à caractère personnel par voie informatique. En écartant l’application de ces règles, alors que la seule publication sur un site internet de données à caractère personnel suffit à les rendre applicables, la cour administrative d’appel a commis une erreur de droit. »
Le Conseil d’Etat a donc annulé l’arrêt de la cour et a ensuite réglé le litige au fonds. Il a jugé que la mise en ligne de l’arrêté de nomination visant le décret du 25 aout 1995 relatif au recrutement des travailleurs handicapés dans la fonction publique :
« (…) révèle indirectement que les personnes recrutées à ce titre souffrent d’un handicap, elle ne donne directement aucune information sur la nature ou la gravité de ce handicap et ne saurait, par suite, être regardée comme procédant au traitement d’une donnée relative à la santé des personnes considérées. Toutefois, le maintien permanent sur le site internet du ministère de ces données personnelles excède ce qui est nécessaire au regard des finalités du traitement en cause, qui vise à garantir les droits des tiers et le respect du principe d’égal accès aux emplois publics énoncé à l’article 6 de la Déclaration des droits de l’homme et du citoyen de 1789. Il appartient ainsi à l’autorité compétente, saisie d’une demande en ce sens, une fois expiré le délai de recours contre un tel acte, de prendre des mesures de nature à limiter le traitement des données en cause à ce qui est nécessaire, en ne maintenant cette publication que sous la forme d’un extrait ne mentionnant pas le fondement juridique de l’arrêté de nomination. En l’espèce, à la date de la présente décision, le délai de recours est expiré et le maintien de la mise en ligne des informations révélant indirectement le handicap du requérant excède ce qui est nécessaire au regard des finalités du traitement. »
Le Conseil d’Etat a donc enjoint au ministre de prendre toute mesure utile pour que la mention du décret du 25 aout 1995 ne figure plus sur la version en ligne de l’arrêté de nomination de l’agent dans un délai de trois mois.