AgentPublic/cnil huggingface dataset:
La commission recommande toutefois de mettre en œuvre les recommandations techniques décrites par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) dans sa note technique recommandations pour la sécurisation des sites web .
Le serveur mail n'est utilisé que pour de la maintenance et aucun mail ne comportera de données métier.
Des profils d'habilitation sont prévus afin de gérer les accès aux données. Les magistrats auront par conséquent chacun un compte afin d'accéder au traitement mais, en raison du principe de l'indivisibilité du parquet, les données enregistrées dans traitement projeté seront accessibles à tous les membres d'un même parquet. La commission rappelle la nécessité de supprimer les autorisations d'accès pour tout utilisateur n'étant plus habilité et d'effectuer régulièrement une revue globale des habilitations.
Concernant l'authentification des utilisateurs, celle-ci est effectuée via un identifiant et un mot de passe conforme à la politique de sécurité des systèmes d'information (PSSI) du ministère de la justice. Cette dernière exige des mots de passe d'au moins huit caractères, comprenant des majuscules, minuscules, chiffres et caractères spéciaux ainsi qu'un renouvellement régulier.
A cet égard, la commission a élaboré, dans sa délibération n° 2017-012 du 19 janvier 2017, plusieurs recommandations relatives aux mots de passe et invite le ministère de la justice à en prendre connaissance et à procéder aux éventuelles modifications nécessaires afin de maintenir sa politique des mots de passe en conformité avec les recommandations de la commission.
La commission prend acte que les mots de passe ne sont pas stockés en clair et qu'une mise à jour des algorithmes utilisés pour prendre en compte l'évolution de l'état de l'art est en cours. Pour rappel, elle recommande d'utiliser une fonction de hachage à clé secrète ou d'ajouter un sel avant de hacher les mots de passe.
Une journalisation des opérations de consultation, création, modification et suppression du traitement est réalisée, l'article 9 du projet de décret prévoyant que les traces seront conservées trois ans. Une analyse des traces est effectuée. La commission recommande à cet égard que ce contrôle des traces soit fait de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
La commission recommande en outre qu'un contrôle d'intégrité soit opéré sur l'ensemble des données stockées, notamment au moyen de fonctions de hachage.
Pour limiter le risque d'indisponibilité des données ou du système, qui pourrait avoir des conséquences sur le déroulement des enquêtes, des sauvegardes quotidiennes sont réalisées et stockées dans un endroit différent du site de production. La commission recommande que celles-ci soient testées régulièrement afin de vérifier leur bon fonctionnement.
La commission relève qu'aucune interconnexion du traitement LMP avec d'autres traitements n'est mise en œuvre, notamment avec le traitement Cassiopée dont les modalités de mise en œuvre sont prévues aux articles 48-1 et R. 15-33-66-4 à R. 15-33-66-13 du CPP.
Enfin, elle estime que le ministère de la justice devrait mener une étude de faisabilité sur le plan technique et financier du chiffrement des bases de données et que, dans tous les cas, des mesures de chiffrement des sauvegardes devraient être mises en œuvre.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la défense d'une demande d'avis concernant un projet de décret modifiant le décret n° 2012-895 du 19 juillet 2012 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Agorha relatif à la gestion des ressources humaines de la gendarmerie nationale ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la défense ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 274 (1°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2012-895 du 19 juillet 2012 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Agorha relatif à la gestion des ressources humaines de la gendarmerie nationale ;
Vu l'arrêté du 3o avril 2014 portant création par la direction du renseignement et de la sécurité de la défense d'un traitement automatisé de données à caractère personnel relatif à la gestion des procédures de sécurité du personnel du ministère de la défense et des industries ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministre de la défense d'une demande d'avis concernant un projet de décret modifiant le décret n° 2012-895 du 19 juillet 2012 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Agorha relatif à la gestion des ressources humaines de la gendarmerie nationale.
Ce projet a principalement pour objet de compléter, d'une part, la liste des destinataires du traitement Agorha, définie à l' article 3 du décret du 19 juillet 2012 précité, en y ajoutant la sous-direction de la contre-ingérence et des directions zonales de la direction du renseignement et de la sécurité de la défense (DRSD), et, d'autre part, la liste des catégories de données conservées, en prévoyant notamment la mention de l'éventuelle double nationalité du candidat à un emploi de gendarme et de membres de son entourage.
Ces modifications des conditions de mise en œuvre du traitement Agorha, qui comporte notamment le numéro d'inscription au répertoire national d'identification des personnes physiques, visent à renforcer les contrôles effectués lors des recrutements au sein de la gendarmerie nationale. Ledit traitement relève ainsi des dispositions de l'article 27-1 (1°) de la loi du 6 janvier 1978 modifiée et les modifications projetées doivent dès lors faire l'objet d'un décret en Conseil d'Etat pris après avis motivé et publié de la commission.
Le traitement Agorha a pour objet la gestion des ressources humaines de la gendarmerie nationale et ses finalités sont précisément définies à l' article 1er du décret du 19 juillet 2012 précité. La liste des données qui y sont enregistrées, annexée audit décret, comporte divers éléments relatifs à l'identification des personnes, leur situation familiale, leur parcours professionnel et à leur situation militaire, mais également des données à caractère économique et financier et des données médico-administratives.
S'agissant de la consultation du traitement, l' article 3 du décret du 19 juillet 2012 susvisé distingue les personnes ayant accès à la totalité ou à une partie des données du traitement des personnes qui peuvent être destinataires de tout ou partie de ces données, à raison de leurs attributions respectives et du besoin d'en connaître.
C'est cette dernière catégorie de destinataires que le projet de décret vise en premier lieu à compléter, en y ajoutant la sous-direction de la contre-ingérence et des directions zonales de la direction du renseignement et de la sécurité de la défense, dans le cadre de leurs missions d'enquête et de recherche des atteintes à la sécurité nationale .
Le ministère justifie cette modification par la décision du directeur général de la gendarmerie nationale de confier à la DRSD la réalisation des enquêtes administratives relatives aux candidats à un emploi de gendarme. Un tel transfert de compétences vise à améliorer les contrôles effectués lors du recrutement au sein de la gendarmerie nationale et, notamment, à diminuer les risques d'infiltration de personnes radicalisées .
Ces enquêtes visent les candidats à un emploi de gendarme dans le cadre d'un concours externe, mais également les candidats à un concours interne et des gendarmes déjà en fonction, dans le cadre d'une procédure d'habilitation au secret de la défense nationale.
Compte tenu de la gravité des menaces auxquelles la gendarmerie nationale est aujourd'hui confrontée, la commission juge parfaitement légitimes le souhait de renforcer les contrôles effectués dans le cadre des enquêtes administratives et le transfert de compétences à une direction dotée d'une expertise spécifique en la matière, qui en découle.
Elle souligne toutefois que l'accès de la DRSD aux données à caractère personnel enregistrées dans le traitement Agorha suppose que l'accès à ces données soit nécessaire aux missions qui lui sont confiées.
A cet égard, la commission relève que le transfert de compétences opéré concerne uniquement la réalisation des enquêtes administratives et que, dans le cadre de la réalisation de ces dernières, selon le ministère, les agents de la DRSD ne consultent pas le traitement “Agorha” pour obtenir les informations dont ils ont besoin mais s'appuient sur les informations contenues dans le formulaire de contrôle élémentaire de recrutement de la DRSD que les candidats à un emploi dans la gendarmerie doivent remplir .
Au regard de ces précisions, la commission s'interroge sur les motifs ayant conduit le ministère à envisager d'étendre l'accès au fichier de gestion des ressources humaines Agorha et souligne qu'en tout état de cause seul l'accès aux informations nécessaires à la réalisation des enquêtes administratives peut être justifié. Si le décret du 19 juillet 2012 susvisé précise que les différents destinataires du traitement Agorha ne bénéficient d'un accès aux données qu' à raison de leurs attributions respectives et du besoin d'en connaître , la commission considère que le projet de décret devrait expressément définir les données concernées par l'accès de la DRSD et les restrictions d'accès qui en découlent.
En second lieu, s'agissant des modifications du décret du 19 juillet 2012 précité visant à permettre la mention, dans le traitement Agorha, des nationalités des candidats, de leur conjoint, concubin ou partenaire ainsi que des membres de leur famille, le ministère précise qu'il s'agit d'informations demandées par la DRSD et qu'elles doivent permettre de couvrir le cas des binationaux , afin de faciliter les enquêtes administratives .
La commission rappelle que l'enregistrement de données à caractère personnel doit être justifié au regard des finalités poursuivies par la mise en œuvre du traitement. Sur ce point, elle souligne que la réalisation des enquêtes administratives est une mission d'une nature distincte de la gestion des recrutements , cette dernière ne nécessitant de connaître que le sens des conclusions des enquêtes.
Elle considère dès lors que les données à caractère personnel dont la collecte et la conservation sont uniquement justifiées par la réalisation des enquêtes administratives doivent être enregistrées dans un traitement distinct du traitement de gestion des ressources humaines, étant précisé que cette séparation ne ferait pas obstacle à l'enregistrement dans Agorha du sens des conclusions des enquêtes administratives, déjà autorisé par le décret du 19 juillet 2012.
En outre, cette distinction n'imposerait pas nécessairement la création d'un nouveau traitement de données à caractère personnel, dès lors que la DRSD met déjà en œuvre un traitement relatif à la gestion des procédures de sécurité du personnel du ministère de la défense, dénommé SOPHIA et autorisé par l'arrêté du 3° avril 2014 susvisé.
Dans ces conditions, la commission considère que l'enregistrement des éventuelles doubles nationalités des candidats et de membres de leur entourage dans le traitement Agorha n'est pas pertinent. La commission prend acte de l'engagement du ministère de la défense de modifier le projet de décret sur ce point.
Les autres modifications prévues par le projet de décret, qui concernent les données relatives aux demandes de reconnaissance du centre des intérêts matériels et moraux des personnels militaires de la gendarmerie nationale, la mention du culte des aumôniers militaires et la situation scolaire des enfants des personnels, n'appellent pas d'observation de la part de la commission.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des finances et des comptes publics d'une demande d'avis concernant un projet de décret relatif à la dérogation à la règle du secret professionnel au profit des autorités et des organismes chargés de l'application de la législation sociale et modifiant l'article R. 152-1 du livre des procédures fiscales ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le livre des procédures fiscales, notamment ses articles L. 152 et R. 152-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 98-1266 du 30 décembre 1998 de finances pour 1999, notamment son article 107 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 14 juin 1982 relatif à l'extension d'un système automatisé de gestion du fichier des comptes bancaires ;
 
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis, en application de l' article 107 de la loi n° 98-1266 susvisée, d'un projet de décret en Conseil d'Etat relatif à la dérogation à la règle du secret professionnel au profit des autorités et des organismes chargés de l'application de la législation sociale et modifiant l'article R. 152-1 du livre des procédures fiscales.
L' article L. 152 du livre des procédures fiscales (LPF) permet aux autorités et organismes chargés de l'application de la législation sociale de disposer d'une dérogation à la règle du secret professionnel en matière fiscale, afin d'obtenir des informations nominatives détenues par la direction générale des finances publiques (DGFIP).
La communication de ces données à caractère personnel doit être nécessaire aux finalités énumérées à ce même article, qui l'autorise notamment à des fins de recouvrement des cotisations et contributions ainsi que des prestations indûment versées.
L'article R. 152-1 du LPF définit les conditions dans lesquelles les organismes et autorités chargés de l'application de la législation sociale peuvent obtenir de la DGFIP des informations nominatives sur la situation fiscale des personnes.
Cet article prévoit que la demande d'informations doit comporter, pour une personne physique, tout ou partie des indications suivantes : le nom de famille et les prénoms, le sexe, la date et le lieu de naissance ainsi que l'adresse.
Pour les personnes morales, la demande d'informations doit comporter le numéro d'identification au répertoire national des entreprises et le département d'exercice de l'activité.
Dans le respect de ces dispositions, les autorités et organismes chargés de l'application de la législation sociale peuvent, en particulier, bénéficier de la communication d'informations nominatives contenues dans le Fichier national des comptes bancaires (FICOBA), créé par l'arrêté du 14 juin 1982 susvisé et qui recense l'ensemble des comptes bancaires ouverts en France.
Le projet de décret prévoit de modifier l'article R. 152-1 du LPF afin de permettre aux organismes chargés de l'application de la législation sociale de demander la communication d'informations nominatives enregistrées dans le FICOBA, à partir des coordonnées bancaires de leurs usagers.
Ce besoin résulte de la mise en œuvre d'une mesure de simplification du comité interministériel pour la modernisation de l'action publique prévoyant de dispenser les usagers de fournir un exemplaire papier de leur relevé d'identité bancaire dans toutes les démarches avec la sécurité sociale, les organismes sociaux et Pôle emploi.
La commission prend acte que cette dispense peut rendre nécessaires la vérification des coordonnées bancaires déclarées en ligne par les usagers et, à cette fin, la communication d'informations nominatives provenant du FICOBA à partir de ces coordonnées.
Elle souligne toutefois que cette vérification ne saurait être systématique et ne doit intervenir que dans la mesure où elle est strictement nécessaire à la poursuite des finalités définies par le législateur à l'article L. 152 du LPF, et plus particulièrement au recouvrement des cotisations et contributions ainsi que des prestations indûment versées.
En outre, elle considère que cette vérification n'implique aucunement de connaître l'identité du titulaire réel du compte en cas de non-correspondance entre les coordonnées bancaires validées en ligne et l'identité de l'usager. En effet, seule la confirmation ou l'infirmation que celui qui prétend être titulaire d'un compte l'est véritablement constitue une information pertinente, adéquate et non excessive au regard des finalités poursuivies.
La commission rappelle au demeurant que les termes mêmes de l'article R. 152-1 du LPF précisent que les informations nominatives susceptibles d'être transmises, en vertu de l'article L. 152 du même code, aux autorités et organismes chargés de l'application de la législation sociale sont limitées à ceux des éléments de la situation fiscale des personnes concernées qui sont strictement nécessaires à l'accomplissement par l'organisme demandeur de sa mission légale .
Elle estime dès lors que la communication de données provenant du FICOBA, en vue de la vérification de la correspondance entre les coordonnées bancaires validées en ligne par un usager et son identité, ne devrait porter que sur des données relatives aux personnes directement concernées.
Les mesures relatives à la sécurité du système de transmission des informations, par ailleurs communiquées à la commission, n'appellent pas d'observation.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé ACCRED ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité intérieure, notamment ses articles L. 114-1, L. 114-2, L. 211-11-1, R. 114-7 à R. 114-10, R. 211-32 à R. 211-34 et R. 234-1 à R. 236-30 ;
Vu le code de procédure pénale, notamment ses articles 230-6 et R. 40-23 à R. 40-34 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-II ;
Vu la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret portant création au profit de la direction générale de la sécurité intérieure d'un traitement automatisé de données à caractère personnel dénommé CRISTINA ;
Vu le décret n° 2010-569 du 28 mai 2010 modifié relatif au fichier des personnes recherchées ;
Vu le décret portant création d'un traitement automatisé de données à caractère personnel dénommé FSPRT ;
Vu le décret n° 2017-588 du 20 avril 2017 portant création d'un service à compétence nationale dénommé Commandement spécialisé pour la sécurité nucléaire ;
Vu le décret n° 2017-668 du 27 avril 2017 portant création d'un service à compétence nationale dénommé service national des enquêtes administratives de sécurité ;
Vu l'arrêté du 20 juillet 2016 portant création du commandement spécialisé pour la sécurité nucléaire ;
Vu l'arrêté du 20 avril 2017 portant organisation et fonctionnement du service à compétence nationale dénommé Commandement spécialisé pour la sécurité nucléaire ;
Vu la délibération n° 2017-047 du 9 mars 2017 portant avis sur un projet de décret pris pour l'application de l'article L. 211-11-1 du code de la sécurité intérieure et relatif à l'accès aux établissements et installations accueillant des grands événements exposés, par leur ampleur ou leurs circonstances particulières, à un risque exceptionnel de menace terroriste ;
 
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé ACCRED .
Ce traitement doit notamment faciliter la réalisation d'enquêtes administratives prévues aux articles L. 114-1, L. 114-2 et L. 211-11-1 du code de la sécurité intérieure (CSI) en permettant, d'une part, la consultation automatique de traitements de données à caractère personnel relevant de l'article 26 de la loi du 6 janvier 1978 modifiée et, d'autre part, la centralisation des informations recueillies dans le cadre de ces enquêtes. Parmi les données à caractère personnel susceptibles d'y être enregistrées, figurent des catégories de données relevant du I de l'article 8 de la loi du 6 janvier 1978 modifiée.
Le traitement projeté doit donc être autorisé par décret en Conseil d'Etat pris après avis motivé et publié de la commission, conformément à l'article 26-II de la loi du 6 janvier 1978 modifiée.
Sur les finalités poursuivies :
Aux termes de l'article 1er du projet de décret, le traitement ACCRED, mis en œuvre par la Direction générale de la police nationale (DGPN) et la Direction générale de la gendarmerie nationale (DGGN) du ministère de l'intérieur, a pour finalités :
- d'exploiter et de conserver les informations recueillies dans le cadre d'enquêtes administratives réalisées en application des articles L. 114-1, L. 114-2 et L. 211-11-1 du CSI ;