AgentPublic/cnil huggingface dataset:
Sur la séparation des données identifiantes des électeurs et des votes   Le secret du vote doit être garanti par la mise en oeuvre de procédés rendant impossible l'établissement d'un lien entre le nom de l'électeur et l'expression de son vote.  Il en résulte que la gestion du fichier des votes et celle de la liste d'émargement doivent être faites sur des "systèmes informatiques distincts, dédiés et isolés" selon la recommandation de la CNIL du 1er juillet 2003.  Ces fichiers doivent, en outre, faire l'objet de mesures de chiffrement selon un algorithme public réputé "fort".   La Commission rappelle que le prestataire doit s'engager à garantir une réelle séparation opérationnelle entre ces deux systèmes, ce qui implique au minimum deux équipes techniques distinctes.   La Commission prend acte que le système de vote présenté dans le dossier du ministère des affaires étrangères entend mettre en oeuvre ces préconisations majeures.   Elle considère, cependant, que les éléments d'analyse du système de vote qui lui ont été fournis ne permettent pas de s'assurer de l'effectivité de la séparation de l'urne et du fichier des électeurs sur des systèmes distincts, dédiés et isolés.  En effet, les termes du dossier se limitent à "l'architecture proposée dédie un serveur spécifique pour la liste d'émargement et un autre pour l'urne électronique". Il en va de même pour l'organisation des équipes techniques.   La Commission demande que l'effectivité de ces éléments soit vérifiée au cours
de l'expertise indépendante réalisée durant le scrutin ainsi que, plus largement, toutes les mesures physiques et logiques prises tant au niveau des serveurs du dispositif que sur les postes accessibles au public afin de garantir la sécurité et la confidentialité des données personnelles en particulier contre les intrusions venant de l'extérieur.
Sur le chiffrement du bulletin de vote   La Commission rappelle que le cahier des clauses techniques particulières prévoit que le bulletin de vote doit être chiffré par un algorithme réputé "fort" dès son émission depuis le terminal d'accès à distance (poste de travail informatique de l'électeur) et jusqu'à son stockage sur le serveur de vote.  Or, le dossier du ministère des affaires étrangères ne permet pas de juger de l'effectivité de la solution retenue.   La Commission regrette l'absence récurrente des éléments techniques lui permettant, pour cette application, de juger de l'effectivité et de l'étendue du chiffrement mis en oeuvre.  Elle demande que l'expertise indépendante à venir vérifie ce point.
   Sur la localisation des serveurs du système de vote électronique   Le dossier précise que le système de vote électronique sera localisé sur le territoire de France métropolitaine.  La Commission souligne l'adéquation de la solution retenue avec sa recommandation du 1er juillet 2003.
Sur la surveillance effective du scrutin   La Commission rappelle, au regard de sa recommandation du 1er juillet 20003, que la mise en oeuvre du système de vote électronique doit être opérée sous le contrôle effectif, tant au niveau des moyens informatiques centraux que de ceux, éventuellement, déployés sur place, de représentants de l'organisme mettant en place le vote ou d'experts désignés par lui.   Elle prend acte que le projet de décret prévoit qu'un bureau central de vote électronique est chargé du contrôle de l'ensemble des opérations de vote électronique et du dépouillement du vote.  Ce bureau veille au bon déroulement technique des opérations électorales ; en particulier, il s'assure des dispositifs de sécurité prévus pour assurer le secret du vote et son intégrité, de la confidentialité du fichier des électeurs comportant des éléments d'authentification, du chiffrement de l'urne électronique et de la conservation des votes dans un traitement distinct de celui du fichier des électeurs, de la conservation des différents supports d'information dans les mêmes conditions de sécurité et de confidentialité pendant et après le scrutin ainsi que de la vérification du nombre et de la qualité des personnes autorisées à accéder au système.   La Commission constate que ce bureau sera assisté par un comité technique dont les membres sont désignés par le ministre des affaires étrangères et la composition fixée par le projet d'arrêté ministériel.   La Commission souligne
l'intérêt de la mise en place du bureau du vote électronique et du comité technique.  Outre qu'elles satisfont à sa recommandation du 1er juillet 2003, ces mesures sont de nature à apporter des garanties importantes aux électeurs et aux candidats.   Cependant, la Commission remarque qu'en l'état actuel du projet d'arrêté soumis à la CNIL, le comité technique n'est pas nécessairement composé d'experts.  En raison de l'absence d'une expertise indépendante préalable du dispositif de vote électronique, il apparaît nécessaire que la présence d'experts indépendants soit obligatoire et le projet d'arrêté complété en ce sens.   La Commission demande, par conséquent, que l'article 8 du projet soit complété des termes suivants :  "Il associe un ou plusieurs experts informatiques indépendants compétent dans les domaines couverts par les opérations de vote" au lieu de "Il peut associer ou consulter toute personne indépendante disposant d'une expertise dans les domaines couverts par les opérations de vote".
Sur l'authentification des électeurs   Le ministère des affaires étrangères a prévu un envoi postal des codes personnels.  La Commission constate que l'électeur est obligé d'exprimer, préalablement au scrutin, son choix de voter par internet pour recevoir, par la voie postale, ses codes.  Elle souligne que la fiabilité d'un envoi postal non recommandé des codes personnels est étroitement lié aux conditions de fonctionnement de la poste de chaque pays.  De plus, le projet de décret soumis à la Commission n'indique pas clairement que l'électeur qui s'est inscrit au scrutin électronique dispose tout de même de la faculté de voter sur place.   Par conséquent, la Commission demande, qu'en cas de perte des codes personnels d'un électeur, celui-ci soit explicitement autorisé à voter le jour du scrutin dans un bureau de vote.  La Commission propose que l'article 3 du projet de décret soit complété des termes suivants "L'électeur qui a choisi de voter par voie électronique mais qui n'a pas utilisé ses codes personnels a la possibilité de voter surplace le jour du scrutin".   Dans l'hypothèse d'un vol et de l'utilisation de ces codes par un tiers, la Commission souhaite qu'un registre puisse consigner les réclamations des électeurs.   De surcroît, la Commission souhaite que l'infrastructure de vote électronique soit dotée d'un système d'authentification mieux sécurisé, dans l'hypothèse d'une généralisation du recours au vote électronique pour les élections des représentants des
français de l'étranger.   Enfin, s'agissant du chiffrement du fichier permettant de générer les identifiants et les mots de passe des électeurs, la Commission demande que l'expertise indépendante puisse vérifier, avant le déroulement des opérations électorales, l'effectivité des sécurités mises en oeuvre pour assurer la confidentialité des données, en particulier au moment de l'impression ou de la mise sous pli.
Sur la définition des fonctions d'administration et la traçabilité des actions menées sur le système   La Commission constate l'absence de définition des actions d'administration détaillant les opérations et les contrôles associés, techniques et organisationnels réalisés sur le système. Compte tenu des droits techniques élevés des administrateurs sur le système, la rédaction d'un document fixant les règles d'administration chez l'hébergeur pendant la durée du vote et l'existence d'une traçabilité sécurisée des actions d'administration sur une machine distincte et non administrable par les mêmes moyens, sont essentiels.
   Sur le dépouillement du vote   Le dispositif de vote électronique envisagé par le ministère des affaires étrangères prévoit cinq clés de dépouillement, générées en présence du président et des assesseurs.  Elle sont stockées sur plusieurs clés USB.  Deux clés sont destinées à être conservées en secours.   La Commission estime que ce dispositif est d'un niveau de sécurité suffisant, à la condition que ces mesures puissent être vérifiées par l'expertise indépendante.   En revanche, la Commission regrette que rien ne soit précisé sur l'édition sécurisée des résultats dans le dossier déposé à la CNIL par le ministère ou dans les projets de textes réglementaires qui lui sont également soumis.  Elle demande que le projet d'arrêté ministériel soit complété en ce sens.
Sur le contrôle des opérations de vote   La Commission rappelle que le dispositif de vote électronique doit être en mesure de fournir les éléments techniques (fiabilité du scellement, anonymat du vote, liste d'émargement, intégrité de l'urne, possibilité de nouveau décompte des voix...) permettant, en cas de contentieux électoral, de vérifier le fonctionnement réel de l'application.  Les fichiers supports doivent être conservés sous scellés jusqu'à l'épuisement des délais de recours.   Le dispositif retenu par le ministère des affaires étrangères prévoit un scellement du système à l'issue du scrutin et que les fichiers supports seront remis sur CD ou DVD signés.  La Commission constate que le dossier qui lui a été soumis ne comporte pas les éléments techniques de cette signature.  La Commission demande que l'arrêté ministériel soit complété afin de préciser les modalités de cette signature.   La Commission constate, par ailleurs, que le dossier soumis à la CNIL prévoit que les fichiers de sauvegarde sont archivés pendant un an chez l'hébergeur.  Elle rappelle que les fichiers de données à caractère personnel, en particulier les listes électorales, listes d'émargement, éléments d'authentification ou urne électronique et, en général, tous les fichiers supports, devront être détruits à l'issue des délais de recours et en aucun cas, conservés chez l'hébergeur ou le prestataire de vote.   Elle souligne que l'article 4 du projet d'arrêté prévoit que les supports d'information
sont conservés par le maître d'oeuvre sous le contrôle du bureau central de vote électronique.  De telles dispositions conduisant à placer entre les mains du prestataire tous les éléments permettant de contrôler le bon déroulement du scrutin, en particulier au plan technique, sont contradictoires avec l'article 10 de ce même arrêté qui prévoit que :  "Dès la clôture du scrutin électronique, le contenu de l'urne, la liste d'émargement et les états courants gérés par les serveurs de vote sont figés, horodatés, et scellés automatiquement sur l'ensemble des serveurs. Le ministre des affaires étrangères reçoit l'ensemble de ces données en deux exemplaires sur cédérom portant une sérigraphie et non réinscriptibles.  Une clé de chiffrement permet l'authentification des cédéroms et un condensé chiffré public en garantit l'intégrité".   La Commission demande, par conséquent, que l'article 4 du projet d'arrêté soit modifié et que les termes "conservés par le maître d'oeuvre" soient remplacés par les termes "par le ministère des affaires étrangères".   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-6° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu les articles R. 115-1 et R. 115-2 du code de la sécurité sociale ;   Vu la demande d'autorisation présentée par le GIE 50 le 11 mai 2005 portant sur l'utilisation du numéro de sécurité sociale à des fins de "gestion de la relation client en mode multicanal" ;   Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations :
Formule les observations suivantes :   Le GIE 50 a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel portant sur l'utilisation du numéro de sécurité sociale à des fins de "gestion de la relation client en mode multi-canal".   La Commission constate que ce traitement relève de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-I-6° dans la mesure où il porte sur des données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR).   La Commission relève qu'il résulte des dispositions de l'article 6-3° de la loi du 6 janvier 1978 qu'un traitement de données à caractère personnel ne peut porter que sur des données adéquates, pertinentes et non excessives au regard des finalités pour lesquels elles sont collectées et de leur traitement ultérieur.   Par ailleurs, il résulte des dispositions de l'article 7-5° de ladite loi que la réalisation de l'intérêt légitime du responsable de traitement doit être prise en compte sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.   La Commission rappelle que le numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR, communément appelé "numéro de sécurité sociale", constitue un identifiant particulièrement signifiant, dont l'utilisation présente des risques pour la vie privée et les
libertés individuelles et est de ce fait encadré par la loi.   L'utilisation généralisée d'un identifiant unique dans l'ensemble des fichiers, en ce qu'elle faciliterait ainsi leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.   La Commission souligne à cet égard que l'origine même de la loi Informatique et libertés résulte du rejet du projet SAFARI d'interconnexion de fichiers publics à partir du numéro de sécurité sociale.   Ces considérations ont conduit la Commission à limiter l'usage du NIR en tant qu'identifiant propre à la sphère de la santé et la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d'activité.  Les dérogations prévues par le législateur n'ont porté que sur des cas limités, justifiés par l'intérêt général.
La Commission relève que le Groupement d'intérêt économique 50 (GIE 50) appartient au groupe IONIS, groupe de protection sociale comprenant des institutions de retraite complémentaire, des institutions de prévoyance et des mutuelles, ainsi qu'une société d'assurances et une autre d'épargne salariale.   A l'appui de sa demande d'autorisation le GIE 50 invoque l'intérêt d'identifier le client, l'adhérent ou l'assuré par le NIR afin d'éviter les risques d'homonymie et d'erreur, de repérer les doublons et permettre la gestion centralisée de la relation client.   Le GIE 50 expose de surcroît qu'il dispose déjà du NIR dans le cadre soit de la gestion du régime obligatoire ou des régimes et produits facultatifs, et que l'utilisation du NIR à des fins de "gestion de la relation client multi-canal" permettrait de simplifier et de rationaliser la gestion commerciale de leurs fichiers.   Le GIE 50 indique de plus que l'utilisation du NIR en tant qu'identifiant à des fins commerciales serait exclusivement interne et accessible seulement à un certain nombre de personnes définies et permettrait d'avoir une vision unifiée de l'ensemble des clients des diverses institutions et sociétés membres du groupement pour une meilleure gestion commerciale, assurant notamment des rapprochements des différents référentiels, en évitant les homonymies de patronymes ou d'entreprises.
La Commission relève que la gestion du risque d'homonymie est une préoccupation légitime des responsables de traitement, découlant d'ailleurs de l'obligation de sécurité à laquelle ils sont tenus mais que cet argument ne peut constituer une justification précise et motivée de l'utilisation du NIR compte tenu de l'activité du GIE 50.   La Commission relève par ailleurs que les organismes d'assurance et de prévoyance ne sont autorisés à traiter le NIR que dans le cadre réglementaire défini par les articles R 115-1 et R115-2 du code de la sécurité sociale.   La Commission considère toutefois que ces dispositions ne permettent pas un usage du NIR dans des traitements mis en oeuvre par les mutuelles, entreprises régies par le code des assurances et les institution de retraite complémentaire et de prévoyance à des fins autres que l'exercice des activités d'assurance maladie, maternité et invalidité complémentaire ou dans leurs activités d'assurance vieillesse ; qu'en particulier, elles n'autorisent pas les organismes visés à utiliser le NIR en qualité d'identifiant unique à des fins de gestion de la relation commerciale comme la relance téléphonique, la prise de rendez-vous, le maintien du portefeuille.   La Commission relève aussi que le GIE 50 ne peut se prévaloir d'aucune disposition législative ou réglementaire constatant la poursuite d'un intérêt général.   La Commission estime en conséquence le traitement contraire aux dispositions des articles 6-3° et 7-5° de la loi du 6
janvier 1978.   N'autorise pas le GIE 50 à mettre en oeuvre un traitement de données à caractère personnel portant sur l'utilisation du numéro de sécurité sociale à des fins de contrôle de "gestion de la relation client en mode multi-canal".   Le président, Alex TURK.
La Commission nationale de l'informatique et des libertés,   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-I-6° ;   Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;   Vu la demande d'autorisation présentée par la société VIE PLUS le 28 septembre 2005 portant sur l'utilisation du numéro de sécurité sociale à des fins de gestion de la relation client dans le cadre de la souscription de contrats d'épargne retraite individuelle et collective ;   Après avoir entendu M. Bernard Peyrat, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations :
Formule les observations suivantes :   La société VIE PLUS a saisi la CNIL d'une demande d'autorisation relative à la mise en oeuvre d'un traitement de données à caractère personnel ayant pour finalité l'utilisation du numéro de sécurité sociale à des fins de gestion de la relation client dans le cadre de la souscription de contrats d'épargne retraite individuelle et collective.   La Commission constate que ce traitement relève de la procédure de demande d'autorisation prévue par les dispositions de l'article 25-I-6° dans la mesure où il porte sur des données parmi lesquelles figure le numéro d'inscription au répertoire national d'identification des personnes physiques (NIR).   La Commission relève qu'il résulte des dispositions de l'article 6-3° de la loi du 6 janvier 1978 qu'un traitement de données à caractère personnel ne peut porter que sur des données adéquates, pertinentes et non excessives au regard des finalités pour lesquels elles sont collectées et de leur traitement ultérieur.   Par ailleurs, il résulte des dispositions de l'article 7-5° de ladite loi que la réalisation de l'intérêt légitime du responsable de traitement doit être prise en compte sous réserve de ne pas méconnaître l'intérêt ou les droits et libertés fondamentaux de la personne concernée.   La Commission rappelle que le numéro d'inscription au répertoire national d'identification des personnes physiques ou NIR, communément appelé "numéro de sécurité sociale", constitue un identifiant
particulièrement signifiant, dont l'utilisation présente des risques pour la vie privée et les libertés individuelles et est de ce fait encadré par la loi.   L'utilisation généralisée d'un identifiant unique dans l'ensemble des fichiers, en ce qu'elle faciliterait ainsi leur interconnexion, permettrait de tracer les individus dans tous les actes de la vie courante.   La Commission souligne à cet égard que l'origine même de la loi Informatique et libertés résulte du rejet du projet SAFARI d'interconnexion de fichiers publics à partir du numéro de sécurité sociale.
Ces considérations ont conduit la Commission à limiter l'usage du NIR en tant qu'identifiant propre à la sphère de la santé et la sphère sociale et à recommander le recours à des identifiants sectoriels spécifiques à chaque secteur d'activité.  Les dérogations prévues par le législateur n'ont porté que sur des cas limités, justifiés par l'intérêt général.   La Commission relève que la société VIE PLUS, filiale du groupe GENERAL ELECTRICS, est une société régie par le code des assurances, gérant des contrats d'épargne retraite.   A l'appui de sa demande d'autorisation la société VIE PLUS invoque l'intérêt d'identifier le client, l'adhérent ou l'assuré par le NIR afin d'éviter les risques d'homonymie et d'erreur, identifier les doublons.   La Commission relève que la gestion du risque d'homonymie est une préoccupation légitime des responsables de traitement, découlant d'ailleurs de l'obligation de sécurité à laquelle ils sont tenus mais que cet argument ne peut constituer une justification précise et motivée de l'utilisation du NIR compte tenu de l'activité de la société VIE PLUS.
La Commission relève par ailleurs que les organismes d'assurance et de prévoyance ne sont autorisés à traiter le NIR que dans le cadre réglementaire défini par les articles R. 115-1 et R. 115-2 du code de la sécurité sociale.   La Commission considère toutefois que ces dispositions ne permettent pas un usage du NIR dans des traitements mis en oeuvre par les mutuelles, entreprises régies par le code des assurances et les institution de retraite complémentaire et de prévoyance à des fins autres que l'exercice des activités d'assurance maladie, maternité et invalidité complémentaire ou dans leurs activités d'assurance vieillesse ; qu'en particulier, elles n'autorisent pas les organismes visés à utiliser le NIR en qualité d'identifiant unique.   La Commission relève aussi que la société VIE PLUS ne peut se prévaloir d'aucune disposition législative ou réglementaire constatant la poursuite d'un intérêt général.   La Commission estime en conséquence le traitement contraire aux dispositions des articles 6-3° et 7-5° de la loi du 6 janvier 1978.   N'autorise pas la société VIE PLUS à mettre en oeuvre un traitement de données à caractère personnel ayant pour finalité l'utilisation du numéro de sécurité sociale à des fins de gestion de la relation client dans le cadre des contrats d'épargne retraite individuelle et collective.   Le président, Alex TURK.