AgentPublic/cnil huggingface dataset:
Vu l'arrêté du 24 juillet 2015 portant création d'un traitement de données à caractère personnel par la direction interministérielle des systèmes d'information et de communication d'un téléservice dénommé FranceConnect ;
Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
A titre liminaire, la commission note que la mise en œuvre du traitement dénommé portail numérique des droits sociaux (PNDS) dont est saisie la commission pour avis sur le fondement de l'article 274-I (1°) de la loi du 6 janvier 1978 modifiée, a été confiée à la Caisse centrale de la mutualité sociale agricole (CCMSA).
Sur la finalité du traitement :
Le portail numérique des droits sociaux (PNDS) poursuit un double objectif de simplification d'accès aux prestations sociales et de lutte contre le non-recours aux droits sociaux.
Il est créé en application de la loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels précitée qui prévoit l'accès des assurés à un service en ligne leur fournissant une information sur les droits sociaux et la possibilité de réaliser des simulations.
La commission note que le PNDS sera accessible via le compte personnel d'activité.
Le traitement envisagé est destiné à tous les assurés sociaux et a vocation à constituer un point d'entrée centralisé aux plateformes des organismes sociaux leur permettant, d'une part, d'accéder à des informations générales sur les prestations et droits dans les domaines de la santé, de la retraite, du chômage, du logement, de la solidarité et de la famille et, d'autre part, de consulter les informations relatives à leur situation.
Plus précisément, le PNDS permettra aux assurés :
- de consulter leurs droits aux prestations sociales ;
- de recevoir, des organismes qui les gèrent, des informations sur leurs droits ;
- de simuler les prestations sociales auxquelles ils sont susceptibles d'avoir droit ;
- d'engager des démarches auprès des organismes assurant la gestion de leurs prestations sociales.
La commission estime que ces finalités sont déterminées, explicites et légitimes conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur l'absence d'alternative au dispositif de connexion FranceConnect :
Le portail est accessible par le dispositif de connexion FranceConnect sur lequel la commission a rendu un avis dans sa délibération du 16 juillet 2015.
La commission rappelle, d'une part, que pour l'utilisation de ce dispositif, la CCMSA sera tenue d'effectuer un engagement de conformité à l'arrêté du 24 juillet 2015 susvisé, cet arrêté constituant un acte réglementaire unique.
D'autre part, la commission rappelle que cet arrêté précise que l'utilisation du dispositif FranceConnect doit être facultative.
Or, le ministère a indiqué qu'aucun dispositif alternatif à l'identification via FranceConnect n'est envisagé.
La commission attire donc l'attention du ministère sur le fait que le dispositif FranceConnect doit demeurer facultatif et, par conséquent, que les personnes qui ne souhaiteraient pas utiliser un tel dispositif ne devraient pas être privées du bénéfice de services tels que ceux proposés par le PNDS.
Aussi, elle invite le ministère à prévoir un processus alternatif permettant aux personnes de bénéficier des services du PNDS.
Sur la nature des données traitées :
Les informations traitées dans le cadre du PNDS, énumérées à l'article 2 du projet de décret, sont relatives aux assurés sociaux ainsi qu'aux membres de leur foyer.
La commission note que seules sont enregistrées dans le traitement les informations portant sur l'identifiant FranceConnect, le NIR et les données de connexion (dates et heures de connexion, adresse IP). Les autres données mentionnées à l'article 2 du projet de décret sont uniquement accessibles en consultation.
Elle relève que le projet de décret prévoit l'affichage d'informations relatives aux ressources issues de la direction générale des finances publiques (DGFIP) et de la déclaration sociale nominative (DSN).
Interrogé sur ce point, le ministère a indiqué que dans la première version du portail, les données relatives aux ressources ne concerneront que les informations détenues par la branche famille et par Pôle emploi, et ne seront pas issues de la DGFIP, ni de la DSN.
La commission prend acte des précisions apportées par le ministère selon lesquelles des données pourront également être renseignées directement par les assurés pour réaliser des simulations mentionnées à l'article 1 (2°) du projet de décret. La commission note que ces données ne feront pas l'objet d'un enregistrement et qu'elles n'excéderont pas le périmètre de celles indiquées à l'article 2 du projet de décret.
En outre, l'utilisation du dispositif de connexion FranceConnect implique le calcul d'un alias technique unique pour les seules fins de liaisons d'identité qui permet de générer une clé de fédération correspondant à l'identifiant de l'usager pour chaque téléservice.
En application de l'arrêté du 24 juillet 2015 susvisé, l'alias technique unique ne peut être ni divulgué, ni diffusé aux tiers par la direction interministérielle des systèmes d'information et de communication (DINSIC).
La commission rappelle ainsi que seule la clé de fédération correspondant à l'identifiant de l'usager pour le téléservice pourra être traité par la CCMSA dans le cadre du traitement projeté, l'alias technique unique ne pouvant être traité que par la DINSIC.
Pour ce qui concerne l'utilisation du NIR, le ministère a indiqué que cette donnée était nécessaire pour identifier et authentifier l'usager et permettre d'interroger les bases de données des organismes gérant les prestations sociales afin de remonter des informations personnelles de leurs assurés et contextualiser le portail de l'usager.
La commission considère que les données collectées et traitées dans le cadre du PNDS sont pertinentes, adéquates et non excessives conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
L'identifiant FranceConnect et le NIR sont conservés dans le traitement projeté pendant une durée d'un an après la dernière connexion de l'usager concerné.
A l'expiration de ces durées, les données sont définitivement détruites.
Le projet de décret précise que les données de traces et de traces de contact sont conservées pendant une durée ne pouvant excéder un mois après l'achèvement des opérations de pilotage et de gestion technique des incidents.
La commission relève que ces données correspondent aux données de connexion.
La commission recommande que celles-ci ne soient pas conservées au-delà d'une durée maximum de six mois et invite le ministère à modifier le projet de décret sur ce point.
Elle est informée de ce que l'article 5 du projet de décret sera modifié afin de distinguer précisément les durées de conservation du NIR et de l'identifiant FranceConnect de celles des autres données de connexion.
Sous ces réserves, la commission estime que ces durées de conservation n'excèdent pas celles nécessaires à l'exercice des finalités pour lesquelles les données sont collectées conformément à l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L'article 4 du projet de décret prévoit que les agents de la CCMSA ont accès aux données visées à l'article 2.
La commission note que pour la gestion du portail, les agents habilités de la CCMSA auront accès aux données relatives au NIR, à l'identifiant FranceConnect et aux données de connexion.
Elle est également informée de la mise en place d'une plateforme téléphonique afin d'accompagner les usagers dans l'utilisation du service. Dans ce cadre, des conseillers auront accès aux informations visées à l'article 2 du projet de décret.
Pour ces derniers, la commission recommande qu'il soit précisé dans le projet de décret que cet accès se limite à une simple consultation sans possibilité de modification ni suppression.
Sur l'information des personnes :
Les personnes concernées sont informées de la mise en œuvre du traitement projeté par une mention figurant sur le portail numérique des droits sociaux.
La commission relève que cette mention d'information précise la finalité poursuivie par le traitement, l'identité du responsable de traitement, les catégories de destinataires des données ainsi que les droits dont les usagers disposent.
Elle rappelle que cette information doit également mentionner la durée de conservation des catégories de données traitées, en application de l'article 32-I (8°) de la loi.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès de chacun des organismes auxquels les personnes sont rattachées.
A cet égard, la commission constate que le NIR, l'identifiant FranceConnect et les données de connexion sont enregistrées dans le traitement PNDS. Dans ces conditions, les personnes souhaitant avoir accès à ces données devront pouvoir exercer leurs droits auprès de la CCMSA.
La commission recommande dès lors au ministère de compléter le projet de décret sur ce point.
L'article 6 du projet de décret exclut le droit d'opposition conformément à l'article 38-III de la loi.
Dans la mesure où le traitement est facultatif, la commission relève que les personnes peuvent, en pratique, demander la fermeture de leur espace personnel sur le PNDS.
Dès lors, elle s'interroge sur l'opportunité de prévoir l'exclusion du droit d'opposition.
Sur la sécurité des données et la traçabilité des actions :
La commission note que le traitement est hébergé au sein du centre informatique national de la Mutualité Sociale Agricole (ci-après MSA), sur du matériel dédié.
Le traitement interagit avec ses partenaires (i.e. le RSI, Pôle emploi, l'assurance maladie…) par le biais de la passerelle Interops (saisine 08016911), sur des liaisons privées. La commission note par ailleurs qu'une homologation du PNDS est en cours par la commission d'homologation de la MSA.
Par ailleurs, la commission prend acte des mesures mises en œuvre en terme de sécurité physique des matériels ainsi que des protections contre les sinistres naturels et considère ces dernières adaptées aux risques identifiés et vis-à-vis de la sensibilité du traitement présenté.
Le personnel travaillant sur la plateforme dispose de comptes nominatifs personnels. Les comptes systèmes génériques (i.e. administrateur , root …) ne peuvent être utilisés qu'indirectement, après une connexion préalable sur un compte nominatif. Les comptes utilisateurs doivent répondre à un minima requis, notamment faire une longueur minimale de huit caractères et contenir des caractères provenant de trois des quatre groupes (majuscules, minuscules, chiffres et caractères spéciaux).
Le commission recommande que les mots de passe fassent une longueur d'a minima douze caractères et soient composés de lettres majuscules, minuscules, chiffres et
symboles ou alors qu'ils fassent entre huit et onze caractères, soient composés de trois des quatre possibilités précitées associé à une restriction d'accès en cas d'erreurs successives (blocage de compte temporaire, possibilité de tentatives après une durée incrémentielle, etc.).
La commission note qu'un système de SIEM, permettant de centraliser et assurer la disponibilité et l'intégrité des traces techniques, est mis en œuvre. L'accès en lecture n'est permis qu'au personnel dûment habilité.
La commission prend acte que le parcours de l'administré sur le PNDS s'effectue entièrement au travers d'une connexion chiffrée permettant l'authentification du téléservice. Le protocole TLS, associé à des certificats homologué RGS*, est ainsi mis en œuvre. La commission rappelle qu'il revient au responsable de traitement de publier l'attestation d'homologation sur le site du téléservice.
Par ailleurs, tel que précisé ci-dessus, le PNDS ne conserve, au sein de sa base de données, que l'identifiant FranceConnect associé au NIR de l'utilisateur.
La commission note que ces données, dont le NIR, sont stockées en clair au sein de la base de données et recommande que ce dernier, a minima, soit chiffré à l'aide d'un algorithme réputé fort. La commission rappelle que la gestion des clés de chiffrement doit être réalisée de manière à ce que cette dernière ne soit pas divulguée et soit révocable en cas de compromission. Il convient de noter que l'utilisation de formats de données propriétaires ne peut être considéré comme étant une protection vis-à-vis de la donnée ainsi stockée.
Sous réserve des remarques formulées ci-dessus, la commission considère que les mesures de sécurité et de protection apportées aux données personnelles traitées sont satisfaisantes.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet d'arrêté relatif aux conditions de fonctionnement du traitement automatisé de données à caractère personnel de la carte d'identification professionnelle des salariés du bâtiment et des travaux publics ;
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du travail, notamment les articles L. 8291-1 et L. 8291-2 ;
Vu la loi n° 2015-990 du 6 août 2015 pour la croissance, l'activité, l'égalité des chances économiques, notamment son article 282 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (2°, d) ;
Vu le décret n° 2016-175 du 22 février 2016 relatif à la carte d'identification professionnelle des salariés du bâtiment et des travaux publics ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2016-024 du 28 janvier 2016 de la Commission nationale de l'informatique et des libertés portant avis sur un projet de décret en Conseil d'Etat relatif au dispositif national de la carte d'identification professionnelle des salariés du bâtiment et des travaux publics ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Marie-France MAZARS, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social d'une demande d'avis concernant un projet d'arrêté précisant les modalités de fonctionnement du système d'information de la carte d'identification professionnelle des salariés du bâtiment et des travaux publics, dénommé SI-CIP .
Le présent projet d'arrêté est pris pour application de l' article R. 8295-1 du code du travail, introduit par le décret n° 2016-175 du 22 février 2016 relatif au dispositif national de la carte d'identification professionnelle des salariés du bâtiment et des travaux publics, portant plus spécifiquement sur les modalités de déclaration et de délivrance des titres, pour lequel la commission a rendu un avis le 22 février 2016 ( délibération n° 2016-175).
Sur les finalités :
Le traitement a pour finalité la gestion et le suivi du dispositif national de la carte d'indentification professionnelle des salariés du bâtiment et des travaux publics.
A cette fin, l'Union des caisses de France-Congés intempéries BTP (UCF-CI BTP) est chargé de la délivrance des cartes d'indentification professionnelle, ainsi que de la gestion administrative, technique et financière des titres.
La commission considère que les finalités sont déterminées, explicites et légitimes.
Sur les données traitées :
L'article 1er du projet d'arrêté liste les données suivantes, renseignées par les employeurs et les entreprises utilisatrices de travailleurs intérimaires détachés mentionnés à l' article R. 8291-1 du code du travail, dans le cadre de la procédure de déclaration des salariés sur le site dédié de l'UCF-Cl BTP, les déclarations étant appelées à être enregistrées dans le système d'information :
- données relatives aux titulaires des cartes d'identification professionnelle : nom et prénoms, sexe, date et lieu de naissance, nationalité, photographie d'identité numérisée, adresse électronique, nature du contrat de travail, et, pour les salariés étrangers titulaires d'une autorisation ou d'une carte de séjour valant autorisation de travail, le numéro de cette carte, données relatives au chantier ou au lieu d'activité (adresse, durée du chantier ou date de début et de fin de la prestation ou des travaux), pour les salariés détachés et les salariés titulaires d'un contrat de chantier ;
- données personnelles relatives aux employeurs et aux entreprises utilisatrices de salariés intérimaires détachés par une entreprise de travail temporaire établie à l'étranger : pour les employeurs personnes physiques (noms, prénoms, sexe, date et lieu de naissance, nationalité, SIRET ou SIREN ou à défaut le numéro d'immatriculation à un registre professionnel ou à un organisme chargé du recouvrement des cotisations de sécurité sociale, adresse professionnelle postale et électronique, coordonnées téléphoniques, activité principale exercée [APE/NAF], le cas échéant, identité du représentant en France), pour les employeurs personnes morales (dénomination sociale, objet social ou statut, identité du représentant légal ou du représentant en France, numéro SIREN ou SIRET ou à défaut le numéro d'immatriculation à un registre professionnel, adresse du siège social, adresse professionnelle postale et électronique, coordonnées téléphoniques, activité principale exercée (APE/NAF)).
La commission relève que les données pouvant être enregistrées dans le système d'information précisent celles d'ores et déjà mentionnées à l' article R. 8295-2 du code du travail.
Elle observe plus précisément que le ministère a complété cette liste en introduisant l'adresse électronique des titulaires des titres ainsi que les coordonnées téléphoniques des employeurs. Le ministère indique que ces informations sont nécessaires afin de faciliter la mise en relation entre les personnes concernées et l'UCF-CI BTP, pour tout besoin relatif à la procédure de délivrance des cartes, ainsi que dans le cadre de l'exercice du droit de rectification.
L'article 1er-V du projet d'arrêté prévoit en outre que l'UCF-CI BTP inclut dans le système d'information SI-CIP les données personnelles transmises par les entreprises adhérentes des caisses nationales et régionales de son réseau.
Les données ainsi transmises permettent à l'UCF-CI BTP de pré-initialiser les comptes desdites entreprises, et de faciliter l'inscription et la première demande de carte d'identification pour les salariés concernés.
La commission relève que les données collectées à cette fin n'excèdent pas celles traitées pour les autres catégories de personnes concernées.
Elle estime que les données traitées sont pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur les destinataires :
L'article 3 du projet d'arrêté mentionne les catégories de personnes habilitées à accéder aux données enregistrées dans le système d'information en renvoyant aux dispositions décret n° 2016-175 du 22 février 2016, à savoir :
- les agents habilités de l'UCF-Cl BTP ;
- les agents de contrôle mentionnés à l' article L. 8271-1-2 du code du travail, aux fins de lutte contre le travail illégal, selon des modalités prévues aux articles R. 8292-1-3° et R. 8294-5 et suivants du code du travail.
Conformément aux précisions apportées lors de l'instruction de la demande d'avis portant sur le décret n° 2016-175 du 22 février 2016, la commission constate que l'accès aux données par les agents de contrôle se fera au moyen d'une application spécifique disponible sur un équipement (de type Smartphone), permettant de flasher un code matriciel datamatrix (de type Q-R) figurant sur les cartes d'identification professionnelle.
Les agents de contrôle pourront, en outre, procéder aux même vérifications via une application web ou mobile spécifique, nécessitant la saisie d'informations relatives à l'organisme (raison sociale, nationalité, SIREN), ou au salarié (nom, prénoms, date de naissance, type de contrat de travail).
La commission observe que l'accès au système d'information par les agents de contrôle s'appuiera sur une politique de gestion rigoureuse des habilitations.
Elle considère que les personnes ci-dessus mentionnés présentent un intérêt légitime à accéder en tout ou partie aux données.
Sur les durées de conservation :
L'article 4 du projet d'arrêté mentionne que les données enregistrées dans le système d'information seront conservées pendant une durée de cinq ans à compter de la dernière invalidation enregistrée pour le compte du titulaire de la carte.
Interrogé sur le choix de cette durée, le ministère indique que les données seront conservées en base active pendant toute la durée de validité de la carte, soit jusqu'au terme du contrat de travail ou du détachement.
Au terme de cette durée, les données seront conservées pendant trois ans en base active, puis deux années supplémentaires en archive intermédiaire, afin de tenir compte du délai de prescription de droit commun et de l'épuisement des voies de recours.
La commission rappelle qu'à l'expiration de ces durées, les données doivent être supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Elle estime que les données traitées ne sont pas conservées au-delà du temps nécessaire à l'accomplissement des finalités pour lesquelles elles ont été collectées.
Sur l'information et les droits des personnes :
La commission observe que les articles R. 8293-1-III et R. 8293-2 du code du travail prévoient qu'avant d'effectuer la déclaration auprès de l'UCF-CI BTP, les employeurs informent les salariés de la transmission des données personnelles les concernant.
Elle rappelle que conformément à l'article 32 de la loi Informatique et Libertés , l'information doit porter sur : l'identité du responsable du traitement, les objectifs poursuivis par le traitement, le caractère obligatoire ou facultatif des réponses, les conséquences éventuelles d'un défaut de réponse, les destinataires des données, les droits des personnes, et le cas échéant, les transferts de données hors de l'Union européenne. En tout état de cause, cette information doit être donnée, aux salariés, d'une part, et aux employeurs, d'autre part, préalablement à la collecte des données, selon des modalités adaptées au nombre de personnes concernées.
Sur ce point, l'article 2 du projet de décret précise qu'une mention portant sur les droits d'accès et de rectification sera faite via le site de l'UCF-CI BTP, ainsi que sur l'attestation provisoire dématérialisée et sur le courrier d'envoi contenant la carte, destinés aux employeurs.
Le ministère indique que les droits d'accès et de rectification s'exercent directement auprès de l'UCF-Cl BTP.
Enfin, la commission prend note que le projet d'arrêté écarte l'application du droit d'opposition, comme le permet le dernier alinéa de l'article 38 de la loi Informatique et Libertés .
Sur les mesures de sécurité :
Les habilitations d'accès au système d'information sont paramétrées selon les rôles des intervenants, avec des profils définissant les fonctions et les types d'informations accessibles à un utilisateur.