AgentPublic/cnil huggingface dataset:
Le projet d'article R. 232-42 dispose que les conseils départementaux vérifient le NIR qui a été fourni par un demandeur de l'APA ou de l'ASH. Interrogée sur les modalités de cette vérification, la DGCS a indiqué qu'il pourrait être envisagé que les conseils départementaux effectuent cette vérification du NIR via la consultation du système national de gestion des identifiants (SNGI), via le répertoire national commun de la protection sociale (RNCPS) auquel les départements ont déjà accès, ou par le biais de la carte Vitale des demandeurs et bénéficiaires.
Sous ces réserves, la Commission considère que les données listées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le responsable de traitement.
Sur les sources de collecte des données :
Le projet d'article R. 232-43 énonce que les données peuvent être collectées directement auprès des personnes concernées ou communiquées par la direction générale des finances publiques et les organismes de protection sociale.
S'agissant des administrations fiscales, celles-ci sont amenées à communiquer aux conseils départementaux des informations relatives aux demandeurs et bénéficiaires de l'APA pour l'évaluation de leurs ressources. Cette transmission est prévue à l'article L. 153 A du livre des procédures fiscales. La Commission prend acte que la référence à cet article sera ajoutée dans le projet d'article R. 232-43 afin de déterminer clairement les transmissions de données envisagées.
La Commission rappelle que les modalités de transmission des informations, par les administrations fiscales, seront fixées par un décret en Conseil d'Etat sur lequel la Commission devra être saisie pour avis, en application des dispositions de l'article L. 153 A précité.
S'agissant de la transmission par les organismes de protection sociale, la Commission recommande à la DGCS que le projet d'article R. 232-43 indique qu'il ne s'agit pas d'une transmission de données par les organismes de protection sociale mais d'un accès à leurs données via la consultation du RNCPS par les conseils départementaux.
Sur les destinataires des données :
Le projet d'article R. 232-44 liste les catégories de personnes pouvant accéder aux données pour la gestion des aides tandis que le projet d'article R. 232-45 liste les destinataires des données intervenant dans l'accompagnement des personnes âgées. La Commission relève qu'en revanche, les organismes ou services destinataires des données pour l'accomplissement des finalités statistiques, dont fait partie la DREES, ne sont pas mentionnés dans le projet d'acte réglementaire, et demande à ce qu'ils y soient ajoutés, conformément aux dispositions de l'article 29 de la loi du 6 janvier 1978 modifiée.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données du présent traitement, dans la limite de leurs attributions et sous réserve que les données effectivement accessibles présentent un lien direct et nécessaire avec leurs fonctions. Elle estime le projet d'article R. 232-45 pourrait être rédigé sur le modèle de l'article R. 232-44 en précisant que les personnes accèdent aux informations strictement nécessaires à l'exercice de leur mission et dans la limite de leurs attributions .
Sur les durées de conservation des données :
Une durée de six ans a été fixée par la DGCS afin de permettre aux conseils départementaux de conserver les informations pendant une durée suffisante pour transmettre les informations aux services ministériels chargés des statistiques.
La Commission rappelle que les données collectées et traitées pour les besoins du suivi social ne peuvent être conservées dans la base active au-delà de deux ans à compter du dernier contact avec la personne ayant fait l'objet de ce suivi, sauf dispositions législatives ou réglementaires contraires.
A l'expiration de ces périodes, les données doivent être détruites de manière sécurisée ou archivées dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
S'agissant des données de connexion des agents accédant aux données du traitement, la Commission prend acte que la DGCS modifiera le projet d'acte réglementaire pour ne retenir qu'une durée de conservation de trois mois et supprimer le dernier alinéa du projet d'article R. 232-48.
Sur l'information et les droits des personnes :
La Commission propose que le projet d'article R. 232-47 soit modifié afin, d'une part, que l'intégralité des mentions d'information prévues à l'article 32 de la loi du 6 janvier 1978 modifiée figure sur un même support pour garantir une information effective des personnes et, d'autre part, que soit ajoutée dans les informations devant être délivrées aux personnes concernées, la durée de conservation ou, le cas échéant, les critères permettant de la déterminer.
La Commission estime qu'il conviendrait d'intégrer l'ensemble de ces informations dans le courrier de notification du versement des aides afin que ces informations figurent dans un document ayant vocation à être conservé par les demandeurs et bénéficiaires des aides.
Sous ces réserves, la Commission considère que ces modalités d'information et d'exercice des droits sont satisfaisantes.
Sur les mesures de sécurité et de confidentialité :
La Commission rappelle que le responsable de traitement doit prendre toutes les précautions utiles au regard des risques présentés par le traitement pour préserver la sécurité des données à caractère personnel. Il doit notamment s'assurer que :
- toute transmission d'information via un canal de communication non sécurisé, par exemple internet, s'accompagne de mesures adéquates permettant de garantir la confidentialité des données échangées, telles qu'un chiffrement des données ;
- les personnes habilitées disposant d'un accès aux données s'authentifient avant tout accès à des données à caractère personnel, dans des conditions conformes aux dispositions du code de la santé publique ;
- un mécanisme de gestion des habilitations soit mis en œuvre et régulièrement mis à jour pour garantir que les personnes habilitées n'ont accès qu'aux seules données effectivement nécessaires à la réalisation de leurs missions. Le responsable de traitement doit définir et formaliser une procédure permettant de garantir la bonne mise à jour des habilitations ;
- des mécanismes de traitement automatique garantissent que les données à caractère personnel seront systématiquement supprimées, à l'issue de leur durée de conservation, ou feront l'objet d'une procédure d'anonymisation rendant impossible toute identification ultérieure des personnes concernées ;
- les accès à l'application fassent l'objet d'une traçabilité afin de permettre la détection d'éventuelles tentatives d'accès frauduleux ou illégitimes. Les accès aux données considérées comme sensibles, au regard de la loi du 6 janvier 1978 modifiée, doivent quant à eux être spécifiquement tracés en incluant un horodatage, l'identifiant de l'utilisateur, ainsi que l'identification des données concernées, et ceci pour les accès en consultation, modification ou suppression. Les données de journalisation doivent être conservées pendant une durée de six mois glissants à compter de leur enregistrement, puis détruites ;
- l'externalisation de l'hébergement de données de santé à caractère personnel soit réalisée dans les conditions prévues dans le code de la santé publique.
Concernant les mécanismes d'anonymisation, il conviendra de s'assurer que les statistiques produites ne permettent aucune identification, même indirecte, des personnes concernées.
L'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement, qui doit notamment vérifier que ces outils ou logiciels respectent les obligations que la loi met à sa charge.
Enfin, le responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par ses sous-traitants. Le contrat établi entre les parties doit mentionner les obligations incombant au sous-traitant en matière de préservation de la sécurité et de la confidentialité des données et prévoit que le sous-traitant ne peut agir que sur instructions du responsable de traitement.
La Commission prend note que si l'accès du SNGI est rendu opérationnel pour la vérification du NIR, cet accès sera encadré par une convention rendant obligatoire la conformité au standard Interops. A cet égard, la Commission rappelle l'importance de la mise à jour régulière de ces référentiels pour prendre en compte l'évolution des technologies et notamment conserver sa conformité avec la nouvelle version du référentiel général de sécurité (RGS).
La présidente,
I. Falque-Pierrotin
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère du logement et de l'habitat durable d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif au traitement de données à caractère personnel permettant l'enregistrement des demandes de logement locatif social dénommé numéro unique ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la construction et de l'habitation, notamment ses articles L. 411-10, L. 441-2-1 et R. 441-2-1 à R. 441-2-8 ;
Vu le livre des procédures fiscales, notamment son article L. 103 ;
Vu la loi n° 2017-86 du 27 janvier 2017 relative à l'égalité et à la citoyenneté, notamment ses articles 76 et 78 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-I-1° et 27-11-4°
Vu la décision n° 2016-745 DC du Conseil constitutionnel du 26 janvier 2017,
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 15 novembre 2013 portant création d'un traitement de données à caractère personnel relatif à l'enregistrement des demandes de logement locatif social dénommé numéro unique ;
Vu l'arrêté du 24 juillet 2013 relatif au nouveau formulaire de demande de logement locatif social et aux pièces justificatives fournies pour l'instruction de la demande de logement locatif social ;
Vu la délibération n° 2013-351 du 7 novembre 2013 de la Commission portant avis sur un projet d'arrêté du ministre de l'égalité des territoires et du logement portant création d'un téléservice de l'administration, dénommé numéro unique , permettant de dématérialiser les demandes de logement locatif social ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Aux termes de l'article L. 441-2-1 du code de la construction et de l'habitation (CCH), chaque demande de logement social fait l'objet d'un enregistrement dans le système national d'enregistrement dénommé numéro unique .
Ce numéro unique est un numéro non signifiant attribué à un dossier de demande. Le dispositif actuel est défini par l'arrêté du 15 novembre 2013 susvisé sur lequel la Commission s'est prononcée le 7 novembre 2013.
L'article 76 de la loi du 27 janvier 2017 relative à l'égalité et à la citoyenneté a modifié l'article L. 411-10 du CCH qui prévoit désormais : Aux fins de l'élaboration et de la mise en œuvre des politiques publiques de l'habitat, le ministère chargé du logement tient un répertoire des logements locatifs sociaux et de leurs occupants. Ce répertoire est établi à partir des informations transmises chaque année par les bailleurs sociaux mentionnés au deuxième alinéa ou, dans le cas des logements-foyers, des centres d'hébergement et de réinsertion sociale et des centres d'accueil pour demandeurs d'asile, par les gestionnaires. Un décret en Conseil d'Etat fixe les conditions d'application du présent article, notamment la liste des informations transmises respectivement par les bailleurs et, dans le cas des logements-foyers, des centres d'hébergement et de réinsertion sociale et des centres d'accueil pour demandeurs d'asile, par les gestionnaires. Pour les logements locatifs dont les locataires ne sont pas les personnes morales mentionnées aux articles L. 442-8-1 et L. 442-8-1-1, cette liste comprend le numéro d'immatriculation au répertoire national d'identification des personnes physiques de chaque occupant majeur, que les bailleurs sont habilités à leur demander s'il ne figurait pas sur la demande mentionnée à l'article L. 441-2-1 .
Le NIR de chaque occupant majeur des logements sociaux doit donc désormais être transmis par les bailleurs sociaux au ministère chargé du logement aux fins de l'élaboration et de la mise en œuvre des politiques publiques de l'habitat et, plus précisément, afin de permettre la tenue du répertoire des logements locatifs sociaux et de leurs occupants.
Afin de répondre à cette nouvelle obligation, ce texte prévoit que les bailleurs sociaux sont habilités à collecter le NIR des personnes concernées à l'occasion des demandes d'attribution de logements sociaux.
A titre liminaire, et compte tenu des enjeux importants en termes de protection des données liés à l'utilisation du NIR, la Commission regrette que le Gouvernement n'ait pas sollicité l'avis de la CNIL, qui n'a donc pu se prononcer sur ce texte.
Sans qu'il y ait lieu pour la Commission de se prononcer sur l'utilisation du NIR ainsi prévue par le législateur, elle souligne que l'ajout du NIR dans le répertoire des logements locatifs sociaux et de leurs occupants a pour effet d'entraîner la constitution d'un fichier centralisé permettant d'identifier les occupants de logements sociaux sur la base de leur NIR. Elle rappelle, dans ce contexte et compte tenu de la sensibilité de cette information, la nécessité pour le ministère de prévoir des garanties appropriées, notamment en termes de sécurité.
Il résulte donc de la loi que le NIR sera dorénavant enregistré dans le système national d'enregistrement précité. Dans ces conditions, la Commission a été saisie pour avis, sur le fondement des articles 27-1-1° et 27-II-4° de la loi du 6 janvier 1978 modifiée, d'un projet de décret en Conseil d'Etat qui a vocation à abroger l'arrêté du 15 novembre 2013 portant création du traitement numéro unique .
Le nouveau texte reprend l'ensemble du dispositif antérieur, sur lequel la Commission s'était déjà prononcée le 7 novembre 2013, en tirant les conséquences du nouvel article L. 411-10 du CCH sur les données traitées.
La Commission rappelle, par ailleurs, que les traitements des bailleurs sociaux ne pourront être mis en œuvre qu'après l'accomplissement des formalités préalables auprès de la CNIL.
Sur les finalités du traitement :
L'article 1er du projet de décret autorise la création, par la direction de l'habitat et de l'urbanisme du ministère du logement et de l'habitat durable, d'un traitement de données à caractère personnel dénommé numéro unique ayant pour finalités :
 - l'enregistrement, via un téléservice ou via le formulaire de demande prévu par l'article R. 441-2-2 du CCH, et le suivi de la demande de logement locatif social ;
- la mise à disposition des demandes nominatives aux acteurs locaux ;
- la production de statistiques sur les caractéristiques des demandes de logement locatif social au niveau national et local .
Le ministère mentionne en outre que le NIR permettra d'identifier de façon certaine les demandeurs afin d'éviter les doublons, et de leur attribuer un numéro unique national tel que prévu par l'article 76 de la loi du 27 janvier 2017 relative à l'égalité et à la citoyenneté. La Commission considère qu'il s'agit d'une finalité à part entière qui devrait donc être ajoutée à ce titre. Elle précise également que le NIR ne saurait être utilisé pour établir des interconnexions, mises en relation ou rapprochements directs avec des fichiers d'autres administrations.
Sous ces réserves, la Commission considère que les finalités sont déterminées, explicites et légitimes.
Sur les données traitées :
Les données enregistrées dans le traitement numéro unique sont mentionnées à l'article 2 du projet de décret. Celles-ci sont relatives :
- à l'état civil du demandeur et, le cas échéant, des personnes physiques majeures autres que le demandeur qui vivront au foyer au sens de l'article L. 442-12 du CCH (nom, prénom, date de naissance, situation familiale, nationalité sous la forme France, Union européenne, hors Union européenne ) ;
- à l'adresse postale et électronique du demandeur ;
- à l'identification des personnes fiscalement à charge qui vivront dans le logement demandé (nom, prénom, date de naissance, sexe, lien de parenté) ;
- à la situation professionnelle du demandeur et, le cas échéant, de son conjoint ou du co-titulaire du bail ;
- aux ressources des personnes qui vivront dans le logement demandé ;
- à la nature du logement actuel du demandeur ;
- au motif de la demande ;
- à la localisation et aux caractéristiques du logement recherché ;
- le cas échéant, en cas de présence dans le logement d'une personne souffrant d'un handicap rendant nécessaire son adaptation, la nature du handicap et les équipements nécessaires ;
- le cas échéant, le fait que l'attributaire bénéficie d'une décision favorable au titre du droit au logement opposable en application de l'article L. 441-2-3 du CCH.
Outre les informations ci-dessus listées, la Commission observe que le projet de décret étend le périmètre des données enregistrées dans le traitement numéro unique en ajoutant les données suivantes à l'article 2 :
- le NIR du demandeur et, le cas échéant, des personnes physiques majeures autres que le demandeur qui occuperont le logement ;
- l'adresse électronique d'une personne ou d'une structure à qui le demandeur fait appel pour l'assister dans ses démarches ;
- le numéro SIRET de l'employeur si le demandeur et, le cas échéant, le conjoint ou le futur co-titulaire du bail, est salarié dans une entreprise de plus de dix salariés ;
- le numéro SIREN de l'organisme bailleur, si le demandeur est déjà logé dans le parc social ;
- lorsque le demandeur s'est vu attribuer et accepte un logement, l'identifiant du logement dans le répertoire des logements locatifs sociaux et de leurs occupants et le type de réservataire du logement auquel l'attribution a été imputée ou à défaut, le bailleur ;
- le cas échéant, le fait que l'attributaire bénéficie d'une décision favorable au titre du droit au logement opposable en application de l'article L. 441-2-3 du CCH ou qu'il relève d'un public visé par la convention intercommunale d'attribution prévue par l'article L. 441-1-6 du CCH, par l'accord collectif départemental prévu à l'article L. 441-1-2 du CCH, par l'accord collectif intercommunal prévu à l'article L. 441-1-1 du CCH ou qu'il a été reconnu prioritaire au sens de l'article L. 441-1 du même code.
La Commission prend note que les informations relatives aux employeurs des demandeurs sont nécessaires afin d'identifier les personnes éligibles aux logements proposés par la société mentionnées à l'article L. 313-9 du CCH (Action Logement Services).
Elle prend acte que les données relatives aux bailleurs sociaux permettent d'identifier les demandeurs qui sont déjà locataires de logement sociaux afin de simplifier la gestion des locataires et les demandes de mutation à l'intérieur du parc social.
S'agissant du besoin d'ajouter l'identifiant du logement dans le répertoire des logements locatifs sociaux et de leurs occupants au regard des finalités poursuivies par le traitement, le ministère indique que cette information est d'ores et déjà utilisée afin de renseigner l'adresse du logement.
Enfin, les informations liées aux cas d'attribution spécifiques de logements (par une commission, en vertu du droit au logement opposable ou par priorité) permettent aux organismes instructeurs de répondre aux obligations imposées en ce sens par la loi du 27 janvier 2017 relative à l'égalité et à la citoyenneté, d'adapter le nombre de logements devant être réservés aux bénéficiaires concernés.
La Commission, qui prend note de ces précisions, estime que les données listées à l'article 2 du projet de décret sont pertinentes au regard des finalités poursuivies.
Sur les destinataires :
L'article 4-1 du projet de décret précise que sont destinataires de la totalité ou d'une partie des données du présent traitement, à raison de leurs attributions et pour les besoins exclusifs des missions qui leur sont confiées, les personnes et services énumérés à l'article R. 441-2-6 du CCH dans les conditions qui y sont précisées.
Conformément au dernier alinéa de ce dernier texte, la Commission observe que l'article 4-II du projet de décret prévoit la possibilité de transmettre des données non nominatives, exclusivement à des fins d'exploitation statistiques et d'études, aux personnes et services dont les missions et attributions le justifient, à l'exclusion de toute information concernant la nature du handicap des personnes à loger, d'une part, et à condition que les résultats statistiques soient agrégés à un niveau suffisant pour éviter toute identification indirecte de personnes physiques, d'autre part.
La Commission considère que ces destinataires présentent un intérêt légitime à accéder aux données.
Sur les durées de conservation des données :
Aux termes de l'article 3 du projet de décret, les données sont conservées un an à compter de la radiation de la demande du présent traitement, dont les hypothèses sont mentionnées à l'article R. 441-2-8 du CCH.
Ce délai vise à permettre le traitement des litiges en cas de contestation d'une radiation et, le cas échéant, le rétablissement d'une demande dans son ancienneté d'origine en cas de radiation accidentelle ou abusive.
La Commission considère que cette durée de conservation n'excède pas celle qui est nécessaire à l'accomplissement des finalités poursuivies. Elle rappelle qu'à l'expiration de cette période, les données doivent être supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Sur l'information et les droits des personnes :
La Commission prend acte que les modalités d'information des personnes concernées et d'exercice des droits d'accès et de rectification sont identiques à celles mentionnées dans la délibération n° 2013-351 du 7 novembre 2013 de la Commission portant avis sur un projet d'arrêté du ministre de l'égalité des territoires et du logement portant création d'un téléservice de l'administration, dénommé numéro unique , permettant de dématérialiser les demandes de logement locatif social.
Elle invite le ministère à compléter les articles 6 et 7 du projet de décret en précisant ces modalités, de nature à renforcer l'information des personnes concernées.
La Commission relève enfin que l'article 7 du projet de décret écarte l'application du droit d'opposition pour des motifs légitimes, comme le permet le dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité :