AgentPublic/cnil huggingface dataset:
S’agissant des clés de fédération, celle-ci constituent les identifiants spécifiques de l’usager pour chaque service en ligne ou téléservice concernés. La Commission rappelle que seule cette clé de fédération est adressée aux fournisseurs de services et non l’alias technique unique précité.
 
En outre, l’article 3 du projet d’arrêté prévoit que, de façon facultative, certaines données peuvent être traitées à la demande du fournisseur de services et en fonction des données requises pour l’authentification du fournisseur de services, à savoir : le nom d’usage, le numéro de téléphone fixe, le numéro de téléphone portable, l’adresse de courrier électronique et l’adresse postale.
 
La Commission relève que si l’adresse de courrier électronique de la personne utilisée pour l’envoi d’un courriel de notification de connexion au dispositif n’est pas conservée dans FranceConnect particuliers , cette donnée est néanmoins traitée, au sens de l’article 2 de la loi du 6 janvier 1978 modifiée, de façon systématique. La Commission estime dès lors que le traitement de cette donnée, pour l’envoi exclusif d’un courriel de notification, doit être mentionné dans le projet d’arrêté parmi les données collectées à titre obligatoire.
S’agissant des données relatives à la gestion de la traçabilité des accès prévues à l’article 3-2° du projet d’arrêté et identiques aux deux modules composant le traitement FranceConnect , la Commission relève que les données traitées sont l’adresse IP, les dates et heures de connexion des usagers au téléservice, les jetons issus du mécanisme d’échange d’informations permettant de vérifier la bonne information de l’usager et, le cas échéant, le recueil de son consentement. Ces données n’appellent pas d’observations particulières.
 
Par ailleurs, la Commission rappelle que, dans le cadre de l’échange de données entre autorités administratives en application de l’article 16 A de la loi du 12 avril 2000 susvisée, FranceConnect particuliers assure uniquement un rôle de mise en relation entre les autorités administratives et qu’aucune donnée susceptible d’être échangée n’est traitée dans le dispositif.
 
Compte tenu de ce qui précède, la Commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
 
Sur les durées de conservation :
 
L’article 5 du projet d’arrêté distingue trois types de durées de conservation.
Les données relatives à la gestion de l’identification, dans les deux modules, sont conservées pendant la durée de session de la personne concernée. Au-delà de cette durée, elles sont détruites sans délai. La Commission relève qu’en cas de déconnexion ou d’expiration de la session, la personne concernée doit dès lors se reconnecter à l’aide de ses identifiants.
 
En outre, l’alias technique et les clés de fédération sont conservés pendant une durée de trente-six mois. La Commission relève qu’à l’expiration de l’alias technique, l’ensemble des clés de fédération reliées à celui-ci seront détruites. Chaque clé de fédération possède une durée de conservation indépendante, qui ne peut excéder trente-six mois à compter de sa dernière utilisation.
 
Concernant l’alias technique du module FranceConnect agents , la Commission estime que, sauf à justifier de particularités ou de dispositions légales expresses, la durée de conservation retenue ne devra pas excéder six mois.
 
Enfin, concernant les données de traçabilité, la durée de conservation est fixée à six mois.
La Commission estime que les durées ainsi définies sont conformes à l’article 6-5° de la loi du 6 janvier 1978 modifiée. En tout état de cause, elle rappelle que les données collectées par les fournisseurs de services tels que visés par le projet d’arrêté ne peuvent être conservées que pour une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément à cette même disposition.
 
Sur les destinataires
 
L’article 4 du projet d’arrêté prévoit que seuls les fournisseurs de services, partenaires du dispositif FranceConnect pourront être destinataires des données.
 
La Commission relève à cet égard que sont concernés :
les autorités administratives habilitées à traiter les démarches et formalités des usagers en vertu d’un texte législatif ou réglementaire ;
les autorités administratives pour l’accès de leurs agents ou ceux d’autres autorités administratives à leur système d’information ;
Les personnes morales mentionnées au II et III de l’article 1er de l’ordonnance du 28 avril 2005 susvisée ;
Les personnes morales de droit privé qui proposent des services dont l’usage nécessite, conformément à une disposition législative ou règlementaire, une vérification de l’identité ou de certains attributs d’identité.
 
Ces destinataires n’appellent pas d’observation particulière de la Commission.
En tout état de cause, la Commission prend acte que chacun des destinataires ne recevra que les données strictement nécessaires pour permettre la vérification de l’identité ou des attributs d’identité exigés pour accéder au service concerné.
 
Enfin, le projet d’arrêté prévoit que les données constituant l’ identité pivot sont adressées à l’INSEE pour permettre la certification au regard du RNIPP, ce qui n’appelle pas d’observation particulière de la Commission. Néanmoins, à des fins de clarté, elle recommande que le projet d’arrêté précise que l’envoi de l’ identité pivot à l’INSEE ne concerne que le module FranceConnect particuliers .
 
Sur les droits des personnes concernées :
 
De manière générale, la Commission rappelle qu’il est nécessaire de s’assurer du consentement exprès et non équivoque de la personne concernée préalable au traitement de ses données dans le cadre du traitement projeté.
 
La Commission relève que les personnes concernées par le traitement sont informées conformément aux dispositions l’article 32 de la loi du 6 janvier 1978 modifiée. Cette information est délivrée par le biais de mentions spécifiques figurant sur l’interface FranceConnect .
 
Elle estime toutefois indispensable qu’une attention particulière soit portée à la qualité de l’information qui doit être relayée par la DINSIC auprès de ses partenaires. La Commission considère que des mentions types d’informations pourraient être élaborées et proposées à ces derniers.
Les droits d’accès, de rectification et de suppression s’exercent directement auprès de la DINSIC, ce qui n’appelle pas d’observation particulière.
 
Sur la sécurité des données et la traçabilité des actions :
 
La Commission relève qu’une analyse des risques ainsi qu’une analyse d’impact relative à la protection des données ont été réalisées sur le périmètre initial de FranceConnect tel qu’examiné en 2015 par la Commission. Compte tenu des évolutions du dispositif, une mise à jour desdites analyses s’avère nécessaire. Elle prend acte que la DINSIC s’est engagée à effectuer, au dernier semestre 2018, les mises à jour desdites analyses concernant FranceConnect particuliers et FranceConnect agents .
 
La Commission relève par ailleurs que l’extension de FranceConnect particuliers à de nouveaux partenaires du secteur privé pourrait augmenter l’impact potentiel de toute attaque sur le système en augmentant également la probabilité d’une attaque ciblée. Elle rappelle à cet égard l’importance de prendre en compte ces éléments lors de la réévaluation prévue des analyses précitées.
En outre, la Commission souligne qu’à la suite des remarques formulées dans la délibération n° 2015-254 du 6 juillet 2015 sur les risques relatifs à l’usurpation d’identité, des mesures ont été mises en œuvre par la DINSIC. Ainsi, il est désormais prévu que toute connexion à FranceConnect déclenche l’envoi d’un courrier électronique à destination de la personne concernée dont les moyens d’identification ont été utilisés. Elle constate également que des mécanismes pour permettre de déconnecter un fournisseur d’identités en cas d’incident de sécurité ont été déployés.
 
Aussi, elle souligne l’importance de mettre en place des mesures relatives à l’indisponibilité de la plateforme FranceConnect agents , celle-ci risquant de devenir à terme l’unique moyen d’identification ou d’authentification à de nombreux services de l’administration. La Commission relève notamment que l’absence de caractère facultatif du module FranceConnect agents pourrait aggraver les impacts sur le fonctionnement de l’administration dans un contexte d’indisponibilité. 
 
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis portant sur un projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé plateforme de signalement des violences à caractère sexuel et sexiste ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l'égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code pénal ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-II et son chapitre XIII ;
Vu la loi n° 2018-703 du 3 août 2018 renforçant la lutte contre les violences sexuelles et sexistes ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie pour avis par le ministre de l'intérieur d'un projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé plateforme de signalement des violences à caractère sexuel et sexiste .
Dans un contexte de renforcement de lutte contre les violences sexuelles et sexistes résultant notamment de l'adoption de la loi n° 2018-703 du 3 août 2018, cette plateforme doit permettre aux personnes victimes ou témoins de ces violences d'être orientées vers des policiers ou des gendarmes spécialement formés, et d'échanger avec eux en temps réel au moyen d'un outil de conversation instantanée ( chat réel ). La commission relève ainsi que le traitement projeté a pour but d'améliorer la prise en charge et l'orientation des victimes vers les services compétents afin de faciliter un éventuel dépôt de plainte ultérieur auprès de ces mêmes services. A cet égard, elle souligne que lorsque les faits sont susceptibles d'être qualifiés pénalement et de conduire à l'ouverture d'une procédure judiciaire, les données enregistrées au titre du signalement sont transmises aux logiciels de rédaction des procédures de la gendarmerie nationale ou de la police nationale, sur lesquels la commission s'est déjà prononcée.
Elle relève d'emblée que le traitement projeté, tel qu'il lui est soumis, a vocation à évoluer afin que soit notamment développé un outil pérenne propre aux directions générales de la police et de la gendarmerie nationales. A ce titre, elle souligne que le dispositif tel qu'il doit être mis en œuvre, ne constitue qu'une solution provisoire dont le calendrier ainsi que la nature des évolutions n'ont pas été précisément communiqués à la commission. Le ministère a toutefois indiqué que les finalités ainsi que les caractéristiques principales du traitement n'ont pas vocation à évoluer.
Elle rappelle cependant qu'elle devra être tenue informée et saisie, dans les conditions prévues à l'article 30-II de la loi du 6 janvier 1978, de toute évolution relative à de nouvelles fonctionnalités du dispositif et notamment, le développement de nouveaux outils permettant le recoupement des signalements. Au même titre, elle souligne que l'analyse d'impact transmise à la commission, dans les conditions prévues à l'article 70-4 de la loi précitée, devra faire l'objet d'une mise à jour.
Enfin, elle prend acte de l'engagement pris par le ministère de lui communiquer à l'issue de la première année de lancement du dispositif, un bilan du fonctionnement et de l'utilisation opérationnelle de la plateforme. Elle demande à cet égard que lui soit communiquée, outre des éléments généraux sur la mise en œuvre du service, toute information relative aux besoins opérationnels identifiés à l'occasion de la mise en œuvre de la plateforme et les évolutions futures de l'outil.
Dans la mesure où le traitement a pour finalité la prévention, la recherche, la constatation ou la poursuite d'infractions pénales, et où les données mentionnées au I de l'article 8 de la loi du 6 janvier 1978 modifiée sont susceptibles d'être enregistrées dans le traitement, celui-ci doit dès lors faire l'objet d'un décret en Conseil d'Etat, pris après avis motivé et publié de la commission conformément aux dispositions de l'article 70-3 de la loi du 6 janvier 1978 modifiée.
Sur les finalités du traitement
L'article Ier du projet de décret énonce les finalités poursuivies par le traitement à savoir :
- permettre à une personne mineure ou majeure, estimant être victime ou témoin de violences à caractère sexuel ou sexiste, d'entrer en relation et d'échanger par messagerie instantanée avec un personnel de la police nationale ou un militaire de la gendarmerie nationale et d'effectuer un signalement, depuis un téléservice mis à sa disposition sur le site service-public.fr ;
- recueillir les signalements mentionnés et les transmettre aux services d'enquête territorialement compétents ;
- informer, orienter et faciliter la prise en charge de la personne qui estime être victime ou témoin des faits relevant du périmètre de la plateforme par les autorités compétentes, en tenant compte de ses éventuels signalements antérieurs.
La commission relève tout d'abord que la mise en œuvre de cette plateforme vise à améliorer la prise en charge des victimes en proposant une solution disponible sept jour sur sept et vingt-quatre heures sur vingt-quatre et dont le périmètre vise à inclure de nombreuses infractions sexuelles ou sexistes telles que définies par les dispositions du code pénal (telles que les agressions sexuelles, l'outrage sexiste ou encore la corruption de mineur). A cet égard, elle précise que le traitement projeté se distingue d'un dispositif de pré-plainte en ligne, le signalant n'étant notamment pas tenu de donner suite à son signalement et les informations transmises par celui-ci présentant un caractère simplement déclaratif.
La commission relève en outre que des personnes mineures sont susceptibles d'avoir recours à la plateforme de signalement. Elle prend acte que, dans cette hypothèse, une attention accrue sera apportée à l'écoute et à la prise en compte de leur situation, et ce conformément à la formation dispensée aux opérateurs.
La commission estime que les finalités poursuivies par le traitement projeté sont déterminées, explicites et légitimes, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les données collectées
A titre liminaire, la commission relève que, préalablement à tout signalement, le déclarant devra renseigner son code postal ainsi que sa commune de domiciliation. Elle prend acte que ces données ne visent qu'à l'orienter vers les services territorialement compétents et qu'à ce titre, elles ne feront l'objet d'aucun enregistrement dans le traitement projeté.
La commission relève par ailleurs que seules les données des conversations en lien avec les finalités de la plateforme feront l'objet d'un enregistrement dans le traitement, et ce, aux fins de transmission de manière manuelle aux logiciels de rédaction des procédures de la gendarmerie nationale ou de la police nationale au moyen de la messagerie intranet sécurisée du ministère de l'intérieur. La commission prend acte de ce que la solution pérenne qui doit être mise en œuvre dans un second temps par le ministère doit permettre d'alimenter automatiquement les différents outils métiers des services identifiés comme compétents.
Elle rappelle à cet égard que, dans l'hypothèse d'une évolution du dispositif, notamment aux fins d'interconnexion de la plateforme avec les logiciels de rédaction des procédures, l'ensemble des traitements visés devra faire l'objet d'une modification, soumise pour avis à la commission, dans les conditions prévues à l'article 30-II de la loi du 6 janvier 1978 modifiée.
L'article 2 du projet de décret énumère les catégories de données à caractère personnel et informations enregistrées dans le traitement, en distinguant celles qui sont relatives au déclarant, à l'agent en charge de traiter le signalement adressé ainsi qu'aux faits signalés.
En premier lieu, concernant le signalant, peuvent ainsi faire l'objet d'une collecte : le nom, le prénom, l'adresse, le numéro de téléphone, l'adresse de courrier électronique, l'adresse IP et le port source de la personne concernée.
La commission relève que la collecte des données relatives à l'adresse IP et au port source du déclarant a vocation à permettre aux forces de l'ordre d'intervenir, dans l'hypothèse d'une situation d'urgence avérée, et dans laquelle le signalant n'aurait pas communiqué sa localisation ou dès lors qu'il serait par exemple dans l'impossibilité d'appeler directement les secours.
Compte tenu des justifications apportées par le ministère sur les raisons conduisant à la collecte de telles données, lesquelles ont, lors de la présentation du dispositif, été subordonnées à la seule hypothèse d'une intervention immédiate des forces de l'ordre, la commission estime que les données relatives à l'adresse IP et au port source du déclarant devraient être supprimées à la clôture du signalement, dans tous les cas où les forces de l'ordre ne sont pas intervenues et ce, afin de limiter les risques de ré-identification des personnes concernées.
Le ministère entend désormais se prévaloir de nouveaux cas d'usage permettant de justifier de la conservation de ces données à savoir, la nécessité d'identification du signalant : en cas de coupure technique de la conversation, dans le cadre d'un usage malveillant du service aux fins d'éventuelles poursuites pour outrage ou encore l'hypothèse d'une dénonciation mensongère ou calomnieuse afin de permettre à la personne mise en cause à tort de déposer plainte. La commission prend acte des nouveaux motifs invoqués par le ministère, de nature à justifier la collecte et la conservation de ces données pendant une durée limitée. Elle relève toutefois que les hypothèses dans lesquelles il sera fait usage de ces données sont de nature à atténuer très fortement la possibilité pour les signalants de recourir à la plateforme de manière anonyme .
En deuxième lieu, le projet de décret prévoit que les données relatives à l'agent de la plateforme traitant du signalement, font l'objet d'un enregistrement. Ces données, relatives aux nom et prénom, à la qualité, au service ou l'unité d'affectation de l'agent, ainsi qu'à l'adresse de courrier électronique professionnelle de celui-ci, n'appellent pas d'observations de la commission.
En troisième lieu, le projet de décret précise que, s'agissant des données relatives aux faits signalés, peuvent être collectés : la nature et les circonstances des faits, les données relatives aux personnes concernées (nom, prénom, adresse, numéro de téléphone, adresse de courrier électronique, ainsi que d'autres éléments d'identification ou de contact), la qualité de ces personnes (auteur, témoin, victime), la date, l'heure et le lieu de commission des faits.
La collecte de ces données n'appelle pas d'observations particulières de la part de la commission.
En quatrième lieu, l'article 3 du projet de décret prévoit que le traitement peut enregistrer des données de la nature de celles mentionnées au I de l'article 8 de la loi du 6 janvier 1978 susvisée et relatives à la prétendue origine raciale ou à l'origine ethnique, aux opinions politiques, aux convictions religieuses, à l'appartenance syndicale, à la santé ou concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique, dans la stricte mesure où ces données sont nécessaires à la poursuite de finalités mentionnées à l'article 1er . L'alinéa 2 de cet article prévoit qu' il est interdit de sélectionner dans le traitement une catégorie particulière de personnes à partir de ces seules données .
La commission rappelle que conformément à l'article 70-2 de la loi du 6 janvier 1978 modifiée, le traitement de telles données n'est possible qu'en cas de nécessité absolue, sous réserve des garanties appropriées pour les droits et libertés de la personne concernée . A cet égard, elle relève que le ministère a indiqué que ces données doivent permettre l'utilisation par les personnes concernées de l'outil de conversation instantanée et qu'il n'est pas possible d'exclure que leur collecte s'avère nécessaire pour qualifier les circonstances aggravantes de certaines infractions entrant dans le champ de la plateforme.
En tout état de cause, elle prend acte des garanties qui entourent le traitement de ces données sensibles, à savoir qu'il ne sera pas possible d'effectuer une recherche en plein texte au sein de la plateforme à partir de ces données, lesquelles ne pourront par ailleurs pas faire l'objet d'une extraction, en particulier à des fins d'élaboration de statistiques. La commission prend acte que ces garanties demeureront inchangées dans le cadre de la solution pérenne.
Elle souligne en outre que les agents en charge de la gestion des signalements au sein de la plateforme devront être spécifiquement sensibilisés à la collecte et au traitement de ce type de données, au cours de la formation qui leur sera dispensée.
Par ailleurs, elle relève que les signalements effectués par le déclarant ne nécessitent pas qu'il s'identifie au moyen de ses noms et prénoms. De manière générale et, sans remettre en cause cette possibilité de recours à l'anonymat, elle rappelle qu'il conviendra, compte tenu des finalités poursuivies par le traitement, de ne pas les encourager et de les traiter avec précaution.
La commission relève que, dans le cadre d'un signalement effectué de manière anonyme, le dispositif tel qu'actuellement envisagé permet aux opérateurs d'accéder à l'historique des signalements de la personne concernée lorsque celle-ci communique la date de ses précédents échanges. L'opérateur y accède alors via les outils des logiciels de rédaction des procédures en effectuant une recherche manuelle, non automatisée à partir de la date de signalement transmise.
La commission rappelle qu'il conviendra de porter à sa connaissance toute évolution des modalités techniques permettant d'accéder à l'historique des conversations.
Enfin, elle prend acte que, contrairement à ce qui était envisagé initialement, il ne sera pas possible d'effectuer un signalement après s'être identifié via des réseaux sociaux.
Dans ces conditions, la commission considère que les catégories de données visées aux articles 2 et 3 du projet de décret et enregistrées dans le traitement sont adéquates, pertinentes et non excessives, conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Sur les durées de conservation