AgentPublic/cnil huggingface dataset:
Il s'agit des données relatives à l'état civil, la nationalité, la commune de rattachement, aux coordonnées téléphoniques et électroniques, aux langues parlées, aux données relatives à la filiation, aux références des documents d'identité et de voyage détenus et du visa d'entrée délivré, à la date et aux conditions d'entrée en France ainsi qu'au conseil départemental chargé de l'évaluation. A l'issue de l'évaluation de la minorité de la personne concernée, des données peuvent être transmises par le conseil départemental à la préfecture. Elles portent uniquement sur le numéro de procédure du service de l'aide sociale à l'enfance, la date à laquelle l'évaluation de la situation de la personne a pris fin et, le cas échéant, la date de la mesure d'assistance éducative prise par le juge des enfants.
La commission relève que des indications sur les résultats de l'évaluation au regard de la minorité et de l'isolement de la personne concernée peuvent également être transmises en retour par le conseil départemental aux préfectures, à l'issue de l'évaluation. A cet égard, elle prend acte de ce que ces données sont uniquement relatives au fait que la personne est majeure ou mineure, et isolée ou non, si elle a été reconnue mineure, sur le territoire français. Ces données sont par ailleurs enregistrées dans le traitement sous forme de valeurs à sélectionner dans une liste de type fermé . Dans ces conditions, l'enregistrement de données relatives au résultat de l'évaluation de la minorité de la personne concernée n'appelle pas d'observation de la part de la commission.
Enfin, des données peuvent être enregistrées par l'agent de préfecture responsable du traitement, notamment : le numéro de procédure attribué par AEM , ainsi que la date de notification au préfet de département et, à Paris, au préfet de police de la date à laquelle l'évaluation de la personne a pris fin. Cette dernière catégorie de données n'appelle pas d'observations de la part de la commission.
La commission considère que les catégories de données ainsi collectées dans le traitement AEM sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 5-1-c du RGPD.
Sur les données enregistrées dans AGDREF 2
La commission rappelle qu'en vertu du dernier alinéa de l'article R. 221-11 du CASF tel que modifié par le projet de décret, le président du conseil départemental notifie, en principe au terme de l'évaluation, la date et le sens de celle-ci.
L'article R. 221-15-5 du CESEDA issu de l'article 2 du projet de décret prévoit alors que lorsqu'une personne se déclarant mineure de nationalité étrangère est évaluée majeure, le traitement AEM transmet systématiquement les données collectées au traitement AGDREF 2 . Par voie de conséquence, l'article 4 du projet de décret modifie la section 1 de l'annexe 6-4 du CESEDA afin de prévoir que des données relatives aux ressortissants étrangers se déclarant mineurs et privés temporairement ou définitivement de la protection de leur famille, et évalués majeurs par le président du conseil départemental, peuvent faire l'objet d'un enregistrement dans le traitement AGDREF 2 .
A ce titre, sont collectées les données relatives à la commune de rattachement de l'intéressé, au conseil départemental chargé de l'évaluation, la date et les conditions d'entrée en France, le numéro de procédure attribué par le traitement AEM et le numéro de procédure du service de l'aide sociale à l'enfance, la date de fin de l'évaluation par le président du conseil départemental, le résultat de cette décision, la date de la mesure d'assistance éducative ainsi que la date de la notification au préfet de département et, à Paris, au préfet de police de la fin de l'évaluation par le président du conseil départemental ou de la saisine par le président de l'autorité judiciaire.
Le ministère a précisé qu'au titre du résultat de la décision d'évaluation de la minorité par le président du conseil départemental, est uniquement enregistrée la mention de majorité de la personne.
Au regard de ces précisions, et compte tenu de la finalité de lutte contre l'entrée et le séjour irréguliers des étrangers en France expressément assignée par la loi au traitement AEM , la commission estime que les données enregistrées dans le traitement AGDREF 2 peuvent être regardées comme adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 5-1-c du RGPD.
Enfin, la commission prend acte de ce qu'aucune donnée relative à la personne concernée n'est enregistrée dans le traitement VISABIO.
Sur les destinataires :
En premier lieu, le projet de décret prévoit que peuvent accéder, à raison de leurs attributions et dans la limite du besoin d'en connaître, à tout ou partie des données à caractère personnel et informations mentionnées à l'article R. 221-15-2 les agents des préfectures et des sous-préfectures chargés de la mise en œuvre de la réglementation concernant les ressortissants étrangers, individuellement désignés et spécialement habilités par le préfet et, à Paris, par le préfet de police, ce qui n'appelle pas d'observation particulière.
Il est également prévu que puissent accéder, dans les mêmes conditions, à tout ou partie des données à caractère personnel et informations mentionnées à l'article R. 221-15-2, les agents relevant des services centraux du ministère de l'intérieur chargés de l'immigration et du séjour, des systèmes d'information des étrangers en France et de l'administration du traitement, individuellement désignés et spécialement habilités par le ministre de l'intérieur.
La commission prend acte des précisions apportées par le ministère selon lesquelles, d'une part, les agents ainsi visés sont ceux de la direction générale des étrangers en France (DGEF) et de la direction des systèmes d'information et de communication (DSIC) et que, d'autre part, ces agents ont uniquement accès aux données enregistrées aux fins d'administration du traitement. Si l'accès de ces personnes aux données du traitement, pour le seul objet précité, n'appelle pas d'observation particulière de la commission, elle prend acte de l'engagement du ministère de modifier le projet de décret pour préciser les attributions des agents concernés, à savoir qu'ils sont en charge de l'administration du traitement, des applications relatives aux étrangers en France et des systèmes d'information.
Dans ces conditions, la commission estime que l'accès aux données du traitement des personnes visées par le projet de décret est légitime.
En deuxième lieu, le projet de décret prévoit qu'à des fins exclusives d'établissement de statistiques, les agents chargés des études statistiques affectés à la direction générale des étrangers en France peuvent accéder aux informations anonymisées obtenues à partir du traitement AEM . Dans la mesure où le ministère met en œuvre des mesures suffisantes afin de permettre de garantir l'anonymisation des données enregistrées dans le traitement à des fins uniquement statistiques, la commission considère que l'accès, dans ces conditions, par ces personnes aux données du traitement projeté n'appelle pas d'observation particulière.
En troisième lieu, le projet de décret prévoit que le procureur de la République, les personnes individuellement désignées et spécialement habilitées par lui, ainsi que les agents en charge de la protection de l'enfance du conseil départemental compétent, peuvent être destinataires des données enregistrées dans le traitement, à l'exception de l'image numérisée des empreintes digitales.
La commission prend acte des précisions apportées par le ministère selon lesquelles rendre le procureur de la République destinataire des données enregistrées dans le traitement a notamment vocation à permettre la transmission de ces données dans l'hypothèse où il solliciterait des informations complémentaires dans le cadre de sa saisine, conformément aux dispositions du code civil et du CASF, sans que l'image numérisée des empreintes digitales puisse lui être transmise.
En quatrième lieu, l'article 3 du projet de décret prévoit que peuvent être destinataires des données enregistrées dans les traitements AGDREF 2 et VISABIO, pour les besoins exclusifs de l'évaluation de la minorité de la personne se présentant comme mineur non accompagné, les agents chargés de la mise en œuvre de la protection de l'enfance individuellement désignés et spécialement habilités par le président du conseil départemental.
La commission prend acte de ce que cette disposition vise uniquement à permettre aux agents ainsi visés d'avoir connaissance des informations communiquées par la préfecture dans l'hypothèse d'une concordance entre les empreintes digitales de la personne et celles enregistrées dans les traitements AGDREF 2 et VISABIO, soit les données d'état civil (nom, prénom, date et lieu de naissance) ainsi que le motif d'enregistrement.
Au regard de ces précisions, elle estime que la transmission de données issues de ces traitements aux agents chargés de la mise en œuvre de la protection de l'enfance pour les besoins de l'évaluation de la minorité est légitime compte tenu des finalités poursuivies par le traitement projeté.
Enfin, l'article R. 611-4-2° du CESEDA prévoit l'accès au traitement AGDREF 2 des agents chargés de l'application de la réglementation des étrangers, ainsi que de celle relative à l'accès à la nationalité française, dans les préfectures et les sous-préfectures, individuellement désignés et spécialement habilités par le préfet et, à Paris, par le préfet de police . Ces mêmes agents peuvent par ailleurs être destinataires des données du traitement VISABIO, pour l'application de la réglementation relative à la délivrance des titres de séjour, au traitement des demandes d'asile et à la préparation et à la mise en œuvre des mesures d'éloignement , conformément à l'article R. 611-12-2° du CESEDA.
Sans remettre en cause les besoins opérationnels pouvant conduire à autoriser l'accès de ces agents au traitement AGDREF 2 et la communication d'informations enregistrées dans VISABIO pour les finalités précitées, la commission estime que l'interrogation de ces deux bases par les agents de préfecture dans le cadre du dispositif AEM est de nature à étendre les cas dans lesquels ces agents peuvent accéder ou avoir connaissance des données enregistrées dans les traitements, au-delà de ce qui est actuellement prévu par les articles R. 611-4-2° et R. 611-12-2° du CESEDA. Dès lors, elle considère que les textes précités devraient être modifiés afin de prévoir ces extensions. A cet égard, elle prend acte de l'engagement du ministère de modifier le projet de décret en ce sens.
Sur la durée de conservation des données :
L'article 2 du projet de décret prévoit que les données sont effacées du traitement mentionné à l'article R. 221-15-1 au terme d'un délai d'un an à compter de la notification au préfet de département et, à Paris, au préfet de police de la date à laquelle l'évaluation de la personne a pris fin.
La commission prend acte des précisions apportées par le ministère selon lesquelles une telle durée doit permettre de s'assurer du caractère définitif de la situation des personnes évaluées. Plus précisément, cette durée a vocation à couvrir le placement définitif à l'aide sociale à l'enfance lorsqu'une mesure éducative est prononcée par le juge des enfants ainsi que la stabilisation de la situation administrative du mineur. La commission prend acte de ce que la durée de conservation retenue est identique, que la personne soit reconnue mineure ou majeure à l'issue de la procédure d'évaluation.
Le projet de décret prévoit par ailleurs que les données n'ayant fait l'objet d'aucune mise à jour dans un délai de dix-huit mois à compter de leur enregistrement sont effacées au terme de ce délai. La commission prend acte qu'est ici visée l'hypothèse dans laquelle le conseil départemental ne transmettrait pas les résultats de l'évaluation de la personne à la préfecture. A ce titre, elle estime qu'une demande de rectification formulée par la personne concernée ne peut constituer une mise à jour qui aurait pour conséquence de rallonger la durée de conservation des données enregistrées dans le traitement. La commission prend acte de l'engagement du ministère de modifier le projet de décret afin de limiter la conservation des données durant dix-huit mois en cas d'absence de mise à jour au seul cas d'une absence de transmission des données par le président du conseil départemental.
Enfin, en ce qui concerne les informations enregistrées dans le traitement AGDREF 2 , l'article 3 du projet de décret précise que les données relatives aux personnes faisant l'objet d'une mesure d'assistance éducative, prononcée par le juge des enfants saisi par l'intéressé sont effacées dès la notification au préfet de département et, à Paris, au préfet de police de cette mesure d'assistance éducative .
La commission souligne l'importance de cette obligation d'effacement en cas de reconnaissance ultérieure de minorité d'une personne initialement évaluée majeure.
Elle relève toutefois, d'une part, que conformément à l' article 1191 du code de procédure civile, les décisions du juge des enfants sont susceptibles de faire l'objet d'un appel, et qu'ainsi la situation sera susceptible d'être réévaluée ultérieurement. Elle souligne, d'autre part, que l'article précité n'a pas pour effet d'inclure l'ensemble des hypothèses, qui devront être prises en compte le cas échéant, dans lesquelles une personne pourrait ultérieurement être reconnue mineure, que ce soit en appel sur un refus du juge des enfants ou à la suite de l'intervention de la juridiction administrative.
Au regard de ces éléments, la commission considère que les données enregistrées dans le traitement AEM sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 5-1-e du RGPD.
Sur les droits des personnes concernées :
En premier lieu, le projet de décret prévoit que, préalablement à la collecte de ses données, la personne concernée est informée du traitement mis en œuvre notamment au moyen d'un formulaire dédié rédigé dans une langue qu'elle comprend ou dont il est raisonnable de supposer qu'elle la comprend.
De manière générale, la commission rappelle que dans la mesure où le traitement projeté s'adresse à des personnes mineures susceptibles de se trouver en situation de grande difficulté, des garanties devront être mises en œuvre afin de s'assurer du caractère effectif de l'information des personnes concernées ainsi que de la bonne compréhension, par ces dernières, des informations transmises. Elle rappelle à cet égard que l'article 12-1 du RGPD précise que la fourniture de cette information doit être fournie d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, en particulier pour toute information destinée spécifiquement à un enfant .
A ce titre, elle estime que le formulaire précité devrait être complété afin de faire état des éléments suivants :
- l'interrogation des traitements AGDREF 2 , VISABIO et AEM et les données utilisées pour procéder à cette interrogation ;
- la suppression des données enregistrées dans AGDREF 2 dans l'hypothèse où une personne serait finalement reconnue mineure par le juge, après avoir exercé son droit au recours ;
- la limitation du droit d'opposition de la personne au traitement.
La commission considère également que ledit formulaire devrait être explicité concernant les droits dont disposent effectivement les personnes concernées. Dans ce contexte, elle prend acte de l'engagement du ministère de modifier la notice explicative et de tenir compte des recommandations ainsi formulées.
Enfin, elle relève que le ministère a indiqué que le projet de décret sera modifié s'agissant en particulier des dispositions applicables au droit d'opposition et des raisons conduisant, en l'espèce, à l'écarter dans la mesure où il y a lieu de faire application des dispositions du règlement (UE) 2016/679 susvisé.
En deuxième lieu, le projet de décret prévoit que les droits d'accès, de rectification et à la limitation s'exercent auprès du préfet et département et, à Paris, du préfet de police dans les conditions prévues respectivement aux articles 15, 16 et 18 du règlement (UE) 2016/679 du 27 avril 2016 .
A cet égard, le ministère a précisé que les demandes relatives à l'exercice de ces droits par les personnes concernées pourront être adressées par voie postale au préfet, à la suite de quoi l'intéressé sera reçu en préfecture où le préfet pourra vérifier son identité grâce à la production d'un document d'identité ou de voyage et/ou par vérification de ses empreintes digitales en cas de doute .
La commission rappelle que l'article 12-6 du RGPD prévoit que lorsque le responsable du traitement a des doutes raisonnables quant à l'identité de la personne physique qui demande à faire valoir l'exercice de ses droits, il peut demander que lui soient fournies des informations supplémentaires nécessaires pour confirmer l'identité de la personne concernée . En l'espèce, elle estime que la vérification des empreintes digitales de la personne concernée, pour l'exercice de ces droits, apparaît proportionnée dans la seule hypothèse où le préfet ne peut établir la validité du ou des titres présentés.
Sous cette réserve, la commission considère que les droits d'accès, de rectification et à la limitation des personnes concernées sont effectifs, conformément aux dispositions des articles 15, 16 et 18 du RGPD. Elle rappelle, en tout état de cause, que les éventuelles réclamations des personnes concernées relatives à l'exercice de leurs droits pourront être adressées au délégué ministériel à la protection des données, dont les coordonnées figurent dans la notice explicative précitée.
En dernier lieu, la commission prend acte de l'exclusion des droits à l'effacement et à la portabilité, ce qui n'appelle pas d'observation particulière au regard des dispositions des articles 17-3-b et 20-3 du RGPD.
Sur les mesures de sécurité :
Concernant le chiffrement des données biométriques stockées dans les bases de données, la commission relève que cette mesure fait partie de celles identifiées au cours de la réalisation de l'analyse d'impact relative à la protection des données comme devant être mises en place avant la mise en œuvre du traitement. Sans remettre en cause les éléments apportés par le ministère relatifs aux difficultés techniques de mettre en œuvre de telles mesures, la commission considère que les données biométriques devraient être systématiquement chiffrées lorsqu'elles sont conservées dans une base de données centralisée.
Par ailleurs, interrogé sur les modalités de chiffrement de la base de correspondance entre les données biométriques et les données d'identification des personnes, le ministère a indiqué que ces données seront chiffrées au moyen de l'algorithme 3DES, considéré comme obsolète depuis plusieurs années et dont l'usage est déconseillé par l'Agence nationale de sécurité des systèmes d'information. La commission invite dès lors le ministère à revoir les modalités de chiffrement de ces données afin de s'assurer que celles-ci soient à l'état de l'art.
Concernant les échanges de données au format PDF entre les préfectures et les conseils départementaux, la commission prend acte de ce que ces échanges de données seront chiffrés. Elle appelle néanmoins l'attention du ministère sur le fait que des procédures de génération et de gestion des clés de chiffrement devront être mises en place, afin de garantir l'effectivité de la mesure de chiffrement. La commission rappelle également que les échanges de données entre les préfectures et le procureur de la République devront faire l'objet des mêmes mesures de chiffrement.
Concernant les transmissions de données entre l'application AEM et les postes de travail des agents de préfecture, la commission relève que ces échanges auront lieu sur le réseau interne du ministère, qui fait l'objet de mesures de sécurité à l'état de l'art permettant de garantir la confidentialité des données y transitant.
La commission prend acte de ce que des mesures de traçabilité permettront de conserver une trace des actions réalisées par les utilisateurs dans l'outil. Le projet de décret prévoit que ces données seront conservées pendant 6 ans. Le ministère a par ailleurs indiqué qu'une fois que les données relatives aux personnes se présentant comme mineures seront supprimées de l'application, seules les données relatives aux agents seront conservées.
Les autres mesures de sécurité n'appellent pas de remarque particulière de la commission.
Sous réserve des précédentes observations, la commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 32 du RGPD. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. A cet égard, elle rappelle qu'il conviendra d'apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour impérative de l'analyse d'impact.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis relative à un projet d’arrêté modifiant l’arrêté autorisant la création d’un traitement automatisé de données à caractère personnel dénommé DOCVERIF ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile, notamment ses articles R. 311-13-1 et R. 611-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 26-I, 30-II et son chapitre XIII ;
Vu le décret n° 55-1397 du 22 octobre 1955 modifié instituant la carte nationale d’identité ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 1726-2005 du 30 décembre 2005 modifié relatif aux passeports ;
Vu le décret n° 2016-1460 du 28 octobre 2016 modifié autorisant la création d’un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d’identité ;
Vu l’a
rrêté du 10 août 2016 autorisant la création d'un traitement automatisé de données à caractère personnel dénommé DOCVERIF 
 ;
Vu la délibération n° 2016-218 du 21 juillet 2016 portant avis sur un projet d’arrêté autorisant la création d’un traitement automatisé de données à caractère personnel dénommé DOCVERIF ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
 
 
Émet l’avis suivant :
La Commission a été saisie par le ministre de l’intérieur d’une demande d’avis relative à la modification de l’arrêté autorisant la création d’un traitement automatisé de données à caractère personnel dénommé DOCVERIF . 
Ce traitement, sur lequel la Commission s’est déjà prononcée dans sa délibération du 21 juillet 2016 susvisée, a pour objet de renforcer l’efficacité de la lutte contre la fraude documentaire et l’usurpation d’identité en facilitant le contrôle de la validité des cartes nationales d’identité et des passeports par les services de la police nationale ainsi que de la gendarmerie nationale et ainsi lutter contre l’utilisation indue de ces documents, leur falsification ou leur contrefaçon.