AgentPublic/cnil huggingface dataset:
Cette information sera déduite des pièces justificatives pouvant être collectées mais ne sera pas collectée directement via le formulaire précité.
La commission relève que des pièces justificatives supplémentaires pourront être collectées pour répondre aux exigences européennes dans le cadre de l'instruction des demandes de fonds.
Le projet de décret prévoit ainsi que le traitement des pièces justificatives est strictement limité au contrôle de l'éligibilité des données saisies au I du présent article ainsi que des résultats des actions menées sur leur situation, dans la stricte mesure où ces pièces sont exigées par la Commission européenne .
La commission en prend acte.
Sur la durée de conservation des données :
L'article 4 du projet de décret prévoit que les données sont conservées pendant une durée de vingt ans à compter du 1er janvier 2014 et jusqu'à l'extinction des pouvoirs de contrôle des services de la Commission européenne relatifs à l'utilisation des fonds.
En effet, les fonds sont mis en œuvre pour une durée de sept ans. L'Union européenne impose ensuite la conservation des données pendant un délai fixé à trois ans supplémentaires.
Par ailleurs, la Commission européenne doit pouvoir réaliser des contrôles liés à la réglementation des marchés publics pendant une durée de dix ans supplémentaires à compter de la clôture des programmes.
De ce fait, les données collectées doivent être conservées au maximum pendant une durée de vingt ans à compter de l'attribution des fonds.
A l'issue de cette durée de conservation, les données seront supprimées.
La commission estime que ces durées n'excèdent pas celles nécessaires à l'exercice des finalités pour lesquelles elles sont collectées, conformément aux dispositions de l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L'article 3-III du projet de décret prévoit que sont destinataires des données collectées dans le traitement projeté :
- les agents des corps de contrôle européens dans le cadre des audits menés sur le fonctionnement du système de gestion et de contrôle des programmes européens ;
- le public pour les informations publiées sur le site Europe en France ;
- les agents des autorités administratives compétentes pour traiter le suivi, le contrôle, l'évaluation et la valorisation des demandeurs et bénéficiaires d'une aide européenne, en vertu d'un texte législatif ou réglementaire et dûment nécessaires à leurs missions.
S'agissant de cette dernière catégorie de personnes, la commission relève qu'il peut s'agir des agents des autorités de gestion, de certification et d'audit mais également des autorités de coordination des fonds.
Elle relève que seules les autorités de gestion, de certification et d'audit ont un accès direct au système d'information SYNERGIE.
La commission prend acte des précisions apportées par le CGET selon lesquelles les informations publiées sur le site web concernent uniquement des informations générales sur le fonctionnement de l'attribution des aides, telles que les types d'opérations concernées, les types de bénéficiaires. Le site web pourra publier des données provenant de l'agrégateur.
Dans ces conditions, elle estime que les destinataires ont un intérêt légitime à connaître des données contenues dans le traitement projeté.
Sur les droits des personnes concernées :
L'article 5 du projet de décret prévoit que les personnes concernées sont informées de la mise en œuvre du traitement projeté par une mention figurant sur le site web et directement sur le système d'information SYNERGIE.
La commission rappelle que cette mention doit comporter l'ensemble des informations définies à l'article 32 de la loi du 6 janvier 1978 modifiée.
Elle relève par ailleurs que les participants finaux des programmes mis en œuvre dans le cadre du FSE n'auront pas directement accès au traitement SYNERGIE. Elle estime que ces personnes devront être informées du traitement de données à caractère personnel mis en œuvre notamment par une mention conforme aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée figurant sur les questionnaires remis aux participants aux programmes financés par le FSE à des fins d'évaluation.
La commission estime ainsi qu'une sensibilisation des porteurs de projet sur ces points est nécessaire.
L'article 5 du projet de décret prévoit que les droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès de la direction de l'information et des technologies de l'Agence des services et de paiement.
La commission relève que le projet de décret ne fait pas mention du droit d'opposition. Interrogé sur ce point, le CGET a indiqué que ce droit était écarté dans la mesure où le traitement projeté relève d'une exigence de la réglementation européenne.
La commission en prend note et relève que l'article 38 de la loi du 6 janvier 1978 modifiée prévoit que le droit d'opposition peut être écarté par une disposition expresse de l'acte autorisant le traitement.
Elle invite donc le CGET à compléter le projet de décret sur ce point.
Sur la sécurité des données et la traçabilité des actions :
La commission rappelle tout d'abord que le traitement étant un téléservice d'une autorité administrative au sens de l'ordonnance n° 2005-1516 du 8 décembre 2005 susvisée, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé relatif aux échanges entre les usagers et les autorités administratives. Elle rappelle qu'il revient au responsable de traitement d'attester formellement de la sécurité de celui-ci au travers d'une homologation RGS et d'en publier l'attestation d'homologation sur le site du téléservice.
L'accès au téléservice est sécurisé au moyen du protocole HTTPS. Concernant le recours à ce protocole, la commission recommande d'utiliser la version de TLS la plus à jour possible.
Les échanges de données sont réalisés via des canaux de communication chiffrés et assurant l'authentification de la source et de la destination. L'authenticité de la clé du destinataire a été vérifiée. Des mesures spécifiques sont mises en œuvre pour assurer la confidentialité des clés secrètes.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d'accès sont supprimées pour tout utilisateur n'étant plus habilité. Une revue globale des habilitations est opérée.
Le responsable de traitement a mis en place une politique de mots de passe conforme à la recommandation de la commission. Les mots de passe sont conservés hachés. La commission recommande d'appliquer la fonction de hachage HMAC à clé secrète ou d'ajouter un sel avant de hacher les mots de passe.
Une journalisation des opérations de consultation, création, modification et suppression du traitement est réalisée.
La commission recommande de limiter la durée de conservation des journaux à six mois.
Sur les mises en relation du système d'information SYNERGIE :
L'article 1-IV du projet de décret prévoit que, pour assurer les finalités du traitement, le système d'information SYNERGIE est mis en relation avec plusieurs systèmes d'information.
En premier lieu, SYNERGIE est mis en relation avec les logiciels de gestion des programmes d'aides (via des échanges de flux) mis en œuvre par les autorités de gestion et pour leur compte.
En second lieu, le système d'information SYNERGIE est mis en relation avec le système d'information ARACHNE à des fins de lutte contre la fraude. En effet, conformément à l'article 125.4 du règlement général n° 1303/2013 du 17 décembre 2013 précité, chaque autorité de gestion doit mettre en place des mesures de lutte contre la fraude. La Commission européenne met ainsi à disposition des autorités de gestion l'outil ARACHNE permettant d'atteindre cet objectif. Il est alimenté par des données issues des projets cofinancés par les fonds européens mais aussi par des données externes et permet de calculer et d'attribuer une note de risque à chaque projet d'opération.
La consultation du système d'information ARACHNE peut se faire lors des phases de sélection des projets, au cours de la réalisation de l'opération et lors des demandes de paiement finales. Cette consultation doit donner lieu à une décision de l'autorité de gestion.
En troisième lieu, les données collectées dans le système d'information SYNERGIE sont mises en relation avec les outils de l'Agence des services et de paiement afin de répondre aux finalités visées au point II de l'article 1er du décret.
Enfin, le système d'information SYNERGIE est mis en relation avec les applications de gestion du Fonds européen agricole pour le développement rural OSIRIS , du Fonds européen pour les affaires maritimes et la pêche ISIS et du Fonds social européen Ma démarche FSE .
Les données provenant de ces systèmes d'information seront intégrées dans l'agrégateur à des fins de suivi, de pilotage, d'évaluation et de valorisation de l'utilisation des fonds européens en France. Les données contenues dans SYNERGIE ne seront pas intégrées dans les systèmes d'information OSIRIS, ISIS et Ma démarche FSE .
Ces dispositions n'appellent pas d'observations particulières.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret en Conseil d'Etat pris pour application des articles L. 744-6 et L. 744-7 du code de l'entrée et du séjour des étrangers et du droit d'asile et portant création du traitement automatisé de données à caractère personnel DN@ ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2013/33/UE du Parlement européen et du Conseil, du 26 juin 2013 établissant des normes pour l'accueil des personnes demandant la protection internationale ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L. 723-3, L. 744-6, L. 744-7 et R. 744-14 ;
Vu le code de l'action sociale et des familles, notamment ses articles L. 348-1 et L. 349-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (4°, a) ;
Vu la loi n° 2015-925 du 29 juillet 2015 relative à la réforme du droit d'asile, notamment son article 23 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2015-1166 du 21 septembre 2015 pris pour l'application de la loi n° 2015-925 du 29 juillet 2015 relative à la réforme du droit d'asile ;
Vu l'arrêté du 23 octobre 2015 relatif au questionnaire de détection des vulnérabilités des demandeurs d'asile prévu à l' article L. 744-6 du code de l'entrée et du séjour des étrangers et du droit d'asile ;
Vu la décision n° 2009-202 du 29 mai 2009 relative au traitement automatisé de données relatives aux capacités d'hébergement des centres d'accueil pour demandeurs d'asile, à l'utilisation de ses capacités et aux demandeurs d'asile qui y sont accueillis ;
Vu la délibération n° 2009-212 du 30 avril 2009 portant avis sur le projet de décision présentée par l'Office français de l'immigration et de l'intégration relative au traitement automatisé de données à caractère personnel relatives aux capacités d'hébergement des centres d'accueil des demandeurs d'asile, à l'utilisation de ces capacités et aux demandeurs d'asile qui y sont accueillis ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie, par le ministère de l'intérieur, d'un projet de décret en Conseil d'Etat pris pour l'application des articles L. 744-6 et L. 744-7 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) et portant création du traitement automatisé de données à caractère personnel DN@.
L'article L. 744-6 du CESEDA, créé par la loi susvisée du 29 juillet 2015, prévoit que l'Office français de l'immigration et de l'intégration (OFII) doit procéder, après un entretien personnel avec le demandeur d'asile, à une évaluation de la vulnérabilité de ce dernier et que les informations attestant d'une situation particulière de vulnérabilité peuvent faire l'objet d'un traitement. Les modalités d'application de ces dispositions doivent être précisées par un décret en Conseil d'Etat, pris après avis de la commission, qui doit fixer les modalités de transmission des données relatives à la vulnérabilité du demandeur d'asile de l'OFII à l'Office français de protection des réfugiés et apatrides (OFPRA), la durée de conservation et les conditions de mise à jour des informations enregistrées, les catégories de personnes pouvant y accéder et les modalités d'habilitation de celles-ci, ainsi que, le cas échéant, les conditions dans lesquelles les personnes intéressées peuvent exercer leur droit d'accès.
L'article L. 744-7 du CESEDA, relatif aux conditions matérielles d'accueil des demandeurs d'asile, et en particulier à leur hébergement, prévoit qu'un décret en Conseil d'Etat, pris après avis de la commission, détermine les informations qui doivent être fournies par l'OFII aux services intégrés d'accueil et d'orientation (SIAO) pour la mise en œuvre des dispositions relatives à la situation du demandeur d'asile qui a refusé ou abandonné l'hébergement en centre d'accueil.
Le ministère a indiqué qu'il ne serait pas mis en œuvre de nouveau traitement de données à caractère personnel relatives à l'évaluation, par l'OFII, de la vulnérabilité des demandeurs d'asile.Il est en effet prévu que ces informations soient intégrées dans le traitement actuellement mis en œuvre par l'OFII aux fins de gestion du dispositif national d'accueil des demandeurs d'asile, dénommé DN@ et créé par la décision n° 2009-202 du 29 mai 2009 susvisée, pris après l'avis de la commission en date du 30 avril 2009.
Dans ce contexte, le présent projet de décret a pour objet, d'une part, de fixer les modalités d'application des articles L. 744-6 et L. 744-7 du CESEDA et, d'autre part, de modifier et de codifier, aux articles R. 611-17 à R. 611-24 du même code, les dispositions relatives au traitement DN@. En application des dispositions précitéesdu CESEDA et de l'article 11-(4°-a) de la loi du 6 janvier 1978 modifiée, ce projet de décret en Conseil d'Etat doit être pris après avis motivé et publié de la commission.
A titre liminaire, la commission relève que le projet de décret permet l'enregistrement, dans DN@, de données sensibles, eu égard à leur nature et à la finalité pour lesquelles celles-ci sont collectées, portant sur une catégorie de personnes concernées bénéficiant d'une protection particulière, garantie par le Préambule de la Constitution de 1946, à savoir les demandeurs d'asile. En outre, il procède à une refonte substantielle du traitement DN@ qui concerne les mêmes catégories de personnes et dont les conditions de mise en œuvre ont été initialement fixées en 2009.
Dans ces conditions, la commission regrette que le ministère n'ait pas porté à sa connaissance suffisamment d'informations sur les conditions concrètes de mise en œuvre du traitement DN@, et notamment sur les mesures de sécurité l'encadrant et qui ont nécessairement dû être mises à jour depuis 2009, ainsi que sur les justifications présidant aux modifications apportées audit traitement pour lui permettre d'apprécier pleinement la conformité du traitement projeté au regard de la loi du 6 janvier 1978 modifiée. En outre, elle souligne qu'elle n'a pas reçu d'éléments précis sur la façon dont les données relatives à la vulnérabilité des demandeurs d'asile, dont la liste a été préalablement fixée par l'arrêté ministériel du 23 octobre 2015 susvisé, sur lequel la commission n'a pas été consultée, seront traitées et protégées, la privant ainsi du contrôle expressément prévu par le législateur sur ce point.
Sur les finalités du traitement :
Le traitement DN@ actuellement mis en œuvre par l'OFII a pour finalité la gestion du dispositif national d'accueil des demandeurs d'asile. Conformément à la décision précitée du 29 mai 2009, il doit ainsi permettre d'assurer la gestion et le pilotage du dispositif des centres d'accueil pour demandeurs d'asile (CADA) ainsi que le suivi des personnes accueillies.
Refondant les dispositions applicables à ce traitement afin de tenir compte des nouvelles attributions confiées à l'OFII par la loi précitée du 29 juillet 2015, le projet d'article R. 611-17 du CESEDA étend substantiellement les finalités du traitement DN@.
L'article L. 744-4 du CESEDA prévoit qu'afin de coordonner la gestion de l'hébergement dans les lieux d'hébergement dédiés aux demandeurs d'asile, l'OFII conçoit, met en œuvre et gère , dans les conditions prévues par la loi du 6 janvier 1978 modifiée, un traitement automatisé de données relatives aux capacités des lieux d'hébergement, à l'utilisation de ces capacités et aux demandeurs d'asile qui y sont accueillis . Ces finalités sont celles d'ores et déjà poursuivies par le traitement DN@ et n'appellent dès lors pas d'observation particulière de la commission. Les compétences de l'OFII ne se limitent toutefois pas à une telle coordination.
Ainsi, conformément à l'article L. 744-1 du CESEDA, l'OFII est en charge de la mise en œuvre des conditions matérielles d'accueil du demandeur d'asile, au sens de la directive 2013/33/UE susvisée. En particulier, il doit fournir aux demandeurs d'asile un hébergement tenant compte de leurs besoins particuliers.
A cet égard, le projet de décret précise qu'une des finalités du traitement est de procurer les conditions matérielles d 'accueil réservées aux demandeurs d'asile, en évaluant leurs besoins . La commission estime que cette formulation n'est pas suffisamment explicite pour rendre compte de l'une des finalités du traitement DN@, résultant de l'application de l'article L. 744-6 du CESEDA et qui consiste, pour l'OFII, à procéder à une évaluation de la vulnérabilité du demandeur d'asile afin de déterminer, le cas échéant, ses besoins particuliers en matière d'accueil et de tenir compte de sa vulnérabilité dans la mise en œuvre de ses droits et pendant toute la période d'instruction de sa demande.
En effet, alors qu'il doit définir les modalités d'application de cette disposition relative à l'évaluation de la vulnérabilité des demandeurs d'asile, le projet d'article R. 611-17 du CESEDA ne met pas clairement en exergue cette finalité du traitement DN@. Dès lors, la commission demande à ce que le projet de décret soit modifié pour en faire mention et prend acte de l'engagement du ministère de préciser le projet de décret sur ce point.
Aux termes de l'article L. 744-3 du CESEDA, l'OFII assure l'orientation des demandeurs d'asile dans les centres d'hébergement dédiés, conformément aux schémas national et régionaux d'accueil des demandeurs d'asile, prévus à l'article L. 744-2 dudit code et leur suivi administratif et social. A ce titre, les demandeurs d'asile bénéficient d'une aide à la constitution de leur dossier de demande d'asile destiné à l'OFPRA ainsi qu'à l'accès aux droits sociaux dont ils disposent. En outre, conformément à l'article L. 744-9 du CESEDA, l'OFII gère l'attribution de l'allocation pour les demandeurs d'asile (ADA). Le projet de décret prévoit en conséquence que le traitement DN@ poursuit également ces finalités.
Enfin, la commission relève que le traitement poursuit une finalité statistique. Il permet ainsi l'établissement d'une série d'indicateurs statistiques relatifs au fonctionnement de l'accueil des demandeurs d'asile, afin de faciliter le pilotage du dispositif d'accueil géré par l'OFII. Cette finalité n'est pas expressément mentionnée dans le projet de décret, dans la mesure où, selon le ministère, ces statistiques seront anonymisées. La commission rappelle que si la loi Informatique et Libertés ne s'applique pas aux données anonymes, seules sont anonymes les données personnelles ayant fait l'objet d'un traitement destiné à empêcher, de façon irréversible, toute identification des personnes concernées. En l'absence de mise en œuvre d'une telle anonymisation, le traitement de données à des fins statistiques, y compris si les éléments les plus directement identifiants ont été retirés, demeure soumis à la loi précitée.
Ainsi, les finalités du traitement DN@, telles que prévues par le projet de décret, visent à permettre la mise en œuvre effective de l'ensemble des missions dévolues à l'OFII en matière d'accueil des demandeurs d'asile. Sous réserve de la modification du projet de décret concernant l'évaluation de la vulnérabilité de ces derniers, la commission considère dès lors que ces finalités sont déterminées, explicites et légitimes, conformément à l'article 6-(2°) de la loi du 6 janvier 1978 modifiée.
Sur les données à caractère personnel traitées :
L'article 2 du projet de décret, qui prévoit l'insertion d'une annexe 7-2 au CESEDA, détaille les données et informations enregistrées dans le traitement DN@.
La première catégorie de données est relative à l'état civil du demandeur d'asile (nom, prénom, date de naissance, sexe, nationalité, situation matrimoniale, lieu de naissance, pays de naissance, date d'entrée en France du demandeur d'asile et de sa famille, langues parlées, coordonnées). Ces données n'appellent pas d'observation particulière de la commission.
En ce qui concerne les conditions de collecte de ces données, l'article R. 741-3 du CESEDA prévoit que le demandeur d'asile qui n'est pas déjà titulaire d'un titre de séjour doit fournir pour l'enregistrement de sa demande des informations relatives à son état civil et, le cas échéant, à celui de son conjoint, de son partenaire avec lequel il est lié par une union civile ou de son concubin et de ses enfants à charge . Si la personne est déjà titulaire d'un titre de séjour délivré par les autorités compétentes et contenant ses données d'identité, elle ne fournit en revanche qu'un justificatif de domicile et des photographies aux fins d'édition de son attestation de demande d'asile. Dans ce cas, les données d'identité seront transmises à l'OFII par le ministère de l'intérieur, par l'intermédiaire de l'application AGDREF 2, dont les conditions de mise en œuvre sont prévues aux articles R. 611-1 à R. 611-7-4 du CESEDA.
A cet égard, la commission relève que le ministère n'a fourni aucun élément technique permettant d'attester de la sécurité de ces transmissions d'information et rappelle que toutes les mesures nécessaires doivent être prises afin de garantir la sécurité de ces échanges. Elle relève toutefois que le ministère s'engage à mettre en œuvre des mesures pour assurer la confidentialité et l'authentification des acteurs concernés.
La deuxième catégorie de données traitées est relative à la situation administrative du demandeur d'asile au regard du séjour et de la procédure d'asile. A cet égard, la commission relève que les modalités d'accueil des demandeurs d'asile varient selon leur situation au regard de la législation en matière d'entrée et de séjour des étrangers et de droit d'asile. A titre d'illustration, l'article R. 744-12 du CESEDA prévoit que dès qu'une décision définitive relative à une demande d'asile est intervenue, l'OFII en informe sans délai le gestionnaire du lieu qui héberge la personne concernée, en précisant la date à laquelle cette décision a été notifiée au demandeur .