AgentPublic/cnil huggingface dataset:
Après avoir entendu M. Jean-Marie Cotteret, commissaire, en son rapport et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :La commission a été saisie, par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration, d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement de données à caractère personnel relatif à la lutte contre la fraude documentaire et l'usurpation d'identité, en application des dispositions de l'article 26-1 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les finalités du traitement :Aux termes de l'article 1er du projet d'arrêté, le traitement projeté a pour finalité  la gestion des dossiers instruits dans le cadre de la lutte contre la fraude documentaire et de l'usurpation d'identité sur les cartes nationales d'identité et les passeports . Il est mis en œuvre par la direction des affaires juridiques et des libertés publiques (DLPAJ) du ministère de l'intérieur.
Conformément à l'article 4 de l'arrêté du 28 novembre 2008 modifié, cette direction, et plus particulièrement le bureau national des titres d'identité et de voyage (BNTIV), est en effet chargée de préparer les décisions individuelles relevant de la compétence du ministre de l'intérieur s'agissant des cartes d'identité et des passeports. Seuls les dossiers relatifs à ces deux catégories de titre sont concernés par ce traitement. Les personnes dont les données à caractère personnel font l'objet d'un enregistrement sont donc les demandeurs de passeport ou de carte d'identité ayant déposé, auprès des consulats ou des préfectures, des dossiers de demande dans lesquels une fraude est soupçonnée.
Le traitement projeté a pour objet de rassembler tous les éléments recueillis dans le cadre des enquêtes diligentées lorsqu'une demande douteuse de carte d'identité ou de passeport est détectée. Il doit ainsi permettre de faciliter le travail de recherche en vue de l'identification des états civils frauduleux ou usurpés, d'une part, et de décider des suites administratives à donner, d'autre part. Ainsi, les investigations conduites peuvent permettre l'invalidation des titres d'identité ou de voyage indûment délivrés. Elles peuvent également permettre l'inscription au FPR des personnes qui font l'objet d'une décision de retrait d'une carte d'identité ou d'un passeport obtenus indûment, ou qui ont tenté d'obtenir la délivrance de ces titres en violation des dispositions légales, en application du 4° du IV de l'article 2 du décret n° 2010-569 du 28 mai 2010.
La commission prend acte des finalités du traitement projeté. Elle relève que ce dernier peut en outre être utilisé à des fins statistiques, afin de permettre le suivi d'activité du service en charge de la lutte contre la fraude documentaire et l'usurpation d'identité ainsi que l'évaluation du phénomène de fraude documentaire à l'identité et de ses évolutions. La commission prend cependant acte que seules des données anonymisées seront utilisées à ces fins.
Sur les données enregistrées :L'article 2 du projet d'arrêté précise les données à caractère personnel et informations susceptibles d'être enregistrées dans le traitement. Il s'agit tout d'abord des données d'identification (nom, prénom, date et lieu de naissance, sexe, adresses postales et électroniques, coordonnées téléphoniques, filiation, nationalité, photographie, signature) relatives à l'état civil réel ou supposé des personnes dont la demande de titre a été détectée comme douteuse.
En outre, pourront être enregistrés dans le traitement tout document permettant d'établir l'identité d'une personne (jugement, procès-verbal d'audition de proches, compte rendu de pièces probantes, etc.) ainsi que toute pièce ou document nécessaire à l'instruction et à la gestion administrative des dossiers. Au titre de cette catégorie seront par exemple enregistrés les références du dossier (numéro de dossier, autorité de saisine, dates de saisine et de clôture), son état (dates et sens de la décision administrative, nombre d'appels à la suite d'un signalement dans le FPR), sa nature (type et caractéristiques de la fraude), la liste et le contenu des demandes de titres, le suivi des étapes administratives et les documents y afférents ainsi que les éléments relatifs à un éventuel contentieux administratif.
Si la liste de ces données à caractère personnel n'appelle pas d'observation particulière de sa part, la commission relève que l'article 2 du projet d'arrêté précise que le traitement ne comporte pas de dispositif de reconnaissance faciale à partir des photographies qui y sont enregistrées.
Elle souligne en outre que, dans la mesure où les informations enregistrées dans le traitement sont relatives aux personnes ayant déposé un dossier de demande de titre dans lequel une fraude est soupçonnée, les données d'identification mentionnées concernent nécessairement les victimes d'une fraude ou d'une usurpation d'identité. Ce n'est qu'au fur et à mesure des investigations conduites par les agents du BNTIV que l'auteur et la victime de la fraude peuvent être différenciés. Ainsi, si l'auteur de la fraude est identifié au moyen de son véritable état civil, celui-ci fait l'objet d'un enregistrement distinct dans le traitement, ainsi que les documents ayant permis son identification. En l'absence de détermination du véritable état civil du ou des fraudeurs, les éléments concernant auteur et victime sont distingués dans le traitement par l'ajout de mentions ( usurpateur présumé  et  victime présumée ).
Sur la durée de conservation des informations :Il est prévu, aux termes de l'article 3 du projet d'arrêté, que ces données soient conservées pendant une durée de douze ans et que, dans le cas où ces informations sont relatives à un titre obtenu frauduleusement et qui n'a pas été restitué à l'administration, cette durée soit augmentée de cinq ans, soit une période totale de conservation de dix-sept ans pour ces cas.Le ministère de l'intérieur justifie cette période de douze ans par la durée de vie  utile  des titres concernés. Conformément aux dispositions des décrets n° 55-1397 du 22 octobre 1955 modifié (cartes d'identité) et n° 2005-1726 du 30 décembre modifié (passeports), ces deux catégories de titre ont une durée de validité de dix ans, à l'exception des passeports de mission et de service dont la durée de validité est de cinq ans. En outre, depuis la simplification de la procédure de délivrance de ces titres intervenue en 2010, le renouvellement du passeport et de la carte d'identité peut avoir lieu sur production d'un autre titre valide ou périmé depuis moins de deux ans, sous réserve de la vérification des informations produites à l'appui de la demande de cet ancien titre. Dès lors, ces titres pourraient être utilisés aux fins de fraude documentaire ou d'usurpation d'identité pendant une période de douze ans.La commission prend acte de ces précisions et considère que la durée de conservation de douze ans est pertinente au regard des finalités du traitement, dans la
mesure où elle devrait permettre de prévenir de nouvelles délivrances indues de titres et de préserver les intérêts des victimes d'usurpation d'identité.
Il est prévu que cette durée de conservation s'applique à toutes les données enregistrées dans le traitement, c'est-à-dire également aux données relatives aux victimes de la fraude ou de l'usurpation d'identité, y compris si l'auteur de la fraude est identifié. La commission en prend acte, dans la mesure où ces données doivent être conservées afin de permettre la délivrance de nouveaux titres, sous l'identité ayant fait l'objet d'une usurpation, à la seule victime présumée. En effet, la conservation de ces éléments permettra d'indiquer aux autorités préfectorales ou consulaires saisies d'une demande de titre si la délivrance peut avoir lieu. Elle permettra également aux services de police et de gendarmerie détectant un signalement FPR de définir la conduite à tenir à l'égard de la personne dont l'identité est contrôlée.
En revanche, le ministère a indiqué que lorsque l'absence de fraude sur le dossier de demande de titre est avérée au cours de l'instruction, les données enregistrées dans le traitement sont effacées sans délai. La commission prend acte que, à sa demande, l'article 3 du projet d'arrêté sera précisé sur ce point.
Elle estime enfin que le ministère n'a pas apporté de justification suffisante en ce qui concerne la majoration de cinq ans de la durée de conservation des données relatives aux titres obtenus frauduleusement et qui n'ont pas été restitués à l'administration et que ces dispositions devraient donc être supprimées du projet d'arrêté.Sur les destinataires et les sécurités du traitement :
Les destinataires des informations enregistrées dans le traitement sont mentionnés à l'article 4 du projet d'arrêté. Ainsi, seuls les agents de la DLPAJ individuellement désignés et spécialement habilités, à raison de leurs attributions et dans la limite du besoin d'en connaître, ont un accès direct au traitement. La commission relève à cet égard que les données du traitement sont stockées dans un espace informatique sécurisé accessible aux seuls rédacteurs de la section fraude documentaire du BNITV et à leur hiérarchie. Elle recommande cependant l'utilisation de mots de passe de huit caractères ou plus, régulièrement renouvelés, pour accéder au traitement.
En outre, les données qui y sont enregistrées peuvent être communiquées aux agents chargés de la délivrance des cartes d'identité et des passeports, aux agents des services de la police et de la gendarmerie nationales chargés des missions de recherche et de contrôle de l'identité des personnes, de la validité et de l'authenticité des titres d'identité et de voyage ainsi qu'aux agents du ministère de la justice chargés de l'application de la législation relative à la nationalité française. La commission estime que ces destinataires ont un intérêt légitime à connaître des données enregistrées dans le traitement projeté. Elle relève en outre que les échanges avec ces destinataires sont soit acheminés sur un réseau privé du ministère de l'intérieur, soit chiffrés dans le cas des envois vers les entités consulaires et la chancellerie.
En revanche, la commission souligne qu'aucune mesure de traçabilité des actions effectuées dans le traitement n'est prévue. Si elle prend acte que le traitement ne dispose pas d'un outil de gestion informatisé ad hoc, la commission recommande au ministère de l'intérieur de concevoir un nouveau système permettant la mise en place de mesures de traçabilité effectives des modifications, ajouts, suppressions, consultations ou transmissions des données par les agents utilisateurs. Ce nouveau système devrait également permettre l'effacement automatique des données à l'issue de la durée de conservation prévue.
Sur les droits des personnes :En ce qui concerne l'information des personnes concernées, la commission relève que le ministère entend faire application des dispositions du VI de l'article 32 de la loi du 6 janvier 1978 modifiée, aux termes desquelles aucune obligation en matière d'information des personnes n'incombe au responsable d'un traitement ayant pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales. Dans la mesure où le traitement projeté répond à cette condition, la commission prend acte de l'absence d'information des personnes concernées.
De même, elle prend acte que le droit des personnes de s'opposer à l'enregistrement de leurs données dans le traitement, prévu par l'article 38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas au traitement projeté. Enfin, elle prend acte que les droits d'accès et de rectification des personnes aux données qui les concernent s'exercent directement auprès du responsable du traitement, c'est-à-dire auprès du bureau national des titres d'identité et de voyage de la DLPAJ, en application des dispositions des articles 39 et 40 de la loi du 6 janvier 1978 modifiée.
 Le vice-président délégué,
E. de Givry
La Commission nationale de l'informatique et des libertés, 
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment ses articles 1ier et 25-I-8° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 modifiée en 2007;
Vu la demande d'autorisation ainsi que les compléments adressés par le collège ATURRI d'un traitement de données reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d'accès au service de restauration scolaire ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations.
Formule les observations suivantes :
La Commission nationale de l'informatique des libertés a été saisie par le collège ATURRI d'un traitement de données reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d'accès au service de restauration scolaire.
Il y a lieu de faire application des dispositions prévues à l'article 25-I-8° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements comportant des données biométriques nécessaires au contrôle de l'identité des personnes.
Il convient de rappeler que la Commission a toujours accordé une attention particulière aux dispositifs biométriques qui pouvaient concerner des mineurs, notamment en ce qu'ils sont susceptibles de les habituer aux techniques de surveillance reposant sur des éléments corporels propres à leur identité. En cela la Commission agit conformément à l'article 1er de la loi du 6 janvier 1978 modifiée qui dispose que : L'informatique doit être au service de chaque citoyen. [...] Elle ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques.
La Commission réaffirme sa vigilance s'agissant de dispositifs concernant des élèves, mineurs de surcroit, et la nécessité d'examiner les traitements qui lui sont soumis au regard des évolutions technologiques et sociologiques qui sont portés à sa connaissance.
En l'espèce, le traitement proposé a pour objet de contrôler l'accès au service de restauration scolaire tant pour les élèves que pour le personnel de l'établissement. Le dispositif de reconnaissance du réseau veineux des doigts de la main permet de débloquer la délivrance d'un plateau pour la cantine ainsi que de tenir la comptabilité et de suivre les passages des utilisateurs.
L'avantage escompté de la mise en œuvre du dispositif proposé est donc de faciliter la gestion de la cantine, en évitant notamment les inconvénients que peut comporter l'utilisation d'un badge (perte, détérioration, oubli...). Le collège ATURRI, récemment ouvert, voit aussi un intérêt de principe à faire usage des nouvelles technologies.
Le traitement de cette donnée biométrique doit être examiné au regard des principes relatifs à la protection des données à caractère personnel, et notamment, de l'article 6-2° de la loi du 6 janvier 1978 modifiée qui précise que les données sont collectées pour des finalités déterminées, explicites et légitimes et de l'article 6-3° qui dispose que les traitements ne peuvent porter que sur des données à caractère personnel adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs.
La Commission rappelle qu'elle a déjà autorisé l'utilisation de dispositifs biométriques reposant sur le contour de la main aux fins de contrôler l'accès à la restauration scolaire. A la différence du réseau veineux des doigts de la main, le contour de la main d'une personne est susceptible d'évoluer dans le temps, a fortiori pour une population de mineurs en pleine croissance. 
La Commission constate que la reconnaissance du réseau veineux des doigts de la main constitue une technique biométrique plus précise et plus fiable que celle du seul contour de la main. Même si le réseau veineux des doigts de la main ne présente pas, en l'état actuel de la technique, la caractéristique de pouvoir être capturé à l'insu des personnes concernées, toute possibilité de détournement ou de mauvais usage (faille de sécurité, détournement de finalité par le responsable de traitement ou par un tiers...) fait peser un risque sérieux sur l'intégrité et la protection des données biométriques personnelles des utilisateurs qui, de surcroît, s'agissant des élèves, sont des mineurs.
Par ailleurs, la Commission relève que la finalité poursuivie pourrait être atteinte par d'autres moyens comme le badge remis à chaque utilisateur ou la technique biométrique du contour de la main.
Dès lors, elle considère que le recours à un élément propre à l'identité physique des élèves et aussi fiable que le réseau veineux des doigts de la main aux seules fins d'accéder à un service de restauration scolaire n'est pas pertinent, adéquat et non excessif au regard de la finalité poursuivie.
Par conséquent, la Commission n'autorise pas le collège ATURRI, à mettre en œuvre un traitement de données à caractère personnel reposant sur la reconnaissance du réseau veineux des doigts de la main et ayant pour finalité le contrôle d'accès au service de restauration scolaire. 
Le président
Alex TÜRK
La Commission nationale de l'informatique et des libertés,Saisie pour avis par le premier ministre (secrétariat général de la défense et de la sécurité nationale) le 29 juillet 2010 d'un projet d'arrêté autorisant la création de traitements automatisés de données à caractère personnel relatifs à la gestion des habilitations au secret de la défense nationale ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;Vu le code de la défense, notamment ses articles R. 1143-1 et suivants et R. 2311-1 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, notamment son article 1er ;Vu l'arrêté du 23 juillet 2010 portant approbation de l'instruction
générale interministérielle sur la protection du secret de la défense nationale, notamment les articles 12 et 30 de son annexe ;Après avoir entendu M. Sébastien Huyghe, commissaire, en son rapport, et Mme Elisabeth Rolin, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :La commission a été saisie pour avis par le Premier ministre (secrétariat général de la défense et de la sécurité nationale), dans les conditions prévues au IV de l'article 26 de la loi du 6 janvier 1978 modifiée, d'un projet d'acte réglementaire unique autorisant la création de traitements automatisés de données à caractère personnel relatifs à la gestion des habilitations au secret de la défense nationale.
Ces traitements, tenus sous forme de répertoires automatisés, seront mis en œuvre dans chaque département ministériel par les hauts fonctionnaires de défense et de sécurité afin de gérer les habilitations à connaître d'informations classifiées des fonctionnaires et agents affectés au sein de ce département ministériel. En effet, conformément aux dispositions susvisées du code de la défense et de l'arrêté du 23 juillet 2010 les hauts fonctionnaires de défense et de sécurité ont notamment pour mission d'assurer, au sein de leur département ministériel, l'application des dispositions relatives à la sécurité, de défense et à la protection du secret de la défense nationale.La nature des données sera limitée à l'identité des personnes (noms, prénoms, sexe, date et lieu de naissance, nationalités, références des documents d'identité), à leur vie professionnelle (organisme d'affectation, fonctions occupées, titre ou grade, coordonnées) et aux éléments techniques de gestion des dossiers d'habilitation (identification, instruction, durée de validité et suivi de la décision d'habilitation). La commission prend acte que le traitement ne portera pas sur les enquêtes administratives réalisées dans le cadre de la procédure d'habilitation, à l'exception du sens de l'avis de sécurité qui en est issu.
Ces données seront conservées une année à compter du terme de la validité de l'avis de sécurité délivré par le service en charge de l'enquête administrative. La commission note que, conformément aux dispositions susvisées du code de la défense, la durée de validité de ces avis dépend du niveau de classification sur lequel porte l'habilitation demandée, à savoir cinq ans pour le niveau  très secret défense , sept ans pour le niveau  secret défense  et dix ans pour le niveau  confidentiel défense .
Seul le haut fonctionnaire de défense et de sécurité de chaque département ministériel ainsi que les personnels justifiant du besoin d'en connaître qui lui sont affectés auront directement accès au traitement. Le projet d'arrêté n'indique aucun autre destinataire des données au sens du II de l'article 3 de la loi du 6 janvier 1978 modifiée. Or, il apparaît qu'au sein de son département ministériel, le haut fonctionnaire de défense et de sécurité pourra être amené à communiquer certaines données issues du traitement à des agents ou fonctionnaires affectés dans ce ministère et justifiant du besoin d'en connaître (services de gestion des ressources humaines, services informatiques, services à l'origine de la demande d'habilitation). La commission considère que, même s'ils n'accèdent pas directement au traitement, ces personnels devraient figurer en qualité de destinataires des données dans le projet d'arrêté, conformément au 7° du I de l'article 30 de la loi du 6 janvier 1978 modifiée.
La commission prend acte que, conformément à l'article 38 de la loi du 6 janvier 1978 modifiée, le projet d'arrêté exclut le droit d'opposition des personnes au traitement de leurs données. S'agissant du droit des personnes d'accéder aux données qui les concernent, celui-ci s'exercera directement auprès des services du haut fonctionnaire de défense et de sécurité dont dépend l'intéressé, conformément au dernier alinéa de l'article 41 de la loi du 6 janvier 1978 modifiée.
Les personnes seront informées du traitement de leurs données par mention dans le formulaire de demande d'habilitation rempli par l'intéressé. La commission relève que la mention d'information envisagée ne satisfait que partiellement aux exigences du I de l'article 32 de la loi du 6 janvier 1978 modifiée et 90 du décret du 20 octobre 2005 modifié. Elle considère donc que cette mention devra être mise à jour et complétée par l'ajout des catégories de destinataires ainsi qu'en y indiquant que les droits d'accès et de rectification pourront s'exercer auprès des services du haut fonctionnaire de défense et de sécurité du département ministériel dont dépend l'intéressé.