AgentPublic/cnil huggingface dataset:
La politique de mot de passe mise en œuvre par le responsable de traitement lors d'une inscription par le biais du site de l'application Télérecours citoyens est conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Une inscription indirecte via le téléservice FranceConnect est également possible, dans les conditions prévues à l'arrêté du 24 juillet 2015 susvisé.
Les accès au traitement se font via le protocole TLS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la commission recommande d'utiliser la ou les versions de TLS les plus à jour possible.
L'intégrité des documents déposés est assurée au moyen d'un dispositif de sécurité, dit de procès-verbal numérique (PVN), qui inclut un mécanisme de vérification d'intégrité par le calcul d'empreintes numériques. Conformément à l' ordonnance n° 2005-1516 du 8 décembre 2005 visée dans l'arrêté, toute fonction de hachage utilisée dans ce contexte devra être conforme à l'annexe B1 du Référentiel général de sécurité.
Des sauvegardes régulières, notamment quotidiennes, sont réalisées. La commission rappelle qu'elles devront être testées régulièrement, afin de vérifier leur intégrité.
Une journalisation des opérations de consultation, création, mise à jour et suppression des données est mise en place. La commission rappelle qu'une durée de conservation des journaux de six mois est habituellement préconisée par la commission pour ce type de traitement.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie d'une demande d'avis concernant un projet de décret portant application des articles L. 16 et L. 38 du code électoral et création du traitement automatisé de données à caractère personnel permettant de gérer le répertoire électoral unique ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi organique n° 76-97 du 31 janvier 1976 modifiée relative aux listes électorales consulaires et au vote des Français établis hors de France pour l'élection du Président de la République ;
Vu la loi organique n° 2016-1046 du 1er août 2016 rénovant les modalités d'inscription sur les listes électorales des ressortissants d'un Etat membre de l'Union européenne autre que la France pour les élections municipales ;
Vu le code électoral, notamment ses articles L. 16, L. 18, L. 19 et L. 38 ;
Vu la loi du 7 juin 1951 modifiée sur l'obligation, la coordination et le secret en matière de statistiques ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2016-1048 du 1er août 2016 rénovant les modalités d'inscription sur les listes électorales, notamment son article 2 ;
Vu le décret n° 79-160 du 28 février 1979 portant application de la loi n° 77-729 du 7 juillet 1977 relative à l'élection des représentants au Parlement européen ;
Vu le décret n° 82-103 du 22 janvier 1982 modifié relatif au répertoire national d'identification des personnes physiques ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Dominique CASTERA, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'économie d'une demande d'avis concernant un projet de décret portant application des articles L. 16 et L. 38 du code électoral et création du traitement automatisé de données à caractère personnel permettant de gérer le répertoire électoral unique (REU).
En application du IV de l'article L. 16 du code électoral issu de la loi n° 2016-1048 du 1er août 2016 susvisée, les règles relatives au traitement des informations nécessaires à la tenue et à la mise à jour du REU doivent être définies par un décret en Conseil d'Etat, pris après avis de la commission. Cet avis devra être publié, conformément à l'article 11-4°a de la loi du 6 janvier 1978 modifiée.
Sur les finalités poursuivies :
Aux termes de l'article 1er du projet de décret soumis à la commission, le traitement envisagé, qui doit être mis en œuvre par l'Institut national de la statistique et des études économiques (INSEE), a pour finalité l'établissement, le contrôle et la gestion des listes électorales, dans les conditions prévues par les dispositions du chapitre II du titre Ier du code électoral . Ce traitement doit permettre de gérer le REU, dont la création est prévue par l' article L. 16 du code électoral, issu de l' article 2 de la loi n° 2016-1048 du 1er août 2016 susvisée et dont l'entrée en vigueur est prévue, au plus tard, au 31 décembre 2019.
Ce projet découle d'une large réforme du processus d'inscription sur les listes électorales et des conditions de tenue de ces listes résultant de la loi n° 2016-1048 précitée et de deux lois organiques également adoptées le 1er août 2016 : la loi organique n° 2016-1046 rénovant les modalités d'inscription sur les listes électorales des ressortissants d'un Etat membre de l'Union européenne autre que la France pour les élections municipales et la loi organique n° 2016-1047 rénovant les modalités d'inscription sur les listes électorales des Français établis hors de France, qui modifie la loi organique n° 76-97 du 31 janvier 1976 susvisée. L'objet de cette réforme est notamment de permettre une mise à jour en continu des listes électorales pour autoriser des inscriptions au plus près des scrutins, ce que ne permet pas le système de gestion des listes actuellement en vigueur, dans lequel chaque commune ou poste diplomatique ou consulaire tient de manière indépendante sa liste électorale et ne l'arrête qu'une fois par an. L' article L. 16 du code électoral et l' article 5 de la loi n° 76-97 du 31 janvier 1976 susvisée, dans leurs versions issues des lois précitées du 1er août 2016, prévoient dès lors que les listes électorales communales et consulaires sont extraites d'un répertoire électoral unique et permanent .
La commission prend acte que ce répertoire unique, comme le prévoit l'article 6 du projet de décret, sera initialement constitué à partir des listes électorales communales et consulaires et du fichier général des électeurs et des électrices tenu par l'INSEE.
Le projet de traitement soumis à la commission doit permettre la gestion du REU en centralisant l'ensemble des informations nécessaires à la tenue et à la mise à jour des listes électorales. Ainsi, le projet de décret précise qu' il est procédé à la tenue et à la mise à jour du répertoire à partir des demandes d'inscription ou de radiation formulées par les électeurs, les mairies ou les postes diplomatiques et consulaires, ainsi qu'à partir des informations relatives à la capacité électorale et aux décès des électeurs . Ces informations, en application du IV de l'article L. 16 du code électoral dans sa version issue de la loi n° 2016-1048 précitée, devront impérativement être transmises par voie électronique.
Une telle centralisation dans le REU doit faciliter les mises à jour et le contrôle des listes électorales, que les communes, consulats et préfectures n'auront plus qu'à éditer et exporter sous format numérique en temps utile.
En effet, le système de gestion du REU permettra d'enregistrer les demandes d'inscription instruites par les communes et les consulats, que cette demande ait été réalisée en guichet ou déposée en ligne via le téléservice proposé sur le site service-public.fr, et procédera alors à des vérifications automatiques pour s'assurer que l'électeur dont l'inscription est demandée n'est ni décédé ni en incapacité électorale (sous tutelle ou privé de ses droits civiques).
Ces vérifications s'effectueront notamment par une confrontation des données communiquées dans le cadre de la demande d'inscription avec celles dont dispose l'INSEE en application de l' article 5 du décret n° 82-103 du 22 janvier 1982 susvisé relatif au RNIPP. Dans la mesure où elle est nécessaire pour assurer l'unicité de l'inscription sur les listes électorales, permet de s'assurer de la bonne affectation des événements électoraux notifiés et n'implique pas l'enregistrement du NIR dans le traitement, qui utilisera un identifiant distinct, l'identifiant national d'électeur (INE), pour les échanges d'informations nécessaires à la gestion des listes électorales, cette consultation du RNIPP apparaît justifiée à la commission.
Le système permettra également de procéder à des inscriptions d'office, pour les personnes atteignant l'âge de 18 ans et celles acquérant la nationalité française, sur la base des informations transmises à l'INSEE par la direction du service national du ministère de la défense, par le ministère de la justice et par le ministère de l'intérieur. Il permettra également de procéder à des radiations automatiques en cas de mise sous tutelle, de condamnation ou de perte de nationalité, sur la base des informations transmises par les ministères de la justice et de l'intérieur.
En outre, le système intégrera les informations transmises par les autres Etats membres de l'Union européenne, avant chaque scrutin européen, concernant les électeurs de nationalité française inscrits pour cette élection sur leurs listes nationales. Une mention signalant qu'ils ne doivent pas voter pour un représentant français sera apposée sur les listes électorales françaises de manière à éviter la possibilité d'un double vote, étant précisé que le traitement sera également utilisé pour extraire les informations devant être transmises aux mêmes fins aux autres Etats membres, conformément à l' article 2-5 du décret n° 79-160 du 28 février 1979 portant application de la loi n° 77-729 du 7 juillet 1977 relative à l'élection des représentants au Parlement européen.
Enfin, la mise en œuvre du REU doit faciliter les vérifications devant être effectuées par la commission de contrôle prévue à l' article L. 19 du code électoral, issu de la loi n° 2016-1048 susvisée, et permettre la mise en œuvre d'un téléservice offrant la possibilité aux électeurs d'accéder aux données et informations enregistrées les concernant. La commission prend acte que les conditions de mise en œuvre de ce téléservice seront définies dans un projet d'arrêté qui lui sera ultérieurement soumis.
Au regard de l'ensemble de ces éléments, la commission considère que le projet de traitement qui lui est soumis poursuit des finalités déterminées, légitimes et explicites, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle rappelle toutefois que l'ampleur du traitement projeté, qui comportera des données relatives à l'ensemble des électeurs français et notamment leur adresse, les nombreux échanges d'informations prévus avec de multiples administrations ainsi que la consultation systématique du RNIPP appellent des garanties particulières pour s'assurer de la stricte proportionnalité du dispositif.
A cet égard, la commission relève que l' article L. 16 du code électoral prévoit que le REU ne pourra être utilisé qu' aux seules fins de gestion du processus électoral et que le projet de décret, sur de nombreux points et notamment en ce qui concerne les conditions d'accès aux données, prévoit les restrictions adéquates pour assurer le respect de l'exigence de proportionnalité. Elle estime toutefois que les garanties prévues doivent encore être renforcées, en particulier pour mieux définir et encadrer les conditions d'utilisation d'identifiants nationaux et pérennes des électeurs.
Sur les données traitées et leur durée de conservation :
L'article 2 du projet de décret distingue cinq catégories de données :
- les données permettant l'identification de l'électeur ;
- les informations relatives à la situation électorale de l'électeur ;
- les informations complémentaires, qui portent essentiellement sur les adresses de l'électeur ;
- les données qualifiées de préalables au traitement ;
- les données de gestion.
La collecte d'une partie de ces données est expressément prévue par l' article L. 16 du code électoral, qui dispose que le répertoire électoral unique comprend les nom, prénoms, date et lieu de naissance, domicile ou lieu de résidence de chaque électeur mais également le bureau de vote correspondant au périmètre géographique dont relève l'électeur . Une telle collecte, indispensable pour la constitution des listes électorales dont la composition est définie à l'article 12 du projet de décret, apparaît dès lors justifiée à la commission. Il en va de même des informations relatives au numéro d'ordre séquentiel sur la liste d'émargement, mentionnées dans la catégorie des informations complémentaires et qui ont vocation à figurer sur la liste électorale, du sexe et de la nationalité de l'intéressé ainsi que des informations relatives à sa situation électorale.
N'appellent pas davantage de réserve l'enregistrement des pièces justificatives produites par les électeurs ainsi que celui des données de gestion, qui comprennent principalement la liste des utilisateurs du système.
Les autres catégories de données mentionnées par le projet de décret appellent plusieurs observations de la part de la commission.
En premier lieu, le projet de décret prévoit la collecte d'un identifiant national d'électeur (INE) . L'INE, créé chaque fois qu'un nouvel électeur sera inscrit dans le REU, doit constituer un identifiant pérenne utilisé par tous les acteurs du système de gestion du REU. Comme indiqué précédemment, pour garantir la qualité de l'identification des électeurs, le système de gestion interrogera le RNIPP chaque fois qu'une notification d'événement portera sur un individu dont l'identité est inconnue du REU. L'état civil de l'électeur sera ainsi soumis au processus d'identification du RNIPP qui attribuera ensuite une concordance entre l'INE et un identifiant de l'individu (distinct du NIR et non signifiant).
La commission rappelle que la création d'un identifiant unique et pérenne soulève des risques particuliers d'atteintes aux droits et libertés des personnes et doit donc être entourée de garanties appropriées. En l'espèce, la commission prend acte que la création de l'INE, qui ne sera pas un identifiant signifiant, constituera un identifiant sectoriel distinct du NIR qui facilitera les échanges d'informations et les vérifications nécessaires à l'établissement des listes électorales. Au regard de ces éléments et sous réserve que l'utilisation de l'INE reste strictement limitée aux opérations nécessaires à la gestion du REU, à l'exclusion de toute autre utilisation par les destinataires du REU dotés de compétences distinctes de celles liées à l'établissement des listes électorales, la création de cet identifiant apparaît justifiée à la commission.
Elle souligne en outre que l'utilisation d'un second identifiant individuel, distinct de l'INE et du NIR, n'est pas prévue par le projet de décret, alors même que le dossier soumis à la commission prévoit expressément que la table de correspondance entre cet identifiant et l'INE sera stockée dans le système de gestion. N'est pas davantage prévue par le projet de décret la création d'une table de correspondance entre le second identifiant et le NIR, pourtant nécessaire pour permettre les mises à jour automatiques des données du REU en cas de changement d'état civil ou de fusion d'individus résultant des travaux de gestion du RNIPP. Le ministère s'est toutefois engagé à compléter le projet de décret pour autoriser l'utilisation du second identifiant et de la table de correspondance avec le NIR, ce dont la commission prend acte.
En deuxième lieu, le projet de décret prévoit l'enregistrement de l'adresse postale de contact, de l'adresse électronique et du numéro de téléphone des électeurs. La commission prend acte que la collecte de telles informations, en dehors de l'adresse électronique des électeurs consulaires, demeurera facultative et vise à faciliter les échanges avec les usagers dans le cadre de l'instruction de leur demande d'inscription. Sur ce point, elle prend acte de l'engagement du ministère à compléter le projet de décret pour prévoir expressément le cadre dans lequel de telles informations pourraient être utilisées.
La commission prend également acte que l'application dédiée du ministère de l'Europe et des affaires étrangères, qui permettra de transmettre au système de gestion du REU les informations relatives aux électeurs consulaires, prévoit la possibilité d'indiquer deux adresses de messagerie électronique, qui est exclue pour les autres électeurs qui ne peuvent renseigner qu'un champ d'adresse électronique. Une telle distinction apparaît justifiée à la commission dans la mesure où la première adresse électronique communiquée par les électeurs consulaires fait partie des éléments contenus dans la liste électorale et est donc soumise au même régime de publicité, ce qui peut conduire à la réception d'un nombre important de courriels indésirables sur cette adresse et justifier l'utilisation de plusieurs adresses.
En dernier lieu, en ce qui concerne l'enregistrement d'informations relatives aux père et mère des personnes demandant leur inscription sur les listes électorales, la commission prend acte que ces données, transmises par les services des ministères de l'intérieur et de la justice, ne seront utilisées que pour faciliter l'identification des personnes qui doivent faire l'objet d'une inscription ou d'une radiation d'office, ce que le ministère s'engage à préciser dans le projet de décret.
L'article 3 du projet de décret définit les durées de conservation de l'ensemble de ces données.
Sur ce point, la commission relève à titre liminaire que les électeurs ne pourront pas demander à être radiés des listes électorales et donc à ne plus figurer dans le REU, l'inscription sur les listes électorales étant rendue obligatoire par l' article L. 9 du code électoral. La seule possibilité de radiation volontaire sera la radiation des listes complémentaires, qui concernent les ressortissants d'un autre Etat membre de l'Union européenne.
Le projet de décret prévoit que les données et informations enregistrées dans le REU seront supprimées au 31 décembre de l'année suivant le décès de l'électeur, sous réserve de cas limités à certaines catégories de données. Dans ces conditions et eu égard à l'ampleur du traitement, la commission juge nécessaire que les durées de conservation définies par le projet de décret dans ce cadre particulier soient strictement limitées aux durées justifiées par les finalités du traitement.
Elle relève qu'en dehors de la suppression de l'ensemble des données à la suite du décès d'un électeur le projet de décret distingue trois catégories de données pour lesquelles une suppression antérieure peut être prévue :
- les données et informations relatives à la situation électorale précédente de l'électeur et les adresses associées à cette situation (adresse au titre de laquelle l'électeur était inscrit sur la liste électorale et, éventuellement, adresse postale de contact) ;
- les données et informations contenues dans les dossiers de demande d'inscription ou de radiation ;
- les données relatives à la filiation.
Pour ces catégories de données, le projet de décret prévoit que les données sont conservées jusqu'au 31 décembre de l'année suivant, respectivement, la survenue du changement de situation, le dépôt du dossier et l'inscription au répertoire.
La commission relève tout d'abord que le projet de décret ne prévoit pas la suppression des coordonnées de contact à l'issue de l'instruction de la demande d'inscription, alors que cette collecte est facultative et ne vise qu'à faciliter les échanges entre l'administration et l'usager dans le cadre de cette instruction. Si le ministère fait valoir que la conservation de cette donnée doit permettre aux communes, au-delà de l'instruction d'un dossier, de vérifier le maintien de l'attache communale des électeurs inscrits sur leurs listes électorales, la commission relève que, pour être envisagée, une telle utilisation doit avoir fait l'objet d'une information adéquate auprès des intéressés qui ont consenti à les communiquer et que, à défaut, la conservation de ces données au-delà de l'instruction des dossiers n'est pas justifiée. Elle prend acte qu'une telle information sera délivrée aux intéressés par le biais du formulaire CERFA d'inscription sur les listes électorales.
En dehors de cette catégorie de données facultative, la commission prend acte que la suppression des données relatives à l'ancienne situation électorale ne peut pas intervenir dès la survenue du changement de situation électorale de l'intéressé dans la mesure où les informations et données doivent être conservées pendant une durée d'environ un an après cet événement pour permettre à la commission de contrôle prévue à l' article L. 19 du code électoral d'examiner tous les éléments permettant de retracer et de justifier les mouvements opérés sur la liste électorale. Elle relève toutefois que les données pourraient être conservées au-delà de la durée justifiée par les nécessités de contrôle invoquées, dans la mesure où le principe d'une purge annuelle pourrait conduire à la conservation de certaines données pendant une durée proche de deux ans.
Si le ministère invoque également la nécessité de conserver les données relatives à la situation électorale précédente pour pouvoir rétablir cette situation dans l'hypothèse où un recours contentieux ou une décision de la commission de contrôle l'exigerait, la commission rappelle qu'une durée de conservation ne peut pas être fondée sur un risque contentieux et que c'est uniquement en cas de contentieux effectif que pourrait être justifiée, exceptionnellement, une durée de conservation supérieure à celle prévue par les textes. Toutefois, au regard de la complexité technique du dispositif envisagé, de l'intérêt opérationnel du principe d'une purge annuelle et des garanties prises par le ministère pour limiter le risque d'un accès non autorisé aux données, les durées de conservation prévues par le projet de décret n'appellent pas de réserve de la part de la commission.
Sur les destinataires :
Le projet de décret distingue les personnes ayant accès à tout ou partie des données et informations enregistrées dans le traitement des personnes qui peuvent être destinataires de tout ou partie de ces mêmes données et informations.
S'agissant des personnes ayant directement accès au traitement, sont d'abord concernés les agents de l'INSEE individuellement désignés et habilités par le directeur général de l'INSEE. Dans la mesure où le traitement est mis en œuvre par l'INSEE et où l'accès prévu est limité aux attributions légales et au besoin de connaître des informations enregistrées, un tel accès apparaît justifié à la commission.
Bénéficient également de cet accès direct les agents des communes, des préfectures et du ministère de l'Europe et des affaires étrangères individuellement désignés et habilités par les autorités dont ils relèvent. La commission relève que cet accès est limité aux données et informations concernant les électeurs relevant du ressort de compétence des collectivités ou services concernés, ce qui est une garantie qui répond à l'exigence de stricte proportionnalité du dispositif rappelée par la commission. Dans ces conditions, ces accès n'appellent pas de réserve de sa part.
Il en va de même de l'accès de l'administrateur supérieur des îles Wallis et Futuna et des agents habilités par lui, des agents de l'Institut de la statistique de la Polynésie française (ISPF) ainsi que de l'accès du haut-commissaire de la République en Polynésie française et des personnes individuellement désignées par lui, respectivement limités aux informations nécessaires à la gestion des listes électorales des îles Wallis et Futuna ou des listes électorales de la Polynésie française.