AgentPublic/cnil huggingface dataset:
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile, notamment ses articles R. 311-13-1, R. 611-1 et suivants ;
Vu le code des postes et des communications électroniques, notamment son article L. 102 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2016-1460 du 28 octobre 2016 autorisant la création d’un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d’identité ( TES ) ;
Vu l’arrêté du 24 juillet 2015 portant création d'un traitement de données à caractère personnel par la direction interministérielle des systèmes d'information et de communication d'un téléservice dénommé FranceConnect ;
Vu 
l’arrêté du 10 août 2016 autorisant la création d'un traitement automatisé de données à caractère personnel dénommé DOCVERIF ;
Vu la délibération n° 2015-254 du 6 juillet 2015 portant avis sur un projet d’arrêté portant création d’un traitement automatisé de donnée à caractère personnel par la direction interministérielle des systèmes d’information et de communication d’un téléservice dénommé FranceConnect ;
Vu la délibération n° 2016-292 du 29 septembre 2016 pour avis sur un projet de décret 
autorisant la création d’un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d’identité ( TES ) ;
Vu la délibération n° 2016-218 du 21 juillet 2016 portant avis sur un projet d’arrêté autorisant la création d’un traitement automatisé de données à caractère personnel dénommé DOCVERIF ;
Après avoir entendu M. François PELLEGRINI, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
La Commission a été saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret en Conseil d’Etat autorisant la création d’un traitement automatisé permettant de délivrer une identité numérique dénommé Application de lecture d’un citoyen en mobilité ( ALICEM ). Ce traitement, mis en œuvre par la direction de la modernisation et de l’action territoriale, doit permettre aux personnes majeures titulaires d’un passeport biométrique ou d’un titre de séjour étranger électronique de se créer une identité numérique à partir de leur titre d’identité sur son application mobile puis de s’identifier et de s’authentifier à des fournisseurs de services en ligne.
Elle relève que le traitement projeté repose sur un système de reconnaissance faciale permettant de vérifier l’exactitude de l’identité alléguée par la personne recourant à ce dispositif, l’identité numérique ainsi créée pouvant être utilisée pour s’identifier et s’authentifier auprès de services en ligne.
Compte tenu de ses finalités, la Commission estime que le traitement ALICEM relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après RGPD ) et doit être examiné au regard de ces dispositions. Elle rappelle également que l’article 9.4 du RGPD prévoit que le droit national peut introduire des conditions supplémentaires en ce qui concerne les traitements de données biométriques.
Le traitement de données à caractère personnel, qui doit être regardé compte tenu de l’économie générale du dispositif décrite ci-après comme mis en œuvre pour le compte de l’Etat agissant dans l'exercice de ses prérogatives de puissance publique, porte sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes. Il doit dès lors faire l’objet d’un décret en Conseil d’Etat, pris après avis motivé et publié de la Commission conformément aux dispositions de l’article 27 de la loi du 6 janvier 1978 modifiée.
Elle relève par ailleurs que le présent projet de décret, qui a été accompagné d’une analyse d’impact, modifie également le code de l’entrée et du séjour des étrangers et du droit d’asile ( CESEDA ). En particulier, il est prévu de modifier l’article R. 611-1 du CESEDA pour permettre la mise en relation du traitement AGDREF 2 (Application de gestion des dossiers des ressortissants étrangers en France) avec le traitement DOCVERIF et permettre ainsi la transmission à DOCVERIF des données relatives aux titres des ressortissants étrangers. Cette mise en relation n’appelle pas en soi d’observation particulière.
En ce qui concerne le traitement AGDREF 2, la Commission rappelle qu’il a pour finalité principale de garantir le droit au séjour des ressortissants étrangers en situation régulière et de lutter contre l’entrée et le séjour irréguliers en France des ressortissants étrangers . Ce traitement constitue ainsi le fichier principal de gestion administrative des étrangers en France et permet notamment la gestion, par les préfectures, des dossiers de ressortissants étrangers, la fabrication des titres de séjour et la gestion des mesures d'éloignement.
Au regard de ces éléments, la Commission estime que le traitement AGDREF 2 relève des dispositions des articles 70-1 et suivants de la loi Informatique et Libertés ayant transposé la directive du 27 avril 2016 susvisée et que la présente modification relève desdites dispositions en ce qu’elle s’inscrit pleinement dans la prévention et la détection des infractions pénales.
Conformément à l’article L. 611-5 du CESEDA et à l’article 30-II de la loi du 6 janvier 1978 modifiée, les modifications apportées à ce traitement doivent faire l’objet d’un décret en Conseil d’Etat pris après avis de la CNIL. De manière générale, elle rappelle également qu’en application de l’article 70-4 de cette même loi, les traitements qui sont susceptibles d’engendrer un risque élevé pour les droits et libertés des personnes physiques, doivent faire l’objet d’une analyse d’impact sur la protection des données à caractère personnel ( AIPD ). La Commission rappelle également que les traitements présentant un risque élevé ayant fait l’objet d’une formalité préalable avant le 25 mai 2018 ne sont toutefois pas immédiatement soumis à la réalisation d’une AIPD, à moins que les conditions de mise en œuvre de ces traitements aient fait postérieurement l’objet d’une ou plusieurs modifications substantielles.
A cet égard, elle relève qu’au regard de ses finalités et des données biométriques qu’il contient, le traitement AGDREF 2 est, par nature, susceptible d’engendrer des risques élevés pour les personnes concernées. Elle considère en revanche que la modification examinée (ajout d’une mise en relation avec le traitement DOCVERIF) n’est pas substantielle. La Commission estime en conséquence que la modification du traitement qui lui est soumise ne nécessite pas, à ce stade et compte tenu des circonstances de l’espèce, la réalisation d’une analyse d’impact dans le cadre de la présente saisine.
Sur la finalité et les fonctionnalités du traitement
L’article 1er du projet de décret prévoit que le traitement a pour finalité de proposer aux ressortissants français titulaires d’un passeport biométrique et aux ressortissants étrangers titulaires d’un titre de séjour comportant un composant électronique de s’identifier et de s’authentifier auprès d’organismes publics ou privés, au moyen d’un téléphone mobile disposant d’un système d’exploitation Android et doté de la technologie sans contact.
La Commission relève que l’article 1er du projet de décret précité ne mentionne pas la création et la délivrance de l’identité numérique (ou moyen d’identification électronique) à partir de l’application mobile, alors même que celle-ci constitue l’une des finalités du traitement projeté et que c’est à partir de la création de l’identité numérique qu’un individu pourra s’identifier et s’authentifier pour accéder à des services en ligne. L’article 1er devrait dès lors être modifié afin de de faire état, au titre des finalités poursuivies, de la création d’une identité numérique.
En premier lieu, en ce qui concerne la création d’une identité numérique, la Commission relève que celle-ci est subordonnée à la création d’un compte sur l’application ALICEM. Elle précise que la création de ce compte nécessite la saisie, par la personne concernée, de son adresse électronique et de son numéro de téléphone mobile, lesquels sont vérifiés par l’envoi d’un lien unique d’activation sur l’adresse électronique et d'un mot de passe à usage unique par un court message au numéro de téléphone mobile.
L’article 2 du projet de décret précise à cet égard que le traitement mentionné à l’article 1er s’applique aux ressortissants français titulaires d’un passeport biométrique et aux ressortissants étrangers titulaires d’un titre de séjour comportant un composant électronique conformément à l’article R. 311-13-1 du CESEDA.
Les personnes concernées munies de leur titre - un passeport biométrique pour les ressortissants français et un titre de séjour étranger électronique pour les ressortissants étrangers - procèdent ensuite à la lecture optique des données de la bande MRZ du titre en la photographiant au moyen de leur équipement mobile.
La technologie sans contact doit permettre la lecture des données du titre enregistrées dans le composant électronique, à savoir les données d’état civil, de l’adresse et de la photographie de l’utilisateur. La Commission prend acte que l’image numérisée des empreintes digitales n’est pas lue par le dispositif et ne sera par conséquent pas utilisée ni enregistrée dans le traitement projeté.
Une interrogation du traitement DOCVERIF, qui fait l’objet d’une saisine distincte, est effectuée afin de confirmer la validité du titre d’identité. A cet égard, la Commission prend acte qu’un utilisateur disposant d’un titre invalide ne pourra pas procéder à la création d’une identité numérique.
Enfin, elle relève que l’accès à l’application ALICEM est sécurisé par un code de sécurité ( code PIN ) défini par l’utilisateur de l’application et qui lui sera demandé pour accéder à l’application et pour s’authentifier auprès de services en ligne concernés. La Commission prend acte qu’une fois le compte créé, son activation est subordonnée à un processus de vérification de l’identité alléguée afin de s’assurer que la personne ayant créé le compte correspond à celle détenant le titre. Elle relève que cette vérification prend la forme d’un traitement biométrique de reconnaissance faciale à partir d’une vidéo prise en temps réel par l’utilisateur qui doit réaliser une série de défis imposés par l’application (clignement des yeux, mouvement de la tête, mouvement du visage, etc.). Cette vidéo est ensuite envoyée sur les serveurs de l’Agence nationale des titres sécurisés ( ANTS ). La Commission prend acte que ces défis sont utilisés pour vérifier qu’il s’agit bien d’une personne en possession du téléphone mobile (phase de reconnaissance faciale dite dynamique ). Enfin, une photographie est extraite de la vidéo pour réaliser une comparaison avec le portrait extrait du titre (phase de reconnaissance faciale dite statique ).
A la suite du déroulement satisfaisant de la phase d’activation, l’identité numérique est générée. L’accès au compte ALICEM pourra dès lors s’effectuer via l’application mobile ou le site web dédié à l’application.
En second lieu, la Commission relève qu’une fois créé et activé, les utilisateurs du dispositif pourront s’identifier et s’authentifier auprès de fournisseurs de services en ligne.
Elle relève ainsi que les personnes peuvent opter pour l’identité numérique ALICEM directement auprès des fournisseurs de services en ligne ou par l’intermédiaire du dispositif FranceConnect , préalablement examiné par la Commission. Dans un premier temps, l’utilisateur ne pourra sélectionner l’identité numérique ALICEM pour accéder à un fournisseur de services que par l’intermédiaire de FranceConnect.
La Commission relève que l’identification et l’authentification à des services en ligne ne comportent pas par elles-mêmes de traitement de données biométriques, tant pour l’accès à un service nécessitant un niveau de sécurité élevé au sens du règlement e- IDAS susvisé que pour l’accès à un service nécessitant un niveau de sécurité substantiel ou faible au sens de ce même règlement.
La Commission prend acte qu’un audit RGAA (Référentiel général d’accessibilité de l’administration) a été mené en 2017.
Sous réserve de ce qui précède, la Commission estime que les finalités poursuivies par le traitement ALICEM sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 5-1-b) du RGPD.
Sur le traitement de données biométriques
La Commission relève que le ministère entend faire application du consentement au titre de la base légale permettant la mise en œuvre du dispositif ALICEM.
Elle considère toutefois qu’il résulte de l’examen des conditions de mise en œuvre du dispositif projeté, telles qu’elles lui ont été présentées, qu’il convient d’opérer une distinction entre la création d’une identité numérique ALICEM et l’étape de vérification de l’identité alléguée par la personne pour activer le compte ALICEM, cette activation étant subordonnée au traitement de données biométriques.
A cet égard, la Commission estime que s’il est effectivement expressément consenti à la création d’une identité ALICEM, la mobilisation du consentement pour fonder le recours à la biométrie aux fins de vérifier l’exactitude de l’identité alléguée par la personne créant son identité numérique, et procéder ainsi à l’activation du compte ALICEM, soulève des interrogations.
La Commission rappelle en effet que l’article 9.1 du RGPD pose un principe d’interdiction du traitement de certaines catégories de données dites sensibles , parmi lesquelles figurent les données biométriques. L’article 9.2 précise quant à lui que l’interdiction précitée peut être écartée dans certains cas, notamment lorsque (a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques ou (g) lorsque le traitement est nécessaire pour des motifs d’intérêt public importants .
En premier lieu, elle rappelle que pour être valable, le consentement dont il est question doit être libre, spécifique, éclairé et univoque conformément à l’article 4-11) du RGPD.
A ce titre, la Commission prend acte que dans le cadre du traitement projeté, les personnes sont invitées préalablement au processus de création de l’identité numérique à consentir ou non au traitement de leurs données biométriques. Elle prend également acte que le refus de procéder à de la reconnaissance faciale au stade de la procédure d’activation du compte ALICEM empêche la création de l’identité numérique ALICEM.
Compte tenu de ce qui précède, la Commission rappelle que le consentement n’est susceptible de constituer la base juridique du traitement de données biométriques que dans l’hypothèse où la personne concernée dispose d’un contrôle et d’un choix réel concernant l’acceptation ou le refus des conditions proposées ou encore de la possibilité de les refuser sans subir de préjudice.
A cet égard, la Commission considère, conformément à la position retenue par le groupe de travail de l’article 29 ( G29 ) et reprise par le Comité européen de la protection des données (CEPD) dans le cadre de ses lignes directrices sur le consentement que, dans l’hypothèse où la fourniture d’un service est subordonnée au consentement au traitement de données personnelles, ce consentement n’est libre que si le traitement de ces données est strictement nécessaire à la fourniture du service demandé par la personne, ou si une alternative est effectivement offerte par le responsable de traitement à la personne concernée.
En l’espèce, le refus du traitement des données biométriques fait obstacle à l’activation du compte, et prive de portée le consentement initial à la création du compte. Or, la nécessité de recourir à un dispositif biométrique pour vérifier l’identité d’une personne dans le but d'atteindre le niveau de garantie élevé de l’identité numérique, au sens du règlement e-IDAS, n’a pas été établie, compte tenu notamment de la possibilité de recourir à des dispositifs alternatifs de vérification (cf. infra).
Par ailleurs, la Commission relève que le ministère ne propose pas, en l’occurrence et à l’heure actuelle, d’alternative à la reconnaissance faciale pour créer une identité numérique de niveau élevé au sens du règlement e-IDAS. Il en résulte que la création d’une identité numérique ALICEM est subordonnée à un processus de reconnaissance faciale sans qu’aucune autre alternative équivalente ne soit prévue pour permettre la délivrance d’une identité numérique par cette application.
Au regard des principes rappelés ci-dessus, le consentement au traitement des données biométriques ne peut être regardé comme libre et comme étant par suite susceptible de lever l’interdiction posée par l’article 9.1 du RGPD.
En deuxième lieu, la Commission relève qu’en l’espèce, il n’a pas été soutenu ni démontré que le traitement projeté serait nécessaire pour des motifs d’intérêt public important . Elle estime en particulier que s’il ne peut d’emblée être exclu que ce traitement puisse s’inscrire dans le cadre de motifs d’intérêt public important en favorisant à l’initiative de l’Etat la sécurisation de l’identification électronique, la caractérisation d’un tel motif, tout comme l’appréciation de la nécessité mentionnée au (g) de l’article 9.2. supposeraient en tout état de cause de la part du ministère des éléments de démonstration complémentaires.
Dans ces conditions, elle considère que la mise en œuvre du traitement projeté doit être subordonnée au développement de solutions alternatives au recours à la biométrie, telle qu'utilisée pour vérifier l’exactitude de l’identité alléguée par la personne créant son compte, et ainsi s’assurer de la liberté effective du consentement des personnes concernées au traitement de leurs données biométriques au moment de l’activation de leur compte ALICEM. Ces solutions alternatives pourraient notamment prendre la forme d’un
 face à face (tel qu’un déplacement en préfecture, en maire, 
ou auprès d’un autre service public accueillant directement le public.
), d’une vérification manuelle de la vidéo et de la photographie sur le titre (telle qu’un envoi de la vidéo au serveur de l’ANTS et vérification de l’identité opérée par un agent) ou d’un appel vidéo en direct avec un agent de l’ANTS.
La Commission estime par ailleurs que le développement de ces solutions alternatives est également de nature à permettre à un plus grand nombre de personnes d’utiliser le dispositif ALICEM et, en particulier, s’agissant de celles qui ne seraient pas en mesure de réaliser les différents défis proposés.
Sur les données traitées
L’article 7 du projet de décret énumère les catégories de données enregistrées dans le traitement projeté, à savoir : les données permettant l’identification de l’usager, les données permettant l’identification du titre détenu par l’usager, les données relatives à l’historique des transactions associées au compte ALICEM et l’identifiant unique du service de notification aux fins d’identification du téléphone mobile.
La Commission relève à cet égard que certaines données à caractère personnel sont enregistrées sur l'équipement mobile de l’utilisateur et d’autres sur le serveur central de l’ANTS. Ce partage permet notamment que seules les données d’identification soient conservées sur l'équipement mobile de l’utilisateur et donc sous son contrôle exclusif.
Au titre des données permettant l’identification de l’usager, seront enregistrées les données d’état civil (nom, le cas échéant nom d’usage, prénom, date et lieu de naissance, nationalité, sexe, taille et couleur des yeux et adresse postale) ainsi que la photographie de la personne. La Commission relève que ces données sont directement issues de la lecture sans contact du composant électronique du titre pendant la phase d’enrôlement. Elle estime que ces données, permettant de certifier l’identité du titulaire d’un titre, sont pertinentes, adéquates et non excessives au regard de la finalité relative à la création de l’identité numérique de la personne concernée.
En outre, la Commission prend acte que l’image numérisée des empreintes digitales contenue dans le composant électronique du titre ne sera enregistrée ni dans l’application mobile, ni dans le serveur central de l’ANTS conformément aux articles 5 et 6 du projet de décret.
Par ailleurs, sont également collectées l’adresse électronique et le numéro de téléphone mobile de la personne. Ces données, permettant d’amorcer le processus de création du compte ALICEM, n’appellent pas d’observations particulières de la Commission.
La Commission relève également que les données biométriques relatives à la vidéo et à la photographie de l’utilisateur prises avec son équipement sont nécessaires au traitement biométrique de reconnaissance faciale. Elles sont donc adéquates, pertinentes et non excessives. Elle prend acte que ces données seront effacées dès la fin de la comparaison réalisée.
S’agissant des données relatives à l’historique des transactions, réalisées par l’intermédiaire de FranceConnect et enregistrées dans le traitement, la Commission rappelle que ce dispositif garantit un principe de séparation stricte entre le fournisseur d’identités et le fournisseur de services, de manière à ce que le fournisseur d’identité ignore quel fournisseur de services a utilisé l’identité.
La Commission prend acte que les données mentionnées du a) au d) du 3° de l’article 7 du projet de décret, qui correspondent aux données relatives à l’historique des transactions permettant de connaître le fournisseur de services, ne seront pas transmises et donc conservées dans le traitement lorsque les transactions seront réalisées par l’intermédiaire de FranceConnect .
Enfin, les données permettant l’identification du titre détenu par l’usager et l’identifiant unique du service de notification aux fins d’identification du téléphone mobile, n’appellent pas d’observations particulières de la Commission.
Sous réserve de ce qui précède, la Commission considère que les données sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5-1-c du RGPD.
Sur les durées de conservation
L’article 11 du projet de décret prévoit des durées de conservation différentes en fonction des données concernées.
Les données conservées sur l'équipement mobile de la personne concernée, c'est-à-dire les données relatives à l’identification et les données relatives à l’historique des transactions, sont supprimées lors de la désinstallation de l’application, ce qui n’appelle pas d’observation particulière.
L’article 11.II du projet de décret précise que les données enregistrées sur le serveur central sont conservées jusqu’à la désinstallation de l’application par l’usager ou bien sept ans à compter de la dernière utilisation du compte ALICEM. Le ministère a indiqué sur ce point que cette durée de sept ans est conforme aux exigences de l’ANSSI en application du règlement e-IDAS.
Enfin, ledit article prévoit deux durées de conservation spécifiques en cas de non achèvement du processus de création et d’activation de l’identité numérique ALICEM (vingt-quatre heures en cas de non achèvement de la création du compte et sept jours en cas de non activation du compte), lesquelles n’appellent pas d’observation de la part de la Commission.
Sur les personnes habilitées et les destinataires