AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie et des finances d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du ler septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel dénommé Module applicatif d'interrogation de données ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le règlement 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code des relations entre le public et l'administration, notamment ses articles L. 114-8 et L. 114-9 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-II (4°) et 30-II ;
Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 modifiée relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-112 du 2 février 2010 pris en application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu l'arrêté du 5 avril 2002 modifié portant création par la direction générale des finances publiques d'un traitement automatisé d'informations nominatives dénommé accès au dossier fiscal des particuliers (ADONIS) ;
Vu l'arrêté du 17 janvier 2008 modifié relatif à la mise en service par la direction générale des finances publiques d'un traitement automatisé d'identification des personnes physiques et morales dénommé PERS ;
Vu l'arrêté du 24 juillet 2015 portant création d'un traitement de données à caractère personnel par la direction interministérielle des systèmes d'information et de communication d'un téléservice dénommé FranceConnect ;
Vu l'arrêté du 1er septembre 2016 modifié portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel dénommé Module applicatif d'interrogation de données ;
Vu la délibération n° 2016-261 du 21 juillet 2016 portant avis sur un projet d'arrêté portant modification d'un traitement automatisé d'informations nominatives dénommé accès au dossier fiscal des particuliers (ADONIS) ;
Sur la proposition de Mme Laetitia AVIA, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'économie et des finances d'une demande d'avis relative à un projet d'arrêté modifiant l'arrêté du 1er septembre 2016 portant création d'un traitement automatisé de données à caractère personnel dénommé Module applicatif d'interrogation de données .
Ce traitement, mis en œuvre par la direction générale des finances publiques (DGFiP), a pour finalité de permettre, dans les conditions prévues à l'article L. 114-8 du code des relations entre le public et l'administration (CRPA), le transfert d'informations fiscales à des autorités administratives en vue du traitement de démarches des usagers. Il a été autorisé par un arrêté pris sur le fondement de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, qui porte sur les traitements mis en œuvre par l'Etat aux fins de mise à disposition des usagers de l'administration d'un téléservice de l'administration électronique. L'arrêté modifiant les conditions de mise en œuvre de ce traitement doit donc être pris après avis motivé et publié de la commission.
L'article L. 114-8 du CRPA prévoit que les administrations échangent entre elles toutes les informations ou données strictement nécessaires pour traiter une demande présentée par le public ou une déclaration transmise par celui-ci en application d'un texte législatif ou réglementaire . C'est pour permettre un tel échange d'informations que le Module applicatif d'interrogation de données, actuellement composé de deux interfaces dénommées respectivement API universelle et API impôt particulier , a été créé par l'arrêté du 1er septembre 2016 susvisé, pris après l'avis de la commission en date du 21 juillet 2016. Ces deux interfaces permettent d'extraire du traitement ADONIS, mis en œuvre par la DGFiP en application de l'arrêté du 5 avril 2002 susvisé et relatif au dossier fiscal des particuliers, une copie des données qui y sont enregistrées afin de les transférer aux autorités administratives saisies de démarches des usagers nécessitant la communication de données fiscales.
Le dispositif n'est toutefois applicable, conformément à l'article 2 de l'arrêté du 1er septembre 2016 précité, qu'aux démarches administratives entreprises dans le cadre d'un téléservice utilisant le dispositif FranceConnect.
Ce dispositif, créé par l'arrêté du 24 juillet 2015 susvisé et qui a notamment pour finalité de sécuriser le mécanisme d'échange d'informations entre autorités administratives prévu par les dispositions de l'article L. 114-8 du CRPA, propose aux usagers de s'identifier et de s'authentifier auprès de fournisseurs de téléservices.
L'objet du présent projet d'arrêté est de compléter ce dispositif pour permettre l'échange automatisé d'informations entre administrations pour le traitement de démarches des usagers indépendamment du recours au service FranceConnect. Il prévoit ainsi de modifier l'article 2 de l'arrêté du 1er septembre 2016 précité, relatif aux finalités du traitement, pour indiquer que les démarches concernées sont effectuées soit via le téléservice FranceConnect, soit directement auprès de l'autorité administrative compétente . Une telle modification vise concrètement à étendre l'application du dispositif d'échange d'informations aux démarches en ligne qui ont été effectuées sur des sites qui n'offrent pas la possibilité d'utiliser FranceConnect ou qui ont été réalisées par des usagers qui ne disposent pas d'avis d'imposition et ne peuvent donc pas utiliser le service FranceConnect. Elle vise également à couvrir l'hypothèse de démarches administratives accomplies par le biais de formulaires complétés sous format papier.
La commission prend acte que cet élargissement du dispositif doit s'accompagner d'une simplification des fonctionnalités du traitement, puisqu'il est prévu que le Module applicatif d'interrogation de données ne soit plus composé de deux interfaces mais d'une seule, dénommée API impôt particuliers . Cette dernière pourra être interrogée par l'autorité administrative saisie de la démarche (dite fournisseur de service ) à partir du numéro SPI de l'usager (identifiant fiscal national individuel) ou, à défaut, de son état civil. Dans cette dernière hypothèse, les données relatives à l'état civil, identiques à celles transmises en cas d'utilisation du service FranceConnect, permettront d'obtenir dans un premier temps la communication du numéro SPI de l'usager grâce à l'interrogation du traitement PERS, mis en œuvre par la DGFiP en application de l'arrêté du 17 janvier 2008 susvisé, et l'interrogation de l'API impôt particuliers à partir de ce numéro SPI permettra ensuite d'obtenir la transmission de données fiscales, ce qui n'appelle pas d'observation de la part de la commission.
La commission relève en outre que, conformément aux dispositions de l'article L. 114-8 du CRPA et comme le prévoit déjà l'arrêté du 1er septembre 2016 susvisé, les échanges d'informations permis par le traitement ne pourront concerner que les autorités administratives habilitées à traiter les démarches et formalités des usagers en vertu d'un texte législatif ou réglementaire . Le premier utilisateur de ce dispositif sera le ministère de l'enseignement supérieur et de la recherche, pour le traitement des demandes de bourses des étudiants. En outre, seules pourront justifier de tels échanges les démarches réalisées par des usagers préalablement informés de l'origine des données ainsi que de la liste des données transférées .
Au-delà des exigences découlant de la loi, le projet d'arrêté maintient le principe du consentement des usagers au transfert des données fiscales prévu par l'arrêté du 1er septembre 2016 précité, quel que soit le canal utilisé pour réaliser la démarche administrative. Sur ce point, la commission prend acte qu'il sera demandé par la DGFiP aux administrations saisies de démarches par des usagers de prévoir une case à cocher, à la suite de l'information obligatoire sur la nature et l'origine des données, pour matérialiser l'expression de leur consentement.
Dans ces conditions, la commission considère que le projet qui lui est soumis, qui permet d'élargir le champ des bénéficiaires de la dispense de production de justificatifs découlant de l'article L. 114-8 du CRPA et simplifie ainsi les démarches administratives des usagers, poursuit une finalité déterminée, explicite et légitime au sens de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Elle rappelle toutefois que les modalités des échanges d'informations ou de données entre administrations prévus à l'article L. 114-8 du CRPA doivent être définies par un décret en Conseil d'Etat, pris après avis de la commission, en application de l'article L. 114-9 du même code. Ce décret doit notamment déterminer les domaines et les procédures concernés par les échanges d'informations, les données qui en sont exclues, les critères de sécurité des échanges ou encore le délai de conservation des informations applicable à chaque système d'échanges.
La commission regrette dès lors qu'un tel décret n'ait pas été adopté préalablement à la mise en œuvre du système d'échange d'informations dont l'extension est aujourd'hui envisagée, dans la mesure où il doit permettre de sécuriser et de mieux encadrer, notamment du point de vue de la protection des données, de tels échanges.
Dans l'attente d'un tel encadrement, la commission prend acte que les catégories de données fiscales susceptibles d'être communiquées suite à l'élargissement envisagé du dispositif seront identiques à celles actuellement traitées et que chaque nouvelle administration destinataire devra préalablement passer une convention de partenariat avec la DGFiP, qui définira de manière détaillée les données qui lui sont nécessaires pour l'instruction de demandes ou déclarations du public. La commission prend acte que le respect de ce cadre sera contrôlé pour chaque demande de transfert de données de manière à garantir la stricte nécessité de toute communication d'informations.
Le ministère a également indiqué à la commission que chaque nouvelle administration partenaire devra, préalablement à l'interrogation de l'API et conformément à l'article 5 de l'arrêté du 1er septembre 2016 susvisé, adresser une déclaration de conformité auprès de la commission dans laquelle elle s'engagera à se conformer à l'acte réglementaire unique . Si le projet d'arrêté aujourd'hui soumis à la commission ne modifie pas l'article 5 précité, relatif aux formalités devant être accomplies par les administrations partenaires, la commission souligne, comme elle l'a relevé dans sa délibération du 21 juillet 2016 susvisée, que l'acte réglementaire autorisant la mise en œuvre du Module applicatif d'interrogation de données ne constitue pas exactement un acte réglementaire unique au sens des articles 26-IV et 27-III de la loi du 6 janvier 1978 modifiée. En effet, cet acte réglementaire n'autorise la création par la DGFiP que d'un seul traitement et ne définit pas les conditions spécifiques de mise en œuvre des traitements utilisés par les autorités partenaires qui, comme le rappelle d'ailleurs l'arrêté du 1er septembre 2016 précité, doivent faire l'objet de formalités distinctes auprès de la commission.
Au regard de ces éléments et de l'entrée en vigueur prochaine du Règlement européen sur la protection des données susvisé, qui conduira notamment à un allégement sensible des formalités préalables associées à certains traitements, la commission invite le ministère à modifier l'article 5 de l'arrêté du 1er septembre 2016 susvisé pour mettre fin à l'obligation pour les administrations partenaires de procéder à un engagement de conformité à un acte réglementaire unique. La commission prend acte que le ministère s'engage à procéder à une telle modification.
Elle rappelle toutefois qu'il découle de l'article 3°-II de la loi du 6 janvier 1978 modifiée que la commission doit être informée sur la conclusion de nouvelles conventions de partenariat conduisant à la communication d'informations fiscales à de nouveaux destinataires.
En ce qui concerne la sécurité du dispositif, la commission prend acte que le projet a donné lieu à une démarche d'homologation au Référentiel général de sécurité (RGS) et que, dans ce cadre, une analyse de risque a été effectuée. Elle prend également acte que les serveurs des fournisseurs de services devront s'authentifier via un mécanisme d'authentification forte aux serveurs de la DGFiP et qu'une journalisation des opérations d'échange de données, avec une durée de conservation des traces de deux ans, sera mise en place. Il ressort en outre du dossier que les mesures de traçabilité des connexions prévues permettent de conserver l'identifiant du partenaire conventionné ainsi que celui du téléservice associé, ce qui répond à la recommandation formulée par la commission dans sa délibération du 21 juillet 2016 susvisée tendant à ce que les traces enregistrées permettent d'identifier précisément le service instructeur concerné. La commission relève en outre que les utilisateurs seront informés que leurs opérations font l'objet d'une journalisation.
Elle relève enfin que les échanges de données entre le ministère et les fournisseurs de services se feront via le protocole HTTPS, qui permet de garantir la confidentialité des données échangées ainsi que l'authentification du responsable de traitement. Concernant le recours à ce protocole, la commission recommande d'utiliser la version de TLS la plus à jour possible.
Les autres mesures de sécurité n'appellent pas d'observation de la part de la commission, qui rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'intérieur d'une demande d'avis concernant la mise en œuvre de la plate-forme de signalement IGPN ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité intérieure ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses article 26 et 27 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 9 mai 2014 autorisant le traitement dénommé plate-forme de signalement IGPN ;
Vu la délibération n° 2014-120 du 3 avril 2014 portant avis sur un projet d'arrêté autorisant le traitement dénommé plate-forme de signalement IGPN ;
Vu la délibération n° 2017-191 du 22 juin 2017 portant modification de la délibération n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en oeuvre dans le cadre de dispositifs d'alerte professionnelle ;
Sur la proposition de Mme Marie-France Mazars, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
L'inspection générale de la police nationale (IGPN) été autorisée, par un arrêté du 9 mai 2014 pris après avis de la commission, à mettre en œuvre un dispositif permettant aux citoyens de signaler des comportements susceptibles de mettre en cause des agents affectés dans un service de la police nationale.
Le ministère de l'intérieur souhaite désormais permettre aux agents affectés dans un service de la police nationale de signaler à l'IGPN, via cette même plate-forme, des comportements constitutifs d'actes de harcèlement ou de discrimination relevés au sein de leur entité.
L'intégration de ce nouveau traitement au sein de la plate-forme nécessite la modification de l'arrêté du 9 mai 2014, soumise à l'avis de la commission en application des articles 26 et 27 de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement :
La modification de l'arrêté a pour objectif d'ajouter une nouvelle finalité à l'outil initialement nommé plate-forme de signalement IGPN . Désormais, l'outil permettra également aux agents de la police nationale d'émettre une alerte dénonçant des faits de discrimination ou de harcèlement, relevés au sein de leur entité, commis en service ou en lien avec le service, à l'encontre d'agents affectés dans un service de la police nationale.
Ce mode de signalement intervient en complément de la voie hiérarchique qui constitue la voie traditionnelle de signalement.
La finalité du traitement nouvellement créé au sein de la plate-forme de signalement n'appelle pas d'observation de la part de la commission.
Sur la nature des données traitées :
La commission note que les données collectées correspondent à celles collectées dans le cadre du dispositif mis en oeuvre au profit des citoyens, auxquelles sont ajoutées les données suivantes, spécifiques aux agents de police nationale :
- en ce qui concerne le déclarant : numéro de matricule, numéro d'identification individuel et service d'affectation ;
- en ce qui concerne l'agent mis en cause : civilité, nom, prénom, numéro de matricule, numéro d'identification individuel.
La commission observe que les données nominatives de l'agent mis en cause ont été ajoutées à l'arrêté, conformément à ses recommandations dans sa délibération de 2014.
Elle prend par ailleurs note qu'en cas de signalement de fait de discrimination, la nature de la discrimination est indiquée via une case à cocher. Des éléments complémentaires peuvent être apportés pour préciser les faits signalés. Ils sont alors collectés auprès de la victime après recueil de son consentement écrit et explicite.
La commission rappelle que si des zones de commentaires libres sont prévues dans le formulaire de signalement, des mesures spécifiques doivent être mises en oeuvre pour s'assurer que seules des informations pertinentes, adéquates et non excessives au regard des finalités poursuivies sont collectées.
La commission prend acte que les signalements peuvent être réalisés de manière anonyme mais qu'ils sont traités sous réserve que la gravité des faits soit établie et que les éléments factuels soient suffisamment détaillés, conformément à sa doctrine en matière d'alertes professionnelles.
Sur la durée de conservation des données :
S'agissant de la durée de conservation des données collectées dans le cadre du présent dispositif, elle correspond à la durée retenue pour dispositif de signalement ouvert aux citoyens et examiné en 2014 par la commission. Les données sont ainsi supprimées à l'issue des investigations et, au plus tard, dans un délai de deux ans suivant leur collecte.
Le ministère précise que le délai de deux ans constitue le temps maximum nécessaire à la réalisation des investigations dans le cadre du traitement des signalements.
La commission estime que cette durée de conservation est justifiée par rapport à la finalité poursuivie.
S'agissant des données utilisées à des fins de statistiques, la commission prend acte du fait qu'il ne s'agit pas de donnée permettant d'identifier directement ou indirectement la personne concernée, et qu'elles sont conservées pendant cinq ans.
Sur les destinataires des données :
Il est ajouté, dans l'arrêté encadrant la mise en oeuvre de la plate-forme de signalement, que peuvent être destinataires des données à raison de leurs attributions et dans la limite du besoin d'en connaître, les agents de la préfecture de police et de la direction générale de la sécurité intérieure (DGSI), ainsi que les agents relevant des réseaux professionnels de soutien du secrétariat général du ministère de l'intérieur.
S'agissant de la DGSI, il s'agit plus précisément des agents des services des ressources humaines de la direction. L'ajout de ce destinataire résulte du fait que la DGSI, qui dépendait encore de la direction générale de la police nationale (DGPN) au moment de l'adoption de l'arrêté du 9 mai 2004, constitue désormais une direction distincte de la DGPN.
S'agissant des réseaux des professionnels de soutien du secrétariat général du ministère de l'intérieur, ils regroupent les services de médecine de prévention, le service social ainsi que l'inspection santé et sécurité au travail relevant du secrétariat général du ministère. Ces services peuvent être destinataires des données afin de permettre aux personnes effectuant un signalement d'être orientées, le cas échéant, vers les partenaires médico-sociaux et de ressources humaines compétents.
Sur l'information des personnes :
La commission prend acte de l'engagement du ministère à reprendre les mentions d'information figurant dans sa délibération n° 2017-191 du 22 juin 2017 portant modification de la délibération n° 2005-305 du 8 décembre 2005 portant autorisation unique de traitements automatisés de données à caractère personnel mis en oeuvre dans le cadre de dispositifs d'alerte professionnelle, s'agissant notamment du périmètre du dispositif et des conditions d'utilisation.
La commission rappelle qu'une information doit être délivrée, en application de l'article 32 de la loi du 6 janvier 1978 modifiée, à la personne effectuant le signalement ainsi qu'à la personne visée par le signalement, le cas échéant de manière différée, après adoption de mesures conservatoires.
Sur les droits d'accès, de rectification et d'opposition des personnes :
La commission note que les droits d'accès et de rectification encadrés par les articles 39 et 4.0 de la loi du 6 janvier 1978 modifiée s'exercent auprès de l'IGPN mais que le droit d'opposition est écarté par le projet d'arrêté, comme cela était prévu dans le dispositif de signalement initial.
Sur la sécurité des données et la traçabilité des actions :
A titre liminaire, la commission rappelle qu'en application de l'article 34 de la loi du 6 janvier 1978 modifiée, le responsable de traitement doit prendre toutes les précautions utiles au regard des risques présentés par le traitement pour préserver la sécurité des données à caractère personnel.
Elle note qu'un mécanisme de gestion des habilitations est mis en œuvre pour garantir que les personnes habilitées n'ont accès qu'aux seules données effectivement nécessaires à la réalisation de leurs missions, et relève qu'une politique de mot de passe, régulièrement renouvelée et conforme aux préconisations de la commission, est appliquée.
Elle relève également que les accès à l'application font l'objet d'une traçabilité afin de permettre la détection d'éventuelles tentatives d'accès frauduleux ou illégitimes.
La commission souligne enfin que l'obligation de sécurité nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars