AgentPublic/cnil huggingface dataset:
EMET L'AVIS SUIVANT   Les dispositions figurant sous le titre "développement de l'administration électronique" ont pour objet de définir le cadre juridique adéquat pour assurer le développement de l'administration électronique et améliorer ainsi le service public au bénéfice de l'usager.   L'article premier autorise ainsi le Gouvernement à fixer par voie d'ordonnance les règles nécessaires pour, respectivement :   - assurer la sécurité et la fiabilité des informations échangées entre les usagers et l'administration,   - permettre aux usagers d'effectuer leurs démarches administratives par voie électronique dès lors que de tels services sont disponibles,   - offrir la possibilité pour les administrations d'effectuer tout ou partie des procédures de contrôle dont elles ont la charge par voie électronique,   - mettre à disposition des usagers un dispositif leur permettant de stocker sous forme électronique les documents et données les concernant pouvant être transmis aux destinataires de leur choix, en particulier dans le cadre de démarches administratives,   -offrir aux usagers la possibilité de déclarer, en une seule opération, leur changement d'adresse aux autorités administratives, et le cas échéant à des partenaires privés.   Cet article précise enfin son champ d'application en ce qui concerne tant les acteurs intéressés que les traitements de données visés.   L'article 2 autorise le Gouvernement à fixer par voie d'ordonnance les conditions de nature à permettre la
signature électronique des actes administratifs.   L'article 3 autorise le Gouvernement à prendre par voie d'ordonnance, dans le respect des principes posés en matière de protection des libertés individuelles et de la vie privée, les mesures de nature à permettre l'accès et la diffusion des données publiques produites ou collectées par les administrations de l'Etat, les collectivités territoriales, les établissements publics à caractère administratif, les organismes de sécurité sociale et les autres organismes chargés de la gestion d'un service public administratif.   Enfin, l'article 4, d'application directe, vise à ajouter à l'article 21 de la loi n° 82-610 du 15 juillet 1982 un second alinéa afin de permettre la constitution, au niveau national comme au niveau local, de groupements d'intérêt public pour exercer pendant une durée limitée une activité liée au développement technologique ou gérer des équipements d'intérêt commun nécessaires à ces activités.
La Commission considère qu'en l'état, l'ensemble de ces dispositions qui énonce de simples orientations de caractère général n'appelle pas d'objection de principe au regard des principes de protection des données à caractère personnel mais qu'elle devra être consultée sur les dispositions des ordonnances qui préciseront les mesures envisagées et qui seront susceptibles d'intéresser la protection des droits et libertés des personnes à l'égard des traitements de données à caractère personnel.   Il ne lui appartient pas d'apprécier si l'encadrement juridique ainsi défini par le projet de loi est suffisant au regard des exigences de la jurisprudence du Conseil constitutionnel ni si les mesures envisagées, telles qu'elles ressortent de l'exposé des motifs, sont de nature législative ou réglementaire. Elle estime cependant devoir formuler des observations sur les points suivants.
Sur la sécurité et la fiabilité des échanges de données entre usagers et administrations   La Commission suggère que le texte précise que les informations échangées le sont "par voie électronique".   La Commission approuve l'orientation prise par le Gouvernement de permettre aux administrations de disposer de systèmes d'information dont la sécurité réponde aux exigences posées en particulier par l'article 17 de la directive européenne n° 95/46/CE du 24 octobre 1995 et par l'article 29 de la loi du 6 janvier 1978.   La Commission estime que, dans la mesure où cette disposition a pour objet de renforcer la sécurité non seulement des téléprocédures effectuées par les usagers mais également des échanges d'informations entre administrations, il y a lieu de transférer dans un article spécifique le dernier paragraphe de l'article premier qui prévoit que "les dispositions du présent article s'appliquent également aux échanges entre autorités administratives".
Sur la possibilité pour les administrations, prévue par le 3° de l'article 1er, "d'effectuer tout ou partie des procédures de contrôle dont elles ont la charge par voie électronique"   La Commission estime que, dans la mesure où le 3° de l'article 1er a uniquement pour objet de permettre aux autorités administratives, dans le cadre des procédures de contrôle dont elles ont la charge, d'obtenir des usagers concernés, par voie électronique, les informations requises sur demande préalable et également d'accomplir par voie électronique des actes de procédure liés à l'exercice des contrôles, la rédaction de cette disposition devrait être complétée de façon à délimiter son champ d'application.   La Commission considère également que les dispositions de l'ordonnance devraient indiquer précisément les procédures de contrôle concernées et fixer les modalités d'interrogation et de transmission des informations.
Sur la mise à disposition de l'usager d'un dispositif de stockage des données   La Commission relève la proposition de doter l'usager d'un dispositif de stockage de données ou de documents dont il serait le gestionnaire.   La Commission estime toutefois qu'au regard des principes de protection des données à caractère personnel, l'institution d'un tel dispositif suppose de définir précisément ses conditions exactes d'accès et d'utilisation par l'usager et par l'administration, les contraintes de sécurité, s'agissant en particulier de la possibilité pour l'usager de chiffrer les informations et de déterminer la validité juridique des informations y figurant ainsi que les responsabilités respectives de l'usager, de l'administration destinataire et de l'hébergeur, au regard de l'enregistrement des données, de leur conservation et de leur transmission.   La Commission estime dès lors que la référence faite au 4° de l'article premier à la seule responsabilité des usagers mérite d'être complétée et précisée.   La Commission prend acte de ce que, aux termes de l'exposé des motifs, la liste des données susceptibles d'être conservées dans ce dispositif de stockage sera fixée par décret en Conseil d'Etat pris après avis de la CNIL.   Elle relève également que selon l'exposé des motifs, les dispositifs de stockage seraient gérés par des prestataires privés qui devraient être agrées selon des modalités analogues à celles prévues par l'article L. 1111-8 du code de la santé publique
pour l'hébergement de données personnelles de santé.
Sur le service de changement d'adresse   La Commission estime que les objectifs de simplification poursuivis par la création du service de changement d'adresse sont légitimes dès lors d'une part que l'inscription à ce service et la décision de transmettre à telle autorité administrative ou tel partenaire privé les informations relatives au changement d'adresse relèvent de la seule volonté de l'usager et, d'autre part, que toutes garanties sont prises afin que ne soit pas constitué, à l'occasion de telles démarches, un fichier national de domiciliation. Elle observe en outre que les termes de partenaires privés" pourraient être remplacés par une expression mieux adaptée à l'objet de la disposition énoncée.   La Commission prend acte des assurances qui lui ont été données qu'il n'est pas envisagé de recourir au fichier des changements d'adresse de La Poste.   Elle estime également que pour assurer le respect des règles de protection des données à caractère personnel, il y aura lieu de prévoir, dans l'ordonnance, l'obligation pour le service assurant la gestion de ce service de n'enregistrer que les données d'identification et d'adresse strictement nécessaires pour assurer la transmission de celles-ci aux seuls destinataires désignés par l'usager et habilités à connaître de ces informations, au titre de leurs missions, et de ne conserver ces données que le temps strictement nécessaire pour permettre leur bonne réception technique par les destinataires précités et l'envoi par
leurs soins d'un accusé de réception.
Sur la signature électronique des actes administratifs   La Commission estime que dans la mesure où, aux termes de l'exposé des motifs, l'article 2 a non seulement pour objet de permettre la signature électronique des actes administratifs mais également de déterminer les effets juridiques, en particulières vis à vis des usagers, des accusés de réception émis sous forme électronique par l'administration, il y aurait lieu de compléter en ce sens cet article.
Sur l'accès et la diffusion des données publiques   Aux termes de l'exposé des motifs, cet article permettra de transposer la directive concernant la réutilisation et l'exploitation commerciale des documents du secteur public, en cours d'adoption. Le champ de l'article 3 est cependant plus vaste que la seule exploitation commerciale et englobe notamment la mise à disposition par les organismes visés des données publiques diffusables.   La Commission rappelle, ainsi qu'elle l'a précisé notamment dans son avis du 3 mai 2001 sur le projet de loi sur la société de l'information et ainsi que l'a souligné le groupe de travail de l'article 29 de la directive européenne n° 95/46/CE du 24 octobre 1995 dans son avis du 3 mai 1999, que les règles de protection des données à caractère personnel s'appliquent aux données rendues publiques, s'agissant tout particulièrement des principes de finalité et de légitimité et du droit de toute personne de s'opposer à la diffusion des données la concernant.   La Commission observe à cet égard que seul l'article 1er fait référence à la législation relative à l'informatique, aux fichiers et aux libertés et estime en conséquence que l'article 3 devrait être complété également en ce sens.   Le Président, Michel GENTOT.
La Commission nationale de l'informatique et des libertés,   Saisie pour avis par le Ministère de la Justice, le 21 octobre 2003, du projet de décret relatif à la conservation des données relatives à une communication par les opérateurs de télécommunications et portant modification du code des postes et télécommunications.   Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;   Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, pris ensemble le décret d'application du 17 juillet 1978 ;   Vu la loi n° 2001-1062 du 15 novembre 2001 relative à la sécurité quotidienne modifiée, et notamment son article 29 ;   Vu la loi n° 2003-2390 du 18 mars 2003 pour la sécurité intérieure, et notamment ses articles 18 et 20 ;   Après avoir entendu Monsieur Marcel PINET, en son rapport, et Madame Charlotte Marie PITRAT, Commissaire du Gouvernement en ses observations,
EMET L'AVIS SUIVANT :   Le décret relatif à la conservation des données relatives à une communication par les opérateurs de télécommunications et portant modification du code des postes et télécommunications doit préciser la portée et les modalités de mise en oeuvre de l'article 29 de la loi n° 2001-1062 du 15 novembre 2001 relative à la sécurité quotidienne (LSQ). Cet article a introduit, notamment, un article L. 32-3-1 dans le code des postes et télécommunications qui traite de la conservation par les opérateurs de télécommunications des données de connexion, c'est-à-dire les informations qui sont produites ou nécessitées par l'utilisation de réseaux de télécommunication, qu'il s'agisse des communications téléphoniques ou des connexions au réseau Internet.   L'article L. 32-3-1 du code des postes et télécommunications pose le principe général d'un effacement ou d'une anonymisation de "toute donnée relative à une communication dès que celle-ci est achevée". Trois exceptions sont prévues, d'une part, pour permettre aux opérateurs de conserver jusqu'à la fin de la période au cours de laquelle la facture peut être légalement contestée (à savoir, un an) (1) certaines données nécessaires à la facturation ou au paiement des prestations fournies, d'autre part, pour leur permettre de conserver certaines données en vue d'assurer la sécurité de leurs réseaux (2) et, surtout, pour leur faire obligation de conserver pour une durée maximale d'un an certaines données "pour les besoins
de la recherche, de la constatation et de la poursuite des infractions pénales et dans le seul but de permettre, en tant que de besoin, la mise à disposition de l'autorité judiciaire d'informations".   Le fait pour un opérateur de télécommunications ou ses agents de ne pas procéder aux opérations tendant à effacer ou rendre anonymes les données relatives aux communications ou de ne pas procéder à la conservation de ces données dans les cas où ces opérations sont prescrites par la loi est sanctionné dans les conditions prévues par l'article L. 39-3 du code des postes et télécommunications.   Ce dispositif était prévu en 2001 par le projet de loi sur la société de l'information qui n'a jamais été examiné par le Parlement mais sur lequel la Commission avait été consultée et sur lequel elle avait rendu un avis (3). Cet avis avait été l'occasion pour la CNIL de poser les termes d'un débat qui dépasse largement les spécificités de la technologie et met en cause les principes essentiels de la protection des données à caractère personnel.   (1) Article L. 32-3-2 du code des postes et télécommunications.   (2) Cette possibilité a été introduite par l'article 20 de la loi n° 2003-2390 du 18 mars 2003 pour la sécurité intérieure.   (3) Délibération n° 01-018 du 3 mai 2001 portant avis sur le projet de loi sur la société de l'information.
Observations préliminaires   Le dispositif prévu par l'article L. 32-3-1 du code des postes et télécommunications a introduit une obligation nouvelle pour les opérateurs de télécommunications dont le,caractère dérogatoire doit être relevé.   D'une manière générale, le traitement des données à caractère personnel est soumis au principe de finalité qui oblige à ce que les catégories de données collectées et traitées et leur durée de conservation soient déterminées par la finalité du traitement. En d'autres termes, le traitement et la conservation d'une donnée ne peuvent se justifier qu'au regard de la finalité qui préside à sa collecte. Afin de permettre le travail des autorités judiciaires, les législations de protection des données à caractère personnel leur ont reconnu, dans le strict cadre défini par la procédure pénale, la possibilité d'accéder à ces informations tant que celles-ci sont conservées dans un fichier ou un traitement.   Ce schéma a été modifié en matière de traitement des données dites "de connexion" par l'article 29 de la loi du 15 novembre 2001 dans un sens qui a conduit la Commission à souligner "le caractère inédit du dispositif retenu" (4). En effet, en dérogation au principe d'effacement ou d'anonymisation posé par la loi et à côté des exceptions légitimes au regard de leurs activités (5), l'article L. 32-3-1 du code des postes et télécommunications impose aux opérateurs une obligation de conserver certaines données aux fins exclusives de faciliter
l'activité des autorités judiciaires.   On doit relever que cette obligation ne répond pas à des besoins spécifiques ou ponctuels qui seraient la nécessité d'identifier les auteurs de contenus illégaux ou attentatoires aux droits des tiers, l'interception de messages utilisant les réseaux des opérateurs de télécommunications ou la préservation du contenu des informations consultées par les personnes utilisatrices des services fournis par les opérateurs. Ces possibilités sont, en effet, prévues respectivement par les lois du 1er août 2000 (6), du 10 juillet 1991 (7) et du 18 mars 2003.   L'obligation générale de conserver des catégories de données qui se rapportent à l'ensemble des personnes utilisant les services des opérateurs de télécommunications et dont la conservation ne présente aucune utilité pour les opérateurs est, en ce sens, dérogatoire aux principes généraux de la protection des données à caractère personnel.   (4) Cf. avis de la CNIL sur le projet de loi sur la société de l'information précité.   (5) A savoir, dans un premier temps, la conservation des données nécessaires en cas de contestation de la facturation ou du paiement des prestations fournies puis, dans un second temps, celles nécessaires pour assurer la sécurité de leurs réseaux.   (6) Loi n° 2000-719 du 1er août 2000 modifiant la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication.   (7) Loi n° 91-646 du 10 juillet 1991 relative au secret des correspondances émises par voie de
Il doit être précisé que la directive 95/46 du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données prévoit ce type de disposition. En effet, l'article 13 de cette directive prévoit explicitement que les Etats membres peuvent déroger au principe d'une durée de conservation limitée à la durée nécessaire à la réalisation des finalités pour lesquelles des données à caractère personnel sont collectées ou pour lesquelles elles sont traitées ultérieurement, lorsqu'une telle dérogation est prévue par la loi et constitue une mesure nécessaire, notamment, à la sûreté de l'Etat, la défense, la sécurité publique ainsi que la prévention, la recherche, la détection et la poursuite d'infractions pénales.   Cette disposition est également prévue par la directive 2002/58 du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques dont l'article 15 prévoit explicitement que les Etats membres peuvent adopter des mesures législatives prévoyant la conservation des données de connexion pendant une durée limitée lorsque cela constitue une mesure nécessaire, appropriée et proportionnée au sein d'une société démocratique pour sauvegarder notamment la sécurité publique ou assurer la prévention, la recherche, la détection et la poursuite d'infractions pénales ou d'utilisations non
autorisées du système de communications électroniques.   L'article L. 32-3-1 du code des postes et télécommunications précise en outre que les données "visées ne peuvent en aucun cas porter sur le contenu des correspondances échangées ou des informations consultées, sous quelque forme que ce soit, dans le cadre de ces communications".   Le Conseil constitutionnel a ainsi considéré à propos de l'article 29 de la loi du 15 novembre 2001 que le législateur avait mis en oeuvre, en les conciliant, l'ensemble des exigences constitutionnelles (8).   Cependant, il doit être souligné, comme l'a indiqué la Commission lors de la présentation du dispositif législatif (9), que cette obligation "déroge aux principes fondamentaux de protection des libertés individuelles" et nécessite donc une mise en oeuvre stricte et précise qui est l'objet du projet de décret.   8) Décision n° 2001-457 DC du 27 décembre 2001.   9) Voir avis précité.
Observations générales   Sur le champ d'application du décret,   Les opérateurs disposent de deux catégories de données se rapportant aux utilisateurs de leurs réseaux : celles, administratives, relatives à leurs clients qu'ils traitent dans le cadre général de leur relation commerciale (les nom, prénom, adresse, mode de paiement de l'abonnement, etc.) et celles, techniques, relatives aux communications émises par leurs clients qu'ils transmettent par leurs réseaux (numéros de téléphone appelant et appelé, date et durée de l'appel ou de la connexion, identifiant de l'appareil utilisé par leurs clients, etc.).   L'article 29 de la loi relative à la sécurité quotidienne pose le principe d'un effacement ou d'une anonymisation de "toute donnée relative à une communication", c'est-à-dire la deuxième catégorie de données visée ci-dessus à savoir, toute donnée technique issue de l'utilisation de leurs réseaux qui est automatiquement générée et collectée par l'opérateur à l'occasion d'une communication.   En même temps qu'est posé ce principe, la loi fait obligation aux opérateurs de conserver certaines catégories de ces données techniques et de pouvoir les rattacher à la personne à l'origine de la communication qui a donné lieu à la création de ces données.   Le projet de décret dont la Commission est saisie tend à déterminer le cadre dans lequel doit s'opérer la conservation de toute information disponible au regard des procédés de télécommunications (...) susceptible d'être
enregistrée par l'opérateur à l'occasion des communications dont il assure la transmission et pertinente au sens de (...) l'article L. 32-3-1 du code des postes et télécommunications (article R. 9-1 du code des postes et télécommunications introduit par l'article 2 du décret).   La loi et le décret ne visent donc pas à déterminer le cadre dans lequel doivent être conservées les données issues de la relation commerciale de la prestation de service assurée par l'opérateur. Le projet de décret prévoit ainsi explicitement que sont exclues de son champ d'application les données relatives à l'abonné ou à l'utilisateur détenues par l'opérateur dans le cadre de la relation contractuelle, "indépendantes de toute communication" (alinéa 2 de l'article R. 9-1 nouveau du code des postes et télécommunications) et qui sont traitées selon le régime du droit commun, notamment en matière de protection des données à caractère personnel.   En effet, les données relatives au nom, prénom, adresse, mode de paiement ou toute autre information utile dans le cadre de la relation contractuelle ne sont pas "enregistrées par l'opérateur à l'occasion d'une communication" mais sont fournies par l'abonné au moment de la souscription du contrat qui le lie avec son opérateur. Si, par exemple, une communication téléphonique permet à l'opérateur téléphonique de collecter des données concernant la communication en elle-même (quel numéro de téléphone est à l'origine de l'appel ? Quel numéro de téléphone est
appelé ? Pour combien de temps ? etc.), elle ne lui permet pas de collecter des données se rapportant à la personne qui a passé cette communication (son nom, son adresse, son âge, etc.).
L'article 29 de la loi relative à la sécurité quotidienne et son décret d'application se limitent à définir le régime dérogatoire dans lequel doit s'effectuer la conservation de "toute donnée relative à une communication", dite donnée "de connexion". Ainsi, les données ne se rapportant pas à l'établissement d'une communication ne sont pas concernées par ce dispositif.   En conséquence, la Commission estime que les données se rapportant à l'utilisateur (et non à ses communications) - à savoir les nom, prénom, adresse, mode de paiement, adresse IP de création et courrier électronique de confirmation, identifiant de session de connexion, mot de passe et informations associées, adresse du courrier électronique et les adresses associées - n'ont pas à figurer dans le projet de décret qui n'a vocation à traiter que de la conservation des données dites "de connexion".   L'extension faite par le projet de décret du régime dérogatoire issu de l'article 29 de la loi relative à la sécurité quotidienne aux données relatives aux clients est de plus contraire aux directives communautaires du 24 octobre 1995 et du 12 juillet 2002 qui prévoient explicitement que seules des mesures législatives peuvent déroger aux principes généraux de la protection des données à caractère personnel.   Les données relatives à l'utilisateur en tant que client d'un opérateur sont traitées et conservées dans le cadre de la relation commerciale entre l'opérateur de télécommunications et l'utilisateur de ses