AgentPublic/cnil huggingface dataset:
Il est dès lors justifié que soient enregistrées, dans le traitement DN@, les données relatives à la procédure d'instruction de la demande d'asile, tant devant l'OFPRA que, le cas échéant, devant la Cour nationale du droit d'asile (CNDA), à l'exclusion de toute donnée relative à l'instruction des dossiers par ces deux organismes. La commission rappelle en effet que la confidentialité des éléments d'information détenus par l'OFPRA relatifs aux demandeurs d'asile est une garantie essentielle du droit d'asile, principe de valeur constitutionnelle impliquant notamment que seuls les agents habilités à mettre en œuvre le droit d'asile puissent avoir accès à ces informations.
Au titre des données relatives à la prise en charge du demandeur d'asile sont enregistrées différentes données nécessaires, entre autres, au suivi personnalisé des demandeurs d'asile, à leur accompagnement dans leurs différentes démarches et au versement de l'ADA. C'est également au titre de cette catégorie que sont enregistrées les données relatives à l'évaluation de la vulnérabilité des demandeurs d'asile.
Conformément à l'article L. 744-6 du CESEDA, l'évaluation de la vulnérabilité des demandeurs d'asile, par l'OFII, vise, en particulier, à identifier les mineurs, les mineurs non accompagnés, les personnes en situation de handicap, les personnes âgées, les femmes enceintes, les parents isolés accompagnés d'enfants mineurs, les victimes de la traite des êtres humains, les personnes atteintes de maladies graves, les personnes souffrant de troubles mentaux et les personnes qui ont subi des tortures, des viols ou d'autres formes graves de violence psychologique, physique ou sexuelle, telles que des mutilations sexuelles féminines .
L'article R. 744-14 du CESEDA prévoit que l'appréciation de cette vulnérabilité, par l'OFII, s'effectue à l'aide d'un questionnaire dont le contenu est fixé par arrêté des ministres chargés de l'asile et de la santé . Il s'agit de l'arrêté du 23 octobre 2015 précité qui fixe une liste de questions pour lesquelles l'agent de l'OFII en charge de l'évaluation de la vulnérabilité doit cocher l'une des cases suivantes : oui/non/non-réponse. Parmi ces questions figurent notamment des demandes sur la présence d'un handicap sensoriel chez le demandeur d'asile (handicap visuel, auditif, difficultés à verbaliser) ou d'un handicap moteur (appareillage, chaise roulante, besoin de l'assistance d'un tiers pour les actes essentiels de la vie quotidienne). L'arrêté du 23 octobre 2015 précité prévoit que les documents à caractère médical qui seraient communiqués par le demandeur d'asile doivent être transmis, sous pli confidentiel, au médecin de l'OFII qui les appréciera afin de formuler un avis sur les spécificités de l'hébergement pouvant s'ensuivre.
Ces dispositions conduisent ainsi à mettre en œuvre un traitement comportant des données sensibles, au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, et relatives aux demandeurs d'asile qui bénéficient d'une protection particulière constitutionnellement garantie.
Dans ces conditions, la commission regrette de n'avoir pas été saisie de cet arrêté. Bien que le législateur n'ait pas expressément prévu que la nature des données relatives à la vulnérabilité des demandeurs d'asile fasse l'objet d'une consultation de la commission, elle aurait pu en être saisie sur le fondement de l'article 11-(2°, d) de la loi Informatique et Libertés , à l'instar de ce qui avait été fait par le ministère en 2009 lors de la création du traitement DN@. Ces données auraient également pu être fixées dans le cadre du présent décret d'application de l'article L. 744-6 du CESEDA, permettant ainsi à la commission de se prononcer sur ce point.
Néanmoins, elle prend acte que le traitement des données sensibles prévues par l'arrêté du 23 octobre 2015 précité est fondé sur l'article L. 744-6 du CESEDA, qui impose à l'OFII de procéder à un entretien pour évaluer la situation du demandeur d'asile. Elle relève que le demandeur d'asile n'est pas tenu de répondre au questionnaire, que les documents à caractère médical doivent être remis sous pli confidentiel à un médecin et ne sauraient dès lors être enregistrés dans le traitement DN@. Enfin, la commission relève que le questionnaire prévoit une case à cocher par le demandeur d'asile pour matérialiser son consentement exprès à la transmission de ces informations à l'OFPRA, conformément aux dispositions législatives précitées.
Une dernière catégorie de données enregistrées dans le traitement porte sur les lieux d'hébergement et d'accompagnement des demandeurs d'asile visés aux articles L. 744-1 et L. 744-3 du CESEDA et aux centres provisoires d'hébergement, visés à l' article L. 349-2 du code de l'action sociale et des familles. Ces données et informations n'appellent pas d'observation particulière, dès lors qu'elles sont nécessaires aux missions de l'OFII en matière d'hébergement.
Au regard de ces éléments, la commission considère que les données et informations enregistrées dans le traitement DN@ sont adéquates, pertinentes et non excessives, conformément à l'article 6-(3°) de la loi du 6 janvier 1978 modifiée.
Sur les accédants et les destinataires :
Le projet de décret précise que peuvent accéder à tout ou partie des données et informations enregistrées dans le traitement, dans la limite de leurs attributions, les agents de l'OFII, individuellement désignés et spécialement habilités, chargés de la gestion du dispositif national d'accueil, affectés à la direction de l'asile, à l'agence comptable et aux bureaux chargés de l'asile au sein de ses directions territoriales.
La commission considère que ces agents sont légitimes à accéder directement au traitement DN@ dès lors que, conformément aux dispositions précitées du CESEDA, l'OFII est chargé de gérer l'ensemble du dispositif d'accueil des demandeurs d'asile ainsi que l'attribution à ceux-ci des conditions matérielles d'accueil.
Elle rappelle toutefois que les documents à caractère médical doivent être portés à la connaissance du seul médecin de l'OFII. A cet égard, la commission relève que le projet d'article R. 611-22 du CESEDA prévoit que les médecins de l'OFII reçoivent communication des données relatives à l'identité et à la situation administrative du demandeur d'asile par l'intermédiaire du traitement DN@ , quand ils sont saisis pour émettre un avis sur les documents médicaux fournis par le demandeur d'asile. Or, ces personnels de santé de l'OFII ne sont pas expressément mentionnés au titre des accédants ou destinataires du traitement. Dès lors, la commission prend acte de l'engagement du ministère de clarifier le projet de décret sur ce point.
Peuvent également accéder à tout ou partie des données et informations enregistrées dans le traitement, dans la limite de leurs attributions, les agents chargés de l'accueil des demandeurs d'asile relevant des services centraux et déconcentrés des ministères de l'intérieur et des affaires sociales, individuellement désignés et spécialement habilités.
Depuis la loi précitée du 29 juillet 2015, l'accueil des demandeurs d'asile s'effectue auprès d'un guichet unique au sein duquel sont réunis agents de la préfecture et agents de l'OFII. Les premiers ont pour principales attributions l'information du demandeur d'asile, son identification, l'enregistrement de sa demande et la qualification de la procédure de demande d'asile applicable, conformément aux articles R. 741-1 et suivants du CESEDA. La commission relève également que l'article R. 744-8 du CESEDA prévoit un accès direct du préfet au traitement DN@ afin de signifier à [l'OFII] son opposition à l'admission d'une personne dans un lieu d'hébergement pour demandeur· d'asile de son ten·itoire pour des motifs d'ordre public . Elle considère dès lors que ces agents sont légitimes à accéder directement au traitement DN@, à l'exclusion notamment des données relatives à la vulnérabilité des demandeurs d'asile.
En ce qui concerne l'accès direct au traitement des agents des services centraux et déconcentrés du ministère des affaires sociales, le ministère a indiqué qu'il s'agit d'un accès en simple consultation, restreint aux seules données administratives (coordonnées des demandeurs, état d'avancement de la procédure d'asile et situation au regard de l'hébergement) des seuls demandeurs d'asile présents sur leur territoire d'intervention. Selon le ministère, cet accès se justifie notamment au regard des missions de ces services en matière de tarification des structures d'hébergement, de pilotage du dispositif de la veille sociale prévu à l' article L. 345-2 du code de l'action sociale et des familles. En outre, ces services devant s'assurer que les SIAO effectuent les vérifications prévues par l'article L. 744-7 du CESEDA avant d'orienter vers un hébergement des demandeurs d'asile ayant refusé l'offre de prise en charge dédiée qui leur a été proposée, il est nécessaire qu'ils aient accès aux mêmes données et informations que ces SIAO. Au regard de ces éléments, la commission considère que ces agents sont légitimes à accéder directement au traitement DN@.
Le projet de décret prévoit enfin que peuvent accéder au traitement les agents, individuellement désignés et spécialement habilités, des centres d'accueil des demandeurs d'asile (CADA) et des structures d'hébergement financées par le ministère et déclarées, au sens de l'article L. 744-3 du CESEDA, pour les données relatives aux demandeurs d'asile accueillis dans leur établissement, à l'exception de certaines données relatives à l'ADA et à l'avis du médecin de l'OFII relatif aux conditions matérielles d'accueil adaptées à la situation du demandeur d'asile, pris en application de l'article R. 744-14 du CESEDA. La commission considère que ces personnes sont légitimes à accéder au traitement dans la mesure où elles ont pour mission d'assurer le suivi effectif des demandeurs d'asile hébergés au sein de leur structure et sous réserve des limitées fixées par le projet de décret.
En ce qui concerne les destinataires, le projet de décret prévoit que les agents, individuellement désignés et spécialement habilités, de l'Agence de services et de paiement, établissement public interministériel, peuvent connaître les données relatives aux bénéficiaires de l'ADA enregistrées dans DN@, au titre de l'article D. 744- 41 du CESEDA. La commission considère que ces destinataires sont légitimes à connaître des données relatives aux bénéficiaires de l'ADA, dans la mesure où l'article D. 744-41 précité prévoit que l'OFII communique, mensuellement, à l'Agence de services et de paiement la liste nominative des personnes bénéficiaires de l'allocation . Cette disposition fixe en outre les données précises qui doivent être transmises à ce titre (éléments propres à identifier les allocataires et éléments relatifs à l'allocation à verser) afin que l'Agence de services et de paiement puisse réaliser le versement de l'ADA.
Conformément aux dispositions de l'article L. 744-7 du CESEDA, le projet de décret prévoit en outre que peuvent être destinataires de certaines données enregistrées dans le traitement DN@ les agents des services intégrés d'accueil et d'orientation (SIAO). Ledit article L. 744-7 prévoit qu'un décret en Conseil d'Etat, pris après avis de la commission, détermine les informations qui doivent être fournies par l'OFII aux SIAO pour la mise en œuvre des dispositions relatives à la situation du demandeur d'asile qui a refusé ou abandonné l'hébergement en centre d'accueil.
A cet égard, le projet de décret prévoit que les personnes affectées au sein des SIAO, individuellement et spécifiquement habilitées, sont destinataires des données et informations relatives à l'identité du demandeur d'asile (projet d'annexe 7-2-I), à son attestation de demande d'asile (projet d'annexe 7-2-II-4°, 5°, 6°) et à la prise en charge de ce dernier (projet d'annexe 7-2-III).
En l'absence d'éléments permettant de justifier du besoin que ces personnes auraient de connaître l'ensemble de ces données et informations, la commission estime que seules les données relatives à l'identité du demandeur d'asile, au lieu et à la typologie de l'hébergement proposé et à son refus ou abandon de l'hébergement proposé devraient être transmises par l'OFII aux SIAO. Elle prend acte de l'engagement du ministère de modifier le projet de décret en ce sens.
Conformément à l'article L. 744-6 du CESEDA, le projet de décret prévoit que les données relatives à l'évaluation de la vulnérabilité du demandeur d'asile par l'OFII, sur la base du questionnaire prévu par l'arrêté du 23 octobre 2015 précité, peuvent être transmises, sous réserve de l'accord du demandeur d'asile, à l'OFPRA. En effet, conformément à l'article L. 723-3 du CESEDA, cet organisme peut également prendre en compte la vulnérabilité des demandeurs d'asile pour aménager les modalités d'examen de leur demande. La transmission des éléments issus du questionnaire relatif à la vulnérabilité par l'OFII ne préjuge pas de la propre appréciation de cette vulnérabilité par l'OFPRA ou du bien-fondé de la demande d'asile.
Dès lors qu'elle constitue la stricte application de l'article L. 744-6 du CESEDA, cette disposition du projet de décret n'appelle pas d'observation particulière de la commission.
En revanche, la commission relève que le projet de décret se contente d'indiquer que cette transmission s'effectue par voie électronique . Si aucun élément n'a été fourni par le ministère sur les mesures mises en œuvre pour garantir la sécurité de ces données, alors même que l'article L. 744-6 du CESEDA prévoit que les modalités de transmission, par l'OFII à l'OFPRA, des informations attestant d'une situation particulière de vulnérabilité doivent être précisées par un décret en Conseil d'Etat pris après avis de la commission, le ministère s'est engagé à ce que les échanges avec l'OFPRA s'effectuent selon des modalités garantissant la confidentialité des données transmises et l'authentification des acteurs habilités.
A cet égard, la commission rappelle que ces transmissions doivent s'effectuer de façon sécurisée et demande à ce que le projet de décret soit modifié en ce sens. Elle considère que, pour chaque transfert de données, des mesures devront assurer la confidentialité et l'authentification des acteurs concernés. A titre d'illustration, pour un transfert numérique, le chiffrement en transport et l'authentification par certificat du serveur destinataire avec des protocoles respectant les recommandations de l'ANSSI dans son référentiel général de sécurité constitueraient des mesures adéquates.
Sur la durée de conservation et les conditions de mise à jour des données et informations enregistrées :
Le projet de décret prévoit que les données et informations enregistrées dans DN@ sont conservées pour une durée maximale de deux ans à compter de la notification de la décision définitive sur la demande d'asile.
La commission relève que la durée de conservation des données dans le traitement DN@ est actuellement de deux ans à compter de la sortie du centre d'accueil des demandeurs d'asile (CADA). En outre, aux termes de l'article R. 744-13 du CESEDA, le centre d'accueil pour demandeurs d'asile conserve les dossiers des personnes accueillies deux années civiles après la·sortie .
Au regard de ces éléments, la commission considère que la durée de conservation des données prévue par le projet de décret est conforme aux dispositions de l'article 6-(5)° de la loi du 6 janvier 1978 modifiée.
Le projet de décret précise par ailleurs que les données transmises par l'OFII à l'OFPRA sont conservées dans le traitement de l'OFPRA, dénommé INEREC, et mises à jour dans ce traitement lors de la transmission par le demandeur, ou l'OFII, d'éléments nouveaux . Le ministère n'a toutefois pas apporté d'indication sur la mise en œuvre concrète de cette procédure de mise à jour des données.
En outre, aux termes de l'article L. 744-6 du CESEDA, le projet de décret doit prévoir les modalités de mise à jour des informations relativesà la vulnérabilité et aux besoins particuliers des demandeurs d'asile enregistrées dans un traitement, en l'occurrence DN@. Or, les dispositions du projet de décret ne concernent que les mises à jour des données et informations transmises par l'OFII à l'OFPRA, et non les modalités de mise à jour de l'ensemble des données relatives à l'évaluation de la vulnérabilité des demandeurs d'asile. A cet égard, si le ministère s'est engagé à modifier le projet de décret afin que soient également visée la mise à jour de ces données, il n'a cependant pas fourni d'éléments concrets sur la mise en œuvre de cette procédure de mise à jour des données.
Dans ces conditions, la commission considère que les modalités de mise à jour des données et informations relatives à la vulnérabilité des demandeurs d'asile ne sont pas définies de manière satisfaisante et ne sont dès lors pas conformes aux exigences de l'article 6-(4°) de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes :
Concernant l'information des personnes concernées, la commission avait demandé, lors de la création du traitement, à ce que le contrat de séjour signé entre le CADA et la personne qui y est accueillie dès son admission soit complété des informations mentionnées à l'article 32 de la loi du 6 janvier 1978 modifiée. Elle avait en outre pris acte de l'engagement de l'OFII à fournir ces informations aux personnes concernées dans une langue qu'elles comprennent, eu égard à la population concernée par le traitement.
L'arrêté du 29 octobre 2015 relatif au contrat de séjour type prévoit une information sur l'existence d'un traitement des informations relatives à la prise en charge des demandeurs d'asile et leurs destinataires. Cet arrêté dispose en outre que le contrat de séjour type doit contenir une mention relative au droit d'accès et de rectification des personnes hébergées. La commission rappelle que ces dispositions ne contiennent toutefois pas de manière exhaustive les éléments d'information prévus à 1'article 32 de la loi Informatique et Libertés et demande au ministère de compléter ces mentions d'information.
Au regard de la sensibilité du traitement en cause, elle rappelle en effet l'impérieuse nécessité d'informer les personnes concernées par le traitement, de tous les éléments prévus à l'article 32 de la loi du 6 janvier 1978 modifiée, et en particulier des finalités du recueil des éléments destinés à évaluer la vulnérabilité, selon des modalités de nature à garantir l'effectivité de cette information. Elle prend acte de l'engagement du ministère de fournir une information sur des formulaires rédigés en différentes langues susceptibles d'être comprises par les demandeurs d'asile.
Le projet de décret prévoit en outre que les droits d'accès et de rectification s'exercent auprès du directeur général de l'OFII. Cette modalité d'exercice n'appelle pas d'observation particulière.
Enfin, conformément à l'article 38 de la loi du 6 janvier 1978 modifiée, le droit d'opposition ne s'applique pas au traitement DN@, dans la mesure où il répond à une obligation légale.
Sur les mesures de sécurité :
Le projet de décret précise que les opérations de consultation de DN@ sont journalisées et que les informations relatives à ces traces sont conservées pendant trois ans. La commission relève que le ministère s'engage, à sa demande, à étendre cette journalisation aux opérations de création et de modification des données.
Elle rappelle en outre que les accès à l'application DN@ devront faire l'objet de mesures techniques de nature à assurer l'authentification des utilisateurs. A cet égard, la décision du 29 mai 2009 susvisée, portant création du traitement DN@, précisait expressément que les utilisateurs habilités à accéder au traitement étaient dotés de certificats d'accès individuels et nominatifs d'une durée de validité de douze mois . La commission recommande de conserver cette mesure qui permet d'assurer un haut niveau de confiance dans les authentifications mises en œuvre ou de mettre en œuvre une mesure assurant un niveau de sécurité équivalent.
Il en va de même des transmissions par voie électronique de données aux destinataires précités (OFPRA, SIAO, agence de service et de paiement). La commission prend acte que, pour chaque transfert de données, le ministère s'engage à mettre en œuvre des mesures destinées à assurer la confidentialité des données et l'authentification des acteurs concernés.
La commission regrette néanmoins que le ministère n'ait pas fourni suffisamment d'éléments concernant les mesures destinées à garantir la sécurité des données enregistrées dans le traitement DN@. Cette absence fait en effet obstacle à ce que la commission puisse pleinement se prononcer sur le respect des dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée, et notamment des obligations, impérieuses au cas d'espèce au vu de la sensibilité des informations traitées, d'intégrité et de confidentialité, lors de la transmission comme dans le cadre du stockage en base, desdites données.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet d’arrêté fixant les modalités de l’envoi du passeport par courrier sécurisé et autorisant la création d’un télé-service permettant à l’usager d’attester de la réception de son passeport ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code des relations entre le public et l’administration ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment le II-4° de son article 27 ;
Vu l’ordonnance n° 2005-1516 du 8 décembre 2005 modifiée relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l’application des articles 9, 10 et 12 de l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Émet l’avis suivant :
La Commission nationale de l’informatique et des libertés a été saisie pour avis d’un projet d’arrêté fixant les modalités de l’envoi du passeport par courrier sécurisé et autorisant la création d’un télé-service permettant à l’usager d’attester de la réception de son passeport.
Ce projet vise à mettre en œuvre la possibilité, offerte aux Français établis hors de France, de recevoir leur passeport par la voie postale. A cette fin, il met à leur disposition un télé-service permettant de s’authentifier et d’attester de la réception du passeport.
Il relève dès lors des dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée et doit être autorisé par un arrêté ministériel pris après avis motivé et publié de la Commission.
Sur les finalités du traitement :
L’article 10 du décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports a été modifié par le décret n° 2015-701 du 19 juin 2015, pour permettre aux Français établis hors de France de recevoir, à leur demande et à leurs frais, leur passeport par courrier.