AgentPublic/cnil huggingface dataset:
Selon le ministère, la saisine des données relatives à l'identité du diplômé doit permettre de limiter les risques d'homonymie. En outre, en cas d'homonymes, les informations relatives au diplôme doivent permettre d'identifier de manière fiable la correspondance entre le demandeur et son diplôme. Le ministère a indiqué que des recherches menées sur les cas d'homonymes dans des bases de diplômés volumineuses avaient montré un taux faible. Enfin, il a précisé que si plusieurs diplômes correspondaient à la saisine des informations relatives à l'identité et au diplôme, aucune attestation numérique ne serait délivrée, le demandeur devant alors se rapprocher du rectorat concerné.
En outre, la saisine des données relatives à l'identité du diplômé doit permettre de limiter les risques de délivrer une attestation numérique à une personne autre que le titulaire du diplôme. A cet égard, la Commission considère que, compte tenu de la finalité de délivrance d'un document administratif officiel, les mesures de sécurité relatives à l'identification de la personne concernée devraient être renforcées. En tout état de cause, elle prend acte que les personnes concernées seront notamment invitées à certifier sur l'honneur de l'exactitude des informations fournies au titre de leur qualité de titulaire du diplôme .
En deuxième lieu, le traitement SAND a pour finalité de permettre à une personne qui le souhaite d'adresser à un ou plusieurs tiers un lien d'accès à la plateforme à des fins de vérification de l'authenticité des diplômes dont elle se prévaut. En effet, le ministère a indiqué que, selon une enquête, trente pour cent des curriculum vitae (CV) mentionnent des diplômes inexistants ou falsifiés.
En pratique, un usager peut décider de transmettre à toute personne de son choix un lien vers la plateforme ainsi que l'identifiant unique du diplôme dont elle se prévaut. Le ministère a indiqué que le tiers ne dispose que d'un accès en consultation à l'attestation, ce dont la Commission prend acte. Le diplômé peut en outre à tout moment choisir de supprimer la visibilité de son diplôme aux personnes à qui il aurait préalablement communiqué l'identifiant de celui-ci.
Enfin, le traitement a une finalité statistique, ce qui n'appelle pas d'observations particulières de la Commission.
Sous réserve de ses précédentes observations, la Commission considère que les finalités du traitement SAND sont déterminées, explicites et légitimes, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données à caractère personnel :
Les données à caractère personnel enregistrées dans le traitement, prévues à l'article 2 du projet d'arrêté, sont relatives à l'identité de la personne diplômée, à ses diplômes, à ses identifiants et mot de passe ainsi qu'à la traçabilité de ses accès.
Les données relatives à l'identité de la personne concernée et à ses diplômes sont issues d'une mise en relation automatisée avec le traitement OCEAN-CYCLADE du ministère, dont la finalité est l'organisation des examens et concours scolaires et qui, conformément aux dispositions du code du patrimoine, archive les données relatives aux examens et concours. Cette mise en relation n'appelle pas d'observation particulière de la Commission.
Ces données et informations, qui sont nécessaires à la délivrance d'une attestation d'obtention d'un diplôme et à la mise en place d'un téléservice, sont adéquates, pertinentes et non excessives au regard des finalités du traitement, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires :
L'article 3 du projet d'arrêté prévoit que peuvent être destinataires des données enregistrées dans SAND, tout tiers autorisé par la personne diplômée à vérifier l'authenticité du ou des diplômes dont elle se prévaut.
Dans la mesure où, d'une part, seuls les tiers auxquels un diplômé a transmis le lien vers la plateforme et l'identifiant unique du diplôme concerné, peuvent avoir accès à l'attestation numérique correspondante, enregistrée dans SAND et où, d'autre part, la personne concernée peut mettre fin, à tout moment, à cet accès, la Commission estime que la consultation d'attestation par ces destinataires est justifiée.
Peuvent également être destinataires des données les personnels de la Poste chargés du coffre-fort numérique Digiposte, lorsque la personne concernée choisit de verser une attestation numérique au format pdf dans un coffre-fort numérique qu'elle a ouvert. Dès lors que cette mise en relation repose sur le consentement de la personne concernée, qui décide pour chaque attestation si elle souhaite ou non la verser dans ledit coffre-fort numérique, la Commission considère que la transmission de données à ces destinataires est justifiée.
Accèdent en outre au traitement les personnes habilitées des services informatiques de la Direction du numérique pour l'éducation (DNE) et celui de l'académie de Rennes, chargé de la maintenance de l'application. Ces accès n'appellent pas d'observation particulière de la Commission.
Enfin, le projet d'arrêté prévoit qu'à des fins uniquement statistiques, peuvent être destinataires des données la Direction générale de l'enseignement scolaire (DGESCO) et la DNE. La Commission rappelle que de telles finalités justifient uniquement un accès à des données pseudonymisées.
Sur les durées de conservation :
L'article 4 du projet d'arrêté prévoit que les données sont conservées en base active jusqu'à l'âge légal de départ à la retraite augmentée de dix ans. Le ministère a précisé qu'à l'issue de cette durée de conservation les données étaient définitivement supprimées de manière sécurisée, ce dont la Commission prend acte.
Selon le ministère, cette durée de conservation doit permettre à une personne d'attester de ses diplômes à tout moment de sa vie professionnelle, mais également après la retraite pour l'exercice d'une activité bénévole.
La Commission constate que pour certains diplômes tels que, par exemple, les CAP ou le baccalauréat, qui sont généralement obtenus entre seize et dix-huit ans, la durée de conservation ainsi prévue pourrait excéder celle de la durée d'utilité administrative (DUA) de cinquante ans, prévue par l'instruction de tri n° 2005-003 du 22 février 2005 pour les procès-verbaux d'examen, d'admissibilité ou d'admission aux concours et les registres des admis.
Dans la mesure où la finalité de SAND est la délivrance d'attestations de diplôme, la Commission considère que la durée de conservation prévue ne devrait pas excéder la DUA prévue par l'instruction de tri précitée, qui a précisément pour objet de permettre la délivrance de telles attestations. En outre, elle estime que le besoin de justifier d'un diplôme que pourraient avoir des personnes retraitées souhaitant exercer une activité à titre bénévole ne suffit pas, à lui seul, à justifier une telle durée. À cet égard, la Commission prend acte que, compte tenu des réserves précitées, le projet d'arrêté sera modifié afin d'indiquer que les données sont conservées pour une durée de cinquante ans.
Par ailleurs, le ministère a indiqué que les données contenues dans l'espace personnel d'un usager, sur le site diplomes.gouv.fr, y sont conservées jusqu'à ce que l'intéressé demande leur suppression de cet espace, ce qui se justifierait par le fait qu'une personne peut avoir besoin de disposer d'une attestation d'obtention d'un diplôme pendant toute sa carrière professionnelle. La Commission prend acte du fait que le compte de l'utilisateur peut être fermé à tout moment par la personne concernée, conduisant ainsi à la suppression des données enregistrées dans l'espace personnel, mais non à celle des données enregistrées dans la base centralisée.
Elle considère que la conservation, dans l'espace personnel, des données jusqu'à ce que l'intéressé demande leur suppression, n'est pas excessive au regard des finalités poursuivies dans la mesure où elle repose sur le consentement des personnes concernées. Elle estime toutefois que, pour s'assurer de l'effectivité de ce consentement, il convient, d'une part, d'en solliciter régulièrement le renouvellement et, d'autre part, de prévoir la possibilité pour la personne concernée de supprimer ses données à tout moment, ce dont elle doit être régulièrement informée. La Commission recommande dès lors qu'une procédure destinée à s'assurer du maintien du consentement des usagers soit mise en place. Elle estime en outre qu'une durée maximale de conservation doit être prévue dans l'hypothèse où la personne concernée ne répondrait pas à la demande de renouvellement de son consentement à la conservation de ses données.
Sur l'information et les droits des personnes concernées :
En ce qui concerne l'information des personnes concernées, le ministère a précisé que pour les sessions d'examen à venir, une mention reprenant les éléments de l'article 32 de la loi du 6 janvier 1978 modifiée sera insérée dans les convocations aux examens concernés. En revanche, pour les sessions d'examen antérieures ou en cours à la date de la mise en œuvre du traitement, le ministère a précisé que plus de deux millions de diplômes étant délivrés chaque année, les dispositions de l'article 32-111 de ladite loi qui permettent de déroger à l'information des personnes concernées lorsque leur information se révèle impossible ou exige des efforts disproportionnés par rapport à l'intérêt de la démarche trouveraient à s'appliquer.
La Commission estime que, s'il est vrai que le ministère ou les rectorats ne disposent pas ou plus des coordonnées des personnes déjà diplômées, une telle impossibilité n'est toutefois pas établie dès lors qu'il peut être pr9cédé à une information générale, conforme à l'article 32 de la loi précitée, par exemple, en insérant, sur le site diplome.gouv.fr, un espace dédié aux mentions informatives dudit article 32 et en menant une large campagne d'information sur le service offert par SAND. À cet égard, elle prend acte qu'une information sera délivrée sur les relevés de notes des personnes concernées et qu'une information générale sera délivrée sur le site national de publication des résultats ainsi que sur le site de chaque rectorat.
A des fins de transparence, elle recommande que ces modalités d'information soient expressément mentionnées dans le projet d'acte réglementaire.
En ce qui concerne le droit d'opposition, l'article 6 du projet d'arrêté prévoit qu'il ne s'applique pas au traitement SAND. Toutefois, interrogé sur les raisons justifiant cette disposition, le ministère a indiqué qu'il n'écarterait finalement pas ce droit et que celui­ ci s'exercerait selon les mêmes modalités que les droits des articles 39 et suivants. La Commission prend acte que toute personne qui justifierait d'un motif légitime à ne pas figurer dans la base centralisée permettant de générer une attestation numérique de diplôme pourrait s'adresser au service compétent du ministère. Elle relève que le projet d'arrêté sera modifié en ce sens.
Les droits prévus aux articles 39 et suivants s'exercent, par voie électronique, auprès de la mission du pilotage des examens de la DGESCO, ce qui n'appelle pas d'observation particulière de la Commission.
Sur les mesures de sécurité :
Le traitement SAND consiste en un service web accessible depuis Internet. S'agissant d'une application nationale, les mesures de sécurité sont prises en conformité avec la politique de sécurité des systèmes d'information (PSSI) et en coordination avec les cellules SSI du ministère et du rectorat de Rennes, en charge du déploiement de SAND.
S'agissant de la mise en relation avec le traitement OCEAN-CYCLADE, les échanges entre les serveurs s'appuient sur des certificats et interviennent sur le réseau interne du ministère, limitant ainsi les risques d'atteinte en confidentialité.
S'agissant du renouvellement du mot de passe nécessaire à l'authentification de l'utilisateur, le ministère a précisé qu'il n'était pas imposé dans la mesure où l'accès au service est peu fréquent .
Une journalisation des évènements est prévue.
Enfin, le ministère a indiqué qu'une analyse d'impact sur les données personnelles était en cours de réalisation, démarche que la Commission accueille favorablement. Elle invite le ministère à la lui transmettre une fois celle-ci finalisée.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.- F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'intérieur d'une demande d'avis concernant la mise en œuvre d'un traitement de données à caractère personnel dénommé Dialogue ayant pour finalité la gestion des ressources humaines ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I-1° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Dans la mesure où le traitement objet de la présente saisine comporte le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques (NIR), il doit être autorisé, sur le fondement de l'article 27-I-1° de la loi du 6 janvier 1978 modifiée, par décret en Conseil d'Etat pris après avis motivé de la Commission nationale de l'informatique et des libertés.
Sur la finalité :
Dans le cadre d'un programme de modernisation interministériel, le ministère de l'intérieur souhaite remplacer son système actuel de gestion des ressources humaines, par un système unique d'information de ressources humaines (SIRH).
Le SIRH, dénommé DIALOGUE , permettra la gestion administrative des agents (comprenant la gestion de la paie), la mise en état des dossiers de pension et d'allocation d'invalidité, ainsi que la gestion opérationnelle de l'ensemble des personnels relevant du ministère de l'intérieur, à l'exception des militaires de la gendarmerie nationale, soit 190 000 agents.
La commission prend note que l'application DIALOGUE sera mise en relation avec plusieurs applications afin de répondre aux finalités susvisées.
Par ailleurs, l'application sera dotée d'un portail agent ouvert à chaque agent, lui permettant dans un premier temps de consulter les informations relatives à son dossier individuel administratif. Dans un second temps, il lui sera également possible de demander, via l'application, la mise à jour des informations le concernant.
La commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes conformément aux dispositions de l'article 6-2° de la loi Informatique et Libertés.
Sur les données traitées :
Les catégories de données à caractère personnel enregistrées et traitées dans le traitement sont énumérées en annexe du projet de décret.
S'agissant du NIR, la commission prend acte qu'il sera utilisé pour le paiement du salaire ainsi que pour l'alimentation du compte individuel de retraite.
S'agissant des données relatives à la santé, la commission prend note qu'aucune information relative à la nature de la pathologie ou du handicap de l'agent ne sera enregistrée dans le traitement.
Compte tenu des nombreuses informations susceptibles d'être collectées, la commission rappelle que les données ne doivent pas être collectées par le ministère de l'intérieur de manière systématique mais uniquement au regard de la situation de l'agent et lorsqu'elles sont nécessaires aux finalités poursuivies par le traitement.
Sur les destinataires :
L'article 3 du projet de décret liste les agents relevant des services du ministère de l'intérieur pouvant accéder aux informations contenues dans le traitement.
A cet égard, la commission relève que le supérieur hiérarchique pourra avoir accès aux dossiers administratifs des agents placés sous son autorité.
Sur ce dernier point, le ministère a indiqué que dans le cadre de ses missions d'encadrement, le supérieur hiérarchique a besoin d'avoir accès à certaines informations concernant les agents qui se trouvent sous sa responsabilité.
D'une manière générale, la commission souhaite rappeler que les habilitations d'accès à tout ou partie des informations envisagées par le ministère doivent correspondre aux fonctions de chaque agent dans la limite de ses attributions respectives et du besoin qu'il a d'en connaître.
Sur l'information et les droits des personnes :
La commission prend note que les personnes seront informées conformément aux dispositions de l'article 32 de la loi, par une mention d'information figurant sur des courriers adressés à chacun des agents.
Sur ce dernier point, elle précise que chaque nouvel agent devra également être informé du traitement des informations le concernant, conformément aux dispositions de l'article susvisé.
Le projet de décret prévoit que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi susvisée s'exercent auprès du service chargé de la gestion des ressources humaines dont relève l'agent.
Il exclut l'exercice du droit d'opposition en application des dispositions de l'article 38 qui prévoit que ce droit ne s'applique pas lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement.
La commission considère que ces modalités d'information et d'exercice des droits des personnes sont satisfaisantes.
Sur la durée de conservation :
L'article 4 du projet de décret prévoit que les informations contenues dans le traitement sont conservées jusqu'à la fin de la cinquième année suivant la date à laquelle les agents publics concernés cessent définitivement leurs fonctions .
La commission note que cette durée correspond à la durée pendant laquelle les éléments relatifs à la paie doivent être conservés par l'employeur.
D'une manière générale, la commission rappelle que les données relatives à un agent ne doivent pas être conservées dans la base active accessible aux services gestionnaires au-delà de la période d'emploi de la personne concernée.
Certaines catégories d'informations peuvent, en application de dispositions législatives et réglementaires, être conservées au-delà du départ de l'agent, sur un support d'archives, conformément aux règles applicables en matière d'archives publiques.
Elle prend acte que les informations concernant les fonctionnaires de la police nationale, réservistes dans la réserve civile de la police nationale, sont conservées cinq ans à compter de la fin de la période de réserve conformément aux dispositions de l'article L. 411-8 du code de la sécurité intérieure qui prévoit que les retraités de corps actifs de la police nationale sont tenus à une obligation de disponibilité afin de répondre aux rappels individuels ou collectifs du ministre de l'intérieur en cas de menaces ou de troubles graves à l'ordre public ou d'évènements exceptionnels.
S'agissant des informations relatives aux collaborateurs occasionnels du service public, la commission prend également acte que celles-ci seront supprimées dès la fin de leur engagement.
Par ailleurs, s'agissant de la durée de conservation des sanctions, la commission prend note que celles-ci seront conservées dans le respect des dispositions législatives et réglementaires applicables à la fonction publique qui prévoient des durées de conservations inférieures.
Sur les mesures de sécurité :
La commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, et préserver l'intégrité des données traitées.
A cet égard, l'accès à l'application par les agents habilités est sécurisé au moyen du protocole SSL. Concernant le recours à ce protocole, la commission rappelle qu'elle recommande d'utiliser la version la plus à jour possible.
Des profils d'habilitation définissent les fonctions ou les types d'informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs sont spécifiés et documentés de manière détaillée, et prennent en compte les accès différentiés aux informations en fonction du besoin d'en connaître.
La commission recommande que les permissions d'accès soient attribuées pour une durée déterminée, qu'elles soient supprimées pour tout utilisateur n'étant plus habilité et qu'une revue globale des habilitations soit opérée régulièrement.
Elle relève que l'identification et l'authentification des personnes habilitées à accéder à l'application est opérée à l'aide d'une carte-agent ministérielle et d'un code PIN via un portail d'authentification.
La commission relève que l'article 6 du projet de décret prévoit que les informations relatives à l'identification de l'utilisateur, la date, l'heure et la nature de l'intervention dans le cadre des opérations de création, de mise à jour, de suppression et de consultation sont conservées cinq ans.
Sur ce dernier point, elle prend note qu'il s'agit d'une exigence du haut fonctionnaire de défense du ministère de l'intérieur dans le cadre de la procédure d'homologation sécurité des systèmes d'information concernant le traitement susvisé.
La commission rappelle qu'elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes.
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La commission tient à rappeler l'importance de tester régulièrement les sauvegardes.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée en août.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des finances et des comptes publiques d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 18 octobre 2016 relatif à la mise en service à la direction générale des finances publiques et à l'Association pour la gestion de la sécurité sociale des auteurs et à la Maison des artistes d'une procédure automatisée de transferts de données fiscales ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le livre des procédures fiscales, notamment ses articles L. 152, L. 288, R.* 152-1, R.* 287 et R.* 288-1 et suivants ;
Vu le codes des relations entre le public et l'administration, notamment ses articles L. 121-1, L. 121-2, L. 122-1et L. 122-2 ;
Vu le code de la sécurité sociale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;