AgentPublic/cnil huggingface dataset:
L'article 1er du projet d'arrêté prévoit que le traitement SOPHIA poursuit deux finalités distinctes.D'une part, SOPHIA a pour finalité la gestion dématérialisée des procédures d'habilitation et de contrôle élémentaire menées dans le cadre de la protection du secret de la défense nationale. Ces procédures concernent toutes les personnes candidates à une habilitation mentionnée à l'article R. 2311-8 du code de la défense, dont la gestion et le suivi sont prévus au titre II de l'arrêté du 30 novembre 2011 susvisé. SOPHIA permettra ainsi de centraliser toutes les procédures d'habilitation et de contrôle sollicitées par les structures comprenant des agents susceptibles d'accéder à des informations et supports classifiés.D'autre part, SOPHIA a pour finalité la gestion dématérialisée des demandes de permission des militaires à l'étranger dans Je cadre de la protection du personnel de la défense. Ces demandes concernent uniquement les militaires français en service actif qui souhaitent se rendre à l'étranger, à l'exception des pays de l'Union européenne et des pays figurant sur la liste fixée par le ministre de la défense, conformément à la circulaire ministérielle n° 2527/DEF/CAB/SDBC/CPAG du 21 février 2003 relative aux conditions dans lesquelles les militaires peuvent franchir les limites du territoire métropolitain. Il s'agit ainsi d'automatiser le suivi de la procédure, les étapes décisionnelles prises par les personnes mentionnées à l'article R. 2311-8-1 du code de la défense
restant inchangées.La commission considère que les finalités du traitement projeté sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
L'article 2 du projet d'arrêté liste les catégories de données à caractère personnel et d'informations enregistrées dans le traitement SOPHIA.A titre liminaire, la commission prend acte que, à sa demande, cet article distingue expressément les données collectées au titre des deux finalités mentionnées à l'article 1er du projet d'arrêté, c'est-à-dire, d'une part, les données relatives aux demandes d'habilitation et, d'autre part, celles relatives aux militaires demandant une permission.Toutes les données concernant l'identification des personnes ainsi que leurs vies professionnelle et personnelle sont issues de la notice individuelle 94A à remplir par le candidat à une habilitation. Sa composition est prévue par l'instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale annexée à l'arrêté du 30 novembre 2011 susvisé. Cette notice est un formulaire destiné à recueillir les renseignements nécessaires à l'habilitation d'une personne. Elle doit être renseignée par l'intéressé lui-même et est exploitée par l'autorité chargée de prononcer la décision et par les services enquêteurs. Tous les renseignements requis par le formulaire doivent obligatoirement être fournis et être à jour de la date à laquelle il est renseigné.L'ensemble des données figurant dans ce formulaire seront enregistrées dans le traitement SOPHIA, le résultat de la demande d'habilitation n'ayant aucune incidence sur l'enregistrement et la conservation des données dans le
traitement.Le 1 de l'article 2 du projet d'arrêté énumère les données relatives à l'identification des personnes concernées. Outre les éléments d'état civil, des informations relatives aux domiciles actuels, précédents (durant les six derniers mois) et secondaires sont également collectées.Par ailleurs, la commission prend acte que le traitement SOPHIA ne conserve pas de copie des pièces d'identité ou documents étrangers équivalents. Seuls les numéros, dates et autorités de délivrance de ces documents, renseignés par la personne concernée sur la notice d'information, sont conservés dans ledit fichier. L'adresse électronique étant collectée par le biais de la notice individuelle, la commission prend acte de l'engagement du ministère à mentionner cette donnée au I de l'article 2 du projet d'arrêté.Elle prend également acte que les photographies enregistrées dans SOPHIA ne font pas l'objet d'un traitement de reconnaissance faciale.Le II de l'article 2 du projet d'arrêté liste les données relatives à la situation personnelle actuelle des candidats. Ainsi, les informations relatives à un ancien conjoint ne sont donc pas collectées dans SOPHIA.Les informations propres à la vie personnelle du candidat concernent son niveau d'étude et de culture générale. Il s'agit en particulier des niveaux équivalents aux diplômes ainsi que les connaissances éventuelles en langues étrangères qui sont à renseigner dans la notice individuelle de sécurité.En outre, les informations relatives aux
séjours et voyages du candidat durant les cinq dernières années concernent l'ensemble des voyages, y compris au sein de l'espace Schengen, effectués pour des motifs professionnels, familiaux ou touristiques.Des données relatives à la famille de la personne concernées sont également collectées, concernant l'état civil du conjoint, mais également son domicile, ses pièces d'identité, diplômes obtenus, situation professionnelle actuelle et ses voyages à l'étranger durant les cinq dernières années, dans les mêmes conditions que les informations relatives à la personne candidate.Les informations relatives aux enfants se limitent à l'état civil et à son domicile, si celui-ci est différent du candidat. Il en est de même pour les données relatives aux parents, dont les données relatives à l'employeur actuel ou au dernier employeur doivent être fournies. Le numéro de titre d'identité doit également être fourni de même que la date d'acquisition de la nationalité française, le cas échéant.Le III de l'article 2 du projet d'arrêté énumère les données enregistrées dans SOPHIA relatives à la vie professionnelle de la personne candidate. Elles concernent essentiellement sa situation professionnelle actuelle et ses coordonnées professionnelles, mais également la liste des emplois occupés lors des cinq dernières années.Par ailleurs, les habilitations déjà obtenues par le passé par les personnes concernées sont enregistrées quelles que soient leur date d'obtention et leur nature exacte. Le sens
de l'avis de sécurité émis au vu de l'enquête administrative effectuée sur le candidat est également enregistré, l'avis lui-même tout comme le motif de l'éventuel refus ne faisant pas l'objet d'un enregistrement. Enfin, aucune information relative aux résultats des consultations des fichiers d'antécédents judiciaires mentionnés à l'article 230-6 du code de procédure pénale (principalement TAJ - traitement des antécédents judiciaires) ne figure dans SOPHIA.Au regard de ces éléments, la commission considère que l'ensemble de ces données est adéquate, pertinente et nécessaire à la réalisation de la finalité de vérification du statut d'une personne candidate à une habilitation, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les durées de conservation des données
L'article 3 du projet d'arrêté définit deux durées de conservation différentes en fonction des catégories de données concernées.D'une part, les données relatives à la vie personnelle et à la vie professionnelle sont conservées pour une durée maximale de six mois à compter de leur enregistrement.Cette durée semble proportionnée à la finalité de gestion de la procédure.D'autre part, les informations relatives à l'identité des personnes physiques candidates sont conservées un an après la rupture de tout lien avec la personne morale qui a vocation à détenir ou à accéder à des informations et des supports protégés au tire du secret de la défense nationale ou à des sites sensibles. Cela permet de conserver une liste des personnels habilités.Pour assurer le respect de ces durées de conservation, un système d'effacement automatique des données est mis en place.
Sur les destinataires des données
Peuvent accéder au traitement SOPHIA les seuls agents habilités de la DPSD ainsi que les agents en charge de la gestion des demandes d'habilitation. Ces derniers sont les officiers de sécurité habilités et, dans le cadre de l'habilitation  très secret défense , les agents habilités du secrétariat général de la défense et de la sécurité nationale.En outre, d'autres personnels peuvent être destinataires, le cas échéant, de certaines données traitées dans SOPHIA. Il s'agit, d'une part, des autorités d'habilitation désignées par le ministre de la défense et listées dans l'arrêté du 21 mars 2012 susvisé et, d'autre part, des agents habilités du Commissariat à l'énergie atomique dans le cadre des habilitations secret défense concernant les charges nucléaires.La commission considère que ces destinataires ont un intérêt légitime à connaître des données collectées.
Sur l'information des personnes
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées par les demandes gérées dans SOPHIA sont informées du traitement de leurs données par l'intermédiaire d'un encadré apposé sur la fiche de renseignement remplie par les candidats.Aucun dispositif n'est en revanche prévu pour informer les personnes non candidates dont la collecte des données est nécessaire à l'étude de la demande (conjoint, parents et enfants). L'information de ces personnes par la DPSD pourrait en effet, dans une certaine mesure, porter atteinte à la finalité du traitement mis en œuvre.Il y a donc lieu de faire application de l'article 32-V de la loi du 6 janvier 1978 modifiée et de modifier le projet d'arrêté afin d'y mentionner cette dérogation à l'obligation d'information, conformément à l'article 29 (5°) de ladite loi.
Sur les droits d'accès, de rectification et d'opposition des personnes
Le droit d'opposition au traitement est écarté, conformément au dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée.Les droits d'accès et de rectification s'exercent de manière directe auprès de la DPSD. A cet égard, la commission relève qu'il est ainsi fait application des dispositions prévues au dernier alinéa de l'article 41 de la loi du 6 janvier 1978 modifiée, qui permettent, lorsque la communication d'informations aux personnes concernées ne met pas en cause la finalité du traitement, comme cela est le cas en l'espèce, de prévoir un droit d'accès direct pour un fichier intéressant la sûreté de l'Etat et la défense.
Sur la sécurité des données et la traçabilité des actions
Les mesures de sécurité attachées à SOPHIA. telles que décrites par le responsable de traitement, sont de nature à garantir un risque limité sur les données dès lors que :- le traitement est mis en œuvre sur le réseau interne de la défense ;- son hébergement est dans une zone militaire protégée ;- les composants matériels et logiciels sont à l'état de l'art ;- l'authentification des utilisateurs respecte les recommandations de la commission en la matière ;- et enfin que la confidentialité et l'intégrité des transmissions d'information sur internet concernant ledit traitement sont garanties par un procédé de chiffrement et de signature certifié.Afin d'assurer une traçabilité de toutes les opérations réalisées dans le traitement, toutes les actions réalisées sont conservées pour une durée de cinq ans, comme cela est expressément prévu à l'article 5 du projet d'arrêté.Les mesures de sécurité décrites par le responsable de traitement sont dès lors conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I (5°) et 25-II ;Vu la loi n° 2013-312 du 15 avril 2013 visant à préparer la transition vers un système énergétique sobre et portant diverses dispositions sur la tarification de l'eau et sur les éoliennes ;Vu le décret n° 2004-325 du 8 avril 2004 modifié relatif à la tarification spéciale de l'électricité comme produit de première nécessité ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Eric PERES, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Formule les observations suivantes :
La tarification spéciale de l'électricité comme produit de première nécessité (TPN) est une aide financière au paiement des factures d'électricité que doivent fournir tous les fournisseurs d'électricité aux personnes qui y sont éligibles.Conformément aux dispositions du décret du 8 avril 2004 modifié, peuvent bénéficier de cette aide les personnes physiques titulaires d'un contrat de fourniture d'électricité qui sont éligibles à la couverture maladie universelle complémentaire (CMU-C), à l'aide pour une complémentaire santé (ACS) ou dont le revenu fiscal de référence annuel par part est inférieur ou égal à un montant fixé par ledit décret.L'application de la TPN implique la mise en œuvre de traitements de données personnelles, et notamment l'interconnexion de différents fichiers, permettant d'identifier les personnes éligibles à ce tarif social.Le décret du 8 avril 2004 modifié prévoit que l'identification des clients de chaque fournisseur éligibles à la TPN se fait de la façon suivante :- les organismes d'assurance maladie et l'administration fiscale transmettent au fournisseur d'électricité ou à son prestataire la liste des personnes éligibles à la TPN ;- le cas échéant, les gestionnaires de réseaux de distribution d'électricité communiquent à ce prestataire les données permettant d'identifier le fournisseur de chaque personne éligible ;- le fournisseur d'électricité ou son prestataire envoie à chaque client éligible à la TPN un courrier et une attestation préremplie avec
les références de son contrat de fourniture d'électricité l'informant qu'il va bénéficier de la TPN, sauf refus exprès de sa part dans un délai de quinze jours ;- pour les personnes éligibles dont le fournisseur d'électricité n'a pu être identifié, grâce à l'interconnexion de ces fichiers, le fournisseur d'électricité ou son prestataire envoie une attestation que les personnes doivent remplir et renvoyer si elles souhaitent bénéficier de la TPN.Dans la mesure où les interconnexions de fichiers sont mises en œuvre par ou pour le compte des fournisseurs d'électricité, ces derniers doivent être considérés comme les responsables de ces traitements et doivent, à ce titre, procéder aux formalités préalables appropriées auprès de la commission. Le prestataire est quant à lui le sous-traitant de chaque fournisseur d'électricité et doit, par conséquent, assurer la sécurité et la confidentialité des données, conformément à l'article 35 de la loi du 6 janvier 1978 modifiée.La commission estime qu'il y a lieu de faire application des dispositions de l'article 25-I (5°) de la loi du 6 janvier 1978 modifiée, qui soumet à autorisation les traitements automatisés ayant pour objet l'interconnexion de fichiers ayant des finalités principales différentes.En application de l'article 25-II de la même loi, la commission peut autoriser par une décision unique une catégorie de traitements répondant aux mêmes finalités, portant sur des catégories de données identiques et ayant les mêmes catégories
de destinataires. Les traitements de données à caractère personnel mis en œuvre par les fournisseurs d'électricité aux fins d'application de la TPN sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.Les fournisseurs d'électricité qui adressent à la commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre.Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit en revanche faire l'objet d'une demande d'autorisation spécifique.
Article 1erSur la finalité et les caractéristiques du traitement
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente autorisation unique les traitements mis en œuvre par les fournisseurs d'électricité (entreprises locales de distribution et fournisseurs alternatifs), aux fins d'application de la TPN, et répondant aux conditions de mise en œuvre suivantes :Cas n° 1 : le fournisseur d'électricité recourt aux services d'un prestataire pour procéder à l'interconnexion des données transmises par les organismes d'assurance maladie, par l'administration fiscale et par les gestionnaires de réseaux de distribution afin d'identifier ceux de ses clients qui sont éligibles à la TPN.Dans ce cas, le fournisseur est destinataire des seules données relatives à ceux de ses clients qui sont éligibles à la TPN.Cas n° 2 : le fournisseur d'électricité recourt aux services d'un prestataire pour procéder à l'interconnexion des données transmises par les organismes d'assurance maladie et par l'administration fiscale, d'une part, et pour identifier les personnes éligibles à la TPN qui résident dans la zone géographique que couvre ce fournisseur, d'autre part.Dans ce cas, le fournisseur est destinataire des seules données relatives aux personnes éligibles à la TPN résidant dans la zone géographique qu'il couvre. A réception de ces données, le fournisseur peut alors les interconnecter avec les données issues de son fichier clients afin d'identifier ceux de ses clients qui sont éligibles à la TPN.Cependant, la présente décision
d'autorisation unique ne couvre pas le traitement correspondant au cas n° 2 lorsqu'il est mis en place par le prestataire d'un fournisseur d'électricité qui exerce son activité sur l'ensemble du territoire (fournisseur alternatif).La commission précise que les traitements correspondant aux cas n°s 1 et 2 peuvent être menés en parallèle par les fournisseurs d'électricité le temps que le croisement du cas n° 1 soit opérationnel (phase transitoire de paramétrage). A l'issue de cette phase, seul le traitement correspondant au cas n° 1 doit être maintenu.De même, la présente décision d'autorisation unique ne couvre pas les traitements mis en place par les fournisseurs d'électricité qui ne recourent pas aux services d'un prestataire et qui souhaitent donc recevoir directement les données des organismes d'assurance maladie et de l'administration fiscale.
Article 2Sur la nature des données traitées
Conformément aux dispositions du décret du 8 avril 2004 modifié, seules les données suivantes peuvent être collectées et traitées par les fournisseurs d'électricité dans le cadre des finalités visées à l'article 1er de la présente autorisation unique :- données transmises par les organismes sociaux et l'administration fiscale : civilité, prénom, nom, date de naissance, adresse des personnes éligibles à la TPN et nombre de personnes du foyer ;- données transmises par les gestionnaires de réseaux de distribution pour chaque point de livraison : civilité, prénom et nom des titulaires du contrat, numéro et adresse du point de livraison, nom du fournisseur et code postal, nom et code INSEE de la commune ;- données transmises par les personnes éligibles à la TPN qui ont rempli et renvoyé l'attestation : nom, prénom, fournisseur d'électricité, références du contrat de fourniture d'électricité, point de livraison, puissance, numéro de téléphone (facultatif).En outre, les fournisseurs d'électricité peuvent collecter et traiter les données d'identification des personnes ayant refusé le bénéfice de la TPN ainsi que les données d'identification des gestionnaires de résidence sociale qui demandent à bénéficier de la TPN.
Article 3Sur les durées de conservation des données
Conformément aux dispositions du décret du 8 avril 2004 modifié, les données ne peuvent être conservées au-delà des durées suivantes :- dix-neuf mois à compter de la date d'attribution de la TPN pour les données transmises par les organismes d'assurance maladie et l'administration fiscale ;- neuf semaines à compter de la date d'attribution de la TPN pour les données transmises par les gestionnaires de réseaux de distribution ;- dix-neuf mois à compter de la date d'attribution de la TPN pour les données relatives aux attestations remplies et renvoyées par les personnes éligibles.Les données transmises par les organismes d'assurance maladie, l'administration fiscale et par les personnes éligibles ne peuvent être conservées que pendant treize mois lorsque la TPN n'est finalement pas attribuée (pour cause de non-identification ou de refus des personnes).Les données d'identification des gestionnaires de résidence sociale peuvent être conservées jusqu'à la fin de la période d'attribution de la TPN, augmentée de six mois pour permettre au gestionnaire de procéder à une éventuelle demande de renouvellement. Lorsque la demande du gestionnaire de résidence sociale n'aboutit pas dans un délai de douze mois, les données doivent être supprimées.
Article 4Sur les destinataires des données
Dans la limite de leurs attributions respectives et pour l'exercice des finalités précitées, les personnels dûment habilités du prestataire et du fournisseur d'électricité peuvent accéder aux données mentionnées à l'article 2 de la présente autorisation unique.En particulier, seuls les personnels habilités du prestataire peuvent accéder aux données transmises par les gestionnaires de réseaux de distribution, conformément à l'article 4-II ter du décret du 8 avril 2004 modifié.
Article 5Sur l'information des personnes
Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, le fournisseur d'électricité procède à l'information préalable des personnes quant à l'identité du responsable de traitement, à la finalité poursuivie par le traitement, aux destinataires des données et à l'existence et aux modalités d'exercice des droits des personnes. Cette information peut, par exemple, être intégrée aux conditions générales de vente du fournisseur d'électricité à l'occasion d'une modification de ces dernières.Conformément aux articles 4-II et 4-III du décret du 8 avril 2004 modifié, les personnes sont également informées de la mise en œuvre du traitement par une mention d'information sur les courriers et attestations adressées aux personnes concernées.
Article 6Sur les droits d'accès, de rectification et d'opposition des personnes