AgentPublic/cnil huggingface dataset:
L’article 8 du projet de décret précise que les agents des services du ministère de l’intérieur chargés de la maîtrise d’ouvrage du traitement, ainsi que les agents de l’ANTS chargés de la maîtrise d’œuvre du traitement, individuellement désignés et dûment habilités par leur directeur, peuvent accéder à tout ou partie des données et informations enregistrées dans le traitement, à raison de leurs attributions et dans la limite du besoin d’en connaître.
Si l’accès de ces personnes aux données semble justifié par la mise en œuvre opérationnelle du dispositif ALICEM, la Commission rappelle que les données d’identification mentionnées à l’article 7 1° du projet de décret sont exclusivement conservées sur l'équipement mobile, auxquelles ne peuvent pas, par principe, accéder les personnes précédemment citées. Elle estime dès lors que le projet de décret devrait être modifié afin d’exclure de manière explicite l’accès aux données contenues dans l'équipement mobile de l’usager. La Commission prend acte de la modification du projet de décret en ce sens.
S’agissant des destinataires, l’article 9 du projet de décret prévoit que FranceConnect , les fournisseurs de téléservices liés par convention à FranceConnect et les fournisseurs de téléservices liés par convention à l’ANTS pourront être destinataires des données. La Commission relève que le dispositif FranceConnect n’est pas un destinataire à proprement parler mais un traitement permettant l’intermédiation entre ALICEM et le fournisseur de services concerné : en transmettant les éléments d’identification nécessaires au fournisseur de services, il garantit l’identification et l’authentification de l’usager. Elle considère que le projet de décret devrait être clarifié sur ce point. A cet égard, elle prend acte de la modification à venir, à savoir la mention de la Direction interministérielle du numérique et du système d’information et de communication de l’Etat (DINSIC) en lieu et place de FranceConnect .
L’article 9 II du projet de décret liste les données transmises par ALICEM aux destinataires. La Commission rappelle sur ce point que chacun des destinataires ne peut recevoir que les données strictement nécessaires pour permettre la vérification de l’identité ou des attributs d’identité exigés pour accéder au service concerné, et non pas l’intégralité des données énumérées audit article. Elle estime dès lors que le projet de décret devrait être complété en ce sens.
Sur l’information et les droits des personnes concernées
L’article 13 du projet de décret prévoit qu’une information de l’usager concernant l’utilisation d’un dispositif de reconnaissance faciale statique et de reconnaissance faciale dynamique sera délivrée à la personne concernée au moment de l’ouverture du compte.
La Commission relève que la personne concernée est informée par la mise à disposition de conditions générales d’utilisation de l’application et que celles-ci doivent être expressément validées pour procéder à la création du compte. La personne concernée est également informée du traitement de ses données à chaque demande d’identification et d’authentification auprès d’un fournisseur de services.
La Commission relève par ailleurs que le contenu de l’information n’a pas été porté à sa connaissance de manière précise et que le projet de décret se limite à une information sur l’usage de la reconnaissance faciale. Elle attire dès lors l’attention du ministère sur l’importance de délivrer une information de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples , conformément à l’article 12 du RGPD.
En outre, le ministère a indiqué la mise en place d’une information spécifique concernant le consentement au traitement de données biométriques, ce dont la Commission prend acte.
L’article 14 du projet de décret prévoit que les droits d’accès, de rectification, de limitation et d’effacement s’exercent auprès de l’ANTS, ce qui n’appelle pas d’observations particulières de la Commission.
La Commission relève enfin qu’il est prévu un mécanisme visant à la portabilité des données pour les personnes concernées. Elle s’interroge néanmoins sur l’effectivité de celui-ci en cas de renouvellement d’un titre. En effet, le renouvellement du titre implique la perte des traces relatives à l’ancien titre et ce, sans possibilité pour l’usager de les récupérer. Dans ce contexte, la Commission invite le ministère à envisager une solution afin de permettre à l’usager de récupérer ses données dans ce cas de figure. Elle prend acte de l’engagement du ministère de mener une réflexion sur ce point, laquelle pourrait être utilement portée à sa connaissance.
Sur les mesures de sécurité
En tant que moyen d’identification et d’authentification de niveau élevé, l’impact d’incidents de sécurité sur les personnes concernées peut être particulièrement grave. Dans ce contexte précis, la Commission constate que le responsable de traitement met en œuvre un ensemble de mesures permettant de réduire la vraisemblance de tels incidents.
La Commission relève que les données stockées par l’application, à l’exception des données de préférences (notamment issues d’un paramétrage par l’utilisateur), sont chiffrées avec des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité. De plus, les échanges de données entre l’application et les serveurs de l’ANTS sont réalisés via des canaux de communication chiffrés et assurant à la fois l’intégrité des données et l’authentification de la source et du destinataire.
Par ailleurs, des profils d'habilitation sont prévus afin de gérer l’administration du système tout en respectant le principe d’accès aux données en tant que de besoin, ce qui n’appelle pas d’observation particulière.
La Commission relève que le responsable de traitement met en œuvre une politique de mot de passe, pour les utilisateurs ainsi que pour les administrateurs, conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe modifiée par la délibération n° 2017-190 du 22 juin 2017, et ce notamment en ce qui concerne le stockage des mots de passe. En outre, les accès administrateurs au système sont mis en œuvre de façon conforme au référentiel de sécurité du ministère sur les accès à distance.
L’article 12 du projet d’arrêté prévoit que les informations relatives aux opérations de création, consultation, mise à jour et suppression des données sont conservées pendant sept ans à compter de leur enregistrement. La Commission note que deux types d’informations sont conservés au titre des traces : d’une part, les données relatives aux transactions effectuées par l’utilisateur et, d’autre part, celles relatives à l’enrôlement.
Concernant les données conservées pour démontrer le bon enrôlement de l’utilisateur (SOD), la Commission considère que la durée prévue de sept ans est une exigence de sécurité formulée par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) qui n’appelle pas d’observation de sa part. En revanche, la Commission estime que conserver les traces des accès à l’applicatif ALICEM, ainsi que l’historique des transactions effectuées pour cette même durée, est manifestement disproportionné. Elle recommande dès lors une conservation de ces données pour une durée maximale de six mois.
La Commission relève que pour limiter les risques liés aux logiciels malveillants, le ministère a choisi de limiter l’installation de l’application aux équipements mobiles ne mettant pas les privilèges d'administrateur à la disposition des usagers, excluant ainsi les équipements dits rootés .
La Commission s'interroge néanmoins sur la nécessité d'une telle restriction, le choix des usagers de disposer des droits d'administrateur sur leur équipement pouvant également être motivé par le besoin d'en accroître la sécurité. A cet égard, le ministère a indiqué que si pour une minorité d’utilisateurs disposer d’un équipement rooté peut accroître la sécurité, pour la majorité des utilisateurs disposer d’un tel équipement peut constituer un risque supplémentaire en matière de sécurité, ce dont la Commission prend acte.
La Commission constate que pour limiter la vraisemblance d’une usurpation d’identité par falsification de l’enrôlement, le dispositif met en œuvre différentes garanties, parmi lesquelles l’analyse du flux vidéo ou des défis aléatoires de reconnaissance faciale dynamique.
Enfin, la Commission relève que l’obtention d’une qualification du dispositif ALICEM au regard du règlement e-IDAS est en cours d’évaluation par l’ANSSI.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité, pour prendre en compte la réévaluation régulière des risques.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la Garde des Sceaux, ministre de la justice, d’une demande d’avis concernant un projet de décret pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ; 
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 71 ;
Vu l’ordonnance n° 2018-1125 du 12 décembre 2018 prise en application de l'article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Marie-Laure DENIS, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
1. La Commission a été saisie pour avis, le 17 avril 2019, d’un projet de décret pris pour l’application de la loi n° 78-17 du 6 janvier 1978, dans sa rédaction résultant de l’ordonnance n° 2018-1125 du 12 décembre 2018.
2. Ce projet de décret a pour objet de poursuivre la mise en conformité du droit national avec le règlement (UE) 2016/679 (ci-après le Règlement ou le RGPD ) et la directive (UE) 2016/680 (ci-après la Directive ) du 27 avril 2016. Au niveau législatif, l’adaptation du droit français au nouveau cadre européen a été finalisée par l’adoption de l’ordonnance précitée du 12 décembre 2018, qui a réécrit la loi Informatique et Libertés , et dont il est prévu que les dispositions entrent en vigueur en même temps que le décret d’application de la loi Informatique et Libertés dans sa nouvelle rédaction, et au plus tard le 1er juin 2019. Le présent projet de décret vise ainsi à achever, au niveau réglementaire, ce travail d’adaptation au droit de l’Union, en abrogeant le décret n° 2005-1309 du 20 octobre 2005 susvisé et en réécrivant l’ensemble des dispositions réglementaires d’application de la loi Informatique et Libertés .
3. A titre liminaire, la Commission estime que ce projet de décret opère la mise en cohérence nécessaire de ces dispositions réglementaires au regard du droit européen et des dispositions législatives nationales prises en son application. En outre, il améliore substantiellement la lisibilité des différents régimes applicables en fonction de la nature des traitements concernés, notamment en distinguant les dispositions communes à tous les traitements et les exigences spécifiques au champ du Règlement, à celui de la Directive et aux traitements ne relevant pas du champ d’application du droit de l’Union. Ce projet de décret complète ainsi utilement, au niveau réglementaire, le travail de réécriture et de clarification de l’état du droit résultant de l’entrée en application des nouveaux textes européens opéré par l’ordonnance précitée du 12 décembre 2018. 
4. Il appelle néanmoins les observations suivantes de la part de la Commission, étant précisé que, pour en faciliter la lecture, ces dernières ne font référence à la loi du 6 janvier 1978 modifiée que dans sa rédaction résultant de l’ordonnance précitée.
Sur les dispositions relatives au fonctionnement de la Commission
5. A titre général, les dispositions de la section 1 du chapitre Ier du Titre Ier du projet de décret clarifient utilement les modalités d’exercice des missions de la Commission et apportent les précisions et adaptations nécessaires aux règles de procédure applicables à la composition et à son fonctionnement. La Commission estime néanmoins qu’elles seraient utilement complétées des deux points suivants.
6. En premier lieu, la Commission estime qu’il serait opportun que le projet de décret clarifie et harmonise les conditions de publicité de certaines décisions de la formation plénière, en particulier concernant ses avis sur les projets de texte du Gouvernement. En effet, les dispositions législatives et réglementaires en vigueur prévoient déjà la publication des avis de la Commission sur les projets de loi relatifs à la protection des données à caractère personnel ou au traitement de telles données, sur les projets de texte réglementaire relatifs à des traitements devant faire l’objet de formalités préalables auprès de la Commission, ainsi que sur les projets de décret ou d’arrêté prévus par une loi imposant un avis de la Commission sur ces textes, mentionnés à la dernière phrase de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée.
7. Au regard de l’impératif de transparence de l’action de la Commission, réaffirmé par plusieurs initiatives législatives récentes, il serait utile que le projet de décret prévoie également la publication des autres avis de la Commission, à l’exception de ceux ne devant pas faire l’objet d’une publication en application du III de l’article 31 de la loi Informatique et Libertés , et en particulier des avis sur les projets de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données, au sens de la première phrase de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée.
8. A cet égard, la Commission estime que la dernière phrase de ce même article 8-I-4°-a), qui prévoit que sont publiés les avis de la CNIL sur les projets de texte qu’une loi prévoit, ne saurait être lue comme ne s’appliquant qu’aux seuls avis rendus en application d’une loi spécifique et excluant ainsi les consultations opérées sur le seul fondement de l’article 8 de la loi. Par suite, le décret pourrait très utilement préciser que les avis rendus sur le fondement de la première phrase de l’article 8-I-4°-a) doivent, eux aussi, faire l’objet d’une publication.
9. De même, la publication des avis sur les projets d’ordonnance relatifs à ces mêmes matières serait utilement prévue. Enfin, la Commission estime que les conditions de publication (modalités exactes, supports, délais, etc.) de l’ensemble des avis de la Commission seraient utilement harmonisées par le projet de décret.
10. En second lieu, la Commission souligne l’intérêt s’attachant à ce que le projet de décret lui permette, lorsqu’elle requiert d’un organisme la communication de documents nécessaires à l’exercice de ses missions, d’exiger de ce dernier une version traduite en français de ces documents. En effet, les organismes traitant des données à caractère personnel, et notamment les groupes transnationaux, peuvent disposer de documents en langue étrangère, principalement en anglais, pourtant nécessaires à l’exercice des missions de la Commission, tant en amont de la mise en œuvre d’un traitement (consultation sur une analyse d’impact, outil de transfert de données, etc.) qu’en aval de celle-ci (contrôle sur place ou sur pièces). Or, les dispositions de l’article L. 111-1 du code des relations entre le public et l’administration, relatives à l’usage de la langue française dans les échanges entre l’administration et le public dans le cadre du traitement des demandes de ce dernier, ne semblent pas suffisantes pour exiger une traduction de ces documents si l’organisme en cause n’en dispose pas au moment de la demande faite par la Commission.
11. Une telle possibilité pourrait se fonder sur les dispositions combinées de l’article 18 de la loi du 6 janvier 1978 modifiée, qui disposent que tout organisme traitant des données à caractère personnel doit prendre toutes mesures utiles afin de faciliter la tâche de la Commission, et du deuxième alinéa de l’article 1er de la loi n° 94-665 du 4 août 1994 modifiée relative à l'emploi de la langue française.
12. Afin de ne pas faire porter une charge excessive sur les organismes traitant des données à caractère personnel, une telle disposition pourrait limiter cette faculté d’exiger une traduction aux seuls documents requis par la Commission dont doit en tout état de cause disposer le responsable du traitement ou le sous-traitant en application du Règlement (le registre des activités de traitement, la documentation en matière de violation de données, l’analyse d’impact si celle-ci est nécessaire, etc.).
Sur les dispositions relatives au contrôle de la mise en œuvre des traitements
13. Les dispositions de la section 2 du chapitre Ier du projet de décret, relatives aux modalités de contrôle de la mise en œuvre des traitements, sont largement similaires aux dispositions actuelles du décret du 20 octobre 2005 modifié.
14. Il semble néanmoins nécessaire que toutes les conséquences de la rédaction de l’article 19 de la loi Informatique et Libertés soient tirées dans le présent projet de décret concernant l’opposition d’un secret professionnel aux demandes, copies, recueils, accès et transcriptions de documents, renseignements et justifications, programmes informatiques et données en cas de contrôle de la mise en œuvre d’un traitement. Par souci de clarté, l’article 36 du projet de décret, qui mentionne la possibilité d’opposer tout secret professionnel à ces demandes, devrait ainsi être modifié pour rappeler que cette opposabilité ne concerne que les trois secrets limitativement mentionnés à l’article 19 de la loi, à savoir le secret applicable aux relations entre un avocat et son client, le secret des sources des traitements journalistiques et le secret médical, dans les conditions fixées par les mêmes dispositions législatives pour ce dernier.
Sur les dispositions relatives aux mesures correctrices et sanctions
15. Dans l’ensemble, les dispositions relatives aux mesures correctrices et sanctions que peuvent prononcer le président de la Commission et la formation restreinte de cette dernière, en cas de manquement aux dispositions du Règlement et de la loi du 6 janvier 1978 modifiée, tirent toutes les conséquences du nouveau cadre juridique. Elles appellent néanmoins trois séries d’observations.
Sur les astreintes
16. En premier lieu, la Commission estime que les dispositions de l’article 43 du projet de décret, relatives aux astreintes qui peuvent assortir les décisions d’injonction de mise en conformité prononcées par la formation restreinte, devraient être complétées sur deux points.
17. Concernant la procédure de liquidation de l’astreinte, il serait tout d’abord utile, à des fins de meilleure lisibilité, de prévoir que les éléments de nature à justifier qu’il s’est conformé à l’injonction, transmis par le responsable du traitement ou le sous-traitant en vertu du deuxième alinéa du même article 43, doivent l’être au plus tard à la date fixée par la formation restreinte dans sa décision .
18. En outre, la procédure de liquidation de l’astreinte ne faisant intervenir, en l’état du projet de décret, que la seule formation restreinte de la Commission, il peut s’avérer problématique que celle-ci ne dispose pas des attributions lui permettant, le cas échéant, de constater l’inexécution, totale ou partielle, de son injonction, ou son exécution tardive. Des dispositions devraient dès lors être prévues afin de permettre au président de la formation restreinte, au nom de cette dernière, de demander qu’il soit procédé, avec le concours des services de la Commission, à toutes diligences nécessaires aux fins de liquider l’astreinte.
19. A défaut, il conviendrait que le décret prévoie que la décision prononçant la liquidation de l’astreinte peut être précédée d’une procédure écrite au cours de laquelle un rapporteur désigné, à la demande du président de la formation restreinte, dans les conditions prévues à l’article 38 du projet de décret, effectue les diligences utiles et porte à la connaissance de la formation restreinte ainsi que du responsable du traitement ou du sous-traitant les motifs de la liquidation et le montant proposés. Cette phase ne devrait pas intervenir systématiquement, mais seulement dans le cas où le président de la formation restreinte estime que les éléments spontanément fournis par l’organisme appellent des vérifications complémentaires.
20. De même, la formation restreinte devrait pouvoir auditionner en séance l’organisme concerné lorsque cela est nécessaire, notamment afin de lui permettre de prendre une décision éclairée tenant compte du comportement de l’organisme en cause et des difficultés d’exécution de la décision qu’il a rencontrées.
Sur la coopération européenne
21. En deuxième lieu, la Commission estime que deux dispositions de la section 4 du chapitre Ier du projet de décret, relatives aux modalités de coopération de la Commission avec les autorités homologues concernant les mesures correctrices et sanctions qu’elle peut prononcer, devraient être modifiées.
22. Des modifications doivent tout d’abord être apportées aux dispositions de l’article 51 du projet de décret, relatives aux conséquences à tirer en cas d’objection des autorités de contrôle concernées à l’égard d’un projet de mise en demeure du président de la Commission, et plus précisément en cas d’objection tendant à ce que soit prononcée une mesure relevant de la compétence de la formation restreinte en lieu et place d’une telle mise en demeure. En l’état, ces dispositions semblent rendre automatique la désignation, par le président de la Commission, d’un rapporteur et, par suite, une décision de la formation restreinte de la Commission, dès lors que de telles objections sont émises par des autorités de contrôle concernées.
23. Or la Commission rappelle que le président de la Commission n’est pas tenu de faire droit à ces objections, qui peuvent en effet être rejetées, et qu’il doit dans ce cas saisir le CEPD en vue d’adopter une décision contraignante, conformément aux dispositions de l’article 65 du RGPD. Cette hypothèse doit dès lors impérativement être réservée par l’article 51 du projet de décret, en complément des dispositions projetées qui ne concernent que le cas où le président de la Commission entend suivre les objections des autorités de contrôle concernées.