AgentPublic/cnil huggingface dataset:
La Commission rappelle que les vérifications opérées au regard de la lutte contre le blanchiment de capitaux et le financement du terrorisme devront être proportionnées aux risques encourus.
Enfin, la Commission rappelle, que conformément au a) du 4° de l’article 11 de la loi du 6 janvier 1978 modifiée, elle devra être saisie de toutes dispositions relatives à la mise en œuvre un traitement visant à procéder à des vérifications dans le cadre du recrutement de personnel des assujettis. Elle sera particulièrement vigilante sur la détermination des catégories de personnel à risque et des mesures de vérifications opérées par les assujetties, notamment lorsque ces vérifications résultent de la consultation des listes de sanctions financières.
Enfin, la Commission souhaite que soit préciser si parmi les mesures de vérifications, les assujettis devront également identifier les salariés étroitement associés à des PPE nationales ou étrangères.
Sur le renforcement des mesures applicables aux personnes politiquement exposées (PPE).
Le IX de l’article 3 du projet d’ordonnance modifie le troisième alinéa de l’article L. 561-10 du CMF. Désormais, le bénéficiaire effectif du client, le bénéficiaire d’un contrat d’assurance-vie, le cas échéant le bénéficiaire effectif de ce dernier se voient appliquer également des mesures de vigilance complémentaires en sus des mesures prévues aux articles L. 561-5 et L. 561-1. En outre, les mesures de vigilance s’appliquent tant aux PPE nationales, qu’aux PPE étrangères ainsi qu’aux personnes qui leur sont étroitement associées ou le deviennent en cours de la relation d’affaires.
La Commission relève que l’article R. 561-18 du CMF listant les critères d’identification des PPE prévoit déjà que "sont considérées comme des personnes connues pour être étroitement associées au client mentionné au 2° de l'article L. 561-10 : 1° Toute personne physique identifiée comme étant le bénéficiaire effectif d'une personne morale conjointement avec ce client ; […]".
S’agissant du renforcement des mesures applicables aux PPE, y compris nationales (et plus seulement étrangères), il convient de noter qu’initialement les mesures de vigilance supplémentaire n’incluaient pas systématiquement les nationaux français compte tenu du risque moindre encouru. En effet, le risque de blanchiment de capitaux et de financement du terrorisme correspondait essentiellement aux relations d'affaires nouées avec des individus détenant ou ayant détenu une position officielle importante, surtout dans des pays où la corruption est largement répandue.
La Commission relève que la vigilance appliquée aux PPE nationales, ainsi qu’à leur entourage proche, exposées à des risques particuliers en raison notamment de leurs fonctions, est désormais systématique. Elle constate en outre que l’identification de ces PPE ne résulte d’aucune liste officielle mais de listes d’origine privée.
 
 
Sur le renforcement des prérogatives de la cellule de renseignement financier nationale (Tracfin)
L’article 5 du projet d’ordonnance modifie la section du CMF relative à la cellule de renseignement financier nationale, le service à compétence nationale dénommé Tracfin (traitement du renseignement et action contre les circuits financiers clandestins).
Les modifications apportées visent à clarifier et renforcer les prérogatives de ce service, notamment en élargissant le champ des informations qu’il peut recevoir ou transmettre, y compris au niveau transfrontalier.
Certaines de ces modifications découlent de la transposition de la directive 2015/849 du Parlement européen et du Conseil du 20 mai 2015 susvisée. Ainsi en est-il, en particulier, des dispositions qui visent à faciliter l’échange d’informations entre les cellules de renseignement d’Etats assurant un niveau de protection suffisant, afin d’améliorer l’efficacité des enquêtes réalisées par ces structures tout en maintenant des exigences élevées en matière de protection des données à caractère personnel. D’autres modifications, en revanche, vont au-delà des obligations fixées par la directive précitée et s’inscrivent dans le cadre du 6° du I de l’article 118 de la loi n° 2016-731 du 3 juin 2016 susvisée, qui autorise le Gouvernement à adopter par ordonnance toute mesure relevant du domaine de la loi afin de "garantir la confidentialité des informations reçues et détenues par le service mentionné à l’article L. 561-23 du code monétaire et financier et élargir les possibilités pour ce service de recevoir et de communiquer des informations".
La Commission juge parfaitement légitime le souhait de renforcer la confidentialité des informations reçues ou transmises par Tracfin qui, au-delà des nécessités découlant des investigations menées, permet d’assurer une meilleure protection des droits des personnes concernées.
A cet égard, la rédaction projetée de l’article L. 561-31-1 du CMF, qui rappelle le caractère confidentiel des informations transmises par Tracfin au procureur de la République et aux autorités et services mentionnés à l’article L. 561-31 du même code et interdit expressément à certains destinataires d’en révéler l’existence et le contenu ou de les transmettre sans l’autorisation préalable du service Tracfin, va dans le sens d’une meilleure protection des données à caractère personnel et d’une meilleure prévention des risques d’atteinte au droit au respect de la vie privée des personnes concernées.
Néanmoins, la rédaction et l’objet de certaines dispositions du projet d’ordonnance relatives aux prérogatives de la cellule de renseignement financier nationale appellent les observations suivantes de la part de la Commission.
La Commission observe tout d’abord que le projet d’ordonnance prévoit d’introduire à l’article L. 561-25 du CMF un alinéa II quater précisant que Tracfin "peut demander toutes les informations nécessaires à l’accomplissement de sa mission à toute personne qui met en relation, au moyen d’un site internet, les porteurs d’un évènement ou d’un projet et les personnes finançant, totalement ou partiellement, cet évènement ou ce projet".
Si la Commission prend acte de l’intention du Gouvernement de viser, par cette disposition, les intermédiaires en financement participatif, elle s’interroge sur les motifs ayant conduit à écarter l’utilisation de cette expression, définie à l’article L. 548-2 du CMF.
Elle considère dès lors que la rédaction de l’alinéa II quater de l’article L. 561-25 tel qu’envisagée par le projet d’ordonnance doit être clarifiée sur ce point et que les catégories d’informations susceptibles d’être demandées devraient, en tout état de cause, être précisées.
La Commission s’interroge en outre sur le sens des évolutions rédactionnelles envisagées à l’article L. 561-27 du même code. Dans sa version en vigueur, le deuxième alinéa de cet article distingue en effet l’accès direct du service TRACFIN aux fichiers utilisés par les services en charge de l’établissement de l’assiette, du contrôle et du recouvrement des impôts "pour les besoins de l’accomplissement de sa mission" et l’accès direct au traitement des antécédents judiciaires (TAJ), prévu à l’article 230-6 du code de procédure pénale, "dans la stricte limite de ses attributions". Cette distinction est remise en cause par le projet d’ordonnance qui prévoit, dans les deux cas, qu’il dispose d’un accès direct aux traitements "pour les besoins de l’accomplissement de sa mission". S’il peut être justifié d’employer la même expression pour définir le cadre de l’accès direct de Tracfin au TAJ et aux fichiers fiscaux, dans la mesure où, dans les deux cas, cet accès doit être strictement limité aux besoins découlant des missions de ce service, elle considère que l’expression retenue doit être celle exprimant le mieux l’exigence d’une stricte nécessité de l’accès aux données et non celle dont la formulation semble la plus souple.
En outre, le dispositif actuel relatif à l’accès du service Tracfin à des données contenues dans les traitements précités souffre d’une certaine incohérence puisque les dispositions législatives autorisent un "accès direct" aux traitements précités alors que des dispositions réglementaires relatives à ces mêmes traitements prévoient l’extraction de données et leur communication au service.
C’est le cas, notamment, pour le traitement automatisé d'informations nominatives dénommé "accès au dossier fiscal des particuliers" (ADONIS) créé par la direction générale des finances publiques par un arrêté du 5 avril 2002.
Dans la mesure où la mise en œuvre d’un accès direct à un traitement et l’institution d’un système d’extraction de données soulèvent des questions juridiques, des difficultés techniques et des risques différents, la Commission considère que le projet d’ordonnance doit être l’occasion de clarifier les conditions dans lesquelles le service Tracfin peut prendre connaissance des informations enregistrées dans les fichiers précités et de prévoir les garanties appropriées en termes de sécurité.
Le projet d’ordonnance prévoit également de modifier les dispositions relatives aux autorités et services auxquels Tracfin peut transmettre des informations.
Le projet d’ordonnance prévoit, d’une part, de supprimer l’expression qui précisait que la communication d’informations pouvait intervenir "sous réserve qu’elles soient en lien avec les faits mentionnés au I de l’article L. 561-15" s’agissant de la communication d’informations aux autorités judiciaires, à l’administration des douanes, aux services de police judiciaire et aux organismes mentionnés à l’article L. 114-12 du code de la sécurité sociale pour l’exercice de leurs missions et, d’autre part, d’allonger la liste de ces services et autorités, par une modification des dispositions de l’article L. 561-31 du CMF.
La possibilité pour Tracfin de transmettre des informations à la liste des autorités et services mentionnés à l’article L. 561-31 du CMF s’ajoute à la faculté dont ce service dispose déjà de faire connaître aux personnes assujetties mentionnées à l’article L. 561-2 du même code l’identité des individus "qui présentent un risque important de blanchiment de capitaux ou de financement du terrorisme".
L’association de telles prérogatives, qui peuvent conduire à la diffusion d’informations sur les mêmes personnes et les soumettre ainsi à une surveillance particulière, soulève des risques importants d’atteintes au droit au respect de la vie privée des intéressés, d’autant que les informations communiquées par Tracfin et à l’origine de cette surveillance pourraient ne pas découler de faits avérés mais de l’existence d’une simple suspicion.
Si la Commission juge légitime que, dans le cadre des missions de renseignement assumées par le service Tracfin, des déclarations révélant un risque de blanchiment d’argent ou de financement du terrorisme soient exploitées, elle estime que la diffusion d’informations issues de ces déclarations ou d’enquêtes en cours à des autorités ou service dont les missions sont de nature différente doit faire l’objet de la plus grande prudence.
A cet égard, elle rappelle que le principe de proportionnalité exclut que des informations collectées par Tracfin puissent être transmises à d’autres autorités ou services sans qu’une telle transmission soit strictement justifiée par les missions propres de la structure destinataire, ce qui ne ressort pas de la formulation retenue par le projet d’ordonnance, qui précise uniquement que la communication aux autorités et services concernés doit intervenir "pour l’exercice de leurs missions respectives".
Le rappel du principe de proportionnalité apparaît d’autant plus nécessaire que les catégories de destinataires ont été définies de manière insuffisamment précise, en particulier la catégorie des "services de l’Etat chargés d’élaborer et de proposer la politique publique en matière de protection et de promotion des intérêts économiques, industriels et scientifiques de la Nation" ou celle des "services de la concurrence et de la consommation".
Dès lors, la Commission considère que la rédaction envisagée des dispositions de l’article L. 561-31 du CMF doit être revue pour imposer un cadre plus strict qui permettrait, d’une part, de poser des critères plus exigeants s’agissant de la définition des circonstances autorisant la communication de données par Tracfin et de la nature des informations susceptibles d’être transmises et, d’autre part, d’exclure que les données ainsi communiquées puissent être ultérieurement utilisées par l’autorité ou le service destinataire à des fins autres que celles invoquées pour en obtenir la transmission.
La Commission estime également que des mesures devraient être prévues pour imposer la mise à jour et, le cas échéant, la rectification des informations transmises par le service Tracfin, dans la mesure où la conservation et l’utilisation d’informations erronées sont susceptibles d’entraîner des conséquences préjudiciables pour les intéressés.
Enfin, s’agissant des mesures découlant de la transposition de la directive 2015/849 du Parlement européen et du Conseil susvisée ou de celles envisagées dans le cadre du 6° du I de l’article 118 de la loi n° 2016-731 du 3 juin 2016, la Commission considère que les actes réglementaires relatifs aux conditions de transmission d’informations à destination ou à l’origine de Tracfin doivent lui être soumis pour avis, conformément à l’article 11-4°-a) de la loi du 6 janvier 1978 modifiée.
Elle estime qu’une telle consultation devrait être expressément prévue par les dispositions concernées du code monétaire et financier, en particulier au I de son article L. 561-25, qui prévoit que les modalités de la communication de documents, informations et données au service Tracfin seront fixées par décret.
A titre plus général, la Commission relève que de nombreuses dispositions prévues par le projet d’ordonnance seront précisées par la suite par décret en Conseil d’Etat. Elle rappelle qu’elle devra être saisie préalablement à l’adoption de ces dispositions réglementaires d’application, conformément aux dispositions précitées de la loi "Informatique et Libertés".
La Présidente
Isabelle FALQUE-PIERROTIN
Date de l'avis : 20 juillet 2023
			N° de la délibération : 2023-077
			N° de demande d'avis : 23004769
			Texte concerné : projet de décret
			Thématiques : titre d'identité, TES, expérimentation, passeport, dématérialisation
			Fondement de la saisine : article 32 de la loi du 6 janvier 1978 modifiée
			L'essentiel :
			1. La CNIL relève les efforts du ministère pour garantir le un haut niveau de sécurité, comme le montre la sollicitation de l'Agence nationale de la sécurité des systèmes d'information (ANSSI) pour l'accompagnement de cette expérimentation et l'engagement de recourir à un moyen d'identité électronique de niveau "substantiel ".
			2. Toute pérennisation exigera la réalisation d'un bilan complet de l'expérimentation, et devrait être pour sa part conditionnée à la possibilité de recours à un moyen d'identité électronique de niveau "élevé ".
 
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'Europe et des affaires étrangères d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à l'expérimentation de la procédure dématérialisée de demande de renouvellement d'un passeport ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, ci-après la loi "informatique et libertés", notamment son article 32 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Contexte de la saisine
Dans le cadre d'une demande de renouvellement de passeport, le régime actuel prévoit le principe d'une double comparution personnelle afin de s'assurer de l'identité de la personne : une comparution pour la réception de la demande lors de laquelle une prise d'empreinte digitale obligatoire est réalisée, conformément aux dispositions du décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports ; une seconde comparution pour la délivrance du titre, lors de laquelle l'empreinte digitale est comparée avec celle contenue dans le passeport.
Le ministère souhaite expérimenter la dématérialisation de ces demandes de renouvellement pour les Français de l'étranger, en procédant au renouvellement du titre sans comparution personnelle physique. A l'achèvement de la procédure, le titre serait transmis par envoi postal sécurisé. Il serait donc dérogé au principe de double comparution personnelle et dès lors à une nouvelle prise d'empreinte digitale.
Le motif justifiant cette expérimentation est celui de la commodité pour les ressortissants français de l'étranger. Ils peuvent en effet résider en un lieu éloigné des implantations du réseau d'ambassades et de consulats.
B. - Objet de la saisine
La CNIL est saisie d'une demande d'avis sur le projet de décret en Conseil d'Etat relatif à l'expérimentation de la procédure dématérialisée de demande de renouvellement d'un passeport.
Le projet de décret prévoit une procédure dérogatoire afin de permettre la demande d'un renouvellement de passeport sans comparution personnelle et sans prise d'empreintes digitales du demandeur.
Cette procédure constitue une dérogation à la procédure de renouvellement des passeports. Elle déroge par là même, sur des points techniques, au décret n° 2016-1460 du 28 octobre 2016 relatif au traitement TES. La CNIL rappelle qu'elle a souligné dans ses précédents avis n° 2016-292 et n° 2021-022 les risques importants inhérents à la constitution même de cette base de données centralisée de données biométriques, qui ne peut être admise que dans la mesure où des exigences impérieuses en matière de sécurité ou d'ordre public le justifient.
Le ministère a transmis à la CNIL la mise à jour de l'analyse d'impact pour la protection des données (AIPD) de TES, valant pour l'expérimentation projetée. L'AIPD détaille les étapes du renouvellement dématérialisé :
- préalablement à sa demande de renouvellement, l'usager doit être enregistré au registre consulaire ;
- l'usager se connecte de manière sécurisée à la démarche de demande de renouvellement de passeport par l'intermédiaire de FranceConnect+, la version de FranceConnect de niveau d'identification substantiel au sens du règlement n° 910/2014/UE sur l'identification électronique et les services de confiance pour les transactions électroniques au sein du marché intérieur (eIDAS). Il peut réaliser une pré-demande de renouvellement ;
- un ensemble de justificatifs sera demandé à l'usager, dont une partie à transmettre par voie postale (photographie) ;
- un rendez-vous par visioconférence sera proposé à l'usager dès la transmission de l'ensemble des justificatifs. Le rendez-vous en visioconférence utilisera l'outil "WEBCONF" fourni par la direction interministérielle du numérique. Il donnera l'occasion de réaliser une série de vérifications ;
- si ce rendez-vous est concluant, l'agent consulaire saisira la demande de de renouvellement de l'usager dans le traitement TES à partir du dispositif de recueil. Cette demande se faisant sans prise d'empreinte à la différence de la procédure normale ;
- le consulat transmettra à l'usager un récépissé, via le traitement REGISTRE, et transmettra la demande au Centre de traitement des documents sécurisés (CTDS). Le CTDS procèdera ensuite à l'instruction de la demande. En cas d'acceptation, les empreintes de l'usager seront dupliquées dans le nouveau titre ;
- sauf rejet de la demande, le passeport sera envoyé au consulat. L'agent consulaire procédera à l'expédition sécurisée du passeport à l'usager ;
- l'usager devra attester de la réception de son nouveau passeport en retournant l'attestation de remise dûment signée via un téléservice. A défaut, le nouveau passeport sera automatiquement invalidé à l'issue d'un délai de quarante jours.
Le périmètre de cette expérimentation est triplement limité :
- géographiquement, aux ressortissants français dont la résidence habituelle est fixée au Portugal ou au Canada ;
- matériellement, au renouvellement des passeports des ressortissants français majeurs inscrits au registre des Français établis hors de France. Sont, par ailleurs, exclus les cas de renouvellement suivants :
pour perte ou vol ;
pour changement de nom ;
pour les cas de demande de second passeport ;
pour les usagers ayant déjà eu recours au dispositif ;
pour les usagers n'ayant pu fournir préalablement leurs empreintes.
- temporellement, l'expérimentation prenant fin le 1er janvier 2025.
Enfin, l'article 3 du projet de décret prévoit la réalisation d'un rapport d'évaluation au plus tard trois mois avant la fin de l'expérimentation.
Le rapport devrait contenir notamment le nombre de recours à cette procédure dérogatoire, les délais de délivrance des passeports, les difficultés rencontrées dont les tentatives de fraudes décelées, ainsi que les coûts constatés.
II. - L'avis de la CNIL
A. - Observations générales
Pour pallier l'absence de vérification physique de l'identité du demandeur, le ministère envisage une vérification d'identité reposant sur un moyen d'identification électronique (MIE).
Compte tenu de la nature du titre d'identité visé par l'expérimentation et de l'absence de toute comparution physique, la garantie d'un niveau de sécurité constant à chacune des étapes du processus apparaît essentielle. Parmi ces étapes, celle de l'authentification de l'usager par le biais d'un MIE est particulièrement critique. Ces MIE sont classés au regard du règlement n° 910/2014 du 23 juillet 2014 relatif à l'identification électronique et aux services de confiance (eIDAS) en trois niveaux de garantie, à savoir : "faible", "substantiel" et "élevé". L'absence à ce jour d'outil qualifié au niveau "élevé" justifie le recours ponctuel et limité à un MIE de niveau "substantiel". Ce niveau ne serait permis que par l'authentification lors de la démarche de demande de renouvellement de passeport via FranceConnect+, en cours de développement. En outre, la sécurisation de l'authentification du demandeur sera complétée par une série de vérifications (comparaison de la nouvelle photographie avec l'ancienne par exemple) et un entretien en visioconférence au cours duquel l'agent en charge de l'instruction procèdera à nouveau à une série de vérifications d'identité.
A titre liminaire, la CNIL reconnaît qu'il est légitime, pour favoriser l'accessibilité et l'efficacité des services publics, de faciliter les modalités de renouvellement des passeports des Français de l'étranger, dont certains peuvent habiter très loin du consulat dont ils dépendent, et pour qui un tel déplacement peut représenter un coût important. Elle souligne cependant que, alors qu'un déplacement est toujours possible et qu'un passeport ne se renouvelle que tous les dix ans, le fait d'instituer une procédure à distance, avec entretien par visioconférence, augmente également les risques d'usurpation d'identité au détriment des intéressés. En effet, les techniques de tromperie par visioconférence, notamment par des procédés dits de "morphing", rendent toujours plus difficile de détecter avec certitude les faux demandeurs. Il est donc crucial que la plus grande vigilance soit apportée à la sécurisation de l'expérimentation. Des usurpations d'identité, qui s'appuieraient dans ce contexte sur un passeport authentique délivré par l'administration, auraient des conséquences très lourdes pour les personnes qui en seraient victimes.