AgentPublic/cnil huggingface dataset:
La Commission estime que la généralité de cette formulation ne permet pas de délimiter de manière suffisamment précise les cas de recours au traitement du NIR dans ce contexte. Elle invite dès lors le ministère à affiner la rédaction de cette disposition permettant d'atteindre, dans la mesure du possible, le même degré de précision que celui résultant des autres dispositions du décret.
II. - Dans le champ du travail et de l'emploi
Concernant la modification de l'article 2.C.10° :
Cette disposition autorise actuellement le traitement du NIR à des fins d'accomplissement de leurs missions de suivi, de pilotage, d'études et d'évaluation des politiques publiques en matière d'emploi et de formation professionnelle, ainsi qu'à des fins d'études, notamment de suivi de parcours et des dispositifs qu'ils mettent en œuvre par :
les services de la délégation générale à l'emploi et à la formation professionnelle (DGEFP) ;
les services de la direction générale de l'administration et de la fonction publique (DGAFP).
La modification projetée consiste à permettre cette utilisation du NIR à un troisième organisme, la Défense mobilité, dont le ministère indique qu'il s'agit d'un service spécifique faisant partie du service des ressources humaines du ministère de la défense.
Interrogé par la Commission sur le statut spécifique de cette entité et sur l'étendue de son autonomie au regard de la détermination des finalités et des moyens des traitements de données, le ministère a proposé de remplacer dans le projet de décret les mots : Défense mobilité par les mots : Direction des ressources humaines du ministère de la défense , ce que la Commission accueille favorablement.
Concernant l'insertion d'un nouvel article 2.C.26° :
Ce nouvel article vise à autoriser le traitement du NIR dans le cadre de l'organisation des élections professionnelles dans la fonction publique, selon deux modalités distinctes.
La première modalité concerne l'utilisation du NIR à des fins de mise à disposition des identifiants de connexion sur l'espace numérique […] (c.-à-d. la plateforme Espace numérique sécurisé de l'agent public ou ENSAP ), et a fait l'objet d'échanges préalables dès janvier 2022 avec la Commission.
Dans ce cas de figure la plateforme ENSAP serait utilisée comme l'un des deux canaux recommandés par la CNIL dans sa recommandation n° 2019-053 du 25 avril 2019 relative à la sécurité des systèmes de vote par correspondance électronique, en l'occurrence pour la transmission de l'identifiant généré par le prestataire de vote et permettant d'accéder à la plateforme de vote électronique (la transmission du mot de passe s'effectuant par la messagerie professionnelle de l'électeur).
Des identifiants seraient ainsi générés par le prestataire de vote et le NIR serait utilisé pour affecter à chaque agent son identifiant et l'intégrer dans la plateforme ENSAP . L'électeur se connecterait à cette plateforme (avec son NIR et son mot de passe habituel pour l'accès à cette plateforme) pour y récupérer son identifiant et voterait ensuite sur une plateforme de vote électronique.
Dans l'attente d'un dispositif d'identité spécifique aux agents publics, dénommé AgentConnect, qui est en cours de développement, la Commission considère cette solution satisfaisante ; elle rappelle qu'elle implique une modification des textes encadrant le fonctionnement de la plateforme ENSAP (décret n° 2016-1073 du 3 août 2016 modifié et arrêté du 23 décembre 2016 portant création d'un traitement automatisé de données à caractère personnel dénommé ENSAP ).
La seconde modalité concerne l'utilisation du NIR à des fins d'identification et d'authentification des électeurs auprès des plateformes de vote électronique utilisées lors de ces mêmes élections.
Cette disposition a été précisée par le ministère, qui a indiqué que seul un NIR tronqué (c'est-à-dire un extrait du NIR) serait utilisé en tant que réponse à une question défi non triviale (ce qui correspond à une finalité d'authentification), lors de la connexion initiale sur la plateforme de vote électronique ou lors de la procédure de réassort. La procédure de réassort permet de récupérer les informations permettant de voter lorsque l'électeur n'a pas reçu ces informations par un courrier papier.
La CNIL rappelle que, lors des échanges de janvier 2022 sur l'organisation du vote électronique pour les élections professionnelles en cause, l'utilisation de l'IBAN avait été évoquée en tant que secret complémentaire. La Commission estime par ailleurs que le NIR, tronqué ou non, est un secret complémentaire faible, dans la mesure où il est déjà utilisé pour de nombreux usages et partagé avec un très grand nombre d'entités (dans les domaines de la santé, de la protection sociale, des ressources humaines, etc.), et qu'il n'est aucunement modifiable par l'électeur. Elle est donc défavorable à son utilisation comme secret complémentaire dans un processus de vote électronique.
Le gouvernement a fait valoir que la plupart des ministères utiliseront l'IBAN ou un numéro d'immatriculation de l'agent utilisé dans le cadre de son ministère d'affectation. Toutefois, trois départements ministériels utiliseront le NIR. Pour deux d'entre eux, le gouvernement fait valoir que l'IBAN sera utilisé à titre principal mais que pour une faible partie des agents (probablement environ de 5 %), une modification de la nomenclature des IBAN utilisés nécessite d'avoir un secret complémentaire subsidiaire, au cas où l'IBAN connu de l'agent est différent de celui en possession de l'administration. Pour un seul département ministériel, l'IBAN ne sera pas du tout utilisé car les établissements en dépendant ne connaissent pas l'IBAN de leurs agents, et seul le NIR sera utilisé, avec une possibilité alternative de recourir au service FranceConnect pour la procédure de réassort.
Pour justifier cet usage du NIR comme secret complémentaire lorsque l'IBAN s'avère impossible à utiliser ou qu'il n'existe pas de numéro d'immatriculation propre, le gouvernement évoque les difficultés rencontrées par les administrations pour définir un autre secret partagé avec leurs agents, à partir d'une donnée individuelle et non triviale déjà présente dans leurs systèmes d'information, à la fois facilement mobilisable par les électeurs. Il s'appuie également sur une autorisation ponctuelle d'utilisation du NIR accordée par la Commission, en 2018, à l'occasion des précédentes élections professionnelles. En raison de ces difficultés et de la proximité des élections, le gouvernement indique qu'il lui paraît impossible d'utiliser un autre secret pour les trois départements ministériels en cause.
La Commission regrette que les ministères n'aient pas été en mesure d'éviter totalement le recours au NIR, soit par la définition d'autres secrets, soit en déployant une solution sécurisée uniforme telle que AgentConnect.
Si le gouvernement maintient le choix de recourir à l'utilisation du NIR tronqué comme secret complémentaire, la Commission estime indispensable que le décret soit modifié :
d'une part, pour définir la finalité de façon plus précise, afin qu'elle soit cantonnée à la définition d'un secret complémentaire dans le cadre des procédures d'authentification pour le vote ;
d'autre part, pour que cet usage ne soit pas autorisé de façon pérenne par le décret mais uniquement pour les élections professionnelles de décembre 2022, en l'insérant, par exemple, dans une disposition transitoire ou dans un décret spécifique à ces élections.
Enfin, la Commission appelle le gouvernement à mettre en place les garanties suivantes :
l'exclusion de l'usage du NIR complet, en précisant les modalités acceptables de troncature permettant d'empêcher, autant que possible, toute reconstitution du NIR ;
l'utilisation d'opérations cryptographiques permettant de substituer au NIR un code statistique non signifiant.
III. - Dans les champs financier, fiscal et douanier
Concernant l'insertion de l'article 2.D.20° :
Le projet d'article 2.D.20° prévoit la possibilité pour les établissements de crédit, les entreprises d'investissement ou les établissements habilités pour les activités de conservation ou d'administration d'instruments financiers, de traiter le NIR pour l'exécution des obligations définies à l'article L. 312-21-1 du code monétaire et financier (CMF) relatives à la lutte contre la déshérence des contrats de retraite supplémentaire.
Les obligations définies à l'article L. 312-21-1 du CMF ne concernent que les établissements de crédit, et ne visent pas les entreprises d'investissement et les établissements habilités pour les activités de conservation ou d'administration d'instruments financiers.
Dans ces conditions, la Commission prend acte de l'engagement du ministère de compléter le projet d'article 2.D.20° de manière à y faire apparaître expressément les finalités pour lesquelles le NIR peut être traité par ces organismes.
IV. - Dans le champ de la justice
Concernant la modification de l'article 2.E.8° :
L'article 2.E.8° du projet de décret prévoit la possibilité d'utiliser le NIR par le secrétariat général du ministère de la justice dans le cadre des échanges d'informations entre les organismes qui participent au Système d'information interministériel des victimes d'attentats et de catastrophes (SIVAC) (p. ex. : les caisses d'assurance maladie, le Fonds de garantie des victimes des actes de terrorisme et d'autres infractions), à des fins de prise en charge, d'accompagnement et de mise en œuvre des droits des victimes d'accidents, sinistres, catastrophes ou infractions susceptibles de provoquer de nombreuses victimes et de leurs proches, conformément au 3° de l'article R2-15-1 du code de procédure pénale (CPP) relatif au SIVAC.
La Commission prend acte de ce que, s'agissant des proches des victimes, le NIR sera uniquement traité pour les proches de victimes d'actes de terrorisme et les proches qui bénéficieront d'un accompagnement, d'une prise en charge ou de droits spécifiques assurés par les caisses d'assurance maladie, la Caisse nationale des allocations familiales, la sous-direction des pensions du ministère des armées, ou par le Fonds de garantie des victimes des actes de terrorisme et d'autres infractions.
A cet égard, le ministère indique que l'utilisation du NIR contribuera à réduire les risques d'erreur et permettra d'accélérer la gestion des dossiers des victimes et de leurs proches ainsi que la mise en œuvre de leurs droits. Il n'estime cependant pas nécessaire de préciser dans le projet de décret que seul le NIR de certains proches des victimes pourra être traité dans le projet de décret dans la mesure où le 3° de l'article R2-15-1 du CPP indique, concernant les victimes et leurs proches pouvant bénéficier d'un accompagnement, d'une prise en charge ou de droits spécifiques, que le NIR ne peut être collecté que pour les actes terroristes.
Sans remettre en cause le traitement du NIR dans ce cadre, la Commission considère toutefois que le projet de décret pourrait être complété afin de clarifier que le NIR pourra être traité pour l'échange d'informations, à des fins de prise en charge, d'accompagnement et de mise en œuvre des droits des victimes d'accidents, sinistres, catastrophes ou infractions susceptibles de provoquer de nombreuses victimes et de leurs proches dans le cadre exclusivement de ce qui est prévu par le traitement SIVAC, la rédaction actuelle du projet d'article 2.E.8° pouvant être interprétée plus largement.
V. - Dans les autres champs
Concernant l'insertion d'un nouvel article 2.I.3° :
Le projet de décret prévoit d'ajouter un nouvel article 2.I.3° autorisant le traitement du NIR par la direction interministérielle du numérique (DINUM) pour la collecte, l'utilisation et la diffusion ou la communication par transmission des données strictement nécessaires aux administrations en application des dispositions des alinéas 8° à 10° de l'article 6 du décret n° 2019-1088 du 25 octobre 2019 et de la section 4 du chapitre IV du titre Ier du livre Ier du code des relations entre le public et l'administration (CRPA).
Le ministère a précisé que la DINUM est responsable de traitement des systèmes d'échange de données qu'elle propose en application de l'article R. 114-9-5 du CRPA qui prévoit que l'échange de données entre administrations s'opère directement par celles-ci ou, à défaut, par l'intermédiaire de la DINUM. A ce titre, elle est responsable de traitement des systèmes d'échange de données qu'elle met en œuvre, et ce, dans le respect des dispositions afférentes déjà prévues par le CRPA.
Dans la mesure où la DINUM intervient pour le compte des administrations qu'elle accompagne concernant les missions qui lui sont confiées par les alinéas 8° à 10° de l'article 6 du décret n° 2019-1088, la Commission prend acte des engagements du ministère de ne pas faire figurer ces missions dans le projet de décret.
A cet égard, la Commission recommande que l'article 2.I.3° du projet de décret mentionne l'article R. 114-9-5 du CRPA et non les dispositions du décret n° 2019-1088, et elle prend acte de l'engagement du ministère de modifier le projet de décret en ce sens.
Les autres dispositions du projet de décret n'appellent pas d'observations de la Commission.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des armées d'une demande d'avis concernant un projet d'arrêté autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel relatif à la gestion des enquêtes administratives de sécurité dénommé SOPHIA ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31
Après avoir entendu le rapport de Mme Isabelle LATOURNARIE-WILLEMS, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La direction du renseignement et de la sécurité de la défense (DRSD) constitue le service de renseignement dont dispose le ministère de la défense pour assumer ses responsabilités en matière de sécurité du personnel, des informations, du matériel et des installations sensibles  ; elle est notamment chargée de réaliser des enquêtes administratives (article D. 3126-5 du code de la défense).
En tant que service enquêteur, la DRSD est ainsi chargée de réaliser un certain nombre d'enquêtes administratives encadrées par les codes de la sécurité intérieure et de la défense. Afin de faciliter leur réalisation, le fichier SOPHIA permet de transmettre et suivre les dossiers relatifs aux enquêtes dont la DRSD a la charge. Actuellement encadré par un arrêté du 30 avril 2014, ce traitement ne bénéficie pas des dérogations concernant les fichiers intéressant la sûreté de l'Etat et la défense : l'acte qui l'encadre est publié, l'ensemble des informations relatives à ses conditions de mise en œuvre ont été transmises à la Commission et il est soumis à son contrôle a posteriori.
A sa création en 2014, le fichier SOPHIA poursuivait deux finalités. L'une visait la gestion des procédures d'habilitation et de contrôle élémentaire menées dans le cadre de la protection du secret de la défense nationale. L'autre concernait la gestion des demandes de permission des militaires à l'étranger dans le cadre de la protection du personnel de la défense.
Le projet d'arrêté soumis à l'avis de la Commission vise notamment à étendre ce champ à la gestion des enquêtes administratives sur les personnes accédant à des traitements de données comportant la mention de la qualité de militaire. Cette modification tient compte des évolutions du code de la défense, qui prévoit la compétence de la DRSD pour réaliser une enquête concernant ces personnes.
Le projet d'arrêté prévoit en outre que le traitement SOPHIA est mis en relation avec la Base interministérielle PPST . Ce dernier traitement a pour finalité de comparer des données et de vérifier si une personne demandant l'accès à une zone à régime restrictif a déjà présenté une ou plusieurs demandes auprès d'autres ministères, et de permettre aux services instructeurs de connaître les suites qui y ont été données. Dans son avis n° 2021-059 du 20 mai 2021 sur la création de la base interministérielle, la Commission a considéré que cette mise en relation était justifiée au regard des finalités poursuivies par ces traitements.
De manière générale, la Commission relève que les évolutions projetées du traitement SOPHIA sont cohérentes avec celles des missions de la DRSD et ont principalement pour but de tenir compte des évolutions affectant l'encadrement des enquêtes administratives comme les missions de la DRSD depuis la création de SOPHIA. Dans leur ensemble, les conditions de mise en œuvre du fichier prévues par le projet d'arrêté sont satisfaisantes. Néanmoins, la Commission formule des observations sur les points suivants.
Sur les finalités et le régime juridique applicable au traitement :
Le fichier SOPHIA constitue un outil de dématérialisation de l'ensemble des procédures évoquées ci-dessus, qui permet de gérer les flux (dépôt des demandes, des avis et leur transmission), en vue de la réalisation d'enquêtes administratives. Ces enquêtes sont ensuite réalisées au moyen d'un autre traitement.
Compte tenu des caractéristiques du traitement ainsi que des finalités qu'il poursuit, la Commission estime qu'il est mis en œuvre pour le compte de l'Etat et intéresse la sûreté de l'Etat et la défense.
Sur les catégories de données traitées :
A titre liminaire, la Commission relève que seront notamment collectées, soit des données relatives à l'identité du conjoint du candidat à une habilitation sur le fondement du 2 du B du 1 du I de l'annexe, soit, au titre des personnes vivant sous le même toit que le candidat (3 du B du 1 du I de l'annexe du projet), des données relatives à son concubin ou son partenaire de PACS. Dans ce cadre sera notamment enregistré le sexe de cette personne.
Quoiqu'il soit possible d'en inférer une information concernant la vie sexuelle ou l'orientation sexuelle, la Commission rappelle que ces données ne constituent pas en elles-mêmes des données sensibles au sens de l'article 6 de la loi du 6 janvier 1978. Elle appelle cependant le ministère à s'interroger sur la nécessité de collecter cette donnée, en plus des autres éléments d'identification du conjoint dont il disposera déjà dans le fichier. Si son traitement s'avère indispensable, la Commission souligne que, l'arrêté n'autorisant pas le traitement de données sensibles, des opérations de traitement automatisé de ces données pour en déduire l'orientation sexuelle d'une personne et utiliser cette information seront prohibées.
Cette observation générale formulée, la Commission énonce les remarques suivantes.
Les données à caractère personnel et informations enregistrées dans le traitement SOPHIA figurent en annexe du projet d'arrêté. La Commission estime que la collecte de la plupart de ces données est nécessaire au regard des finalités du traitement et que les catégories visées correspondent aux informations sollicitées dans le cadre des demandes (formulaires d'habilitation, par exemple).
La Commission souligne que l'avis de sécurité produit par la DRSD à l'issue de l'enquête ainsi que ses motifs ne figureront en aucun cas au sein du fichier SOPHIA. Le traitement ne comportera aucune donnée issue de la consultation d'autres fichiers. La Commission estime que cela constitue une garantie au regard des finalités du fichier, qui ont une dimension principalement administrative.
Sur les données d'identification numériques :
Le projet d'arrêté prévoit que pour certaines enquêtes administratives, des données d'identification numériques à l'exclusion du mot de passe peuvent être collectées. Le ministère a indiqué que cela recouvre l'ensemble des identifiants, adresses mail et noms utilisées sur les réseaux sociaux et forums par les personnes concernées .
La Commission estime que la rédaction actuelle ne permet pas de comprendre précisément quel est le périmètre de ces réseaux et forums. Elle considère que l'imprécision de cette notion est susceptible de conduire à une collecte excessive de données à caractère personnel, dont certaines d'entre elles pourraient être des données sensibles au sens de la loi du 6 janvier 1978 susvisée. Elle demande que le texte mentionne expressément les réseaux sociaux sur lesquels ne pourront être collectées que les données nécessaires à la finalité du traitement.
Sur la collecte de photographies :
La photographie ne pourra faire l'objet d'un enregistrement au sein du fichier SOPHIA, au titre des données d'identification, que dans le cadre des enquêtes administratives relatives à l'habilitation. Le ministère a précisé que cette donnée est collectée en raison de la sensibilité de ce type d'enquête, afin de permettre de s'assurer de l'identité du demandeur.
La Commission prend acte de ce qu'aucun dispositif de reconnaissance faciale ne sera mis en œuvre au sein du fichier SOPHIA.
Sur la durée de conservation des données :
L'article 3 du projet d'arrêté précise les durées de conservation des données au regard de la finalité pour laquelle elles sont traitées. Ces durées sont également adaptées en fonction de l'issue de l'enquête administrative et de la décision prise par le service demandeur de l'enquête administrative.
La Commission relève que pour la majorité des procédures, les données sont supprimées à l'issue de celle-ci, à l'exception des données d'identification, de l'emploi occupé, du sens de l'avis de sécurité et du sens de la décision. S'agissant des procédures relatives aux permissions de militaires à l'étranger et aux personnes qui accèdent à des traitements comportant la mention de la qualité de militaire, les données sont conservées jusqu'au terme d'un délai d'un an après la date de fin du déplacement.
Si la Commission considère que les durées de conservation fixées par le projet ne sont pas excessives, elle estime néanmoins que le texte pourrait être précisé en ce qui concerne l'hypothèse d'une décision de refus (d'habilitation, de recrutement, d'affectation sur certains emplois, d'accès à des lieux protégés).
Le ministère a précisé que dans ce cas, l'enregistrement de la décision de refus provoque la suppression de toutes les données. Dans sa rédaction actuelle, le projet ne distingue cependant pas les durées de conservation en fonction du sens de la décision (au a du 1° de l'article 3). La Commission prend acte de l'engagement du ministère de clarifier le projet sur ce point.
Enfin, le ministère s'est engagé à modifier le b du 1° de l'article 3 de l'arrêté relatif à la durée de conservation des données dans l'hypothèse d'une absence de notification de la décision à la DRSD, pour prévoir que les données seront conservées jusqu'à la fin de validité de l'avis de sécurité (et non au terme d'un délai d'un an suivant la fin de validité de cet avis). La Commission accueille favorablement cette évolution.
Sur les droits des personnes concernées :
L'article 9 du projet prévoit que les droits d'accès, de rectification et d'effacement prévus à l'article 119 de la loi du 6 janvier 1978 s'exercent directement auprès de la DRSD. La Commission relève que cela concerne aussi bien les personnes qui font l'objet de l'enquête administrative, que celles qui ne sont pas directement concernées par celle-ci (famille ou entourage de la personne) mais dont les données peuvent néanmoins être collectées.
L'article 7 du projet précise que le droit d'information ne s'applique pas pour les personnes qui ne font pas directement l'objet des procédures. Le ministère considère que la personne concernée au sens de l'article 116 de la loi du 6 janvier 1978 est uniquement celle qui fait l'objet de l'enquête administrative ; l'entourage de cette personne est donc exclu de ce droit.
Le III de l'article 116 de la loi précitée dispose que le droit d'information ne s'applique pas lorsque les données n'ont pas été recueillies auprès de la personne concernée et dans la mesure où une telle limitation est nécessaire au respect des fins poursuivies par le traitement. La Commission considère qu'en l'espèce, ces critères sont réunis.