AgentPublic/cnil huggingface dataset:
En l’espèce, la Commission considère que le traitement susvisé relève du champ d'application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 susvisé (RGPD), sans qu’il soit besoin d’examiner le critère relatif à l’autorité compétente au sens de l’article 3.7 de la directive dite Police-Justice . Elle estime dès lors que le projet d’arrêté devra être mis à jour considérant ces éléments et prend acte de l’engagement du ministère sur ce point. Au regard de ses caractéristiques, la Commission relève également que ce traitement répond au formalisme imposé par l'article 31 de la loi susvisée.
Dans ce cadre, la Commission entend formuler en particulier des observations sur les articles 4 et 5 du projet. L’article 4 fait mention des droits d’accès, de rectification, d’effacement et à la limitation tels que prévus par la directive dite Police-Justice transposée aux articles 105 et 106 de la loi du 6 janvier 1978 modifiée. L’article 5 écarte l’application du droit d’opposition au titre de l’article 110 de la loi du 6 janvier 1978.
L’article 4 du projet d’arrêté prévoit notamment une différenciation de l’exercice du droit d’accès selon la qualité de la personne concernée (souscripteur, assuré, bénéficiaire, bénéficiaire qui ne serait pas en mesure d’apporter la preuve de son acceptation du bénéfice du contrat). La DGFiP entend en particulier supprimer toute possibilité pour le bénéficiaire non acceptant d’exercer son droit d’accès.
A cet égard, la Commission rappelle que le droit d’accès est composé a minima de deux volets. Le premier volet permet à la personne concernée de savoir si des données la concernant sont traitées par le responsable de traitement, sans que les dispositions de l’article 15 du RGPD ne prévoient de dérogations possibles sur ce point.
En cas de réponse positive, le deuxième volet du droit d’accès permet à la personne d’obtenir communication des données la concernant. La Commission relève que si la différenciation dans la fourniture de la copie des données selon la qualité de la personne concernée apparaît conforme au paragraphe 4 de l’article 15 du RGPD afin de préserver la vie privée d’autrui, l’exercice du droit d’accès différencié doit être modulé proportionnellement à l’atteinte à la vie privée d’autrui qu’il peut engendrer.
Ainsi, elle estime que le bénéficiaire acceptant ayant déjà connaissance de l’identité du souscripteur et de l’assuré doit avoir accès à l’ensemble des données d’identification le concernant mais également à l’identité (nom et prénom) du souscripteur et de l’assuré, et aux données du contrat visées au 2° du I de l’arrêté du 1er septembre 2016 précité dans la mesure où ces informations ne sont pas susceptibles de porter atteinte aux droits de ces tiers.
La Commission relève en revanche que des restrictions au droit d’accès peuvent être apportées lorsqu’il est exercé par le bénéficiaire qui n’aurait pas encore accepté ou le bénéficiaire qui ne serait pas en mesure d’apporter la preuve de son acceptation du bénéfice du contrat. En conséquent, il doit avoir accès à ses seules données d’identification : nom, prénoms, date et lieu de naissance, sexe, domicile, identifiant technique du système d'information de la DGFiP (numéro ITIP) et identifiant fiscal national individuel utilisé par les administrations fiscales dans leurs traitements internes et dans leurs relations avec les contribuables (numéro SPI) pour les personnes physiques. En effet, ces données ne portent pas atteinte aux droits et libertés d’autrui, puisqu’elles ne sont relatives qu’à la personne concernée de manière directe.
La Commission rappelle au responsable du traitement qu’il lui appartient d’indiquer à un bénéficiaire qui ne serait pas en mesure d’apporter la preuve de son acceptation du bénéfice du contrat que des données à caractère personnel le concernant sont traitées ou non à la date de la consultation, au regard des modifications qui peuvent être amenées par le souscripteur jusqu’à son décès. Elle prend acte de l’engagement du ministère d’étudier une telle possibilité, en lien avec les assureurs.
Le projet d’arrêté prévoit que les personnes concernées exercent leurs droits auprès du service des impôts des particuliers dont dépend le requérant. La demande peut être effectuée par courrier, par courriel via la messagerie sécurisée de son espace personnel ou directement à l’accueil du service des impôts des particuliers . La Commission appelle l’attention de la DGFiP sur le cas d’un bénéficiaire étranger qui ne résiderait pas en France et qui n’aurait pas de numéro fiscal et, par voie de conséquence, de service des impôts des particuliers territorialement compétent. Elle prend acte que le projet d’arrêté sera complété sur ce point.
La Commission demande en conséquence que les mentions relatives aux droits des personnes (droit d’accès, de rectification, d’effacement, etc.) soient modifiées pour correspondre aux droits prévus par le RGPD.
Sur les mesures de sécurité mises en œuvre 
Deux applications principales permettent la consultation des données du traitement : le système FICOVIE-Agents, à destination des agents de l’administration et le sous-système FICOVIE-Notaires, à destination des notaires.
La Commission rappelle tout d’abord que le traitement étant un téléservice au sens de la loi, il est soumis aux prescriptions prévues par l’ordonnance n° 2005-1516 du 8 décembre 2005, doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010.
La Commission rappelle également, qu’à ce titre, le traitement doit faire l'objet d'une analyse de risques incluant les risques pesant sur les personnes concernées. Elle rappelle également qu’il revient au responsable de traitement d’attester formellement de l'acceptation du niveau de sécurité du téléservice au travers d’une homologation RGS et d'en publier l'attestation d'homologation sur son site.
La Commission prend acte de ce que l’accès à l'application FICOVIE-Notaires, seule application accessible via le réseau internet, est sécurisé par le protocole TLS 1.1 mais elle recommande, sur ce point, d’utiliser, autant que possible, la version de TLS la plus à jour.
La Commission relève que les applications FICOVIE-Agents et FICOVIE-Notaires ne sont accessibles qu’aux seules personnes et seuls agents habilités et que ces derniers ont l’obligation de saisir un identifiant et un mot de passe personnels afin de se connecter. Le traitement prévoit à ce stade un mot de passe compris entre huit et douze caractères, qui n’est pas conforme aux critères définis dans sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Elle recommande de modifier le traitement pour le mettre en conformité avec cette recommandation.
 
Sur la gestion des traces applicatives et des journaux techniques
La Commission note que différentes traces sont générées par le traitement (application FICOVIE-Agents et application FICOVIE-Notaires) et que la durée de conservation de ces dernières varie en fonction de la population concernée, ainsi que du type de trace.
Ainsi, la durée de conservation des journaux techniques du système FICOVIE-Agents ( logs ) est de trente-et-un jours et la durée de conservation des traces fonctionnelles des agents est d’une année. Par ailleurs, le sous-système FICOVIE-Notaires génère et conserve les traces fonctionnelles des notaires pour une durée de trois ans. Il convient de noter que ce sous-système ne conserve pas de journaux techniques.
La Commission rappelle que sa recommandation, sur la gestion des traces et des journaux est de mettre en œuvre une durée de conservation de 6 mois, sauf à prouver que certains risques ne peuvent être couverts que par une extension de cette durée, et de mettre en œuvre, un système de centralisation des traces en vue d’être en mesure d’assurer l’intégrité et la disponibilité de la gestion des traces et des journaux. La Commission considère donc qu’il est nécessaire que le sous-système FICOVIE-Notaires et le système FICOVIE-Agents permettent une conservation de journaux techniques, dont la durée de conservation, adaptée au contexte, devrait être de six mois. De même, la Commission recommande que, sous réserve de nécessité et de la mise en œuvre des dispositifs précités, les traces fonctionnelles relatives au sous-système FICOVIE-Notaires et au système FICOVIE-Agents, soient conservées pendant une durée équivalente, qui compte tenu des risques particuliers présentés par le traitement pourra être portée à un an.
La Commission relève qu’aucun outil de surveillance des journaux, tant technique qu’applicatif n’est déployé. Elle rappelle que la mise en œuvre d’un mécanisme proactif de contrôle automatique des traces contribue à la détection des comportements anormaux par la génération automatique d’alertes et est donc, par conséquence, nécessaire et plus adapté qu’une conservation rallongée des traces. Enfin, la Commission encourage le ministère à mettre en œuvre, tel qu’il est déjà fait pour le sous-système FICOVIE-Notaires, des mesures organisationnelles, sur une base de temps régulière, ayant pour objet l’analyse des journaux dans l’optique de détecter des comportements suspects ou des anomalies d’utilisation.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ( RGPD ) ;
Vu la directive (UE) 2015/2366 du Parlement européen et du Conseil du 25 novembre 2015 concernant les services de paiement dans le marché intérieur, modifiant les directives 2002/65/CE, 2009/110/CE et 2013/36/UE et le règlement (UE) no 1093/2010, et abrogeant la directive 2007/64/CE ( DSP2 ) ;
Vu le règlement délégué (UE) 2018/389 de la Commission du 27 novembre 2017 complétant la directive (UE) 2015/2366 du Parlement européen et du Conseil par des normes techniques de réglementation relatives à l'authentification forte du client et à des normes ouvertes communes et sécurisées de communication ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Anne DEBET, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Formule les observations suivantes :
La présente recommandation vise à proposer des modalités pratiques d’exercice des droits conférés par le RGPD par le biais de personnes physiques ou morales (les mandataires) mandatées par les personnes souhaitant exercer ces droits (les mandants) auprès d’organismes détenant ces données (les responsables de traitement détenteurs des données).
Cette recommandation, notamment les exemples qui y sont proposés, n’est ni prescriptive ni exhaustive et a pour objectif d’aider les mandataires et responsables de traitement dans leur démarche de mise en conformité. D’autres méthodes pour la mise en œuvre de l’exercice de droits par l’intermédiaire de mandataires peuvent être envisagées si elles sont conformes aux textes en vigueur.
Article 1er - Périmètre de la recommandation 
1.1 – Normes juridiques et droits concernés
L’article 77 du décret d’application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (ci-après loi Informatique et Libertés ) prévoit qu’une demande d’exercice des droits (information, accès, rectification, effacement, limitation du traitement, portabilité et/ou opposition) peut être présentée par une personne spécialement mandatée à cet effet par le demandeur, si celle-ci justifie de son identité et de l'identité du mandant, de son mandat, ainsi que de la durée et de l'objet précis de celui-ci.
Les exemples donnés dans la recommandation sont plus spécifiquement relatifs à l’exercice du droit à la portabilité (article 20 du RGPD) et du droit d’accès (article 15 du RGPD). Toutefois, la Commission invite les mandataires qui choisiraient de proposer des services d’exercice d’autres droits conférés par le RGPD à se référer également à la présente recommandation, pour les parties qui s’appliqueraient à leur activité.
1.2 – Traitements et acteurs concernés
La recommandation concerne tous les traitements, tels que définis par l’article 4 du RGPD, qui sont mis en œuvre dans le cadre d’une demande d’exercice de droits par le biais d’un mandataire.
Une demande d’exercice de droits par le biais d’un mandataire se déroule en général en six, voire sept étapes :
la création d’une relation contractuelle entre la personne concernée (le mandant) et le mandataire ;
l’établissement d’un mandat spécifique ;
la transmission par le mandataire de la demande d’exercice de droits au responsable de traitement ;
la transmission des données par le responsable de traitement à la personne concernée ou au mandataire ;
la transmission des données par le mandataire à la personne concernée, ou à un autre responsable de traitement ;
le cas échéant, la conservation par le mandataire des données ainsi obtenues dans un espace accessible à la personne concernée ;
l’éventuelle réutilisation de ces données par le mandataire.
La recommandation concerne, en premier lieu, l’ensemble des responsables de traitement détenteurs des données qui reçoivent des demandes d’exercice des droits par le biais de mandataires.
Ces responsables peuvent être des entités publiques ou privées pouvant être soumises à des réglementations sectorielles particulières venant préciser certaines caractéristiques de leurs traitements.
Concernant l’interaction entre les dispositions de la DSP2 relatives aux conditions de mise en œuvre de certains traitements de données à caractère personnel et les dispositions du RGPD, si une demande est adressée à un prestataire gestionnaire de compte par un prestataire d’information sur les comptes, les modalités d’accès et de transmission de ces données sont celles prévues par la DSP2. Elles impliquent notamment l’exigence d’un agrément délivré par l’ACPR et le respect d’obligations spécifiques en matière de sécurité.
L’article L. 314-1 du code monétaire et financier liste les services de paiement soumis à cette réglementation, dont le service d’information sur les comptes. Ce dernier est défini comme un service en ligne consistant à fournir des informations consolidées concernant un ou plusieurs comptes de paiement détenus par l’utilisateur de services de paiement, soit auprès d’un autre prestataire de services de paiement, soit auprès de plus d’un prestataire de services de paiement. Cette restitution implique un traitement dépassant la simple transmission de données brutes. Un organisme souhaitant fournir un tel service est donc tenu de respecter les modalités d’accès et de transmission prévues par la DSP2, et ne peut exercer à cette fin les droits prévus par le RGPD, tels que le droit à la portabilité ou le droit d’accès.
Il est en revanche possible pour un mandataire, même lorsque ce dernier est par ailleurs prestataire de service d’information sur les comptes, d’exercer les droits d’accès et de portabilité prévus par le RGPD, en qualité de mandataire, auprès d’un prestataire gestionnaire de compte, si la DSP2 n’a pas vocation à s’appliquer à cette opération. Ce serait par exemple le cas si l’accès aux données est réalisé dans le cadre de la fourniture d’un service non soumis à la DSP2, ou si les données auxquelles on accède ne proviennent pas d’un compte de paiement au sens de la DSP2.
En tout état de cause, les traitements de données à caractère personnel mis en œuvre par ces organismes sont soumis au respect du RGPD, qu’ils soient ou non opérés dans le cadre de la fourniture des services soumis à la DSP2.
Enfin, la recommandation ne vise pas les services mis à disposition par des acteurs proposant des outils facilitateurs d’exercice de droit (par exemple, ceux fournissant une plateforme sur laquelle les personnes concernées ont accès à des demandes prérédigées qu’elles envoient elles-mêmes), ou ceux qui jouent le rôle de connecteurs et de facilitateurs de transmission dans le cadre d’une demande de portabilité sans exercer ces droits au nom et pour le compte des personnes concernées.
Article 2 - Qualification des rôles et responsabilités
Les acteurs doivent effectuer une analyse préalable quant à la qualification de leur rôle, notamment à la lumière de la jurisprudence de la Cour de justice de l’Union européenne et des documents publiés par le Comité européen sur la protection des données (CEPD) sur la notion de responsable de traitement et de sous-traitant.
Chaque acteur, qu’il soit un responsable de traitement recevant une demande d’exercice de droit ou un mandataire mandaté par la personne concernée, est un responsable de traitement distinct, à moins que les acteurs déterminent ensemble les moyens et les finalités du traitement : dans ce cas spécifique, une responsabilité conjointe peut être retenue.
Article 3 - L’entrée en relation contractuelle entre la personne concernée et le mandataire
Comme dans toute entrée en relation contractuelle entre un organisme et une personne concernée recourant aux services de ce dernier, plusieurs traitements sont nécessaires à l’exécution du contrat auquel la personne concernée est partie au sens de l’article 6 du RGPD. Dans ce cadre contractuel, le mandataire joue son rôle d’intermédiaire entre la personne concernée et les responsables de traitement auprès desquels cette dernière souhaite exercer ses droits. L’exercice des droits nécessite notamment de prouver que la personne est bien titulaire des droits qu’elle entend exercer, c’est-à-dire qu’elle est bien la personne connue par le responsable de traitement auprès duquel la demande est formulée. L’article 77 du décret dispose que la personne concernée justifie de son identité par tout moyen, et notamment en utilisant des données d'identité numériques lorsque ces données sont nécessaires et estimées suffisantes par le responsable du traitement pour authentifier ses utilisateurs. Le mandataire ne pourra donc collecter et transmettre que les données d’authentification ou d’identification pertinentes, ce qui ne nécessite pas un traitement systématique de justificatifs de l’identité régalienne. L’article 77 du décret précise par ailleurs que la photocopie d'un titre d'identité portant la signature du titulaire ne peut être demandée qu’en cas de doutes raisonnables quant à l'identité de cette personne, lorsque la situation l’exige.
Si le mandataire estime qu’il doit s’assurer de l’identité de la personne concernée avant d’entrer en relation commerciale avec elle, la Commission rappelle que la consultation d’un justificatif suffit généralement, sans que cette donnée soit nécessairement stockée. Toutefois, sur le fondement de son intérêt légitime, le mandataire peut exceptionnellement conserver les données permettant de justifier de l’identité de la personne concernée afin d’anticiper les cas spécifiques où le responsable de traitement aurait des doutes raisonnables sur l’identité de la personne, à condition que ces données soient pertinentes au regard de la vérification opérée. Dans l’hypothèse où la personne concernée serait connue par le responsable de traitement sous son identité régalienne, et que le mandataire souhaiterait en conserver un justificatif, la Commission recommande de déployer des mesures de sécurité renforcées, telles que :
la conservation sous une forme adaptée, par exemple, en limitant la qualité de l’image numérisée, en intégrant un filigrane comportant la date de collecte et l’identité du responsable de traitement ou en mettant en place des mécanismes de chiffrement des pièces d’identité numérisées ;
une gestion stricte des habilitations (accès uniquement aux contrôleurs de gestion ou service de recouvrement, par exemple) ;
la mise en place de mécanismes d’authentification des utilisateurs ;
la mise en place d’un système de journalisation des accès aux pièces d’identité, conservant pendant une durée de six mois glissants l’identifiant du salarié ayant accédé à une pièce d’identité, la référence interne de la pièce d’identité consultée, ainsi que l’horodatage de la consultation, associée à des mécanismes d’analyse automatiques afin de détecter des accès non autorisés ; et
l’utilisation d’un logiciel spécialisé de destruction des données lors de leur suppression.
Article 4 - Sur l’établissement du mandat et sur son contenu
Conformément à l’article 77 du décret, le mandataire doit être spécialement mandaté par la personne concernée ; la durée et l’objet précis du mandat doivent être spécifiés et le mandataire doit être en mesure de justifier de son mandat.
Bien que certains aspects d’une demande d’exercice de droits par le biais d’un mandataire puissent être traités dans le cadre de conditions générales d’utilisation (comme par exemple la durée de conservation, les droits que le mandataire propose d’exercer par son intermédiaire, etc.), la Commission estime qu’une telle clause générale semble insuffisante pour répondre au caractère spécifique du mandat en ce qui concerne (i) les données visées par la demande ; (ii) le responsable de traitement destinataire de la demande ; (iii) les données d’identification transmises au responsable de traitement ; (iv) les droits exercés ; et (v) la durée du mandat. La Commission tient à la disposition des mandataires sur son site web un exemple de mandat-type, auquel les mandataires ainsi que les responsables de traitement détenteurs de données peuvent se référer.
Les responsables de traitement auxquels les demandes sont adressées ne doivent pas procéder à la transmission des données sans s’être assurés au préalable de leur validité : il leur incombe de s’assurer de l’identité de la personne concernée et de la véracité du mandat.
La Commission recommande au mandataire de s’assurer que le mandat contienne tous les éléments permettant (i) d’identifier le titulaire du droit exercé et la personne à l’origine de la demande, en cas de représentation légale de la personne concernée ; (ii) de s’assurer de l’authenticité du mandat ; (iii) d’identifier le destinataire à qui les données doivent être transmises (à savoir la personne concernée, le mandataire ou l’éventuel nouveau responsable de traitement dans le cadre du transfert direct, permis par le droit à la portabilité) ; et (iv) d’identifier le responsable de traitement auprès duquel les droits doivent être exercés.
Dans l’hypothèse où le mandataire exerce les droits de la personne concernée auprès de plusieurs responsables de traitement, la Commission recommande qu’un contrat de mandat propre à chaque responsable de traitement soit conclu afin d’éviter que le mandat ne contienne des informations non nécessaires ou non pertinentes telles que des informations d’identification uniquement valables auprès d’un responsable de traitement ou que ne soit pas révélé à un responsable de traitement l’identité d’un autre responsable détenant les données à caractère personnel de la personne concernée.
Enfin, le mandataire doit porter une attention particulière au respect du principe de minimisation des données, en vertu de l’article 5 du RGPD. Le mandataire doit ainsi procéder à une analyse en amont en vue de s’assurer de la pertinence des données transmises dans le mandat au responsable de traitement. Dans cette perspective, la Commission propose que les mandataires se réfèrent aux paragraphes ci-dessous, ainsi qu’au mandat-type mis en ligne sur le site web de la Commission.
4.1 – Les données permettant au responsable de traitement d’identifier la personne concernée
La Commission recommande de laisser dans le mandat le champ libre à la personne concernée afin qu’elle renseigne elle-même les données qu’elle considère comme pertinentes pour permettre au responsable de traitement de l’identifier (identifiant, date de naissance, date de dernière connexion, par exemple). Le mandataire, dans son rôle d’intermédiaire, peut conseiller la personne concernée quant aux informations permettant au responsable de traitement de l’identifier, afin que ne soient collectées et transmises que des informations pertinentes et nécessaires.