AgentPublic/cnil huggingface dataset:
Le traitement TES a vocation à alimenter la partie nationale du Système d'information Schengen de deuxième génération (N-SIS II), ainsi que le traitement Stolen and Lost Travel Documents (SLTD) géré par Interpol, de données relatives aux titre perdus, volés ou invalidés. Cette alimentation, qui est réalisée de manière automatique, implique que le traitement TES transmette des données, à l’exception des données biométriques, dès lors qu’est enregistrée une déclaration de perte, ou de vol.
Si ces modalités n’appellent pas d’observation, la Commission souligne néanmoins que s’agissant plus particulièrement de la base SLTD, des données pourront être transmises hors de l’Union européenne. Elle rappelle que les transferts de données vers des pays tiers ne pourront être opérés que sous réserve du respect des conditions énoncées aux articles 45 et suivants du RGPD. En l’absence de décision d’adéquation adoptée par la Commission européenne, de tels transferts ne pourront être réalisés que sous réserve que des garanties appropriées soient mises en œuvre conformément à l’article 46 du RGPD, en prenant en compte les circonstances du transfert ainsi que les recommandations du comité européen de la protection des données sur les mesures qui complètent les outils de transfert pour garantir le respect du niveau de protection des données à caractère personnel de l'UE.
Sur la sécurité du traitement
A titre général, la Commission souligne que le renouvellement du format de la carte d’identité utilisé depuis environ trente ans apportera un renforcement significatif de la sécurité du titre, notamment par l’ajout du composant électronique sécurisé. Elle souligne par ailleurs que dans son avis du 23 février 2016, le Conseil d’Etat a rappelé qu’eu égard à l'ampleur et au caractère particulièrement sensible du TES, qui pourrait rassembler les données relatives à l’identité ainsi que les photographies et les empreintes digitales numérisées de plusieurs dizaines de millions de personnes, la mise en œuvre de ce traitement informatique de données devait obéir à des règles de sécurité strictes.
La Commission rappelle quant à elle que la mise en œuvre de mesures de sécurité adéquates nécessite notamment d’assurer l’effectivité des restrictions d’accès prévues par le cadre normatif en vigueur, la traçabilité des consultations ainsi que la prévention de tout détournement des données.
Elle relève que s’agissant du composant électronique enregistrant les données d’identité, celui-ci est similaire à celui utilisé pour le passeport depuis 2008 selon les spécifications de la norme ICAO (International Civil Aviation Organization) pour les documents de voyage.
La Commission relève également que l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a, lors des audits qu’elle a réalisés concernant le traitement TES, émis un certain nombre de recommandations.
Parmi les recommandations mises en œuvre, la Commission prend note qu’une journalisation des requêtes judiciaires a été opérée. En l’état de la documentation, il n’est pas indiqué que les agents habilités à répondre aux requêtes judiciaires ne peuvent pas être, aussi, habilités à la gestion de ces traces. La Commission considère comme indispensable qu’une telle règle soit explicitée et mise en œuvre si cela n’était pas le cas.
La Commission comprend de la documentation que certaines des recommandations n’ont par ailleurs pas été mises en œuvre et ainsi :
la recommandation 1 conseille non seulement de chiffrer les données biométriques en base, ce qui a été mis en œuvre par le ministère, mais aussi de confier les moyens de déchiffrement à un tiers de sorte que ni le ministère ni l’autorité tierce ne puisse, seule, avoir les moyens de déchiffrer les données pour répondre aux réquisitions judiciaires. Cette seconde partie de la recommandation ne semble ni mise en œuvre par le ministère à ce stade ni prévue dans le plan d’action. Cette recommandation permet à la fois de relever le niveau de sécurité des données et de protection de la vie privée, ainsi que de limiter le risque que le traitement soit transformé en une base d’identification des individus. Compte tenu de ces éléments, la Commission estime nécessaire qu’une telle mesure, par ailleurs recommandée par l’ANSSI, soit mise en œuvre ;
la recommandation 4 prévoit de relever le niveau d’exigence en sécurité des contrats de prestation. Sa mise en œuvre devant être intégrée lors du renouvellement du marché, la Commission comprend que celle-ci est prévue dans le plan d’action du ministère.
La Commission considère comme indispensable que ces recommandations particulières soient prises en compte et relève que c’est ce que le ministère prévoit pour la quasi-intégralité des recommandations de l’ANSSI.
Elle estime en outre que le périmètre des audits de sécurité devrait être étendu, de manière à inclure les interconnexions, mises en relation et rapprochements mis en œuvre.
La Commission relève que plusieurs mesures du plan d’action étaient indiquées pour fin 2020 dans la version de l’analyse d’impact relative à la protection des données (AIPD) de décembre 2020. Si elle constate un certain retard quant à leur mise en œuvre, elle recommande au ministère de mettre à jour les délais prévus et de prévoir une évaluation de leur mise en œuvre fin 2021.
La Commission note enfin que des traces, tant systèmes qu’applicatives, sont générées par le traitement et conservées pour une durée de cinq ans. La Commission rappelle que sa recommandation sur la gestion des traces et des journaux techniques, est de mettre en œuvre une durée de conservation de six mois, sauf à être en mesure de prouver que certains risques ne peuvent être couverts que par une extension de cette durée. De même, en vue d’être en mesure d’assurer l’intégrité et la disponibilité des données, un système de centralisation des traces est conseillé ainsi que la mise en œuvre d’un mécanisme proactif de contrôle automatique des journaux contribuant à la détection des comportements anormaux par la génération automatique d’alertes.
La Présidente
Marie-Laure DENIS
La Présidente
 X
 
 
Paris, le 25 mars 2021
 
PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : xxx
Monsieur […],
Je fais suite à la décision MED n° 2019-027 du 12 novembre 2019 mettant en demeure X et aux échanges qui ont suivi.
Au regard des éléments de réponse apportés et des mesures prises dans le sens d’une mise en conformité, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-071C.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.fr et sur celui de la CNIL.
Mes services (X, juriste au service des sanctions – […]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d'agréer, Monsieur […], mes salutations distinguées.
 
 Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret relatif à la mise en place d'un téléservice pour le dépôt des demandes de certains titres de séjour ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA), notamment ses articles L. 611-5, R. 311-3, R. 611-1 à R. 611-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés notamment son article 33 ;
Vu le décret n° 2010-112 du 2 février 2010 relatif au référentiel général de sécurité (RGS) ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 91-033 du 7 mai 1991 portant avis relatif à la création d'un traitement automatisé d'informations nominatives concernant une application de gestion des dossiers des ressortissants étrangers en France ;
Vu la délibération n° 2011-036 du 10 février 2011 portant avis sur un projet de décret relatif au système informatisé de gestion des dossiers des ressortissants étrangers en France et à certains documents de voyage pour étrangers ;
Vu la délibération n° 2012-293 du 13 septembre 2012 portant avis sur un projet de décret relatif à l'application de gestion des dossiers de ressortissants étrangers en France et au traitement automatisé de données à caractère personnel relatives aux étrangers sollicitant la délivrance d'un visa ;
Vu les délibérations n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe et n° 2017-190 du 22 juin 2017 portant modification de la recommandation relative aux mots de passe ;
Vu la délibération n° 2018-322 du 4 octobre 2018 portant avis sur un projet de décret en Conseil d'Etat relatif à la validation du visa de long séjour valant titre de séjour ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire, en son rapport et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
Le projet de décret en Conseil d’Etat vise à mettre en place un téléservice pour le dépôt et l’instruction des demandes de certains titres de séjour. A cette fin, il modifie notamment les dispositions relatives au traitement AGDREF 2 (appelé aussi AGDREF ou encore AGEDREF ) pour Application de gestion des dossiers des ressortissants étrangers en France . Ce traitement, sur lequel la Commission a été amenée à se prononcer à plusieurs reprises, est prévu par les articles L. 611-3 et suivants et R. 611-1 et suivants du code de l’entrée et du séjour des étrangers et du droit d’asile (CESEDA) et a pour finalités de mieux
garantir le droit au séjour des ressortissants étrangers en situation régulière et de lutter contre l’entrée et le séjour irréguliers en France des ressortissants étrangers . Comportant notamment les empreintes digitales ainsi que la photographie des ressortissants étrangers qui y figurent, il constitue le fichier principal de gestion administrative des étrangers en France et permet la gestion, par les préfectures, des dossiers de ressortissants étrangers, la fabrication des titres de séjour et la gestion des mesures d'éloignement.
La Commission relève que le téléservice projeté s’inscrit dans la continuité de la mise en œuvre du téléservice relatif à la validation du visa de long séjour valant titre de séjour ( VLS-TS ), sur lequel la Commission s’était prononcée par délibération n° 2018-322 du 4 octobre 2018, et doit permettre à l’étranger entré en France avec un visa long séjour, arrivant à la majorité ou sollicitant le renouvellement de son titre de séjour, de bénéficier d’une voie d’accès simplifiée pour sa demande de titre, d’une part et à l’administration d’améliorer la performance des services et d’harmoniser les modalités d’instruction des demandes de titre, d’autre part.
Le projet de décret prévoit d’une part, la modification des finalités du traitement AGDREF 2 , des destinataires des données ainsi que de la liste des données collectées tels qu’ils sont respectivement prévus aux articles R. 611-1, R. 611-4 et à l’annexe 6-4 du CESEDA. D’autre part, le projet de décret vise à modifier les dispositions relatives aux droits des personnes afin de les mettre en conformité à la réglementation suite à l’entrée en application du nouveau cadre juridique applicable en matière de protection des données personnelles, soit le règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après le RGPD ) et la directive (UE) 2016/680 du 27 avril 2016 susvisée (ci-après la directive ).
Conformément à l’article L. 611-5 du CESEDA qui prévoit qu’ un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixe les modalités d'application des articles L. 611-3 et L. 611-4 (…), et aux dispositions du II de l’article 33 de la loi du 6 janvier 1978 modifiée, la modification de ce traitement est soumise pour avis à la Commission.
Ces modifications appellent les observations suivantes.
Sur le régime juridique applicable au traitement AGDREF 2 
Le ministère considère que le traitement AGDREF 2 pris dans son ensemble relève uniquement du RGPD. A cet égard, il a précisé que l’application de ce seul régime juridique s’explique par le fait que la finalité principale du fichier consiste à garantir le droit au séjour des ressortissants étrangers, sans préjudice du fait que ce traitement puisse par ailleurs avoir pour objets la prévention, la recherche, la constatation ou la poursuite d’infractions pénales dès lors qu’il sert également à lutter contre l’entrée et le séjour irréguliers.
La Commission relève cependant que si la finalité liée au téléservice projeté relève incontestablement du RGPD, peuvent être enregistrées dans le traitement les données des étrangers faisant l’objet d’une mesure d’éloignement (article R. 611-2, 3° du CESEDA), et que parmi les différentes finalités attribuées au traitement AGDREF 2 à l’article R. 611-1 du CESEDA, figure notamment celle d’ améliorer les conditions de vérification de l'authenticité des titres de séjour et celles de l'identité des étrangers en situation irrégulière (3° de l’article précité). Elle estime dès lors que certaines données personnelles sont collectées et, plus généralement, traitées, non pas pour l’instruction des demandes de titre de séjour mais dans la perspective de leur utilité pour gérer les mesures d'éloignement, et que la lutte contre l’entrée et le séjour irréguliers en France constitue une finalité du traitement.
Dès lors, la Commission estime, d’une part, qu’en l’espèce, la prévention, la recherche et la constatation d’infractions pénales constitue réellement l’une des finalités du traitement, et non un objet sans incidence sur son régime juridique (CE, Ass., 19 juillet 2019, n° 424216, Rec.). D’autre part, la direction générale des étrangers en France (DGEF) peut être considérée comme une autorité compétente au sens de l’article 3.7 de la directive puisque qu’elle élabore la réglementation relative à l'éloignement, la rétention administrative, le travail illégal et la fraude documentaire intéressant les ressortissants étrangers . La Commission considère par conséquent que le traitement AGDREF 2 relève d’un régime mixte, à savoir le RGPD pour la finalité de la garantie du droit au séjour, dans laquelle s’inscrit notamment le téléservice, et la directive pour la finalité de lutte contre l’entrée et le séjour irréguliers en France. Elle estime par conséquent que les dispositions réglementaires devraient faire apparaître ce régime mixte et que l’AIPD devra être mise à jour en conséquence.
Sur la mise en œuvre du téléservice projeté
L’article 2 du projet de décret prévoit l’ajout de la finalité relative à la mise en place du téléservice aux finalités du traitement AGDREF 2 prévues à l’article R. 611-1 du CESEDA. La Commission relève que, dans sa rédaction actuelle, ladite finalité relève davantage d’une fonctionnalité du traitement visant à simplifier les démarches administratives au moyen d’un téléservice.
La Commission relève que le téléservice sera accessible pour les étrangers possédant un titre de séjour, un visa de long séjour et, dans un déploiement ultérieur, les bénéficiaires de la protection internationale connus du SI Asile .
La Commission prend acte que les étudiants étrangers seront les premiers concernés, pour l’instruction et la délivrance de la carte de séjour temporaire portant la mention "étudiant" et de la carte de séjour pluriannuelle portant la mention “étudiant-programme de mobilité” (articles L. 313-7 et L. 313-27 du CESEDA), par la dématérialisation des procédures de demandes de titres, laquelle sera progressivement élargie, par un arrêté distinct, à l’ensemble des titres visés.
La Commission estime que la simplification des démarches administratives et l’amélioration des relations entre les usagers et l’administration constituent des finalités légitimes, sous réserve que des mesures de sécurité appropriées soient prévues et que les droits des personnes soient respectés. Elle considère que la mise en place de téléservices doit être entourée de moyens permettant de répondre aux besoins d’accompagnement spécifiques des usagers (mise à disposition de matériel informatique, accompagnement par des agents, etc.). Par conséquent, la Commission estime que le ministère doit mettre à disposition des ressortissants étrangers qui ne seraient pas en capacité d’accéder au téléservice des moyens aisément accessibles pour leur garantir un accès véritablement effectif.
A cet égard, la Commission prend acte des modalités prévues par le ministère pour l’assistance d’un usager n’étant pas en mesure d’utiliser le service, à savoir un accueil dans un espace dédié en préfecture pour être accompagné dans le dépôt en ligne de sa demande de séjour, ainsi qu’une assistance téléphonique personnalisée par le centre de contact citoyen de l’Agence Nationale des Titres Sécurisés (ANTS). Sur ce point, la Commission relève que le 2° de l’article 3 du chapitre II du projet de décret prévoit l’accès des agents de l’ANTS, individuellement désignés et spécialement habilités, aux seules fins d’accompagner les ressortissants étrangers dans leurs démarches en ligne .
Il est enfin relevé que la personne ayant effectué sa demande de titre en ligne grâce au téléservice envisagé pourra, conformément aux orientations de l'observatoire national des démarches en lignes, donner son avis sur le degré de satisfaction lié à l’utilisation du téléservice via un bouton dédié. La Commission prend acte de la précision apportée par le ministère que cette action n’implique pas un traitement de données à caractère personnel.
Compte-tenu de ce qui précède, la Commission estime que la finalité projetée, liée à la simplification des démarches administratives est déterminée, explicite et légitime conformément au b) du 1 de l’article 5 du RGPD.
Sur les droits des personnes
Au regard du régime mixte RGPD-Directive auquel est soumis le traitement AGDREF 2 , dès lors que les données sur lesquelles la personne concernée demande à exercer ses droits ne pourront pas être exclusivement rattachées soit aux finalités prévues par la directive, soit aux autres finalités du traitement de données, la Commission estime, conformément à l’avis du Conseil d’Etat du sur un projet de loi d’adaptation au droit de l’Union européenne de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (CE, Assemblée générale (section de l’intérieur), n° 393836, 7 décembre 2017), qu’il convient que l’acte ayant autorisé le traitement de données à finalités mixtes s’appuie sur l’article 23 du RGPD pour déterminer un régime des droits des personnes concernées cohérent pour l’ensemble des données traitées pour les diverses finalités. Conformément au second paragraphe de cet article 23, les dispositions apportant de telles limitations doivent être précises et ne sauraient prendre la forme d’habilitations générales. Le régime ainsi défini pourra s’appuyer sur le fait que le ministère envisageait de placer le traitement sous le seul régime du RGPD. Si la Commission estime que le traitement relève d’un régime mixte, elle invite cependant le ministère à garder des modalités d’exercice des droits aussi simples et unifiées que possible.
S’agissant en premier lieu du droit à l’information des personnes, l’AIPD précise que les conditions d’utilisation et de confidentialité du téléservice seront rédigées en français et en anglais sur le site web du ministère de l’intérieur. La Commission relève que le ministère a précisé à cet égard que le public auquel le téléservice est destiné séjournant en France depuis plusieurs mois voire depuis plusieurs années, il n’est dès lors pas souhaitable de proposer la traduction du portail dans la langue du pays d’origine.
A cet égard, la Commission considère conformément à la position retenue par le groupe de travail de l’article 29 (G29) et reprise par le Comité européen de la protection des données (CEPD) dans le cadre de ses lignes directrices sur la transparence au sens du règlement (UE) 2016/679 que, compte-tenu de l’élargissement envisagé des demandes de titres pouvant être effectuées via le téléservice et qui aura vocation à être utilisé par un large public incluant des profils divers de nationalité étrangère (visiteurs, réfugiés et bénéficiaires de la protection subsidiaire, apatrides, bénéficiaires du passeport talent , etc.), l’information délivrée aux utilisateurs du téléservice devrait être proposée en d’autres langues.
La Commission constate que le projet de décret écarte l’application du droit d’opposition conformément à l’article 23 du RGPD et que, d’après l’AIPD, le droit à l’effacement ne s’applique pas conformément aux prévisions du b) du 3 de l’article 17 du RGPD ce que le projet de décret devrait explicitement prévoir. La Commission n’a pas d’autre remarque sur les modalités d’exercice des droits prévues par le décret.
Sur les mesures de sécurité 
La Commission relève que le ministère a déclaré que le téléservice était conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé (homologation délivrée pour 3 ans par la commission d’homologation du 24 juin 2020) et rappelle que l’attestation d’homologation au RGS doit être publiée sur le site web du ministère de l’intérieur.
Dans ce cadre, elle invite le ministère à consulter les recommandations techniques publiées par l’Agence nationale de sécurité des systèmes d’information (ANSSI) notamment les éléments décrits dans la note technique "recommandations pour la sécurisation des sites web".
À cet égard, la Commission prend note que les accès au téléservice ainsi que les flux vers l’Office français de l’immigration et de l’intégration (OFII) se font via le protocole HTTPS utilisant une version de TLS à l’état de l’art (TLS 1.2). Elle rappelle toutefois l’importance de maintenir une veille active concernant ce protocole afin de maintenir le niveau de sécurité nécessaire et d’utiliser la version de TLS la plus à jour possible. Par ailleurs, la Commission prend acte de ce que tout transfert de données en pièce jointe sera chiffré. Conformément au RGS, les algorithmes et procédures de gestion de clés utilisés devront respecter l'annexe B1 dudit référentiel. Elle rappelle également que le transfert de données par pièce jointe doit être strictement limité au cas où une solution pérenne permettant notamment d’assurer la traçabilité des échanges n’est pas possible. Enfin, la Commission prend acte que les échanges avec l’OFII auront intégralement lieu sur un réseau privé maitrisé par l’État.