AgentPublic/cnil huggingface dataset:
La Commission considère que ces personnes présentent un intérêt légitime à accéder aux données du présent traitement, dans la limite de leurs attributions et sous réserve que les données effectivement accessibles présentent un lien direct et nécessaire avec leurs fonctions.
Sur l'information des personnes 
La Commission prend note que le personnel navigant sera informé par des mentions d’informations figurant sur la notice de remise du dispositif.
En outre, elle prend acte que lors de la remise du CMC bio à la personne concernée, une lettre d’information sera à nouveau remise au personnel navigant contenant les mentions d’informations susvisé.
La Commission précise que l’information devra être complétée par les nouvelles mentions d’informations prévues par les dispositions de l’article 13 du règlement européen sur la protection des données.
Sous ces réserves, elle estime que les modalités d’information des personnes concernées sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes 
Les droits d’accès et de rectification pourront être exercés auprès de la compagnie aérienne au sein de laquelle le personnel navigant est employé.
La Commission note que l’article 7 du projet de décret écarte l’application du droit d’opposition.
Sur la sécurité des données et la traçabilité des actions 
Le traitement a trait à la mise en œuvre de l’authentification biométrique en lieu et place d’une identification à partir de documents papiers.
Cette authentification biométrique a recours à des badges dans lesquels les gabarits des minuties de deux doigts sont stockés de manière chiffrée.
La collecte des minuties est réalisée par des mandataires à partir de postes sécurisés au moyen de certificats d’authentification et de signature fournis par l’imprimerie nationale au travers de sa plateforme de gestion des identités numériques qualifiée RGS et EIDAS.
Les informations biométriques sont conservées de manière sécurisée sur les serveurs de l’imprimerie nationale.
S’agissant de ces postes, il est impératif que leur accès soit strictement contrôlé. En effet leur compromission permet la création de fausses cartes biométriques. Or, du fait de l’adoption de la biométrie, le contrôle des accès aux zones de sûreté à accès réglementé ne s’appuiera plus que sur l’authentification biométrique de la personne.
La Commission souhaite également attirer l’attention du responsable de traitement sur la configuration des lecteurs biométriques : il est impératif de ne pas laisser la configuration par défaut de ces équipements, sous peine que ceux-ci acceptent des badges élaborés dans d’autres contextes. En outre, il convient que l’arrachement d’un lecteur entraine l’effacement des clés cryptographiques qu’il contient.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5.1.f) et 32 du règlement européen sur la protection des données.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la Présidente
Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des armées d’une demande d’avis concernant un projet de décret autorisant la mise en œuvre par la direction du renseignement militaire d’un traitement automatisé de données à caractère personnel dénommé DOREMI ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code de la défense, notamment son article L. 2381-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret du 2 août 2017 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel dénommé BIOPEX ;
Vu l’arrêté du 22 septembre 1994 relatif au traitement automatisé d’informations nominatives de personnes étrangères mis en œuvre par la direction du renseignement militaire ;
Vu la délibération n° 93-069 du 6 juillet 1993 portant avis sur le projet d’arrêté présenté par le ministère de la défense relatif au traitement automatisé d’informations nominatives mis en œuvre par la direction du renseignement militaire ;
Vu la délibération n° 2017-216 du 13 juillet 2017 portant avis sur un projet de décret autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel dénommé BIOPEX ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par la ministre des armées d’une demande d’avis relative à un projet de décret autorisant la mise en œuvre par la direction du renseignement militaire (DRM) d’un traitement automatisé de données à caractère personnel dénommé DOREMI (données du renseignement militaire).
Ce traitement doit permettre de collecter, de conserver et de traiter des données à caractère personnel afin d’apprécier le comportement et la vulnérabilité des personnes qui, en raison de leurs fonctions ou de leurs activités, déterminent conduisent ou exécutent les missions exercées par les forces armées ou les forces de sécurité d’un Etat étranger, ou qui agissent au sein ou pour le compte de groupes armés non étatique (appartenance à un groupe terroriste ou aide ponctuelle à un tel groupe) ou d’organismes en lien avec la défense de cet Etat (tels que des agences gouvernementales). Ce traitement doit également permettre d’apprécier le comportement et la vulnérabilité des personnes impliquées dans le dispositif français de renseignement militaire alors même qu’elles n’appartiennent pas au personnel des différents services de renseignement français.
La Commission relève que ce traitement a vocation à se substituer au traitement automatisé de données à caractère personnel dénommé PERSETRAN , sur lequel elle s’est prononcée dans sa délibération n° 93- 069 du 6 juillet 1993 susvisée et dont la finalité est de centraliser des informations nominatives sur des personnalités étrangères, civiles et militaires en relation avec la politique de défense ou avec les forces armées de leur pays.
Dans la mesure où le traitement DOREMI intéresse la défense et la sûreté de l’Etat, et que des données mentionnées au I de l’article 8 de la loi du 6 janvier 1978 modifiée sont susceptibles d’être enregistrées, celui-ci doit dès lors faire l’objet d’un décret en Conseil d’Etat, pris après avis de la Commission conformément aux dispositions des articles 8-I, 26- II de la loi du 6 janvier 1978 modifiée.
En application des dispositions du III de l’article 26 de la loi du 6 janvier 1978 modifiée, l’arrêté du 22 septembre 1994 portant création de ce traitement a fait l’objet d’une dispense de publication et figure ainsi à l’article 2 du décret n° 2007-914 du 15 mai 2007 susvisé. Dès lors, conformément aux dispositions des articles 26-III et 30 de la loi du 6 janvier 1978 modifiée, seul le sens de l’avis de la Commission devra être publié, dans les conditions prévues par l’article 83 du décret n° 2005-1309 du 20 octobre 2005 modifié.
Elle relève également que, comme pour le traitement PERSETRAN, le ministère souhaite en outre que le traitement ne soit pas soumis au contrôle prévu à l’article 44 de la loi du 6 janvier 1978 modifiée.
D’une manière générale, la Commission considère que les dispositions de la loi du 6 janvier 1978 modifiée permettant d’écarter le principe de publication d’un acte réglementaire, de limiter les informations qui lui sont communiquées sur un projet de traitement ou d’écarter l’exercice de son contrôle a posteriori ne doivent être utilisées que dans la stricte mesure où des considérations liées à la sûreté de l’Etat et à la défense nationale l’exigent. Elle souligne que la sensibilité des traitements qui peut, dans des circonstances spécifiques, justifier de préserver la confidentialité des conditions de leur mise en œuvre, appelle tout autant de garanties fortes permettant d’assurer la compatibilité des mesures tendant à préserver la sûreté de l’Etat et la défense nationale avec le respect du droit à la protection de la vie privée et des données personnelles.
En l’espèce, elle relève tout d’abord que l’absence d’éléments précis sur les conditions de mise en œuvre du dispositif prive la Commission de la possibilité d’apprécier le respect de l’ensemble des principes posés par la loi du 6 janvier 1978 modifiée.
En outre, si les finalités particulières poursuivies par le traitement DOREMI peuvent justifier la dispense de publication du décret autorisant sa création, la Commission regrette compte tenu de la sensibilité du dispositif projeté, que le ministère entende exclure l’exercice de son pouvoir de contrôle a posteriori. Elle rappelle qu’une telle exclusion n’est aucunement rendue obligatoire par la loi du 6 janvier 1978 modifiée, qui offre une simple faculté au pouvoir réglementaire en la matière, que les membres et agents de la Commission sont astreints par la loi au secret professionnel, qu’une partie d’entre eux disposent d’une habilitation au secret de la défense nationale et que les modalités d’exercice de ce contrôle pourraient être simplement adaptées au regard de la sensibilité du traitement.
Au-delà de ces éléments généraux, le projet de décret autorisant la mise en œuvre du traitement DOREMI appelle les observations suivantes.
Sur les finalités du traitement :
L’article premier du projet de décret prévoit que le traitement DOREMI a pour finalités la collecte, la conservation et le traitement des données à caractère personnel nécessaires pour apprécier le comportement et la vulnérabilité :
1° des personnes qui, en raison de leurs fonctions ou de leurs activités, déterminent, conduisent ou exécutent les missions exercées par les forces armées ou les forces de sécurité d’un Etat étranger ou qui agissent au sein ou pour le compte de groupes armés non étatiques ou d’organismes en lien avec la défense de cet Etat ;
2° des personnes impliquées dans le dispositif français de renseignement militaire .
La Commission relève que le traitement projeté doit permettre à la DRM, dans un contexte où les menaces auxquelles sont confrontées les forces armées présentent un caractère transnational, d’améliorer l’efficacité de la collecte et de l’exploitation du renseignement d’intérêt militaire, l’aide au commandement pour l’élaboration d’analyses, de synthèses et de statistiques, la réduction des délais de transmission et de traitement de tels renseignements, le renforcement de la sécurité des informations contenues dans la base de données, et l’optimisation de la gestion du renseignement d’intérêt militaire.
A cet égard, elle prend acte que l’optimisation de la gestion du renseignement militaire nécessite de s’intéresser à l’ensemble des acteurs et à leur environnement, susceptibles de provoquer l’emploi de moyens militaires ou d’avoir des conséquences sur les forces armées et les intérêts nationaux.
La Commission relève néanmoins qu’en procédant à la refonte du traitement PERSETRAN, le ministère entend élargir les finalités poursuivies par ce dernier. A ce titre, elle rappelle qu’aux termes de l’arrêté du 22 septembre 1994 susvisé, ce traitement vise uniquement les renseignements concernant les étrangers qui, en raison de leurs fonctions ou de leurs activités, déterminent, conduisent ou exécutent les missions confiées aux forces armées de leur pays ou d’autres pays ou qui agissent au sein d’organismes gouvernementaux œuvrant pour la défense .
Elle observe également que les modifications envisagées conduisent à élargir tant le champ des personnes concernées que celui des données à caractère personnel qui peuvent être collectées.
En particulier, la Commission relève que le traitement initialement mis en œuvre par la DRM ne vise que les personnes de nationalité étrangère et non les ressortissants français. Elle prend acte des précisions apportées par le ministère selon lesquelles cet élargissement doit permettre de tenir compte de l’évolution du type de menaces auxquelles sont confrontées les forces armées et, en pratique, de pouvoir assurer le suivi de djihadistes de nationalité française repérés sur les théâtres d’opérations extérieures.
Si cette modification n’appelle pas d’observation particulière, la Commission souligne en revanche qu’en permettant la collecte de données à caractère personnel afin d’apprécier le comportement et la vulnérabilité des personnes impliquées dans le dispositif français de renseignement militaire , le nombre de personnes susceptibles d’être enregistrées dans le traitement DOREMI est de nature à augmenter de manière significative.
Dans ce contexte, elle prend acte des précisions apportées par le ministère selon lesquelles sont ainsi visées les personnes qui n’appartiennent pas au personnel des différents services de renseignement français et dont le suivi serait justifié afin de s’assurer de l’intégrité d’une personne occupant des fonctions présentant un intérêt pour le renseignement militaire et garantir dès lors que le degré de confiance qu’il est possible de lui accorder est suffisant.
La Commission observe que le suivi des personnes visées dans cette hypothèse est étroitement lié au poste occupé par celles-ci, sans pour autant qu’un lien direct avec les missions exercées par les forces armées ou les forces de sécurité d’un Etat étranger, les activités de groupes armés non étatiques ou d’organismes en lien avec la défense d’un Etat étranger soit établi. Sans remettre en cause la légitimité d’une telle finalité, elle estime, au regard du nombre de personnes potentiellement concernées, que le projet de décret devrait être précisé afin de prendre en compte les précisions apportées par le ministère et définir ainsi strictement ce qu’il faut entendre par les personnes impliquées dans le dispositif français de renseignement militaire .
Sur les données collectées et la mise en relation avec le traitement BIOPEX :
L’article 2 du projet de décret prévoit l’enregistrement des catégories de données et informations suivantes :
les informations ayant trait à l’état civil ;
les titres d’identité ou autres documents administratifs ;
les photographies comportant des caractéristiques techniques permettant de recourir à un dispositif de reconnaissance faciale (photographie du visage de face et de profil) ;
les descriptions physiques et les signes physiques particuliers ;
les adresses physiques, numéros de téléphone et adresses électroniques ;
la situation militaire ;
la situation familiale ;
les activités professionnelles et extra-professionnelles ;
les langues parlées ;
les informations économiques et financières ;
les déplacements et séjours en France et à l’étranger ;
les informations relatives aux antécédents judiciaires ;
les appréciations relatives aux vulnérabilités de la personne ;
les données relatives à l’environnement de la personne, notamment aux personnes entretenant ou ayant entretenu des relations directes et non fortuites avec elle ;
l’immatriculation des véhicules ;
les motifs de l’enregistrement des données au regard des conditions énoncées à l’article 1er relatif aux finalités poursuivies par le traitement DOREMI.
L’article 2 précise également que ces informations ne doivent être enregistrées que dans la stricte mesure où elles sont nécessaires à la poursuite des finalités mentionnées à l’article 1er du projet de décret , ce dont la Commission prend acte, tout en rappelant que cette précision ne peut constituer une garantie de la proportionnalité du dispositif que dans la mesure où les finalités du traitement sont définies de manière suffisamment explicite et précise pour encadrer rigoureusement la collecte réalisée.
La Commission rappelle, en outre, que la même exigence de stricte proportionnalité devra être appliquée s’agissant de la collecte de données sensibles mentionnées au I de l’article 8 de la loi du 6 janvier 1978 modifiée, autorisée par le II de l’article 2 du projet de décret, à l’exception des données génétiques qui ne pourront pas être enregistrées dans le traitement DOREMI. Elle prend ainsi acte des précisions apportées par le ministère selon lesquelles la collecte, par exemple, d’informations relatives à la santé de la personne concernée, à sa vie sexuelle ou encore à son orientation sexuelle ne sera pas systématique.
Ces éléments généraux rappelés, plusieurs points appellent des observations ou réserves de la part de la Commission.
En premier lieu, la Commission prend acte de ce que les informations ayant trait à l’état civil ou à l’identité déclarée reprennent pour l’essentiel les données mentionnées par l’arrêté du 22 septembre 1994 susvisé, soit le nom, le prénom, la date de naissance, le lieu de naissance, la nationalité, les liens de parenté et l’adresse personnelle. Elle observe qu’il est prévu que ces données puissent être collectées au moyen d’autres documents administratifs que les titres d’identité, tels que les cartes de combattant ou les cartes de visite des personnes concernées afin de pallier aux difficultés résultant des situations dans lesquelles il ne sera pas possible d’obtenir des informations sur l’état- civil des personnes concernées.
En deuxième lieu, le projet de décret prévoit la collecte des photographies comportant des caractéristiques techniques permettant de recourir à un dispositif de reconnaissance faciale (photographie du visage de face et de profil).
La Commission rappelle que si la collecte de la photographie est actuellement autorisée dans le cadre de la mise en œuvre du traitement PERSETRAN, le ministère entend désormais permettre de recourir à un dispositif de reconnaissance faciale. A cet égard, le projet de décret précise que les données biométriques collectées sont celles enregistrées dans le traitement prévu par le décret du 2 août 2017 susvisé avec lequel le présent traitement est mis en relation , à savoir le traitement BIOPEX, sur lequel la Commission s’est prononcée dans sa délibération n° 2017-216 du 13 juillet 2017.
A titre liminaire, elle relève que l’acte encadrant le traitement BIOPEX prévoit la mise en relation de ce fichier avec les traitements mis en œuvre par les services de renseignement du ministère de la défense , incluant à ce titre le traitement DOREMI.
Elle prend acte des précisions selon lesquelles :
la mise en relation de ces deux traitements doit permettre de procéder à des comparaisons entre les photographies contenues dans DOREMI et celles conservées dans BIOPEX, afin de procéder au rapprochement des informations contenues dans ces deux fichiers, à l’exception des données génétiques et des autres données biométriques contenues dans BIOPEX ;
la collecte des photographies des personnes concernées ne se limitera pas à celles contenues dans le traitement BIOPEX ;
la mise en relation de ces deux traitements pourra porter sur d’autres catégories de données enregistrées dans BIOPEX.
De manière générale, la Commission rappelle que les hypothèses d’utilisation de données à caractère personnel, a fortiori de données biométriques, doivent être précisément et limitativement définies. A cet égard, si elle prend acte que ces données doivent permettre d’identifier les personnes dont la DRM est en charge d’apprécier le comportement et la vulnérabilité dans le cadre de sa mission de recherche et d’exploitation du renseignement d’intérêt militaire, la Commission estime que les cas d’usage de ces données devraient être précisés afin de s’assurer de la proportionnalité d’une telle collecte avec les finalités poursuivies par le traitement DOREMI.
En tout état de cause, elle prend acte des garanties suivantes entourant la mise en relation du fichier BIOPEX, avec le traitement DOREMI :
de la garantie selon laquelle aucune donnée biométrique ne pourra être collectée et conservée dans le traitement en dehors de celles provenant du fichier BIOPEX ;
de ce qu’aucune transmission automatique ne sera réalisée.
S’agissant en particulier de la mise en relation envisagée avec les autres catégories de données enregistrées dans le traitement BIOPEX, la Commission prend acte qu’elle s’inscrit dans le cadre de l’article L. 2381-1 du code de la défense qui prévoit la possibilité, pour les membres des forces armées et des formations rattachées, de procéder à des relevés signalétiques aux fins d'établir l'identité d’une personne, lorsqu'elle est inconnue ou incertaine, ainsi que sa participation antérieure aux hostilités, dans le cadre d'une opération mobilisant des capacités militaires se déroulant à l'extérieur du territoire français. 
Le ministère a précisé que les informations susceptibles d’être transmises dans cette hypothèse ont trait à l’état civil, aux titres d’identité, ainsi qu’aux numéros d’abonnement et aux identifiants techniques, lorsque de telles informations seront nécessaires aux finalités poursuivies par le traitement DOREMI.
La Commission considère dès lors que cette mise en relation, pour ces autres catégories de données, ne pourra intervenir que dans le cadre strictement prévu par l’article L. 2381-1 précité. Elle demande à ce que la transmission prévue dans cette hypothèse et dans ces conditions soit expressément mentionnée au sein du projet de décret. A cet égard, elle prend acte de l’engagement du ministère de modifier le projet de décret afin de prévoir que le traitement DOREMI peut être mis en relation avec le traitement prévu par le décret du 2 août 2017 pour les seules catégories de données ou informations communes aux deux traitements et dans la stricte mesure où elles sont nécessaires à la poursuite des finalités propres à chacun de ces traitements .
En troisième lieu, en ce qui concerne la collecte d’informations relatives aux antécédents judiciaires, la Commission souligne que ces informations peuvent être issues du traitement d’antécédents judiciaires (TAJ) prévu à l’article 230-6 du code de procédure pénale et pour lequel la DRM dispose d’un accès dans le cadre des enquêtes administratives réalisées sur les sources des agents de la DRM , en application de l’article R. 234-1 du code de la sécurité intérieure (CSI). Elle estime dès lors que l’enregistrement de données relatives aux antécédents judiciaires dans le traitement DOREMI doit se limiter à cette seule hypothèse. La Commission rappelle, en tout état de cause, que la conservation d’extraits du TAJ soulève des problématiques liées à la mise à jour des données et souligne d’une part, que la conservation de tels extraits au-delà de la réalisation du contrôle élémentaire ne doit être envisagée que dans la stricte mesure où elle est justifiée par les finalités du traitement et, d’autre part, qu’elle ne doit pas conduire à une nouvelle utilisation des données sans actualisation préalable. Elle rappelle qu’il reviendra au ministère d’être vigilant sur ces points.