AgentPublic/cnil huggingface dataset:
En troisième lieu, le projet de décret prévoit la collecte, dans le cadre de la recherche d'une activité occulte, de données susceptibles d'étayer une suspicion de manquement . Or, cette formulation ne désigne pas une catégorie de données de manière suffisamment précise, et permettrait la collecte de toute catégorie de données dès lors qu'elle poursuit la finalité indiquée. Selon le ministère, aucune autre catégorie de données que celles énumérées par le décret ne sera collectée dans ce cadre. La CNIL prend acte de l'engagement du ministère de modifier le décret pour supprimer la mention des données susceptibles d'étayer une suspicion de manquement .
En dernier lieu, le bilan intermédiaire de l'expérimentation en cours, transmis à la CNIL, confirme que le modèle de détection automatique de la fraude repose sur une phase préalable d'apprentissage machine. Cet apprentissage consiste à fournir au modèle une vaste quantité de données pour obtenir des performances satisfaisantes. La CNIL appelle à une certaine prudence dans l'utilisation de ce type d'algorithmes, eu égard aux risques qu'ils comportent et aux biais qu'ils peuvent présenter (v. CNIL, SP, 16 novembre 2023, avis sur projet de décret, dispositif ressources mensuelles , n° 2023-120, publié). Elle estime que le développement et l'utilisation de tels modèles d'apprentissage devraient être faits en analysant la possibilité de l'émergence de tels biais et le cas échéant de documenter les mesures permettant d'en diminuer l'impact.
D. - Sur l'information des personnes
Le décret en vigueur prévoit que le droit d'information prévu par les articles 104 de la loi informatique et libertés et 14 du RGPD ne s'appliquent pas. Ces dispositions sont inchangées. La CNIL s'interroge sur le régime juridique applicable et les modalités d'exercice des droits à aménager en conséquence, compte tenu de la jurisprudence récente de la CJUE en la matière.
L'article 154 de la loi de finances pour 2020 prévoit une information générale du public et charge le décret de préciser les conditions dans lesquelles les administrations concernées mettent à disposition du public une information facilement accessible en ligne sur les finalités et les modalités de fonctionnement des traitements.
Le projet de décret précise qu'une information générale du public est diffusée sur les sites web de la direction générale des finances publiques et de la direction générale des douanes et droits indirects.
Dans une perspective d'accessibilité, cette information devra être actualisée sur les pages dédiées des sites web des directions concernées. Elle devra par ailleurs contenir le champ infractionnel des traitements ainsi que les modalités de collecte des données (y compris lorsqu'un compte est requis pour y accéder).
La CNIL rappelle que, dans le cas d'une infraction ou d'un manquement avérés et des suites procédurales qui y seront données, l'information des personnes sera individuelle, conformément aux dispositions de la loi informatique et libertés .
La présidente,
M.-L. Denis
N° de demande d'avis : 24016024.
Thématiques : France Travail, réseau pour l'emploi, accompagnement des demandeurs d'emploi, NIR.
Organisme(s) à l'origine de la saisine : ministère du travail et de l'emploi.
Fondement de la saisine : article 8. I. 4°.a de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
L'essentiel :
1. Au regard des conditions de saisine et notamment des délais laissés pour son analyse, l'avis de la CNIL et l'absence d'observation de sa part sur certaines dispositions du projet de décret, ne sauraient préjuger de la licéité de l'ensemble des traitements concernés.
2. La CNIL s'inquiète de ce que l'ouverture massive de nouveaux accès au système d'information de France Travail, dans des délais extrêmement contraints, ne soit pas accompagnée par des mesures de sécurité adaptées aux risques, en particulier à court terme. Au regard des violations massives de données ayant récemment affecté certains organismes du secteur social, la CNIL invite le ministère à exiger la mise en œuvre de mesures de sécurité effectives pour l'ensemble des structures du réseau pour l'emploi avant toute mise à disposition de nouveaux outils donnant accès au SI-FT.
3. La CNIL appelle à mieux préciser dans le décret les cas d'utilisation du NIR par France travail. Si cette utilisation peut notamment être admise pour sécuriser l'identification des demandeurs d'emploi, elle ne doit pas conduire à faire du NIR un identifiant général pour les demandeurs d'emploi et leur foyer. La CNIL prend acte de l'engagement du ministère que ce ne sera pas le cas et que le décret sera précisé.
4. Les traitements impliquent la collecte à grande échelle de données particulièrement nombreuses, parmi lesquelles des données relevant de catégories particulières de données : des données dites sensibles (celles relatives notamment à la santé), des données relatives à des condamnations pénales, infractions ou mesures de sûreté connexes , ainsi qu'à des données dites hautement personnelles (données bancaires). Le responsable de traitement devra veiller à collecter et traiter ces données avec la plus grande précaution et en apportant des garanties particulières.
5. Pour chacun des traitements encadrés par le projet de décret, la CNIL recommande au ministère, d'une part, de s'assurer du caractère nécessaire des données collectées au regard des finalités poursuivies et, d'autre part, de distinguer les catégories de données nécessaires pour chacune des finalités poursuivies.
6. La CNIL s'interroge également sur le caractère proportionné des durées de conservation pour chacune des données collectées au regard des nombreuses finalités poursuivies et invite le ministère à clarifier ce point. Il revient par ailleurs au ministère de préciser, pour chacun des traitements et finalités, les destinataires des données nécessaires pour l'exercice de leurs missions.
7. La CNIL observe que le traitement concerne des personnes vulnérables mineures et en situation de handicap. A cet égard, conformément à l'article 12 du RGPD, la délivrance de l'information doit être adaptée aux situations des personnes concernées.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 8. I. 4°.a ;
Vu la loi n° 2023-1196 du 18 décembre 2023 pour le plein emploi, notamment ses articles 1er et 6 ;
Après avoir entendu le rapport de M. Philippe Latombe, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
La loi n° 2023-1196 du 18 décembre 2023 pour le plein emploi présente quatre axes principaux :
1. La transformation du service public de l'emploi par une organisation rénovée et une coopération renforcée en créant un réseau pour l'emploi composé de l'ensemble des acteurs du champ de l'emploi et de l'insertion, dont le cercle principal comprend l'Etat, les régions, les départements, les communes et groupements de communes, l'opérateur France Travail (FT), les missions locales pour l'insertion professionnelle et sociale des jeunes (missions locales) et les Cap emploi.
Une partie des dispositions de la loi, qui prévoyaient un partage obligatoire des données des bénéficiaires du revenu de solidarité active (RSA), de la prime d'activité (PA) et de l'allocation aux adultes handicapés (AAH), notamment de nature médicale, à un nombre très important d'acteurs publics et privés, a été censurée par le Conseil constitutionnel au motif qu'elles ne présentaient pas suffisamment de garanties et portaient ainsi atteinte à la vie privée des personnes concernées. Aussi, à ce stade, le partage est limité au cercle principal du réseau, mais le gouvernement prévoit d'y ajouter d'autres acteurs ;
2. La refonte du processus d'accompagnement des demandeurs d'emploi :
- d'une part, en inscrivant automatiquement certaines catégories de personnes sur la liste des demandeurs d'emploi, notamment les demandeurs du RSA et les bénéficiaires d'un accompagnement pour l'insertion professionnelle et sociale des jeunes ;
- d'autre part, en les orientant, sur la base de critères nationaux, vers un organisme référent chargé du suivi de leur accompagnement. Un contrat d'engagement, fixe leurs objectifs d'insertion sociale et professionnelle et le niveau d'accompagnement requis. En cas de non-respect de ces engagements, la loi prévoit des sanctions graduées allant de la suspension temporaire des aides à leur suppression partielle ou totale ;
3. Le renforcement des réponses aux besoins des employeurs ;
4. La transformation de Pôle emploi en opérateur FT en renforçant ses missions propres, mais surtout en lui confiant des missions pour compte commun afin de permettre la mise en œuvre des missions du réseau pour l'emploi et la coopération renforcée de ses membres.
Les membres du réseau pour l'emploi, énumérés par l'article L. 5311-7 du code du travail (CT), disposant chacun de compétences spécifiques dans l'accompagnement des usagers, sont :
- les présidents des conseils départementaux (CD) : dans les départements de La Réunion, Guyane et Mayotte, ces compétences ont été transférées à France Travail, qui les délègue par convention aux caisses (CAF et caisse gestionnaire du régime des prestations familiales à Mayotte), les régions, les communes et les groupements de communes ;
- France Travail : qui dispose de missions propres (article L. 5312-1, I°, du CT) et de missions dites pour compte commun (article L. 5312-1, II°, du CT) ;
- les missions locales : pour les jeunes de seize à vingt-cinq ans ;
- les Cap emploi : pour les travailleurs handicapés ;
- la Caisse nationale d'allocations familiales (CNAF) et la Caisse centrale de la mutualité sociale agricole (CCMSA) (ci-après les caisses ).
La mise en œuvre de la réforme implique le recueil et le partage des données à caractère personnel des usagers concernés, mais aussi de leur conjoint, concubin, ou partenaire par lequel ils sont liés par un pacte civil de solidarité (ci-après leur conjoint ) et parfois des membres de leur foyer (enfants ou personnes à charge de moins de 25 ans, au sens de l'article R. 262-3 du CASF), entre autres aux acteurs précités et par le biais de différents flux.
B. - L'objet de la saisine
Le projet de décret en Conseil d'Etat porte sur six traitements de données à caractère personnel :
- le recueil et la transmission aux CD et à FT par la CNAF et la CCMSA de données relatives à une demande de RSA et de PA, ci-après T1 - RSA et PA (articles R. 262-102 à R. 262-110 du code de l'action sociale et des familles [CASF]), placé sous la responsabilité de la CNAF et de la CCMSA ;
- la transmission par les présidents des CD à FT des données relatives aux bénéficiaires du RSA et à leurs conjoints, aux CNAF et CCMSA des données relatives aux décisions de sanction et de radiation qu'ils prononcent ainsi qu'aux Comités national et territoriaux pour l'emploi des données relatives aux décisions d'orientations des bénéficiaires et aux critères sur lesquels ils se fondent, ci-après T2 - bRSA (articles R. 262-111 à R. 262-116-6 du CASF), placé sous la responsabilité des CD.
S'agissant des traitements T1 - RSA et PA et T2 - bRSA , les échanges de données effectués avec les CD en droit commun sont effectués sur les départements de la Guyane, La Réunion et Mayotte par les caisses, sur délégation de France Travail (CAF et caisse gestionnaire du régime des prestations familiales à Mayotte) ;
- les transmissions à FT par la CNAF et la CCMSA de données relatives aux bénéficiaires du RSA, de la PA et de l'allocation aux adultes handicapés (AAH), ainsi qu'à leurs conjoints et aux autres membres du foyer, ci-après T3 - bRSA, PA et AAH (articles R. 5312-32 à R. 5312-37 du CT), placé sous la responsabilité de la CNAF et de la CCMSA ;
- le système d'information France Travail, ci-après T4 - SI-FT (articles R. 5312-38 à R. 5312-45 du CT), placé sous la responsabilité de FT, et dans certains cas qui seront déterminés par arrêté du ministre chargé de l'emploi, en co-responsabilité avec d'autres organismes (par exemple les Cap emploi) ;
- le système d'information relatif à l'activité partielle, ci-après T5 - SI-APART (articles R. 5122-20 à R. 5122-25 du CT), placé sous la responsabilité de l'Agence de services et de paiement (ASP) ;
- la plateforme de l'inclusion, ci-après T6 - plateforme de l'inclusion (articles R. 5132-1-19 à R. 5132-1-23 du CT), placé sous la responsabilité du groupement d'intérêt public dénommé Plateforme de l'inclusion .
Ces traitements de données concernent au moins 6 millions de personnes (il existe environ 3 millions de bénéficiaires du RSA et 5 millions de demandeurs d'emploi, mais une partie des demandeurs d'emploi touche le RSA).
II. - L'avis de la CNIL
A. - Remarques générales
1. Sur les conditions de saisine
La CNIL a été saisie par le ministère du travail et de l'emploi le 31 octobre 2024 pour avis sur un projet de décret en Conseil d'Etat, avec invocation du délai d'urgence d'un mois. Le 14 novembre 2024, le ministère a transmis une saisine rectificative afin principalement de compléter de dispositions d'application à l'outre-mer et d'ajustements rédactionnels. Les éléments d'instruction, transmis au fil de l'eau, totalisent plus de mille pages de documents.
La CNIL regrette fortement qu'une unique saisine couvre un projet d'une telle envergure, impliquant de multiples traitements de données à caractère personnel concernant plusieurs millions de personnes, qui plus est dans le cadre d'une procédure d'urgence. Ces conditions ne lui permettent pas d'instruire correctement les projets de textes adressés.
Aussi le présent avis de la CNIL et l'absence d'observation de sa part sur certaines dispositions du projet de décret ne sauraient préjuger de la licéité de l'ensemble des traitements concernés.
Compte tenu des conditions de saisine, la CNIL invite le ministère à revenir vers elle aux fins de poursuivre les échanges sur la mise en conformité des différents traitements.
2. Sur la gestion des identités et des habilitations des accédants
La mise en œuvre des traitements précités nécessite l'exposition de services donnant accès au système d'information de France Travail (SI-FT) aux partenaires du réseau pour l'emploi. L'accès à ces services peut se faire par le biais d'un portail, dit MonPortailPro , d'une application partenaire ou d'interfaces de programmation applicative (API). La gestion des comptes et des habilitations des utilisateurs appartenant aux différentes structures du réseau pour l'emploi sera assurée par des responsables de gestion de compte (RGC), après signature de conventions entre France Travail et chacune des structures concernées.
L'article R. 5312-42-1, VI, du projet de décret prévoit que ces conventions doivent notamment contenir les conditions de délivrance, de durée et de renouvellement des habilitations d'accès au SI-FT, le périmètre d'accès aux données mises à disposition dans le cadre des services dématérialisés, et les garanties de sécurité et de confidentialité apportées par l'organisme.
Au regard des violations massives de données ayant récemment affecté certaines structures du réseau pour l'emploi, la CNIL regrette de ne pas avoir été consultée en amont de cette saisine, par exemple, sur une convention-cadre contenant les exigences minimales de sécurité qui seront exigées des partenaires de FT.
Les documents transmis à la CNIL permettent de dégager certaines mesures de sécurité considérées comme cible à atteindre par FT pour la création de compte, l'authentification et la gestion des habilitations des utilisateurs du réseau pour l'emploi accédant aux services mis en œuvre :
- tous les accès aux outils et API seront réalisés via une authentification multifacteur. L'obtention d'une dérogation à ce mode d'authentification, par exemple auprès du support technique téléphonique, ne sera plus possible à partir du 1er janvier 2025 ;
- un responsable de gestion de compte (RGC), désigné au sein de chaque structure partenaire, habilite individuellement les utilisateurs des outils en leur attribuant uniquement les droits nécessaires (principe de moindre privilège). Il s'occupe également d'informer les utilisateurs concernant les règles de sécurité et de confidentialité à respecter ;
- une revue des habilitations des utilisateurs est effectuée chaque trimestre ;
- l'ensemble des requêtes donnant accès à une ressource du SI-FT permet l'identification par FT du conseiller à l'origine de la requête, de sa structure de rattachement, de ses habilitations et, le cas échéant, de l'écosystème du demandeur d'emploi concerné.
La CNIL estime que ces exigences cibles de sécurité sont appropriées et de nature à limiter les risques d'accès illégitime à des données à caractère personnel et d'usurpation d'identité d'un conseiller. Ces mesures doivent notamment permettre la détection automatique par FT de certains incidents de sécurité. Néanmoins, la CNIL s'inquiète de leur mise en œuvre effective par les partenaires du réseau pour l'emploi.
En effet, il apparait que des dérogations à ces exigences de sécurité seront accordées dès la mise en œuvre des traitements concernés, avec notamment :
- le recours à des systèmes d'authentification qui ne reposent pas sur des facteurs d'authentification distincts (inhérence, connaissance, possession) et ne constituent donc pas une authentification multifacteur ;
- l'abaissement de la fréquence des revues d'habilitations à une par an ;
- l'existence de requêtes ne permettant pas l'identification et l'authentification par FT des utilisateurs qui en sont à l'origine, abaissant significativement l'efficacité de certaines règles de détection permettant la levée d'alertes en cas de comportements suspects, ainsi que la traçabilité.
Dès lors, la CNIL invite le ministère à exiger la mise en œuvre des mesures de sécurité mentionnées ci-dessus pour l'ensemble des structures du réseau pour l'emploi avant toute mise à disposition des nouveaux outils concernés donnant accès au SI-FT.
3. Sur la sensibilité des données collectées
a) Sur l'utilisation du NIR :
Malgré la rédaction actuelle du projet de décret, le ministère précise que le NIR ne sera pas utilisé comme identifiant général des demandeurs d'emploi de leur conjoint et des membres de leur foyer, mais seulement dans un but de fiabilisation des données d'identité des demandeurs d'emploi, préalablement à l'attribution d'un numéro d'identification par FT. Aussi, il est indiqué que ce numéro d'identification attribué par FT sera utilisé comme identifiant unique pour chaque demandeur d'emploi.
La CNIL prend acte des précisions du ministère s'agissant de la limitation de l'utilisation du NIR. Elle estime possible l'utilisation du NIR pour fiabiliser la base de données mais invite le ministère à mieux circonscrire, dans le décret, son utilisation à cette finalité et ce, dans le respect des conditions dans lesquelles peuvent être mis en œuvre les traitements de données à caractère personnel reposant sur la collecte du NIR, compte tenu des spécificités de ce numéro et de son caractère signifiant.
Par ailleurs, l'article 7 du projet de décret prévoit la modification du décret du 19 avril 2019 afin de permettre aux membres du réseau pour l'emploi de traiter et partager le NIR dans le cadre de la mise en œuvre des missions mentionnées à l'article L. 5311-8 du code du travail, notamment :
- la mise en œuvre des procédures et des critères communs d'orientation des demandeurs d'emploi ou rencontrant des difficultés sociales et professionnelles ;
- la mise en œuvre d'un socle commun de services au bénéfice des personnes et des employeurs ainsi que des méthodologies et des référentiels établis par les Comités national et territoriaux ;
- la participation à l'élaboration d'indicateurs communs de suivi, de pilotage et d'évaluation des actions ;
- la mise en œuvre de l'interopérabilité des systèmes d'information avec le SI-FT, lorsque celle-ci est nécessaires aux missions précitées ;
- l'organisation de la participation des bénéficiaires des services à la définition et à l'évaluation des actions du réseau pour l'emploi.
La CNIL observe que l'usage du NIR n'apparait pas toujours nécessaire pour atteindre ces objectifs et que sa collecte dans de telles circonstances apparait disproportionnée. Aussi, elle prend acte de l'engagement du ministère de modifier le projet de décret afin de préciser et de limiter les finalités pour lesquelles le NIR sera collecté.
b) Sur la collecte de données sensibles :
Les traitements impliquent la collecte à grande échelle de données particulièrement nombreuses, parmi lesquelles des données relevant de catégories particulières de données : des données dites sensibles (notamment relatives à la santé), des données relatives à des condamnations pénales, infractions ou mesures de sûreté connexes , ainsi qu'à des données dites hautement personnelles .
A ce titre, le projet d'article R. 5312-42 dispose que seront notamment collectées les données relatives à la situation familiale y compris la présence d'un enfant en situation de handicap ou des problèmes de santé d'un enfant, l'état de santé… . Il prévoit également que sera collecté pour certaines finalités spécifiques de l'opérateur FT le type et l'origine du handicap .
Aussi, en raison de l'extrême sensibilité de ces traitements, elle invite le ministère à collecter et traiter ces données avec la plus grande précaution et en fournissant des garanties particulières. Le traitement des données sensibles, sur le fondement du b ou du g du 2 de l'article 9 du RGPD, nécessite notamment de prendre des mesures de sécurité renforcées, de sensibilisation des agents accédant à ces données, d'habilitations strictes et de rendre impossible toute recherche réalisée spécifiquement à partir de requêtes portant sur ces données. La CNIL appelle également à ce que le traitement de données relevant de l'article 46 de la LIL restent strictement dans le cadre des dérogations ouvertes par cet article, s'agissant notamment des personnes autorisées à en connaître.
4. Sur l'information et les droits des personnes
Le projet de décret prévoit que l'information des personnes concernées est assurée, selon les traitements, par la CNAF et la CCMSA ou par FT, notamment par l'intermédiaire de leurs sites web et lors du dépôt de demande d'allocation.
Au regard du public concerné incluant des mineurs et des personnes en situation de handicap, la délivrance de l'information devra être adaptée conformément à l'article 12 du RGPD, notamment via la mise à disposition d'une mention d'information au format Facile à lire et à comprendre (FALC).