AgentPublic/cnil huggingface dataset:
M. Olivier COUTOR, chargé d'études à la direction des relations avec les publics et la recherche ;
M. Thomas DAUTIEU, directeur de la conformité ;
Mme Manon de FALLOIS, adjointe au chef de service de la santé à la direction de la conformité ;
Mme Marion de GASQUET, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Alice DE LA MURE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Justine DEBOTÉ, assistante au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Christine DECHESNE-CEARD, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ;
M. Guillaume DELAFOSSE, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Isabelle DELERUE, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Grégoire DELETTE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Amélie DELEUZE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Éric DELISLE, chef du service des questions sociales et ressources humaines à la direction de la conformité ;
M. Xavier DELPORTE, chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Maryange DICHI, auditrice des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Sadio DIOUMASSY, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Julien DROCHON, auditeur des systèmes d'information référent au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Antoine DROIN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Gabrielle DU BOUCHER, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Marie DUBOYS FRESNEY, adjointe au chef de service des affaires économiques à la direction de la conformité ;
M. Corentin DUPOUEY, adjoint au chef de service des contrôles à la direction de la protection des droits et des sanctions ;
M. Hugo DUSSERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Louis DUTHEILLET de LAMOTHE, secrétaire général ;
Mme Viktorija ELENSKI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Anne FONTANILLE, juriste au service des affaires européennes et internationales ;
Mme Florence FOURETS, directrice chargée de projets régaliens auprès du secrétaire général ;
M. Thomas FRESSIN, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Aurore GAIGNON, juriste au service de la santé à la direction de la conformité ;
M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Rodolphe GENISSEL, adjoint au chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Sophie GENVRESSE, adjointe au chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Zelda GERARD, juriste au service des outils de la conformité à la direction de la conformité ;
M. Mathieu GINESTET, juriste au service des délégués à la protection des données à la direction de la conformité ;
M. Yoann GONTHIER LE GUEN, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Jérôme GORIN, ingénieur recherche et développement au service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation ;
Mme Sarah GUILLOU, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Hélène GUIMIOT-BREAUD, chef du service de la santé à la direction de la conformité ;
M. Basile GULEY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
Mme Estelle HARY, designer au service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation ;
M. Paul HEBERT, directeur adjoint de la conformité ;
Mme Clarisse HESLAUT, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Armand HESLOT, chef du service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Marie HEUZÉ, juriste au service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Agathe HUBERT, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Sonia HUDELA, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Nathalie JACQUES, assistante au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Amandine JAMBERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Hugo JAUFFRET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Julien JEDRZEJCZAK, chargé d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Véronique JENNEQUIN, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Karin KIEFER, directrice de la protection des droits et des sanctions ;
Mme Joana KOJUNDZIC, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Jérémie KOUZMINE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Névine LAHLOU, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Nina LE BONNIEC, juriste au service des affaires régaliennes et des collectivités territoriales ;
M. Alexis LEAUTIER, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Delphine LEGOHÉREL, directrice adjointe de la protection des droits et des sanctions ;
Mme Noémie LICHON, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Marie-Françoise MAINDRON, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Isabelle MANTZ, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Delphine MARGULIS, chargée d'instruction juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Astrid MARIAUX, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
M. Tony MARTIN, adjoint au chef de service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Clothilde MAULIN, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Oriane MAURICE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
M. Étienne MAURY, conseiller juridique auprès de la présidente et des secrétaires généraux ;
Mme Marjorie MENAPACE, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Élise MERY-BOUDONNAT, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Thomas MOREAU, juriste au service des affaires économiques à la direction de la conformité ;
M. Mathias MOULIN, secrétaire général adjoint ;
Mme Sophie NERBONNE, directrice chargée de co-régulation économique ;
Mme Ingrid NKOUENJIN, chef du service des outils de la conformité à la direction de la conformité ;
Mme Rabia OUADDAH, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Marie PACALET, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Bertrand PAILHÈS, directeur des technologies et de l'innovation ;
Mme Adélaïde PATERNOGA, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Benoît PELLAN, chargé du développement des outils de la conformité à la direction de la conformité ;
Mme Lorraine PERRONNE, juriste au service des affaires régaliennes et des collectivités territoriales ;
Mme Bertrande PIAT-TAMBAREAU, assistante juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Antoine PLANCHOT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Benjamin POILVÉ, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Laetitia RACINE, adjointe au chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Florence RAYNAL, chef du service des affaires européennes et internationales ;
M. Vincent RASNEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Antoine RICART, chargé d'instruction juridique au service de l'exercice des droits et plaintes à la direction de la protection des droits et des sanctions ;
Mme Albane RICHET, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Ismini RIGOPOULOU, juriste au service des affaires européennes et internationales ;
Mme Caroline RILOS MACIAS, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Valentin ROGER, responsable de la sécurité des systèmes d'information au secrétariat général ;
Mme Anne-Charlotte ROUGELIN, juriste conseil au service des relations avec les publics à la direction des relations avec les publics et la recherche ;
Mme Mathilde ROUSSEL, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Stéphanie SAULNIER, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
M. Benoit SEGUIN, chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
Mme Jeanne TADEUSZ, chef du service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
Mme Lola TAIEB, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Jamila TAZI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Vincent TOUBIANA, chef du service du laboratoire d'innovation numérique à la direction des technologies et de l'innovation ;
Mme Margaux TRANCART, adjointe au chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Félicien VALLET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
M. Benjamin VIALLE, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
Mme Anne VIDAL, juriste au service des délégués à la protection des données à la direction de la conformité ;
Mme Albine VINCENT, chef du service des délégués à la protection des données à la direction de la conformité ;
M. Paul VINCENT, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
M. Christophe VIVENT, adjoint au chef du service de l'expertise technologique à la direction des technologies et de l'innovation ;
Mme Clémentine VOISARD, chargée de mission au service des relations avec les publics ;
Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche.
La délibération n° HAB-2021-003 du 23 septembre 2021 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le secrétariat général de la défense et de la sécurité nationale d'une demande d'avis concernant un projet de décret portant création de traitements automatisés de données à caractère personnel dénommés chacun "Base ministérielle PPST" ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment les II et IV de son article 31 ;
Après avoir entendu le rapport de M. François PELLEGRINI, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie par le secrétariat général de la défense et de la sécurité nationale (SGDSN) d’une demande d’avis concernant un projet de décret (ci-après le "projet de décret" ) portant création de traitements automatisés de données à caractère personnel dénommés chacun "Base ministérielle PPST" (ci-après les "bases ministérielles" ).
Ces traitements visent à contribuer au dispositif de protection du potentiel scientifique et technique de la Nation (PPST), lequel repose sur un contrôle des accès aux savoirs, savoir-faire et technologies stratégiques ou sensibles abrités dans les zones à régime restrictif (ZRR), de façon à prévenir les risques de captation ou de détournement de ces derniers.
L’article R. 413-5-1 du code pénal prévoit plus précisément que l'accès à une ZRR dans le cadre d’études, de formations, d’activités de recherche ou professionnelles est soumis à l'autorisation du chef du service, d'établissement ou d'entreprise, après avis favorable du ministre chargé d'en exercer la tutelle.
La mise en œuvre des traitements projetés vise à permettre la centralisation de l’instruction respectivement par les ministres chargés de l’énergie, de la santé, de l’économie, de l’enseignement supérieur et de l’agriculture, des demandes d’avis dont ils sont saisis en application de l’article précité, par les chefs de service, d’établissement ou d’entreprise appelés à statuer sur une demande d’autorisation d’accès à une ZRR.
Ces traitements ont par ailleurs vocation à alimenter une base interministérielle, qui a pour objet d’offrir une visibilité plus globale sur les demandes d’autorisation d’accès ayant été enregistrées, et ainsi déterminer si d’autres demandes d’accès présentées par la même personne ont été instruites par d'autres ministères ainsi que, le cas échéant, les suites qui ont été données.
De manière générale, si la Commission considère que les finalités de ces traitements n’appellent pas d’observation particulière, elle rappelle néanmoins qu’une vigilance particulière s’impose s’agissant de ce type de dispositifs ayant notamment pour objet la réalisation d’enquêtes administratives de sécurité.
Dans la mesure où les traitements concernés visent, d’une part, à protéger des savoirs, savoir-faire et technologies relevant de la défense nationale ou des intérêts fondamentaux de la Nation et, d’autre part, à prévenir leur détournement à des fins militaires, de terrorisme ou de prolifération d’armes de destruction massive, la Commission considère qu’ils relèvent des articles 1 à 41 de la loi du 6 janvier 1978 modifiée ainsi que des articles 115 à 124 de la même loi applicables aux traitements intéressant la sûreté de l’Etat et la défense.
Enfin, la Commission relève que le projet de décret examiné constitue en outre un acte réglementaire unique, en référence duquel des engagements de conformité seront adressés à la Commission préalablement à chaque mise en œuvre d’un traitement selon les modalités prévues par ce texte, conformément aux dispositions de l’article 31-IV de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées
En premier lieu, l’article 2 du projet de décret prévoit que les "données et informations relatives à la personne faisant l’objet de la demande d’avis" feront l’objet d’un enregistrement dans les traitements et précise suffisamment les données dont il s’agit.
A cet égard, le SGDSN a précisé que les données et informations enregistrées à ce titre seront recueillies sur la base des seuls éléments déclarés par le demandeur d’une autorisation d’accès à une ZRR. Une photographie est jointe au dossier par le demandeur pour permettre aux services des hauts fonctionnaires de défense et de sécurité (HFDS), chargés d’instruire les demandes d’avis, de se prémunir contre des situations d’utilisation frauduleuse de l’identité d’un tiers et d’analyser la correspondance des informations relatives à l’identité de la personne dans le cas où l’interrogation de la base interministérielle ferait apparaître que cette personne a déjà fait l’objet d’une demande d’accès en ZRR. Le SGDSN a précisé qu’aucun dispositif de reconnaissance faciale ne sera mis en œuvre sur la base de la photographie collectée. La Commission en prend acte.
En deuxième lieu, le projet de décret prévoit la collecte de "données et informations relatives à l’avis du ministre ". A ce titre, seront enregistrés, d’une part, les "sens et motifs de l’avis" et, d’autre part, la "date de transmission de l’avis ".
La Commission rappelle que seules les données nécessaires aux finalités poursuivies par le traitement doivent faire l’objet d’un enregistrement et que l’enregistrement de l’intégralité de l’avis ne se justifie donc que si, en pratique, ce document peut être utile aux instructions ultérieures.
Dans le cadre de l’instruction de la demande d’avis, le service du HFDS du ministère sollicite une analyse de sécurité comprenant la réalisation d'une enquête administrative de sécurité diligentée par un service enquêteur, sur le fondement du I de l’article L. 114-1 du code de la sécurité intérieure. Le SGDSN a précisé qu’en cas d’avis défavorable du ministre, les informations relatives à l’avis enregistrées dans le traitement préciseront si cet avis s’appuie sur le sens de l’avis de sécurité rendu par le service enquêteur compétent.
 
La Commission prend acte des éléments transmis par le SGDSN selon lesquels les données recueillies par ce service lors de l’enquête de sécurité ne figurent pas dans les bases ministérielles, et que seul le sens de l’avis de sécurité formulé par ce service enquêteur est susceptible d’être enregistré. Elle attire l’attention du ministère sur le fait que, pour l’instruction d’une demande, l’avis de sécurité sera bien traité par les agents compétents mais que, au regard de la sensibilité des informations susceptibles d’être recueillies, elle estime que l’absence d’enregistrement de telles données constitue une garantie importante, de nature à limiter les données collectées aux seules données nécessaires aux finalités de ces traitements.
En dernier lieu, l’article 3 du projet de décret précise que des données sensibles au sens de l’article 6 de la loi du 6 janvier 1978 modifiée, se rapportant plus spécifiquement à des opinions politiques, à des convictions religieuses ou philosophiques ou à une appartenance syndicale sont susceptibles d’être enregistrées dans le traitement. La Commission relève que de telles données seront uniquement enregistrées au titre des catégories de données "informations contenues dans les documents fournis au chef du service, de l’établissement ou de l’entreprise par la personne faisant l’objet de la demande d’avis"  et "sens et motifs de l’avis"  du ministre.
Si la collecte de ce type de données, pour les informations qui seraient transmises par le demandeur n’appelle pas d’observation particulière, elle estime néanmoins qu’une information particulière devrait être délivrée aux personnes concernées quant à la transmission de ce type de données à caractère personnel, et notamment sur la limitation de leur communication au strict nécessaire au regard des finalités de leur collecte.
S’agissant par ailleurs des données sensibles pouvant être enregistrées au titre des "sens et motifs de l’avis" du ministre, le SGDSN précise qu’elles le seront au moyen de champs libres. A cet égard, la Commission rappelle que seules les données nécessaires aux finalités poursuivies devront faire l’objet d’une collecte et qu'il revient au ministère d'assurer un contrôle strict des informations renseignées via ces champs libres."
Enfin, la Commission prend acte de ce que, dans le cadre des formations portant sur l’usage de ces traitements, un point particulier sera consacré aux précautions liées à la collecte de données sensibles.
Sur la durée de conservation des données 
L’article 4 du projet de décret prévoit que les données à caractère personnel et informations enregistrées dans bases ministérielles sont conservées pour une durée de dix ans et deux mois à compter de la date de transmission du dernier avis rendu par le ministre sur une demande d’accès à une ZRR.
La Commission prend acte des éléments apportés par le SGDSN selon lesquels une telle durée de conservation se justifie, d’une part, par la durée maximale de l’autorisation délivrée, qui est de cinq ans, et, d’autre part, par l’intérêt pour le ministre de savoir si l’auteur de la demande d’accès a déjà présenté une demande et, dans l’affirmative, de prendre connaissance des éléments de l’instruction qui avaient alors conduit à émettre un avis favorable ou défavorable.
Elle relève enfin qu’il est prévu que les données à caractère personnel et informations issues des bases ministérielles soient conservées dans la base interministérielle pour une durée de dix ans et deux mois à compter de la date de transmission du dernier avis rendu par le ministre sur une demande d’accès à une ZRR.
Selon le SGDSN, cette conservation des données à caractère personnel et informations tant dans les bases ministérielles que dans la base interministérielle se justifie par la nécessité pour chaque ministre de conserver l’intégralité des informations relatives aux demandes dont il est saisi pour ce qui le concerne, par le besoin d’assurer un partage de ces informations au niveau interministériel et par le fait que tous les agents ministériels individuellement désignés et spécialement habilités par le HFDS dont ils relèvent pour instruire les demandes d’avis ne seront pas nécessairement habilités à accéder à la base interministérielle.
Sur les mises en relation
L’article 7 du projet de décret précise que les bases ministérielles font l’objet d’une mise en relation avec la base interministérielle.
A cet égard, la Commission prend acte des éléments apportés par le SGDSN selon lesquels celle-ci s’opérera uniquement des bases ministérielles vers la base interministérielle, afin d’importer dans la base interministérielle, via un fichier d’échange transporté manuellement d’une base à l’autre, les données issues des bases ministérielles. Cette opération sera réalisée à intervalles réguliers (au moins une fois par semaine), à l’initiative des ministères concernés. Cette alimentation de la base interministérielle par les bases ministérielles est justifiée par le fait que l’instruction des demandes, dans chaque département ministériel, nécessite de vérifier, d’une part, si la même personne a formulé des demandes dans d’autres ministères et, d’autre part, si tel est le cas, de consulter certaines pièces de ces autres demandes afin de repérer des demandeurs malveillants.