AgentPublic/cnil huggingface dataset:
La CNIL souligne que l'obligation d'informer les personnes pèse sur le responsable de traitement. A cet égard, des mesures supplémentaires devraient être déployées pour garantir que les gestionnaires fournissent, au moment de la collecte, l'ensemble des informations énumérées à l'article 13 du RGPD (par exemple, en exigeant l'affichage sur le sas de mentions d'information simplifiées, accompagnées d'un lien et d'un code QR permettant d'accéder à l'information complète).
Pour assurer l'effectivité des droits des personnes, l'information sur le traitement doit, en outre, être complétée d'éléments relatifs :
- au caractère facultatif, prévu par l'article R. 232-6 du CSI, du recours au sas PARAFE pour le franchissement des frontières ; et
- le cas échéant, à l'articulation de PARAFE avec d'autres dispositifs de facilitation des contrôles (tel que le dispositif de pré-enregistrement créé par le décret n° 2022-1145 du 10 août 2022, qui repose également sur le volontariat).
Le ministère a précisé que le caractère facultatif du dispositif est indiqué par la signalétique, les agents de facilitation déployés par les gestionnaires, ainsi que le site web du ministère.
La CNIL estime qu'une formation des personnels chargés d'orienter et d'informer les voyageurs permettrait de garantir que ces derniers soient effectivement informés du caractère facultatif du recours au sas PARAFE et donc de la possibilité, indépendamment de leur éligibilité au dispositif, de se présenter devant un garde-frontière qui effectuera le contrôle en aubette.
ii. Traduction de l'information
La CNIL rappelle que, selon la position du Comité européen de la protection des données (CEPD) dans le cadre de ses lignes directrices sur la transparence au sens du RGPD, l'information doit être traduite dans une ou plusieurs langues lorsque le responsable du traitement cible des personnes parlant ces langues (en ce sens, v. par exemple : CNIL, SP, 26 novembre 2020, avis sur projet de décret, PARAFE, n° 2020-114, publié ; CNIL, SP, 23 juin 2022, avis sur projet de décret, NATALI, n° 2022-071, publié).
Les personnes susceptibles d'être concernées par le traitement PARAFE comprennent des voyageurs de nationalité étrangère. De plus, le projet de décret étend la possibilité de recourir au dispositif, à la sortie du territoire, à l'ensemble des ressortissants de pays tiers.
Dès lors, l'information fournie à la frontière et disponible sur les sites web précités devrait être traduite en plusieurs langues. La CNIL considère qu'elle devrait être traduite a minima en anglais et accompagnée de pictogrammes.
B. Sur les catégories de données collectées
a) La suppression de la possibilité de collecter des empreintes digitales
L'article R. 232-7 du CSI énumère les catégories de données à caractère personnel traitées pour l'authentification biométrique. Pour certains voyageurs, il est possible de s'authentifier à partir d'empreintes digitales ou de l'image numérisée du visage.
Or, dans la pratique, l'utilisation de sas à reconnaissance faciale est venue se substituer au recours aux sas à empreintes digitales (v. en ce sens la délibération n° 2020-114 précitée).
Dès lors, le projet de décret supprime la possibilité de collecter des empreintes digitales et, par là même, de mettre en place des sas à empreintes digitales.
La CNIL accueille favorablement cette évolution.
b) Les conditions de traitement des données
L'article R. 232-8 du CSI prévoit que les données collectées sont "traitées à la seule fin de permettre l'authentification biométrique du voyageur et la consultation prévue à l'article R. 232-9, permettant le contrôle aux frontières" . Autrement dit, les données alphanumériques collectées sont utilisées pour consulter, dans le cadre des contrôles prévus par le règlement (UE) 2016/399 (code frontières Schengen) : le fichier des personnes recherchées, le système d'information Schengen et le fichier des documents de voyage volés et perdus d'Interpol. Ces traitements font alors l'objet d'une mise en relation avec PARAFE.
Le projet de décret supprime la mention des traitements consultés et prévoit, en conséquence, que les données sont traitées non plus pour la consultation de ces derniers, mais pour "la collecte des données nécessaires aux contrôles aux frontières" .
La CNIL ne remet pas en cause l'absence d'obligation de mentionner, au sein du projet de décret, les mises en relation. Elle rappelle néanmoins que, dans certains cas particuliers, leur mention peut constituer une bonne pratique, notamment lorsque les finalités principales du traitement sont étroitement liées à quelques mises en relation particulières. La transparence vis-à-vis du public quant aux conditions de mise en œuvre de ces opérations participe également de l'équilibre entre l'objectif poursuivi par les traitements en cause et le respect de la vie privée des personnes concernées (sur ce point, v. CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié).
Au regard de ces éléments, la CNIL recommande de maintenir, au niveau du décret, la mention des mises en relation. À défaut, elle recommande vivement au ministère de décrire sur son site web l'ensemble des mises en relation réalisées avec d'autres traitements.
C. Sur les accédants
Le projet de décret modifie la liste des accédants aux données du traitement, pour ajouter :
- aux agents de la police nationale et des douanes, les militaires de la gendarmerie nationale, pour les seuls besoins des contrôles aux frontières ;
- les membres du personnel opérationnel du contingent permanent du corps européen de garde-frontières et de garde-côtes de l'agence Frontex, mentionnés à l'article 54 du règlement UE 2019/1896.
D'une part, il ressort des précisions apportées que le contrôle aux frontières relève de la compétence de la direction centrale de la police aux frontières, de la direction générale des douanes et des droits indirects, et de la gendarmerie de l'air. Dans ces conditions, les militaires de la gendarmerie nationale pourraient légitimement accéder aux données du traitement.
D'autre part, s'agissant de l'accès aux données de PARAFE par les membres de Frontex, il est précisé que :
- l'ensemble des catégories d'agents du contingent de Frontex visées à l'article 54 du règlement UE 2019/1896 sont susceptibles d'effectuer des contrôles aux frontières ;
- ces personnels sont mis à disposition par l'agence dans le seul cadre d'une opération conjointe et présentent les garanties nécessaires pour effectuer des contrôles aux frontières de première ligne (contrôles auxquels sont soumis l'ensemble des voyageurs - v. en ce sens l'art. 2 du code frontières Schengen).
Au regard de ces éléments, l'ajout des accédants envisagé par le projet de décret apparaît pertinent.
D. Sur la sécurité du traitement
La CNIL accueille favorablement la mise à jour de l'analyse d'impact relative à la protection des données (AIPD), pour prendre en compte :
- les évolutions du traitement ; et
- les recommandations de la CNIL formulées dans sa délibération n° 2020-114 précitée (revue des habilitations régulière intégrée au plan d'action à très court terme du ministère ; réduction de la durée de conservation des traces à trois mois).
Par ailleurs, le ministère a fait preuve de vigilance en matière d'authentification au dispositif en s'assurant que les nouveaux accédants utilisent eux aussi une authentification forte avec une carte à puce pour se connecter (carte agent ou autre carte à puce au moins aussi sûre).
Ainsi, les mesures de sécurité décrites par le responsable de traitement semblent conformes à l'exigence de sécurité prévue par les articles 5.1.f et 32 du RGPD.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le Ministre de l’économie, des finances et de la souveraineté industrielle et numérique d’un projet de décret portant application de la loi n° 2022‑300 du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2022-300 du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet ;
Après avoir entendu le rapport de Mme Aminata NIAKATE, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ETANT RAPPELES LES ELEMENTS DE CONTEXTE SUIVANTS
L’article L. 34-9-3 du code des postes et des communications électroniques (CPCE), créé par la loi n° 2022-300 du 2 mars 2022, impose aux fabricants d’équipements terminaux de mettre à disposition des utilisateurs un dispositif de contrôle parental aisément accessible et compréhensible. Ce dispositif doit permettre aux utilisateurs de restreindre ou contrôler l’accès à des services et des contenus susceptibles de nuire à l’épanouissement physique, mental ou moral des mineurs. Son activation doit être proposée lors de la première mise en service. Cette nouvelle obligation s’applique notamment à tous les ordinateurs et ordiphones.
Les fabricants de terminaux doivent s’assurer que les systèmes d’exploitation des terminaux concernés intègrent ces dispositifs lors de leur mise sur le marché (3ème alinéa de l’article L. 34-9-3 du CPCE). Cette obligation n’est pas applicable lorsque les terminaux n’incluent pas de système d’exploitation en propre. Pour les terminaux d’occasion, au sens de l’article L. 321-1 du code de commerce et mis sur le marché postérieurement à la publication du décret, il revient aux personnes qui les commercialisent de s’assurer que ceux-ci intègrent le dispositif de contrôle parental.
Un décret doit notamment :
déterminer les fonctionnalités et caractéristiques techniques minimales des dispositifs de contrôle parental installés sur les terminaux et les moyens mis en œuvre par le fabricant pour faciliter l'utilisation de ce dispositif (1° du II de l’article L. 34-9-3 du CPCE) ;
prévoir les informations destinées à l’utilisateur final concernant les risques inhérents à l’utilisation de moyens d’accès à Internet par des mineurs (4° du II de l’article L. 34-9-3 du CPCE).
La CNIL insiste sur le fait qu’il est essentiel de protéger les mineurs sur Internet, eu égard aux risques spécifiques auxquels ils sont exposés (pédophilie, harcèlement, arnaques…) et à la facilité d’accès à des contenus inadaptés. Cette protection passe par de nombreux canaux, au premier rang desquels figure l’éducation au numérique, à laquelle diverses autorités publiques, dont la CNIL, contribuent. La mise en place de dispositifs de contrôle automatisé constitue un moyen pertinent pour assurer cette protection. Cependant, la CNIL souligne, d’une part, qu’ils doivent s’inscrire dans le cadre d’une action plus globale de sensibilisation, d’éducation et de protection de la jeunesse dans ses usages numériques ; d’autre part que ces dispositifs peuvent impliquer la collecte de données personnelles et une forme de surveillance des mineurs, et qu’un équilibre doit donc être trouvé entre ce contrôle et le respect de leur vie privée et de leur autonomie. Parmi les dispositifs de contrôle automatisé, la CNIL a recommandé, à de nombreuses reprises, de favoriser l’usage de dispositifs à la main des utilisateurs plutôt que de solutions centralisées ou qui leur soient imposées.
Dans cette optique, la logique de contrôle parental, qui conduit à une responsabilisation du ménage pour limiter l’accès à des contenus sensibles, semble particulièrement respectueuse des droits des individus. Ainsi, la CNIL accueille très favorablement les avancées issues de la loi du 2 mars 2022 instaurant l’obligation d’intégrer des dispositifs de contrôle parental dans les terminaux (ordinateurs, tablettes, ordiphones, consoles de jeu vidéo ou encore les objets connectés comme les télévisions, montres ou enceintes), dès leur première activation. Elle estime essentiel de leur donner leur pleine portée, ce qui la conduit à proposer de renforcer les dispositions du projet de décret qui lui a été soumis, par l’ajout de deux autres fonctionnalités minimales exigées pour le contrôle parental.
Par ailleurs, l’installation de dispositifs de contrôle parental peut impliquer une collecte de données concernant les mineurs. Au-delà des garanties déjà prévues par la loi (interdiction d’une réutilisation des données des mineurs à des fins commerciales), ces outils doivent être développés dans le respect d’une approche de protection des données dès la conception et par défaut, consacrée par le règlement général sur la protection des données (RGPD).
Il doit enfin être souligné que l’usage de dispositifs de contrôle devra être adapté à l’âge du mineur : la CNIL souligne que l’usage de fonctionnalités trop intrusives au regard de l’âge d’un adolescent peut conduire à une surveillance disproportionnée du mineur, tant par les tiers que par les parents, qui nuirait à la relation de confiance entre les enfants et leurs parents, risquerait d’entraver leur processus d’autonomisation et de les accoutumer à une surveillance constante.
 
 
EMET L’AVIS SUIVANT SUR LE PROJET DE DECRET
 
Sur le
s fonctionnalités et caractéristiques techniques minimales des dispositifs de contrôle parental intégrées au terminal 
Le projet d’article R. 20-29-10-1 du CPCE prévoit deux fonctionnalités minimales pour les dispositifs de contrôle parental :
la possibilité de bloquer le téléchargement de contenus mis à disposition par des boutiques d’applications logicielles dont l’accès est interdit aux mineurs en vertu d’une disposition légale, soit par la signalétique qui lui est apposée (par exemple "PEGI 18)", soit par la désignation dans une liste publiée par l’éditeur (conformément à la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique) ;
la possibilité de bloquer l’accès aux contenus préinstallés dont l’accès est interdit aux mineurs, selon les mêmes conditions (par exemple, certaines applications de réseaux sociaux peuvent être préinstallées sur les ordiphones).
Ainsi, le projet de décret ne prévoit aucune fonctionnalité de contrôle parental obligatoire pour ce qui concerne la navigation sur Internet. En outre, le projet de décret prévoit que ces fonctionnalités minimales ne sont obligatoires que "sous 
réserve de faisabilité technique". Il prévoit par ailleurs, au III de l’article 4, la possibilité d’intégrer d’autres fonctionnalités au dispositif de contrôle parental.
Sur le périmètre des fonctionnalités minimales 
En premier lieu, il ressort des échanges avec le ministère que les termes "
sous réserve de 
faisabilité technique" visent à limiter la responsabilité des fabricants de terminaux dans les cas où les fonctionnalités minimales n’atteindraient pas leurs objectifs malgré la mise en œuvre d’un dispositif technique fonctionnel. Il s’agit, selon le ministère, notamment des cas dans lesquels une application serait mal classifiée par un éditeur et/ou par le fournisseur de boutique d’application logicielle.
Selon la CNIL, la rédaction actuelle du projet ne traduit pas suffisamment l’intention du ministère, et peut laisser penser que les éditeurs ou fournisseurs pourraient être libérés de l’obligation de proposer un système de contrôle parental minimal en cas de difficulté technique.
Le critère de "faisabilité technique" est laissé à l’appréciation des fabricants de terminaux, ce qui risque de nuire, d’une part, à la sécurité juridique nécessaire à la compréhension des obligations qui pèsent sur les acteurs concernés et, d’autre part, aux objectifs poursuivis par le législateur, en limitant l’effectivité de l’obligation prévue par la loi.
La CNIL
estime indispensable de
 modifier le projet de texte 
afin de
 prévoir
 une formulation plus adéquate
. La CNIL demande également d’harmoniser les règles de classification des contenus, afin de réduire les risques de divergences selon les différents éditeurs de contenus en ligne, d’applications, ainsi que de boutiques d’applications.
En second lieu, 
la CNIL recommande d’insérer d’autres fonctionnalités minimales qui pourraient être activées selon le degré de maturité des mineurs concernés. 
Elle suggère de prévoir que les terminaux devront obligatoirement offrir la possibilité d’établir des "listes blanches" permettant aux enfants les plus jeunes de ne consulter que les sites web et applications autorisés préalablement, et de bloquer tous les autres sites ou applications.
Pour les mineurs les plus âgés, à l’inverse, devrait être prévue la possibilité d’établir des "listes noires" – notamment des listes préétablies et ajustables par les titulaires de l’autorité parentale – visant à bloquer les sites considérés comme nuisant à l’épanouissement physique, mental ou moral des mineurs, tels que les sites à caractère pornographique.
La constitution de listes est pourtant largement répandue dans les dispositifs de contrôle parental existants, et ce depuis très longtemps. Ces fonctionnalités permettraient une protection nettement plus complète et efficace des mineurs en tenant compte du fait que les applications ne sont pas le seul moyen d’accéder à des contenus. L’activation de telles fonctionnalités peut par ailleurs être faite localement, sur le terminal de l’utilisateur, sans remontée de données à caractère personnel vers des serveurs distants.
La CNIL appelle à une harmonisation des listes noires proposées par défaut dans les dispositifs de contrôle parental afin d’éviter toute distorsion de protection selon le type de dispositif implémenté.
Sur les modalités d’activation des fonctionnalités minimales
Le projet de décret n’impose pas aux fabricants de terminaux de s’assurer de la possibilité pour les utilisateurs de choisir quelles fonctionnalités, parmi les fonctionnalités minimales mentionnées, ils souhaitent activer.
La CNIL recommande de préciser le projet de décret afin d’imposer aux fabricants de terminaux de permettre 
aux utilisateurs
une 
finesse
 dans l’activation des fonctionnalités minimales. La possibilité de faire un choix entre ces différentes fonctionnalités permettra aux utilisateurs de conserver une pleine maîtrise dans la mise en œuvre du dispositif de contrôle parental.
Sur les garanties
applicables en matière de protection des données 
Le II du projet d’article R. 20-29-10-1 du CPCE prévoit que les fonctionnalités minimales de contrôle parental sont mises en œuvre localement : aucune donnée à caractère personnel de l’utilisateur mineur ne doit pouvoir être collectée à distance, y compris par la création d’un compte utilisateur sur un serveur.
En premier lieu, selon le ministère, les dispositions des 2e et 3e alinéas du II du projet d’article R. 20-29-10-1 visent à décrire deux modalités d’activation des fonctionnalités minimales de contrôle parental :
soit 
en renseignant l’âge 
de l’enfant
ou de chaque enfant 
dans le terminal
,
 sans qu’aucune donnée à caractère personnel ne soit collectée à distance et sans requérir la création d’un compte utilisateur sur un serveur distant ;
soit sans rens
e
igner l’âge du mineur
, ce qui permet qu’aucune donnée personnelle relative au mineur ne soit traitée par le logiciel de contrôle parental, y compris localement.
Dans le premier cas, le dispositif de contrôle parental adaptera le blocage du téléchargement et de l’accès aux contenus à l’âge du mineur, tandis que dans le second cas, le blocage portera par défaut sur les contenus interdits aux moins de dix-huit ans.
La CNIL estime que la rédaction actuelle du II est ambiguë, en ce qu’elle ne permet pas de comprendre que les deux modalités décrites sont alternatives, et non cumulatives. Ensuite, le troisième alinéa prévoit une modalité n’impliquant pas le traitement de données à caractère personnel du mineur. La CNIL invite le ministère à préciser que la mise en œuvre des fonctionnalités sur ce fondement n’entraîne pas de traitement de données, y compris en local.
En deuxième lieu, la CNIL relève que le projet de décret prévoit deux dérogations au respect de ces principes de non-traitement des données personnelles des mineurs ou seulement en local : l’accord exprès de l’utilisateur majeur et l’impossibilité technique de s’abstenir de traiter les données à caractère personnel de l’utilisateur mineur. La CNIL s’interroge sur la nécessité de prévoir ces deux dérogations.
En effet, s’agissant de l’impossibilité technique, la CNIL constate que certains dispositifs de contrôle parental déjà présents sur le marché intègrent les fonctionnalités minimales prévues au projet d’article R. 20- 29- 10-1 du CPCE, sans qu’une création de compte ou même un accès à Internet soit nécessaire. Il en va de même pour celles que la CNIL recommande d’ajouter au titre des fonctionnalités minimales (constitution de listes noires ou blanches en fonction du degré de maturité du mineur). Il apparaît donc techniquement possible de configurer des dispositifs de contrôle parental qui, par défaut, fonctionnent sans entraîner de remontée de données à caractère personnel vers des serveurs ou sans qu’il soit nécessaire de créer un compte sur un serveur. Une telle configuration est distincte des opérations d’authentification ou de création de comptes utilisateurs pouvant être requises afin d’utiliser le terminal et qui peuvent nécessiter une liaison avec un serveur distant.
La configuration des dispositifs de contrôle parental uniquement en local, qui est plus conforme aux principes de protection de la vie privée, garantit la robustesse de ces dispositifs en limitant les risques de violation de données. En effet, le fonctionnement sans connexion au réseau Internet permet d’éviter diverses sortes d’attaques informatiques liées à la connexion à un réseau.
En outre, un fonctionnement en local garantit que le dispositif de contrôle parental fonctionnera en continu, y compris hors connexion Internet : il est donc plus conforme à l’objectif de protection des mineurs.
Le ministère n’a pas fait état, à ce stade, de cas d’usage précis qui justifieraient la nécessité d’aménager une telle exception.
Par conséquent, la CNIL 
considère
 que l’exception relative à l’impossibilité technique 
n’apparaît pas justifiée concernant les fonctionnalités minimales. Elle invite donc le ministère à supprimer cette disposition au II du projet d’article R. 20-29-10-1 du CPCE.
En troisième lieu, la CNIL s’interroge sur l’autre dérogation liée à l’accord exprès de l’utilisateur majeur.
Selon le ministère, cet accord permet de concevoir des contrôles parentaux exploitant des possibilités de gestion des paramètres des fonctionnalités minimales plus avancées que celles disponibles localement (par exemple, la gestion d’alertes ou de signalement aux parents, la possibilité de changer la configuration du contrôle parental depuis un compte adulte sans passer par l’appareil de l’enfant).
La CNIL considère 
donc 
que 
l
es possibilités 
évoquées par le ministère 
ne relèvent pas strictement de l’activation des fonctionnalités minimales telles qu
’
e
lles sont
 prévues au projet d’article R. 20-29-10-1 du CPCE
. De fait, elles constituent des modalités optionnelles de gestion de ces fonctionnalités.
Elle invite le ministère à supprimer cette exception