AgentPublic/cnil huggingface dataset:
La Présidente
COMMUNE X
MONSIEUR LE MAIRE
X
 
Paris, le 25 avril 2022
 
Références à rappeler dans toute correspondance :
X - CTX -2022-048
 Décision de mise en demeure n°MED-2022-042 du 25 avril 2022
 Monsieur le Maire,
Par lettre du 2 juin 2021, je vous alertais sur l’absence de désignation d’un délégué à la protection des données (ou DPO ) au sein de votre commune.
A ce jour, cette lettre est restée sans suite de votre part.
S’agissant des règles applicables, je vous rappelle que l’article 37.1 a) du règlement (UE) 2016/679 du Parlement européen et du Conseil relatif à la protection des données à caractère personnel (ci-après, le RGPD ou le Règlement ) impose la désignation d’un délégué à la protection des données lorsque le traitement est effectué par une autorité publique ou un organisme public. Cette obligation concerne ainsi les collectivités territoriales traitant de données à caractère personnel dans le cadre de leurs différentes activités (données d’agents publics, d’administrés, d’élus etc.).
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’intérieur d’une demande d’avis portant sur un projet d’arrêté modifiant l'arrêté du 15 mai 2009 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel dénommé DICEM (déclaration et identification de certains engins motorisés) ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de M. Alain DRU, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
Afin de lutter contre les nuisances et faits divers liés à l’utilisation d’engins non homologués sur la voie publique, le législateur a prévu l’obligation, pour les propriétaires des engins prévus à l’article L. 321-1-1 du code de la route (cyclomoteur, motocyclette, tricycle à moteur, etc.) de les déclarer et d’obtenir une attestation d’identification lors de l’acquisition de ce type de véhicule (article L. 321-1-2 du code de la route).
Le projet d’arrêté soumis pour avis à la Commission nationale de l’informatique et des libertés (ci-après la Commission ) a pour objet de modifier l’arrêté du 15 mai 2009 autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel dénommé déclaration et identification de certains engins motorisés (DICEM).
Sur les finalités du traitement et le régime applicable
Le traitement DICEM poursuit les finalités suivantes :
permettre aux personnes concernées d’effectuer les déclarations de leurs engins ;
permettre aux services compétents d’instruire les dossiers de déclaration et de délivrer un numéro d’identification de ces engins ainsi qu’une attestation de déclaration sécurisée ;
permettre aux fonctionnaires et militaires de la police et de la gendarmerie nationales et aux agents de police municipale d’identifier les éventuels propriétaires contrevenants.
La Commission relève que le ministère considère que le traitement DICEM entre dans le champ d'application de la directive (UE) 2016/680 du 27 avril 2016, dite directive police-justice , telle que transposée au titre III de la loi n°78-17 du 6 janvier modifiée (ci-après la loi informatique et libertés ). En effet, le ministère considère que, bien que les deux premières finalités soient relatives aux procédures de déclaration des engins motorisés et de délivrance des attestations correspondantes, ces formalités seraient nécessaires aux contrôles opérés par les forces de sécurité intérieure de sorte que les deux premières finalités comprennent un lien consubstantiel avec l’identification des contrevenants.
Or, la Commission considère que les deux premières finalités ne sauraient relever des finalités de prévention, détection et poursuite des infractions au seul motif que des autorités compétentes en sont destinataires et que celles-ci relèvent du règlement général sur la protection des données (RGPD). Il en va en revanche différemment des traitements opérés par ces autorités compétentes dans le cadre de l’identification des éventuels propriétaires contrevenants ; ces traitements seront quant à eux soumis au titre III de la loi informatique et libertés . Elle estime dès lors que le projet d’arrêté devra être mis à jour, notamment s’agissant des références aux dispositions applicables aux droits des personnes concernées au sein des articles 5 et 6 du projet d’arrêté.
Sur le recours au téléservice FranceConnect 
Le ministère précise que la procédure de déclaration sera principalement sécurisée par le recours au téléservice FranceConnect .
En premier lieu, la Commission relève que le recours au téléservice FranceConnect est bien facultatif, conformément à l’article 2 de l'arrêté du 8 novembre 2018 relatif au téléservice dénommé FranceConnect , dès lors qu’une procédure alternative est prévue. Elle relève toutefois que cette alternative repose, en l’espèce, sur des échanges par courriels, imposant donc la collecte d’une adresse électronique, également obligatoire pour le recours à France Connect , et qu’il ne serait pas possible à une personne concernée n’en disposant pas de procéder à la déclaration de son engin.
A cet égard, elle rappelle que la dématérialisation des services publics constitue pour certaines personnes, du fait notamment de l’absence de matériel informatique, de la non-maîtrise des outils informatiques, et/ou du choix de ne pas disposer d’une adresse électronique, un obstacle incontournable à la réalisation de certaines démarches pourtant obligatoires. Il appartient donc au ministère d’assurer le maintien d’une procédure alternative à la transmission par voie dématérialisée afin de permettre l’accès, dans des conditions analogues, à la même prestation, l’existence d’espaces permettant l’accompagnement des personnes n’étant pas suffisante. La Commission prend acte de ce que le ministère s’engage à mener une réflexion sur ce point pour trouver une solution appropriée
En deuxième lieu, la Commission relève qu’un contrôle automatisé du contenu des champs à remplir est envisagé afin de s’assurer que les données saisies sont conformes à des règles de gestion prédéfinies. Dans la mesure où les contrôles automatiques de champs ne sont pas infaillibles, par exemple dans le cas des interfaces de programmation applicative de validation d’adresses qui peuvent échouer dans les cas les plus inhabituels, la Commission invite le ministère à limiter le recours à ces contrôles et à privilégier l’affichage de simples alertes aux utilisateurs afin d’éviter toute situation de blocage des utilisateurs.
En troisième lieu, la Commission souligne l’inadéquation de ce dispositif à l’hypothèse d’une déclaration par une personne morale, ce téléservice ayant été conçu pour la sphère privée et non professionnelle. Dès lors, la Commission invite le ministère à intégrer le service ProConnect , plus adapté, dès que ce dernier sera mis en œuvre. Le ministère confirme qu’une intégration du service ProConnect est bien envisagée.
Enfin, la Commission relève qu’un module d’analyse de données permet une exploitation statistique agrégée annuellement. Elle invite le ministère à s’assurer que les données produites sont parfaitement anonymes. A défaut, des mesures complémentaires doivent être mises en œuvre afin de limiter les risques de réidentification des personnes, notamment en limitant le niveau de détail des données produites.
Sur l'information des personnes
La Commission relève que l’information des personnes est aujourd’hui délivrée au sein des conditions générales d’utilisation (CGU) du service. Elle accueille favorablement le fait qu’une politique de confidentialité, distincte des CGU, sera bientôt mise à la disposition des usagers du service afin de mettre plus en avant les informations relatives à la protection des données à caractère personnel.
Sur la sécurité des données et la traçabilité des actions 
La Commission prend acte de la mise en œuvre du traitement dans un environnement sécurisé qui minimise les possibilités d’accès non désiré à la base de données.
Cependant, dans une optique de défense en profondeur, la Commission recommande que celle-ci intègre des mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité (RGS).
Par ailleurs, elle prend acte de la mise en œuvre d’une journalisation pour une durée de douze mois, avec un accès restreint aux seuls profils administrateurs et une valorisation consistant en un contrôle par échantillonnage semestriel.
La Commission recommande qu'un contrôle d'intégrité soit opéré sur les données stockées, par exemple en calculant une empreinte des données avec une fonction de hachage conforme à l'annexe B1 du RGS.
Enfin, elle recommande que des tests de restauration réguliers des sauvegardes soient effectués.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre du travail, de l’emploi et d’insertion d’une demande d’avis concernant un projet de décret en Conseil d’Etat portant autorisation du traitement de données à caractère personnel de l’inspection du travail dénommé " SUIT " ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu le code du travail, notamment ses articles L. 8112-1 et L. 8112-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 6-III et 31-II;
Après avoir entendu le rapport de M. Alexandre LINDEN, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant
La Commission a été saisie par la ministre du travail, de l’emploi et de l’insertion d’une demande d’avis sur un projet de décret en Conseil d’Etat portant autorisation du traitement de données à caractère personnel de l’inspection du travail dénommé " SUIT " (Système utile pour inspection du travail) sur le fondement des articles 6.III et 31.II de la loi " Informatique et Libertés ".
Ce traitement, mis en œuvre sous la responsabilité de la direction générale du travail, vise à remplacer vers 2023 le système d’information (SI) " WIKI’T ", qui constitue le principal outil de travail des agents de l’inspection de travail dans l’accomplissement de leurs missions, étant précisé que la création et les modifications successives du SI WIKI’T ont été soumises à la Commission. La dernière saisine a fait l’objet de la délibération n° 2019-117 du 12 septembre 2019.
Une période transitoire jusqu’à fin 2022 est prévue pendant laquelle les deux SI " WIKI’T " et " SUIT " seront utilisés en parallèle de manière à permettre la migration de l’ensemble des dossiers et procédures en cours dans le nouvel outil.
Le projet de décret appelle les observations suivantes.
Sur les finalités du traitement 
La Commission relève tout d’abord que les finalités du SI " SUIT " visées à l’article 1er du projet de décret sont globalement les mêmes que celles poursuivies par le traitement " WIKI’T ".
Deux nouvelles finalités ont été introduites dans le projet de texte :
" 6° partager des données, dans le respect des dispositions prévues par les conventions de l'Organisation internationale du travail (OIT) de 1947 (n°81), de 1969 (n°129) et de 1996 (n°178), avec d'autres traitements du ministère du travail, d'autres administrations ou services exerçant une mission de service public afin de permettre la mise en œuvre des politiques publiques ; "
" 7° permettre la réalisation d'études à des fins de recherches ou de rapports à des fins statistiques par des personnes ou services habilités et conventionnés par la direction générale du travail. "
Concernant les partages de données visés par la finalité 6°, les éléments communiqués par le ministère indiquent que ces partages se traduiront tantôt par la possibilité d’exporter des données du SI SUIT en vue de leur transmission vers d’autres applications (internes ou externes), tantôt par la mise en place d’interfaces applicatives permettant directement l’interconnexion de différents applicatifs internes.
Ainsi, les interconnexions envisagées permettront d’interconnecter le SI SUIT avec d’autres outils mis en place par le ministère, tels que par exemple les applications " MARS " relative aux élections professionnelles, " SIPSI " relative aux services de prestations internationales, ou " DACCORD " relative aux accords d’entreprises. La Commission rappelle que lorsque les traitements sont régis par des actes réglementaires, la mise en relation doit respecter les dispositions régissant les autres traitements. Cela impose de s’assurer que les opérations envisagées sont conformes aux finalités, aux données et aux accédants et destinataires des autres traitements fixés par les autres actes réglementaires.
S’agissant des partages de données autres que ceux liés aux échanges dans le cadre des différentes conventions de l’OIT, le ministère indique que seul un export de données vers le ministère de l’intérieur est actuellement prévu, ceci exclusivement pour répondre aux nécessités des enquêtes encadrées par l’article R. 5221-20 du code du travail.
Enfin, concernant la finalité 7° de recherches et de statistiques, les précisions fournies par le ministère indiquent que le traitement ne prévoit ni collecte, ni exploitation du numéro d’identifiant au répertoire (NIR), et que des consignes spécifiques seront adressées aux services afin que ce numéro soit masqué avant que les documents qui en feraient mention ne soient intégrés dans le traitement, sous forme de pièces jointes.
La Commission prend note de ces précisions et rappelle qu’en tout état de cause, le traitement du NIR ne pourrait être effectué qu’en respectant les dispositions applicables, notamment celles du décret n° 2019-341 du 19 avril 2019.
Compte tenu de ce qui précède, la Commission estime que l’ensemble des finalités figurant dans le projet de décret sont déterminées, explicites et légitimes.
Sur la nature des données traitées
Le projet de décret prévoit dans son article 2 les données susceptibles d’être collectées et traitées dans le cadre du dispositif. Ces données sont en substance identiques à celles figurant dans le traitement " WIKI’T ".
Dès lors, ainsi qu’elle l’a relevé dans la délibération n° 2019-117 du 12 septembre 2019, si la Commission constate le traitement de nombreuses données particulièrement sensibles, elle les estime néanmoins adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités poursuivies par le traitement.
Sur la durée de conservation des données
S’agissant des durées de conservation prévues par le projet de décret, la Commission relève qu’elles diffèrent :
d’une part, selon les catégories de personnes concernées (usagers, agents de l’inspection du travail ou agents d’autres administrations) ;
d’autre part, selon qu’un procès-verbal d’infraction a ou non été dressé, puis selon qu’un recours a ou non été exercé à l’encontre des actes ou décisions de l’inspection du travail.
Si la plupart des durées sont similaires à celles du traitement " WIKI’T ", les durées de conservation sont modifiées dans le cas où un recours est exercé à l’encontre d’un acte de l’inspection du travail, passant de " quinze ans " dans " WIKI’T " à une durée allant " jusqu’à l’épuisement des voies de recours " dans " SUIT ", ce qui n’appelle pas d’observation particulière.
S’agissant des modalités d’archivage et de suppression des données, les éléments du dossier indiquent qu’au terme des durées de conservation, les données sont archivées et non pas supprimées (à l’exclusion des journaux des traces de connexion qui, eux, feront l’objet d’une suppression automatique).
A cet égard, la Commission observe qu’il ressort des éléments apportés par le ministère qu’il n’est pas fait de distinction entre les durées de conservation selon qu’elles sont nécessaires à l’utilisation courante des données (dit base active), ou nécessaires, à l’issue de cette durée, pour répondre à une obligation légale ou à des fins de preuve (dit archivage intermédiaire).
La Commission rappelle à cet égard que la conservation de données sous forme d’archives intermédiaires n’a pas vocation à être systématique, et doit être précédée d’une évaluation des besoins de conserver telle ou telle donnée ou catégorie de données. Enfin, elle invite le ministère à faire en sorte que les décisions relatives au sort final des données arrivées en fin de cycle de vie (suppression, versement aux archives nationales, etc.) soient définies, notamment avec les services d’archives compétents.
Sur la journalisation des traces d’activité
L’article 4 du projet de décret contient des dispositions spécifiques relatives à la journalisation des traces d’activité de l’ensemble des utilisateurs du dispositif.
A cet égard, la Commission relève que la rédaction actuelle du projet de décret prévoit que seules les opérations de " création et de modification de données du traitement " seront enregistrées. Dès lors, elle attire l’attention du ministère sur le fait que cette expression paraît exclure la journalisation de certaines traces d’activité relatives notamment à la consultation des contenus contrairement à ce qu’indique l’analyse d’impact relative à la protection des données.
Le projet de décret prévoit que les traces d’activité seront conservées pendant une durée de six mois et feront ensuite l’objet d’une suppression automatique, ce qui n’appelle pas d’observations de la part de la Commission.
Enfin, en l’absence de précisions apportées par le ministère, la Commission recommande de mettre en place un contrôle automatique des traces de journalisation, afin de détecter les comportements anormaux et de générer des alertes le cas échéant.
Sur l'information des personnes
La Commission relève que l’information des personnes concernées se fera de trois manières :
de manière générale pour l’ensemble des usagers, par une mention sur le site web du ministère du travail ;
de manière individuelle, par une mention rappelée dans chaque correspondance adressée à un usager ;
enfin, sous forme de mentions d’information disponibles via le compte utilisateur de chaque agent ayant directement accès au SI " SUIT ", ainsi que par une sensibilisation lors de leur formation à cet outil.
La Commission rappelle que l’ensemble des mentions prévues aux articles 13 et 14 du RGPD devront être portées à la connaissance des personnes concernées, dans les conditions de l’article 12.
Sur la sécurité des données et la traçabilité des actions :
Il ressort des éléments apportés par le ministère que certaines mesures relatives à la sécurité font l’objet d’un plan d’action dont la mise en place prendra fin au second semestre de l’année 2022.
Dès lors que la mise en œuvre effective de ces mesures constitue une condition nécessaire à la sécurité du système, la Commission appelle le ministère à apporter une vigilance particulière quant au respect de ce plan d’action, et ce jusqu’à la fin de son déploiement.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par la Direction interministérielle du numérique et du système d’information de l’Etat (DINSIC) d’une demande d’avis sur un projet de décret en Conseil d’Etat relatif aux échanges d’informations et de données entre administrations dans le cadre des démarches administratives et à l’expérimentation prévue à l’article 40 de la loi
n° 2018-727 du 10 août 2018 pour un Etat au service d'une société de confiance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code des relations entre le public et l’administration, notamment ses articles
L. 114-8, L. 114-9 et L. 113-13 ;
Vu le code pénal, notamment son article 413-9 ;
Vu le code de la santé publique, notamment son article L. 1110-4 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2011-525 du 17 mai 2011 de simplification et d’amélioration de la qualité du droit ;
Vu la loi n° 2018-727 du 10 août 2018 pour un Etat au service d’une société de confiance, notamment son article 40 ;
Vu l’ordonnance n° 2005-1516 du décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Philippe LEMOINE, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie, en application des dispositions de l’article L. 114-9 du code des relations entre le public et l’administration (CRPA) et de l’article 40 de la loi n° 2018-727 du 10 août 2018 pour un Etat au service d'une société de confiance (ci-après loi " ESSOC ") par la Direction interministérielle des systèmes d’information et de communication de l’Etat (DINSIC) d’un projet de décret en Conseil d’Etat relatif aux échanges d’informations et de données entre administrations dans le cadre des démarches administratives et à l’expérimentation prévue à l’article 40 précité.
Conformément aux dispositions de l’article 11-I-4°-a) de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la présente délibération devra être publiée en même temps que le décret adopté.
A titre liminaire, la Commission souligne que le projet de décret s’inscrit dans un contexte général de simplification des démarches et des déclarations administratives en permettant notamment les échanges entre administrations. A ce titre, elle relève que le projet de décret qui lui est soumis vise tout d’abord à prévoir les modalités d’échanges d'informations ou de données entre administrations prévus à l’article
L. 114-8 du CRPA. La Commission observe que conformément aux dispositions de l’article L. 114-9 du CRPA, il s’agit en particulier de déterminer :
les domaines et les procédures concernés par les échanges d'informations ou de données ;
la liste des administrations auprès desquelles la demande de communication s'effectue en fonction du type d'informations ou de données ;
les critères de sécurité et de confidentialité nécessaires pour garantir la qualité et la fiabilité des échanges ;
les informations ou données qui, en raison de leur nature, notamment parce qu'elles touchent au secret médical et au secret de la défense nationale, ne peuvent faire l'objet de ces échanges entre administrations ;
le délai de conservation des informations et données applicable à chaque système d'échanges.
La Commission relève par ailleurs que le présent projet de décret vise également à fixer les conditions de mise en œuvre de l’expérimentation précitée. Elle rappelle à cet égard que l’article 40 de la loi n° 2018-727 du 10 août 2018 susvisée prévoit que "