AgentPublic/cnil huggingface dataset:
Le projet d’arrêté ajoute également un 5° à l’article 6 pour prévoir que les agents mentionnés au I de l’article 3 du décret autorisant la création d’un moyen d’identification électronique dénommé " Service de garantie de l’identité numérique " (SGIN), sur lequel la Commission s’est récemment prononcée, ont accès au traitement. Ces utilisateurs recouvrent, selon les termes du I de l’article 3 précité, les agents des services du secrétariat général du ministère de l’intérieur et de l’ANTS chargés de la maîtrise d’ouvrage et de la maîtrise d’œuvre du traitement SGIN.
La Commission prend acte des précisions apportées selon lesquelles l’accès du SGIN à " DOCVERIF " ne sera pas soumis à la condition d’un avis conforme de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) au niveau substantiel ou élevé, afin de ne pas retarder les travaux techniques en cours, étant entendu que l’avis conforme de l’ANSSI sur l’atteinte par le SGIN du niveau élevé est prévu pour l’été 2022. Elle observe ainsi que cet accès, dans la mesure où il ne sera pas soumis à la condition d’un avis conforme au niveau substantiel ou élevé, se distingue de l’accès accordé aux autres fournisseurs de moyens d’identification électronique visés par le 4° de l’article 6 créé par le projet d’arrêté.
La Commission s’interroge toutefois, au regard de la rédaction du projet d’arrêté, sur les modalités et conditions de l’accès projeté.
En effet, dès lors que l’accès des agents chargés de la maîtrise d’ouvrage et de la maîtrise d’œuvre serait nécessaire aux seuls travaux techniques requis pour la mise en place du SGIN, la Commission estime que cet accès devrait être limité dans le temps et que la disposition pertinente du projet d’arrêté devrait être modifiée en ce sens. Néanmoins, si un tel accès visait à garantir le fonctionnement du moyen d’identification électronique SGIN dans l’attente d’une attestation de conformité de l’ANSSI, elle s’interroge sur le choix de limiter cet accès aux agents chargés de la maîtrise d’ouvrage et de la maîtrise d’œuvre dans la mesure où cet accès ne permettra pas de traiter les données pour les fins poursuivies.
Sur les conventions conclues entre l’organisme concerné et le responsable de traitement
L’article 6 de l’arrêté prévoit que l’accès aux informations contenues dans le traitement par les utilisateurs privés du " périmètre 2 " est subordonné à la conclusion préalable d’une convention avec le responsable de traitement.
En premier lieu, l’AIPD transmise par le ministère indique notamment que la convention conclue entre les utilisateurs et le responsable de traitement stipule qu’aucune décision prise par un utilisateur ne peut se fonder uniquement sur une mention " invalide " ou " inconnu ". Il est aussi précisé que le ministère a la possibilité de diligenter périodiquement des audits à l’égard d’un utilisateur afin de s’assurer du respect des engagements pris contractuellement. La convention prévoit la possibilité d’interrompre immédiatement le service en cas de manquement constaté, ou sous un délai de dix jours ouvrés sans justification.
Si la Commission relève que des garanties sont prévues dans la convention, elle s’interroge néanmoins sur l’efficacité pratique de ces éléments et notamment la possibilité de garantir que le résultat de chaque consultation du traitement ne constituera pas l’élément principal sur la base duquel l’utilisateur du " périmètre 2 " prend une décision dans le cadre de ses missions. Elle relève en effet que des caractères non concordants seraient un indice fort de fraude, susceptible de fonder la décision prise.
En deuxième lieu, il ressort du bilan établi à l’issue de la première phase d’utilisation de DOCVERIF par les utilisateurs du " périmètre 2 " et détaillé dans l’AIPD que des erreurs de saisie entraînent un taux important de titres invalides (confusion du numéro de titre et du numéro étranger pour les titres de séjour, et autres erreurs de saisie dues notamment à la lisibilité des titres numérisés). A cet égard, les utilisateurs sont informés, via la convention d’utilisation du traitement, du fait que la mention " inconnu " peut avoir pour cause une erreur de saisie et qu’ils sont par ailleurs invités à procéder aux vérifications nécessaires pour limiter le risque d’erreur. Les conventions comportent un point d’attention sur la distinction entre numéro de titre et numéro d’étranger visibles sur un titre de séjour.
Le bilan précité souligne également la difficulté, pour certains utilisateurs, d’interpréter les retours " invalides " ou " inconnus " en l’absence d’informations complémentaires sur les motifs et d’adapter la conduite à tenir face aux personnes concernées.
Au regard de ces éléments, la Commission recommande de compléter les conventions d’utilisation conclues avec les organismes concernés avec, d’une part, des recommandations pour réduire les erreurs de saisie et, d’autre part, des lignes de conduite à tenir en cas de de titre " invalide " ou " inconnu ". Elle recommande également que les conventions encouragent les organismes concernés à utiliser des modalités de vérification directe et automatique du titre, par la lecture de la puce électronique notamment lorsque c’est possible.
En outre, la Commission recommande de compléter ces conventions afin d’inciter les organismes à informer les personnes concernées du fait qu’ils sont susceptibles de réaliser une interrogation de " DOCVERIF ". Par ailleurs, si elle relève qu’il est prévu par le projet d’arrêté que " les droits d’information, d’accès, de rectification, d’effacement et à la limitation prévus aux articles 104 à 106 de la même loi s’exercent auprès de la directement de la modernisation et de l’administration territoriale ", elle considère que la rédaction du projet d’arrêté relative au droit à l'information mériterait d'être modifiée dans la mesure où, en vertu de l'article 104-I de la loi du 6 janvier 1978 modifiée, il incombe au responsable de traitement de mettre à la disposition de la personne concernée les informations listées et non à la personne de demander communication de ces informations.
En troisième lieu, la Commission observe que la convention type d’utilisation de " DOCVERIF " indique que l’autorisation d’utilisation est donnée pour le territoire français (métropole, départements d'Outre-mer, régions d'Outre-mer), ce qui signifie, selon les précisions apportées par le ministère, que les interrogations s’effectuent exclusivement sur le territoire français et que les réponses sont consultées et stockées exclusivement sur le territoire français.
Elle relève que la convention pourra être modifiée par les utilisateurs sur ce point et que, en l’état, la convention ne comporte pas d'interdiction de tout transfert de données hors de l'Union européenne.
En tout état de cause, la Commission rappelle que les transferts de données vers des Etats n'appartenant pas à l'Union européenne ne pourront être opérés que sous réserve du respect des conditions énoncées à l'article 112 de la loi du 6 janvier 1978 modifiée. Le cas échéant, il conviendra notamment que des garanties appropriées en matière de protection des données à caractère personnel soient fournies par un instrument juridiquement contraignant. En l'absence de décision d'adéquation adoptée par la Commission européenne ou de garanties appropriées, et par dérogation à l'article 112 précité, de tels transferts ne pourront alors être réalisés que sous réserve de respecter les conditions énoncées à l'article 113 de la loi du 6 janvier 1978 modifiée.
La Commission prend acte de ce que la convention sera modifiée pour que soit mentionnée explicitement l’interdiction des transferts de données vers des Etats n’appartenant pas à l’Union européenne.
Sur les mesures de sécurité
En raison de l’importance du risque pour les personnes en cas de détournement des finalités du traitement et de la fréquence d’occurrence de telles pratiques, la durée de conservation de certaines données de journalisation de trois années est considérée comme proportionnée par la Commission. En effet, cette journalisation participe par sa capacité dissuasive à la sécurité du traitement. La Commission souligne l’importance de l’analyse proactive des traces pour identifier des comportements anormaux et limiter au plus tôt l’impact sur les personnes concernées.
Les données d’état civil sont conservées chiffrées avec des algorithmes et des procédures de gestion de clés conformes à l'annexe B1 du référentiel général de sécurité. La Commission observe que des travaux sont en cours pour s’assurer que la gestion des clés soit, elle aussi, en conformité avec les recommandations de l’ANSSI courant 2022.
La plupart des acteurs s’authentifient avec leur carte agent (notamment, pour les agents de la police nationale, de la gendarmerie nationale, agents de l’ANTS, des CERT ou de Tracfin). La Commission approuve ce choix, considérant qu’une authentification forte est indispensable pour les accès du " périmètre 1 ". Au vu des risques relatifs au traitement, ainsi que des modifications proposées par le ministère sur le " périmètre 2 ", la Commission considère que l’authentification forte pour ce périmètre est une pratique à encourager.
La Commission observe que des audits ont été effectués dans le cadre de l’homologation du dispositif et souligne que la correction des principaux écarts a été effectuée ou est prévue d’ici fin 2022. Pour assurer un niveau de sécurité adapté aux risques, des audits réguliers ainsi que la mise en œuvre des corrections nécessaires pour tout écart au moins important sont considérés comme indispensables par la Commission.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement semblent conformes à l’exigence de sécurité prévue par l’article 99 de loi " informatique et libertés ".
La Commission rappelle toutefois que cette obligation nécessite la mise à jour de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet d’arrêté portant création d’un traitement de données à caractère personnel relatif à l’identification des aéronefs circulant sans personne à bord, dénommé " Système de signalement de drones " (SSD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 31-IV et 89-I ;
Après avoir entendu le rapport de Mme Marie-Laure DENIS, présidente, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après " la Commission " ou la " CNIL" ) a été saisie par le ministère de l’intérieur d’un projet d’arrêté portant création de traitements de données à caractère personnel relatifs au signalement et à la surveillance des aéronefs circulant sans personne à bord, dénommé " Système de signalement de drones " (SSD).
La Commission relève que ce traitement fait partie du projet global de détection du signalement électronique dénommé " Système d’Information étatique (SIE)" . Dans le prolongement de la loi n° 2016-1428 du 24 octobre 2016 relative au renforcement de la sécurité de l'usage des drones civils, ce projet comprend deux entités :
le traitement " Infodrones " , sous la responsabilité du ministère de l’intérieur et mis en œuvre au niveau national, dont la Commission a également été saisie, qui est mis en relation avec les SSD et le traitement dénommé " AlphaTango " de la Direction de l’Aviation civile (DGAC) relatif à l’enregistrement des aéronefs circulant sans personne à bord. Ce dernier traitement est un portail web mis à la disposition des utilisateurs d’aéronefs télépilotés qui permet notamment d’enregistrer des aéronefs dont ils sont propriétaires conformément à la loi du 24 octobre 2016 précitée ;
les SSD, qui sont des systèmes de détection locaux sans lien direct avec le traitement de la DGAC. Ils permettent d’avoir accès aux données de vol d’un aéronef circulant sans personne à bord détecté dans une zone géographique déterminée et à son numéro d’identifiant unique. La responsabilité de ces traitements relève de chaque ministère les mettant en œuvre pour les sites particulièrement sensibles et placés sous leur responsabilité (ministères de la transition écologique, de l’économie, des finances et de la relance, des armées, de l’intérieur, des outre-mer et de la justice). Si la Commission relève que toutes les données collectées dans " Infodrones " ne permettent pas d’identifier directement le propriétaire de l’aéronef, certaines données permettent d’identifier indirectement des personnes physiques et constituent donc des données à caractère personnel, comme le rappelle le considérant 21 de la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, qui prévoit que " pour déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par le
responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement ".
La Commission relève que, au niveau européen, deux actes ont été adoptés par la Commission européenne :
le règlement d’exécution (UE) 2019/947 de la Commission du 24 mai 2019 concernant les règles et procédures applicables à l’exploitation d’aéronefs sans équipage à bord ;
le règlement délégué (UE) 2019/945 de la Commission du 12 mars 2019 relatif aux systèmes d’aéronefs sans équipage à bord et aux exploitants, issus de pays tiers, de systèmes d’aéronefs sans équipage à bord.
Dans l’attente de l’harmonisation et de l’application des textes européens relatifs au signalement électronique des aéronefs, a ainsi été développé par le ministère un projet destiné à mettre en place une solution de maîtrise de risque.
Sur les conditions générales de mise en œuvre du dispositif
En premier lieu, la Commission relève que les traitements SSD seront autorisés par un acte réglementaire unique en application du IV de l’article 31 de loi du 6 janvier 1978 modifiée.
Elle prend acte des précisions apportées par le ministère selon lesquelles le recours à un acte réglementaire unique aurait pour objectif de garantir une uniformité de chacun des SSD en imposant à chaque responsable de traitement (dans le cas présent, les ministères concernés) de se conformer aux dispositions juridiques ainsi visées. Cette uniformité est rendue nécessaire par le fonctionnement du dispositif général du SIE qui nécessite l’interconnexion des traitements SSD avec le traitement " Infodrones ".
La Commission prend également acte de ce que l’analyse d’impact relative à la protection des données (AIPD) transmise vise les traitements SSD mis en œuvre par le ministère de l’intérieur. Elle relève que les AIPD des autres ministères seront transmises avec la transmission de l’engagement de conformité à la Commission conformément au IV de l’article 31 de la loi du 6 janvier 1978 modifiée.
La CNIL rappelle que, conformément à l’alinéa 2 de l’article 90 de la loi du 6 janvier 1978 modifiée, " si le traitement est mis en œuvre pour le compte de l'Etat, [l’]analyse d'impact est adressée à la Commission nationale de l'informatique et des libertés avec la demande d'avis prévue à l'article 33 ". La transmission obligatoire de l’AIPD à la CNIL dès le stade de la demande d’avis sur l’acte réglementaire autorisant le traitement constitue une garantie, pour les traitements relevant du titre III de la loi " informatique et libertés " , de nature à permettre un examen complet par la Commission des règles encadrant le traitement et de ses conditions de mise en œuvre. Lorsque la Commission est saisie d’une demande d’avis portant sur un " acte réglementaire unique " qui, en application du IV de l’article 31 de la loi du 6 janvier 1978 modifiée, n’autorise pas un traitement particulier mais la mise en œuvre de traitements qui " répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires ", l’AIPD ne doit pas porter sur un ou plusieurs traitements particuliers envisagés au moment de la saisine mais évaluer les risques et déterminer les catégories de mesures de nature à les maîtriser pour l’ensemble des traitements autorisés par le projet et susceptibles d’être mis en œuvre après son entrée en vigueur, chaque traitement ne faisant ensuite l’objet que de l’envoi d’un " engagement de conformité " à
la Commission. Cette AIPD d’ensemble ou " cadre " (cf. CE, sect. de l’int., 8 janvier 2019, n° 396340) peut, le cas échéant, être complétée des AIPD relatives à des traitements spécifiques qui auraient été réalisées à la date de la saisine.
En l’espèce, la Commission relève que le ministère a fourni une AIPD correspondant au traitement envisagé spécifiquement pour le ministère de l’intérieur, mais n’a pas fourni d’AIPD " cadre ". Cependant, elle relève que l’ensemble des traitements qui sont susceptibles d’être mis en œuvre sur le fondement du projet d’acte réglementaire unique présenteront nécessairement une grande uniformité, dès lors que le fonctionnement du dispositif général du système d’information étatique (SIE), tel que prévu par le projet de décret, nécessite l’interconnexion des traitements SSD avec le traitement " Infodrones ". En l’espèce, l’AIPD fournie par le ministère décrit donc suffisamment les caractéristiques communes à tous les traitements, les risques qu’ils présentent et les mesures permettant de les maîtriser. La Commission estime donc, en l’espèce, que cette AIPD peut tenir lieu d’AIPD cadre, à condition que les futurs traitements mis en œuvre dans les autres ministères s’inscrivent dans la continuité de l’AIPD fournie. Elle invite les ministères concernés à lui transmettre leurs AIPD lors de la transmission de l’engagement de conformité prévu par le IV de l’article 31. Pour ces raisons spécifiques, la Commission estime que la condition de licéité relative à la transmission de l’AIPD prévue par l’article 90 de la loi du 6 janvier 1978 modifiée est, au cas d’espèce, remplie.
En deuxième lieu, s’agissant du périmètre du dispositif projeté, la Commission relève qu’il ressort de l’AIPD transmise que le projet SIE a vocation à s’appliquer :
dans les zones qui font l’objet d’une restriction ou d’une interdiction de survol prévues par les articles L. 6211-4 et L. 6211-5 du code des transports, les articles L. 131-3 et R. 131-4 du code de l’aviation civile et l’article 4 de l’arrêté du 3 décembre 2020 relatif à l’utilisation de l’espace aérien par les aéronefs sans équipage à bord ;
dans les zones interdites de prise de vue aérienne, qui sont prévues par l’article D. 133-10 du code de l’aviation civile ;
les zones dont le survol est susceptible de porter atteinte à la sécurité publique.
La Commission prend acte de ce que les " zones dont le survol est susceptible de porter atteinte à la sécurité publique "  désignent des zones qui ne sont pas couvertes par les dispositions précitées alors que le survol de ces zones peut présenter un risque pour la sécurité publique et pour la sécurité des personnes. Elle prend également acte de ce que ces zones ne peuvent être listées de manière exhaustive dans les textes dans la mesure où ces évènements peuvent concerner des lieux divers et avoir lieu de manière ponctuelle et imprévisible (par exemple, des rassemblements de personnes, le lieu d’une catastrophe ferroviaire ou encore les itinéraires de convois sensibles).
En troisième lieu, la Commission relève que le traitement " Infodrones " est interconnecté avec les traitements locaux " SSD ". Ainsi, chaque traitement local SSD transmettra à " Infodrones " la position et l’identifiant de l’aéronef circulant sans personne à bord et " Infodrones " répondra au traitement SSD concerné en lui transmettant le statut de l’aéronef en cause.
Sur les finalités et le régime juridique applicable
L’article 1er du projet d’arrêté prévoit que les traitements SSD ont pour finalités :
d’assurer la surveillance des aéronefs circulant sans personne à bord dans les zones qui font l’objet d’une restriction ou d’une interdiction ;
de permettre, par l’exploitation du signalement des aéronefs circulant sans personne à bord, l’identification de leur statut, propriétaire et utilisateur, afin de s’assurer que ces aéronefs ne sont pas susceptibles de porter atteinte à la sécurité publique.
La Commission prend acte des précisions apportées par le ministère selon lesquelles les finalités des traitements " SSD " s’inscrivent dans le dispositif global du SIE et sont exclusivement liées à la surveillance de zones dont le survol est interdit ou restreint (et constitue donc une infraction pénale) ou dont le survol pourrait porter atteinte à la sécurité publique. En effet, est puni de six mois d’emprisonnement et de quinze mille d’euros d’amende le fait pour un télépilote de faire survoler, par maladresse ou négligence, par un aéronef circulant sans personne à bord, une zone du territoire français en violation d’une interdiction prononcée pour des raisons d’ordre militaire ou de sécurité publique (premier alinéa de l’article L. 6211-4 du code des transports). En outre, est puni d’un an d’emprisonnement et de quarante-cinq mille euros d’amende, le fait pour un télépilote d’engager ou de maintenir un aéronef circulant sans personne à bord au-dessus d’une zone définie par l’article L. 6211-4 précité et de ne pas se conformer aux prescriptions de l’article L. 6211-5 du même code (par exemple, l’aéronef qui s’engage d’une zone interdite est tenu d’atterrir sur l’aérodrome le plus rapproché en dehors de la zone interdite).
S’agissant du critère d’autorité compétente au sens de l’article 87 de la loi du 6 janvier 1978 modifiée, la Commission relève que ce critère apparaît rempli s’agissant des ministères de l’intérieur, de la transition écologique, des armées et de la justice. Elle relève que, pour ces ministères, le régime juridique est celui de la Directive (UE) 2016/680 précitée. En revanche, elle regrette de ne pas avoir eu davantage de précisions sur l’appréciation de ce critère s’agissant du ministère de l’économie, des finances et de la relance et invite le responsable de traitement à documenter sa qualité d’autorité compétente dans le cadre de sa mise en conformité. La Commission rappelle que cette qualité implique l’exercice de prérogatives de puissance publique dans le cadre du traitement des données ou des actions pour lesquelles il est conduit. Dans l’éventualité où la qualité d’autorité compétente ne pourrait pas être démontrée pour le ministère de l’économie, des finances et de relance, les traitements que celui-ci entend mettre en œuvre ne pourraient pas être encadrés par le présent acte réglementaire unique car ils relèveraient du régime juridique du règlement général sur la protection des données (RGPD), et il conviendra de modifier le projet d’arrêté en ce sens.
Sur les données collectées
L’article 2 du projet d’arrêté prévoit les catégories de données à caractère personnel et informations qui peuvent être enregistrées dans le traitement.