AgentPublic/cnil huggingface dataset:
La CNIL invite le ministère à mettre en cohérence le projet de décret avec les autres textes réglementaires en lien avec les traitements SI-CPF et MAF.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 8. I. 4°, a ;
Après avoir entendu le rapport de Mme Aminata Niakaté, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Tout actif de plus de seize ans ainsi que les apprentis dès l'âge de quinze ans disposent d'un compte personnel d'activité (CPA) (article L. 5151-2 du code du travail). Celui-ci est composé d'un compte personnel de formation (CPF), d'un compte professionnel de prévention (C2P) et d'un compte engagement citoyen (CEC).
Chaque titulaire de CPF peut également bénéficier d'un passeport d'orientation, de formation et de compétences (relatif aux formations et aux qualifications suivies en formation initiale ou continue, ainsi qu'aux acquis de l'expérience professionnelle) et d'un passeport de prévention (relatif aux attestations, certificats et diplômes obtenus dans le cadre de formations relatives à la santé et à la sécurité au travail).
Chaque titulaire d'un CPA peut consulter les droits inscrits sur celui-ci et peut les utiliser sur MonCompteFormation (MCF), qui est une plateforme gratuite gérée par la Caisse des dépôts et consignations (CDC). Un référencement des organismes de formation est également mis en œuvre sur la plateforme MCF.
Les droits inscrits sur le CPF sont gérés par le système d'information du compte personnel de formation (SI-CPF), mis en œuvre par la CDC.
Les obligations de déclaration d'activité et de transmission du bilan pédagogique et financier auxquelles doivent se soumettre les organismes de formation, et qui constituent un préalable à leur référencement sur MCF, sont gérées par le système d'information Mon Activité Formation (MAF), mis en œuvre par la délégation générale à l'emploi et à la formation professionnelle pour le compte du ministère du travail et de l'emploi.
B. - L'objet de la saisine
Le projet de décret porte sur deux traitements de données à caractère personnel, le SI-CPF, pour lequel le ministère et la CDC sont responsables conjoints, et le MAF, dont le ministère est responsable. A ces traitements sont ajoutés de nouvelles finalités, consécutives au renforcement législatif des missions de contrôle et de référencement des organismes de formation par la CDC.
Deux nouvelles finalités sont ajoutées pour le SI-CPF :
- la vérification des conditions d'éligibilité des organismes de formation pour leur référencement ; et
- le contrôle du respect des conditions générales d'utilisation (CGU) du SI-CPF ainsi que la mise en œuvre et le suivi des mesures visant à prévenir et sanctionner les manquements à ces CGU.
Le projet de décret élargit l'analyse et l'évaluation des politiques publiques en matière de formation professionnelle aux dispositifs du passeport d'orientation, de formation et de compétences, du passeport de prévention et du compte d'engagement citoyen.
Trois nouvelles finalités sont ajoutées au traitement MAF :
- le contrôle administratif et financier des organismes de formation ;
- les échanges d'informations relatives aux organismes de formation référencés entre les acteurs de la formation professionnelle ; et
- la réalisation des procédures de décharge, d'audit et de contrôle liées à l'utilisation des fonds dans le cadre de la mise en œuvre des accords visés aux articles 15 et 23 du règlement (UE) 2021/241 du 12 février 2021.
Le projet de décret met en cohérence les traitements SI-CPF et MAF au regard de ces nouvelles finalités.
II. - L'avis de la CNIL
A. - Observations communes à l'ensemble des traitements
1. Sur la mise en cohérence des autres textes réglementaires en lien avec les traitements SI-CPF et MAF
Le projet de décret procède à plusieurs modifications règlementaires. A ce titre, il :
- modifie le décret du 19 avril 2019 ( décret NIR ) pour permettre aux ministères, aux organismes certificateurs et financeurs de transmettre le NIR à la CDC (conseils départementaux et groupement d'intérêt public mentionné à l'article L. 6411-2 du code du travail) ;
- prévoit la collecte de nouvelles données relatives aux responsables et aux membres du personnel des organismes de formation (celles relatives aux interdictions de gérer ou celles communiquées entre la Caisse des dépôts, les organismes de sécurité sociale et l'administration fiscale), compte tenu des nouvelles finalités du traitement SI-CPF ;
- ajoute de nouveaux destinataires des données traitées dans le SI-CPF ;
- prévoit que les traitements SI-CPF et MAF pourront être mis en relation avec de nouveaux traitements ne comportant pas le NIR. Les articles 4 et 5 du projet de décret prévoient notamment une alimentation du SI-CPF par le fichier national des permis de conduire et par le répertoire de gestion des carrières uniques afin de faciliter la collecte des données nécessaires à la constitution du passeport d'orientation, de formation et de compétences.
La CNIL invite le ministère à mettre en cohérence les arrêtés du 11 octobre 2019, du 21 mai 2021 et du 9 juillet 2021 au regard des catégories de données collectées et de leurs destinataires dans le SI-CPF ainsi que des mises en relation prévues avec les traitements SI-CPF et MAF.
2. Sur l'information des personnes
La CNIL rappelle que les mentions d'information du portail d'accès du site web moncompteformation.gouv.fr devront être mises à jour afin de prendre en compte l'évolution des cadres juridiques du SI-CPF et du MAF.
3. Sur la réalisation d'une analyse d'impact relative à la protection des données (AIPD)
La CNIL prend acte de l'engagement du ministère de mettre à jour les AIPD existantes afin de prendre en compte les modifications des traitements SI-CPF et MAF.
Elle rappelle que cette analyse doit être effectuée avant la mise en œuvre du projet de traitement en application de l'article 35 du RGPD.
B. - Sur le traitement SI-CPF
1. Sur les finalités
L'article 2 du projet de décret impose à la CDC une nouvelle obligation de communication des données relatives aux déréférencements des organismes de formation, qui doivent être rendues accessibles aux acteurs de la formation professionnelle au sein du SI-CPF.
Or, le projet de décret n'indique pas cette nouvelle finalité à l'article R. 6323-33 du code du travail.
La CNIL invite par conséquent le ministère à faire figurer explicitement cette finalité dans le projet de décret.
2. Sur les données collectées
Compte tenu des nouvelles finalités du traitement SI-CPF de référencement, de contrôle et de lutte contre la fraude, de nouvelles données relatives aux responsables et aux membres du personnel des organismes de formation doivent être collectées (notamment des données relatives aux interdictions de gérer ou celles communiquées entre la Caisse des dépôts, les organismes de sécurité sociale et l'administration fiscale).
Or, l'article R. 6323-34 du code du travail ne mentionne pas ces catégories de données.
La CNIL invite ainsi le ministère à modifier l'article R. 6323-34 du code du travail afin d'y préciser les catégories de données relatives aux représentants et aux membres du personnel des organismes de formation collectées dans le cadre des nouvelles finalités du traitement SI-CPF. Par conséquent, l'arrêté du 11 octobre 2019 devra également être mis en cohérence.
C. - Sur le traitement MAF 
1. Sur les durées de conservation
Le 2° de l'article 3 du projet de décret modifie l'article R. 6351-17 du code du travail afin d'adapter la durée de conservation des données au regard du règlement 2021/241 du 12 février 2021 octroyant à la Commission européenne des pouvoirs de contrôle et d'audit dans le cadre de l'utilisation de fonds de l'Union européenne.
Le projet de décret précise que les données collectées à cette fin devraient être conservées pendant une durée de quatorze ans. La CNIL remarque que selon le règlement 2021/241 du 12 février 2021 les données doivent être conservées pendant une durée maximale de douze ans.
La CNIL prend acte de l'engagement du ministère de modifier le projet de décret en conséquence pour indiquer ce nouveau délai de conservation des données.
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
N° de demande d'avis : 24015335
Thématiques : lutte contre la fraude documentaire, identité numérique.
Organisme(s) à l'origine de la saisine : ministère de l'intérieur
Fondement de la saisine : article 31 de la loi informatique et libertés 
L'essentiel :
La CNIL a été saisie d'un projet d'arrêté modifiant le traitement DOCVERIF, lequel vise à renforcer l'efficacité de la lutte contre la fraude documentaire et l'usurpation d'identité en facilitant le contrôle de la validité des titres d'identité. Ce traitement a été récemment modifié pour permettre, à titre expérimental, la communication de données d'état civil à certains utilisateurs lorsque le titre est valide.
Le projet d'arrêté pérennise ce dispositif. Il ressort du compte rendu de l'expérimentation que le nombre de faux titres détectés sur un échantillon de faux titres avérés a augmenté. La CNIL invite cependant le ministère à continuer de mesurer l'efficacité du dispositif et à essayer de documenter l'existence d'éventuels faux positifs.
En outre, elle recommande d'étudier, dans quelques années, la possibilité de recourir à d'autres moyens, moins sensibles, permettant de repérer les titres falsifiés, s'agissant notamment de la nouvelle carte nationale d'identité électronique (CNIe).
Le projet d'arrêté étend le périmètre des utilisateurs de DOCVERIF aux établissements de paiement, de monnaie électronique, ainsi qu'aux sociétés d'assurance. A cet égard, la CNIL rappelle que la consultation des données de DOCVERIF doit être justifiée par un besoin opérationnel déterminé et proportionnée au regard des objectifs poursuivis.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), et notamment son titre III ;
Après avoir entendu le rapport de Mme Sophie Lambremon, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Autorisé par l'arrêté du 10 août 2016, DOCVERIF est un traitement qui vise à renforcer l'efficacité de la lutte contre la fraude documentaire et l'usurpation d'identité en facilitant le contrôle de la validité des titres d'identité émis par les autorités françaises (cartes nationales d'identité ou CNI , passeports et titres de séjour comportant un composant électronique).
Il peut être interrogé par les services de la police ou encore de la gendarmerie nationales (utilisateurs du cercle 1 ), ainsi que par les administrations publiques, les organismes chargés d'une mission de service public ou encore les établissements de crédit (utilisateurs du cercle 2 ). Le traitement permet à ces utilisateurs d'accéder à des données relatives au statut d'un document ( valide , invalide ou inconnu ).
Afin de renforcer la lutte contre la fraude, il a connu plusieurs évolutions pour étendre les périmètres des utilisateurs et des catégories de données qui peuvent être communiquées. A cet égard, l'arrêté du 28 avril 2022 a élargi, à titre expérimental, les catégories de données auxquelles les utilisateurs du cercle 1 peuvent avoir accès. Dans le cadre de cette expérimentation, il leur est ainsi permis d'accéder, jusqu'au 31 décembre 2024 et pour les CNI et passeports seulement, aux nom et premier prénom mentionnés sur le document, y compris lorsque le titre est valide (v. CNIL, SP, 7 avril 2022, avis sur projet d'arrêté, n° 2022-041, publié).
Pour assurer l'accès à ces informations, DOCVERIF est alimenté par une interconnexion avec deux autres traitements :
- pour les données relatives aux CNI et passeports, le traitement titres électroniques sécurisés (TES) ;
- pour les données relatives aux titres de séjour, l'application de gestion des dossiers des ressortissants étrangers en France (AGDREF).
B. - L'objet de la saisine
La CNIL a été saisie, par le ministère de l'intérieur, d'un projet d'arrêté modificatif du traitement DOCVERIF.
Ce projet prévoit deux évolutions :
- la pérennisation, pour les utilisateurs du cercle 1 , de la communication systématique, lorsque le titre vérifié est une CNI ou un passeport, des nom et premier prénom figurant sur le document et ce, y compris lorsque le titre est valide ;
- une extension du périmètre des utilisateurs du cercle 2 , par l'ajout des établissements de paiement, des établissements de monnaie électronique, ainsi que des sociétés d'assurance.
II. - L'avis de la CNIL
A. - Sur la pérennisation de l'expérimentation
L'expérimentation menée permet au cercle 1 , pour les CNI et passeports seulement, d'accéder aux nom et premier prénom mentionnés sur le document, y compris lorsque le titre est valide.
L'objectif de cette mesure est de lutter contre les fraudes liées à la présentation d'un titre comportant un numéro valide mais des éléments d'état civil falsifiés. Il peut s'agir, par exemple, de manipulations sur un titre volé ou trouvé. En effet, en l'absence de déclaration de perte ou de vol par son propriétaire légitime, un utilisateur de DOCVERIF est dans l'incapacité de détecter ce type de fraude s'il n'a pas d'information sur l'état civil. Le dispositif expérimenté vise à pallier ce manque.
Le dispositif porte faiblement atteinte à la vie privée puisque les seules données révélées sont le premier prénom et le nom de la personne porteuse du titre que, en principe, l'agent qui vérifie la validité du titre connaît déjà. Cependant, le système DOCVERIF conduit à collecter et rendre de nombreuses personnes destinataires de données issues de fichiers particulièrement sensibles (TES et AGDREF) : les liaisons informatiques ainsi réalisées nécessitent une forte sécurisation. En outre, le dispositif, pour fonctionner dans de bonnes conditions de sécurité, conduit à dupliquer les données des bases sources. Au regard de ces enjeux de sécurité et de minimisation, il convenait donc d'évaluer la nécessité du dispositif avant d'envisager sa pérennisation.
S'agissant de la durée d'expérimentation, il ressort des précisions apportées que la fonctionnalité liée au contrôle du nom et prénom a été mise en œuvre en avril 2023, et plus largement relayée auprès des forces de sécurité intérieures à travers des actions de communication à l'été 2023.
S'agissant des éléments justifiant la pérennisation du dispositif, une étude des résultats statistiques obtenus fait apparaître une amélioration du nombre de détection de faux documents par DOCVERIF, grâce à l'apport du nom et premier prénom.
En premier lieu, le bilan fait ressortir que le dispositif a permis d'améliorer le taux de détection de documents frauduleux sur un échantillon de documents déjà avérés comme falsifiés (s'agissant par exemple des échantillonnages réalisés par la direction générale de la gendarmerie nationale, le taux de titres frauduleux détectés passe de 80 à 96 %). Le dispositif permet donc de détecter les documents disposant d'un numéro de titre valide mais de données d'identité falsifiées.
La CNIL souligne cependant qu'une expérimentation menée dans des conditions différentes aurait pu permettre de documenter, notamment, l'existence ou non de faux positifs (c'est-à-dire de titres authentiques et valides mais détectés comme frauduleux), lesquels peuvent avoir des conséquences pour les personnes concernées. Elle recommande ainsi que la pérennisation du dispositif s'accompagne de nouvelles mesures pour quantifier son efficacité et, en particulier, documenter d'éventuels cas de faux positifs.
S'il s'avère qu'il y en a, il conviendra de déterminer les mesures pour permettre de les éviter et garantir aux personnes de pouvoir faire reconnaître au plus vite leur identité. A cet égard, la CNIL prend acte de l'engagement du ministère d'approfondir le suivi déjà effectué avec les forces de sécurité intérieures.
En second lieu, la lutte contre la fraude documentaire fait l'objet d'un ensemble de mesures destinées à contrer les différentes stratégies des fraudeurs. La CNIL rappelle qu'il convient de recourir aux moyens présentant les risques les plus faibles possibles pour atteindre la finalité poursuivie de lutte contre la fraude. S'agissant de la proportionnalité du dispositif, elle avait ainsi considéré que l'objectif devait être, qu'à terme, la vérification des titres d'identité puisse être réalisée en s'assurant directement que le titre n'est pas physiquement falsifié (v. CNIL, SP, 7 avril 2022, n° 2022-041, précité).
Interrogé sur la possibilité de faire reposer sur le cachet électronique visible (CEV) la vérification de conformité des nom et premier prénom présents sur la nouvelle carte nationale d'identité électronique (CNIe), le ministère a indiqué que le nombre de titres actuellement en circulation disposant du CEV était évalué à 21 millions, contre 39 millions de CNI sur lesquelles cet élément ne figure pas. Le ministère a par ailleurs précisé, qu'au plus tard à l'échéance de 2036, les CNI ne disposant pas du CEV ne seront plus valides.
Les CEV, qui comportent les nom et premier prénom figurant sur le titre d'identité - entre autres informations, respectent le format 2D-DOC, un format ouvert et facilement lisible par des applications dites de lecture de QR code . Les CEV comportent aussi une signature électronique de l'émetteur du titre pour permettre de vérifier leur authenticité. La vérification de la signature du CEV, et donc in fine de l'authenticité des données figurant sur le titre d'identité, serait par conséquent possible sans avoir recours à DOCVERIF par les utilisateurs actuels du service. Les requêtes à DOCVERIF demeureraient en revanche nécessaires en ce qui concerne le statut (invalide, perdu ou volé) du titre.
Il deviendrait alors possible, concernant les informations figurant dans la base de données de DOCVERIF, de procéder à une minimisation de celles-ci en ne conservant que celles nécessaires à la détermination du statut - invalide, perdu ou volé. A l'heure actuelle, le CEV ne figure que sur les CNIe et non sur les anciennes cartes d'identité, les passeports et les titres de séjour. Une telle minimisation ne pourrait donc se faire que pour les CNIe. La CNIL encourage le ministère à préparer, sur le long terme, une minimisation des données relatives aux CNIe figurant dans la base de données DOCVERIF.
De surcroît, si un CEV venait à être ajouté, à l'avenir, sur les autres types de titres (passeports et titres de séjour), l'authenticité des informations pourrait alors aussi être vérifiée au moyen de cette méthode, plus respectueuse de la vie privée des personnes et comportant de moindres risques de sécurité en comparaison de requêtes auprès de serveurs distants.
Dès lors, la CNIL invite le ministère à procéder, dans quelques années, à une nouvelle réflexion sur la conception d'un dispositif qui permette de minimiser les données de la base DOCVERIF.
B. - Sur le périmètre des nouveaux utilisateurs du cercle 2 
En premier lieu, la mention du caractère valide ou non du document ainsi que, uniquement pour les CNI et les passeports, le résultat de la comparaison des nom et prénom saisis (par exemple nom et premier prénom conformes ) sont accessibles aux utilisateurs du cercle 2 . Il s'agit, actuellement :
- des administrations publiques ;
- des agents de police municipale et des gardes champêtres ;
- des organismes chargés d'une mission de service public ;
- des établissements de crédit et des sociétés de financement mentionnées à l'article L. 511-1 du code monétaire et financier ;
- des fournisseurs de moyen d'identification électronique ;
- des agents mentionnés au I de l'article 3 du décret n° 2022-676 du 26 avril 2022 relatif au service de garantie de l'identité numérique (SGIN).
L'analyse d'impact relative à la protection des données (AIPD) transmise révèle que de nouveaux utilisateurs ont été ajoutés au titre des administrations publiques et des organismes chargés d'une mission de service public . La CNIL considère que, pour assurer l'information et garantir l'effectivité des droits des personnes, la liste des utilisateurs devrait être détaillée, a minima sur le site web du ministère.
En deuxième lieu, le projet d'arrêté élargit le périmètre du cercle 2 à trois nouvelles catégories d'utilisateurs :
- les établissements de paiement ;
- les établissements de monnaie électronique ;
- les sociétés d'assurance.
Le ministère justifie ces ajouts par le fait que ces acteurs sont soumis, en application du code monétaire et financier, aux obligations relatives à la lutte contre le blanchiment des capitaux et le financement du terrorisme. Le contrôle de validité des titres au moyen du traitement DOCVERIF devrait donc permettre d'améliorer l'efficacité du dispositif de vérification d'identité des clients avant l'établissement de la relation d'affaires (v. art. L. 561-2 du code monétaire et financier).
S'agissant précisément des sociétés d'assurance, l'utilisation de DOCVERIF devrait permettre, par ailleurs, de lutter contre la fraude à l'assurance en permettant de détecter la fraude documentaire. Il ressort des précisions apportées par le ministère, pour justifier cet accès conféré aux sociétés d'assurance, que :
- le volume des cas de fraude à l'assurance est significatif et les préjudices financiers qui en découlent peuvent être importants pour les assurés vertueux ;
- certaines fraudes à l'assurance concernent de faux sinistres déclarés sous de multiples identités.
La CNIL considère que l'utilisation de DOCVERIF doit être strictement limitée aux objectifs poursuivis en matière de détection de fraude documentaire, dans la perspective de la lutte contre le blanchiment des capitaux et le financement du terrorisme. Elle invite le ministère à encadrer cette consultation par l'ajout, dans la convention conclue entre les utilisateurs et le responsable de traitement, de garanties spécifiques liées aux modalités d'accès afin de restreindre sa consultation aux seuls services compétents au sein des sociétés d'assurance.
En outre, la CNIL réitère sa recommandation de compléter les conventions afin d'inciter les organismes à informer les personnes concernées du fait qu'ils sont susceptibles de réaliser une interrogation de DOCVERIF (v. CNIL, SP, 7 avril 2022, n° 2022-041, précité).
C. - Sur le principe de protection des données par conception et par défaut
a. Sur les informations statistiques utilisées à des fins d'amélioration du service