AgentPublic/cnil huggingface dataset:
La Commission relève que la publicité des appréciations que la Haute autorité peut porter sur ces déclarations, quant à l’exhaustivité, l’exactitude et la sincérité de celles-ci et après avoir mis l’intéressé à même de présenter ses observations, n’est pas mentionnée dans le projet de décret qui lui est soumis. Il en est de même des observations que les personnes concernées peuvent apporter sur leurs propres déclarations, pourtant expressément prévues par les dispositions législatives précitées. Elle rappelle, a contrario, que les observations que les électeurs peuvent adresser au président de la Haute autorité concernant les déclarations de patrimoine consultées ne peuvent en aucun cas être rendues publiques et qu’il est expressément prévu par la loi que, pour préserver la confidentialité des données des personnes assujetties au dispositif " transparence de la vie publique", le fait de publier ou de divulguer les informations contenues dans les déclarations de patrimoine consultées est pénalement sanctionné.
Enfin, la Commission relève que les dispositions de la loi n° 78-753 du 17 juillet 1978 modifiée, dite "loi CADA", et ses modalités d’application aux cas d’espèce ne sont pas rappelées dans le projet de décret. Les déclarations d’intérêts et les déclarations d'intérêts et d'activités rendues publiques sont pourtant, conformément et dans les conditions prévues par les lois sur la transparence de la vie publique, réutilisables au sens de la "loi CADA". La Commission rappelle à cet égard qu’en l’absence de disposition législative ou réglementaire le permettant expressément, la réutilisation des données personnelles contenues dans ces informations est subordonnée, d’une part, à leur anonymisation ou au recueil préalable du consentement des personnes concernées et, d’autre part, au respect des dispositions de la loi "Informatique et Libertés".
Sur le traitement mis en œuvre par la Haute Autorité
L’article 6 du projet de décret soumis à la Commission prévoit que la Haute autorité "conserve les déclarations, ainsi que les observations des électeurs qui s’y rapportent, jusqu’à l’expiration d’un délai de cinq ans à compter de la fin des fonctions ou du mandat au titre desquels elles ont été déposées". La mise en œuvre d’un traitement automatisé par cette autorité de données à caractère personnel est par ailleurs rendue nécessaire par les dispositions de l’article 7 du même projet, dans la mesure où ce sont ces déclarations qui vont faire l’objet d’une publication en ligne sur le site internet unique.
Ce traitement de données doit dès lors faire l’objet, au-delà du site internet qu’il a vocation à alimenter, de mesures de sécurité élevées et conformes à l’article 34 de la loi du 6 janvier 1978 modifiée. En effet, il enregistre notamment les observations des électeurs sur les déclarations de situation patrimoniale qui, eu égard à leur sensibilité, tant pour les électeurs eux-mêmes que pour les personnes concernées par ces observations, ne doivent en aucun cas être rendues accessibles à des personnes non autorisées. De même, l’accès aux diverses déclarations adressées à cette autorité doit faire l’objet d’un contrôle étroit.
C’est pourquoi la Commission estime qu’il convient de s’assurer, par des moyens techniques, qu’aucun tiers non autorisé n’ait accès à ces informations et que la Haute Autorité mette donc en œuvre des mesures de nature à prévenir de tels accès. Elle rappelle que la répression pénale prévue concernant la divulgation illégale d’informations ne prive pas la Haute Autorité de sa responsabilité en la matière.
En particulier, il convient que les personnes accédant directement à ce traitement au sein de l’organe responsable fassent l’objet d’habilitations spécifiques, de même que les "destinataires" de ce traitement au sens large, y compris les personnels des organismes habilités par la loi à y accéder (parquet, fisc, etc.). Des mesures strictes de traçabilité des actions effectuées dans le traitement, y compris les transmissions d’informations vers des organismes extérieurs, devront en outre être prévues. 
De même, la Commission rappelle l’impérieuse nécessité de se conformer aux dispositions de l’article 6-4° de la loi du 6 janvier 1978 modifiée, la mise à jour des données au sein du traitement mis en œuvre par la Haute Autorité conditionnant en effet celle des informations publiées via le site unique.
En ce qui concerne la durée de conservation des informations enregistrées dans ce traitement, de cinq ans supérieure à la durée pendant laquelle ces informations font l’objet d’une publication, la Commission s’interroge sur sa pertinence, au regard de la prescription de l’action publique applicable en la matière.
L’article 6 du projet de décret prévoit enfin que les seules déclarations, et non les observations des électeurs, sont destinées, à l’expiration du délai précité, à être conservées conformément aux dispositions du code du patrimoine relatives aux archives publiques. Ce point n’appelle pas d’observation particulière de la part de la Commission.
Sur les droits des personnes concernées 
L’article 7 du projet de décret prévoit expressément que la Haute Autorité "assure l’information des personnes sur le recueil et la publicité des données les concernant". La Commission relève néanmoins qu’à l’exception du modèle de déclaration d’intérêts et d’activités, aucun autre modèle ne contient de mention d’information relative à la loi du 6 janvier 1978 modifiée. Elle demande dès lors que ces modèles soient complétés des mentions prévues à l’article 32 de ladite loi et que les modalités de publication des déclarations reçues soient en outre expressément mentionnées.
Le droit d’accès des personnes assujetties au dispositif aux informations qui les concernent est sans objet au vu du caractère public des informations appelées à figurer dans le site internet unique. L’exercice du droit de rectification est quant à lui rendu nécessaire, pour les personnes concernées, par les dispositions législatives susmentionnées et a déjà été largement abordé dans le présent avis.
Enfin, concernant le droit d’opposition des personnes assujetties au dispositif de transparence, la Commission rappelle que le traitement de leurs données répond à une obligation légale et que, par conséquent, leur droit d’opposition tel que prévu à l’article 38 n’a pas vocation à s’appliquer.
Toutefois, les droits d’accès, de rectification et d’opposition des électeurs, lorsqu’ils adressent des observations à la Haute Autorité, pourraient faire l’objet de précisions dans les dispositions réglementaires projetées. 
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la décentralisation, de la réforme de l’Etat et de la fonction publique d’une demande d’avis concernant un projet d’arrêté-cadre relatif aux conditions générales d’utilisation par les organisations syndicales des technologies de l’information et de la communication dans la fonction publique de l’Etat ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-2°-d ;
Vu le décret n° 82-447 du 28 mai 1982 modifié relatif à l’organisation du droit syndical dans la fonction publique, notamment son article 3-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’avis favorable du Conseil supérieur de la fonction publique de l'Etat du 26 juin 2014 relatif au projet d’arrêté examiné par la Commission ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par la ministre de la décentralisation, de la réforme de l’Etat et de la fonction publique, sur le fondement de l’article 11-2°-d de la loi du 6 janvier 1978 modifiée, d’une demande d’avis sur un projet d’arrêté-cadre relatif aux conditions d’utilisation des technologies de l’information et de la communication par les organisations syndicales dans la fonction publique de l’Etat.
Cet arrêté ne prévoit pas la création d’un traitement de données à caractère personnel, mais fixe un cadre général quant à l’utilisation des messageries professionnelles et des réseaux intranet de l’administration et prévoit, en particulier, un socle minimal de droits et obligations pour les administrations et pour les organisations syndicales.
Ce cadre devra par la suite être adapté et mis en œuvre dans chaque ministère, établissement public et autorité administrative indépendante, par une décision du premier ministre, du ministre ou du chef de service, après avis du comité technique compétent.
L’article 3-1 du décret n° 82-447 du 28 mai 1982 modifié, relatif à l’organisation du droit syndical dans la fonction publique, prévoit en effet que "les conditions d’utilisation par les organisations syndicales, au sein des services, des technologies de l’information et de la communication sont fixées dans chaque ministère, établissement public ou autorité administrative indépendante par une décision du ministre ou du chef de service
après avis du comité technique correspondant".
L’arrêté soumis à l’examen de la Commission vise à homogénéiser les règles fixées par les différents ministres et chefs de service, notamment en garantissant un niveau minimum de garanties en matière de confidentialité, de libre choix syndical et de non discrimination. 
La Commission relève qu’il s’agit de la première introduction au niveau règlementaire d’un cadre juridique et organisationnel général quant à l’utilisation des ressources informatiques dans la fonction publique de l’Etat.
La Commission estime que cette démarche devrait être bénéfique en termes de négociation collective, notamment au regard des avis des comités techniques, de transparence des règles et d’homogénéisation des droits et obligations de chacun.
Sur les règles communes quant à l’utilisation de la messagerie électronique ou d’un espace dédié sur un réseau intranet
A la lecture du projet d’arrêté, la Commission observe que chaque organisation syndicale représentative pourra disposer d’au moins une adresse de messagerie électronique spécifique et d’un espace syndical accessible à partir du réseau intranet de l’administration concernée.
En contrepartie de la fourniture de ces outils, chaque organisation syndicale devra désigner un ou plusieurs interlocuteurs référents, en particulier chargés de la gestion de la liste de diffusion de la messagerie et de l’espace dédié sur l’intranet, que l’administration pourra contacter pour mettre en place les outils, identifier les besoins de formation ou notifier des incidents.
Les connexions au réseau informatique devront, en principe, être réalisées à partir des équipements de l’administration installés dans les locaux syndicaux. Toutefois, si le niveau de sécurité et les équipements le permettent, il sera possible d’autoriser des connexions à partir d’équipements mobiles de l’administration ou d’équipements privés.
Dans ces deux derniers cas, la Commission estime que les garanties initialement prises, notamment en termes de sécurité et de confidentialité des échanges, devront être régulièrement réévaluées.
Le projet d’arrêté-cadre rappelle enfin que la communication syndicale à partir du réseau de l’administration doit être compatible avec les exigences de bon fonctionnement du réseau et ne pas entraver la réalisation du service, en laissant le soin de définir les contours de cette obligation à l’autorité signataire de la décision autorisant l’utilisation des technologies de l’information et de la communication, notamment s’agissant de la fréquence de l’actualisation des données, de la taille, de la fréquence et du nombre des destinataires des messages électroniques ou des pièces jointes.
Ces développements n’appellent pas d’observation de principe de la Commission, dans la mesure où chaque décision sera nécessairement prise après avis du comité technique compétent, sous réserve que l’autorité signataire précise expressément dans sa décision les motifs pouvant conduire, le cas échéant, au blocage de messages ou de flux de connexions, d’une part, et que les restrictions ne puissent conduire à limiter le nombre de communications en deçà d’un seuil trop restreint, d’autre part.
Sur les règles particulières en période électorale
L’article 6 du projet d’arrêté présenté à la Commission prévoit une dérogation s’agissant de l’accès aux technologies de l’information et de la communication par les organisations syndicales lors d’une période électorale.
En effet, sous réserve que la candidature d’une organisation soit reconnue recevable, cette dernière pourra bénéficier de ces outils sur simple demande, sans avoir besoin de justifier de sa représentativité, à compter de la date de clôture du dépôt des candidatures et jusqu’à la veille du scrutin.
Ces développements n’appellent pas d’observation de la Commission, si ce n’est de constater que l’article 6 du projet d’arrêté est de nature à assurer l’égalité de traitement de toutes les organisations syndicales candidates.
Sur l’utilisation de la messagerie électronique et des listes de diffusion
Comme indiqué précédemment, chaque organisation syndicale représentative dans la fonction publique pourra solliciter, après avoir désigné un ou plusieurs interlocuteurs référents, la création d’au moins une adresse de messagerie syndicale dédiée aux échanges avec les agents de l’administration.
Le projet d’arrêté transmis à la Commission prévoit que l’interlocuteur référent de chaque organisation syndicale, sur simple demande, pourra obtenir du responsable informatique de son administration la création, puis la communication d’une ou plusieurs liste(s) de diffusion. Ces listes seront composées des adresses des messageries professionnelles des agents par service ou, le cas échéant, par corps de fonctionnaires ou niveau de catégories s’agissant des personnels non fonctionnaires.
Lorsqu’il sera impossible d’utiliser un outil de gestion des listes de diffusion, le projet d’arrêté prévoit que les modalités d’envoi des messages électroniques devront garantir l’anonymat des destinataires. Selon la Commission, cette obligation devrait par exemple se traduire par l’envoi de messages en "copie cachée".
Les agents devront être informés par leur administration, par une mention sur le réseau intranet ou par un autre moyen, quant à la possibilité de transmettre leurs adresses de messagerie professionnelle aux organisations syndicales. A cette occasion, il sera rappelé qu’ils sont libres d’accepter ou de refuser des communications syndicales à tout moment.
La Commission considère qu’il serait préférable, avant la transmission des adresses de messagerie électronique des agents concernés aux interlocuteurs référents des organisations syndicales, que les agents reçoivent un message les informant individuellement que leur adresse est susceptible d’être transmise aux organisations syndicales et que la possibilité leur soit donnée soit d’accepter globalement cette transmission soit de s’y opposer, en cliquant sur un lien prévu dans le message. De la sorte, un agent pourrait refuser tout démarchage syndical sans révéler pour autant une quelconque sensibilité syndicale, dans la mesure où son opposition préalable concernerait nécessairement toutes les organisations syndicales.
La Commission relève que le projet d’arrêté impose que la gestion des listes de diffusion, à compter de leur transmission aux organisations syndicales, soit exclusivement déléguée aux interlocuteurs référents de ces dernières.
Elle estime que ce choix est pertinent, notamment du point de vue de la gestion du droit d’opposition.
En effet, dans le cas contraire, il serait possible de déduire indirectement ou de supposer l’appartenance syndicale des agents ayant demandé à ne pas recevoir de messages d’une ou plusieurs organisation(s) syndicale(s).
De la même manière, l’interdiction posée par le projet de décret quant à l’utilisation des accusés de réception ou de lecture est de nature à protéger la liberté syndicale, en ce qu’elle empêche de déterminer indirectement des orientations syndicales.
La Commission relève, par ailleurs, que tous les messages adressés aux agents devront préciser qu’il est possible de d’accepter ou de refuser les messages syndicaux.
La Commission estime que ce choix, conforme à sa doctrine en la matière, devrait concrètement se traduire par la présence d’un lien en bas de message permettant de se désabonner d’une liste de diffusion en un simple "clic".
Le projet d’arrêté précise enfin que les adresses de messageries des agents ne pourront être utilisées à d’autres fins que l’envoi de publications de nature syndicale, d’une part, et que les messages devront parvenir à leurs destinataires sans blocage ni lecture par un tiers, d’autre part.
Ces précisions, bien qu’indispensables, n’appellent pas d’observations de la Commission.
Sur les publications accessibles à partir d’un réseau intranet
Outre le bénéfice d’au moins une adresse de messagerie syndicale dédiée et la transmission de liste(s) de diffusion, chaque organisation syndicale représentative dans la fonction publique de l’Etat pourra disposer d’un espace dédié sur le réseau intranet de son administration.
Ces espaces dédiés pourront notamment comprendre une adresse d’abonnement permettant aux agents qui le souhaitent de recevoir des messages syndicaux.
A ce titre, la Commission attire l’attention du ministère sur le fait qu’un tiers ayant connaissance de l’adresse de messagerie d’un agent pourra aisément l’inscrire contre sa volonté. Il conviendra, par conséquent, de prendre en compte ce risque d’usurpation d’identité en sécurisant le processus d’inscription avant d’adresser des messages de nature syndicale, par exemple en envoyant un message automatique au titulaire d’une adresse pour l’informer de l’inscription et lui demander de la valider en cliquant sur un lien.
Le projet d’arrêté prévoit également que l’autorité de tutelle de l’administration concernée pourra autoriser l’insertion de liens hypertexte dirigeant les utilisateurs vers des sites syndicaux extérieurs.
Au regard des principes de liberté syndicale et d’égalité, la Commission s’interroge sur les raisons qui pourraient légitimement conduire cette autorité, en dehors de considérations impérieuses liées à la sécurité du réseau interne, à ne pas autoriser l’insertion d’un lien particulier, dès lors qu’il dirige les utilisateurs vers un site internet syndical, même si les contenus qui y figurent sont critiques pour l’administration sans être illégaux.
Le projet d’arrêté laisse également la possibilité aux administrations concernées d’autoriser les organisations syndicales représentatives à créer un "forum de discussion" sur leur intranet, sous réserve que ces dernières aient préalablement désigné un modérateur chargé de supprimer les contenus interdits.
Ces développements n’appellent pas d’observation particulière.
La Commission note en revanche avec satisfaction que le projet d’arrêté interdit de façon générale aux administrations d’identifier les agents qui se connectent aux pages d’information syndicale accessible sur le réseau intranet et, en particulier, de collecter des données à des fins de mesure d’audience sur ces espaces.
Dans la mesure où l’audience d’un syndicat se mesure en principe au regard des résultats des élections professionnelles, la Commission estime que cette interdiction ne saurait être détournée, y compris pour faire des mesures d’audience sous forme statistique. Au demeurant, une telle mesure sous forme statistique impliquerait nécessairement de collecter, même pour un temps limité, des données nominatives lors du processus quantitatif, ce qui serait contraire à l’article 8 de la loi du 6 janvier 1978 modifiée.
A toutes fins utiles, interrogée spécifiquement sur ce point par l’administration, la Commission estime qu’il est possible d’utiliser les termes "réseau interne sécurisée" en lieu et place de la notion d’intranet. Cette modification permettrait notamment d’englober un plus grand nombre de situations.
 
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le Secrétaire Général de la Défense et de la Sécurité nationale, pour le compte du Premier ministre, d’une demande d’avis concernant un projet de décret en Conseil d’État relatif aux techniques de recueil de renseignement ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal, notamment ses articles R. 226-1 à R. 226-12 ;
Vu le code des postes et des communications électroniques, notamment ses articles L. 34-1, R. 10-13 et R. 10-14 ;
Vu le code de la sécurité intérieure, notamment son livre VIII ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4°-a) ;
Vu la loi n° 2004-575 du 21 juin 2004 modifiée pour la confiance dans l’économie numérique, notamment son article 6-II ;
Vu la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale ;
Vu la loi n° 2015-912 du 24 juillet 2015 relative au renseignement ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-219 du 25 février 2011 modifié relatif à la conservation et à la communication des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne ;
Vu le décret n° 2014-1576 du 24 décembre 2014 relatif à l’accès administratif aux données de connexion ;
Vu la décision n° 2015-713 DC du 23 juillet 2015 du Conseil Constitutionnel portant sur la loi relative au renseignement ;
Vu la délibération n° 2006-2019 du 28 septembre 2006 portant avis sur le projet de décret pris pour l’application des I et II de l’article 6 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ;
Vu la délibération n° 2014-484 du 4 décembre 2014 portant avis sur un projet de décret relatif à l’accès administratif aux données de connexion et portant application de l’article L. 246-4 du code de la sécurité intérieure ;
Vu la délibération n° 2015-078 du 5 mars 2015 portant avis sur un projet de loi relatif au renseignement ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
Le Secrétaire Général de la Défense et de la Sécurité Nationale (SGDSN) a saisi, pour le compte du Premier ministre, la Commission nationale de l’informatique et des libertés, le 2 décembre 2015, d’un projet de décret en Conseil d’État relatif aux techniques de recueil de renseignement.
La Commission relève que la succession des dispositions législatives issues de la loi de programmation militaire du 18 décembre 2013 (LPM) et de la loi sur le renseignement du 24 juillet 2015, cette dernière s'accompagnant de surcroît d'une refonte du code de la sécurité intérieure, entraîne des modifications répétées et complexes des dispositions réglementaires, qui en affectent la lisibilité.