AgentPublic/cnil huggingface dataset:
La CNIL prend acte de ce que l'expérimentation ne débutera qu'à compter du moment où l'authentification utilisée pour la démarche de demande de renouvellement de passeport reposera sur FranceConnect+ pour offrir un niveau de garantie au moins "substantiel", et de ce que ce niveau ou bien le niveau "élevé" seront utilisés à l'exclusion de tout autre pendant toute la durée de l'expérimentation.
En tout état de cause, la CNIL prend acte de l'engagement du ministère de recourir à un moyen d'identification électronique de niveau "élevé" dès lors qu'il serait disponible. Sans préjudice des prescriptions de l'ANSSI et du bilan dressé de l'expérimentation, la pérennisation de ce dispositif apparaît soumise à cette condition technique préalable.
L'absence d'une nouvelle prise d'empreinte serait, par ailleurs, compensée par la prolongation de la durée de conservation des empreintes digitales déjà détenues. La durée de conservation desdites empreintes serait portée à vingt-cinq ans par dérogation aux dispositions du décret du 28 octobre 2016 n° 2016-1460 modifié autorisant la création d'un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d'identité ("décret TES").
Cette prolongation est la conséquence logique de l'expérimentation envisagée.
B. - Sur la vérification de l'identité du demandeur et l'exactitude des données
La vérification de l'identité du demandeur et l'exactitude des données traitées pour l'instruction de sa demande sont un enjeu clé au regard des risques potentiels pour les personnes en cas d'émission de titre frauduleux. Le ministère énonce une combinaison de mesures visant à diminuer les risques d'usurpation d'identité dans le cadre de cette expérimentation : restriction de l'éligibilité, niveau de garantie de l'authentification, visioconférence pour vérifier l'identité du demandeur et contrôles divers.
La CNIL accueille favorablement les garanties apportées, à savoir :
- l'accompagnement de l'expérimentation par l'ANSSI pour apporter son expertise en matière de visioconférence et de vérification d'identité à distance avant et pendant l'expérimentation ;
- la formation des agents consulaires à la détection de la fraude à l'identité par visioconférence ;
- la faculté des agents consulaires de rejeter la demande en cas de doute afin qu'une comparution physique ait lieu ;
- l'invalidation envisagée des nouveaux passeports en cas de non-restitution de l'ancien passeport.
La CNIL considère toutefois que la vérification d'identité à distance introduit des risques spécifiques d'attaques de présentation (altération de l'apparence de l'utilisateur par des moyens physiques ou numériques, ressemblance avec une autre personne ou encore présentation de titre virtuel) qui nécessitent l'utilisation de mesures spécifiques pour être contrées.
A cet égard, le fait que le demandeur fournisse une nouvelle photo d'identité lors de sa demande de renouvellement accroît, pour un tiers malveillant, le nombre de mesures à déjouer pour mener à bien une tentative d'usurpation d'identité. Cependant, elle est aussi susceptible d'introduire certains des risques spécifiques à la vérification d'identité à distance. Elle peut notamment être sujette à des tentatives de traitement par "morphing" (transformation d'image) visant notamment à la faire ressembler à la fois à la photo de l'ancien titre et à la personne qui se présente à l'entretien en visioconférence. Ceci est particulièrement le cas si cette personne utilise des techniques avancées d'altération de son apparence par des moyens physiques ou numériques. Ces attaques sont généralement désignées sous le vocable 'd'attaques de présentation'.
En conséquence, s'agissant des conditions de mise en œuvre, la CNIL :
- estime nécessaire de se rapprocher du référentiel d'exigences concernant les prestataires de vérification d'identité (PVID) de l'ANSSI, lequel vise à prévenir les attaques par présentation en s'appuyant à la fois sur des opérateurs et des traitements automatiques. Le suivi des exigences qu'il décrit permet de s'assurer de la robustesse de la combinaison de mesures mises en œuvre. Ceci concerne en particulier le sous-ensemble des mesures correspondant aux exigences relevant des politiques et pratiques de vérification d'identité à distance pour l'acquisition (IV.3.2) et la vérification (IV3.3) du référentiel PVID de l'ANSSI ;
- préconise que le rapport bilan de l'expérimentation contienne aussi une évaluation des éléments spécifiques à la vérification d'identité à distance, concernant tant la sécurité des systèmes d'information que la fiabilité de la vérification (titres d'identité, comparaison du visage et détection du vivant) ;
- souligne l'importance qu'il y a à maintenir et mettre en œuvre rigoureusement la mesure prévue dans le projet du ministère, consistant à invalider les nouveaux passeports en cas de non-restitution des anciens ;
- propose d'envisager une restriction de l'ancienneté des justificatifs de domicile admis pour la démarche, afin de limiter le risque qu'un courrier soit intercepté à une ancienne adresse. Ceci permettra de réduire la durée pendant laquelle une tentative d'usurpation d'identité qui repose sur une ancienne adresse d'un détenteur légitime pourra être menée.
C. - Sur les droits des personnes
L'AIPD précise que les informations sur le traitement sont communiquées au demandeur au moment du recueil de sa pré-demande de renouvellement, et qu'elles figurent également sur le récépissé de confirmation d'enregistrement de la demande transmis par la démarche de demande de renouvellement de passeport.
La CNIL considère que des informations sur l'expérimentation devraient aussi être communiquées aux personnes concernées, en amont de toute démarche de renouvellement. Les personnes devraient pouvoir à cette occasion refuser par avance la faculté de renouvellement de leur passeport par cette voie expérimentale, s'ils craignent une usurpation d'identité par un tiers.
S'agissant des conditions de cette information, la CNIL estime :
- qu'une communication devrait avoir lieu envers les personnes éligibles à l'expérimentation, concernant la mise en place de celle-ci ;
- qu'il devrait être indiqué clairement aux personnes concernées, lors du parcours de renouvellement du passeport, que l'absence de comparution physique lors de la demande de renouvellement de passeport fait l'objet d'une démarche expérimentale. Ces informations pourraient apparaître par exemple sur la page d'accès au service en ligne par Service-Public.fr, sur la page web des postes consulaires ;
D. - Sur la sécurité
a. Sur l'analyse d'impact relative à la protection des données :
L'AIPD contient un tableau d'appréciation des risques relatifs à l'expérimentation, qui décrit l'ensemble des mesures à mettre en place. La CNIL estime nécessaire que ces mesures soient effectivement mises en œuvre avant le démarrage de l'expérimentation.
Par ailleurs, l'AIPD énumère les impacts des menaces prises en compte. La CNIL considère que la gravité de l'impact de la délivrance d'un titre à un demandeur non légitime, portant les informations d'état civil correctes d'un Français résidant à l'étranger, mais dont la photo correspondrait au demandeur non légitime est particulièrement critique et la considère comme maximale selon l'échelle définie.
b. Concernant l'authentification :
La CNIL accueille favorablement l'engagement du ministère de passer à un niveau de garantie "élevé" dès lors qu'un MIE de ce niveau sera proposé aux Français résidant à l'étranger.
Enfin, il est pris acte de ce que les identifiants Service-Public.fr ou la connexion par FranceConnect ne seront pas utilisés pour s'authentifier en vue d'une telle demande.
c. Concernant les communications complémentaires suite à la demande de renouvellement :
L'AIPD indique que le code sécurisé et les éventuelles demandes de documents complémentaires passent par courriel ou par téléphone. Il est aussi indiqué que le site Service-Public.fr est privilégié pour l'échange d'informations entre le demandeur et l'agent consulaire.
La CNIL considère que des moyens plus sécurisés que le courriel ou le téléphone, permettant notamment de garantir la confidentialité, l'intégrité et l'authenticité des communications, devraient être privilégiés.
Tous les échanges d'information entre le demandeur et l'agent consulaire devraient donc être effectués par un moyen d'échange sécurisé. Idéalement, le niveau d'authentification pour accéder à ces échanges devrait être celui offert par FranceConnect+, utilisé lors de la demande de renouvellement. Un courriel ou un appel téléphonique peut être utilisé pour informer de la présence d'un message en attente, mais sans en divulguer le contenu.
d. Concernant les homologations :
La CNIL note que la majorité des éléments du plan d'action lié à l'homologation de TES, identifiés dès l'automne 2020, ne sont pas encore déclarés comme réalisés et que le ministère projette une réalisation en 2023.
La CNIL accueille toutefois favorablement le fait qu'il soit prévu que la prochaine commission d'homologation RGS, prévue en janvier 2024, couvre le périmètre de l'expérimentation au même niveau que le reste du traitement TES et considère que son issue positive est un préalable au lancement de l'expérimentation.
La CNIL considère qu'une attention particulière doit être apportée au niveau de sécurité du système d'information sur lequel repose la démarche de demande de renouvellement de passeport pour qu'elle soit cohérente avec son niveau de risque associé.
e. Sur les modalités d'expérimentation de nature à renforcer les conditions de sécurité :
S'agissant des conditions de mise en œuvre, la CNIL :
- estime qu'il serait souhaitable de procéder, avant de commencer l'expérimentation, à des tests de la capacité effective de vérification de l'identité à distance (incluant les phases liées à la vérification des titres d'identité, à la comparaison du visage et à la détection du vivant) à détecter des tentatives d'usurpation d'identité (incluant les risques relatifs à la contrefaçon ou la falsification de titres, le vol d'identité, l'altération de l'apparence de l'utilisateur par des moyens physiques ou numériques, la ressemblance avec une autre personne et la présentation de titre virtuel). Une partie de ces tests devrait être menée en suivant des méthodes de test d'intrusion ;
- recommande qu'un suivi spécifique des passeports émis selon la procédure expérimentale soit mis en place pendant la durée de validité de ceux-ci ;
- souhaite que lui soit communiqué le bilan d'expérimentation émis à la fin de cette dernière.
E. - Sur les transferts
Concernant les transferts de données en dehors de l'Union européenne qu'implique l'interconnexion des traitements TES et Stolen and Lost Travel Documents (SLTD) géré par Interpol, il ne ressort pas des pièces du dossier que ces transferts reposent sur un instrument de transfert en application de l'article 46 du RGPD, comme l'avait déjà soulevé la Commission dans ses délibérations précédentes n° 2021-022 et n° 2022-079.
La CNIL considère que la clarification ou la mise en conformité de l'interconnexion entre TES et STLD devrait être ajoutée au plan d'action, avec indication d'une échéance.
La présidente,
M.-L. Denis
Date de l’avis
 : 19 octobre 2023
N° de la délibération
 : 2023-110
N° de demande d’avis
 : 23013122
 
Organisme(s) à l’origine de la saisine 
: ministère de l’éducation nationale et de la jeunesse
Texte concerné
 : projet de décret relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé "Enquête harcèlement"
Thématiques
 : harcèlement, éducation nationale, premier degré, second degré
Fondement de la saisine : 
le a) du 4° du I de l’article 8 
de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel
 :
Le projet de décret s’inscrit dans le plan interministériel de lutte contre le harcèlement. Il prévoit que les élèves du CE2 à la terminale des écoles, collèges et lycées publics sont invités, au moins une fois par an, à renseigner un questionnaire non nominatif visant à améliorer la connaissance des situations de harcèlement scolaire, pour permettre aux directeurs d’école et aux chefs d’établissement d’adopter des mesures afin de prévenir ces situations. 
La CNIL estime que le traitement est légitime au regard de l’importance de l’objectif poursuivi de lutte contre le harcèlement scolaire. Sur les modalités concrètes de mise en œuvre du traitement, elle appelle l’attention du Gouvernement sur l’échelle d’agrégation des données retranscrites au format numérique à des fins statistiques, afin d’éviter toute possibilité de réidentification par des tiers.
Au regard du public concerné par le traitement, la CNIL recommande que soit effectuée une information claire et adaptée à la tranche d’âge des répondants.
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi "informatique et libertés") ;
Après avoir entendu le rapport de Mme Aminata NIAKATÉ commissaire, et les observations de M. Damien MILIC commissaire du Gouvernement,
ADOPTE LA DÉLIBÉRATION SUIVANTE :
I. La saisine
A. Le contexte
Le ministère de l’éducation et de la jeunesse a fait de la lutte contre le harcèlement un axe stratégique depuis 2022. La loi n°2022-299 du 2 mars 2022 prévoit que les établissements d’enseignement scolaire publics et privés prennent les mesures appropriées visant à lutter contre le harcèlement dans le cadre scolaire ; ces mesures comprennent notamment la prévention de l’apparition de situations de harcèlement et l’amélioration de leur détection par la communauté éducative afin d’y apporter une réponse rapide et coordonnée.
Le plan interministériel présenté le 27 septembre 2023 prévoit des actions dont l’objectif est d’améliorer et de coordonner la réponse des services de l’État face au harcèlement dans et en dehors de l’enceinte des établissements scolaires. 
B. L’objet de la saisine
La CNIL a été saisie pour avis le 11 octobre 2023 d’un projet de décret relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé "Enquête harcèlement", sur le fondement du a) du 4° du I de l’article 8 de la loi "informatique et libertés". Le traitement sera placé sous la responsabilité du ministère de l’éducation et de la jeunesse et mis en œuvre dans chaque établissement. Ce traitement doit être replacé dans le cadre plus global de la lutte contre le harcèlement et constituerait un instrument supplémentaire qui doit être articulé avec l’ensemble des mesures déjà mises en œuvre ou prévues par le plan interministériel.
Le projet de décret prévoit que les élèves du CE2 à la terminale des écoles, collèges et lycées publics sont invités, au moins une fois par an, à renseigner un questionnaire non nominatif. Ce questionnaire vise à 
améliorer la connaissance des situations de harcèlement scolaire
, pour permettre aux directeurs d’école et aux chefs d’établissement d’adopter des mesures afin de prévenir ces situations. Renseignées en classe par les élèves sous l’autorité d’un enseignant, ces grilles seront examinées par un enseignant, sous la responsabilité du directeur d’école ou du chef d’établissement.
Ce traitement vise à :
recueillir les témoignages des élèves quant aux faits susceptibles d’être qualifiés de harcèlement scolaire dont ils pourraient être victimes ;
mesurer l’ampleur des faits susceptibles d’être qualifiés de harcèlement scolaire ;
mobiliser la communauté éducative aux fins de prévenir et de lutter contre le harcèlement scolaire ;
contribuer à l’élaboration des lignes directrices et des procédures du projet d’établissement destinées à la prévention, à la détection et au traitement des faits constitutifs de harcèlement scolaire ;
apprécier l’efficacité des lignes directrices et les procédures destinées à la prévention, à la détection et au traitement des faits constitutifs de harcèlement au niveau de l’école et de l’établissement.
Le traitement poursuit également des finalités statistiques.
II. L’avis de la CNIL
Comme le souligne le ministère, le traitement mis en œuvre n’a pas vocation à comprendre des données à caractère personnel mais il ne peut être exclu que certains élèves ayant rempli le questionnaire soient identifiables. Le traitement relève, dès lors, du RGPD et de la loi "informatique et libertés".
A titre liminaire, la CNIL insiste sur le fait qu’il est essentiel de protéger les mineurs du phénomène de harcèlement, en particulier dans un cadre scolaire, eu égard aux graves conséquences que cela peut engendrer sur leur santé et leur développement.
A. Sur les finalités de traitement
Le traitement vise à permettre de repérer des situations de harcèlement au sein des établissements. Il permettra également d’obtenir des indicateurs afin de mesurer le phénomène de harcèlement au sein de chaque établissement et au niveau national, d’y apporter une réponse adaptée et coordonnée et d’établir des statistiques au niveau national.
Le ministère a indiqué que la retranscription des données au format numérique serait effectuée de manière agrégée et non de manière individuelle :
par l’établissement, aux fins notamment de pilotage de sa politique en matière de lutte contre le harcèlement, et pour l’élaboration des lignes directrices mentionnées à l’article L. 543-1 du code de l’éducation ;
d’autre part, par les services statistiques académiques et ministériels pour des finalités statistiques.
Le traitement de données à des fins statistiques implique que le résultat du traitement ne soit constitué que de données agrégées qui n’ont plus la qualité de données à caractère personnel (considérant 162 du RGPD).
La CNIL attire l’attention du ministère sur le fait que les données ainsi agrégées peuvent parfois, si elles traitent de faits ne concernant que très peu d’individus du groupe en question, voire un seul individu, permettre la réidentification. Ce risque semble pouvoir être écarté lorsque les données seront agrégées à l’échelle d’un niveau (par exemple, toutes les classes de seconde d’un établissement) ou à l’échelle de l’établissement lorsque celui-ci comprend des effectifs peu importants en nombre. À défaut, le ministère devra être attentif à apprécier le risque de réidentification et à prendre des précautions lorsque les statistiques ne pourront être regardées comme anonymes (notamment en ne les publiant pas telles quelles). 
Concernant la collecte et la centralisation des données par les services académiques et ministériels (dont les services statistiques), le ministère envisage également que, outre cette remontée de données agrégées, un échantillon de classes transmettra leur collection des réponses au questionnaire en format papier. Ces documents ont vocation à être transmis à un prestataire en vue de leur numérisation "dans des conditions garantissant leur sécurité". La CNIL attire l’attention sur la nécessité de garantir des conditions de traitements suffisamment sûres et confidentielles, et recommande en particulier que les questionnaires comportent un code prérempli pour l’établissement et la classe, non interprétable par le prestataire.
B. Sur les catégories de données collectées
À titre liminaire, la CNIL relève que les élèves seront invités à remplir le questionnaire, mais que la collecte des données demeurera volontaire. Elle approuve cette approche, dès lors qu’il s’agit de données pouvant toucher à l’intimité de personnes mineures. 
L’article 4 du projet de décret détaille les catégories de données à caractère personnel collectées dans l’"Enquête harcèlement".
La CNIL estime que les données collectées sont pertinentes au regard de la finalité poursuivie. 
La CNIL attire l’attention du ministère que les questions comprises dans le questionnaire doivent être strictement pertinentes et adéquates au regard des finalités du traitement et que certaines des réponses sont susceptibles de relever des données dites "sensibles" au sens du I de l’article 6 de loi "informatique et libertés".  
Elle recommande, eu égard à une meilleure transparence et information auprès des titulaires de l’autorité parentale du traitement effectué, de mentionner dans le projet de décret que des données sensibles peuvent être amenées à être collectées.
La CNIL constate que les projets de questionnaires qui lui ont été communiqués ne prévoient pas de champ libre. Elle approuve pleinement cette précaution, eu égard au fait que les données seront collectées en très grand nombre, auprès de mineurs, et relatives à l’intimité des personnes.
Les données transmises par les établissements aux services de l’Etat seront agrégées et ne constitueront pas, sauf exception, des données à caractère personnelles. Il en ira autrement des questionnaires d’une sélection de classes qui seront transmis notamment aux servies statistiques ministérielles pour étude. Concernant la nécessité pour ces services de connaître l’établissement des élèves concernés la CNIL rappelle que cette donnée ne pourra être collectée que dans la mesure où elle est nécessaire aux finalités statistiques poursuivies par le traitement, ce qu’il conviendra de vérifier. 
C. Sur les accédants et les destinataires et les mesures de sécurité qui en découlent
L’article 5 prévoit la liste des accédants et destinataires du traitements. Il revient à ces personnes de retranscrire les résultats agrégés de ces questionnaires au format numérique.
Il apparait vraisemblable, bien que les données apparaissent sous la forme pseudonymisée, que les enseignants du premier et du second degré puissent reconnaitre l’identité de certains répondants et aient accès à des données qui peuvent être intrusives les concernant.
La CNIL recommande au ministère de diffuser des consignes claires pour tous les établissements en ce qui concerne la confidentialité des questionnaires. 
Les établissements devront appliquer la même rigueur aux données qui seront conservées sous forme numérique. Des mesures techniques devront en restreindre l’accès aux seules personnes prévues par le décret.
S’agissant des accédants, le I de l’article 5 prévoit également que sont accédants "les personnes spécialement désignées à cet effet par le directeur d’école [ou] […] le chef d’établissement".
S’agissant des destinataires, elle s’interroge sur la qualité de destinataires du service statistique ministériel, qui lui semble plutôt avoir la qualité d’accédant dès lors qu’il traitera les données pour les finalités prévues par le décret et pour le compte du responsable de traitement.
Par ailleurs, le III de l’article 5 du projet de décret prévoit que peuvent être destinataires "les organismes de recherche et les chercheurs ayant conclu une convention à cette fin avec la direction de l’évaluation, de la prospective et de la performance".
La CNIL accueille favorablement l’encadrement réglementaire et conventionnel de l’accès à ces données pour des finalités de recherche. Elle encourage vivement à encadrer conventionnellement les garanties permettant de s’assurer du respect de la réglementation en matière de protection des données pour cette réutilisation ultérieure.
D. Sur la nécessité de procéder à une analyse d’impact relative à la protection des données (AIPD)
Le ministère a indiqué ne pas avoir effectué d’AIPD pour ce traitement.