AgentPublic/cnil huggingface dataset:
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Émet l’avis suivant :
Le projet de décret, soumis pour examen de la Commission nationale de l’informatique et des libertés (ci-après la Commission) en application des dispositions de l’article L. 114-9 du code des relations entre le public et l’administration (CRPA), vise à élargir la liste des administrations auprès desquelles une demande de communication peut être effectuée dans le cadre du traitement par une autre administration d’une demande présentée par le public ou d’une déclaration transmise par celui-ci en application d'un texte législatif ou réglementaire conformément à l’article L. 114-8 du CRPA d’une part, et le périmètre des démarches administratives pouvant faire l’objet d’un échange d’informations, d’autre part.
La Commission rappelle qu’elle s’est déjà prononcée sur les modalités d’échanges d’informations ou de données entre administrations dans le cadre de sa délibération n°2018-357 du 13 décembre 2018 susvisée.
L’alinéa 1 de l’article 1er du projet de décret prévoit ainsi de modifier l’article R. 114- 9-3 du CRPA afin de permettre à une administration d’effectuer une demande de communication, selon le type d’informations ou de données en cause, aux services et organismes suivants :
- au ministère de l’éducation nationale, au ministère de l’enseignement supérieur et de la recherche ou aux organismes publics chargés de la délivrance de diplômes, titres et qualifications ou de leur reconnaissance, des informations relatives à la situation de la personne scolarisée ;
- à Pôle emploi, des informations relatives à la situation de demandeur d’emploi ;
- aux organismes de protection sociale, des informations relatives à la situation de la famille ;
- à la direction du service national et de la jeunesse, des informations relatives à la situation d’une personne au regard des obligations prévues à l’article L. 111-2 du code du service national ;
- au service du casier judiciaire national, des informations relatives à la mention du bulletin n°2 du casier judiciaire ;
- aux organismes publics chargés de leur délivrance ou de leur reconnaissance, des informations relatives aux diplômes, titres et qualifications professionnelles.
S’agissant de la demande de communication pouvant être effectuée au service du casier judiciaire national, la Commission prend acte de ce que celle-ci se fera dans le respect des dispositions spécifiques prévues par le code de procédure pénale.
L’alinéa 2 de l’article précité prévoit en outre de remplacer le 3° de l’article R. 114- 9- 3 du CRPA par 3° Droits sociaux, revenus et prestations, aux organismes de protection sociale et aux organismes mentionnés au premier alinéa de l’article L. 133-5 du code de la sécurité sociale . Interrogée sur ce point, la direction interministérielle du numérique a précisé qu’un tel élargissement doit permettre aux administrations dans le cadre de certaines démarches administratives, notamment la demande de prime d’activité ou la demande d’allocation de logement, de demander les derniers salaires perçus par un usager, ce dont la Commission prend note.
Si l’élargissement projeté aux services et organismes précités n’appelle pas d’observation particulière, la Commission rappelle toutefois que la mise en œuvre d’échanges de données entre administrations doit demeurer limitée aux données strictement nécessaires et doit garantir le respect des droits des personnes ainsi que la sécurité de leurs données.
Par ailleurs, l’article 2 du projet de décret prévoit le remplacement au 5° de l’article R. 114-9-4 du CRPA du mot élections  par le mot citoyenneté . La Commission prend acte de ce que ce changement de terminologie vise à élargir le périmètre des démarches administratives pouvant faire l’objet d’un échange d’informations afin d’englober le recensement citoyen obligatoire.
Enfin, la Commission relève que les mesures de sécurité, notamment le respect du référentiel général de sécurité, la mise en place de profils d’habilitation pour accéder aux données et d’un système de journalisation des accès, telles que prévues aux articles R. 114-9-5 à R. 114-9-7 du CRPA, restent inchangées.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre chargé des sports d’une demande d’avis concernant un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé SI Honorabilité visant à assurer le contrôle de l’honorabilité des personnes soumises aux obligations des articles L. 133-6, L. 227-10 et L. 227-11 du code de l’action sociale et des familles et des articles L. 212-9, L. 212-13 et L. 322-1 du code du sport ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 133-6, L. 227-10 et L. 227-11 ;
Vu le code de procédure pénale, notamment ses articles 706-53-11 et 777-3 ;
Vu le code du sport, notamment ses articles L. 212-9, L. 212-13 et L. 322-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 31-I-2° et 89-I ;
Après avoir entendu M. Christian KERT, commissaire, en son rapport et M. Benjamin TOUZANNE, commissaire du gouvernement, en ses observations,
Après avoir entendu M. Christian KERT, commissaire, en son rapport et M. Benjamin TOUZANNE, commissaire du gouvernement, en ses observations,
Émet l’avis suivant :
Le contrôle de l’honorabilité des personnes exerçant auprès des mineurs est une obligation inscrite dans le code de l’action sociale et des familles (CASF) et dans le code du sport qui prévoient une interdiction d’exercice de toute fonction en cas de condamnations à un crime ou à certains délits, ou encore en cas de mesure administrative d’interdiction ou de suspension d’exercer ses fonctions prononcée par le préfet, lorsque le maintien en activité du professionnel constitue un danger pour la santé et la sécurité physique ou morale des pratiquants ou des mineurs.
La Commission a été saisie par le ministère chargé du sport (ci-après le ministère), sur le fondement de l’article 31-I-2° de la loi du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés ), d’une demande d’avis sur un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé SI Honorabilité visant à assurer le contrôle de l’honorabilité des personnes soumises aux obligations des articles L. 133-6, L. 227-10 et L. 227-11 du CASF et des articles L. 212-9, L. 212-13 et L. 322-1 du code du sport.
Elle a été concomitamment saisie par le ministère de deux demandes d’avis complémentaires concernant :
un projet de décret relatif au recueil des données des personnes soumises aux obligations des articles L. 212-9 et L. 322-1 du code du sport en vue du contrôle de leur honorabilité ;
un projet d’arrêté modifiant l’arrêté du 7 août 1997 relatif à la gestion par le ministère de la jeunesse et des sports d’un fichier des activités physiques et sportives concernant les éducateurs et les établissements.
Ces projets de texte sont destinés à répondre au besoin de systématiser le contrôle de l’honorabilité des éducateurs sportifs bénévoles licenciés des fédérations sportives et des exploitants d’établissements d’activités physiques et sportives licenciés des fédérations sportives. Pour ce faire, elles créent le SI Honorabilité pour lequel la direction des sports, la direction de la jeunesse, de l’éducation populaire et de la vie associative et le secrétariat général des ministères chargés des affaires sociales sont conjointement responsables, et ayant pour fonctionnalités principales :
d’interroger le fichier judiciaire national automatisé des auteurs d’infractions sexuelles ou violentes (FIJAISV) ;
de gérer la base des cadres interdits ;
de restituer aux services de l’Etat compétents les informations obtenues du FIJAISV pour gérer les incapacités d’exercice ou d’exploitation d’un établissement accueillant des activités physiques et sportives résultant des contrôles d’honorabilité effectués.
Deux actes réglementaires encadrent actuellement le traitement des données à caractère personnel utilisé aux fins de contrôle de l’honorabilité des personnes exerçant auprès de mineurs :
pour le champ de la jeunesse, de l’éducation populaire et de la vie associative : l’arrêté du 19 avril 2012 créant le traitement de données à caractère personnel relatif à la gestion des accueils collectifs de mineurs à caractère éducatif dénommé SIAM détermine le contrôle de l’honorabilité des personnes exerçant au sein de ces accueils ;
pour le champ du sport : l’arrêté du 28 février 2014 créant le traitement de données à caractère personnel dénommé Télédéclaration des éducateurs sportifs (traitement EAPS ) définit les modalités du contrôle de l’honorabilité des éducateurs sportifs professionnels.
A terme (le 31 décembre 2021 au plus tard), le SI Honorabilité a vocation à devenir un portail mutualisé et unique de contrôle de l’honorabilité de l’ensemble des professionnels exerçant auprès de mineurs. Il devrait couvrir l’intégralité du dispositif de contrôle de l’honorabilité des personnes exerçant au sein d’accueils collectifs de mineurs dans le champ de la jeunesse, de l’éducation populaire et de la vie associative et des éducateurs sportifs professionnels, des éducateurs sportifs bénévoles et des exploitants d’établissements accueillant des activités physiques et sportives licenciés des fédérations sportives dans le champ du sport. Ainsi, d’après les informations transmises par le ministère, les traitements de données à caractère personnel SIAM et EAPS seront raccordés au SI Honorabilité . A cet égard, la Commission attire l’attention du ministère sur le fait que les actes réglementaires créant ces traitements devront être mis à jour préalablement à leur raccordement au SI Honorabilité , dans la mesure où les traitements SIAM et EAPS alimenteront et seront alimentés par les données du SI Honorabilité .
Par ailleurs, dans la mesure où le SI Honorabilité pourrait également concerner d’autres acteurs (dans un calendrier restant à définir), par exemple les établissements de santé ou d’autres établissements du secteur social ou médico-social, la Commission alerte le ministère sur le fait que toute nouvelle utilisation du SI Honorabilité pour contrôler l’honorabilité des professionnels dans un champ nouveau, exigera une modification de l’arrêté portant création du SI Honorabilité , dont elle devra être saisie.
D’un point de vue fonctionnel, le SI Honorabilité comporte deux portails distincts: le SI Dépose et le SI Retour .
Le portail SI Dépose  est conçu pour que les fédérations puissent déposer les informations nécessaires à l’interrogation automatisée du FIJAISV concernant les éducateurs sportifs bénévoles et les exploitants d’établissements accueillant des activités physiques et sportives licenciés des fédérations sportives. A terme (le 31 décembre 2021 au plus tard), les traitements SIAM et EAPS seront connectés à ce portail aux fins de permettre l’interrogation automatisée du FIJAISV, du casier judiciaire national (bulletin n° 2) et de la base nationale des cadres interdits pour les personnes exerçant au sein des accueils collectifs de mineurs et les éducateurs sportifs professionnels.
Le portail SI Retour  est conçu pour :
gérer et consulter la base des cadres interdits des éducateurs sportifs bénévoles et identifier les personnes en incapacité d’exercer du fait d’une mesure administrative d’interdiction ou de suspension prononcée par le préfet.
A terme (le 31 décembre 2021 au plus tard), les bases des cadres interdits actuellement intégrées aux traitements SIAM et EAPSseront fusionnées avec celle des éducateurs sportifs bénévoles au sein du portail SI Retour ;
permettre aux services de l’Etat compétents de recevoir l’identité des personnes susceptibles d’être inscrites au FIJAISV et pour lesquelles une interrogation manuelle du fichier doit être faite ;
à terme (le 31 décembre 2021 au plus tard), récupérer les informations relatives au contrôle du casier judiciaire national (bulletin n° 2) réalisé exclusivement à l’égard des personnes exerçant au sein des accueils collectifs de mineurs et des éducateurs sportifs professionnels : 0 pour les bulletins portant la mention néant et 1 pour la situation où un courrier a été envoyé au service compétent, en particulier en cas de condamnations éventuelles, de demandes de renseignements complémentaires concernant l’identité ou de décès de la personne. Ces informations ne sont pas affichées dans le SI Retour : elles sont stockées dans le SI honorabilité le temps que les traitements SIAM et EAPS récupèrent l’information.
Eu égard à ces circonstances, la Commission estime que le SI Honorabilité requiert une sécurisation juridique et technique de haut niveau, et formule les observations suivantes.
Sur les finalités du traitement
L’article 1er du projet d’arrêté précise que le traitement a pour finalité de permettre aux agents de la direction des sports et de la direction de la jeunesse, de l’éducation populaire et de la vie associative habilités, d’effectuer un contrôle de l’honorabilité des encadrants sportifs bénévoles et professionnels et des exploitants d’établissements accueillant des activités physiques et sportives licenciés des fédérations ainsi que des exploitants des établissements, services ou lieux de vie et d’accueil régis par les dispositions du CASF.
Aussi, le projet d’article précise que ce contrôle vise à s’assurer que le maintien en activité des personnes contrôlées ne présente pas de risques ou de dangers pour la santé et la sécurité physique ou morale des mineurs ou des pratiquants en application des articles L. 227-10 et L. 227-11 du code de l’action sociale et des familles et de l’article L. 212-13 du code du sport.
La Commission estime que les finalités projetées sont déterminées, explicites et légitimes conformément aux dispositions de l’article 5.1.b) du RGPD.
Sur les conditions d’interrogation du FIJAIS et du casier judiciaire national 
L’article 706-53-11 du code de procédure pénale prévoit qu’ aucun rapprochement ni aucune connexion au sens de l'
article 33 de la loi n° 78-17 du 6 janvier 1978
 relative à l'informatique, aux fichiers et aux libertés ne peuvent être effectués entre le fichier prévu par le présent chapitre (FIJAISV) et tout autre fichier ou recueil de données nominatives détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice, à l'exception du fichier des personnes recherchées pour l'exercice des diligences prévues au présent chapitre . De façon constante, la Commission interprète le mot connexion à cet article comme visant spécifiquement les interconnexions.
Par ailleurs, l’article 777-3 du même code mentionne, qu’aucune interconnexion au sens du 
3° du I de l'article 33 de la loi n° 78-17 du 6 janvier 1978
 relative à l'informatique, aux fichiers et aux libertés ne peut être effectuée entre le casier judiciaire national automatisé et tout autre fichier ou traitement de données à caractère personnel détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice .
Les interrogations du FIJAISV et du casier judiciaire s’effectuent à partir du SI Retour de manière automatique par des services web ou API spécialisés mis en place par le ministère de la Justice et transitant par un réseau interne privé, sur la base des données d’identité inscrites dans le SI Dépose (notamment civilité, nom, prénom, date et lieu de naissance). Pour chacune des identités transmises, des codes retour spécifiques et un identifiant interne pseudonymisé sont renvoyés par ces interfaces. Ces données, ainsi que les données initialement envoyées et les identifiants internes au SI Honorabilité , sont stockées dans le SI Retour .
Concernant le FIJAISV, quatre codes retour peuvent être retournés (erreur technique, impossibilité d’identifier la personne, identité à vérifier, ou identité non inscrite au FIJAISV). Un champ de commentaire en texte libre est destiné à l’administration centrale afin qu’elle puisse y inscrire tout élément qu’elle estimera nécessaire de porter à la connaissance du destinataire (en dehors d'indications en lien avec l'identité de la personne).
Concernant le casier judiciaire, il existe deux codes retour correspondant soit à un courrier envoyé au service compétent (demande de renseignements complémentaires ou contrôle manuel requis en raison d’un bulletin n° 2 positif) soit à l’information que le bulletin n° 2 porte la mention néant .
La Commission constate que ces modalités d’interrogation, et les retours qui en découlent, sont identiques à ceux mis en œuvre dans le cadre des traitements SIAM et EAPS , qu’elle avait estimé conformes aux articles 706-53-11 et 777-3 du code de procédure pénale cités ci-dessus (délibérations n° 2012-031 du 2 février 2012 et n° 2013-274 du 26 septembre 2013). Le SI Honorabilité n’est ainsi pas alimenté automatiquement par des données issues du FIJAISV ou du casier judiciaire : ces fichiers sont, le cas échéant, uniquement consultés manuellement par un agent habilité.
Par ailleurs, la Commission s’interroge sur la durée de conservation d’un an des codes retour issus du FIJAISV. Dans le cadre du traitement SIAM , elle avait relevé que ces codes n’étaient conservés qu’un mois et estime que le ministère devrait s’aligner sur cette durée. Elle prend acte de l’engagement du ministère de réduire cette durée à six mois.
Sur les accédants et les destinataires
L’article 4 du projet d’arrêté prévoit que sont habilités à accéder aux données enregistrées dans le SI Retour à raison de leurs attributions respectives et dans la limite du besoin d’en connaître :
Les agents de la direction des sports désignés par le directeur des sports ;
Les agents de la direction de la jeunesse, de l’éducation populaire et de la vie associative désignés par le directeur de la jeunesse, de l’éducation populaire et de la vie associative .
Cette disposition prévoit également que les agents des délégations régionales et départementales chargées de la jeunesse, des sports et de la cohésion sociale dûment habilités par leurs directeurs sont destinataires des informations enregistrées dans le SI retour . 
La Commission prend note des observations du ministère précisant que seuls les agents habilités placés sous l’autorité du ministère chargé des sports et du représentant de l’Etat au sein des départements s’assureront de l’incompatibilité entre les fonctions d’éducateurs sportifs bénévoles et d’exploitants d’établissements physiques et sportifs licenciés des fédérations ainsi que des organisateurs d’accueils collectifs et les crimes et délits visés par le CASF et le code du sport.
S’agissant des informations transmises aux professionnels exerçant au sein des accueils collectifs, la Commission prend également note des observations du ministère selon lesquelles une lettre recommandée sera adressée aux organisateurs dans le cadre où un intervenant est frappé d’une condamnation le rendant incapable d’exercer en accueils collectifs des mineurs en application des dispositions de l’article L. 133-6 du CASF  et que les organisateurs d’accueils collectifs de mineurs ne sont pas informés de la nature des infractions commis par l’intervenant et le rendant incapable d’exercer au sein de ces accueils .
La Commission prend note de ces observations et rappelle que la lettre adressée aux organisateurs ne devra mentionner que les seules informations pertinentes au regard de la finalité poursuivie conformément aux dispositions de l’article 5.1°.c) du RGPD.
Concernant les informations relatives aux encadrants sportifs bénévoles et les exploitants d’établissements accueillant des activités physiques et sportives transmises aux fédérations, le ministère a précisé que la notification d’incapacité est adressée à l’intéressé ainsi qu’à la structure au sein de laquelle la personne évolue et que 
Lorsque l'incapacité est motivée par des crimes et délits pour des faits de violence, la décision d'incapacité est transmise au référent désigné par chaque fédération, interlocuteur exclusif de la direction des sports, de manière à permettre à la fédération de mettre en œuvre les procédures administratives ou disciplinaires dont elle a la responsabilité (…)
 . 
Le ministère a précisé que La fédération est informée uniquement lorsque l’incapacité est motivée par un crime ou un délit inscrit au FIJAISV sans préciser toutefois si celle-ci sera informée de la nature des crimes et délits commis par l’intervenant. Sur ce dernier point, la Commission rappelle que celle-ci n’a pas à en avoir connaissance.
La notification d’incapacité est également notifiée à l’intéressé par les délégations régionales et départementales de la jeunesse, des sports et de la cohésion sociale.
Sur l’information et les droits des personnes 
La Commission relève que les modalités d’information des éducateurs sportifs bénévoles sont précisées dans le cadre du projet de décret relatif au recueil des données des personnes soumises aux obligations des articles L. 212-9 et L. 322-1 du code du sport en vue du contrôle de leur honorabilité (délibération n° 2021-014 du 26 janvier 2021).
S’agissant des professionnels exerçant auprès des mineurs soumis au contrôle de l’honorabilité, le ministère a précisé que l’information sera délivrée par les organisateurs d’accueils collectifs de mineurs au moment de leur inscription au sein de la structure.
En outre, le ministère a également précisé que des  mentions d’information seront également disponibles sur les sites institutionnels des administrations concernées . La Commission appelle l’attention du ministère sur la nécessité de mettre à jour les informations telles qu’elles existent actuellement.
Elle constate que les modalités d’exercice des droits sont prévues par le projet d’arrêté. En effet, l’article 5 du projet prévoit que les droits d’accès, de rectification et de limitation s’exerceront auprès de :
la direction des sports pour les personnes dont l’honorabilité est contrôlée en application des articles L. 212-9 et L. 322-1 du code du sport ;
la direction de la jeunesse, de l’éducation populaire et de la vie associative pour les personnes dont l’honorabilité est contrôlée en application de l’article L. 133-6 du code de l’action sociale et des familles.
La Commission relève, par ailleurs, que l’article 5 du projet d’arrêté prévoit que le droit d’opposition ne s’applique pas au présent traitement conformément aux dispositions de l’article 23 du RGPD et de l’article 56 de la loi Informatique et Libertés . La Commission rappelle que l’acte devra prévoir les mesures figurant à l’article 23-2 du RGPD.
Sur les durées de conservation
L’article 4-1° du projet d’arrêté prévoit que dans le SI dépose , les données d’identité relatives aux personnes dont l’honorabilité est contrôlée sont conservées durant un an.
L’article 4-2° du projet d’arrêté prévoit, par ailleurs, que dans le SI retour , les données sont conservées (…) : a) Les données relatives aux personnes faisant l’objet d’une mesure de suspension, d’injonction de cesser, d’exercer ou d’interdiction d’exercer sont conservées pendant toute la durée de la mesure, augmentée d’un délai supplémentaire de quinze jours ; b) Les données mentionnées au 2) de l’article 2 et relatives aux personnes pour lesquelles une consultation du portail du fichier judiciaire national automatisé des auteurs d’infractions sexuelles ou violentes est nécessaire sont conservées pendant un an.