La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de la santé, de la famille et des personnes handicapées d'un projet de décret en Conseil d'Etat pris en application de l'article L. 147-11 du code de l'action sociale et des familles et portant création d'un traitement automatisé d'informations nominatives (demande d'avis n° 841134) ;
Vu la directive n° 95/46/CE du Parlement Européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le code de l'action sociale et des familles ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;
Après avoir entendu Monsieur Pierre SCHAPIRA, commissaire, en son rapport, et Madame Charlotte-Marie PITRAT, commissaire du Gouvernement, en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :
La loi du 22 janvier 2002 relative à l'accès aux origines des personnes adoptées et pupilles de l'Etat a introduit dans le code de l'action sociale et des familles plusieurs dispositions visant à favoriser le rapprochement des enfants "nés sous X" et de leurs parents de naissance.
Afin de faciliter la réalisation de cet objectif, le législateur a notamment créé un Conseil national pour l'accès aux origines personnelles (CNAOP), chargé d'assumer un rôle actif dans les recherches entamées par les personnes "nées sous X" ou par leurs parents de naissance.
Le législateur a prévu qu'un décret pris après avis de la CNIL devait fixer les conditions dans lesquelles seraient traitées et conservées les informations susceptibles de révéler l'identité des parents biologiques ou des éléments non nominatifs de leur histoire personnelle.
La Commission est donc amenée à se prononcer sur les garanties apportées par le projet de décret qui lui est soumis par le ministère de la santé, de la famille et des personnes handicapées en application de l'article L. 147-11 du code de l'action sociale et des familles.
Ce projet de décret comporte également des dispositions portant création d'un traitement automatisé d'informations nominatives nécessaire à l'accomplissement des missions légales du CNAOP.
Sur les dispositions du projet de décret prises en application de l'article L. 147-11 du code l'action sociale et des familles
L'objet premier du projet de décret en Conseil d'Etat est de fixer les modalités de traitement et de conservation des données visées à l'article L. 147-5 du code de l'action sociale et des familles.
Ces informations concernent les éléments recueillis par le CNAOP auprès des établissements de santé, des services départementaux, des organismes autorisés et habilités pour l'adoption, de l'autorité centrale pour l'adoption ou de la mission pour l'adoption internationale, pour donner suite aux demandes dont il est saisi.
D'une part, ces informations peuvent porter sur la santé des parents, les origines de l'enfant et les circonstances de la naissance, à la condition que les parents de naissance aient souhaité l'intégration de ces informations dans le dossier de leur enfant.
D'autre part, ces éléments concernent "l'identité" de la mère ou des deux parents, recueillie sous pli fermé conformément aux dispositions de la loi du 22 janvier 2002. Il s'agit des informations volontairement communiquées par la mère ou les parents ayant demandé le secret de leur identité au moment de l'accouchement ou de la remise de l'enfant aux services sociaux du département, sans qu'aucune vérification d'identité ou enquête ne soient réalisées à cette occasion.
Compte tenu de la sensibilité de ces informations au regard des situations de détresse des personnes "nées sous X" en attente de la communication de ces données, leur transmission au CNAOP doit s'entourer de garanties spécifiques.
A cet égard, l'article 1er du projet de décret prévoit la transmission de ces documents au CNAOP par porteur ou par voie postale par pli recommandé avec accusé de réception.
La Commission considère ces dispositions comme satisfaisantes.
S'agissant de la conservation de ces informations au sein du CNAOP, l'article 2 du projet de décret prévoit que le secrétaire général du conseil national prend les dispositions nécessaires pour assurer la conservation des copies et renseignements prévus à l'article L. 147-5, et notamment du pli fermé supposé contenir l'identité parentale, dans des conditions de sécurité garantissant le respect de leur confidentialité, en particulier pour en réserver l'accès aux seules personnes qu'il habilite à en connaître.
La Commission considère néanmoins que la définition de ces dispositions relève en premier lieu du conseil national, et estime en conséquence souhaitable que l'article 2 du projet de décret soit ainsi rédigé :
"Le conseil national pour l'accès aux origines personnelles prend les dispositions nécessaires pour assurer la conservation des demandes et déclarations prévues à l'article L. 147-2 du code de l'action sociale et des familles, des copies et renseignements prévus à l'article L. 147-5 du même code, du pli prévu à l'article L. 222-6 ainsi que des demandes visées au deuxième alinéa de l'article 1 du présent décret, dans des conditions de sécurité garantissant le respect de leur confidentialité, notamment pour en réserver l'accès aux seules personnes que le secrétaire général du conseil national habilite à en connaître".
Sur les dispositions portant création d'un traitement automatisé d'informations nominatives
Finalité du traitement (article 3 du projet de décret)
L'article 3 du projet de décret prévoit que le CNAOP mettra en oeuvre un traitement pour assurer la conservation et la gestion des dossiers dont il est saisi, ainsi que pour établir des statistiques anonymes afin de rendre compte de son activité et de l'évolution de la question du secret des origines en France.
Pertinence des données traitées (articles 4 et 5 du projet de décret)
Seule l'identité des personnes ayant effectué une demande d'accès aux origines ou une déclaration d'identité ou de levée du secret auprès du CNAOP en application des dispositions de l'article L. 147-2 du code de l'action sociale et des familles, des parents adoptifs du demandeur d'accès et des correspondants départementaux du CNAOP parait dans l'application informatique. S'agissant des autres catégories d'informations traitées, celles-ci se limiteront aux données nécessaires au suivi administratif des dossiers et des échanges de correspondances avec les structures publiques ou privées en rapport avec le CNAOP, et à la production de statistiques d'activité non nominatives.
La Commission relève qu'aucune information sensible au sens de l'article 31 de la loi du 6 janvier 1978 - telle que l'origine raciale, les moeurs, ou la religion des parents - ne sera traitée informatiquement.
La Commission relève également que l'identité supposée des parents de naissance susceptible d'apparaître dans le pli fermé transmis au conseil national ne sera pas enregistrée sur support informatique.
En revanche, la Commission considère que l'enregistrement informatique de l'identité des personnes déclarant leur identité auprès du CNAOP au sens de l'article L. 147-2 du code de l'action sociale et des familles, au titre desquelles peuvent notamment figurer les parents de naissance d'un enfant "né sous X", n'appelle pas d'observation dans la mesure où cette information est nécessaire au traitement de leur dossier ainsi qu'à leur information régulière par le conseil national sur l'état d'avancement de ce dossier.
La nationalité du demandeur d'accès ou du déclarant d'identité est enregistrée dans la mesure où le CNAOP a compétence pour connaître des demandes de personnes nées à l'étranger ou de déclarations de personnes de nationalité étrangère. Cet élément d'identité permet de recueillir des renseignements sur le demandeur auprès de l'organisme autorisé pour l'adoption ayant recueilli l'enfant dans son pays d'origine, par l'intermédiaire de la mission de l'adoption internationale ou de l'autorité centrale pour l'adoption internationale. Sur la base de l'ensemble de ces observations, la Commission considère que les données visées à l'article 4 du projet de décret sont pertinentes, adéquates et non excessives.
S'agissant des données statistiques visées à l'article 5 du projet de décret, la Commission prend acte des engagements du CNAOP à ne traiter et diffuser que des états statistiques non nominatifs.
Destinataires des données (article 7 du projet de décret)
Les destinataires des informations enregistrées sont les structures publiques ou privées visées aux articles L. 147-4, L. 147-5, L. 147-6 et L. 147-8 du code de l'action sociale et des familles.
Il s'agit des administrations, organismes, établissements auprès desquels le conseil est susceptible de recueillir des informations sur les parents de naissance pour répondre aux demandes d'accès aux origines dont il est saisi (services départementaux, organismes sociaux, organismes d'adoption, personne mandatée pour les recherches, Procureur de la République, demandeurs d'accès aux origines dans le cadre de l'information régulière qui leur est donnée quant au résultat des investigations du conseil national, etc). Le projet de décret précise que ces structures ne reçoivent du CNAOP que les informations nécessaires à l'accomplissement des missions du "destinataires" soit remplacé par l'expression "personnes publiques ou privées" au sein de l'article 7 du projet de décret.
Durée de conservation (article 9 du projet de décret)
Les données visées à l'article 4 du projet de décret sont conservées sur support informatique pendant un an à compter de la date de clôture définitive du dossier.
A l'issue de ce délai d'un an ne sont conservés dans l'application informatique que l'identité du demandeur et le numéro d'enregistrement du dossier aux seules fins d'indexation des dossiers conservés sur support papier.
La Commission considère que cette durée de conservation sur support informatique des informations nominatives visées à l'article 4 du projet de décret n'est pas excessive.
Sécurités (article 6 du projet de décret)
L'article 6 du projet dé décret prévoit que sont seuls habilités à enregistrer, traiter, conserver ou modifier les données informatiques, y compris les statistiques non nominatives, le secrétaire général et les personnels du CNAOP, dans la limite de leurs missions.
En pratique, le CNAOP assurera la sécurité des informations par la mise en oeuvre de différentes sécurités physiques (filtrage des accès au bâtiment) et logiques (filtrage des accès à l'information numérique).
La Commission prend acte des mesures de sécurité prises par le CNAOP.
Droit d'accès et de rectification, information des personnes concernées (article 8 du projet de décret)
Les demandeurs d'accès aux origines et les personnes déclarant leur identité seront avisés, par le courrier accusant réception de leur demande ou déclaration, du recueil sous forme de données informatiques des éléments communiqués par eux au titre de l'article 4 du projet de décret et de l'existence d'un droit d'accès et de rectification pouvant s'exercer auprès du secrétariat général du CNAOP.
La Commission relève tout particulièrement que l'article 8 du projet de décret souligne que le titulaire du droit d'accès ne peut accéder qu'aux informations relatives à sa demande ou déclaration, ainsi qu'à son suivi, sous réserve que l'exercice de ce droit ne porte pas atteinte à la vie privée d'autrui.
Les demandeurs et déclarants seront également avisés par le courrier accusant réception de leur demande ou déclaration que les informations enregistrées strictement nécessaires à l'accomplissement des missions du conseil seront exclusivement communiquées aux destinataires définies aux articles L. 147-4, L. 147-5, L. 147-6 et L. 147-8 du code de l'action sociale et des familles.
La Commission émet, au bénéfice de l'ensemble de ces observations, un AVIS FAVORABLE au projet de décret en Conseil d'Etat pris en application de l'article L. 147-11 du code de l'action sociale et des familles et portant création d'un traitement automatisé d'informations nominatives pour la gestion des missions du Conseil national pour l'accès aux origines personnelles.
Le Président, Michel GENTOT.