(Demande d’autorisation n° 1912768)
La Commission nationale de l'informatique et des libertés,
Saisie par la Présidence de la République française d’une demande d’autorisation concernant un traitement de données à caractère personnel ayant pour finalité d’assurer la gestion et le suivi des demandes de distinctions honorifiques ainsi que des nominations et promotions ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la légion d’honneur et de la médaille militaire ;
Vu le code de procédure pénale, notamment son article 776 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 9, 25-I-1° et 25-I-3° ;
Vu le décret n° 63-1196 du 3 décembre 1963 modifié portant création d’un ordre national du Mérite ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Philippe LEMOINE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par la Présidence de la République d’une demande d’autorisation concernant un traitement de données à caractère personnel ayant pour finalité la gestion et le suivi des demandes de distinctions honorifiques ainsi que des nominations et promotions, et la production de statistiques.
Les nominations et promotions aux ordres nationaux (Légion d’honneur et ordre national du Mérite) sont adoptées par décret du Président de la République, sur proposition ministérielle ou d’initiative citoyenne. Le présent traitement (dit « base décorations ») permet la gestion des demandes de décoration et comporte les éléments d’information collectés sur les personnes concernées afin de permettre au Président de la République de se prononcer sur les propositions de nomination et de promotion qui lui sont soumises. Dès lors, il contient des données relatives aux origines raciales ou ethniques, aux opinions politiques, philosophiques ou religieuses, ou encore à l’appartenance syndicale des personnes, ainsi que des données relatives aux infractions et condamnations.
En conséquence, ce traitement doit être autorisé par la Commission nationale de l’informatique et des libertés, conformément aux dispositions combinées des articles 8-IV et 25-I-1°, et de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée.
Sur les finalités du traitement :
Les finalités assignées au traitement « base décorations » sont la gestion et le suivi des demandes de décorations ainsi que des nominations et promotions décidées par le Président de la République, d’une part, et la production de statistiques, d’autre part.
C’est au Président de la République, grand maître des ordres nationaux, qu’il appartient d’entériner par décret les propositions de nomination et de promotion qui lui sont soumises. A cette occasion, le chef de l’Etat dispose de la possibilité de retirer des noms de la liste qu’il officialisera ensuite par décret. Pour l’aider dans sa prise de décision, il doit pouvoir disposer de l’ensemble des éléments fournis au soutien des propositions de nomination ou de promotion.
La Présidence de la République envisage par ailleurs d’utiliser certaines des données à caractère personnel traitées dans la « base décorations » en vue d’élaborer des statistiques, bien que les modalités de ces études ne soient pour l’heure pas encore définies. A cet égard, la Commission rappelle que ces statistiques ne peuvent être réalisées que sur la base de données anonymisées et qu’elles ne sauraient être utilisées pour prendre des décisions à l’égard des personnes concernées.
Sous cette réserve, les finalités du traitement « base décoration » n’appellent pas d’observation particulière au regard des dispositions de l’article 6-2° de la loi du  6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données enregistrées dans la « base décorations » concernent les personnes proposées dans les ordres nationaux et sont relatives à leur identité (nom, prénom, civilité, adresse, date et lieu de naissance), à leur situation familiale, à leur formation ainsi qu’à leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
Ces données personnelles peuvent émaner de particuliers, ou de ministères et de services préfectoraux, notamment dans le cadre de l’enquête sur l’honorabilité et la moralité du candidat prévue à l’article R. 29 du code de la légion d’honneur et de la médaille militaire. Elles peuvent également avoir été communiquées par la personne concernée par la demande elle-même. En effet, bien qu’un particulier ne puisse valablement formuler une demande de distinction honorifique pour lui-même, cette hypothèse représente 60 % des demandes reçues par la Présidence de la République.
Le traitement « base décorations » est en outre susceptible de traiter des données faisant apparaître, directement ou indirectement, des origines raciales ou ethniques,  des opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées, dès lors que les dossiers doivent exposer toute « qualité » ou tout « mérite » justifiant la proposition de nomination ou de promotion des candidats.
Dans la mesure où les personnes proposées par les ministères ou sur initiative citoyenne ne sont pas informées de la proposition faite les concernant, les services de la Présidence de la République ne peuvent recueillir leur consentement exprès afin de traiter de telles données. En outre, ces données ne sont pas nécessairement rendues publiques par la personne concernée.
Toutefois, la Commission considère que le traitement de ces données sensibles poursuit un intérêt public, au sens de l’article 8-IV de la loi du 6 janvier 1978  modifiée, et que ces données sont pertinentes pour apprécier les arguments qui sous-tendent la proposition de nomination ou de promotion. Elle rappelle néanmoins que ne devront être recueillies que les données qui s’avèrent nécessaires pour définir la « qualité » ou le « mérite » des personnes concernées, conformément aux dispositions de l’article 6-3° de la loi précitée.
Par ailleurs, la « base décorations » est également susceptible de traiter des données relatives à des infractions et à des condamnations, comme les dispositions de l’article 9-1° de la loi « Informatique et Libertés » l’autorise, car la Présidence de la République est une autorité publique agissant dans le cadre de ses attributions légales.
Les dispositions de l’article 776-1° du code de procédure pénale prévoient que le bulletin n° 2 du casier judiciaire est délivré aux préfets et aux administrations de l’Etat saisis de propositions relatives à des distinctions honorifiques.
Ainsi, le service des décorations de la Présidence de la République demande la communication de ce bulletin par voie électronique sur le site Internet du casier judiciaire réservé aux administrations. Dans l’hypothèse où le bulletin transmis comporterait des mentions, sont renseignées dans le traitement automatisé la nature de la ou des infractions ainsi que la date du ou des jugements, ces informations étant susceptibles de déterminer la décision du Président d’accorder ou non la distinction honorifique au regard de la nature et de l’antériorité des faits jugés.
La Commission considère dès lors que la collecte de ces deux types de données (nature de l’infraction, date du jugement) est conforme aux dispositions de l’article  6-3° de la loi du 6 janvier 1978 modifiée. Elle rappelle en revanche que le document support du bulletin n° 2 ne doit pas être conservé dans le fichier papier, car il comporte des informations qui ne sont pas pertinentes au regard des finalités du traitement.
Sur la durée de conservation des données :
Les données des personnes ayant été nommées ou promues seront conservées jusqu’au terme du mandat du Président de la République signataire du décret de nomination ou de promotion, ou jusqu’au terme de son second mandat en cas de réélection, ce afin notamment de pouvoir procéder à des études statistiques. Puis les dossiers seront versés aux archives, conformément aux dispositions applicables du code du patrimoine.
Les données sensibles ainsi que les données relatives aux infractions ne faisant pas l’objet de statistiques, seront pour leur part supprimées des traitements automatisé et non automatisé dans un délai de deux mois à compter de la parution du décret, cette durée correspondant au délai de recours contentieux contre le décret de nomination ou de promotion. A cet égard, seules seront conservées les données apparaissant sur le décret de nomination ou de promotion.
Les données des personnes ayant fait l’objet d’un ajournement, c’est-à-dire qui ne sont ni nommées, ni promues, seront conservées trois ans à compter de la décision du refus, dans la limite du terme du mandat du Président sauf réélection. Cette durée de conservation est motivée par la volonté d’éviter la multiplication des enquêtes d’honorabilité et de moralité portant sur une même personne dans des délais rapprochés.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement des finalités poursuivies par le responsable de traitement.
Sur les droits des personnes :
Bien qu’une part importante des demandes de décoration émanent de particuliers pour eux-mêmes, les personnes concernées par le traitement « base décorations » ne sont pas censées avoir connaissance de la proposition formulée à leur attention, et donc du traitement de leurs données personnelles, du moins tant que le décret de nomination ou de promotion n’est pas paru.
A cet égard, la Commission estime que la Présidence de la République peut se prévaloir des dispositions finales de l’article 32-III de la loi « Informatique et Libertés », qui prévoient que les obligations d’information ne s’appliquent pas lorsque les données n’ont pas été collectées directement auprès des personnes concernées et que « [l’] information [de celles-ci] se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche ».
En revanche, dans l’hypothèse où la demande de distinction émane de l’intéressé, il est prévu de lui adresser un courrier personnalisé d’information comportant toutes les mentions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée.
Enfin, les droits d’accès, de rectification et d’opposition pour motifs légitimes, prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée, s’exerceront de manière directe, auprès des services de la Présidence de la République.
Sur la sécurité des données :
Les dossiers papier sont transmis par les préfectures ou les autres administrations à la Présidence de la République par courrier simple. A cet égard, la Commission rappelle qu’il convient de mettre en place un mécanisme de transport qui puisse garantir la confidentialité des données que ces documents comportent.
Les dossiers papier sont ensuite stockés exclusivement dans les locaux du service des décorations de la Présidence de la République et seules y ont accès les personnes qui composent ce service.
Le traitement automatisé ne dispose pas d’un mécanisme de chiffrement. Toutefois, l’infrastructure du système d’information supportant ce traitement bénéficie des mesures de sécurité physique mises en œuvre par la Présidence de la République (accréditation du personnel, contrôle d’accès aux locaux, sécurité périmétrique, etc.). Ont accès au traitement automatisé, outre le personnel du service des décorations, les agents du service informatique de la Présidence de la République.
Des sauvegardes des données sont effectuées quotidiennement et les supports de stockage destinés à la destruction sont conservés dans un coffre et détruits sur site par du personnel habilité.
Le responsable de traitement a mis en place une politique de mots de passe qui exige que ceux-ci aient une longueur minimale de huit caractères et qu’ils contiennent au moins trois des quatre familles de caractères. De plus, ils doivent être renouvelés tous les six mois. Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Seules les connexions font l’objet d’une traçabilité. Cependant, le nombre réduit d’utilisateurs ne semble pas justifier une traçabilité plus détaillée des actions.
Au regard de ces éléments, la Commission estime que les mesures de sécurité décrites par la Présidence de la République sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle néanmoins que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise la Présidence de la République à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion et le suivi des demandes de distinctions honorifiques ainsi que des nominations et promotions.
La Présidente
Isabelle FALQUE-PIERROTIN