La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de la transformation et de la fonction publiques (direction interministérielle du numérique) d'une demande d'avis concernant un projet de décret relatif aux échanges d'informations et de données entre administrations dans le cadre de démarches administratives ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code des relations entre le public et l'administration ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2018-357 du 13 décembre 2018 portant avis sur un projet de décret en Conseil d'Etat relatif aux échanges d'informations et de données entre administrations dans le cadre de démarches administratives et à l'expérimentation prévue par l'article 40 de la loi n° 2018-727 du 10 août 2018 pour un Etat au service d'une société de confiance ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Émet l’avis suivant :
Le projet de décret, soumis pour examen de la Commission nationale de l’informatique et des libertés (ci-après la Commission) en application des dispositions de l’article L. 114-9 du code des relations entre le public et l’administration (CRPA), vise à élargir la liste des administrations auprès desquelles une demande de communication peut être effectuée dans le cadre du traitement par une autre administration d’une demande présentée par le public ou d’une déclaration transmise par celui-ci en application d'un texte législatif ou réglementaire conformément à l’article L. 114-8 du CRPA d’une part, et le périmètre des démarches administratives pouvant faire l’objet d’un échange d’informations, d’autre part.
La Commission rappelle qu’elle s’est déjà prononcée sur les modalités d’échanges d’informations ou de données entre administrations dans le cadre de sa délibération n°2018-357 du 13 décembre 2018 susvisée.
L’alinéa 1 de l’article 1

- au ministère de l’éducation nationale, au ministère de l’enseignement supérieur et de la recherche ou aux organismes publics chargés de la délivrance de diplômes, titres et qualifications ou de leur reconnaissance, des informations relatives à la situation de la personne scolarisée ;
- à Pôle emploi, des informations relatives à la situation de demandeur d’emploi ;
- aux organismes de protection sociale, des informations relatives à la situation de la famille ;
- à la direction du service national et de la jeunesse, des informations relatives à la situation d’une personne au regard des obligations prévues à l’article L. 111-2 du code du service national ;
- au service du casier judiciaire national, des informations relatives à la mention du bulletin n°2 du casier judiciaire ;
- aux organismes publics chargés de leur délivrance ou de leur reconnaissance, des informations relatives aux diplômes, titres et qualifications professionnelles.
S’agissant de la demande de communication pouvant être effectuée au service du casier judiciaire national, la Commission prend acte de ce que celle-ci se fera dans le respect des dispositions spécifiques prévues par le code de procédure pénale.
L’alinéa 2 de l’article précité prévoit en outre de remplacer le 3° de l’article R. 114- 9- 3 du CRPA par
3° Droits sociaux, revenus et prestations, aux organismes de protection sociale et aux organismes mentionnés au premier alinéa de l’article L. 133-5 du code de la sécurité sociale
Si l’élargissement projeté aux services et organismes précités n’appelle pas d’observation particulière, la Commission rappelle toutefois que la mise en œuvre d’échanges de données entre administrations doit demeurer limitée aux données strictement nécessaires et doit garantir le respect des droits des personnes ainsi que la sécurité de leurs données.
Par ailleurs, l’article 2 du projet de décret prévoit le remplacement au 5° de l’article R. 114-9-4 du CRPA du mot

citoyenneté
Enfin, la Commission relève que les mesures de sécurité, notamment le respect du référentiel général de sécurité, la mise en place de profils d’habilitation pour accéder aux données et d’un système de journalisation des accès, telles que prévues aux articles R. 114-9-5 à R. 114-9-7 du CRPA, restent inchangées.
La Présidente
Marie-Laure DENIS