La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret modifiant le décret n° 2017-1224 du 3 août 2017 portant création d’un traitement automatisé de données à caractère personnel dénommé Automatisation de la consultation centralisée de renseignements et de données (ACCReD) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 31-II et 33 ;
Vu la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité

n° 2018-778 du 10 septembre 2018 pour une immigration maîtrisée, un droit d'asile effectif et une intégration réussie et notamment son article 5 ;
Vu le décret n° 2017-588 du 20 avril 2017 modifié portant création d’un service à compétence nationale dénommé Commandement spécialisé pour la sécurité nationale ;
Vu le décret n° 2017-668 du 27 avril 2017 modifié portant création d’un service à compétence nationale dénommé service national des enquêtes administratives de sécurité ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78- 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibé
ration n° 2017-152 du 18 mai 2017 portant avis sur un projet de déc
Après avoir entendu Mme Sophie LAMBREMON, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie pour avis par le ministre de l’intérieur d’un projet de décret modifiant le décret n° 2017-1224 du 3 août 2017 portant création d’un traitement automatisé de données à caractère personnel dénommé Automatisation de la consultation centralisée de renseignements et de données (ACCReD).
Ce traitement, sur lequel la Commission s’est déjà prononcée dans son avis
n° 2017-152 du 18 mai 2017 susvisé, a pour objet de faciliter la réalisation d’enquêtes administratives en permettant la consultation automatique de traitements de données à caractère personnel relevant du titre III de la loi du 6 janvier 1978 modifiée transposant la directive (UE) 2016/680 du 27 avril 2016 susvisée (ci-après la directive ), ainsi que l’interrogation de traitements intéressant la sûreté de l’Etat et relevant, dès lors, de l’article 31 de cette même loi. Il doit également permettre la centralisation des informations recueillies dans le cadre de ces enquêtes.
La Commission relève que le traitement ACCReD , mis en œuvre à des fins de protection et de prévention contre les menaces pour la sécurité publique au sens de la directive précitée, intéresse également en partie la sûreté de l’Etat. Elle rappelle qu’il résulte de l’évolution du cadre juridique relatif à la protection des données à caractère personnel que les dispositions applicables au traitement des données figurant au sein de ce dispositif et intéressant la sûreté de l’Etat, sont exclues du champ d’application de la directive 2016/680 et relèvent spécifiquement des articles 1 à 41 et 115 à 124 de la loi du 6 janvier 1978 modifiée. Enfin, dans la mesure où des données mentionnées au I de l’article 6 de cette même loi sont susceptibles d’être enregistrées, la modification du traitement ACCReD doit faire l’objet d’un décret en Conseil d’Etat, pris après avis motivé et publié de la Commission conformément à ses articles 31-II et 89.
Rappel sur le traitement ACCReD et présentation des principales modifications envisagées
De manière générale, la Commission observe que ces dernières années ont été marquées par la mise en œuvre successive de nouveaux dispositifs d’enquêtes administratives témoignant d’un élargissement significatif du champ d’intervention de ces dernières. Elle rappelle qu’une vigilance particulière s’impose s’agissant de ces dispositifs qui visent à renforcer les contrôles opérés notamment pour prévenir la réalisation d’attentats terroristes ou d’actes susceptibles de porter atteinte à la sûreté de l’Etat. La Commission estime en effet que la réalisation d’enquêtes administratives doit s’accompagner de garanties fortes pour s’assurer que les enquêtes ainsi réalisées, qui conduisent au traitement de données particulièrement sensibles sur un nombre de plus en plus important de personnes, ne portent pas d’atteintes excessives au droit au respect de la vie privée des intéressés.
Dans ce contexte, la Commission rappelle que la création du traitement ACCReD , qui constitue un outil d’aide à la réalisation d’enquêtes administratives, s’inscrit dans le cadre de l’adoption de nouveaux dispositifs législatifs imposant la réalisation de ces enquêtes afin de conditionner par exemple l’accès à certains emplois ou sites sensibles.
Ce dispositif, qui s’inscrit dans un contexte plus général de facilitation et d’accélération du traitement de la volumétrie croissante des enquêtes administratives, est mis en œuvre par la direction générale de la police nationale (DGPN) et la direction générale de la gendarmerie nationale (DGGN) du ministère de l’intérieur, auxquelles sont rattachés le Service national des enquêtes administratives de sécurité (SNEAS), créé par le décret n° 2017-668 du 27 avril 2017 susvisé et le Commandement spécialisé pour la sécurité nucléaire (CoSSeN), créé par le décret
n° 2017-588 du 20 avril 2017 susvisé, qui sont les services à compétence nationale en charge de la réalisation de certaines de ces enquêtes.
La Commission relève que la présente saisine vise principalement à tenir compte de l’évolution des missions confiées au SNEAS qui, au regard des précisions apportées par le ministère, a vocation à devenir le service interministériel chargé de la réalisation de certaines enquêtes administratives, dans un objectif de simplification, de rationalisation et d’homogénéisation des procédures. Dans ce contexte, elle observe que le périmètre des enquêtes ayant vocation à relever du traitement ACCReD est élargi, notamment aux fins d’ajout de
l'instruction des demandes d'acquisition de la nationalité française, ainsi que pour la délivrance et le renouvellement des titres relatifs à l'entrée et au séjour des étrangers
Ces éléments généraux rappelés, le projet de décret appelle les observations suivantes.
Sur les finalités et le périmètre du traitement
En premier lieu
finalité de
faciliter la réalisation d'enquêtes administratives en application des articles



du code de la sécurité intérieure et d'exploiter les informations recueillies dans ce cadre

A titre liminaire, la Commission relève que l’article 5 de la loi n° 2018-778 du 10 septembre 2018 susvisée, a modifié l’article L. 114-1 du code de la sécurité intérieure (CSI), afin de prévoir qu’il
peut être procédé à des enquêtes administratives dans les conditions prévues au second alinéa du I du présent article pour la délivrance, le renouvellement ou le retrait d'un titre ou d'une autorisation de séjour sur le fondement des articles L. 121-4, L. 122-1, L. 311-12, L. 313-3, L. 314-3 et L. 316-1-1 du code de l'entrée et du séjour des étrangers et du droit d'asile
ou des stipulations équivalentes des conventions internationales ainsi que pour l'application des articles L. 411-6, L. 711-6, L. 712-2 et L. 712-3 du même code
La Commission souligne par ailleurs que les missions du SNEAS telles que mentionnées au sein du décret n° 2017-668 du 27 avril 2017 susvisé ont été modifiées par le décret n° 2017-1594 du 10 septembre 2018. Il est désormais prévu que le SNEAS puisse réaliser les enquêtes administratives visant à estimer si
le comportement de personnes physiques ou morales n'est pas incompatible avec (…) l'utilisation de matériels ou produits présentant un caractère dangereux

Sans se prononcer sur les raisons ayant conduit à de telles évolutions, la Commission estime indispensable que le périmètre du dispositif soit strictement encadré. Elle rappelle en effet que les enquêtes visées à l’article L. 114-1 du CSI conditionnent l’adoption de décisions administratives nombreuses, très diverses et ne présentant pas toutes le même degré de sensibilité. La Commission rappelle également que la consultation de traitements particulièrement sensibles intéressant la sûreté de l’Etat doit être réservée aux enquêtes préalables à certaines décisions, compte tenu de leur objet spécifique.
Dans ce contexte, et compte tenu de l’extension constante du périmètre des enquêtes administratives, et par voie de conséquence du traitement ACCReD , la Commission souligne que si le décret du 3 aout 2017 précité fait effectivement référence aux enquêtes prévues aux articles L. 114-1, L. 114-2 et L. 211-11-1 du CSI, aucune précision quant au champ du dispositif n’est apportée par le présent projet de décret, s’agissant en particulier des enquêtes précisément visées dans ce cadre.
Elle relève par ailleurs qu’il résulte des précisions apportées par le ministère qu’en qualité de service à compétence nationale, le SNEAS pourrait être investi - à terme - de la réalisation d’autres enquêtes administratives relevant de l’article L. 114-1 du CSI, sans qu’aucune limitation de ce périmètre ne soit précisément définie.
Dans ces conditions, la Commission estime indispensable que des précisions soient apportées sur le périmètre de mise en œuvre du traitement ACCReD et ce, notamment afin d’assurer la transparence du dispositif mis en œuvre. Elle demande dès lors que le projet de décret soit précisé en ce sens.
En second lieu

Cette disposition précise qu’il peut être
procédé à la consultation prévue à
l'article L. 234-1 du code de la sécurité intérieure
pour l'instruction des demandes d'acquisition de la nationalité française et de délivrance et de renouvellement des titres relatifs à l'entrée et au séjour des étrangers ainsi que pour la nomination et la promotion dans les ordres nationaux

La Commission relève que la réalisation de ces enquêtes, qui sera confiée au SNEAS (à l’exception de la nomination et de la promotion dans les ordres nationaux), est actuellement partagée entre les services préfectoraux et les services de la police et de la gendarmerie nationales. Elle relève également que l’article 2 du décret n° 2017- 668 susvisé, qui fixe le champ de compétence du SNEAS, prévoit que les enquêtes administratives qu’il est amené à réaliser sont destinées à vérifier
que le comportement de personnes physiques ou morales n'est pas incompatible avec l'autorisation d'accès à des sites sensibles ou l'exercice de missions ou fonctions sensibles dont elles sont titulaires ou auxquelles elles prétendent, ou avec l'utilisation de matériels ou produits présentant un caractère dangereux

La Commission observe dès lors que le SNEAS n’a actuellement pas pour mission de réaliser des enquêtes administratives relatives à l’instruction des demandes d’acquisition de la nationalité française ainsi qu’à la délivrance et au renouvellement des titres relatifs au droit de séjour des étrangers d’une part ainsi qu’aux demandes d’asile et à la protection subsidiaire d’autre part.
Sans remettre en cause la légitimité pour ce service de réaliser des enquêtes administratives dans ce cadre, elle estime- en tout état de cause - que les dispositions du décret du 27 avril 2017 précité devraient être modifiées afin de prévoir expressément de confier ces missions au SNEAS, et ce, avant de permettre à ce service spécialisé de diligenter les enquêtes ainsi visées. A cet égard, la Commission prend acte de l’engagement du ministère de modifier le décret précité avant la mise en œuvre effective d’une telle possibilité.
Sur les données collectées
L’article 2 du projet de décret prévoit que pourra faire l’objet d’un enregistrement dans le traitement ACCReD ,
le document de synthèse des éléments pertinents issus de l’enquête
A cet égard, la Commission prend acte des précisions apportées par le ministère selon lesquelles ce document a vocation à contenir les
éléments pertinents issus de l’analyse opérée par le SNEAS et le CoSSeN suite à l’interrogation des fichiers et aux vérifications complémentaires diligentées sans qu’ils n’indiquent leur avis
Si la production d’un tel document n’appelle pas d’observation particulière au regard des finalités poursuivies par le traitement, la Commission est particulièrement réservée quant à sa communication à des agents autres que ceux appartenant aux deux services spécialisés précités, compte tenu des données qu’il est susceptible de contenir,
a fortiori
Sur les mises en relation projetées
La Commission relève que l’article 5 du projet de décret prévoit que le système informatique national N-SIS II pourra être consulté de manière automatique par le traitement ACCReD afin de vérifier si l’identité de la personne concernée y est enregistrée. Il est également prévu que le traitement SIREX ainsi que le fichier de la DGSE soient mis en relation et interrogés par les personnes pouvant accéder au traitement ACCReD , conformément à l’article 5 du décret n° 2017-1224 susvisé.
A titre liminaire, en ce qui concerne les mises en relation avec d’autres traitements de données à caractère personnel, la Commission rappelle – de manière générale – qu’il importe de s’assurer que seuls les traitements comportant des données pertinentes, adéquates et nécessaires au regard de l’objet et des enjeux spécifiques de l’enquête administrative réalisée soient consultés. De la même manière, elle estime qu’une attention particulière doit être portée aux traitements pouvant faire l’objet d’une consultation automatisée systématique.
S’agissant des traitements N-SIS II et du fichier de la DGSE , la Commission prend acte des précisions du ministère selon lesquelles la consultation de ces traitements doit
permettre d’obtenir des informations sur les personnes de nationalité étrangère et susceptibles de constituer dans leur pays une menace pour la sécurité publique ou la sûreté de l’Etat
En ce qui concerne le fichier SIREX , la consultation envisagée présente, selon le ministère, un intérêt s’agissant d’anciens militaires dont le comportement a été considéré comme incompatible avec leurs missions au sein du ministère des armées et qui sont susceptibles de postuler à des emplois de policier, gendarme, policier municipal ou agent de l’administration pénitentiaire.
Sans remettre en cause la nécessité de consulter ou d’interroger les traitements ainsi visés, la Commission rappelle que, compte tenu du caractère particulièrement sensible de certains de ces traitements et des enjeux importants pour les personnes concernées résultant de cette interrogation, des garanties particulières devront être mises en œuvre pour que l’automatisation de ces consultations ne conduise pas à ce que des avis ou des décisions résultent de la seule inscription d’une personne dans un traitement de données à caractère personnel. A cet égard, elle prend acte que des vérifications complémentaires seront réalisées par les services d’enquête en cas de réponse positive (

Si la Commission regrette vivement que le ministère n’entende pas modifier les actes réglementaires encadrant ces fichiers afin de mentionner explicitement qu’ils peuvent faire l’objet d’une interrogation par le traitement ACCReD , elle prend acte que le ministère des armées, en sa qualité de responsable des traitements SIREX et du fichier de la DGSE procèdera à une modification des actes les encadrant afin de rendre le SNEAS et le CoSSeN destinataires des informations qui y sont enregistrées. La Commission rappelle toutefois que dans l’attente de la modification des actes réglementaires relatifs à ces deux traitements, qui devra faire l’objet d’un avis préalable de la CNIL, une telle consultation ne pourra être mise en œuvre.
Enfin, la Commission relève que le ministère a précisé que le traitement ACCReD fait l’objet d’une mise en relation avec le système de traitement informatisé des titres de circulation et des habilitations (STITCH) ayant pour finalité l’instruction des demandes et la gestion des habilitations, nationales et individuelles permettant aux personnels d’accéder aux zones aéroportuaires sensibles ainsi qu’avec l’
application de gestion du répertoire informatisé des propriétaires et possesseurs d'armes (AGRIPPA)
une liste d’identités
De manière générale, la Commission rappelle qu’elle devra être saisie de toute modification relative aux caractéristiques essentielles des traitements concernés, qui résulterait des évolutions apportées au dispositif ACCReD , dans les conditions prévues à l’article 33 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
L’article 3 du projet de décret prévoit que les
agents des services, chargés d’effectuer des enquêtes administratives mentionnées à l’article 1

La Commission rappelle tout d’abord que, dès la création du traitement ACCReD en 2017, elle s’était interrogé sur la pertinence de la communication d’informations enregistrées dans le traitement à ces agents, au regard des finalités poursuivies par le traitement. Par ailleurs, elle relève que, lorsqu’elle a été saisie de la création du dispositif, seul le sens de l’avis devant permettre de fournir un élément d’analyse complémentaire aux services chargés d’effectuer une enquête administrative avait vocation à être communiqué à ces agents.
Si la Commission relève que le projet de décret vise à préciser que sont ainsi concernés les agents chargés d’effectuer une des enquêtes administratives mentionnées à l’article 1

L’article 3 du projet de décret prévoit que le document de synthèse pourra être transmis à ces agents dans ce cadre. Dans la mesure où ce document a vocation à contenir un certain nombre d’informations, pour certaines sensibles, résultant de la consultation, de l’interrogation et des analyses réalisées par les services spécialisés, la Commission considère que la nécessité pour ces personnes d’accéder aux données visées par l’article 3 du projet de décret n’est pas suffisamment justifiée.
Sur les droits des personnes concernées
L’article 6 du projet de décret prévoit que
le droit d’opposition ne s’applique pas au présent traitement
conformément aux articles 104 à 106 de la loi du 6 janvier 1978 modifiée, les droits d’information, d’accès, de rectification et d’effacement des données mentionnées à l’article 2 s’exercent auprès du ministère
La Commission relève que ces droits peuvent faire l’objet de restrictions, afin d’éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires, ou de protéger la sécurité publique et la sécurité nationale, en application des 2° et 3° du II et III de l’article 107 de la loi du 6 janvier 1978 modifiée. Compte tenu de la finalité du traitement, la limitation de ces droits, qui s’exercent dans cette hypothèse auprès de la Commission dans les conditions prévues à l’article 108 de la même loi, n’appelle pas d’observation particulière.
Elle relève toutefois que, dans le cadre du renforcement du dispositif de sécurisation des zones aéroportuaires, les personnels disposant d’une habilitation d’accès aux zones d’accès restreint des aéroports pourront faire l’objet d’une enquête administrative à échéance régulière. Si la Commission relève que ce dispositif n’est pas encore mis en œuvre au sein du traitement ACCReD , elle précise d’ores-et-déjà qu’une information particulière devra être fournie aux personnes concernées dans cette hypothèse.
Enfin, le projet de décret prévoit que, par dérogation, les droits d’accès, de rectification et d’effacement des données enregistrées dans le traitement et intéressant la sûreté de l’Etat s’exercent auprès de la Commission, dans les conditions prévues à l’article 118 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
En premier lieu
Elle s’interroge toutefois sur la nécessité de conserver, après analyse, les données en base active. En effet, une conservation en archive intermédiaire (c.-à-d. en conditionnant l’accès aux données par une décision hiérarchique) semblerait plus adéquate. En tout état de cause, la Commission rappelle la nécessité d’une analyse automatique et dans des délais courts des traces, afin de détecter les comportements anormaux.
En deuxième lieu
En troisième lieu,
Concernant l’évaluation de la vraisemblance du risque, elle s’interroge sur le choix d’échelle du ministère, qui considère comme ayant une vraisemblance limitée un risque qui ne s’est pas produit dans les trois dernières années. Elle considère que l’évaluation ainsi réalisée ne permet pas de se prémunir contre l’ensemble des potentielles attaques liées par exemple aux évolutions du traitement.
S’agissant du niveau de gravité lié au risque de perte de confidentialité, la Commission relève qu’il semble sous-estimé compte tenu de la nature des données enregistrées dans le fichier ACCReD et de leur impact potentiellement grave sur les personnes concernées.
En ce qui concerne le niveau de risque d’une modification non désirée des données, elle s’interroge sur le caractère suffisant des justifications transmises par le ministère afin de considérer que la vraisemblance du risque sur l’intégrité est négligeable.
Enfin, la Commission rappelle la nécessaire mise en œuvre de solutions de sécurité et de protection des données, en cohérence avec la couverture des risques, sur toute la chaîne de valeur de la donnée. En conséquence, les sous-traitants et/ou prestataires devront également prendre en compte ces besoins et couvrir les risques au regard des données traitées.
Compte tenu de ce qui précède, la Commission s’interroge sur l’évaluation des risques réalisée par le ministère ainsi que sur les mesures mises en œuvre, au regard des obligations incombant au responsable de traitement conformément aux exigences de sécurité prévues aux articles 99 et 121 de la loi du 6 janvier 1978 modifiée.
Elle rappelle que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. À cet égard, la Commission rappelle qu’il conviendra d’apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour de l’analyse d’impact.
La Présidente
M-L. DENIS