La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le décret n° 2016-1460 du 28 octobre 2016 autorisant la création d'un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d'identité ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 32 ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie par le ministère de l'intérieur, sur le fondement de l'article 32 de la loi du 6 janvier 1978 modifiée (ci-après, la loi informatique et libertés ), d'un projet de décret modifiant le décret n° 2016-1460 du 28 octobre 2016 autorisant la création d'un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d'identité.
Ce traitement, dénommé titres électroniques sécurisés (TES), a pour principale finalité l'établissement, la délivrance, le renouvellement et l'invalidation des cartes nationales d'identité et des passeports. Il permet également de prévenir et détecter la falsification et la contrefaçon de ces documents, et de lutter contre l'usurpation d'identité. Le traitement TES a pour caractéristique de regrouper, dans une base de données centralisée, l'image numérisée du visage et des empreintes digitales de deux doigts de l'ensemble des demandeurs de cartes nationales d'identité et de passeports.
La Commission rappelle que, compte tenu de la nature et du volume des données traitées, qui comprennent des données particulièrement sensibles de la quasi-totalité de la population française, des garanties substantielles doivent entourer la mise en œuvre du traitement. Ainsi, une vigilance particulière s'impose eu égard à toute modification du traitement soumise pour avis à la Commission.
Le traitement TES a récemment fait l'objet de modifications, sur lesquelles la Commission s'est prononcée par sa délibération n° 2021-022 du 11 février 2021. A cette occasion, la Commission a émis des observations sur l'ajout d'une nouvelle finalité de lutte contre l'usurpation d'identité, les durées de conservation, la possibilité pour les usagers de solliciter la suppression de l'image numérisée de leurs empreintes digitales, la mise en relation de TES avec d'autres traitements, et les mesures de sécurité.
Par le présent projet, le ministère entend apporter une modification au traitement pour pallier les difficultés auxquelles sont confrontés les usagers en raison de l'absence d'anticipation de l'arrivée à échéance de leur titre. Dans ce contexte, le projet de décret soumis pour avis à la Commission modifie l'article 2 du décret n° 2016-1460 pour permettre l'utilisation des coordonnées téléphoniques (numéro de téléphone) de l'usager afin de transmettre à ce dernier l'information relative à l'expiration prochaine de son titre.
Si cette modification ne soulève pas de difficulté majeure à l'aune de la règlementation relative à la protection des données à caractère personnel, la Commission émet toutefois quelques observations sur :
d'une part, l'efficacité de l'utilisation du numéro de téléphone pour répondre à l'objectif poursuivi et les modalités concrètes d'utilisation de cette donnée à caractère personnel ;
d'autre part, certaines caractéristiques du traitement sur lesquelles la Commission s'est prononcée dans sa délibération n° 2021-022 du 11 février 2021 précitée.
Sur les usages projetés des coordonnées téléphoniques du demandeur
L'article 2 du décret n° 2016-1460 relatif au traitement TES permet, dans sa version en vigueur, l'enregistrement de l'adresse de messagerie électronique et des coordonnées téléphoniques du demandeur de titre d'identité pour que ce dernier puisse, lorsqu'il le souhaite,
être informé par ce moyen de la disponibilité de son titre
toute information relative à son titre
Ainsi, la modification projetée a pour seul objet d'étendre le périmètre des informations pouvant être transmises au demandeur, et n'entraine donc pas l'enregistrement de données supplémentaires. En outre, l'utilisation des coordonnées du demandeur reste subordonnée au souhait, exprimé par ce dernier, de recevoir une information par ce moyen.
En premier lieu,
toute information relative à son titre
Au regard des précisions apportées par le ministère, la Commission prend acte de ce que la modification projetée vise à permettre l'utilisation du numéro de téléphone pour informer, par SMS, le demandeur de l'expiration prochaine de son titre, six mois avant la date de fin de validité de celui-ci. Cette utilisation des coordonnées téléphoniques s'ajouterait à l'usage qui en est actuellement fait pour transmettre, par SMS également, l'information relative à la disponibilité du titre.
En deuxième lieu,
A cet égard, la Commission prend acte de ce que l'information communiquée par SMS ne sera pas nominative et ne contiendra pas de données à caractère personnel.
Elle s'interroge toutefois sur l'efficacité de l'utilisation du numéro de téléphone du demandeur pour répondre au besoin exprimé. Au regard de l'intervalle de temps séparant le recueil de l'utilisation de cette donnée, et en l'absence de mise à jour des coordonnées des personnes inscrites dans le traitement, il n'est pas garanti que les personnes concernées reçoivent l'information relative à l'expiration de leur titre. Sous cet angle, l'utilisation projetée du numéro de téléphone ne saurait répondre efficacement à l'objectif visé par le ministère.
Au regard de cette observation, la Commission considère que des moyens alternatifs ou complémentaires devraient être mobilisés pour répondre, plus efficacement et dans le strict respect des principes relatifs à la protection des données à caractère personnel, au besoin exprimé. Ainsi, elle accueille favorablement le projet complémentaire de déployer des campagnes d'information visant à inciter les usagers à vérifier eux-mêmes la date de fin de validité de leur titre.
En dernier lieu,
Sur les autres caractéristiques du traitement
Au-delà de l'évolution prévue par le projet de décret, l'AIPD a été complétée pour notamment apporter des précisions sur les durées de conservation. Elle ne fait toutefois pas état d'évolutions du traitement qui permettraient de prendre en compte certaines recommandations formulées dans la délibération n° 2021-022 précitée.
En premier lieu,
L'AIPD relative au traitement TES a été modifiée pour notamment préciser que l'usager est informé de cette possibilité au moment de sa demande de carte nationale d'identité et que la demande de non-conservation des données à l'issue du délai de quatre-vingt-dix jours se fait sur un formulaire dédié.
A cet égard, la Commission rappelle avoir observé, dans sa délibération n° 2021-022 du 11 février 2021, que :
l'information devra être délivrée aux personnes concernées conformément aux exigences de l'article 12 du règlement général sur la protection des données (RGPD) ;
le formulaire spécifique proposé au demandeur devra comporter des mentions relatives à la réglementation applicable en matière de protection des données à caractère personnel ;
la suppression de l'image numérisée des empreintes digitales à l'issue du délai de quatre-vingt-dix jours, lorsque la personne concernée en a fait la demande, devrait être effectuée de manière automatisée.
S'agissant de l'information des personnes concernées, la Commission souligne la nécessité de garantir une sensibilisation forte des agents municipaux chargés de recueillir les demandes de cartes nationales d'identité, qui devrait porter sur la mise en œuvre des dispositions relatives à la possibilité de s'opposer à la conservation de l'image numérisée des empreintes digitales dans les conditions précitées et sur l'information afférente des personnes concernées. Tout en prenant acte des précisions apportées sur les différents moyens déployés pour assurer l'information des usagers, la Commission recommande que les agents municipaux soient particulièrement sensibilisés à l'importance de fournir verbalement aux personnes concernées, lors de la demande de carte nationale d'identité, une information concise et aisément compréhensible.
S'agissant des modalités de suppression de l'image numérisée des empreintes digitales, la Commission observe qu'une solution manuelle est actuellement en place et qu'aucune évolution n'est, dans l'immédiat, prévue par le ministère. Tout en prenant acte des mesures mises en œuvre pour éviter une conservation des données pertinentes au-delà du délai de quatre-vingt-dix jours, la Commission estime que la solution manuelle actuellement retenue ne devrait être que transitoire et qu'un procédé automatisé de suppression des données devrait être mis en place.
En second lieu,
Or la Commission rappelle avoir souligné, dans sa délibération n° 2021-022 précitée, que de tels transferts ne peuvent être opérés que sous réserve du respect des conditions énoncées aux articles 45 et suivants du RGPD. En l'absence de décision d'adéquation adoptée par la Commission européenne, ces transferts ne peuvent être réalisés que sous réserve que des garanties appropriées soient mises en œuvre conformément à l'article 46 du RGPD, en prenant en compte les circonstances du transfert ainsi que les recommandations du comité européen de la protection des données sur les mesures qui complètent les outils de transfert pour garantir le respect du niveau de protection des données à caractère personnel de l'UE.
La Commission invite le ministère à se conformer aux exigences du RGPD, et rappelle qu'elle ne manquera pas de faire usage, le cas échéant, de ses pouvoirs de contrôle en application de l'article 19 de la loi informatique et libertés.
La présidente,
M.-L. Denis