La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n°2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n°2007-284 du 2 mars 2007 fixant les modalités d'élaboration, d'approbation, de modification et de publication du référentiel général d'interopérabilité ;
Vu l'arrêté du 9 novembre 2009 portant approbation du référentiel général d'interopérabilité ;
Vu l'arrêté du 6 mai 2010 portant approbation du référentiel général de sécurité et précisant les modalités de mise en œuvre de la procédure de validation des certificats électroniques ;
Vu la délibération n°2011-143 du 12 mai 2011 portant homologation du téléservice de dépôt de plaintes en ligne de la Commission nationale de l'informatique et des libertés ;
Vu le référentiel général d'interopérabilité, version 1.0 du 12 mai 2009, de la Direction générale de la modernisation de l'État du ministère du Budget, des comptes publics et de la de la fonction publique ;
Vu le référentiel général de sécurité, version 1.0 du 6 mai 2010, de l'Agence nationale de la sécurité des systèmes d'information et de la Direction générale de la modernisation de l'État du ministère du Budget, des comptes publics et de la réforme de l'État ;
Sur la proposition de M. Emmanuel de Givry, vice-président, et après avoir entendu les observations de Mme Elisabeth Rolin, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le téléservice de dépôt de plaintes en ligne
L'article 11 c) de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée dispose que la Commission reçoit les
plaintes relatives à la mise en œuvre des traitements de données à caractère personnel et informe leurs auteurs des suites données à celles-ci
Le 15 juin 2010, la Commission a mis en ligne un téléservice permettant aux usagers de lui adresser leurs plaintes à partir de son site Internet. À titre d'expérimentation, il ne concerne que les personnes qui ont demandé sans succès à ne plus recevoir de publicités (radiation d'un fichier de prospection) et celles qui n'ont pas pu exercer leur droit d'accès.
Ce téléservice permet tout d'abord aux internautes d'être informés et orientés selon leur situation. Il leur permet également de saisir des éléments de plainte (sur l'internaute, sur l'organisme qui détient le fichier, et sur les démarches qui ont été entreprises) et d'envoyer des pièces jointes à l'aide d'un formulaire prévu à cet effet. Une fois la saisie réalisée, un accusé de réception leur est envoyé de manière automatique. Au-delà du téléservice, la plainte est ensuite qualifiée et instruite par les services de la Commission par le processus traditionnel.
Sur le référentiel général de sécurité
Le référentiel général de sécurité (RGS), prévu par l'article 9 de l'ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, et approuvé par l'arrêté du 6 mai 2010, a été élaboré conjointement par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) et par la Direction générale de la modernisation de l'État (DGME) du ministère du Budget, des comptes publics et de la réforme de l'État. Il contient un ensemble de règles et de recommandations applicables aux téléservices des administrations.
La conformité au référentiel général de sécurité se traduit par l'application d'une part des règles relatives au cadre pour gérer la sécurité des systèmes d'information, et d'autre part des règles relatives aux fonctions de sécurité mises en œuvre.
Conformément à l'article 14 de l'ordonnance n°2005-1516 du 8 décembre 2005, la conformité du téléservice de dépôt des plaintes en ligne a été assurée avant le 18 mai 2011.
Sur les mesures de sécurité
Afin d'assurer la mise en conformité à l'ordonnance n°2005-1516 du 8 décembre 2005, le téléservice de dépôt des plaintes en ligne de la Commission a fait l'objet d'une étude des risques de sécurité des systèmes d'information.
L'étude des risques a permis d'identifier les biens à protéger, les menaces et les objectifs de sécurité pour se protéger de manière proportionnée face aux risques. Les fonctions de sécurité et leur niveau ont été déduits, et les règles du référentiel général de sécurité afférentes à la fonction d'authentification d'un serveur ont été prises en considération.
La Commission note que le flux de données circulant entre le formulaire et le serveur web de la Commission est chiffré à l'aide d'un certificat électronique permettant d'authentifier le serveur (utilisation du protocole HTTPS). Par ailleurs, les données saisies sont vérifiées, les formats et le volume des pièces jointes sont limités, le réseau est cloisonné par rapport au réseau interne de la Commission, les accès sont contrôlés, les données sont sauvegardées et des traces journalisées. Un ensemble de mesures sur l'organisation, les locaux, les matériels, les logiciels et les réseaux, complète le dispositif de sécurité existant et des mesures complémentaires ont été déterminées pour l'améliorer.
En outre, la décision créant le téléservice et ses modalités d'utilisation sont rendues accessibles depuis le téléservice, la décision d'homologation a fait l'objet d'une information sur le site Internet de la Commission, un fournisseur de certificat électronique a été choisi dans la liste des prestataires référencés au sens de l'ordonnance n°2005-1516 du 8 décembre 2005, la protection de la confidentialité et de l'intégrité de la clé privée qu'il aura délivrée pour authentifier le serveur de la Commission est assurée, et le certificat électronique correspondant a été fourni à l'Agence nationale de la sécurité des systèmes d'information et validé.
Un plan d'action a également été établi afin de mettre en œuvre un ensemble de mesures complémentaires, destinées à réduire encore les risques identifiés.
Enfin, la Commission prend acte que l'ensemble des exigences du référentiel général d'interopérabilité sont respectées.
Dans ces conditions, la Commission :
• s'engage à mettre en place les mesures prévues et à en assurer le suivi afin de garantir la conformité au référentiel général de sécurité.
• prononce, conformément à la présente délibération, l'homologation du téléservice de dépôt de plaintes en ligne pour une durée de trois ans.
La Présidente
Isabelle FALQUE-PIERROTIN