La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la défense d'une demande d'avis concernant un projet de décret portant application de l' article L. 4123-9-1 du code de la défense ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu le  code de la défense, notamment son article L. 4123-9-1 ; Vu le  code pénal, notamment ses articles 226-16 et 226-17-1 ;
Vu le  code de procédure pénale, notamment son article 230-6 ;
Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (4°, a) ;
Vu la  loi n° 2016-731 du 3 juin 2016  renforçant la lutte contre le crime organisé, le terrorisme et leur  financement, et améliorant l'efficacité et les garanties de la procédure  pénale, notamment son article 117 ;
Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son  rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses  observations,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis d'un projet de décret portant application de l' article L. 4123-9-1 du code de la défense.
L' article L. 4123-9-1 du code de la défense, qui porte sur la protection des données à caractère personnel relatives à des militaires, a été créé par l' article 117 de la loi n° 2016-731 du 3 juin 2016 susvisée.  Il vise à définir des formalités spécifiques et à imposer le respect de  prescriptions techniques particulières pour les traitements,  automatisés ou non, dont la finalité  est fondée sur la qualité de  militaire des personnes qui y figurent . Il exprime ainsi le souhait du  législateur de renforcer la sécurité des données à caractère personnel  relatives à des militaires ce qui, au regard des risques particuliers  pesant sur ces derniers et leur famille dans le contexte actuel,  apparaît légitime à la commission.
Néanmoins, la commission souligne qu'elle n'a pas été consultée sur  ces dispositions, alors même que les nouvelles procédures instituées  affectent directement ses compétences et les conditions d'exercice de  ses missions. Elle le regrette d'autant plus au vu du caractère complexe  et inédit du dispositif défini par le législateur.
L' article L. 4123-9-1 du code de la défense  prévoit toutefois que ses modalités d'application sont définies par un  décret en Conseil d'Etat, pris après avis de la Commission nationale de  l'informatique et des libertés. Cet avis, en application de l'article 11  (4°, a) de la loi du 6 janvier 1978 modifiée, devra être publié.
Dans ce contexte, le présent projet de décret, qui vise à insérer  dans le code de la défense les articles R. 4123-37-1 à R. 4123-37-7,  appelle les observations suivantes de la commission.
Sur la définition des traitements dont la finalité est fondée sur la qualité de militaire des personnes
L' article L. 4123-9-1 du code de la défense  concerne l'ensemble des traitements, automatisés ou non,  dont la  finalité est fondée sur la qualité de militaire des personnes qui y  figurent .
Le projet de décret précise que les traitements concernés sont ceux  qui  dans la mesure où leur finalité l'exige, collectent ou traitent,  d'une part, des données professionnelles qui sont propres aux militaires  comme notamment leur profession, leur grade, l'identification de leur  employeur ou leur adresse professionnelle, et, d'autre part, des données  privées comme notamment leur adresse familiale ou la composition de  leur famille .
La commission s'interroge sur les contours exacts de la catégorie de  traitements visée. En effet, elle relève que le critère de nécessité de  la collecte de données au regard des finalités du traitement constitue  une condition de licéité de tout traitement de données à caractère  personnel et ne permet dès lors pas de définir les catégories de  traitement concernés par ces dispositions. Elle observe en outre que les  critères retenus s'agissant de la nature des données enregistrées  pourraient concerner un nombre extrêmement important de fichiers, ce qui  rendrait, en pratique, les mesures envisagées difficilement  applicables.
Selon le ministère de la défense, seuls devront être concernés les  traitements pour lesquels la mention de la qualité de militaire ou  d'éléments révélant indirectement cette qualité est nécessaire et ne  peut pas être remplacée par la mention  agent public . L' article 117 de la loi n° 2016-731 du 3 juin 2016  prévoit en effet la possibilité, pour les militaires, de demander aux  responsables des traitements ne relevant pas du régime prévu par l' article L. 4123-9-1 du code de la défense  la suppression de la mention de cette qualité ou son remplacement par  celle d'agent public. Ces mêmes dispositions prévoient en outre des  sanctions pénales en cas de refus, par les responsables de traitement  concernés, de procéder à une telle modification.
Si la commission juge utile la précision apportée par le ministère  et prend acte de son intention de modifier la rédaction du projet de  décret pour mieux délimiter le champ d'application du dispositif, elle  souligne que la révision des dispositions du projet de décret devra  permettre de clarifier les critères définissant les traitements  concernés, afin d'éviter que tout fichier comportant la mention de la  profession et d'une adresse personnelle d'un militaire n'entre dans le  champ d'application du dispositif.
Sur l'institution d'une nouvelle procédure d'autorisation prévoyant la consultation pour avis du ministre de la défense
Le  I de l'article L. 4123-9-1 du code de la défense  prévoit que les traitements dont la finalité est fondée sur la qualité  de militaire des personnes qui y figurent sont mis en œuvre après  autorisation de la commission, dans les conditions prévues à l'article  25 de la loi du 6 janvier 1978 modifiée.
Sont exclus du champ d'application de cette procédure d'autorisation  les traitements mis en œuvre pour le compte de l'Etat, auxquelles les  formalités préalables prévues par la loi du 6 janvier 1978 modifiée sont  seules applicables, de même que ceux mis en œuvre par une association à  but non lucratif, qui doivent faire l'objet d'une déclaration auprès de  la commission aux  termes du dernier alinéa du I de l'article L. 4123-9-1 du code de la défense.
Sur ce dernier point, le ministère de la défense a précisé que le  sens desdites dispositions n'est pas d'écarter l'application des  formalités plus contraignantes prévues par la loi du 6 janvier 1978  modifiée, notamment pour les traitements mis en œuvre par ces mêmes  organismes qui comporteraient des données relevant des articles 8 ou 9  de la même loi, ce dont la commission prend acte.
L'objectif de la procédure d'autorisation instituée est d'empêcher, aux  termes du I de l'article L. 4123-9-1 du code de la défense,  que des personnes dont  le comportement ou les agissements sont de  nature à porter atteinte à la sécurité des personnes, à la sécurité  publique ou à la sûreté de l'Etat  puissent mettre en œuvre des  traitements comportant des données personnelles relatives à des  militaires.
Pour s'en assurer, il est prévu que la commission, préalablement à  la délivrance d'une autorisation, puisse recueillir l'avis du ministre  de la défense, qui se prononcerait alors au regard des conclusions d'une  enquête administrative sur le comportement et les agissements de la  personne concernée.
La commission juge légitime le souhait de mieux encadrer la mise en  œuvre de traitements comportant des données à caractère personnel  relatives à des militaires, notamment par la réalisation d'enquêtes  administratives sur les responsables de traitements. Elle souligne en  revanche que les missions qui lui ont été assignées par la loi   Informatique et Libertés  sont d'une nature distincte et poursuivent  des finalités indépendantes de celles des enquêtes administratives  prévues.
Elle regrette dès lors la confusion susceptible d'être provoquée par  le dispositif envisagé qui ne permet pas de distinguer clairement  l'appréciation portée sur le comportement et les agissements du  responsable de traitement et ses conséquences, qui relève du ministre de  la défense, de l'appréciation portée sur les finalités et les  conditions de mise en œuvre du traitement, qui relève de la compétence  de la commission.
Elle observe à cet égard que, si la saisine du ministre de la défense constitue une simple faculté dans les textes, les  termes de l'article L. 4123-9-1 du code de la défense,  qui interdisent à la commission d'autoriser un traitement si le  comportement ou les agissements du responsable de traitement sont de  nature à porter atteinte à la sécurité des personnes, à la sécurité  publique ou à la sûreté de l'Etat, imposent de fait à la commission de  consulter systématiquement le ministère de la défense. De même, un avis  défavorable de ce dernier ne pourrait conduire cette autorité  administrative indépendante qu'à adopter une décision de refus  d'autorisation de mise en œuvre du traitement concerné.
S'agissant des modalités de cette consultation, la commission relève  que le projet de décret prévoit que le ministère de la défense dispose  d'un délai de deux mois pour rendre son avis. Elle observe toutefois  que, dans l'hypothèse où l'avis sollicité par la commission n'aurait pas  été rendu dans ce délai, les dispositions du projet de décret ne  prévoient ni la possibilité d'une prorogation dudit délai, ni la  formation d'un avis tacite valant rejet ou acceptation, ce qui est  susceptible de retarder voire de bloquer la procédure pendante devant la  commission. Elle estime dès lors qu'il conviendrait de modifier le  projet de décret sur ce point.
En ce qui concerne l'autorisation susceptible d'être adoptée à  l'issue de la nouvelle procédure instituée, les dispositions du projet  de décret prévoient que la commission peut l'assortir d'une limitation  de durée ou de réserves liées notamment au respect des prescriptions  techniques mentionnées au  IV de l'article L. 4123-9-1 du code de la défense.
La commission prend acte des précisions du ministère de la défense,  aux termes desquelles la possibilité de formuler des réserves sur les  prescriptions techniques vise à imposer la mise à jour et  l'actualisation des mesures de sécurité au regard de l'évolution des  risques et des techniques disponibles. Néanmoins, elle estime que cette  nouvelle possibilité n'apparaît pas opportune au regard de l'objectif  poursuivi par le législateur de renforcement du contrôle de la sécurité  mise en œuvre dans le cadre des traitements concernés et que l'absence  de conformité aux dispositions de l'article 34 de la loi du 6 janvier  1978 modifiée devrait uniquement conduire la commission à refuser  l'autorisation de mise en œuvre du traitement en cause.
De même, elle estime que la limitation de durée de l'autorisation de  la commission n'est pas pertinente en l'absence de critères permettant  de justifier d'imposer, aux responsables des traitements dont la  finalité est fondée sur la qualité de militaire, le renouvellement  régulier d'une demande d'autorisation.
A cet égard, si le ministère de la défense a fait valoir qu'un  renouvellement régulier des demandes d'autorisation pourrait être utile,  dans certaines circonstances, pour procéder à une nouvelle enquête  administrative sur le responsable de traitement, la commission considère  qu'une telle considération, bien que légitime, ne saurait justifier un  nouvel examen des conditions de mise en œuvre des traitements de données  personnelles en cause.
Sur l'obligation d'information pesant sur la commission
Le  I de l'article L. 4123-9-1 du code de la défense  prévoit que la commission informe le ministre compétent des  autorisations délivrées et des déclarations réalisées concernant les  traitements dont la finalité est fondée sur la qualité de militaire des  personnes qui y figurent, afin de lui permettre d'assurer un suivi  particulier des traitements concernés et d'exercer, le cas échéant, le  pouvoir de contrôle que le législateur lui a reconnu.
Le projet de décret élargit le champ de cette obligation en  prévoyant que la commission informe le ministre de la défense,  dans  les meilleurs délais , outre des informations prévues par le  législateur, de toute demande d'autorisation ainsi que des réponses  négatives qui y seraient apportées.
La commission relève que cette extension dépasse le cadre de  l'information du ministre de la défense concernant des traitements  effectivement mis en œuvre et dès lors susceptibles de porter atteinte à  la sécurité des militaires. Dans la mesure où elle conduirait à imposer  à la commission une obligation détachée de ses missions et des  objectifs poursuivis par le législateur, elle demande que les  dispositions concernées soient supprimées du projet de décret.
Le projet de décret prévoit également des mesures dépassant le cadre  prévu par le législateur s'agissant de la communication d'informations  relatives à la divulgation ou à l'accès non autorisé à des données des  traitements concernés par le nouveau dispositif.
Le  V de l'article L. 4123-9-1 du code de la défense  prévoit en effet que,  en cas de divulgation ou d'accès non autorisé à  des données des traitements […], le responsable du traitement avertit  sans délai la Commission nationale de l'informatique et des libertés qui  en informe le ministre compétent . Le projet d'article R. 4123-37-7 du  code de la défense prévoit l'obligation pour la commission d'informer   dans les meilleurs délais , le ministre de la défense et le ministre  de l'intérieur de toute divulgation ou accès non autorisé à des données  desdits traitements, quelles que soient les circonstances dans  lesquelles elle a eu accès à ces informations et, par conséquent, que  cette information provienne ou non du responsable de traitement.
Cette obligation d'information est justifiée par le souhait de  permettre aux services des ministres de la défense et de l'intérieur  d'évaluer si  cette divulgation ou cet accès non autorisé est  susceptible de représenter un risque pour la sécurité des personnes, la  sécurité publique ou la sureté de l'Etat .
Il est prévu que la commission soit informée des conclusions de  cette évaluation et que le responsable de traitement ne puisse informer  les personnes concernées par la divulgation ou l'accès non autorisé  qu'après accord des ministres.
Sur ce point, la commission rappelle que les enjeux des enquêtes et  des évaluations réalisées par les ministères de l'intérieur et de la  défense pour assurer la sécurité des personnes sont distincts des  principes gouvernant les missions qui lui sont confiées par la loi du 6  janvier 1978 modifiée et que la préservation d'une frontière claire  entre ses missions et celles des ministères lui semble indispensable  pour l'indépendance et l'efficacité de son action.
A cet égard, elle prend acte que, dans le cadre de la procédure de  signalement envisagée, son rôle se limiterait, lorsque l'origine de  l'information serait un signalement réalisé par le responsable de  traitement lui-même, à recevoir et retransmettre aux ministres concernés  l'information en cause, pour leur permettre d'évaluer les risques  soulevés par la situation. Elle relève en revanche que cette procédure  se distingue fortement des prérogatives qui lui sont attribuées par  l'article 34 bis de la loi du 6 janvier 1978 modifiée.
En tout état de cause, dans l'hypothèse où l'information ne  proviendrait pas du responsable de traitement lui-même, la commission  considère que seuls les divulgations d'informations et accès non  autorisés à des traitements constatés dans le cadre d'un contrôle  diligenté par la commission dans les conditions prévues par l'article 44  de la loi  Informatique et Libertés  pourraient être communiqués au  ministre de la défense, dans la mesure où le législateur a prévu en  matière de contrôle un partage de compétence qui oblige à organiser la  coopération des services de la commission et du ministre.
Sur le criblage des personnes ayant accès aux données
Le  II de l'article L. 4123-9-1 du code de la défense  prévoit que le responsable de traitement ne peut autoriser l'accès aux  données contenues dans ces traitements qu'aux personnes pour lesquelles  l'autorité administrative compétente a émis un avis favorable. Le projet  d'article R. 4123-37-3 du code de la défense précise que le ministre  compétent est le ministre de la défense.
Cette disposition concerne tant les traitements devant faire l'objet  d'une autorisation que ceux mis en œuvre par des associations à but non  lucratif et pouvant faire l'objet d'une déclaration. L'exigence d'un  avis favorable délivré par le ministre de la défense et conditionnant  l'accès aux données n'est écartée, en application du  VI de l'article L. 4123-9-1 du code de la défense,  que pour les associations mentionnées au 3° du II de l'article 8 de la  loi du 6 janvier 1978 modifiée, à savoir les associations à but non  lucratif et à caractère religieux, philosophique, politique ou syndical.
C'est au responsable de traitement concerné qu'il reviendrait,  postérieurement à l'obtention de l'autorisation délivrée par la  commission et après avoir fait l'objet d'une enquête ou après avoir  procédé à une déclaration, de saisir le ministère de la défense.
Il est prévu que les personnes mentionnées fassent alors l'objet  d'une enquête administrative pouvant donner lieu à la consultation des  traitements automatisés de données personnelles mentionnées à l' article 230-6 du code de procédure pénale,  c'est-à-dire au traitement des antécédents judiciaires (TAJ). A cet  égard, la commission rappelle que cette consultation nécessite une  modification des dispositions réglementaires du code de procédure pénale  et un avis préalable de la commission. Elle prend acte qu'un projet de  décret modifiant l' article R. 40-29 du code de procédure pénale est en cours d'élaboration et lui sera prochainement soumis.
Elle prend également acte, d'une part, que les personnes seront  informées de la réalisation de l'enquête administrative et de la  possible consultation du TAJ et, d'autre part, que seuls des agents  spécialement habilités et individuellement désignés par le ministre de  la défense pourront effectuer cette consultation.
Sur l'adoption d'exigences techniques renforcées et le pouvoir de contrôle conféré aux services du ministre de la défense
Le  IV de l'article L. 4123-9-1 du code de la défense  prévoit que des arrêtés des ministres compétents, pris après avis de la  commission,  peuvent fixer des prescriptions techniques auxquelles  doivent se conformer les traitements mentionnés  dont la finalité est  fondée sur la qualité de militaire des personnes qui y figurent.
Le projet de décret précise que ces prescriptions, fixées par  arrêtés conjoints du ministre de la défense et du ministre de  l'intérieur,  permettent d'assurer un niveau de sécurité adapté  notamment par :
- la mise en œuvre de moyens permettant de garantir la confidentialité des données personnelles des militaires ;
- la mise en œuvre de moyens permettant de garantir le contrôle et  l'imputabilité des accès aux systèmes et aux services de traitement ;
- la mise en œuvre de procédures visant à tester, à analyser et à  évaluer régulièrement l'efficacité des mesures techniques et  organisationnelles pour assurer la sécurité du traitement .
Ces différentes garanties techniques, qui tendent à assurer la  confidentialité des informations enregistrées, rejoignent en partie les  conditions habituellement exigées par la commission pour assurer la  sécurité des données, conformément à l'article 34 de la loi du 6 janvier  1978 modifiée. La circonstance que les prescriptions évoquées par le  projet de décret ne tendent qu'à assurer la confidentialité des données,  alors que la commission se prononce également sur leur intégrité et  leur disponibilité, apparaît cohérente au regard des finalités du  dispositif et, en tout état de cause, ne limite pas les compétences de  la commission.
Elle relève toutefois que l' article L. 4123-9-1 du code de la défense  prévoit que le contrôle du respect de ces prescriptions techniques est  assuré par le ministre compétent,  en complément  de celui prévu par  la loi du 6 janvier 1978 modifiée, sans qu'elle dispose de précisions  sur la motivation de cette compétence partagée ou sur l'articulation  exacte entre les prérogatives du ministère et celles de la commission.
Elle prend acte que, en application du  VI de l'article L. 4123-9-1 du code de la défense,  les traitements mis en œuvre par des associations mentionnées au 3° du  II de l'article 8 de la loi du 6 janvier 1978 modifiée devront respecter  les prescriptions techniques précitées mais sont exclus du champ du  pouvoir de contrôle reconnu au ministère de la défense.
Pour permettre au ministre d'exercer ce nouveau pouvoir de contrôle,  le projet d'article R. 4123-37-5 du code de la défense prévoit que,   en complément du dossier produit à l'appui d'une demande d'autorisation  ou d'une déclaration adressée à la commission [...], le responsable de  traitement communique au ministre de la défense les mesures techniques  et organisationnelles permettant d'assurer le respect des prescriptions  de sécurité propres  aux traitements dont la finalité est fondée sur fa  qualité de militaire.
La commission estime nécessaire que le responsable de traitement  transmette aux autorités compétentes les informations permettant  d'attester que la sécurité des données sera assurée. Elle souligne  toutefois que l'obligation d'adresser parallèlement un même dossier  technique au ministère et à la commission, qui devra par ailleurs  informer le ministère de la défense de la réception d'une nouvelle  demande d'autorisation ou d'une déclaration, lui semble inutilement  alourdir les formalités administratives associées à la mise en œuvre des  traitements concernés. Elle considère que le dispositif pourrait être  simplifié sans affaiblir le niveau de protection des données à caractère  personnel.
Enfin, la commission relève que le projet de décret ne prévoit pas  la possibilité, pour le ministère de la défense, d'adopter des mesures  correctrices ou des sanctions en cas de non-respect, constaté lors de  l'exercice de son pouvoir de contrôle, des prescriptions de sécurité  précitées. De même, il ne prévoit pas la possibilité d'informer la  commission d'une telle constatation, qui pourrait alors exercer ses  propres pouvoirs, et en particulier ses attributions en matière de  sanction prévus par l'article 45 de la loi du 6 janvier 1978 modifiée,  telles que le retrait d'une autorisation accordée en application de  l'article 25 de la même loi, dès lors que les manquements constatés en  matière de sécurité relèvent de la protection des données à caractère  personnel.
Sur la dérogation à l'article 31 de la loi du 6 janvier 1978
Conformément au  III de l'article L. 4123-9-1 du code de la défense,  les traitements dont la finalité est fondée sur la qualité de militaire  des personnes qui y figurent sont exclus du champ d'application de  l'article 31 de la loi du 6 janvier 1978 modifiée. Ces dispositions  prévoient notamment que la commission met à la disposition du public la  liste des traitements automatisés ayant fait l'objet d'une des  formalités prévues par les articles 23 à 27, ainsi que ses avis,  décisions ou recommandations.
La commission prend acte de cette exclusion. En conséquence, elle ne  publiera pas les autorisations ou refus d'autorisation, dont elle  assure elle-même la publication sur Légifrance conformément à son  règlement intérieur, concernant les traitements dont la finalité est  fondée sur la qualité de militaire des personnes qui y figurent.
La présidente,
I. Falque-Pierrotin