(Demande d’avis n°1245148)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par l’Agence Nationale de l’Accueil des Etrangers et des Migrations d’un projet de décision relative au traitement automatisé de données à caractère personnel relatives aux capacités d’hébergement des centres d’accueil pour demandeurs d’asile, à l’utilisation de ces capacités et aux demandeurs d’asile qui y sont accueillis ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment ses articles L. 348-1 à L. 348-4 ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 11 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu le décret n° 2006-1380 du 13 novembre 2006 relatif à l’allocation temporaire d’attente ;
Vu le décret n° 2009-331 du 25 mars 2009 substituant la dénomination « Office français de l'immigration et de l'intégration » à la dénomination « Agence nationale de l'accueil des étrangers et des migrations » ;
Après avoir entendu Monsieur Sébastien HUYGHE, commissaire, en son rapport, et  Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie le 14 janvier 2009 par l’Agence Nationale de l’Accueil des Etrangers et des Migrations (ANAEM) d’une demande d’avis sur un projet de décision portant sur le traitement automatisé de données relatives aux capacités d’hébergement des centres d’accueil des demandeurs d’asile (CADA), à l’utilisation de ces capacités et aux demandeurs d’asile qui y sont accueillis, sur le fondement de l’article 11, 2°, d) de la loi du 6 janvier 1978 modifiée.
Elle a en outre été saisie d’un projet d’acte réglementaire modifié le 27 avril 2009, présenté par l’Office français de l’immigration et de l’intégration (OFII), institué par le décret n°2009-331 du 25 mars 2009.
Le traitement susvisé relève de l’article 23 de la loi du 6 janvier 1978 modifiée, et a été créé à la suite de la déclaration effectuée par l’ANAEM auprès de la CNIL le 20 juillet 2007. Suite aux échanges entre la Commission et l’ANAEM dans le cadre de l’instruction du dossier, celle-ci a cependant estimé nécessaire de solliciter l’avis de la CNIL préalablement à la publication de la décision prévue au Bulletin Officiel du ministère chargé de l’immigration.
Sur la finalité du traitement
La mise en œuvre de ce traitement, dénommé DN@, est prévue à l’article L. 348-3 du code de l’action sociale et des familles, qui dispose en outre que les personnes morales chargées de la gestion des CADA sont tenues de déclarer à l’OFII, et aux préfectures compétentes, les places disponibles dans ces centres et de leur transmettre des informations relatives aux personnes qui y sont accueillies.
La Commission prend acte de la finalité du traitement mentionnée à l’article 1 du projet de décision, qui est d’assurer la gestion et le pilotage du dispositif des CADA ainsi que le suivi des personnes accueillies. Le traitement DN@ vise à améliorer la gestion des capacités d’accueil des CADA par une meilleure connaissance des places et des flux d’entrée et de sortie de CADA, et par la mise à disposition d’outils informatiques de suivi individualisé des personnes prises en charge. Le pilotage du dispositif d’accueil sera facilité par l’établissement d’une série d’indicateurs statistiques relatifs au fonctionnement de l’accueil des demandeurs d’asile, aux niveaux départemental, régional et national.
Sur les données enregistrées
L’article 2 du projet de décision précise les données enregistrées dans le traitement : identité de la personne concernée (nom, prénom, date de naissance, sexe, nationalité, situation matrimoniale, lieu de naissance, pays de naissance, date d’entrée en France du demandeur d’asile et de sa famille) ; situation relative au séjour (numéro national d’identification des étrangers, type et durée de validité du séjour) ; situation relative à la procédure de demande d’asile (numéro de dossier de demande d’asile déposé auprès de l’Office français de protection des réfugiés et des apatrides ou de la Cour nationale du droit d’asile, date et sens des décisions OFPRA et CNDA) ; situation relative à l’hébergement (domiciliation du demandeur en attente de CADA, lieu d’hébergement effectif du demandeur pris en charge en CADA, date d’entrée en CADA, date et modalité de sortie de CADA) ; situation professionnelle des demandeurs d’asile et des réfugiés (niveau scolaire, contrat d’accueil et d’intégration, formation linguistique, formation professionnelle, emploi) ; état de l’ouverture des droits (allocation mensuelle de subsistance, couverture maladie universelle, allocation temporaire d’attente, revenu minimum d’insertion, demande de logement).
La Commission estime que la collecte de ces données, qui seront conservées pendant deux ans après la date de sortie de CADA, est pertinente au regard de la finalité du traitement.
En effet, les modalités de prise en charge en CADA des demandeurs d’asile sont subordonnées à leur situation au regard de la législation en matière d’entrée et de séjour des étrangers et de droit d’asile. La prise en compte des ressources des demandeurs d’asile ressources intervient également dans les décisions relatives aux modalités d’admission et de sortie de CADA. Les autres catégories de données sont enfin nécessaires aux fins de suivi personnalisé des demandeurs d’asile par les CADA, de préparation des modalités de sortie de CADA, et de contrôle de l’activité des CADA par les autorités.
La Commission prend acte de ce qu’aucune donnée relative à la protection sociale ou à la santé des personnes accueillies en CADA, telle que leur numéro d’affiliation au régime d’assurance maladie, les coordonnées de leurs médecins référents, ou des commentaires relatifs à leur état de santé, n’est enregistrée dans le traitement, comme cela était initialement envisagé.
La Commission relève que l’OFII souhaite en outre enregistrer dans le traitement DN@ des données relatives à la langue parlée par les personnes concernées. Eu égard à la population concernée, constituée exclusivement de demandeurs d’asile, et à l’enregistrement dans le traitement DN@ de la nationalité des personnes accueillies en CADA, la Commission estime nécessaire d’entourer l’enregistrement des données relatives à la langue de garanties particulières.
A cet égard, la Commission rappelle que la langue parlée ne constitue pas à elle seule une donnée faisant apparaître les origines raciales ou ethniques des personnes, dans la mesure où il n’y a pas nécessairement correspondance entre la langue parlée et ces origines.
La Commission prend acte de ce que le projet de décision a été modifié à sa demande, et  prévoit expressément l’enregistrement de la donnée « langue parlée » dans le traitement. Elle rappelle que, conformément aux engagements de l’OFII, le renseignement de cette donnée est facultatif, et qu’il n’a pas pour finalité de recenser la langue maternelle des personnes concernées, mais la ou les langues à utiliser pour communiquer avec les demandeurs d’asile hébergés en CADA. Dès lors, la Commission demande à ce que le projet de décision soit modifié et prévoie l’enregistrement des « langues parlées » par les personnes accueillies en CADA.
L’article 2 du projet de décision prévoit l’enregistrement de l’adresse effective des personnes prises en charge en CADA, qui peuvent en effet être logées à l’extérieur des centres. Certaines associations de défense des droits des étrangers et de réinsertion sociale ont appelé l’attention de la Commission sur l’utilisation qui pouvait être faite de ce renseignement par les préfectures, et notamment dans le cadre des procédures d’interpellation des étrangers en situation irrégulière. A cet égard, le ministère de l’immigration a notamment précisé que l’article L. 348-3 du code de l’action sociale et des familles prévoit la mise en œuvre d’un traitement automatisé de données relatives aux capacités d'hébergement des centres d'accueil pour demandeurs d'asile, à l'utilisation de ces capacités et aux demandeurs d'asile qui y sont accueillis.
Dès lors que le projet de décision ne prévoit que l’enregistrement de l’adresse effective des demandeurs d’asile en attente d’entrée en CADA et des demandeurs hébergés en CADA, la Commission considère que cet enregistrement est pertinent au regard de la finalité du traitement, qui doit notamment permettre à l’autorité administrative compétente de statuer sur les décisions d’admission ou de sortie de CADA.
Sur les destinataires du traitement
La Commission prend acte de ce que les données relatives au séjour des personnes accueillies en CADA et à l’avancement de leur demande d’asile seront accessibles aux représentants de l’administration (OFII, service de l’asile du ministère de l’immigration, préfectures, directions départementales et régionales des affaires sanitaires et sociales). Ces données leur sont en effet nécessaires aux fins de s’assurer des dispositions prévues à l’article L. 5423-9 du code du travail relatif à l’allocation temporaire d’attente, et aux articles L. 348-1 et L. 348-2 du code de l’action sociale et des familles relatifs aux placements en CADA.
La Commission prend également acte de ce que les autres données enregistrées dans le traitement DN@ ne sont accessibles aux CADA et aux plates-formes de premier accueil des demandeurs d’asile, que pour les seules personnes dont ils ont la charge.
Elle demande à ce que le projet de décision soit modifié afin de mentionner une procédure de désignation et d’habilitation individuelle des agents pouvant recevoir communication des données enregistrées dans le traitement.
Sur les sécurités techniques du traitement
La Commission prend acte de ce que la confidentialité des données traitées par l’application est assurée par le chiffrement du transport des données dans le réseau informatique. Les destinataires ont en outre accès à cette application via un réseau sécurisé, selon des modalités d’identification et d’authentification individuelle des utilisateurs. Ils sont également sensibilisés à la politique de sécurité par le biais des formations à l’emploi de l’application et lors de l’installation des certificats.
La Commission estime dès lors que les mesures de sécurité définies par l’OFII sont satisfaisantes au regard des dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes concernées
La Commission prend acte de ce que le droit d’accès et de rectification prévu par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée s’exercera par voie postale auprès de la direction des systèmes d’information de l’Office français de l’immigration et de l’intégration, et de ce que le droit d’opposition prévu à l’article 38 de ladite loi ne s’applique pas au traitement DN@.
Concernant les obligations d’information des personnes concernées incombant au responsable de traitement, la Commission demande à ce que le contrat de séjour signé entre le CADA et la personne qui y est accueillie dès son admission, soit complété des informations mentionnées à l’article 32 de la loi du 6 janvier 1978 modifiée. Eu égard à la population concernée par le traitement, la Commission prend acte de l’engagement de l’OFII à fournir ces informations aux personnes concernées dans une langue qu’elles comprennent.