La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel dénommé NATALI ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés (ci-après la Commission ) a été saisie sur le fondement de l'article 31 de la loi du 6 janvier 1978 modifiée (ci-après la loi informatique et libertés ) par le ministère de l'intérieur d'un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel dénommé NATALI .
L'instruction de cette saisine a donné lieu à des échanges avec le ministère, qui ont conduit à affiner certaines caractéristiques du traitement (durées de conservation, accédants et destinataires, mises en relation, information des personnes concernées) à l'aune de la règlementation relative à la protection des données à caractère personnel.
Le traitement NATALI a pour finalités de permettre l'accomplissement par voie électronique des formalités nécessaires aux demandes relatives à la nationalité (acquisition, autorisation de perte, etc.) ainsi que l'instruction par voie dématérialisée de ces demandes, des recours afférents, et des procédures initiées par l'administration liées à la nationalité. Il s'inscrit dans le contexte de la dématérialisation progressive des procédures mises en œuvre par le ministère de l'intérieur en matière de séjour, d'asile et d'acquisition de la nationalité française (administration numérique pour les étrangers en France, ou ANEF ). Ainsi, NATALI reposera sur le déploiement d'un portail usager permettant aux usagers ou à leurs mandataires de déposer leurs demandes, et d'un portail agent permettant aux services compétents des ministères concernés d'instruire les procédures liées à la nationalité française.
Sur le contexte de mise en œuvre du traitement
En premier lieu,
En second lieu,
Sur les finalités et le régime juridique du traitement
L'article 1er du projet de décret indique que le traitement NATALI a pour finalités :
de permettre aux usagers ou à leurs mandataires de procéder par voie électronique aux formalités prévues pour les demandes d'acquisition de la nationalité (à raison du mariage, de la qualité d'ascendant de Français ou de la qualité de frère ou de sœur de Français ; par décision de l'autorité publique), de réintégration dans la nationalité, de francisation du nom et/ou des prénoms, et d'autorisation de perte de la nationalité ;
de permettre l'instruction et le traitement de ces demandes, des recours administratifs contre les décisions défavorables, des recours contentieux ainsi que des demandes de preuve de la nationalité française ;
de permettre l'instruction des procédures initiées par le Gouvernement en matière de nationalité (opposition à l'acquisition de la nationalité française par le conjoint étranger, déchéance de la nationalité, et procédures prévues par les articles 27-2, 23-7 et 23-8 du code civil) ;
de permettre aux usagers ou à leurs mandataires de procéder par voie électronique à l'exercice de recours administratifs contre les décisions défavorables prises à leur encontre dans le cadre des formalités prévues pour les demandes précitées, ainsi qu'à la transmission de leurs observations dans le cadre des procédures initiées par le Gouvernement précitées.
Au regard de ces finalités, le ministère entend placer le traitement NATALI sous le régime du RGPD, sauf pour ce qui concerne les opérations de traitement mises en œuvre au titre des procédures de déchéance de la nationalité française initiées par le Gouvernement sur le fondement de l'article 25 du code civil, lesquelles relèveraient du titre IV de la loi informatique et libertés .
En premier lieu,
En second lieu,
S'agissant de la partie téléservice , l'application du RGPD n'appelle pas d'observation particulière.
S'agissant de la partie instruction , la Commission observe que le traitement des demandes relatives à la nationalité et leur contentieux constituent des activités qui ne relèvent pas du champ d'application du droit de l'UE et pour lesquelles le RGPD n'est en principe pas applicable, conformément à son article 2-2.a). Ainsi, les opérations de traitement mises en œuvre dans le cadre de ces activités devraient entrer dans le champ du titre Ier de la loi informatique et libertés .
Toutefois, dans la mesure où le régime juridique des opérations de traitement relevant du seul titre Ier de la loi informatique et libertés , qui ne contient que des dispositions générales, est moins protecteur que celui du RGPD, notamment en raison de l'absence de droits pour les personnes concernées, la Commission considère que le Gouvernement devrait aligner le régime juridique de ces opérations de traitement sur celui du RGPD pour les règles relatives aux personnes concernées, telles que la réalisation d'une analyse d'impact relative à la protection des données (AIPD).
Sur les catégories de données à caractère personnel enregistrées dans le traitement
A titre liminaire, la Commission observe que seules les données nécessaires à l'instruction d'une demande seront recueillies et que, dans cette perspective, il est prévu de créer un formulaire électronique spécifique à chacune des procédures couvertes par le projet de décret.
En premier lieu,
En deuxième lieu,
D'une part, les éléments issus de l'entretien seront contenus dans un compte-rendu saisi, par des agents habilités et spécialement formés pour mener les entretiens, dans une zone de texte libre. Selon les précisions apportées par le ministère, les notes relatives au comportement de l'usager pouvant être saisies dans ce cadre recouvriraient, en plus des données et informations communiquées par l'usager, des données issues de l'appréciation de l'agent menant l'entretien au regard des signaux de communication non verbale émis par l'usager (hésitations, haussements d'épaules, dénégations de la tête, gène, confusion, refus de contact physique ou d'entretien avec un agent de sexe opposé, etc.), notamment si ceux-ci sont en inadéquation avec les propos tenus ou le comportement que le demandeur dit avoir en société.
Tout en prenant acte de ce qu'une sensibilisation des agents sera effectuée par le biais d'une mention située en amont de la zone de saisie, ainsi qu'à l'occasion d'une formation, la Commission souligne l'importance de garantir que les données et informations saisies dans les zones de texte libre seront limitées à des mentions pertinentes et aussi factuelles que possible, de sorte qu'aucune mention inappropriée n'y sera inscrite. En outre, un contrôle strict devra être assuré à ce titre, pour notamment garantir que les seuls éléments nécessaires à l'instruction de la procédure soient effectivement saisis dans les zones de texte libre. Enfin, la Commission rappelle que lorsque l'enregistrement de données et informations dans un fichier est possible par le biais de zones de texte libre pouvant conduire à enregistrer des données variées et parfois sensibles, il est recommandé d'assurer qu'il ne soit pas possible d'effectuer des recherches dans le fichier à partir des mots rédigés dans ces zones de texte libre, afin de limiter les mésusages possibles de ces données.
D'autre part, il ressort des précisions apportées par le ministère que, pour ce qui concerne les procédures déclaratives, un entretien est prévu avec le conjoint du demandeur. La Commission prend acte de l'engagement du ministère de préciser dans le projet de décret que les données à caractère personnel enregistrées au titre des éléments issus de l'entretien sont susceptibles de concerner, outre le demandeur, le conjoint de ce dernier.
En troisième lieu,
En dernier lieu,
Sur les durées de conservation
Le projet de décret fixe les durées de conservation des données, énumérées en annexe, qui sont enregistrées dans le traitement. Ces durées diffèrent selon la catégorie de données, la procédure (demandes relatives à la nationalité, demandes de francisation des noms et prénoms), ou encore la décision de l'administration à l'issue de l'instruction de la demande.
En premier lieu,
D'une part, il ressort des précisions apportées par le ministère qu'une durée de conservation de dix ans a été retenue pour disposer d'un historique suffisant des dossiers des usagers, nécessaire aux procédures contentieuses et pour permettre à l'administration de porter une appréciation globale sur la situation d'un usager en cas, notamment, de demandes successives.
D'autre part, les données en question seront conservées pendant cinq ans en cas de refus de francisation. Le choix d'une durée de conservation inférieure à dix ans pour ces procédures se justifie au regard du fait que les demandes de francisation ne peuvent être présentées que dans un délai d'un an suivant l'acquisition ou la réintégration dans la nationalité française, tout en permettant notamment de tenir compte des éventuels contentieux.
Au regard des dernières précisions apportées, la Commission prend acte de l'engagement du ministère de réduire la durée de conservation de dix à cinq ans, et pour certaines données à huit ans lorsque les décisions d'irrecevabilité, d'ajournement ou de rejet prises en matière de naturalisation ou de réintégration sont fondées sur un motif tenant aux renseignements défavorables recueillis sur le comportement du demandeur. Elle prend également acte de l'engagement du ministère de réduire la durée de conservation des données de cinq ans en cas de refus de francisation à trois ans.
En second lieu,
La Commission observe cependant qu'aucune fonctionnalité n'existe pour permettre à l'usager de supprimer une demande qu'il n'aurait pas l'intention de finaliser. Selon les précisions apportées par le ministère, l'usager aura la possibilité de saisir la direction générale des étrangers en France (DGEF) pour que l'administration procède à un tel effacement. A cet égard, la Commission estime que les personnes concernées devront recevoir une information claire et concise sur la possibilité et les modalités de telles demandes de suppression. En tout état de cause, elle considère que la conservation des données d'un usager souhaitant supprimer sa demande ne serait pas nécessaire au regard des finalités du traitement qui vise, pour sa partie téléservice , à permettre la formulation des demandes relatives à la nationalité par voie électronique. Dès lors qu'une personne entendrait renoncer à sa demande, ses données enregistrées dans le traitement devraient être supprimées.
A cet égard, la Commission prend acte des dernières précisions apportées selon lesquelles le ministère travaille à l'élaboration d'une fonctionnalité permettant à l'usager de supprimer une demande et s'engage, dans l'intervalle, à faire droit aux demandes de suppression des données avant l'expiration des deux mois dans un tel cas.
Sur les accédants et destinataires
En premier lieu,
des agents relevant des services du ministère des affaires étrangères ont accès à certaines données du traitement ; et
les usagers et leurs mandataires ont accès aux données les concernant.
A cet égard, la Commission souligne que le terme accédant , que n'utilisent ni le RGPD, ni la loi informatique et libertés mais qui a été créé par la doctrine, désigne, s'agissant en l'espèce d'un traitement automatisé de données mis en œuvre par une administration et encadré par un acte réglementaire, les personnes qui seront appelées à effectuer les diverses opérations de traitement et, à ce titre, à accéder au système informatique en cause. Les habilitations des différents accédants peuvent être définies par l'acte réglementaire, et ne se limitent généralement pas à la seule consultation des données mais incluent aussi l'enregistrement, la correction ou l'effacement des données. Par ailleurs, au sens de la réglementation, et notamment du RGPD, les destinataires sont les personnes à qui le responsable de traitement peut être amené à communiquer les données et sur lesquelles il doit fournir une information aux personnes concernées. En pratique, cette communication peut prendre plusieurs formes, qu'il s'agisse d'une transmission d'un extrait des données ou d'une simple faculté de consultation par un accès sécurisé au système informatique (en ce sens, v. par ex. la délibération n° 2022-006 du 13 janvier 2022).
En l'espèce, la Commission considère que les agents du ministère des affaires étrangères chargés de l'application de la règlementation relative à la nationalité constituent des accédants au traitement dès lors qu'ils participent à la réception de demandes relatives à la nationalité introduites dans NATALI et, dans certains cas, à l'examen de telles demandes, notamment en fournissant un avis sur la recevabilité de ces demandes et les suites qu'elles doivent comporter.
S'agissant des agents relevant du service central d'état civil du ministère des affaires étrangères qui, aux fins d'établissement de l'état civil français d'une personne naturalisée, pourront se voir communiquer des données du traitement sans accéder au système ni devoir effectuer d'autres opérations de traitement, la Commission prend acte de l'engagement du ministère de modifier le projet de décret pour inscrire ces catégories de personnes parmi les destinataires des données du traitement.
Par ailleurs, les usagers et leurs mandataires disposeront d'un accès au système NATALI (portail usager ) et, dans ce cadre, aux données les concernant. La Commission considère que les personnes concernées par le traitement ne constituent ni des accédants , ni des destinataires .
En second lieu,
Par ailleurs, sont destinataires des données du traitement les personnes chargées de mettre à jour les systèmes d'information européens ETIAS (système européen d'information et d'autorisation concernant les voyages), EES ( entry/exit system , ou système d'entrée/de sortie), et Eurodac en vue de permettre l'effacement des données de ces systèmes en cas d'acquisition de la nationalité française. Si l'AIPD indique que ces personnes auront accès aux seules données d'identification de la personne et à la date d'acquisition de la nationalité française, la Commission estime que le projet de décret pourrait contenir cette précision. Elle considère par ailleurs que, s'agissant des destinataires de NATALI chargés d'effacer les données de l' EES , la notion d' autorité chargée de l'immigration désignée en application des articles 9 et 35 du règlement (UE) n° 2017/2226 […] devrait être précisée pour permettre d'identifier le service désigné en France pour procéder à la mise à jour des données du système d'information européen précité.
Sur l'exercice des droits des personnes concernées
Le projet de décret prévoit que les droits d'accès, de rectification et à la limitation des données s'exercent auprès du responsable du traitement .
En premier lieu,
En second lieu,
Pour autant, la Commission observe que, selon la position retenue par le groupe de travail de l'article 29 (G29) et reprise par le Comité européen de la protection des données (CEPD) dans le cadre de ses lignes directrices sur la transparence au sens du règlement (UE) 2016/679, l'information fournie aux personnes concernées devrait être traduite dans une ou plusieurs langues lorsque le responsable du traitement cible des personnes parlant ces langues.
Elle observe en l'espèce que le ministère cible des usagers de nationalité étrangère, que la maîtrise du français ne constitue pas une condition d'acquisition de la nationalité pour toutes les procédures couvertes par le traitement, et que toute personne, indépendamment de son degré de maîtrise de la langue française, serait susceptible d'utiliser le portail usager NATALI , d'initier une demande et ainsi de voir ses données traitées. Dès lors, la Commission considère que les mentions d'information devraient, a minima, être traduites en anglais, de la même manière que les conditions d'utilisation et de confidentialité du téléservice dédié au dépôt des demandes de certains titres de séjour, destiné à des personnes séjournant en France depuis plusieurs mois voire depuis plusieurs années, sont rédigées en français et en anglais sur le site web du ministère de l'intérieur (v. la délibération n° 2020-107 du 29 octobre 2020). A cet égard, elle prend acte de l'engagement du ministère de traduire les mentions d'information en langue anglaise.
Sur les mises en relation avec d'autres traitements
En premier lieu,
Le ministère précise à ce propos que, pour ce qui concerne EES et ETIAS , un module d'interface ira chercher dans NATALI les données permettant la mise à jour des systèmes d'information européens précités et que, concernant Eurodac , une solution manuelle impliquant un rapprochement avec NATALI est pour l'instant envisagée.
Indépendamment des solutions et de l'architecture techniques retenues, la Commission considère que NATALI fera l'objet de mises en relation avec les traitements Eurodac , EES , et ETIAS . En effet, les agents habilités chargés de mettre à jour ces traitements européens seront destinataires de données relatives aux personnes ayant acquis la nationalité française qui sont enregistrées dans NATALI (données d'identification et date d'acquisition de la nationalité ; à ce propos, v. supra, point 35). La consultation de ces données issues de NATALI permettra de procéder à l'effacement des données relatives à la personne concernée contenues dans Eurodac , EES ou ETIAS . Au regard de ces éléments, la Commission prend acte de l'engagement du ministère de compléter l'AIPD en ajoutant les mises en relation de NATALI avec les traitements Eurodac , EES et ETIAS .
En second lieu,
D'une part, la Commission souligne que la finalité archivistique dans l'intérêt public du traitement est remplie par le versement des données de NATALI aux Archives nationales au regard des missions de cette administration. Dans ces conditions, la conservation des données pertinentes à des fins archivistiques dans un support distinct par le ministère de l'intérieur en dehors de la procédure de versement prévue par le code du patrimoine ne serait pas justifiée.
D'autre part, il ressort des précisions apportées par le ministère qu' APINAT constitue un traitement distinct et répond à des finalités spécifiques en lien notamment avec la mission dont est investi le ministère chargé des naturalisations en matière de preuve de la nationalité française. Si la Commission ne remet pas en cause la légitimité d'une telle finalité, elle estime que celle-ci implique la mise en relation de NATALI et APINAT . De même, elle considère que NATALI sera mis en relation avec WEBNAT . Ces mises en relation devraient donc être mentionnées dans l'AIPD. Au regard des dernières précisions apportées, la Commission prend acte de l'engagement du ministère de compléter l'AIPD en ce sens. Enfin, elle souligne que des durées de conservation devront être définies pour les données de WEBNAT et APINAT .
Sur les mesures de sécurité
Dans la mesure où le numéro d'étranger n'est pas supposé être secret, son utilisation pour la création d'un compte ANEF crée un risque de création abusive de compte par des tiers. Si de tels comptes n'aboutiront pas en raison de la phase de vérification humaine lors de l'entretien, ils peuvent compliquer la démarche pour l'ayant droit. La Commission invite donc le ministère à fournir aux usagers un identifiant privé destiné à la création de ce compte afin de se prémunir contre ce type d'usurpation.
La Commission considère que la nature des données exige que celles-ci fassent l'objet de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité, tant au niveau des bases de données que des sauvegardes.
La Commission recommande qu'un contrôle d'intégrité soit opéré sur les données stockées, par exemple en calculant une empreinte des données avec une fonction de hachage conforme à l'annexe B1 du référentiel général de sécurité.
La Commission rappelle que, compte tenu de la nature des données traitées et des risques pour les personnes en cas d'atteinte à l'intégrité ou à la disponibilité des données, les sauvegardes doivent être soumises à des tests de restauration réguliers.
Le traitement étant un téléservice de l'administration, le responsable de traitement atteste de sa conformité au décret 2010-112 (référentiel général de sécurité) et le mentionne sur le site, dans le cadre de l'homologation préalable du téléservice.
Le responsable de traitement a mis en œuvre une politique de mots de passe conforme à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. La Commission prend bonne note de la future bascule vers une authentification systématique par carte agent et accueille favorablement cette future évolution.
En raison de la gravité et de la vraisemblance du risque pour les personnes en cas fraudes internes, la Commission considère que la durée de conservation des données de journalisation de trois années est proportionnée. En effet, cette journalisation participe par sa capacité dissuasive à la sécurité du traitement. La Commission considère comme nécessaire qu'une analyse des données de journalisation soit prévue. Elle rappelle que la mise en œuvre d'un mécanisme proactif de contrôle automatique des données de journalisation contribue à la sécurité du traitement par la génération automatique d'alertes.
La présidente,
M.-L. Denis