La Commission nationale de l'informatique et des libertés,
Saisie par la direction interministérielle du numérique d’une demande d’avis concernant un projet de décret relatif à relatif à l’expérimentation du téléservice dénommé Mon FranceConnect ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Sur la proposition de M. Claude CASTELLUCCIA, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie, le 20 août 2021, sur le fondement de l’article 8-I-4° a) de la loi du 6 janvier 1978 modifiée, d’un projet de décret relatif à l’expérimentation du téléservice dénommé Mon FranceConnect , créé par la direction interministérielle du numérique (ci-après DINUM).
Elle prend acte de ce que le téléservice Mon FranceConnect , dont l’accès s’effectuera au moyen du téléservice FranceConnect , est un téléservice facultatif pour les usagers et qu’il est mis en œuvre à titre expérimental, pour une durée de douze mois et à destination de 25 000 usagers expérimentateurs.
Ce téléservice permettra de mettre à disposition de l’usager, via un accès consolidé, un ensemble d’informations, dont des données à caractère personnel le concernant et détenues par les administrations, afin que l’usager puisse les consulter, les partager et les réutiliser à l’initiative et sous le contrôle de l’usager.
A titre liminaire, la Commission souligne que la création de ce téléservice s’inscrit au sein des politiques de transparence des données détenues par les administrations vis-à-vis des usagers et de simplification administrative, le tout dans la lignée du programme Dites-le nous une fois (DLNUF) sur lequel la Commission s’est prononcée à de nombreuses reprises.
Elle a de manière constante estimé que les échanges de données entre administrations, qui font l’objet d’un encadrement par le code des relations entre le public et l’administration (CRPA), participent à la simplification des formalités administratives des usagers lorsqu’ils ont pour finalité de dispenser les usagers, personnes physiques ou morales, de fournir les mêmes justificatifs plusieurs fois.
De manière générale, la Commission rappelle que, si la simplification des démarches administratives et l’amélioration des relations entre le public et les administrations constituent des objectifs légitimes, la mise en œuvre d’échanges de données à caractère personnel dans ce cadre doit être limitée aux données strictement nécessaires et garantir le respect des droits des personnes ainsi que la sécurité et la confidentialité de leurs données à caractère personnel. A cet égard, la transparence sur les données échangeables entre administrations constitue une garantie souhaitable dans le cadre de la mise en place du DLNUF.
Enfin, la Commission rappelle que le caractère expérimental du dispositif projeté ne préjuge en rien de la pérennisation d’une telle démarche. À cet égard, la Commission estime que cette expérimentation devra faire l’objet d’une évaluation rigoureuse avant d’envisager de maintenir ou non un tel dispositif.
Si elle observe que l’article 7 du projet de décret prévoit expressément qu’un bilan d’expérimentation sera dressé au plus tard six mois après la fin de l’expérimentation, elle demande que celui-ci lui soit adressé à l’issue de ce délai. La Commission estime que ce bilan devra mentionner a minima :
des éléments chiffrés sur le nombre de consultations, de partages et de réutilisations par les usagers de leurs données échangées par les administrations ;
des éléments chiffrés sur l’impact relatif aux délais administratifs ;
une description des conditions de mise en œuvre technique et opérationnelle du dispositif expérimenté ;
des éléments de conclusion généraux relatifs au fonctionnement du dispositif expérimenté et aux éventuelles difficultés rencontrées, aussi bien juridiques que techniques.
Sur la finalité du traitement
L’article 4 du projet de décret prévoit que le traitement mis en œuvre dans le cadre du téléservice Mon FranceConnect a pour finalité de mettre à disposition de l’usager un espace en ligne placé sous le contrôle de l’usager, ouvert et clos à sa demande .
La Commission relève que cet espace en ligne permettrait à l’usager :
d’obtenir un accès aux informations et aux données susceptibles de faire l’objet d’un échange entre administrations dès lors que cet échange s’opère par voie d’interfaces standardisées de programmation (API) ;
d’obtenir un accès à des informations utiles dans le cadre de ses échanges avec les autorités administratives ;
de bénéficier, sur la base de ses données, de conseils utiles à l’exercice de ses droits et devoirs ;
de générer, à partir de ses données échangées entre les administrations, des justificatifs susceptibles de lui être demandés lors de l’accomplissement de ses démarches.
Dans un premier temps,
Dans un deuxième temps,
La Commission prend acte du fait que cette évolution a pour objectif d’accélérer l’échange de données entre administrations au profit de l’usager et de lutter contre le phénomène de non recours aux droits, notamment en matière d’avantages sociaux. Toutefois, elle souligne qu’il s’agit d’une évolution des caractéristiques essentielles du dispositif DLNUF puisque l’intervention a priori de l’usager ne serait plus requise pour initier l’échange de données entre administrations. Il importe de s’assurer que le dispositif soit inscrit dans la loi et soit précisément circonscrit aux usages précités, à savoir l’accélération de l’échange de données et la lutte contre le non-recours aux droits, à l’exclusion de tout autre. Elle souligne qu’il ne doit pas permettre, par exemple, de détecter d’éventuels cas de fraude au moyen de croisement d’informations.
C’est pourquoi la Commission recommande de ne pas mettre en œuvre une telle faculté pour l’usager avant que le projet de loi 3DS ne soit adopté. A cet égard, l’article 4-3° du présent projet de décret devrait le préciser explicitement.
Dans un troisième temps,
Sur les données traitées et les destinataires et accédants aux données
Le projet de décret n’indique pas les données à caractère personnel traitées pourtant décrites au sein de l’analyse d’impact relative à la protection des données (AIPD) transmise. La Commission souhaiterait que la liste des données à caractère personnel traitées dans le cadre du téléservice Mon FranceConnect , ainsi que les destinataires et accédants à ces données, figurent expressément dans le projet de décret.
Dans le cas où la liste des données à caractère personnel traitées serait difficilement déterminable compte tenu des différents cas d’usage du téléservice, le projet de décret pourrait indiquer de façon générale que Mon FranceConnect traite les données d’état civil des usagers ainsi que les données fournies par les différentes API. Le responsable de traitement devra informer plus précisément, au cas par cas, chaque expérimentateur des données traitées par le biais de mentions d’informations conformes à la règlementation informatique et libertés.
Enfin, la Commission souligne l’importance pour les utilisateurs du respect de leur nom d’usage. Au vu des choix différents faits par les opérateurs à ce sujet, la Commission encourage le ministère à intégrer cette problématique, si ce n’est dans l’expérimentation, du moins dans ses conclusions et ses réflexions pour la suite de ce projet.
Sur la durée de conservation
L’article 5 du projet de décret prévoit que les données à caractère personnel rendues accessibles à l’usager par le téléservice Mon FranceConnect seront conservées au sein du téléservice durant quinze minutes. Au-delà de cette durée, ces données seront détruites sans délai. La Commission salue l’approche retenue qui vise à délivrer une information détaillée aux usagers sans constitution d’un registre centralisé et encourage la DINUM à développer ce type de modèle pour les projets interministériels. Ce même article prévoit également que les données permettant au téléservice d’interroger les API ne reposant pas sur le dispositif FranceConnect seront quant à elle conservées toute la durée de l’expérimentation mais que l’usager peut, à tout moment, demander la suppression de ses données.
La Commission prend acte des précisions apportées selon lesquelles une demande de retrait de l’expérimentation de la part de l’usager implique également une suppression de toutes les données liées à l’usager.
Enfin, la Commission prend acte de ce que des informations permettant de garantir l’authenticité des attestations générées sont conservées trois mois. Elle souligne le soin porté à la minimisation des données afin d’assurer un haut niveau d’authentification des attestations tout en limitant le risque de ré-identification des données conservées. La Commission considère ainsi que les données conservées sont des données pseudonymisées. Cependant, les données pseudonymisées, en tant que données à caractère personnel, devraient être mentionnées dans le projet de décret. Ainsi, la Commission souhaiterait que le projet de décret soit complété en ce sens.
Sur la sécurité du traitement
A titre liminaire, la Commission observe que l’analyse de risque fournie par le ministère était en cours de rédaction et était incomplète. La Commission rappelle que celle-ci doit être terminée et dument complétée avant le lancement de l’expérimentation.
La Commission prend acte de ce que le dispositif fera l’objet d’un audit de sécurité dans le cadre de son homologation RGS comprenant, entre autres, une vérification des principales failles de sécurités décrites dans le Top 10 de l’OWASP (Open Web Application Security Project). Ces audits étant un composant important de l’assurance de sécurité de ce traitement, il devra être effectué et les éventuelles mesures correctives mises en œuvre, avant la mise en production.
La Commission prend acte de ce que le responsable de traitement a estimé que l’impact sur le traitement FranceConnect ne serait pas suffisant pour nécessiter une mise à jour de son analyse de risque. Elle recommande que celle-ci soit mise à jour si l’expérimentation venait à être étendue.
Enfin, la Commission rappelle qu'une durée de conservation des journaux de trois mois pour des raisons de sécurité n'est pas conforme aux six mois à un an qu’elle préconise. La Commission recommande donc d’allonger cette durée.
La Présidente
Marie-Laure DENIS