La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie, de l'industrie et du numérique  d'une demande d'avis concernant un projet d'arrêté portant création  d'un traitement automatisé de données à caractère personnel permettant  la gestion des aides à l'équipement permettant la continuité de la  réception des services de télévision en clair diffusés par voie  hertzienne terrestre à l'occasion de l'arrêt de l'utilisation de la  norme de codage vidéo MPEG-2 ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu le  code des postes et des communications électroniques, notamment son article L. 43 ;
Vu le  livre des procédures fiscales, notamment son article L. 166 B ;
Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;
Vu la  loi n° 86-1067 du 30 septembre 1986 modifiée relative à la liberté de communication, notamment son article 99 ;
Vu la  loi n° 96-659 du 26 juillet 1996 modifiée de réglementation des télécommunications ;
Vu la  loi n° 2015-1267 du 14 octobre 2015 relative au deuxième dividende numérique et à la poursuite de la modernisation de la télévision numérique terrestre ;
Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le  décret n° 2010-112 du 2 février 2010 pris pour l'application des articles  9,  10 et  12  de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges  électroniques entre les usagers et les autorités administratives et  entre les autorités administratives ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après  avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire  du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été  saisie, le 21 octobre 2015, d'un projet d'arrêté portant création, par  l'ANFR, d'un traitement automatisé de données à caractère personnel  permettant la gestion des aides à l'équipement afin d'assurer la  continuité de la réception des services de télévision à l'occasion de la  modernisation de la norme de codage de la TNT.
Créé par la  loi du 26 juillet 1996 susvisée,  l'ANFR est un établissement public à caractère administratif placé sous  la tutelle du ministère de l'économie, de l'industrie et du numérique  et investi d'une mission de service public. L'ANFR est en particulier  chargée de la gestion du spectre radioélectrique en France.
La  loi n° 2015-1267  relative au deuxième dividende numérique et à la poursuite de la  modernisation de la télévision numérique terrestre (TNT) doit permettre  de moderniser la TNT afin d'offrir aux téléspectateurs de nouveaux  formats d'image et de son. De nouvelles missions ont donc été confiées à  l'Agence nationale des fréquences (ANFR), notamment en ce qui concerne  l'accompagnement des téléspectateurs pour le passage à la TNT haute  définition qui doit avoir lieu le 5 avril prochain.
Dans ce contexte, il est prévu de mettre en œuvre un téléservice  afin de permettre la gestion d'aide à l'équipement telle que prévue par  la  loi du 14 octobre 2015 susvisée.  Dès lors, en application de l'article 27-II (4°) de la loi du 6 janvier  1978 modifiée, ce traitement doit être autorisé par arrêté du ministre  compétent, pris après avis motivé et publié de la commission.
Sur la finalité du traitement :
L'alinéa 1 de l'article 99 de la loi du 30 septembre 1986 modifiée  susvisée prévoit l'octroi d'une aide à l'équipement aux foyers dégrevés  de la contribution à l'audiovisuel public et ne recevant les services de  télévision en clair que par la voie hertzienne, afin de contribuer à la  continuité de la réception gratuite de ces services à l'occasion de  l'arrêt de l'utilisation de la norme de codage vidéo ISO/IEC 13818-2  dite  MPEG-2 .
Dans ce cadre, le téléservice projeté a pour finalité, aux termes de  l'article 1er du projet d'arrêté, de  permettre la réception, le  traitement, le suivi et le paiement des demandes d'aide à l'équipement  .
Cette aide à l'équipement, d'un montant maximum de 25 euros TTC et  soumise à des conditions strictes d'éligibilité, prend la forme d'une  offre de remboursement a posteriori. Elle doit permettre de couvrir tout  ou partie des frais relatifs à l'acquisition d'un dispositif permettant  la réception des services de télévision en clair diffusés par voie  hertzienne terrestre ou à l'accès à l'offre d'un distributeur de  services ou d'un opérateur de réseau satellitaire qui propose la  réception desdits services (acquisition d'un adaptateur TNT, d'un  téléviseur TNT intégré, souscription d'un abonnement par câble, etc.).
En pratique, le traitement projeté doit permettre aux usagers de  demander à bénéficier de l'aide à l'équipement et leur permettre de  suivre en temps réel l'évolution du statut de leur demande.
De manière générale, la commission rappelle qu'elle a toujours  considéré que la simplification des démarches administratives et  l'amélioration des relations entre les administrés et l'administration  constituent des finalités légitimes, sous réserve que des mesures de  sécurité appropriées soient prévues et que les droits des personnes  soient respectés. Elle estime que le traitement projeté, de nature à  simplifier les démarches relatives à l'octroi de l'aide à l'équipement  réalisées auprès de l'ANFR, poursuit dès lors une finalité légitime.
Enfin, la commission relève qu'aux termes de l'article 99 de la loi  du 30 septembre 1986 modifiée il est également prévu d'instituer une   aide à la réception , sans condition de ressources, afin d'assurer la  continuité de la réception de la télévision des foyers affectés lors des  réaménagements de fréquence (aide à la réorientation de l'antenne, au  passage à un mode de réception alternatif, etc.). Elle prend acte que la  mise en œuvre du téléservice afférent au traitement de cette démarche  administrative fera prochainement l'objet de nouvelles formalités  préalables.
Sur les données traitées :
L'article 2 du projet d'arrêté énumère les catégories de données à  caractère personnel relatives à l'usager qui souhaite bénéficier de  l'aide à l'équipement et qui peuvent être enregistrées dans le  traitement projeté.
Il s'agit tout d'abord de données nécessaires à la gestion de  l'identification du demandeur (civilité, nom, prénom, date et lieu de  naissance, adresse postale et type d'habitat). En ce qui concerne le  type d'habitat (individuel ou collectif), la commission prend acte que  cette donnée doit permettre un contrôle approfondi des demandes d'aides à  l'équipement en s'assurant en particulier de l'unicité d'une demande  par foyer.
Ce même article prévoit également la collecte et l'enregistrement de  l'identifiant fiscal du demandeur, des coordonnées GPS de l'adresse de  son domicile ainsi que de ses coordonnées bancaires (RIB).
La commission considère que ces informations doivent permettre de  vérifier l'éligibilité du demandeur à l'octroi de l'aide à l'équipement  et le versement de cette dernière. En particulier, elle relève que les  dispositions de l'article L. 166 B du livre des procédures fiscales  (LPF) tel que modifié par la  loi du 14 octobre 2015 susvisée,  qui permettent à l'ANFR de  recevoir communication de l'administration  fiscale des renseignements utiles à la gestion des aides instituées à  l' article 99 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication , autorisent la collecte et le traitement de données fiscales.
La commission prend acte que, dans un premier temps, le téléservice  de gestion de l'aide à l'équipement, mis en place à partir du 20  novembre prochain, reposera sur la saisie du seul identifiant fiscal des  demandeurs à partir des pièces justificatives transmises. Elle relève  qu'il est prévu dans un deuxième temps d'utiliser d'autres données  fiscales, conformément à la possibilité offerte par le nouvel article L.  166 B du LPF précité, lesquelles seront directement transmises par la  direction générale des finances publiques (DGFIP) via le réseau  interministériel d'échange (RIE).
La commission rappelle que, dans la mesure où les données  enregistrées dans le téléservice projeté seront modifiées, il conviendra  de la saisir pour avis, conformément aux dispositions de l'article  30-II de la loi du 6 janvier 1978 modifiée. Il appartiendra également à  la DGFiP de procéder à la modification des traitements à partir desquels  ces nouvelles données fiscales seront transmises afin d'en rendre  l'ANFR destinataire.
S'agissant des coordonnées GPS du domicile, la commission relève que  cette donnée doit permettre de vérifier l'éligibilité géographique de  la demande d'aide à l'équipement en vérifiant que la zone concernée est  bien couverte par la TNT.
L'article 2 du projet d'arrêté prévoit enfin que, de manière  facultative, l'adresse électronique et le numéro de téléphone portable  du demandeur pourront être collectés. La commission prend acte que ces  données visent à permettre à l'usager d'être informé et de suivre l'état  d'avancement de sa demande d'aide financière.
Enfin, la commission prend acte que, parmi les données enregistrées  dans le traitement, peuvent figurer les pièces justificatives transmises  afin de justifier de l'éligibilité à la demande d'aide à l'équipement, à  savoir l'avis d'imposition du demandeur ou l'avis de taxe d'habitation.  Elle prend acte que, à sa demande, l'article 2 du projet d'arrêté sera  modifié afin de faire figurer expressément ces données au titre de  celles qui peuvent être enregistrées dans le téléservice de gestion des  aides à l'équipement.
Sous ces réserves, la commission considère que les données traitées  sont adéquates, pertinentes et non excessives au regard de la finalité  pour laquelle elles sont collectées, conformément à l'article 6 (3°) de  la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
L'article 3 du projet d'arrêté précise que  les données collectées  sont conservées pour la durée nécessaire à la réalisation des finalités,  c'est-à-dire jusqu'à la fin de la gestion des aides à l'équipement .
A l'expiration de cette période, actuellement prévue au 31 décembre  2019, les données sont détruites de manière sécurisée ou archivées à  titre définitif, dans des conditions définies en conformité avec les  dispositions du  code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Elle considère que cette durée de conservation est proportionnée au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
L'article 4 du projet d'arrêté énonce les destinataires ou  catégories de destinataires habilités à recevoir communication, dans la  limite du besoin d'en connaître et à raison de leurs attributions  respectives, des données énumérées à l'article 2 de ce même projet. Il  s'agit :
- des agents de l'Agence nationale des fréquences ;
- des agents du Conseil supérieur de l'audiovisuel ;
- des personnels des sous-traitants.
La commission rappelle que les agents de l'ANFR ainsi que les  personnels des sous-traitants auxquels a recours le responsable de  traitement ne constituent pas des destinataires au sens de l'article  3-II de la loi du 6 janvier 1978 modifiée et n'ont donc pas à figurer au  titre des personnes habilitées à recevoir communication des données à  caractère personnel enregistrées dans le traitement projeté. Elle prend  acte que, à sa demande, l'article 4 du projet d'arrêté sera modifié en  conséquence.
S'agissant des agents du Conseil supérieur de l'audiovisuel (CSA),  la commission relève que ces derniers seront uniquement destinataires  des coordonnées GPS de l'adresse du domicile du demandeur, à des fins de  vérification du critère de zone de couverture TNT, conformément aux  compétences qui sont dévolues à cet organisme aux termes de la  loi du 30 septembre 1986 susvisée.
Sur les droits des personnes :
La commission rappelle que la mise en place d'outils de  simplification des démarches administratives par voie électronique ne  doit pas être exclusive d'autres canaux d'échanges. A cet égard, elle  prend acte de l'existence d'une procédure alternative au téléservice qui  doit permettre l'accès à la même prestation de services, via le centre  d'appel de l'ANFR, lequel est situé en France.
S'agissant de l'information des personnes concernées par le  traitement projeté, elle est réalisée par le biais des mentions légales  sur le formulaire d'aide à l'équipement et les conditions générales du  site internet à partir duquel le téléservice sera accessible  (www.recevoirlatnt.fr), conformément à l'article 32 de la loi du 6  janvier 1978 modifiée. Une campagne d'information nationale à  destination du public sera par ailleurs organisée pour informer les  téléspectateurs de l'évolution de la norme de codage de diffusion de la  TNT.
La commission considère que ces modalités d'information sont satisfaisantes.
Les droits d'accès, de rectification et d'opposition pour motifs  légitimes prévus par les articles 38 et suivants de la loi du 6 janvier  1978 modifiée s'exercent directement auprès du directeur général de  l'ANFR, 78, avenue du Général-de-Gaulle, 94700 Maisons-Alfort, ce qui  n'appelle pas d'observation particulière.
Sur les mesures de sécurité :
La commission rappelle tout d'abord que le dispositif de l'ANFR étant un téléservice d'une autorité administrative au sens de l' ordonnance n° 2005-1516 du 8 décembre 2005 susvisée, il doit être conforme au référentiel général de sécurité (RGS) prévu par le  décret n° 2010-112 du 2 février 2010 susvisé.  Elfe rappelle qu'il revient au responsable de traitement d'attester  formellement de la sécurité de celui-ci au travers d'une homologation  RGS.
La commission rappelle également qu'étant un établissement public  sous tutelle du ministère de l'économie, de l'industrie et du numérique  l'ANFR est soumise à la politique de sécurité des systèmes d'information  de l'Etat (PSSIE). Aussi, elle recommande que les mesures nécessaires  d'ajustement de la sécurité soient entreprises dès à présent afin de  s'assurer de la mise en conformité à cette politique.
Concernant la sous-traitance informatique, l'ANFR fait appel à des  prestataires pour assurer la gestion des dossiers de demande d'aide à  l'équipement.
La commission rappelle que le responsable de traitement est tenu de  prendre toutes précautions utiles, au regard de la nature des données et  des risques présentés par la nature du traitement, pour préserver la  sécurité des données et, notamment, empêcher qu'elles soient déformées,  endommagées, ou que des tiers non autorisés y aient accès. A cet égard,  il convient notamment de s'assurer que l'hébergement externalisé des  données fait l'objet de mesures contractuelles suffisantes pour assurer  leur intégrité et leur confidentialité.
Au regard de la sensibilité et du volume des données qui seront  traitées, notamment lorsqu'il s'agira d'utiliser d'autres données  fiscales que le seul identifiant du contribuable, la commission estime  qu'il est indispensable que des mesures de sécurité logique, physique et  organisationnelle soient définies au regard des risques présentés par  le traitement. Elle relève que, à sa demande, une étude d'impact sur la  vie privée a été réalisée et lui a été transmise.
S'agissant de l'accès par l'ANFR aux données gérées par ses  prestataires, la commission prend acte qu'il se fera par des canaux  sécurisés par chiffrement et mot de passe. La commission rappelle sa  recommandation en la matière, qui consiste à utiliser des identifiants  uniques et des mots de passe régulièrement renouvelés et strictement  personnels, de complexité minimale (au moins huit caractères parmi  majuscules, minuscules, chiffres et caractères spéciaux) et qui ne  soient pas stockés en clair. En outre, elle considère que la circulation  des pièces justificatives devra faire l'objet de mesures  organisationnelles visant à assurer leur sécurité.
La commission considère par ailleurs que la gestion des  habilitations doit faire l'objet d'une procédure formalisée et  communiquée à l'ensemble des acteurs. Les habilitations doivent être  attribuées après validation hiérarchique, pour une durée déterminée et  faire l'objet d'un réexamen périodique.
Une fonctionnalité de journalisation a été définie pour les  opérations de création et de mise à jour. La commission recommande  d'affiner cette journalisation et de réaliser un contrôle des traces de  manière automatique, afin de détecter les comportements anormaux et  lever des alertes. Elle recommande également que des mesures soient  mises en œuvre pour assurer l'intégrité de ces traces.
Sous ces réserves, la commission considère que les mesures de  sécurité décrites par le responsable de traitement sont conformes à  l'exigence de sécurité prévue à l'article 34 de la loi du 6 janvier 1978  modifiée. Elle rappelle toutefois que cette obligation nécessite la  mise à jour des mesures de sécurité au regard de la réévaluation  régulière des risques.
Pour la présidente :
La vice-présidente déléguée,
M.-F. Mazars