La Commission nationale de l'informatique et des libertés,
Saisie le 3 décembre 2004 par le conseil général du Val d'Oise d'un dossier de formalités préalables portant sur le projet de carte de vie quotidienne dit "cartevaloise",
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel ;
Après avoir entendu, M. Jean-Marie Cotteret, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du gouvernement, en ses observations ;
Emet l'avis suivant :
Le conseil général du Val d'Oise souhaite mettre à disposition des habitants du département une carte de vie quotidienne, intitulée "Cartevaloise". Ce dispositif "pilote" qui répond à l'appel à projet "carte de vie quotidienne" de l'Agence pour le développement de l'administration électronique (ADAE) consiste à proposer plusieurs solutions techniques aux foyers de quatre communes, Franconville, Saint-Ouen l'Aumône, Louvres et Parmain, afin de faciliter leurs démarches administratives.
Sur le champ d'application du dispositif
Le dispositif concernera une ou plusieurs classes d'un groupe scolaire des quatre communes retenues. Il sera proposé aux parents des élèves concernés une carte à puce, des cartes sans contact pour les enfants et un ensemble de téléservices.
Afin d'obtenir la carte à puce dite "cartevaloise", le parent déclinera son identité et la composition de son foyer.  Il produira, le cas échéant, les pièces justificatives nécessaires auprès de la collectivité.  En retour, il obtiendra d'une part, un moyen de connexion de type identifiant/mot de passe (permettant l'accès à l'espace privé et aux téléservices) et, d'autre part, une carte à puce (cartevaloise) permettant l'utilisation des bornes interactives de sa commune (accès par certificat à son espace privé et possibilité d'effectuer des démarches).
Le traitement permettra également l'accès, par le portail internet mis en place par le conseil général, à cinq domaines :  un "accueil général" par commune pour des demandes d'information générales ; le domaine "scolaire" pour effectuer une démarche de pré-inscription pour les enfants de maternelle et de primaire ; le domaine de la "cantine" pour effectuer une demande d'inscription à la cantine pour les enfants scolarisés et obtenir en retour une attestation d'inscription et une carte pour l'enfant (carte sans contact permettant à l'enfant de pointer sur une borne de pointage son passage à la cantine).  Le parent pourra consulter le nombre de repas pris par ses enfants inscrits à la cantine et régler à distance ; le domaine "périscolaire" permettant aux parents d'effectuer annuellement une demande d'inscription aux activités périscolaires pour les enfants de maternelle et primaire ; le domaine "espace privé" permettant de consulter la liste les démarches effectuées, les données du foyer, de déposer et stocker des justificatifs nécessaires aux démarches administratives, de consulter les consommations de certains services et de les payer (cantine par exemple).
La Commission prend acte du fait que tout ajout éventuel de nouveaux téléservices devra faire l'objet de nouvelles formalités préalables conformément à la loi du 6 janvier 1978 modifiée.
Sur la procédure de formalités applicable
Le projet présenté par le conseil général du Val d'Oise porte en particulier sur la mise en oeuvre d'un ensemble de téléservices mis à disposition des usagers des administrations communales préalablement dotés d'un identifiant propre au système ou d'un numéro d'identification déjà attribué, par exemple celui de la caisse d'allocations familiales pour certaines téléprocédures.  Ces téléservices relèvent de la procédure d'autorisation par arrêté pris après avis de la CNIL conformément à l'article 27.II. 4° de la loi du 6 janvier 1978 modifiée.
La Commission estime que l'arrêté créant le traitement devra préciser l'ensemble des finalités précitées ainsi que les finalités relatives à la délivrance de la "Cartevaloise", à la mise en place de bornes interactives et aux cartes sans contact délivrées aux enfants.
La Commission considère que compte tenu des caractéristiques actuelles du projet précité, les interconnexions entre les téléservices proposés et les fichiers communaux assurant la gestion de la cantine et de l'inscription scolaire sont directement liées aux téléservices proposés et poursuivent un même intérêt public.
La Commission estime toutefois que, dans la mesure où le traitement comporterait d'autres interconnexions entre les communes et le conseil général, par exemple, dans le domaine de la délivrance de titres d'identité ou de pièces d'état civil, celles-ci relèveraient d'intérêts publics différents.  Elles seraient alors susceptibles de relever de l'article 25.I.5° de la loi du 6 janvier 1978 modifiée.
Sur les catégories de données traitées
La Commission souligne que le traitement prévoit la collecte de nombreuses informations nécessaires à l'instruction des dossiers et relatives à l'identité des responsables légaux et des enfants (dont numéro CAF), à l'adresse, à la situation familiale, à la scolarité, à la vie professionnelle, aux revenus de la famille, à la santé des enfants et à l'agent de la collectivité en charge du dossier.
La Commission estime que le projet d'arrêté devrait comporter une liste exhaustive des données recueillies et que la mention "vie professionnelle" devrait être remplacée par la mention "profession". La mention "carnet de santé" devrait être remplacée par les seules informations effectivement recueillies à savoir les vaccinations et les allergies.
La Commission considère que le recueil de la nationalité au titres des données à caractère personnel collectées est excessif au regard des finalités du traitement et qu'elle doit en conséquence être supprimée du traitement.
Sur la durée de conservation des données
La Commission prend acte que la durée de conservation des informations correspond à la période d'activité du dossier de la famille plus un an.
La Commission estime que l'arrêté doit préciser la durée de conservation des demandes d'informations générales présentées par les usagers.  Cette durée de conservation devrait être au maximum de six mois.
Sur les mesures de sécurité
La Commission remarque que le système développé conduit à juxtaposer deux systèmes d'authentification (carte à puce d'une part et couple identifiant/mot de passe, d'autre part) correspondant à des niveaux de sécurité différents pour accéder aux informations contenues dans l'"espace privé".
La Commission recommande au conseil général de rechercher une harmonisation de ses solutions d'accès tout en maintenant un haut niveau de sécurité.
Sur l'information des personnes
La Commission rappelle que les mentions prescrites par l'article 32 de la loi du 6 janvier 1978 modifiée devront apparaître sur le formulaire permettant de créer le compte famille et d'obtenir la "cartevaloise".
Par ailleurs, les pages du portail internet devront également comporter des informations sur les finalités de la collecte, les destinataires et les mentions relatives aux droit d'accès, de rectification et de suppression des données concernant l'administré.
Sur les destinataires du traitement
Le projet d'arrêté prévoit comme destinataires les agents habilités des communes.  La Commission estime qu'il doit être complété pour prévoir que seuls les agents habilités des services en charge des affaires scolaires, périscolaires et de la restauration scolaire ainsi que ceux en charge des réponses aux questions générales, peuvent accéder aux informations dans la limite de leurs attributions.
Sur l'accès aux pièces justificatives contenues dans l' "espace privé", un accès permanent des services instructeurs peut paraître disproportionné au regard des besoins nécessaires à l'instruction du dossier.  L'arrêté devra, en conséquence, définir les conditions dans lesquelles ces services y accéderont seulement le temps nécessaire à l'instruction du dossier et à l'attribution de la prestation ou des droits éventuels.
Le président Alex TURK.