La Commission nationale de l'informatique et des libertés,
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 25-I-1°et 25-I-5°;
Vu le décret n° 99-778 du 10 septembre 1999 modifié instituant une commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation ;
Vu le décret n° 2000-657 du 13 juillet 2000 instituant une mesure de réparation pour les orphelins dont les parents ont été victimes de persécutions antisémites ;
Vu le décret n° 2000-1023 du 14 octobre 2000 portant application des dispositions du troisième alinéa de l'article 31 de la loi n°78-17 du 6 janvier 1978 au fichier mis en œuvre par la commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation ;
Vu le décret n° 2002-1478 du 19 décembre 2002 portant création de fichiers automatisés d'informations nominatives pour assurer, d'une part, l'instruction des dossiers d'indemnisation présentés en application du décret n° 99-778 du 10 septembre 1999 et, d'autre part, le paiement des indemnités ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Gaëtan GORCE, commissaire, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en son rapport,
Formule les observations suivantes :
La Commission a été saisie par la Commission d'indemnisation des victimes de spoliations (CIVS) d'une demande d'autorisation relative à l'interconnexion du traitement des demandes d'indemnisation des spoliations de la CIVS avec le traitement des allocataires de l'indemnité d'orphelin de l'Office national des anciens combattants et victimes de guerre (ONACVG) dans le cadre de l'indemnisation des orphelins de déportés pour les informer de leur droit à indemnisation.
Au regard des finalités des deux traitements concernés, il y a lieu de faire application de l'article 25-I-5° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation de la Commission l' interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents . En outre, l'interconnexion envisagée étant susceptible de faire apparaître indirectement des données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, et notamment les origines raciales ou ethniques et les opinions religieuses, la mise en œuvre de ce traitement, justifié par un intérêt public, doit faire l'objet d'une autorisation de la Commission en application de l'article 25-I-1°de ladite loi.
Sur la finalité du traitement
L'interconnexion des traitements de la CIVS et de l'ONACVG a pour finalité d'informer les attributaires de l'allocation d'orphelin de l'ONACVG qui n'ont pas présenté de demande d'indemnisation auprès de la CIVS de la possibilité d'être indemnisés des spoliations dont leurs parents ou grands-parents ont été victimes du fait des législations antisémites.
Cette demande d'autorisation s'inscrit dans le cadre d'une campagne de la CIVS visant à diffuser plus largement l'existence du droit à indemnisation. La CIVS n'a en effet pas réussi à identifier toutes les personnes susceptibles de pouvoir être indemnisées. Le projet d'interconnexion résulte ainsi de la nécessité d'élargir les moyens de recherche de la CIVS pour identifier les victimes de spoliations et leurs ayants droit susceptibles d'être indemnisés.
A cet effet, il est prévu la transmission des données d'identité des allocataires de l'indemnité d'orphelin, depuis le traitement mis en œuvre par l'ONACVG, à la CIVS. Celle-ci procèdera ensuite à la comparaison de ces données avec le traitement relatif aux demandes d'indemnisation des spoliations aux fins d'identifier les orphelins n'ayant pas encore présenté de demande d'indemnisation auprès de la CIVS. A l'issue de cette interconnexion, un courrier sera envoyé aux personnes ainsi identifiées afin de les informer de leur droit à indemnisation.
La Commission considère dès lors que cette finalité est déterminée, explicite et légitime, conformément à l'article 6 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées
Les données transmises par l'ONACVG à la CIVS concernent les personnes allocataires de l'indemnité d'orphelin de l'ONACVG. Il s'agit d'informations relatives à leur état civil (nom, prénom, adresse, date et lieu de naissance), à leur vie personnelle (situation familiale) et professionnelle (situation professionnelle) ainsi qu'à leur situation économique et financière (nature et valeur des biens spoliés).
Cette interconnexion est en outre susceptible de faire apparaître, directement ou indirectement, des données sensibles relevant de l'article 8 de la loi du 6 janvier 1978 modifiée. Il s'agit des données laissant apparaître les origines raciales ou ethniques et les opinions religieuses.
Etant donné que certaines victimes de spoliations l'ont été du fait de leur appartenance raciale ou ethnique ou de leurs opinions religieuses, réelles ou supposées, la collecte de ces données est justifiée par la finalité de l'interconnexion projetée. En outre, eu égard à ses missions d'intérêt public, la CIVS est autorisée, en vertu de l'article 1 du décret n° 2000-1023 du 14 octobre 2000, à traiter ce type de données.
La Commission estime dès lors que ces données sont adéquates, pertinentes et non excessives par rapport à la finalité du traitement.
Sur la durée de conservation des données
La conservation des données des personnes ayant répondu à la lettre de la CIVS les informant de leur droit à indemnisation est de deux ans à compter de l'envoi du courrier. Cette durée de conservation doit permettre à la CIVS d'effectuer les démarches nécessaires à l'information des personnes ayant droit à indemnisation, en particulier celles qui résident à l'étranger.
La conservation des données à caractère personnel des personnes n'ayant pas répondu à la lettre de la CIVS les informant de leur droit à indemnisation est de trois ans afin de pouvoir joindre les personnes par l'envoi d'un second courrier.
La durée de conservation des données enregistrées dans le traitement de la CIVS pour les personnes ayant constitué un dossier de demande d'indemnisation est également de trois ans.
La Commission considère que ces durées de conservation n'excèdent pas la durée de conservation nécessaire à la finalité du traitement.
Sur les destinataires des données
Les destinataires des données sont les agents de la CIVS chargés d'instruire les dossiers de demande d'indemnisation ainsi que les rapporteurs qui sont les magistrats responsables de l'instruction des dossiers.
Les agents de la CIVS ayant accès au traitement seront authentifiés par le biais d'un mot de passe d'un niveau de complexité suffisant.
La Commission considère que ces destinataires ont un intérêt légitime à accéder aux données.
Sur l'information des personnes concernées et leurs droits d'accès et de rectification
Il est prévu que les courriers envoyés aux personnes concernées contiennent l'ensemble des mentions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée et notamment l'identité du responsable de traitement, les finalités de l'interconnexion ainsi que les modalités d'exercice des droits des personnes concernées. Ces droits d'accès et de rectification s'exerceront directement auprès de la CIVS.
Sur les mesures de sécurité
Le transfert des données de l'ONACVG vers la CIVS aura lieu par transmission d'un support physique (CD-ROM) contenant les données sous forme chiffrée.
Une fois en possession de la CIVS, ces données seront recoupées sur la base des données d'état civil des personnes afin d'identifier les personnes présentes dans les deux fichiers. Les personnes ainsi identifiées seront spécifiquement identifiées dans la base de données, afin que l'origine de leurs données soit connue.
Le traitement aura lieu sur des ressources informatiques internes au CIVS qui font l'objet de mesures de sécurité suffisantes.
La Commission rappelle que toutes les actions doivent faire l'objet de mesures de traçabilité des consultations, conformément à l'article 34 de la loi du 6 janvier 1978 modifiée.
Au bénéfice des observations qui précèdent, la Commission autorise la CIVS à procéder à l'interconnexion du traitement des demandes d'indemnisation des spoliations de la Commission d'indemnisation des victimes de spoliations et du traitement des allocataires de l'indemnité d'orphelin de l'Office national des anciens combattants et des victimes de guerre.
La Présidente
Isabelle FALQUE-PIERROTIN