(Demande d’autorisation n° 1894180)
La Commission nationale de l'informatique et des libertés,
Saisie par l’Association pour le développement du service notarial (ADSN) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité l’interrogation du casier judiciaire par les notaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la construction et de l’habitation, notamment ses articles L. 123-3-VII-3° et L. 511-6-III-3° ;
Vu le code pénal, notamment son article 225-19-5° bis ;
Vu le code de procédure pénale, notamment ses articles 768 et suivants ;
Vu le code de la santé publique, notamment son article L. 1337-4-IV-3° ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu la loi n° 2014-366 du 24 mars 2014, notamment son article 77 ;
Vu l’ordonnance n° 45-2590 du 2 novembre 1945 relative au statut du notariat ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Gaëtan GORCE, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Le responsable du traitement est l’Association pour le développement du service notarial (ADSN), placée sous le contrôle du Conseil supérieur du notariat, établissement d'utilité publique créé par l’ordonnance n° 45-2590 du 2 novembre 1945 susvisée.
L’ADSN est un groupe de sociétés destiné à accompagner le notariat pour améliorer et développer les services rendus à sa clientèle.
Sur la finalité et le fonctionnement du traitement
La finalité du traitement est de permettre à l’ADSN de traiter les bulletins n° 2 (B2) du casier judiciaire des acquéreurs d'un bien immobilier à usage d'habitation ou d'un fonds de commerce d'un établissement recevant du public à usage total ou partiel d'hébergement et de transmettre aux notaires l’état de la situation de l’acquéreur.
En effet, afin de renforcer la lutte contre l’habitat indigne, la loi n° 2014-366 du 24 mars 2014 susvisée a confié au notaire chargé d'établir l'acte authentique de vente d'un tel bien le soin de vérifier si l'acquéreur avait fait l'objet d’une condamnation à la peine d'interdiction d'acheter un bien immobilier à usage d'habitation ou un fonds de commerce d'un établissement recevant du public à usage total ou partiel d'hébergement.
Or, le législateur a expressément prévu que, pour opérer une telle vérification de la situation de l’acquéreur, le notaire doit s’adresser à l’ADSN qui demande à prendre connaissance du (B2) de l'acquéreur auprès du service du casier judiciaire national.
Dans ce contexte, la Commission estime que l’article L. 551-1 du code de la construction et de l’habitation, créé par la loi n° 2014-366 du 24 mars 2014 précitée, permet, par dérogation à l’article 9 de la loi du 6 janvier 1978 modifiée, à l’ADSN de traiter des données relatives à des condamnations. Elle considère qu’il y a dès lors lieu de faire application de l’article 25-I-3° modifiée qui soumet à autorisation de la Commission les traitements portant sur de telles données.
Conformément à l’article 775 du code de procédure pénale, le B2 est le bulletin destiné à l’autorité administrative. Il comporte la plupart des condamnations pour crimes et délits, à l’exception, notamment, de celles prononcées à l’encontre des mineurs ou de celles assorties du bénéfice du sursis lorsqu'elles doivent être considérées comme non avenues.
Pour vérifier si l’acquéreur a fait l’objet d’une interdiction d’acheter un bien immobilier, le notaire formule une demande de consultation du B2, grâce à son logiciel de rédaction d’actes ou grâce à un portail intranet sécurisé, directement transmise à la plateforme PLANETE de l’ADSN, qui est un système d’information destiné au traitement, à la vérification et à l'acheminement des flux d’informations vers différents partenaires de la profession notariale.
L’ADSN centralise ainsi les demandes dématérialisées de consultation des B2 et les envoie de manière groupée au service du casier judiciaire.
L’ADSN traite chaque demande sans opérer un quelconque croisement entre les différentes demandes qu’elle reçoit.
Le casier judiciaire retourne des réponses dématérialisées pour les B2 qui, ne contenant aucune condamnation, comportent une mention « néant ». Il envoie en courrier simple les B2 portant une condamnation ou pour lesquels il est dans l’incapacité de traiter la demande, notamment lorsque la personne est décédée.
L’ADSN dispose d’un lecteur automatique des B2 papier pour traiter ces retours et ainsi identifier plus rapidement les B2 contenant une condamnation à la peine d’interdiction d’acquérir. Afin de s’assurer que l’acquéreur concerné est bien soumis à une interdiction d’acquérir, une validation humaine systématique des B2 mentionnant une telle condamnation est mise en place.
La Commission relève que cette intervention humaine participe du fait qu’une décision du notaire produisant des effets juridiques à l'égard de l’acquéreur n’est pas prise sur le seul fondement du traitement automatisé de données examiné, conformément à l’article 10 de la loi du 6 janvier 1978 modifiée.
L’ADSN transmet alors, sur la plateforme PLANETE, une réponse dématérialisée à la demande du notaire, sous la forme d’une mention oui/non.
Si l’acquéreur fait l’objet d'une telle condamnation, l'acte authentique n'est pas signé et l'avant-contrat de vente signé antérieurement est réputé nul et non avenu aux torts de l'acquéreur, à moins que l'acquéreur n’atteste, dans l'acte de vente, que le bien est destiné à son occupation personnelle.
Au regard de ces éléments, la Commission considère que les finalités du traitement de l’ADSN, qui ont en tout état de cause été définies par le législateur, sont conformes à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Les données faisant l’objet d’un traitement sont les suivantes :
Les données relatives à l’identité de l’acquéreur sont nécessaires pour que l’ADSN puisse adresser une demande pertinente au casier judiciaire et éviter d’obtenir un B2 d’une autre personne. Afin de s’assurer que l’identité de l’acquéreur transmise au service du casier judiciaire n’est pas confondue avec un éventuel homonyme, l’identité des parents de l’acquéreur peut également être transmise. Le traitement de ces données est facultatif.
état civil de l’acquéreur concerné par la demande du notaire (nom, prénom, sexe, date et lieu de naissance) ;
état civil de la filiation directe de l’acquéreur (nom, prénoms) ;
condamnations inscrites au B2 ;
identifiants des terminaux et identifiants de connexion.
Les données relatives aux condamnations sont celles résultant de l’exécution par l’ADSN de la mission que lui a confiée le législateur.
Les données de connexion permettent une traçabilité des actions sur la plateforme de l’ADSN.
La Commission estime que les données traitées sont dès lors adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires
Outre les personnels individuellement et dûment habilités de l’ADSN, seul les notaires ayant formulé une demande de consultation du B2 sont destinataires des données relatives à l’identité de l’acquéreur concerné par un acte de vente qu’ils instrumentent et à son éventuelle condamnation à la peine d’interdiction d’acquérir.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès
L’acquéreur soumis à une telle vérification est informé par le notaire qui procède à un affichage dans les locaux de son étude ou insère une mention informative dans l’acte qu’il instrumente.
La Commission rappelle qu’une telle mention d’information devra, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, indiquer à l’acquéreur l’identité du responsable de traitement, la finalité poursuivie, le caractère obligatoire des réponses, les destinataires des données traitées et les droits « Informatique et Libertés » dont il dispose.
Les droits d’accès et de rectification s’exercent auprès du correspondant à la protection des données à caractère personnel, « CIL », de l’ADSN.
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. Elle relève en outre que, conformément à l’article 38 de la loi précitée, le droit d’opposition n’a pas vocation à s’appliquer au traitement examiné, dès lors que celui-ci répond à une obligation légale pesant sur les notaires et l’ADSN.
Sur les mesures de sécurité
Des sauvegardes régulières sont réalisées. Elles sont stockées de manière à garantir leur sécurité et leur disponibilité.
Les B2 scannés sont stockés sous forme chiffrée sur un disque dur. La clé de chiffrement n’est pas conservée avec les données chiffrées.
Les interventions de maintenance font l'objet d'une traçabilité. Une journalisation des opérations de consultation, création et modification du traitement est réalisée, ces journaux étant conservés pendant un an. Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement sécurisé.
Le responsable de traitement a mis en place une politique de mot de passe qui exige que ceux-ci aient une longueur minimale de huit caractères et qu’ils contiennent au moins un chiffre, une minuscule et un caractère spécial. Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Les communications intervenant sur le réseau informatique interne sont filtrées.
Les services web sont sécurisés au moyen du protocole TLS. Concernant le recours au protocole HTTPS, la Commission recommande de ne plus utiliser SSLv3, mais de préférer la version de TLS la plus à jour possible.
La Commission relève que les B2 portant une condamnation ou faisant état d’une incapacité pour le casier judiciaire de traiter la demande sont envoyés par courrier simple. Il conviendrait de mettre en place un mécanisme de transport de ces B2 qui puisse en assurer la confidentialité.
Au regard de ces éléments, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données traitées relatives à l’identité de l’acquéreur et nécessaires pour l’interrogation du casier sont conservées trois mois.
Les données relatives aux condamnations, qu’elles aient été transmises par voie dématérialisée ou par extrait papier du B2, sont conservées six mois.
Les données dématérialisées sont automatiquement purgées à l’expiration de ces délais. Les B2 au format papier sont détruits de manière sécurisée.
La Commission estime que ces durées de conservation, qui permettent à l’ADSN et aux notaires de traiter les demandes d’interrogation du casier formulées, n’excèdent pas les durées nécessaires à la finalité poursuivie par le traitement, conformément à l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, l’Association pour le développement du service notarial à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN