La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la Défense d'une demande d'autorisation concernant des traitements automatisés ayant pour objets de collecter, numériser, indexer, conserver et de diffuser sur Internet des données à caractère personnel issues des archives dont il a la charge aux fins de préservation de la mémoire des conflits contemporains et de mise à disposition d'informations à des fins historiques ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du patrimoine, notamment son Livre II ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1°, 25-I-3°) et 36 ;
Vu la loi n° 78-753 du 17 juillet 1978 modifiée portant diverses mesures d'amélioration des relations entre l'administration et le public ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 3 octobre 2003 modifié portant création d'un site internet par la direction de la mémoire, du patrimoine et des archives du ministère de la Défense ;
Vu la délibération n° 2012-113 de la Commission du 12 avril 2012 portant autorisation unique de traitements de données à caractère personnel contenues dans des informations publiques aux fins de communication et de diffusion par les services d'archives publiques (AU-029) ;
Après avoir entendu M. Philippe LEMOINE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par la direction de la mémoire, du patrimoine et des archives (DMPA) du ministère de la Défense (ci-après  le ministère ) en vue d'être autorisée à collecter, numériser, indexer, conserver et de diffuser sur Internet l'ensemble des données personnelles contenues dans les fonds d'archives et autres collections dont il la charge, en particulier les  dossiers de fusillés .
L'ensemble de ces archives sont mises en ligne sur le site internet  mémoire des hommes , créé par l'arrêté du 3 octobre 2003 modifié susvisé. Elles concernent notamment les fiches individuelles des militaires décédés pendant la Première Guerre mondiale et ayant obtenu la mention  mort pour la France , les journaux des marches et opérations des unités militaires engagées durant ce conflit, la base de données des 200.000 militaires décédés pendant la Seconde Guerre mondiale, les archives relatives aux Fusillés du Mont Valérien ou aux soldats mobilisés pendant la guerre de Corée (1950 - 1953). Plus récemment, les traitements nécessaires à la mise en ligne des registres matricules du recrutement militaire des soldats enrôlés par l'armée française lors de la Première Guerre mondiale ont été autorisés par la délibération n° 2013-281 du 10 octobre 2013 de la Commission.
Dès lors qu'ils ont été régulièrement mis en œuvre du point de vue de la loi  Informatique et Libertés , la présente délibération ne revient pas sur les modalités de mise en œuvre des traitements de données nécessaires à la mise en ligne de ces informations sur le site  mémoire des hommes , qu'un nouvel arrêté abrogeant l'arrêté du 3 octobre 2003 précité va par ailleurs encadrer.
Dans ces conditions, la présente autorisation porte uniquement sur les traitements nécessaires à la numérisation et à la diffusion sur ce site internet des dossiers retraçant le parcours judiciaire des soldats fusillés au cours de la période 1914-1918 ( dossiers de fusillés ).
Cette opération participe au programme national des manifestations organisées pour commémorer le centenaire de la Première Guerre mondiale, à l'instar de l' opération registres matricules  autorisée par la délibération précitée du 10 octobre 2013.
Dès lors que la finalité des nouveaux traitements envisagés ne se limite pas à  assurer la conservation à long terme de documents d'archives , ces traitements de données à caractère personnel conservées au-delà de la durée prévue au 5° de l'article 6 de la loi  Informatique et Libertés  relèvent de l'autorisation de la Commission, en application de l'alinéa 3 de l'article 36 de la loi du 6 janvier 1978 modifiée. Le régime de l'autorisation se justifie en outre au regard des articles 25-I-1°) et 3°) de la même loi, dans la mesure où ces traitements comportent des données relevant de l'article 8-I de la loi du 6 janvier 1978 modifiée ainsi que des données mentionnées à l'article 9 de la même loi.
Certaines caractéristiques du dispositif projeté par le ministère excèdent le cadre défini par la délibération n° 2012-113 de la Commission du 12 avril 2012 portant autorisation unique de traitements de données à caractère personnel contenues dans des archives publiques aux fins de communication et de diffusion par les services d'archives publiques (AU-029). En particulier, il est prévu de mettre à disposition des données relatives aux infractions et condamnations telles que prononcées, en application des législations en vigueur, à l'encontre de soldats ayant servi sous les drapeaux français. La Commission est donc saisie d'une demande d'autorisation ad hoc.
Si la Commission ne saurait revenir sur les modalités de mise en œuvre de traitements antérieurs à ce cadre général, c'est néanmoins au regard de sa doctrine en matière de publication de documents d'archives, telle qu'elle ressort notamment de la délibération n° 2012-113 du 12 avril 2012, que le dispositif projeté s'agissant des dossiers des fusillés doit être examiné.
La Commission rappelle en outre qu'elle devra être saisie de demande d'autorisation, en application des dispositions précitées, pour tout nouveau traitement de données personnelles issues d'archives dont la mise en ligne sur le site internet  mémoire des hommes  est envisagée.
Sur la finalité des traitements
Mis en œuvre à l'occasion du Centenaire de la Première Guerre mondiale, le dispositif du ministère de la défense poursuit des finalités historiques et mémorielles. Ce double objectif consiste, plus particulièrement, à préserver la mémoire des conflits contemporains et à alimenter les analyses historiques en la matière en ouvrant à tout internaute, ayant-droit, citoyen ou chercheur, professionnel ou amateur, l'accès à une source archivistique leur restituant les parcours individuels des hommes mobilisés pour la défense de la France.
Pour parvenir à la diffusion sur le site Internet  mémoire des hommes  de ce fonds d'archives, le dispositif se compose de plusieurs traitements qui relèvent de la responsabilité exclusive du ministère. Ainsi, tous les documents composant les  dossiers de fusillés  sous la responsabilité du ministère ont vocation à être :
-	numérisés sous format image ;
-	enregistrés dans la base constituée et hébergée par le ministère ;
-	indexés dans une base dite de  recherche nominative , accessible depuis ledit site internet ;
-	diffusés sur Internet à partir de ce site, qui propose un outil de recherche dans la base d'indexation des  dossiers des fusillés  ;
-	consultés par les internautes naviguant sur le site national ;
-	communiqués par copie ou par lien, papier ou numérique, aux lecteurs.
Dans le cadre de la gestion globale de ce site, et sans distinction des collections mises en ligne, sont également mises en œuvre plusieurs fonctionnalités pour :
-	permettre les échanges entre internaute et agent en charge de la gestion du site via une messagerie électronique ;
-	interroger les utilisateurs du site afin de recueillir toute observation via un questionnaire de satisfaction ;
-	et créer un espace personnel permettant notamment à tout internaute de conserver, en tout ou partie, l'historique de ses consultations et de participer à des travaux d'annotation nécessaires pour construire l'outil d'indexation (dites  opérations d'indexation collaborative ).
La Commission prend acte que les  dossiers de fusillés  ne seront pas proposés dans le cadre des opérations d'indexation collaborative.
Elle considère que ces finalités sont déterminées, explicites et légitimes dès lors que ce dispositif, mis en œuvre à des fins historiques et mémorielles, n'a pas pour objectif de prendre des décisions à l'égard des personnes concernées, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Les modalités pratiques d'obtention de copie des bases de données ainsi mises à disposition et de réutilisation de ces informations sont définies par un règlement général pris le 20 avril 2011, construit à l'issue d'un travail commun du ministère et de l'Agence du patrimoine immatériel de l'État (APIÉ). Deux licences de réutilisation en découlent et distinguent les usages commerciaux des usages non commerciaux.
Aucune règle spécifique ne semble être prévue par le ministère s'agissant de la réutilisation des  dossiers de fusillés . A cet égard, au vu de la sensibilité des données personnelles concernées, la Commission estime que la réutilisation à des fins commerciales des  dossiers de fusillés  devrait être exclue par le ministère, comme les dispositions de l'article 11 de la loi n° 78-753 du 17 juillet 1978 modifiée le permettent. Elle prend acte de l'engagement du ministère sur ce point.
Sur la nature des données traitées par le site  mémoire des hommes
Sont concernées par les présents traitements les données contenues dans les  dossiers de fusillés  dont les archives, jusqu'à la période de la Première guerre mondiale incluse, sont gérées par le ministère. Ces dossiers sont composés de minutes de jugement et de dossiers de procédures. Plus particulièrement, ces dossiers regroupent tous les actes liés à l'instruction d'une infraction reprochée à un soldat mobilisé durant la période 1914-1918, depuis son arrestation jusqu'au procès-verbal de son exécution à mort, voire jusqu'en 1935 s'agissant des éventuelles révisions de condamnations prononcées par la Cour spéciale de justice militaire.
Cette catégorie d'informations du secteur public peut revêtir un véritable intérêt historique, en particulier pour ce qui concerne les soldats mobilisés lors d'opérations militaires d'envergure. La direction de la mémoire du patrimoine et des archives du ministère a considéré que l'intégralité des données personnelles composant ces  dossiers de fusillés  au cours du premier conflit mondial constituait un élément du patrimoine commun à conserver pour alimenter un témoignage permanent sur ces faits historiques. Ces archives sont devenues  librement communicables  en application des dispositions du code du patrimoine.
S'agissant des  dossiers de fusillés , plusieurs champs de saisie peuvent contenir des données relatives à :
-	l'identité civile d'un soldat : nom, prénoms, pseudonyme, sexe ; date, commune, département et pays ou territoire (si autre que la métropole) de naissance ; nationalité ; lieu de sépulture ;
-	la description physique succincte ( signalement / état signalétique ) ;
-	la vie personnelle : commune et département de la dernière résidence, localité successives habitées ;
-	la vie professionnelle : profession, degré d'instruction ;
-	la vie militaire : bureau de recrutement, classe et côte du registre ; décision du conseil de révision ; état des services et mutations diverses (campagnes, blessures, actions d'éclat, décoration, mention de maladie, mention de condamnation) ; indication des corps dans lesquels les soldats sont affectés ; date de libération.
Les états signalétiques intégraux, interrogatoires, déclarations, rapports, citations, bulletins du casier judiciaire ou analyses, notes d'audience, relevés des juridictions, jugements ou extraits et procès-verbaux d'exécution à mort sont susceptibles de faire apparaître des données relevant des articles 8-I et 9 de la loi du 6 janvier 1978 modifiée (préférence sexuelle, état de santé, motifs d'arrestation, enquête policière, infractions, condamnations, etc.).
Les dossiers de fusillés sont en outre susceptibles de comporter des données concernant d'autres personnes, comme des témoins à charge, des victimes ou des auteurs de signalement de faits ayant entraîné l'arrestation, l'enquête et l'exécution à mort.
Il s'agit ainsi de documents sensibles qui portent une appréciation ou un jugement de valeur sur une personne physique nommément désignée ou facilement identifiable et qui font apparaître le comportement d'une personne dans des conditions susceptibles de lui porter préjudice.
Par principe, la Commission est réservée sur les traitements mis en œuvre à des fins de diffusion sur Internet dès lors qu'ils concernent des données relevant de l'article 9 de la loi  Informatique et Libertés  (infractions, condamnations ou mesures de sûreté). De même, elle estime traditionnellement que seule la finalité de mise en valeur à des fins historiques, statistiques ou scientifiques, et non le simple devoir de mémoire ou la valorisation du patrimoine auprès du grand public, peut justifier le traitement de données sensibles au sens de l'article 8-I de la même loi. La Commission estime en effet qu'une accessibilité massive de telles données personnelles serait de nature à porter préjudice au respect dû à la mémoire des défunts, ou à la vie privée de leurs ayants-droit, concernés par des périodes mouvementées de l'Histoire. C'est pourquoi elle a fait figurer de telles restrictions dans la délibération n° 2012-113 du 12 avril 2012 (AU-029).
Néanmoins, la Commission relève qu'en l'espèce, la mise en œuvre du dispositif s'inscrit dans le cadre du programme de commémoration du Centenaire de la Première Guerre mondiale et est, dès lors, justifiée par l'intérêt public. De plus, les données traitées concernent dans leur immense majorité des soldats et personnes décédés et sont contenues dans des archives publiques devenues  librement communicables .
Enfin, la Commission relève que le caractère manuscrit de ces documents ne permet pas de recourir à des outils de reconnaissance automatique des caractères (dit  OCR ) ou d'appliquer de façon automatique un  cache . Elle estime dès lors qu'exiger l'occultation de ces données pourrait induire des efforts disproportionnés par rapport à l'intérêt de la démarche de commémoration.
Au regard de l'ensemble de ces éléments, la Commission considère que ces catégories de données à caractère personnel sont adéquates, pertinentes et non excessives au regard des finalités historiques et mémorielles du dispositif.
Sur les conditions de mise à disposition des données
Sur les instruments de recherche
L'indexation consiste à répertorier dans un document les données significatives (nom, prénom, date, lieu de naissance, date du document, auteur, etc.) afin de permettre d'effectuer des recherches par mots-clés, de façon simple et rapide, dans ces documents.
Le site  mémoire des hommes  comporte un espace organisant la participation des internautes aux travaux d'annotation, dits  opérations d'indexation collaborative . Il permet à tout internaute créant un compte personnel sur le site de contribuer à repérer les données à référencer, au fil de sa navigation et de la consultation des documents. Pour ce faire, l'internaute doit formuler une demande expresse en ce sens, validée par le responsable de traitement, qui vérifie simplement la structure fonctionnelle de l'adresse électronique fournie par l'internaute. Cette  indexation collaborative  s'opère principalement à partir de listes de références pré-codées par le ministère. Le moteur de recherche interne au site permet enfin de lancer, à partir d'un seul critère dont un nom ou un prénom, une recherche dans chaque base ou dans l'ensemble des bases de données ayant bénéficié de travaux de référencement.
Le ministère précise toutefois que les  dossiers de fusillés  seront exclusivement indexés par l'administration. Seule la base des  Morts pour la France de la 1ère Guerre mondiale  est, à ce jour, ouverte à l'indexation collaborative, et ce uniquement pour certains champs spécifiques bénéficiant de références pré-codées.
Pour les personnes concernées par les archives diffusées (les soldats fusillés), les données suivantes sont indexées :
-	Nom et prénoms du soldat ;
-	Date de naissance ;
-	Lieu (commune, département, pays ou territoire) de naissance ;
-	Date, lieu, département et pays de décès ;
-	Lieu, département et pays de transcription de l'acte de décès ;
-	Mention  Mort pour la France  ou  non Mort pour la France  et lien vers la fiche correspondante déjà présente sur le site ;
-	Grade et unité d'appartenance ;
-	Classe ;
-	Bureaux et matricules de recrutement ;
-	Cote du registre ou du dossier ;
-	Lien vers une page de journal des marches et opération de l'unité d'appartenance en l'absence de minute de jugement ou de dossier de procédure.
En principe, dans le cadre de l'autorisation unique n° 029, la Commission n'autorise l'indexation sur les nom et prénom qu'à partir de 120 ans d'âge du document (soit, en l'espèce, au plus tôt 2034 - 2038).
Néanmoins, la possibilité de requêter à partir des nom et prénoms facilite les recherches des internautes qui, non initiés aux modalités habituelles de consultation des fonds d'archives, souhaiteraient reconstituer l'itinéraire particulier des membres de leur famille.
En outre, la Commission relève, d'une part, l'absence d'outils de saisie semi-automatique ou de tout autre outil soumettant à l'internaute la liste des noms les plus recherchés et, d'autre part, l'impossibilité d'accéder à l'un des documents d'archives par requête sur des données identifiantes à partir d'un outil externe au site  mémoire des hommes .
Eu égard à l'hétérogénéité des publics visés par cette diffusion sur Internet et des catégories d'archives concernées par le dispositif, la Commission estime nécessaire de faciliter la consultation des bases mises à disposition sur le site  mémoire des hommes , en utilisant notamment les données nominatives avant l'expiration d'un délai de 120 ans.
Enfin, la Commission prend acte qu'aucune donnée relevant des articles 8-I et 9 de la loi du 6 janvier 1978 modifiée n'est retenue pour paramétrer l'indexation, à l'exception du terme  fusillé , intitulé intrinsèque du fonds d'archives rassemblant les données concernées. De même, les données identifiant les autres personnes appelées à prendre part, d'une façon ou d'une autre, aux actions préalables ayant mené jusqu'à l'exécution à mort ne sont pas indexées.
Sur les destinataires des données
Il s'agit de permettre à toute personne, internaute ou non, ainsi qu'à la communauté scientifique, d'accéder à l'ensemble des documents composant chaque  dossier de fusillé . Sur le site  mémoire des hommes , la consultation de ces données ou l'obtention de copie, papier ou numérique, n'est pas conditionnée par une identification préalable. Tout internaute ou toute personne sollicitant le ministère ou se rendant sur le site  mémoire des hommes  est donc susceptible d'être rendu destinataire de ces données.
Compte tenu des catégories de personnes concernées par ces archives, et notamment de tiers, du volume de données composant les  dossiers de fusillés ,  de la présence de données relevant des articles 8-I et 9 de la loi  Informatique et Libertés , de l'absence de tri préalable à la mise à disposition et de toute distinction des motivations des lecteurs ainsi que des fonctionnalités de recherche du dispositif, notamment à partir des nom et prénoms des fusillés, la Commission estime nécessaire que le ministère mette en œuvre des mesures complémentaires pour assurer la proportionnalité du dispositif. En particulier, il convient de prévoir un dispositif technique amenant l'internaute à marquer un temps de réflexion matérialisant le fait qu'il ne s'agit pas d'accéder à n'importe quel site et à n'importe quelles informations.
La Commission demande au ministère de prévoir des mesures appropriées à cette fin. Il pourrait s'agir de décliner quelques éléments de sa propre  identité avant d'accéder à l'intimité de toutes les données des fusillés ; l'internaute renseignerait, par exemple, une adresse de messagerie et un mot de passe, selon la même procédure qui est exigée pour participer aux opérations d'indexation. Il pourrait également s'agir d'insérer un Captcha, visuel ou auditif, avant de lancer une requête dans la base des  dossiers de fusillés  ou de contingenter le volume d'archives consultables, en subordonnant l'accès à un volume illimité à une procédure de vérification plus poussée du  compte utilisateur qui aurait été créé.
Par ailleurs, tout internaute attentif peut demander que les bases de données d'indexation et des dossiers de fusillés ainsi numérisés soient rectifiées ou complétées. Sans avoir à justifier d'un lien de parenté avec le soldat concerné, le demandeur étaye sa proposition formulée, par exemple par courriel adressé au responsable du site. Une procédure de vérification est mise en œuvre avant que ne soit apportée une correction ou un complément à la base concernée.
La Commission souligne l'intérêt d'ouvrir un tel  droit de mise à jour  des données à chaque internaute qui aura accès aux  dossiers de fusillés . Aucune analyse quant à l'exactitude des données n'a en effet été préalablement menée et les pratiques suivies pour constituer un dossier de fusillé variaient d'un service producteur à l'autre.
Elle considère en effet que cette possibilité participe au respect des dispositions de l'article 6-4° de la loi  Informatique et Libertés  s'agissant de mettre en œuvre des mesures appropriées pour effacer ou rectifier les données inexactes et incomplètes.
La Commission invite le ministère à relayer l'information de telles mises à jour sous la forme d'encarts d'actualité.
Sur l'information et les droits des personnes :
Les personnes concernées à titre principal par les archives du ministère sont des soldats qui, ayant été fusillés, sont désormais décédés. En outre, l'identité de leurs descendants n'est pas visée par ces archives, pas plus que leurs coordonnées. L'information préalable, ou le recueil de leur consentement à une telle accessibilité sur Internet, se révèle dès lors impossible et exigerait des efforts disproportionnés au regard de l'intérêt du dispositif mis en œuvre à des fins de commémoration. Il en irait de même pour les personnes concernées à titre incident par les  dossiers de fusillés  (témoins à charge, victimes ou auteurs de signalement de faits, etc.).
La Commission considère dès lors que les dispositions de l'article 32-III de la loi du 6 janvier 1978 modifiée, permettant d'exonérer le responsable de traitement de l'obligation d'information des personnes concernées, sont applicables en l'espèce.
Elle insiste néanmoins sur les moyens à mettre en œuvre par le ministère pour poursuivre l'effort d'information pédagogique à destination du grand public s'agissant de l'utilisation de fonds d'archives. Elle l'invite également à renforcer la qualité des éléments accompagnant en particulier la diffusion des  dossiers des fusillés  afin de permettre une analyse critique des données au regard de leur contexte de production.
Les droits  Informatique et Libertés  peuvent être exercés dans les conditions suivantes : toute personne justifiant d'un lien de parenté avec un fusillé ou avec une autre personne mentionnée dans un  dossier de fusillés  peut s'opposer à la diffusion de données en invoquant un motif tiré de la volonté de préserver la mémoire du défunt ou de protéger sa propre vie privée.
Sur la sécurité des données et la traçabilité des actions
La Commission rappelle que tout responsable de traitement doit prendre les mesures nécessaires pour empêcher que les données qu'il détient soient déformées, endommagées ou réutilisées par des tiers non autorisés.
Elle recommande, en particulier, de protéger le site concerné notamment afin de détecter d'éventuelles attaques massives d'aspiration ou de copie du contenu en dehors des licences de réutilisation, ainsi que d'empêcher de porter atteinte à l'intégrité des bases de données constituées à titre historique. La Commission prend acte des mesures mises en place en novembre 2013 par le ministère tendant notamment à imposer la consultation et le téléchargement, image par image, afin de décourager le contournement des licences de réutilisation permettant d'obtenir un fonds d'archives complet en une seule action.
Elle invite néanmoins le ministère à mener une étude préalable des risques pour définir les mesures de sécurité à mettre en œuvre. Le périmètre de l'étude devrait considérer, d'une part, les risques d'atteinte à la sécurité des systèmes d'information et leurs impacts sur l'entité publique et, d'autre part, les risques d'atteinte aux données à caractère personnel et leurs impacts sur les libertés individuelles et collectives des personnes dont les données archivées sont mises à disposition. Cette étude de risques devrait pouvoir être communiquée sur demande à la Commission, qui doit être en mesure de vérifier à tout moment que des mesures adéquates de sécurité ont été mises en œuvre et sont améliorées en tant que de besoin.
Enfin, la Commission rappelle qu'il appartient au ministère de mettre à jour les mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le ministre de la Défense à mettre en œuvre des traitements de données à caractère personnel ayant pour finalités de collecter, numériser, indexer, conserver et de diffuser sur Internet des données à caractère personnel issues des archives dont il a la charge, aux fins de préservation de la mémoire des conflits contemporains et de mise à disposition d'informations à des fins historiques.
La Présidente
I. FALQUE-PIERROTIN