(demande d’avis n°1358690)
La Commission nationale de l’informatique et des libertés ;
Saisie pour avis par la Commission nationale de l’informatique et des libertés d’un projet de décision relative à la mise en œuvre d’un site web dédié aux correspondants à la protection des données à caractère personnel ;
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 27-II-4° ;
Vu l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, notamment son article 7 ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi précitée ;
Vu la délibération n° 2005-280 du 22 novembre 2005 portant avis sur le projet d’ordonnance relatif aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Sur le rapport de Monsieur Alex TURK, Président et les observations de Madame Pascale COMPAGNIE, commissaire du gouvernement ;
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés s’est saisie, le 15 avril 2009, d’une demande d’avis sur un projet de décision de son Président, relative à la mise en œuvre d’un site web dénommé « correspondants.cnil.fr » dédié aux correspondants à la protection des données à caractère personnel.
Le site web s’inscrit dans une démarche de développement des échanges entre la Commission et les Correspondants à la protection des données à caractère personnel désignés par divers organismes publics et privés. Il vise également à permettre des échanges entre les correspondants à la protection des données à caractère personnel.
Le traitement mis en œuvre dans le cadre du site web dédié constitue un téléservice de l’administration et dès lors, il relève de la procédure prévue au 4° du II de l’article 27 précité.
Sur les finalités et les fonctionnalités
Le site web « correspondants.cnil.fr » est exclusivement dédié aux Correspondants à la protection des données à caractère personnel désignés dans les conditions prescrites par le titre III du décret n°2005-1309 du 20 octobre 2005 susvisé pour assurer les missions définies par l’article 22 de la loi du 6 janvier 1978 modifiée.
L’article 2 du projet de décision énonce que ce traitement vise d’une part à favoriser la communication entre la Commission et les correspondants désignés, d’autre part à faciliter les échanges entre correspondants. Ce traitement repose sur plusieurs fonctionnalités ayant pour objet : la gestion des inscriptions des correspondants désireux d’utiliser cet espace dédié, la gestion du forum de discussion, la mise à disposition de contenus personnalisés, l’édition et la diffusion de l’annuaire des correspondants, la diffusion d’une lettre d’information, l’instruction des demandes adressées par les utilisateurs, l’élaboration de statistiques de fréquentation du site.
La Commission prend acte que l’utilisation de cet espace dédié n’est pas obligatoire et qu’il existe d’autres canaux d’échanges entre la CNIL et les correspondants à la protection des données à caractère personnel. Elle relève que l’inscription à l’annuaire des correspondants est également facultative.
Sur les données à caractère personnel enregistrées
L’article 3 du projet de décision énumère les catégories de données à caractère personnel enregistrées en distinguant celles nécessaires à l’identification de l’utilisateur de celles relatives à l’utilisation de l’extranet.
Concernant les données relatives à l’identification du correspondant, sont collectés les éléments suivants : nom, prénom, identifiant et mot de passe, fonctions, coordonnées téléphoniques, adresse électronique, éléments d’identification de l’organisme représenté par le correspondant et rubriques d’actualité choisies par le correspondant.
Concernant les données relatives à l’utilisation de l’extranet, sont collectés les éléments suivants : adresse IP, date de création de compte, date de début et de fin de validité, date de la dernière connexion, date d’activation du compte, date de désactivation, date de modification du mot de passe, nombre de modifications du compte, information sur la personnalisation du compte (oui/non).
Les données susmentionnées sont adéquates, pertinentes et non excessives au regard des finalités définies à l’article 2 du projet de décision.
Sur les destinataires
La Commission constate que l’article 4 du projet de décision détermine les catégories de destinataires habilités à recevoir communication des données enregistrées en fonction de leurs attributions respectives : les agents habilités du service des Correspondants Informatique et Libertés et ceux du service informatique de la Commission.
La Commission prend acte que les coordonnées des correspondants qui l’ont souhaité sont accessibles à tous les abonnés de l’extranet via l’annuaire et que cet accès portera sur les seuls nom, prénom, fonction, courrier électronique et organisme de rattachement du Correspondant Informatique et Libertés ayant préalablement accepté de figurer sur l’annuaire.
Sur les droits des personnes
Les utilisateurs sont informés de leurs droits par une mention d’information figurant sur l’extranet « correspondants.cnil.fr » et par la charte d’utilisation de celui-ci. Ils peuvent exercer leur droit d’accès et de rectification en contactant le Service Correspondant Informatique et Libertés soit en ligne par le formulaire de contact soit par courrier postal.
Sur les mesures de confidentialité et de sécurité mises en place
La Commission prend acte que l’accès à l’extranet sera subordonné à la validation par la CNIL de la désignation de l’utilisateur en qualité de Correspondant Informatique et Libertés.
L’authentification des utilisateurs de l’extranet nécessite la saisie d’un identifiant et d’un mot de passe individuels. La structure obligatoire du mot de passe prescrit une longueur minimale de 6 caractères alphanumériques et l’utilisation d’au moins une majuscule, une minuscule et un chiffre. Les connexions à l’application font l’objet d’une journalisation.
La Commission prend également acte de l’engagement du responsable de traitement d’assurer la confidentialité des données traitées sur l’extranet et de ne les utiliser qu’aux seules fins définies par le projet de décision.