La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la défense d'une demande d'avis concernant un projet de décret modifiant le décret n° 2012-895 du 19 juillet 2012 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Agorha relatif à la gestion des ressources humaines de la gendarmerie nationale ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la défense ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 274 (1°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2012-895 du 19 juillet 2012 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Agorha relatif à la gestion des ressources humaines de la gendarmerie nationale ;
Vu l'arrêté du 3o avril 2014 portant création par la direction du renseignement et de la sécurité de la défense d'un traitement automatisé de données à caractère personnel relatif à la gestion des procédures de sécurité du personnel du ministère de la défense et des industries ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministre de la défense d'une demande d'avis concernant un projet de décret modifiant le décret n° 2012-895 du 19 juillet 2012 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Agorha relatif à la gestion des ressources humaines de la gendarmerie nationale.
Ce projet a principalement pour objet de compléter, d'une part, la liste des destinataires du traitement Agorha, définie à l' article 3 du décret du 19 juillet 2012 précité, en y ajoutant la sous-direction de la contre-ingérence et des directions zonales de la direction du renseignement et de la sécurité de la défense (DRSD), et, d'autre part, la liste des catégories de données conservées, en prévoyant notamment la mention de l'éventuelle double nationalité du candidat à un emploi de gendarme et de membres de son entourage.
Ces modifications des conditions de mise en œuvre du traitement Agorha, qui comporte notamment le numéro d'inscription au répertoire national d'identification des personnes physiques, visent à renforcer les contrôles effectués lors des recrutements au sein de la gendarmerie nationale. Ledit traitement relève ainsi des dispositions de l'article 27-1 (1°) de la loi du 6 janvier 1978 modifiée et les modifications projetées doivent dès lors faire l'objet d'un décret en Conseil d'Etat pris après avis motivé et publié de la commission.
Le traitement Agorha a pour objet la gestion des ressources humaines de la gendarmerie nationale et ses finalités sont précisément définies à l' article 1er du décret du 19 juillet 2012 précité. La liste des données qui y sont enregistrées, annexée audit décret, comporte divers éléments relatifs à l'identification des personnes, leur situation familiale, leur parcours professionnel et à leur situation militaire, mais également des données à caractère économique et financier et des données médico-administratives.
S'agissant de la consultation du traitement, l' article 3 du décret du 19 juillet 2012 susvisé distingue les personnes ayant accès à la totalité ou à une partie des données du traitement des personnes qui peuvent être destinataires de tout ou partie de ces données, à raison de leurs attributions respectives et du besoin d'en connaître.
C'est cette dernière catégorie de destinataires que le projet de décret vise en premier lieu à compléter, en y ajoutant la sous-direction de la contre-ingérence et des directions zonales de la direction du renseignement et de la sécurité de la défense, dans le cadre de leurs missions d'enquête et de recherche des atteintes à la sécurité nationale .
Le ministère justifie cette modification par la décision du directeur général de la gendarmerie nationale de confier à la DRSD la réalisation des enquêtes administratives relatives aux candidats à un emploi de gendarme. Un tel transfert de compétences vise à améliorer les contrôles effectués lors du recrutement au sein de la gendarmerie nationale et, notamment, à diminuer les risques d'infiltration de personnes radicalisées .
Ces enquêtes visent les candidats à un emploi de gendarme dans le cadre d'un concours externe, mais également les candidats à un concours interne et des gendarmes déjà en fonction, dans le cadre d'une procédure d'habilitation au secret de la défense nationale.
Compte tenu de la gravité des menaces auxquelles la gendarmerie nationale est aujourd'hui confrontée, la commission juge parfaitement légitimes le souhait de renforcer les contrôles effectués dans le cadre des enquêtes administratives et le transfert de compétences à une direction dotée d'une expertise spécifique en la matière, qui en découle.
Elle souligne toutefois que l'accès de la DRSD aux données à caractère personnel enregistrées dans le traitement Agorha suppose que l'accès à ces données soit nécessaire aux missions qui lui sont confiées.
A cet égard, la commission relève que le transfert de compétences opéré concerne uniquement la réalisation des enquêtes administratives et que, dans le cadre de la réalisation de ces dernières, selon le ministère, les agents de la DRSD ne consultent pas le traitement “Agorha” pour obtenir les informations dont ils ont besoin mais s'appuient sur les informations contenues dans le formulaire de contrôle élémentaire de recrutement de la DRSD que les candidats à un emploi dans la gendarmerie doivent remplir .
Au regard de ces précisions, la commission s'interroge sur les motifs ayant conduit le ministère à envisager d'étendre l'accès au fichier de gestion des ressources humaines Agorha et souligne qu'en tout état de cause seul l'accès aux informations nécessaires à la réalisation des enquêtes administratives peut être justifié. Si le décret du 19 juillet 2012 susvisé précise que les différents destinataires du traitement Agorha ne bénéficient d'un accès aux données qu' à raison de leurs attributions respectives et du besoin d'en connaître , la commission considère que le projet de décret devrait expressément définir les données concernées par l'accès de la DRSD et les restrictions d'accès qui en découlent.
En second lieu, s'agissant des modifications du décret du 19 juillet 2012 précité visant à permettre la mention, dans le traitement Agorha, des nationalités des candidats, de leur conjoint, concubin ou partenaire ainsi que des membres de leur famille, le ministère précise qu'il s'agit d'informations demandées par la DRSD et qu'elles doivent permettre de couvrir le cas des binationaux , afin de faciliter les enquêtes administratives .
La commission rappelle que l'enregistrement de données à caractère personnel doit être justifié au regard des finalités poursuivies par la mise en œuvre du traitement. Sur ce point, elle souligne que la réalisation des enquêtes administratives est une mission d'une nature distincte de la gestion des recrutements , cette dernière ne nécessitant de connaître que le sens des conclusions des enquêtes.
Elle considère dès lors que les données à caractère personnel dont la collecte et la conservation sont uniquement justifiées par la réalisation des enquêtes administratives doivent être enregistrées dans un traitement distinct du traitement de gestion des ressources humaines, étant précisé que cette séparation ne ferait pas obstacle à l'enregistrement dans Agorha du sens des conclusions des enquêtes administratives, déjà autorisé par le décret du 19 juillet 2012.
En outre, cette distinction n'imposerait pas nécessairement la création d'un nouveau traitement de données à caractère personnel, dès lors que la DRSD met déjà en œuvre un traitement relatif à la gestion des procédures de sécurité du personnel du ministère de la défense, dénommé SOPHIA et autorisé par l'arrêté du 3° avril 2014 susvisé.
Dans ces conditions, la commission considère que l'enregistrement des éventuelles doubles nationalités des candidats et de membres de leur entourage dans le traitement Agorha n'est pas pertinent. La commission prend acte de l'engagement du ministère de la défense de modifier le projet de décret sur ce point.
Les autres modifications prévues par le projet de décret, qui concernent les données relatives aux demandes de reconnaissance du centre des intérêts matériels et moraux des personnels militaires de la gendarmerie nationale, la mention du culte des aumôniers militaires et la situation scolaire des enfants des personnels, n'appellent pas d'observation de la part de la commission.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars