(Demande d'autorisation n° 1869270)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté relatif à la mise en œuvre d'un traitement automatisé de données à caractère personnel visant à dématérialiser la gestion de la prévention et des procédures d'expulsions locatives dénommé « EXPLOC » ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment le 1° du I de son article 26 ;
Vu la loi n° 90-449 du 31 mai 1990 visant à la mise en œuvre du droit au logement, notamment son article 7-2 ;
Vu la loi n° 2014-366 du 24 mars 2014 pour l'accès au logement et un urbanisme rénové, notamment son article 28 ;
Vu le code des procédures civiles d'exécution, notamment son article L. 153-1 ; 
Vu le décret n° 2004-374 du 29 avril 2004 relatif aux pouvoirs des préfets, à l'organisation et à l'action des services de l'Etat dans les régions et départements ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2015-1384 du 30 octobre 2015 relatif à la commission de coordination des actions de prévention des expulsions locatives, notamment son article 13 ;
Vu le projet d'arrêté du ministère de l'intérieur ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
La Commission a été saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté relatif à la mise en œuvre d'un traitement automatisé de données à caractère personnel visant à dématérialiser la gestion de la prévention et des procédures d'expulsions locatives, dénommé « EXPLOC », sur le fondement de l'article 26-1 (1°) de la loi n° 78-17 du 6 janvier 1978 modifiée qui prévoit que « sont autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés, les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et qui intéressent la sûreté de l'Etat, la défense ou la sécurité publique (…) ».
Ce projet s'inscrit dans le cadre de la loi n° 2014-366 du 24 mars 2014 pour l'accès au logement et un urbanisme rénové (ALUR) qui a renforcé la prévention des expulsions locatives en prévoyant désormais une obligation pour l'huissier de justice de signaler l'impayé au stade du commandement de payer et a renforcé le rôle des commissions de coordination des actions de prévention des expulsions locatives (CCAPEX), dont la création au sein de chaque département a été rendue obligatoire par la loi n° 2009-323 du 25 mars 2009 de mobilisation pour le logement et la lutte contre les exclusions.
Ce traitement est en outre régi par les dispositions de l'article 7-2 de la loi n° 90-449 du 31 mai 1990 visant à la mise en œuvre du droit au logement, lesquelles ont été reprises dans l'article 28 de la loi ALUR, qui dispose que « la composition et les modalités de fonctionnement de la commission, notamment du système d'information qui en permet la gestion, sont fixées par décret en Conseil d'Etat ».
L'article 13 du décret n° 2015-1384 du 30 octobre 2015 relatif à la commission de coordination des actions de prévention des expulsions locatives, pris pour application de ces dispositions, précise ainsi que « le système d'information prévu au dernier alinéa de l'article 7-2 de la loi du 31 mai 1990 susvisée a pour finalité d'améliorer l'efficacité de la prévention et de la gestion de la procédure des expulsions locatives. Les informations à caractère personnel contenues dans le système d'information sont celles prévues à l'article 12. Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 susvisée s'exercent auprès du secrétariat de la commission ou de ses sous-commissions. Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 susvisée n'est pas applicable au traitement prévu au présent article ».
L'article L. 412-5 du code des procédures civiles d'exécution prévoit que « dès le commandement d'avoir à libérer les locaux, l'huissier de justice chargé de l'exécution de la mesure d'expulsion en saisit le représentant de l'Etat dans le département afin que celui-ci en informe la commission de coordination des actions de prévention des expulsions locatives (…) ».
L'article L. 153-1 de ce même code ajoute que « l'Etat est tenu de prêter son concours à l'exécution des jugements et autres titres exécutoires ».
Le préfet est en ce sens compétent pour accorder le concours de la force publique en cas de refus d'un occupant de quitter un local suite à une décision de justice.
L'application EXPLOC a vocation à se substituer aux dossiers « papier » existants et à rationaliser la procédure actuelle en proposant une saisie normée au niveau national.
Le déploiement de l'application comporte deux phases. La première, objet du présent avis, concerne les services départementaux de l'Etat directement impliqués dans la gestion des dossiers d'expulsion locative, à savoir les préfectures, les sous-préfectures, les directions départementales interministérielles ainsi que les forces de l'ordre. La seconde phase, programmée pour l'année 2016, permettra d'associer les partenaires et organismes qui interviennent tout au long de la gestion des dossiers : les huissiers, les services sociaux, les caisses d'allocations familiales, la Banque de France, les bailleurs sociaux, ainsi que les collectivités locales.
Sur les finalités du traitement :
Outre la dématérialisation de la gestion de la prévention et des procédures d'expulsions locatives, ainsi que du suivi des dossiers individuels des locataires connaissant des difficultés pour le paiement de leur loyer, le dossier présenté par le ministère de l'intérieur à la commission indique que l'application EXPLOC a pour objectif :
- d'améliorer la qualité du service :
- en clarifiant et en rendant visible la procédure à l'ensemble des utilisateurs en leur offrant un accès partagé en temps réel aux informations relatives au déroulement de la procédure ;
- en permettant de suivre les délais réglementaires ;
- en réduisant les montants indemnitaires versés par l'Etat aux bailleurs lorsque le concours de la force publique n'a pas été accordé dans les délais ;
- d'améliorer le fonctionnement du service :
- en allégeant et en rationalisant les tâches des agents ;
- en réduisant les temps de traitements et les délais associés ;
- en améliorant le suivi hiérarchique, le contrôle et la traçabilité du déroulement des étapes de la procédure ;
- en facilitant le suivi et le pilotage de la procédure (au moyen de la production d'indicateurs et de statistiques de performance des services, nécessaires au suivi de l'activité et permettant une analyse plus fine des situations d'impayés de loyer dans un territoire, de leur mode de résolution et des montants d'indemnités payés par l'Etat) ;
- d'effectuer un archivage des dossiers, afin de retrouver plus facilement un dossier en cas de nouvel incident de paiement de loyer pour un locataire en difficulté ;
- de calculer les indemnisations lors d'un recours amiable du bailleur et les indemnités dues par l'Etat lorsque sa responsabilité est reconnue en contentieux administratif en cas de concours de la force publique non accordé dans les délais réglementaires.
Les étapes de la procédure renseignées dans l'application EXPLOC correspondent aux étapes du déroulement d'un dossier d'expulsion locative gestion de la prévention :
- gestion de la prévention ;
- gestion de l'assignation à comparaître d'un locataire aux fins de constat de résiliation du bail ;
- gestion d'un commandement de quitter les lieux ;
- gestion d'une demande de concours de la force publique ;
- gestion du calcul des demandes d'indemnités à l'amiable, puis éventuellement en contentieux.
La commission considère que ces finalités sont déterminées, explicites et légitimes.
Sur les données collectées et traitées :
Les catégories d'informations traitées sont relatives :
- à l'occupant en situation d'impayés de loyers et à (aux) autre(s) occupant(s) nom, prénom, date de naissance, sexe, adresses postale et électronique, adresse de contact si différente du local, coordonnées téléphoniques, bénéficiaire de l'aide personnalisée au logement, montant mensuel de l'aide personnalisée au logement, numéro d'identification de la Caisse d'allocations familiales (CAF) ou de la Mutuelle sociale agricole (MSA), date d'un recours exercé dans le cadre du droit au logement opposable, occupant reconnu comme prioritaire et urgent dans le cadre de la procédure du droit au logement opposable « PU DALO », lien de parenté avec les autres occupants, nom et prénom de la caution, adresse de la caution si différente ;
- au local : type de local ou typologie de logement, date de signature du bail, montant du loyer et des charges locatives, numéro et complément de numéro, type de voie, nom de la voie, résidence, immeuble, étage, appartement, lieudit, code postal, ville, type de bailleur (privé ou social) ;
- aux données contenues dans les diagnostics sociaux et financiers visées à l'article 12 du décret n° 2015-1384 du 30 octobre 2015 relatif à la commission de coordination des actions de prévention des expulsions locatives, à savoir :
- l'identification et la composition du ménage ;
- les caractéristiques du logement ;
- la situation par rapport au logement, notamment données relatives à la procédure d'expulsion, à l'existence d'une demande de logement locatif social ou à un recours au titre du droit au logement opposable ;
- la situation financière du ménage, notamment de la dette locative ;
- les motifs de menace d'expulsion ;
- les actions d'accompagnement social ou médico-social engagées ;
- au référent métier : nom et prénom de l'agent qui a créé le dossier ;
- aux rapports de police mentionnant l'éventuel risque de trouble à l'ordre public.
Interrogé sur les raisons ayant conduit à prévoir le traitement des numéros d'allocataires CAF ou MSA, le ministère a précisé qu'il était nécessaire de recourir à cet identifiant en raison du nombre de personnes concernées et du besoin d'identification forte de ces dernières.
S'agissant des rapports de police, ceux-ci sont rédigés uniquement à la demande du préfet afin d'évaluer le risque de trouble à l'ordre public au stade de la demande de concours de la force publique (CFP).
Interrogé sur la nature des informations appelées à figurer dans ces rapports de police, le ministère indique que leur contenu n'est pas formalisé par les textes et que les informations se limiteront à un avis sur le risque éventuel de trouble à l'ordre public lors de l'expulsion, permettant, le cas échéant, au préfet de faire intervenir, la force publique.
La commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur la durée de conservation des données :
L'article 4 du projet d'arrêté prévoit que les données sont conservées dans l'application EXPLOC au maximum quatre ans à compter de la clôture du dossier.
Les motifs de clôture sont les suivants :
- dette soldée ;
- situation résolue avant résiliation du bail ;
- signature d'un nouveau bail ;
- départ du locataire des lieux ;
- décès du locataire ;
- exécution de CFP ;
- reprise des locaux abandonnés.
Le ministère indique que ces motifs de clôture n'écartent pas toute demande d'indemnités pour responsabilité de l'Etat, qui peuvent être réclamées postérieurement à la clôture du dossier et justifier sa réouverture.
Le ministère précise par ailleurs que certains dossiers peuvent également nécessiter une réouverture en cas d'incident récurrent de paiement de loyer, dans le cas d'une clôture pour dette soldée.
En conséquence, dans ces différentes hypothèses, la conservation du dossier pendant une durée de quatre ans à compter de sa clôture permet de ne pas recréer un dossier et de conserver un historique de la situation de l'occupant.
Le ministère relève en outre que l'acte à l'origine de la réouverture d'un dossier enrichira les statistiques de suivi annuel des dossiers produites sur la base d'indicateurs anonymes.
La commission rappelle qu'à l'expiration de ces différentes périodes les données doivent être supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
La commission considère que les données du traitement EXPLOC ne sont pas conservées au-delà du temps nécessaire à l'accomplissement des finalités pour lesquelles elles ont été collectées.
Sur les destinataires des données et les personnes habilitées :
L'article 3 du projet d'arrêté prévoit qu'« ont seuls accès à tout ou partie des données listées à l'article 2, à raison de leurs attributions et dans la limite du besoin d'en connaître, les agents chargés des missions de prévention et de gestion des procédures d'expulsions locatives au sein des préfectures, sous-préfectures et des directions départementales interministérielles, individuellement désignés et spécialement habilités ».
Il est également prévu que les agents de police et de la gendarmerie nationale individuellement désignés et spécialement habilités par le chef de service aient accès aux données dans la limite de leur besoin d'en connaître.
La commission en prend acte et demande qu'une politique de gestion rigoureuse des habilitations d'accès soit mise en œuvre en ce sens.
Les dossiers clôturés sont conservés dans la base de données du système et restent accessibles aux agents instructeurs habilités afin que ces derniers puissent être en capacité de consulter les éléments en cas de réouverture du dossier. En revanche, ils ne figureront pas dans le tableau de bord de suivi des dossiers en cours mais seront accessibles au moyen d'une recherche avancée.
La commission estime que les dossiers clôturés devraient faire l'objet d'un archivage intermédaire et, à ce titre, figurer dans un environnement logique séparé, distinct du traitement permettant la gestion de la prévention et des procédures d'expulsions locatives.
S'agissant de l'accès aux informations par les agents de police et de la gendarmerie nationale individuellement désignés et spécialement habilités par le chef de service, le ministère indique que celui-ci a pour but :
- de les informer, au moyen d'un courriel envoyé depuis EXPLOC, d'une demande de rapport de police par un préfet ;
- de leur permettre de déposer directement dans le dossier concerné dans EXPLOC le rapport demandé par le préfet.
La commission note que ces agents n'ont pas accès à la totalité des données du dossier, mais seulement aux informations suivantes :
- numéro du dossier EXPLOC ;
- date de création du dossier ;
- liste des occupants et locaux concernés.
Par ailleurs, le ministère de l'intérieur et le ministère du logement, de l'égalité des territoires et de la ruralité n'auront pas accès aux données figurant dans l'application EXPLOC, mais les agents habilités au sein de ces ministères à utiliser EXPLOC pourront consulter des statistiques anonymes présentes dans l'outil. La commission estime que le projet devrait être complété en ce sens.
Sous ces réserves, la commission considère que les destinataires ci-dessus mentionnés présentent un intérêt légitime à accéder en tout ou partie aux données du traitement EXPLOC.
Sur l'information et les droits des personnes :
La commission prend acte de ce que l'occupant sera informé, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par courrier dès la création d'un dossier contenant des informations le concernant dans EXPLOC.
La commission rappelle que l'ensemble des personnes intéressées par le traitement, à savoir les autres occupants et les agents visés à l'article 3 du projet, doivent également être informés dans les conditions prévues à l'article 32 de la loi.
L'article 5 du projet d'arrêté prévoit que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi s'exercent directement auprès du service gestionnaire du fichier.
Elle observe en outre que le droit d'opposition prévu au titre de l'article 38, alinéa 1, de la loi n° 78-17 du 6 janvier 1978 modifiée n'est pas applicable au présent traitement, conformément aux dispositions de l'article 38, alinéa 3, de la loi susvisée.
Sur la sécurité des données et la traçabilité des actions :
Les habilitations d'accès au système d'information sont paramétrées selon les rôles des intervenants, avec des profils définissant les fonctions et les types d'informations accessibles à un utilisateur.
La commission recommande que la gestion et l'usage des habilitations fassent l'objet de procédures formalisées, validées par le responsable de traitement et portées à la connaissance des utilisateurs.
Elle recommande également que les permissions d'accès soient supprimées pour tout utilisateur n'étant plus habilité et qu'une revue globale des habilitations soit opérée régulièrement.
Le contrôle des accès repose sur des mots de passe de six à douze caractères, comportant un caractère spécial, un chiffre et une lettre. Un mot de passe doit être changé tous les six mois et être différent de l'identifiant et des trois précédents mots de passe de l'utilisateur.
La commission rappelle qu'elle recommande le recours à des mots de passe d'une longueur minimale de huit caractères, composés de minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être modifié par l'utilisateur dès sa première connexion puis régulièrement. La commission prend acte que ces recommandations seront prises en compte dans une prochaine version de l'application.
Concernant les administrateurs du traitement, la commission recommande en outre de porter la longueur du mot de passe à dix caractères minimum.
La commission recommande d'appliquer la fonction de hachage HMAC à clé secrète ou d'ajouter un « sel » avant de hacher les mots de passe.
Les transferts de données sont sécurisés par l'utilisation de réseaux isolés et compartimentés ; ils mettent en œuvre des protocoles de chiffrement et d'authentification par certificat serveur.
A cet égard, la commission recommande d'utiliser la version de TLS la plus à jour possible.
L'accès au local d'hébergement est sécurisé et strictement réglementé. Des sauvegardes journalières sont réalisées vers un site distant.
La commission recommande que le transfert et le stockage des sauvegardes soient sécurisés, notamment par chiffrement des sauvegardes, et que des tests de continuité d'activité soient effectués régulièrement.
La mise au point des logiciels s'effectue avec des données fictives sur une plateforme de qualification dédiée. Les interventions de maintenance font l'objet d'une traçabilité et d'une surveillance. Les supports de stockages usagés ou en panne font l'objet d'une procédure d'effacement.
Les accès à l'application sont joumalisés en répertoriant l'identification de l'utilisateur, l'horodatage, l'opération effectuée et la référence des données accédées. Les traces des accès et des actions dans l'application sont conservées pendant un an.
La commission recommande qu'un contrôle des traces soit effectué de manière automatique, pour détecter les comportements anormaux et assorti d'une levée d'alerte. Elle recommande également que des mesures soient mises en œuvre pour assurer l'intégrité des traces.
La commission relève qu'un module d'analyse de données permet une exploitation statistique. Elle recommande que l'outil de requête ne permette que des restitutions anonymes et réduise également le risque de réidentification des personnes en limitant les interrogations ciblées et le niveau de détail des rapports.
Sous réserve de ses observations, la commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi n° 78-17 du 6 janvier 1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques et de l'évolution des technologies.