Après avoir entendu M. Philippe LEMOINE, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie d'un projet de décret en Conseil d'Etat portant application des dispositions du I bis de l'article 22 et 9° du I de l'article 25 de la loi du 6 janvier 1978. Ces dispositions ont été introduites par l'article 34 de la loi n° 2016-1321 du 7 octobre 2016 susvisée afin de simplifier les formalités préalables applicables aux traitements à finalité de statistique publique, de recherche scientifique ou historique qui requièrent une utilisation du NIR.
Ces traitements devaient auparavant être autorisés par un décret en Conseil d'Etat, pris après avis de la commission ou, dans certaines conditions et pour certaines finalités précisément définies, par arrêté ministériel ou décision de l'organe délibérant de l'organisme responsable de traitement, pris après avis de la commission. Le NIR constituant un moyen efficace pour assurer un appariement exact entre deux fichiers dès lors que les précautions nécessaires sont prises, la loi du 7 octobre 2016 précitée institue, dans ces cas, une utilisation plus simple de cet identifiant.
L'article 22-I bis de la loi du 6 janvier 1978 modifiée prévoit dorénavant que les traitements, mis en œuvre par le service statistique public au sens de la loi du 7 juin 1951 susvisée et ayant exclusivement des finalités de statistique publique, qui enregistrent le NIR ou qui requièrent une consultation du répertoire national d'identification des personnes physiques (RNIPP), doivent faire l'objet d'une déclaration auprès de la commission, dès lors qu'ils ne comportent aucune des données mentionnées à l'article 8-1 ou à l'article 9 de ladite loi.
Le Législateur a également prévu que les traitements qui enregistrent le NIR ou qui requièrent une consultation du répertoire national d'identification des personnes physiques (RNIPP) et qui ont exclusivement des finalités de recherche scientifique ou historique, sont autorisés par la commission, conformément au nouvel article 25-I (9) de la loi du 6 janvier 1978 modifiée.
En contrepartie de cet allègement des formalités préalables, la loi a néanmoins prévu plusieurs garanties, sur lesquelles la commission s'est prononcée dans son avis n° 2015-414 du 19 novembre 2015 susvisé. En particulier, elle a prévu que l'appariement de fichiers ne peut être opéré que sur la base d'un numéro issu du NIR mais distinct de celui-ci et dépourvu de tout caractère signifiant.
Elle a également prévu, par de nouvelles dispositions insérées à l'article 71 de la loi « Informatique et Libertés », que les modalités d'application des articles 22-I bis et 25-I (9°) précités doivent être définies par décret en Conseil d'Etat pris après avis motivé et publié de la commission, et notamment la fréquence du renouvellement de l'opération cryptographique précitée appliquée au NIR. C'est dès lors sur ce fondement que la commission est saisie du présent projet de décret.
A titre liminaire, la commission rappelle qu'elle avait appelé l'attention du Gouvernement, dans son avis du 19 novembre 2015, sur la nécessité de garantir, par des mesures juridiques, techniques et organisationnelles, l'impossibilité de ré-identifier directement les personnes concernées par ces appariements de fichiers, ainsi qu'un haut niveau de sécurité des données traitées dans le cadre de l'opération cryptographique appliquée au NIR.
Les dispositions du projet de décret relatives aux traitements poursuivant une finalité statistique et aux traitements ayant une finalité de recherche scientifique ou historique appellent dès lors les observations suivantes.
Sur les traitements poursuivant une finalité statistique :
Les traitements concernés par les nouvelles dispositions de l'article 22-I bis de la loi du 6 janvier 1978 modifiée sont uniquement les traitements mis en œuvre par le service statistique public au sens de la loi du 7 juin 1951 précitée, c'est-à-dire par l'Institut national de la statistique et des études économiques (INSEE) ou par les services statistiques ministériels (SSM) mentionnés à l'annexe du décret n° 2009-250 du 3 mars 2009, et poursuivant une finalité exclusivement statistique.
Pour ces traitements, le projet de décret prévoit que l'opération cryptographique du NIR consiste à substituer à cet identifiant particulièrement sensible un code statistique non signifiant (CStatNS), grâce à une clé secrète. Le ministère a en outre précisé qu'il est nécessaire, afin de simplifier l'appariement de plusieurs sources de la statistique publique détenues par différents SSM, que la clé secrète soit identique pour l'ensemble de ces services. L'utilisation d'un unique CStatNS pour l'ensemble du service de la statistique publique doit ainsi permettre d'apparier plus rapidement des sources variées.
A cet égard, la commission rappelle que les dispositions relatives à l'assouplissement des formalités préalables pour les traitements statistiques nécessitant, à des fins d'appariement, l'utilisation du NIR n'ont pas pour objet et ne doivent pas avoir pour effet de créer un « NIR statistique » dérivé du NIR, qui soit pérenne dans le temps, propre à chaque personne et figurant dans tout traitement de données à caractère personnel mis en œuvre par l'INSEE ou les services statistiques ministériels à des fins d'enquête statistique publique. Or, en l'état, les dispositions du projet de décret ne permettent pas de se prémunir contre une telle utilisation. La commission demande dès lors que des garanties soient apportées sur ce point et à ce qu'elle soit informée des mesures précises qui seront mises en œuvre à cet effet.
En tout état de cause, il appartient à la commission de vérifier que la mise en œuvre d'une opération cryptographique consistant à transformer le NIR à l'aide d'une clé secrète est assortie de garanties suffisantes.
A cet égard, la commission rappelle que, aux termes du nouvel article 22 de la loi du 6 janvier 1978 modifiée, l'utilisation du code statistique non signifiant n'est autorisée qu'au sein du service statistique public. Imposant que ce CStatNS ne soit pas communiqué en dehors de la sphère de la statistique publique, et notamment aux autres services de l'Etat, le législateur a ainsi prévu une première garantie. En effet, les traitements du service statistique public sont mis en œuvre dans les conditions prévues par la loi du 7 juin 1951 modifiée, qui permettent d'assurer un niveau de protection des données satisfaisant. En particulier, cette loi interdit toute ré­identification des personnes.
Le projet de décret prévoit en outre que J'opération cryptographique est confiée à un service de l'INSEE dont les agents sont désignés par Je directeur général de l'INSEE qui doit fixer la liste des personnes strictement habilitées à mettre en œuvre l'opération cryptographique du NIR et à manipuler la clé secrète nécessaire.
La commission rappelle que le service de l'INSEE chargé de l'opération cryptographique du NIR doit présenter des caractéristiques de nature à limiter les risques de ré-identification directe des personnes concernées. En particulier, il ne devrait poursuivre aucune mission statistique, afin que l'organisme chargé de l'opération cryptographique soit systématiquement distinct du responsable de traitement. Ainsi, elle estime que cette opération pourrait être confiée au service de l'INSEE chargé, depuis 1946, de tenir le RNIPP et qui présente des garanties d'indépendance et de fiabilité.
Le ministère a en outre indiqué que la mise en œuvre de l'opération cryptographique ne pouvait être décidée par une personne seule, mais reposait sur une décision collégiale, chaque membre du service détenant une partie de la clé secrète.
Le projet de décret précise également que le directeur général de l'INSEE nomme « les détenteurs des clés extérieurs » au service de l'INSEE dédié à l'opération cryptographique. Sans donner plus de précisions sur ces personnes, le ministère a indiqué que cette disposition a pour objectif d'assurer la continuité de l'opération cryptographique dans le cas où une ou plusieurs personnes travaillant au sein du service précité ne seraient pas en mesure de communiquer une partie de la clé secrète. La commission prend acte que, à sa demande, le ministère s'engage à ce que ces personnes soient des membres de l'INSEE soumis au secret statistique et respectent les exigences de confidentialité liées au secret de la clé.
Au regard de ces éléments et sous réserve des précédentes observations, la commission considère que confier à un service de l'INSEE l'opération cryptographique du NIR permet de limiter les risques d'une ré-identification directe des personnes concernées.
Concernant la mise en œuvre pratique de l'opération cryptographique, le projet de décret prévoit que le responsable de traitement (INSEE ou SSM) transmet au service dédié de l'INSEE, d'une part, le NIR ou des éléments d'identité permettant de retrouver ce numéro en consultant le RNIPP et, d'autre part, un numéro d'indexation provisoire non signifiant. Le projet de décret précise que cette transmission peut également être effectuée par un tiers détenteur de ces données pour le compte du responsable de traitement.
Le service de l'INSEE en charge de l'opération cryptographique procède au calcul du CStatNS et renvoie au responsable de traitement ce résultat ainsi que le numéro d'indexation provisoire. Le projet de décret précise que l'INSEE détruit le NIR ou les données d'identité ayant permis de déterminer celui-ci, le CStatNS et, le cas échéant, la qualité du résultat de la consultation du RNIPP une fois le CStatNS transmis au responsable de traitement. De même, une fois le CStatNS reçu, le responsable de traitement doit détruire le NIR.
La commission relève que ces dispositions relatives à la destruction du NIR constituent une mesure de sécurité entourant la mise en œuvre concrète de l'opération cryptographique. Elle prend acte de l'engagement du ministère de prévoir expressément, dans le projet de décret, que les transmissions des données (NIR, données d'identité, CStatNS) et leur destruction s'effectuent de manière sécurisée.
En tout état de cause, la commission considère que, pour chaque transfert de données, des mesures devront assurer la confidentialité et l'authentification des acteurs concernés. A cet égard, pour un transfert numérique, le chiffrement en transport et l'authentification par certificat du serveur destinataire avec des protocoles respectant les recommandations de I'ANSSI dans son référentiel général de sécurité constitueraient des mesures adéquates.
L'article 4 du projet de décret précise que l'opération cryptographique est mise en œuvre selon des modalités garantissant la sécurité des informations traitées et sa traçabilité qui sont fixées par un arrêté du ministre chargé de l'économie. La commission estime que cette disposition implique, implicitement mais nécessairement, que cet arrêté ministériel doive définir précisément le type d'opération cryptographique choisi.
A cet égard, l'exemple de mise en œuvre d'opération cryptographique présenté par le ministère est une fonction de hachage à clé. Cette « famille » de techniques cryptographiques contient des fonctions qui peuvent être adaptées à l'objectif recherché, dès lors qu'elles sont mises en œuvre dans le respect des bonnes pratiques. C'est pourquoi la commission demande que la fonction de hachage à clé retenue, ou tout autre type d'opération cryptographique choisi, soit précisément définie par l'arrêté précité.
De même, l'article 5 du projet de décret prévoit qu'un arrêté dudiit ministre décrit les règles de gestion et de protection des clés secrètes mises en œuvre par l'INSEE pour générer le CStatNS. A cet égard, la commission relève qu'est envisagée l'utilisation d'un système de partage de secret pour la clé secrète, ou le déverrouillage de celle-ci.
Elle recommande que ce système intègre l'ensemble des membres inclus dans la décision collégiale de mise en œuvre.
Sur ces dispositions, la commission relève qu'un décret en Conseil d'Etat n'a en effet pas vocation à fixer, dans le détail, des mesures opérationnelles et techniques de sécurité qui, pour être conformes à l'état de l'art, doivent être régulièrement modifiées. Elle estime en revanche que, compte tenu des enjeux liés au traitement du NIR et à l'importance des mesures de sécurité encadrant la mise en œuvre effective de l'opération cryptographique choisie pour l'obtention du CStatNS, elle devrait être saisie de ces arrêtés ministériels, sur le fondement de l'article 11 (2°, d) de la loi du 6 janvier 1978 modifiée.
Enfin, le projet de décret précise les modalités et la fréquence du renouvellement de la clé secrète permettant de générer le CStatNS. Il est ainsi prévu que le renouvellement de l'opération cryptographique applicable aux traitements à finalité statistique ait lieu, en principe, tous les dix ans. Le ministère a indiqué que cette durée permettait de prendre en compte le besoin d'une certaine stabilité du code non signifiant, nécessaire pour comparer les données sur plusieurs années, et qu'un renouvellement plus fréquent aurait un coût important.
Ce renouvellement a pour objet premier d'assurer la robustesse de la protection du CStatNS, prévue par le Législateur. La commission relève que, d'un point de vue technique, cette fréquence suffit à se prémunir contre un risque massif de compromission de la sécurité du dispositif, sous réserve qu'un renouvellement soit mis en œuvre en cas de suspicion d'une telle compromission.
A cet égard, le projet de décret prévoit que l'opération de renouvellement peut être mise en œuvre avant le délai de dix ans en cas de suspicion de compromission de la sécurité des opérations. Cette disposition constitue une garantie importante, dans la mesure où elle permet d'assurer immédiatement la protection du NIR en cas d'atteinte à la clé utilisée pour sa transformation en un code non signifiant. La commission estime néanmoins que cette garantie doit être renforcée. Elle considère que cette mesure de renouvellement devrait être systématiquement appliquée dès qu'est identifié un doute raisonnable quant à la sécurité de la clé secrète ou de l'opération cryptographique. Elle prend acte de l'engagement du ministère de modifier le projet de décret en ce sens.
Cependant, la commission considère que la fréquence de renouvellement de dix ans pourrait conduire à une stabilité trop importante du CStatNS, renforçant le risque de mise en place d'un « NIR-statistique » propre à chaque personne et pérenne dans le temps. Elle relève que l'article 22 de la loi« Informatique et Libertés » tel que modifié par la loi du 7 octobre 2016 dispose que la fréquence de renouvellement de l'opération cryptographique est précisément ce qui doit faire l'objet d'un décret en Conseil d'Etat pris après avis motivé et publié de la commission. Aussi la commission demande-t-elle que cette durée soit, dans un premier temps, abaissée à cinq ans, délai au terme duquel elle pourra, sur la base d'un bilan adressé par l'INSEE, apprécier si cette fréquence de renouvellement peut être augmentée sans toutefois entraîner un risque effectif de dérive liée à l'utilisation d'un code unique.
En tout état de cause, la commission estime qu'une durée plus réduite ne suffirait pas, à elle seule, à éviter une telle dérive si toutes les bases de données de l'INSEE et des SSM comportaient systématiquement l'identité et le code statistique non-signifiant de chaque personne ou si était mise à leur disposition une base de données unique associant ces deux informations. C'est pourquoi la commission réitère ses observations relatives à la nécessité que des garanties soient apportées quant au risque de mise en place d'un « NIR-statistique », quelle que soit la fréquence de renouvellement retenue.
Enfin, le projet de décret prévoit que le renouvellement de l'opération cryptographique consiste à appliquer une nouvelle clé secrète au premier CStatNS. La commission considère qu'une telle procédure est satisfaisante, dès lors qu'elle permet d'éviter qu'une table de correspondance entre le NIR et le CstatNS soit conservée par l'INSEE.
Sur les traitements poursuivant une finalité de recherche scientifique ou historique :
Les traitements concernés par les nouvelles dispositions de l'article 25-I (9°) de la loi du 6 janvier 1978 modifiée sont uniquement les traitements mis en œuvre à des fins de recherche scientifique ou historique, à l'exclusion des traitements poursuivant des finalités de recherche, d'étude ou d'évaluation dans le domaine de la santé qui font l'objet de dispositions spécifiques.
Pour ces traitements, le projet de décret prévoit que l'opération cryptographique, destinée à substituer au NIR un code spécifique non signifiant (CSpeNS), est mise en œuvre par un organisme différent du responsable de traitement et présentant les garanties nécessaires pour gérer les données d'identité. La commission considère que ces garanties doivent notamment inclure des mesures assurant la confidentialité de ces données et l'authentification des acteurs concernés et que le projet de décret devrait être précisé en ce sens.
Comme pour les traitements à finalité statistique, il est prévu que l'organisme chargé de transformer le NIR se voie transmettre, d'une part, cette donnée ou des données d'identité permettant de le déterminer en consultant le RNIPP et, d'autre part, un numéro provisoire d'indexation. Il devra ensuite appliquer au NIR une opération cryptographique à clé secrète et obtenir ainsi le CSpeNS.
En revanche, à la différence des traitements à finalité statistique, il n'est pas prévu de transmettre au responsable de traitement un indicateur de qualité du résultat de la consultation du RNIPP. La commission estime toutefois qu'une telle information pourrait être utile aux chercheurs, en particulier lorsque la qualité du résultat de la consultation est peu satisfaisante et peut ainsi nuire à la qualité de l'appariement. Elle prend acte de l'engagement du ministère de modifier le projet de décret en ce sens.
Conformément aux dispositions législatives précitées, le projet de décret prévoit en outre que le CSpeNS n'est pas transmis directement au responsable de traitement. Un second organisme tiers, chargé d'apparier les données, reçoit, d'une part, la table de correspondance entre le NIR transformé en code non signifiant et le numéro provisoire d'indexation et, d'autre part, les données de recherches à apparier. Ce second organisme tiers ne traite donc ni les données d'identité ni le NIR lui-même.
Seuls les résultats de l'appariement, à l'exception des données relatives à l'identité des personnes, du NIR et du CSpeNS, sont ensuite transmis au responsable de traitement. Ces mesures, prévues par le Législateur et précisées par le projet de décret, constituent une des garanties permettant de limiter le risque de ré-identification des personnes concernées par ces appariements.
L'article 8 du projet de décret prévoit que le résultat de l'appariement peut être ultérieurement mis à disposition d'autres chercheurs, après qu'ils ont obtenu les autorisations nécessaires pour accéder aux données et pour les traiter. Ces dispositions n'appellent pas d'observations particulières de la commission, dès lors que les données appariées ne contiennent ni le NIR, ni même le CSpeNS.
Une autre garantie, également prévue par le Législateur, est précisée à l'article 9 du projet de décret qui prévoit que la clé secrète utilisée est spécifique à chaque projet de recherche. L'organisme tiers ayant généré le CSpeNS conserve la clé secrète du projet le temps nécessaire à la mise en œuvre du projet de recherche. Une fois ce délai expiré, la clé doit être détruite. La commission prend acte de l'engagement du ministère de prévoir, à sa demande, qu'une procédure sera mise en œuvre pour assurer la suppression effective de ces clés et recommande, lorsque cela est possible, que cette suppression soit automatisée.
Dans la mesure où le CSpeNS est un code unique pour chaque projet de recherche, il aurait pu être considéré qu'il n'était pas nécessaire de renouveler la clé. Cependant, le projet de décret prévoit que, dès lors que la durée du projet est supérieure à dix ans, la procédure de renouvellement de l'opération cryptographique décrite à l'égard des traitements à finalité statistique doit être appliquée. La commission estime que cette limite temporelle de validité du CSpeNS, dans le cas où le traitement concerné nécessiterait une conservation des données supérieure à dix ans, participe de la réduction des risques de ré-identification directe des personnes concernées.
De même, si un doute quant à la compromission de la sécurité de l'opération cryptographique existe, une procédure de renouvellement identique à celle prévue pour les traitements à finalité statistique est mise en œuvre. A cet égard, si cette possibilité de renouvellement en cas de suspicion constitue une garantie satisfaisante, la commission rappelle l'importance que l'opération de renouvellement soit systématiquement mise en œuvre dès qu'un doute raisonnable sur la compromission de la clé est identifié et prend acte que, à sa demande, le ministère s'engage à modifier le projet de décret en ce sens.
Dans les cas où ce renouvellement doit intervenir, l'article 9 du projet de décret prévoit que les responsables de traitement « souhaitant le résultat de cette opération complémentaire » demandent à l'organisme chargé de l'appariement des données de transmettre à l'organisme tiers chargé de l'opération cryptographique du NIR le CSpeNS et un numéro provisoire d'indexation non signifiant. A cet égard, la commission rappelle que le responsable de traitement ne doit recevoir que les résultats d'appariement, sans le CSpeNS, et estime que le projet de décret devrait être clarifié sur ce point.
A titre plus général, la commission rappelle que, dans le cadre des traitements à finalité de recherche scientifique ou historique, le projet de décret confie l'opération cryptographique et l'appariement des données à des organismes tiers, différents du responsable de traitement. Toutefois, la nature de ces organismes ou les critères de sécurité auxquels ils doivent répondre ne sont pas prévus par le présent projet de décret.
Le ministère a indiqué que cette absence avait pour objectif de permettre de confier ces fonctions à des organismes recourant à des modalités de mise en œuvre variées. Il a en outre précisé que, d'une part, ces organismes devront obtenir de la commission une autorisation relative à leur opération cryptographique sur le NIR et que, d'autre part, les responsables de traitement concernés devront indiquer, dans leur demande d'autorisation, les organismes choisis et les conditions de sécurité qu'ils mettent en œuvre.
Si la commission prend acte de ces précisions, elle estime néanmoins que l'assouplissement de la procédure pour les chercheurs prévue par le Législateur pourrait, en l'état actuel du projet de décret, ne s'avérer que théorique si l'ensemble de la chaîne et des mesures mises en œuvre pour garantir la sécurité des données et le sérieux de l'opération cryptographique devait être vérifié, par la commission, à chaque demande d'autorisation.
Elle relève en outre que les présentes dispositions réglementaires ont notamment pour objet d'assurer un haut niveau de sécurité de l'ensemble du dispositif. A cet égard, l'absence de tout élément précis sur les organismes tiers constitue une lacune importante du projet de décret quant aux garanties devant nécessairement entourer le traitement du NIR dans le cadre de la recherche scientifique et historique. La commission considère dès lors que le projet de décret pourrait prévoir que de tels organismes sont désignés par le pouvoir réglementaire. A défaut d'une telle habilitation réglementaire des organismes tiers, les règles élémentaires de sécurité qu'ils doivent respecter devraient être fixées soit par le projet de décret, soit par un arrêté ministériel auquel le projet de décret renverrait, à l'instar de ce qui est prévu en matière de statistique publique. Dans ce cas, le projet d'arrêté devrait être soumis à l'avis de la commission.
Enfin, le projet de décret autorise le service de l'INSEE en charge de l'opération cryptographique ainsi que les autres organismes chargés de la même opération pour les traitements de recherche scientifique ou historique à consulter le RNIPP, dont les conditions de mise en œuvre sont fixées par le décret du 22 janvier 1982 susvisé, dès lors que seules des données d'identité, sans NIR, leur ont été fournies.
La commission rappelle que l'ouverture du RNIPP à de nouveaux organismes, en l'occurrence les organismes tiers chargés de l'opération cryptographique dans le cadre des traitements de recherche scientifique et historique, ne doit pas affaiblir le haut niveau de sécurité qui doit entourer ce traitement particulièrement sensible.
Ainsi, les accès devront répondre à un haut niveau d'exigence quant à leur sécurité, notamment en matière de chiffrement et d'authentification mutuelle entre le RNIPP et l'organisme tiers. La commission recommande également que la consultation du RNIPP par ces organismes soit subordonnée à la conclusion de conventions spécifiques avec l'INSEE.