La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'agriculture, de l'agroalimentaire et de la forêt d'une demande d'avis concernant un projet d'arrêté autorisant le ministère de l'agriculture, de l'agro-alimentaire et de la forêt à mettre en œuvre un traitement automatisé de données à caractère personnel permettant la réalisation de procédures au moyen d'un téléservice ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;
Vu la loi n° 2000-321 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec les administrations ;
Vu la loi n° 2013-1005 du 12 novembre 2013 habilitant le Gouvernement à simplifier les relations entre l'administration et les citoyens ;
Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 modifiée relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La loi du 12 novembre 2013 susvisée a autorisé le Gouvernement à adopter par ordonnance des mesures législatives destinées notamment à définir les conditions d'exercice d'un droit de saisir l'administration par voie électronique et de lui répondre par la même voie.
Sur ce fondement, a été prise l'ordonnance n° 2014-1330 du 6 novembre 2014 relative au droit des usagers de saisir l'administration par voie électronique, qui modifie l'ordonnance du 8 décembre 2005 susvisée. Ainsi, le nouvel article 2 de cette dernière ordonnance prévoit que « tout usager, dès lors qu'il s'est identifié auprès d'une autorité administrative, peut adresser par voie électronique à celle-ci une demande, une déclaration, un document ou une information, ou lui répondre par la même voie. Cette autorité administrative est régulièrement saisie et traite la demande, la déclaration, le document ou l'information sans demander à l'usager la confirmation ou la répétition de son envoi sous une autre forme ».
Le ministère de l'agriculture a donc développé un téléservice qui permettra l'enregistrement et la transmission des saisines dématérialisées des usagers aux services compétents de l'Etat.
En application de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, la commission a été saisie par le ministre de l'agriculture, de l'agroalimentaire et de la forêt d'une demande d'avis portant sur un projet d'arrêté autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel « permettant la réalisation de procédures au moyen d'un téléservice ».
Sur les finalités et le mode de fonctionnement du traitement :
L'article 1er du projet d'arrêté prévoit que le traitement a pour finalité « la mise à disposition des usagers de divers téléservices de renseignement de formulaires par voie électronique ».
Plus précisément, ce dispositif permettra aux usagers d'effectuer des démarches administratives dématérialisées, sans avoir à créer de compte ou à s'authentifier. L'usager renseignera un formulaire de dépôt, avec possibilité d'y joindre des pièces justificatives et de les transmettre aux services compétents.
Une fois sa démarche validée, l'usager recevra un accusé d'enregistrement de sa demande, avec un document sous format PDF généré par le dispositif et récapitulant sa demande.
De son côté, le service compétent recevra un courrier électronique, comportant un lien lui permettant, pendant deux mois, de télécharger ce document PDF.
La commission relève à cet égard que par « usager » il convient d'entendre les usagers individuels, les usagers professionnels ainsi que les associations, les usagers professionnels représentant la majorité des utilisateurs de ce dispositif.
S'agissant de l'articulation du traitement envisagé avec d'autres téléservices, comme par exemple le traitement dénommé « saisine par voie électronique » (SVE) mis en œuvre par le ministère de l'intérieur, elle relève qu'il s'agit de dispositifs complémentaires, qui pourront être utilisés par les usagers de manière indifférenciée. En effet, la demande de l'usager, qu'elle soit formulée par l'intermédiaire du téléservice du ministère de l'intérieur ou de celui du ministère de l'agriculture, sera transmise à une même adresse électronique.
Si la commission prend acte de ces finalités et de ces fonctionnalités, elle relève toutefois la formulation trop générale de la rédaction actuelle de l'article 1er du projet d'arrêté. Or elle rappelle que, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978, un traitement ne peut porter que sur des données à caractère personnel qui sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités.
Elle prend dès lors acte de l'engagement du ministère de l'agriculture à modifier l'article 1er du projet d'arrêté afin d'y mentionner expressément les différentes finalités poursuivies par le traitement (demande d'information ou envoi de dossier, possibilité de joindre des pièces justificatives, administrations concernées).
La commission rappelle qu'elle a toujours considéré que la simplification des démarches administratives et l'amélioration des relations entre les administrés et l'administration constituent des finalités légitimes, sous réserve que des mesures de sécurité appropriées soient prévues et que les droits des personnes soient respectés.
Sur les données traitées :
L'article 2 du projet d'arrêté énumère les données à caractère personnel collectées.
Il s'agit de données relatives à l'état civil (nom, prénom, date et lieu de naissance, adresse) et à la vie personnelle (téléphone, adresse de boîte à lettres électronique, état marital, nombre d'enfants, nombre et nature des animaux détenus) et professionnelle (formation professionnelle, cursus professionnel, participation à une société à caractère agricole). Des données d'ordre économique et financier (revenu) et les données d'horodatage seront également collectées.
La commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités assignées au traitement envisagé.
S'agissant des usagers professionnels, si l'utilisation du dispositif nécessite le traitement de données à caractère personnel relatives aux dirigeants ou aux demandeurs, elle rappelle que le projet d'arrêté devrait être complété en ce sens.
Sur la durée de conservation des données :
L'article 4 du projet d'arrêté prévoit que les données sont conservées deux mois après avoir été enregistrées par les usagers. Cette durée correspond à la durée pendant laquelle le service instructeur pourra télécharger le document récapitulant la demande de l'usager.
La commission rappelle que, conformément aux dispositions du II de l'article 21 de la loi du 12 avril 2000 susvisée, le silence gardé pendant deux mois par l'autorité administrative sur les demandes adressées à l'Etat et aux établissements publics nationaux à caractère administratif vaut, sauf exception, décision d'acception.
La commission estime dès lors que cette durée de conservation est conforme aux dispositions de l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L'article 3 du projet d'arrêté prévoit que les destinataires ou catégories de destinataires habilités à recevoir communication des données enregistrées dans le traitement envisagé sont les agents des services de l'Etat en administration centrale, en région ou en département et les opérateurs de l'Etat sous tutelle du ministère de l'agriculture, compétents pour instruire les demandes et les procédures administratives relevant des services dudit ministère, en raison de leurs fonctions ou pour les besoins du service et dans la limite de leurs besoins d'en connaître.
La commission estime que ces destinataires ont un intérêt légitime à connaître des données collectées.
Sur les droits des personnes :
S'agissant du droit d'information, la commission rappelle que l'ensemble des mentions prévues à l'article 32-I de la loi du 6 janvier 1978 modifiée devront être portées à la connaissance des usagers. Par ailleurs, si l'ensemble des données mentionnées à l'article 2 ne sont pas toutes obligatoires, les usagers devront être informés du caractère obligatoire ou facultatif des données et des conséquences éventuelles d'un défaut de réponse, conformément aux dispositions précitées de la loi « Informatique et libertés ».
L'article 5 du projet d'arrêté prévoit que les droits d'accès et de rectification, prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exerceront de manière directe auprès du ministère de l'agriculture.
Le droit d'opposition ne s'applique pas au traitement projeté, en application de l'article 38 de la loi du 6 janvier 1978 modifiée.
Sur l'architecture et les mesures de sécurité :
La commission rappelle que, le dispositif étant un téléservice, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé.