La Commission nationale de l'informatique et des libertés,
 Saisie pour avis par le directeur général des médias et des industries culturelles du ministère de la culture et de la communication d'un projet d'arrêté portant création du traitement automatisé de données à caractère personnel dénommé « Carte musique » ;
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu  la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 Vu  la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 27-11-4°  ;
 Vu  le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
 Sur le rapport de M. Emmanuel de Givry, vice-président délégué, et les observations de Mme Elisabeth Rolin, commissaire du Gouvernement,
   Emet l'avis suivant :
 La Commission nationale de l'informatique et des libertés a été saisie, le 22 avril 2010, d'une demande d'avis sur un projet d'arrêté relatif à la création d'un système d'administration du portail d'attribution d'aides dénommé « Carte musique ».
 A titre liminaire, la commission relève que le projet de décret relatif à la « Carte musique » instituant l'aide d'Etat et fixant les conditions d'éligibilité des bénéficiaires de cette aide, validé au niveau interministériel, a été notifié à la Commission européenne au titre des aides d'Etat. En cas d'évolution de ce texte réglementaire conduisant à une modification substantielle du traitement de données à caractère personnel créé par le projet d'arrêté, objet du présent avis, la commission devra être saisie du nouveau texte.
 La commission prend acte que ce traitement est la première des vingt-deux propositions du rapport « Création et internet » remis le 6 janvier 2010 au ministre de la culture et de la communication.
 La mise en œuvre de ce dispositif par le ministre de la culture et de la communication vise à inciter les internautes âgés de 12 à 24 ans à consommer des offres de musique légale et payante.
 Le traitement mis en œuvre dans ce cadre constituant un téléservice de l'administration, il relève de la procédure prévue au 4° du II de l'article 27 de la loi du 6 anvier 1978 modifiée.
   Sur les finalités :
 Le traitement a pour « finalité de permettre l'attribution d'une aide de l'Etat destinée à favoriser la consommation légale et payante de musique numérique dématérialisée par les personnes âgées de 12 à 24 ans ». La commission prend acte que les bénéficiaires de cette aide sont des plates-formes proposant l'écoute ou l'achat de musique et que leurs conditions d'éligibilité doivent être définies par un décret.
 La mise en œuvre du traitement suppose la création d'un téléservice : l'inscription de l'usager et la création d'un compte personnel par le biais d'un mot de passe qui lui permet d'obtenir des codes d'activation utilisables auprès des plates-formes de musique en ligne.
 Les finalités poursuivies par le traitement n'appellent pas d'observations particulières.
   Sur les risques d'usurpation d'identité :
 La commission observe que le traitement présente des risques d'usurpation d'identité dans la mesure où il repose sur une simple déclaration des usagers. La commission relève en effet qu'aucun mécanisme n'est prévu pour vérifier l'identité de la personne qui crée un compte « Carte musique », qu'il sera donc très aisé pour une personne de créer de nombreux codes de réduction par l'interface du portail et qu'une partie de l'aide risque donc d'être détournée du public visé.
 La commission reconnaît toutefois qu'introduire un mécanisme de vérification de l'identité à l'inscription renchérirait le coût de ce service et présenterait potentiellement plus de risques vis-à-vis de la protection des données personnelles dans la mesure où elle pourrait conduire, par exemple, au stockage par le ministère de la culture et de la communication des pièces d'identité des jeunes.
 En outre, la commission relève que les usagers dont l'identité aurait été usurpée peuvent s'adresser aux services du ministère de la culture et de la communication pour demander la désactivation du compte, en fournissant une copie de pièce d'identité.
 En tout état de cause, la commission recommande que le ministère de la culture et de la communication détaille sur le portail « Carte musique » la procédure à suivre pour traiter les cas d'usurpation d'identité. La commission préconise que toutes demandes relatives à un problème d'usurpation d'identité soient traitées dans les plus brefs délais par le ministère.
   Sur les données à caractère personnel enregistrées :
 Les articles 2, 3 et 4 du projet d'arrêté énumèrent les données à caractère personnel enregistrées.
 Pour les demandes d'aides concernant un usager âgé de 18 à 24 ans sont collectés et traités les éléments suivants : identification de l'usager (nom, prénom, sexe, date et commune de naissance, commune de résidence, code postal, adresse électronique), un mot de passe et des codes d'activation.
 Pour les demandes d'aides concernant un usager âgé de 12 à 17 ans sont collectés et traités les éléments suivants : identification de l'usager (nom, prénom, sexe, date et commune de naissance, commune de résidence, code postal, adresse électronique), un mot de passe et des codes d'activation ainsi que les nom de famille et prénom de la personne exerçant l'autorité parentale.
 La commission estime que les données susmentionnées sont adéquates, pertinentes et non excessives au regard des finalités définies à l'article 1er du projet d'arrêté.
 La commission prend acte que les données collectées auprès de l'usager à partir du portail « Carte musique » ne sont pas transmises vers les plates-formes bénéficiaires de l'aide. Celles-ci ne connaissent que les codes d'activation générés par le site de la « Carte musique ». La commission relève également qu'aucun paiement n'est effectué à partir du site internet « Carte musique ».
   Sur les droits des personnes :
 S'agissant de l'information des personnes concernées, la commission prend acte que les utilisateurs sont informés de leurs droits par un message d'avertissement présent sur le site internet « Carte musique ». Ce message est délivré préalablement à l'inscription et la création d'un compte d'un usager.
 La commission recommande que les mentions d'information prescrites à l'article 32 de la loi du 6 janvier 1978 modifiée soient également accessibles dans une rubrique dédiée du site internet.
 Les droits d'accès et de rectification s'exercent auprès de la direction générale des médias et des industries culturelles du ministère de la culture et de la communication.
   Sur la durée de conservation :
 La commission relève que les données sont conservées deux ans par le ministère de la culture et de la communication à compter de la date de leur collecte. L'article 4 du projet d'arrêté précise également que les consultations du traitement « Carte musique » font l'objet d'un enregistrement pour une durée de trois mois comprenant le mot de passe du consultant autre que l'usager, la date, l'heure et l'objet de la consultation.
 Les durées de conservation paraissent pertinentes au regard de la finalité poursuivie par le traitement et n'appellent pas d'observations particulières.
   Sur les mesures de confidentialité et de sécurité mises en place :
 La commission prend acte de ce que moins de dix personnes sont habilitées à accéder au traitement de données à caractère personnel. En particulier, les personnels du prestataire ont un accès limité, pour effectuer les opérations requises (maintenance des logiciels système, administration de la base de données, exploitation des scripts de traitement). La commission recommande que la politique de mots de passe des personnes habilitées prévoie un renouvellement régulier des mots de passe et une interdiction de réutilisation d'anciens mots de passe.
 S'agissant de l'accès à son dossier par l'usager, la confidentialité des échanges est assurée au moyen du protocole sécurisé SSL. L'authentification de l'usager est établie à partir d'un couple identifiant/mot de passe librement choisi par lui. La commission recommande que le mot de passe soit d'une longueur d'au moins huit caractères.
 Hormis les points soulevés dans les alinéas précédents, la commission constate que le dispositif présente un niveau de sécurité globalement satisfaisant.