Délibération n° 2011-104 du 14 avril 2011 autorisant la mise en œuvre par le secrétariat général du gouvernement d’un traitement de données à caractère personnel ayant pour finalité la gestion des décrets portant nomination et promotion dans les ordres nationaux
Nature: Autre autorisation

(Demande d’autorisation n° 1495686)
La Commission nationale de l’informatique et des libertés, 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I.1° ; 
Vu le code de la légion d'honneur et de la médaille militaire ; 
Vu le décret n° 63-1196 du 3 décembre 1963 portant création d'un ordre national du Mérite ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu Monsieur Emmanuel de GIVRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Autorise, dans les conditions définies dans le dossier et ses annexes, le secrétariat général du gouvernement (SGG) à mettre en œuvre un traitement automatisé de données à caractère personnel, dénommé « LEGHO », ayant pour finalité la gestion des décrets portant nomination et promotion dans les ordres nationaux, dont les caractéristiques sont résumées dans le tableau ci-dessous.
Responsable du traitement
Secrétariat général du gouvernement (SGG) – cabinet du secrétaire général du gouvernement
Finalités
Permettre la gestion des décrets portant nomination et promotion dans les ordres nationaux, jusqu’à leur publication au Journal Officiel.
Il s’agit ainsi de dématérialiser uniquement la chaîne de traitement de ces décrets, et non l’ensemble de la procédure de nomination et de promotion dans les ordres. Seules les promotions civiles sont concernées : les promotions militaires et les promotions dites « exceptionnelles » ne font pas partie du périmètre de l'application.
L’application LEGHO permettra ainsi au secrétariat général de la Grande Chancellerie de la Légion d’Honneur, à qui les propositions de nomination ou de promotion sont adressées par les ministres, d’établir une seule liste de référence par promotion dans l’ordre de la Légion d’Honneur ou l’ordre national du Mérite,  à partir des propositions saisies en ligne par le Premier ministre, la Grande chancellerie et les ministères. Cette liste,  validée par la Grande chancellerie, sera ensuite transmise par voie électronique au secrétariat général du Gouvernement puis à la direction de l’information légale et administrative (DILA) en vue de la publication des décrets.
Permettre la gestion des décrets portant nomination et promotion dans les ordres nationaux, jusqu’à leur publication au Journal Officiel.
Il s’agit ainsi de dématérialiser uniquement la chaîne de traitement de ces décrets, et non l’ensemble de la procédure de nomination et de promotion dans les ordres. Seules les promotions civiles sont concernées : les promotions militaires et les promotions dites « exceptionnelles » ne font pas partie du périmètre de l'application.
L’application LEGHO permettra ainsi au secrétariat général de la Grande Chancellerie de la Légion d’Honneur, à qui les propositions de nomination ou de promotion sont adressées par les ministres, d’établir une seule liste de référence par promotion dans l’ordre de la Légion d’Honneur ou l’ordre national du Mérite,  à partir des propositions saisies en ligne par le Premier ministre, la Grande chancellerie et les ministères. Cette liste,  validée par la Grande chancellerie, sera ensuite transmise par voie électronique au secrétariat général du Gouvernement puis à la direction de l’information légale et administrative (DILA) en vue de la publication des décrets.
Permettre la gestion des décrets portant nomination et promotion dans les ordres nationaux, jusqu’à leur publication au Journal Officiel.
Il s’agit ainsi de dématérialiser uniquement la chaîne de traitement de ces décrets, et non l’ensemble de la procédure de nomination et de promotion dans les ordres. Seules les promotions civiles sont concernées : les promotions militaires et les promotions dites « exceptionnelles » ne font pas partie du périmètre de l'application.
L’application LEGHO permettra ainsi au secrétariat général de la Grande Chancellerie de la Légion d’Honneur, à qui les propositions de nomination ou de promotion sont adressées par les ministres, d’établir une seule liste de référence par promotion dans l’ordre de la Légion d’Honneur ou l’ordre national du Mérite,  à partir des propositions saisies en ligne par le Premier ministre, la Grande chancellerie et les ministères. Cette liste,  validée par la Grande chancellerie, sera ensuite transmise par voie électronique au secrétariat général du Gouvernement puis à la direction de l’information légale et administrative (DILA) en vue de la publication des décrets.
Données traitées
Les données enregistrées dans l’application concernent les personnes proposées dans les ordres nationaux et sont relatives à : leur identité (nom, prénom, civilité, adresse, date et lieu de naissance) ; leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
L’application LEGHO est en outre susceptible de traiter des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, et en particulier des informations relatives aux opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées.
En effet, les décrets portant nomination ou promotion indiquent l’activité principale des personnes et peuvent à ce titre indiquer que celles-ci ont eu des « activités syndicales », sans toutefois préciser toutefois le syndicat concerné. De même, la civilité des personnes est précisée dans ces décrets, et peut, dans certains cas, révéler la religion des personnes.  
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de la proposition du ministre, le SGG ne peut recueillir leur consentement exprès afin d’enregistrer de telles données. De même, de telles informations ne peuvent pas toutes être considérées comme rendues publiques par la personne concernée, en particulier en ce qui concerne l’appartenance syndicale des personnes. 
Cependant, dans la mesure où ces données sont très générales et strictement limitées aux finalités du traitement de gestion des décrets portant nomination ou promotion dans les ordres nationaux, et au regard de l’intérêt public poursuivi par ce traitement, la Commission estime que le traitement de ces données peut être autorisé.
Enfin, ces données sont conservées pendant quatre mois, soit la durée nécessaire à la préparation des décrets. 
Les données enregistrées dans l’application concernent les personnes proposées dans les ordres nationaux et sont relatives à : leur identité (nom, prénom, civilité, adresse, date et lieu de naissance) ; leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
L’application LEGHO est en outre susceptible de traiter des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, et en particulier des informations relatives aux opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées.
En effet, les décrets portant nomination ou promotion indiquent l’activité principale des personnes et peuvent à ce titre indiquer que celles-ci ont eu des « activités syndicales », sans toutefois préciser toutefois le syndicat concerné. De même, la civilité des personnes est précisée dans ces décrets, et peut, dans certains cas, révéler la religion des personnes.  
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de la proposition du ministre, le SGG ne peut recueillir leur consentement exprès afin d’enregistrer de telles données. De même, de telles informations ne peuvent pas toutes être considérées comme rendues publiques par la personne concernée, en particulier en ce qui concerne l’appartenance syndicale des personnes. 
Cependant, dans la mesure où ces données sont très générales et strictement limitées aux finalités du traitement de gestion des décrets portant nomination ou promotion dans les ordres nationaux, et au regard de l’intérêt public poursuivi par ce traitement, la Commission estime que le traitement de ces données peut être autorisé.
Enfin, ces données sont conservées pendant quatre mois, soit la durée nécessaire à la préparation des décrets. 
Les données enregistrées dans l’application concernent les personnes proposées dans les ordres nationaux et sont relatives à : leur identité (nom, prénom, civilité, adresse, date et lieu de naissance) ; leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
L’application LEGHO est en outre susceptible de traiter des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, et en particulier des informations relatives aux opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées.
En effet, les décrets portant nomination ou promotion indiquent l’activité principale des personnes et peuvent à ce titre indiquer que celles-ci ont eu des « activités syndicales », sans toutefois préciser toutefois le syndicat concerné. De même, la civilité des personnes est précisée dans ces décrets, et peut, dans certains cas, révéler la religion des personnes.  
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de la proposition du ministre, le SGG ne peut recueillir leur consentement exprès afin d’enregistrer de telles données. De même, de telles informations ne peuvent pas toutes être considérées comme rendues publiques par la personne concernée, en particulier en ce qui concerne l’appartenance syndicale des personnes. 
Cependant, dans la mesure où ces données sont très générales et strictement limitées aux finalités du traitement de gestion des décrets portant nomination ou promotion dans les ordres nationaux, et au regard de l’intérêt public poursuivi par ce traitement, la Commission estime que le traitement de ces données peut être autorisé.
Enfin, ces données sont conservées pendant quatre mois, soit la durée nécessaire à la préparation des décrets. 
Les données enregistrées dans l’application concernent les personnes proposées dans les ordres nationaux et sont relatives à : leur identité (nom, prénom, civilité, adresse, date et lieu de naissance) ; leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
L’application LEGHO est en outre susceptible de traiter des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, et en particulier des informations relatives aux opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées.
En effet, les décrets portant nomination ou promotion indiquent l’activité principale des personnes et peuvent à ce titre indiquer que celles-ci ont eu des « activités syndicales », sans toutefois préciser toutefois le syndicat concerné. De même, la civilité des personnes est précisée dans ces décrets, et peut, dans certains cas, révéler la religion des personnes.  
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de la proposition du ministre, le SGG ne peut recueillir leur consentement exprès afin d’enregistrer de telles données. De même, de telles informations ne peuvent pas toutes être considérées comme rendues publiques par la personne concernée, en particulier en ce qui concerne l’appartenance syndicale des personnes. 
Cependant, dans la mesure où ces données sont très générales et strictement limitées aux finalités du traitement de gestion des décrets portant nomination ou promotion dans les ordres nationaux, et au regard de l’intérêt public poursuivi par ce traitement, la Commission estime que le traitement de ces données peut être autorisé.
Enfin, ces données sont conservées pendant quatre mois, soit la durée nécessaire à la préparation des décrets. 
Les données enregistrées dans l’application concernent les personnes proposées dans les ordres nationaux et sont relatives à : leur identité (nom, prénom, civilité, adresse, date et lieu de naissance) ; leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
L’application LEGHO est en outre susceptible de traiter des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, et en particulier des informations relatives aux opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées.
En effet, les décrets portant nomination ou promotion indiquent l’activité principale des personnes et peuvent à ce titre indiquer que celles-ci ont eu des « activités syndicales », sans toutefois préciser toutefois le syndicat concerné. De même, la civilité des personnes est précisée dans ces décrets, et peut, dans certains cas, révéler la religion des personnes.  
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de la proposition du ministre, le SGG ne peut recueillir leur consentement exprès afin d’enregistrer de telles données. De même, de telles informations ne peuvent pas toutes être considérées comme rendues publiques par la personne concernée, en particulier en ce qui concerne l’appartenance syndicale des personnes. 
Cependant, dans la mesure où ces données sont très générales et strictement limitées aux finalités du traitement de gestion des décrets portant nomination ou promotion dans les ordres nationaux, et au regard de l’intérêt public poursuivi par ce traitement, la Commission estime que le traitement de ces données peut être autorisé.
Enfin, ces données sont conservées pendant quatre mois, soit la durée nécessaire à la préparation des décrets. 
Les données enregistrées dans l’application concernent les personnes proposées dans les ordres nationaux et sont relatives à : leur identité (nom, prénom, civilité, adresse, date et lieu de naissance) ; leur vie professionnelle (situation professionnelle, temps d’activité professionnelle, distinction).
L’application LEGHO est en outre susceptible de traiter des données relevant de l’article 8 de la loi du 6 janvier 1978 modifiée, et en particulier des informations relatives aux opinions politiques, philosophiques ou religieuses ainsi que l’appartenance syndicale des personnes proposées.
En effet, les décrets portant nomination ou promotion indiquent l’activité principale des personnes et peuvent à ce titre indiquer que celles-ci ont eu des « activités syndicales », sans toutefois préciser toutefois le syndicat concerné. De même, la civilité des personnes est précisée dans ces décrets, et peut, dans certains cas, révéler la religion des personnes.  
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de la proposition du ministre, le SGG ne peut recueillir leur consentement exprès afin d’enregistrer de telles données. De même, de telles informations ne peuvent pas toutes être considérées comme rendues publiques par la personne concernée, en particulier en ce qui concerne l’appartenance syndicale des personnes. 
Cependant, dans la mesure où ces données sont très générales et strictement limitées aux finalités du traitement de gestion des décrets portant nomination ou promotion dans les ordres nationaux, et au regard de l’intérêt public poursuivi par ce traitement, la Commission estime que le traitement de ces données peut être autorisé.
Enfin, ces données sont conservées pendant quatre mois, soit la durée nécessaire à la préparation des décrets. 
Destinataires
Il s’agit des personnels habilités du cabinet du Président de la République (Grand Maître des Ordres Nationaux), du cabinet du Premier ministre, de la Grande Chancellerie de la Légion d’Honneur, des services du Premier ministre et des ministères adressant leurs propositions de nomination ou promotion. Chaque destinataire n’aura accès qu’aux données qui lui sont strictement nécessaires pour remplir sa mission dans le cadre de la publication de ces décrets. 
Information et droit d’accès
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de cette proposition, et où les données à caractère personnel enregistrées dans l’application LEGHO n’ont pas été recueillies directement auprès des personnes concernées mais par les ministères adressant les propositions à la Grande Chancellerie, il n’apparaît pas possible de faire application des dispositions des I et III de l’article 32 de la loi du 6 janvier 1978 modifiée. La Commission estime que cette dérogation d’information est conforme au deuxième alinéa du III dudit article, qui dispose que les obligations d’information ne s’appliquent pas « quand [l’] information [de la personne concernée] se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche ».
En revanche, toutes les informations enregistrées dans l’application LEGHO figurent dans le décret finalement publié au Journal Officiel. Par la publication du décret portant nomination ou promotion, les personnes concernées sont ainsi informées des données auxquelles ont accédé les destinataires précités. En outre, le courrier personnel informant le récipiendaire de sa promotion ou de sa nomination, donnera toutes les précisions sur les caractéristiques du traitement dont la personne aura fait l’objet.
Dans la mesure où les personnes proposées dans les ordres ne  sont pas informées de cette proposition, et où les données à caractère personnel enregistrées dans l’application LEGHO n’ont pas été recueillies directement auprès des personnes concernées mais par les ministères adressant les propositions à la Grande Chancellerie, il n’apparaît pas possible de faire application des dispositions des I et III de l’article 32 de la loi du 6 janvier 1978 modifiée. La Commission estime que cette dérogation d’information est conforme au deuxième alinéa du III dudit article, qui dispose que les obligations d’information ne s’appliquent pas « quand [l’] information [de la personne concernée] se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche ».
En revanche, toutes les informations enregistrées dans l’application LEGHO figurent dans le décret finalement publié au Journal Officiel. Par la publication du décret portant nomination ou promotion, les personnes concernées sont ainsi informées des données auxquelles ont accédé les destinataires précités. En outre, le courrier personnel informant le récipiendaire de sa promotion ou de sa nomination, donnera toutes les précisions sur les caractéristiques du traitement dont la personne aura fait l’objet.
Les droits d’accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée s’exercent directement auprès du cabinet du secrétaire général du gouvernement.
Caractéristiques particulières du traitement
Le traitement LEGHO est soumis au Référentiel Général de Sécurité, ce qui apporte des garanties suffisantes en termes de sécurité des données traitées. 
La traçabilité du système est assurée par la journalisation des connexions. Si les accès aux données à caractère personnel enregistrées dans l’application ne font pas l’objet d’une telle journalisation, il convient de relever que des sécurités techniques sont mises en place afin de s’assurer que chaque intervenant dans le processus ne peut accéder qu’aux données dont il est à l'origine ou qu’il doit nécessairement traiter dans le cadre de ses missions.
Le traitement LEGHO est soumis au Référentiel Général de Sécurité, ce qui apporte des garanties suffisantes en termes de sécurité des données traitées. 
La traçabilité du système est assurée par la journalisation des connexions. Si les accès aux données à caractère personnel enregistrées dans l’application ne font pas l’objet d’une telle journalisation, il convient de relever que des sécurités techniques sont mises en place afin de s’assurer que chaque intervenant dans le processus ne peut accéder qu’aux données dont il est à l'origine ou qu’il doit nécessairement traiter dans le cadre de ses missions.
Le Président
Alex TURK