Délibération n° 2014-247 du 12 juin 2014 autorisant la commission d’indemnisation des victimes de spoliations à accéder au traitement de « l’Association Les Fils et Filles des Déportés Juifs de France » relatif aux données à caractère personnel des personnes victimes de spoliations et de leurs ayants droit
Nature: Autre autorisation

(Demande d’autorisation n°1654136)
La Commission nationale de l'informatique et des libertés,
Saisie par la commission d’indemnisation des victimes de spoliations d’une demande d’autorisation visant à lui permettre d’accéder au traitement de « l’Association Les Fils et Filles des Déportés Juifs de France » relatif aux données à caractère personnel des personnes victimes de spoliations et de leurs ayants droit ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV et 25-I-1° ;
Vu le décret n° 99-778 du 10 septembre 1999 modifié instituant une commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation ;
Vu le décret n° 2000-1023 du 14 octobre 2000 portant application des dispositions du troisième alinéa de l’article 31 de la loi n°78-17 du 6 janvier 1978 au fichier mis en œuvre par la commission pour l'indemnisation des victimes de spoliations intervenues du fait des législations antisémites en vigueur pendant l'Occupation ; 
Vu le décret n° 2002-1478 du 19 décembre 2002 portant création de fichiers automatisés d'informations nominatives pour assurer, d'une part, l'instruction des dossiers d'indemnisation présentés en application du décret n° 99-778 du 10 septembre 1999 et, d'autre part, le paiement des indemnités ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ; 
Sur la proposition de Mme Dominique CASTERA, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement, 
Formule les observations suivantes :
Sur le responsable du traitement
Créée par le décret n° 99-778 du 10 septembre 1999, la commission d’indemnisation des victimes de spoliations (CIVS) est un organisme placé auprès du Premier ministre en charge d’examiner les demandes présentées par les victimes de spoliations et leurs ayants droit pour la réparation des préjudices subis du fait des législations antisémites prises, pendant l’Occupation, tant par l’occupant que par les autorités de Vichy.Conformément à l’article 1er du décret n° 99-778 du 10 septembre 1999, la CIVS exerce une mission d’intérêt public à travers la recherche des victimes de spoliation et de leurs ayants droit et le traitement de leurs demandes d’indemnisation.
Sur la finalité
Afin de remplir sa mission de recherche, la CIVS souhaite pouvoir interroger et recevoir les données dont dispose l’association « Les Fils et Filles des Déportés Juifs de France » sur les personnes victimes de spoliations durant l’Occupation et leurs ayants droit qui n’ont pas encore déposé de demandes d’indemnisation.Dans la mesure où les informations traitées pas la CIVS ainsi que celles traitées par l’Association « Les Fils et Filles des Déportés Juifs de France » sont susceptibles de faire apparaître indirectement des données sensibles au sens de l’article 8 de la loi du 6 janvier 1978 modifiée et, en particulier, les origines raciales ou ethniques et les opinions religieuses des personnes concernées, la mise en œuvre de ce traitement, justifié par un intérêt public, doit faire l’objet d’une autorisation de la Commission en application de l’article 25-I-1°de ladite loi.Cette demande d’autorisation s’inscrit dans le cadre d’une campagne de la CIVS visant à diffuser plus largement l’existence du droit à indemnisation. La CIVS n’a en effet pas réussi à identifier toutes les personnes susceptibles de pouvoir être indemnisées. Le projet d’échange résulte ainsi de la nécessité d’élargir les moyens de recherche de la CIVS pour identifier les victimes de spoliations et leurs ayants droit.  A cet effet, sur la base d’une liste comportant les noms, prénoms et, éventuellement, les date et lieu de naissance, la CIVS souhaite interroger l’Association « Les Fils et Filles des Déportés Juifs de France » en vue d’obtenir les adresses postales et les coordonnées téléphoniques des personnes concernées ou susceptibles de l’être. A l’issue de cet échange, un courrier sera envoyé aux personnes ainsi identifiées afin de les informer de leur droit à indemnisation. Cet échange de données contribue à l’exécution de la mission de service public confiée à la CIVS telle que définie par le décret n° 99-778 du 10 septembre 1999 modifié.La Commission considère dès lors que cette finalité est déterminée, explicite et légitime, conformément à l’article 6 de la loi du 6 janvier 1978 modifiée. 
Sur les données traitées
Les données à caractère personnel concernées sont :
les nom et prénoms des ayants droit concernés ou susceptibles de l’être ; 
leur adresse ; 
leur situation professionnelle;
les date et lieu de naissance, l’âge approximatif ;
la date de déportation de la victime et le numéro de convoi.
Il s’agit dès lors de données sensibles au sens de l’article 8 de la loi du 6 janvier 1978 modifiée et, en particulier, de données faisant apparaître, directement ou indirectement, les origines raciales ou ethniques et les opinions religieuses des personnes concernées.
Etant donné que certaines victimes de spoliations l’ont été du fait de leur appartenance raciale ou ethnique ou de leurs opinions religieuses, réelles ou supposées, la collecte de ces données est justifiée par la finalité de l’interconnexion projetée. En outre, eu égard à ses missions d’intérêt public, la CIVS est autorisée, en vertu de l’article 1 du décret n° 2000-1023 du 14 octobre 2000, à traiter ce type de données.
La Commission estime dès lors que ces données sont adéquates, pertinentes et non excessives au regard de la finalité du traitement.
Sur la durée de conservation
Les données collectées par le CIVS sont intégrées dans son fichier relatif au traitement de l’instruction des dossiers d’indemnisation créé par le décret n° 2002-1478 du 19 décembre 2002. Leur durée de conservation est identique à celle des données contenues dans le traitement de la CIVS, qui sont conservées jusqu’à la fin des travaux de cette dernière.  La Commission considère que cette durée de conservation n’excède pas la durée nécessaire à la finalité du traitement.
Sur les destinataires
Les destinataires des données sont les agents de la CIVS chargés d’instruire les dossiers de demande d’indemnisation ainsi que les rapporteurs qui sont les magistrats responsables de l’instruction des dossiers.Les agents de la CIVS ayant accès au traitement seront authentifiés par le biais d’un mot de passe d’un niveau de complexité suffisant et régulièrement renouvelé.La Commission rappelle la nécessité de mettre en place des mots de passe incluant une longueur minimale de 8 caractères, au moins un chiffre, une majuscule et un caractère spécial.
Sur l’information et les droits des personnes 
A la réception des données des personnes concernées, il est prévu que la CIVS adresse un courrier aux personnes identifiées afin de les informer de leur droit à indemnisation. Ces courriers contiendront l’ensemble des mentions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée et notamment l’identité du responsable de traitement, les finalités de l’interconnexion ainsi que les modalités d’exercice des droits des personnes concernées. Ces droits d’accès et de rectification s’exerceront directement auprès de la CIVS. 
Sur les mesures de sécurité
Les échanges de données auront lieu par transmission d'un support physique (ex : CD-ROM) contenant les données sous forme chiffrée.Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
Dans ces conditions, la Commission autorise la CIVS à recueillir les données des personnes victimes de spoliations et de leurs ayants droit détenues par « l’Association Les Fils et Filles des Déportés Juifs de France ».
La Présidente
I. FALQUE-PIERROTIN