Délibération n° 2018-357 du 13 décembre 2018 portant avis sur un projet de décret en Conseil d'Etat relatif aux échanges d'informations et de données entre administrations dans le cadre des démarches administratives et à l'expérimentation prévue par l'article 40 de la loi n° 2018-727 du 10 août 2018 pour un Etat au service d'une société de confiance (demande d‘avis n° 18011056)
Nature: Avis

La Commission nationale de l'informatique et des libertés,
Saisie par la Direction interministérielle du numérique et du système d’information de l’Etat (DINSIC) d’une demande d’avis sur un projet de décret en Conseil d’Etat relatif aux échanges d’informations et de données entre administrations dans le cadre des démarches administratives et à l’expérimentation prévue à l’article 40 de la loi
n° 2018-727 du 10 août 2018 pour un Etat au service d'une société de confiance ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code des relations entre le public et l’administration, notamment ses articles
L. 114-8, L. 114-9 et L. 113-13 ;
Vu le code pénal, notamment son article 413-9 ;
Vu le code de la santé publique, notamment son article L. 1110-4 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la loi n° 2011-525 du 17 mai 2011 de simplification et d’amélioration de la qualité du droit ;
Vu la loi n° 2018-727 du 10 août 2018 pour un Etat au service d’une société de confiance, notamment son article 40 ;
Vu l’ordonnance n° 2005-1516 du décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Philippe LEMOINE, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie, en application des dispositions de l’article L. 114-9 du code des relations entre le public et l’administration (CRPA) et de l’article 40 de la loi n° 2018-727 du 10 août 2018 pour un Etat au service d'une société de confiance (ci-après loi " ESSOC ") par la Direction interministérielle des systèmes d’information et de communication de l’Etat (DINSIC) d’un projet de décret en Conseil d’Etat relatif aux échanges d’informations et de données entre administrations dans le cadre des démarches administratives et à l’expérimentation prévue à l’article 40 précité.
Conformément aux dispositions de l’article 11-I-4°-a) de la loi du 6 janvier 1978 modifiée, la Commission rappelle que la présente délibération devra être publiée en même temps que le décret adopté.
A titre liminaire, la Commission souligne que le projet de décret s’inscrit dans un contexte général de simplification des démarches et des déclarations administratives en permettant notamment les échanges entre administrations. A ce titre, elle relève que le projet de décret qui lui est soumis vise tout d’abord à prévoir les modalités d’échanges d'informations ou de données entre administrations prévus à l’article
L. 114-8 du CRPA. La Commission observe que conformément aux dispositions de l’article L. 114-9 du CRPA, il s’agit en particulier de déterminer :
les domaines et les procédures concernés par les échanges d'informations ou de données ;
la liste des administrations auprès desquelles la demande de communication s'effectue en fonction du type d'informations ou de données ;
les critères de sécurité et de confidentialité nécessaires pour garantir la qualité et la fiabilité des échanges ;
les informations ou données qui, en raison de leur nature, notamment parce qu'elles touchent au secret médical et au secret de la défense nationale, ne peuvent faire l'objet de ces échanges entre administrations ;
le délai de conservation des informations et données applicable à chaque système d'échanges.
La Commission relève par ailleurs que le présent projet de décret vise également à fixer les conditions de mise en œuvre de l’expérimentation précitée. Elle rappelle à cet égard que l’article 40 de la loi n° 2018-727 du 10 août 2018 susvisée prévoit que "
 sans préjudice de l'article L. 114-8 du code des relations entre le public et l'administration, à titre expérimental et pour une durée de trois ans à compter de la publication du décret en Conseil d'Etat prévu au troisième alinéa du présent article, les personnes inscrites au répertoire des entreprises et de leurs établissements, qui y consentent, ne sont pas tenues de communiquer à une administration des informations que celle-ci détient déjà dans un traitement automatisé ou qui peuvent être obtenues d'une autre administration par un tel traitement. Lorsqu'elle obtient des informations par un traitement automatisé, l'administration en informe la personne concernée. Elle assure la confidentialité et la protection de ces informations afin d'empêcher qu'elles soient déformées ou endommagées ou que des tiers non autorisés y aient accès (…) ". 
Cet article prévoit en outre qu’un décret en Conseil d’Etat pris après avis de la Commission nationale de l'informatique et des libertés, précise les modalités d'application du présent article, notamment la liste des traitements automatisés entrant dans le champ de l'expérimentation ainsi que, pour chaque traitement, la liste des données disponibles.
De manière générale, la Commission rappelle que la simplification des démarches administratives et l’amélioration des relations entre les administrés et les administrations constituent des objectifs légitimes. Elle rappelle néanmoins que la mise en œuvre d’échanges de données dans ce cadre doit être limitée aux données strictement nécessaires et doit garantir le respect des droits des personnes ainsi que la sécurité et la confidentialité de leurs données personnelles.
 
Ces éléments rappelés et sans préjudice des conditions de mise en œuvre des traitements qui devront, en tout état de cause, respecter la réglementation applicable en matière de protection des données, le projet de décret appelle les observations suivantes de la part de la Commission.
Sur les dispositions relatives à l’application de l’article L. 114-9 du CRPA 
La Commission rappelle que les échanges d’informations ou de données entre administrations tels que prévus à l’article L. 114-8 du CRPA doivent permettre à ces dernières de simplifier les démarches des administrés en les dispensant de fournir, à plusieurs reprises, les mêmes pièces justificatives. Elle relève que l’objectif poursuivi au travers de ces échanges entre administrations est de faire de la sollicitation de l’usager une exception, conformément aux dispositions de l’article L. 113-12 du CRPA qui prévoit que " une 
personne présentant une demande ou produisant une déclaration […] ne peut être tenue de produire des informations ou données qu'elle a déjà produites auprès de la même administration ou d'une autre administration participant au même système d'échanges de données "
.
En premier lieu
, la Commission rappelle qu’eu égard à son objet, 
le projet de décret n’a pas vocation à dresser une liste détaillée des données pouvant faire l’objet d’échanges entre les administrations. Elle prend acte que les catégories d’informations figurant aux projets d’articles R. 114-9-1, R. 114-9-2 et R. 114-9-4 correspondent à des données
 régulièrement demandées par les administrations aux entreprises, aux associations et aux particuliers dans le cadre des procédures mentionnées
 aux projets d’articles R. 114-9-3 et R. 114-9-5 et que, en tout état de cause, les échanges d’informations entre administrations seront limités aux seules données strictement nécessaires pour traiter une demande présentée par le public ou une déclaration transmise par celui-ci en application d’une disposition légale conformément à l’article L. 114-8 du CRPA.
La Commission relève par ailleurs que l’article 1 du projet de décret exclut des échanges entre administrations les informations qui seraient couvertes par le secret médical au sens de l’article L. 1110-4 du code de la santé publique ainsi que les informations présentant un caractère de secret de la défense nationale au sens de l’article 413-9 du code pénal.
Si ces dispositions sont conformes aux dispositions du 4° de l’article L. 114-9 du CRPA, la Commission observe néanmoins qu’en employant le terme " notamment " le législateur n’a pas entendu limiter cette exclusion aux seules informations ou données relatives au secret médical et au secret de la défense nationale. A cet égard elle estime que le projet de décret doit exclure de son périmètre l’ensemble des catégories de données qui, en raison de leur sensibilité particulière ou de leur nature, ne devraient pas pouvoir faire l’objet d’une communication directe entre administrations. La Commission demande en conséquence que le projet de décret soit précisé sur ce point. 
En outre, la Commission relève que le 7° de l’article R. 114-9-5 projeté inclut dans le périmètre des échanges les procédures relatives " aux assurances et aux banques ". 
A cet égard, la Commission rappelle que le projet de décret doit exclusivement concerner les échanges de données entre administrations dans le cadre des démarches administratives. Les échanges d’informations prévus dans le cadre des procédures relatives " aux assurances et aux banques " ne devront couvrir que des procédures administratives telles que, par exemple celles relatives à l’endettement engagées auprès de la Banque de France.
Sous ces réserves, la Commission estime que les données entrant dans le périmètre du projet de décret sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des procédures concernées par les échanges.
En deuxième lieu, 
la Commission 
relève que, contrairement à ce que prévoit le 5° de l’article L. 114-9 du CRPA, le projet de décret ne précise pas le délai de conservation des informations et données
applicables à chaque système d’échange.
 
Interrogés sur ce point, les services de la DINSIC ont précisé que les dispositifs techniques d’échanges de données n’ont pas vocation à stocker les données échangées qui sont supprimées sans délai à l’issu de leur transit. Compte tenu de ces précisions, la Commission estime que 
le projet de décret devrait être modifié afin de prévoir que les données échangées ne seront pas conservées par les systèmes d’échanges mis en œuvre. 
Elle relève par ailleurs que le projet d’article R. 114-9-8 prévoit que les données relatives à la traçabilité des échanges seront conservées pendant une durée de
trente-six (36) mois, " sans préjudice des obligations de conservation incombant aux administrations destinataires des informations échangées ". 
La Commission rappelle que, sauf à justifier de particularités ou de dispositions légales expresses, la durée de conservation des traces en base active est fixée, par principe, à six (6) mois. Cette durée est suffisante pour permettre d’identifier a posteriori un accès frauduleux à des données personnelles, une utilisation abusive de telles données ou de déterminer l’origine d’un incident technique dans le dispositif d’échange. Elle demande dès lors que le projet de décret soit modifié afin de réduire à six (6) mois la durée de conservation des données de traçabilité. 
Elle considère en outre que le projet de décret devrait être explicité afin de préciser les " obligations de conservation " auxquelles il est fait référence.
En troisième lieu
, la Commission rappelle que, conformément aux dispositions de l’article L. 113-12 du CRPA, " une personne présentant une demande ou produisant une déclaration dans le cadre d'une procédure relevant de l'article L. 114-9 ne peut être tenue de produire des informations ou données qu'elle a déjà produites auprès de la même administration ou d'une autre administration participant au même système d'échanges de données tel que défini à l'article L. 114-8. ".
Elle rappelle en outre que les administrations ne pourront procéder aux échanges d’informations qu’après avoir recueilli le consentement des personnes qui doivent à ce titre disposer d’un contrôle et d’un choix réel concernant l’acceptation ou le refus des conditions proposées ou encore de la possibilité de les refuser sans subir de préjudice. 
Pour être valable, le consentement dont il est question doit être libre, spécifique, éclairé et univoque conformément à l’article 4-11) du RGPD.
A cet égard, la Commission considère, conformément à la position retenue par le groupe de travail de l’article 29 (" G29 ") et reprise par le Comité européen de la protection des données (CEPD) dans le cadre de ses lignes directrices sur le consentement que, dans l’hypothèse où la fourniture d’un service est subordonnée au consentement au traitement de données personnelles, ce consentement n’est libre que si le traitement de ces données est strictement nécessaire à la fourniture du service demandé par la personne, ou si une alternative est effectivement offerte par le responsable de traitement à la personne concernée.
La Commission estime dès lors que les administrations doivent assurer le maintien d'une procédure alternative pour la fourniture des pièces justificatives nécessaires à l’instruction des démarches et que cette procédure doit permettre l'accès, dans des conditions analogues, à la même prestation de service public.
La Commission souligne par ailleurs l'importance de la qualité de l'information qui doit être délivrée aux personnes avant qu’elles ne consentent. Elle rappelle à cet égard que l’article 12-1 du RGPD précise que l’information doit être transmise " d'une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples ". 
Elle recommande dès lors que des mentions-type d'information, rédigées en des termes clairs complets et pédagogiques, soient rendues facilement accessibles pour les personnes lorsqu’elles effectuent leurs démarches administratives. Outre les mentions d’information obligatoires prévues à l’article 13 du RGPD, 
l’information délivrée devra également, pour maintenir le caractère facultatif de l’échange de données proposé, indiquer les modalités alternatives pour effectuer une démarche sans bénéficier de ces simplifications.
En dernier lieu
, la Commission prend acte que le projet d’article R. 114-9-7 prévoit d’une part que les échanges d’informations devront être effectués dans le respect des fonctions de sécurité prévues par le référentiel général de sécurité (RGS) mentionné à l’article 9 de l’ordonnance n°2005-156 du 8 décembre 2005 et que, d’autre part, " les niveaux de sécurité appropriés " devront être déterminés par les organismes chargés des échanges " en fonction de la sensibilité des données échangées ". 
Par ailleurs, la Commission rappelle que chaque système d’échange devra permettre aux administrations destinataires de demandes de communication de s’assurer, d’une part, que l’administration demanderesse dispose bien du droit d’accès aux informations ou données demandées en application d’une disposition législative ou règlementaire et que, d’autre part, ces dernières seront bien utilisées dans le cadre d’une procédure engagée par un administré. A cet égard, la Commission prend acte que le projet d’article R. 114-9-7 prévoit que les organismes chargés d’opérer les échanges " mettent en œuvre notamment les fonctions d’identification de l’administration demanderesse ". La Commission recommande l’utilisation du terme " habilitation " afin d’inclure la notion de gestion indispensable des droits d’accès aux informations. 
Afin de préciser les mesures minimales requises pour tout échange, quelle que soit la sensibilité des informations échangées, la Commission recommande que le projet de décret soit modifié afin que la formulation " au minimum et, dans tous les cas, l’authentification mutuelle des organismes et le chiffrement du canal sont assurés " soit ajoutée.
Si la Commission relève que les dispositions du projet d’article R. 114-9-7 constituent un cadre technique et organisationnel conforme à l’article 32 du RGPD, elle estime néanmoins que les modalités pratiques présidant aux échanges d’informations pourraient utilement être détaillées dans des documents annexes tels qu’une circulaire d’application ou un guide spécifique. 
Concernant les données de traçabilité, la Commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et de générer des alertes le cas échéant. En outre, elle recommande que des mesures soient mises en œuvre pour assurer l’intégrité de ces traces. La Commission rappelle que les données de traçabilité ont pour seule vocation d’être utilisées pour une finalité de détection ou de prévention d’opérations illégitimes sur les données. 
La Commission rappelle enfin que, dès lors que les administrations chargées de procéder aux échanges de données considéreraient que les traitements relatifs aux échanges sont susceptibles d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, il leur incombera d’effectuer une analyse d’impact relative à la protection des données à caractère personnel (AIPD) et, le cas échéant, de la lui transmettre avant la mise en œuvre de ce traitement.
Sur les dispositions relatives à l’expérimentation prévue par l’article 40 de la loi " ESSOC " 
A titre liminaire, la Commission rappelle que l’article 40 de la loi n° 2018-727 du 10 août 2018 susvisée précise que " les personnes inscrites au répertoire des entreprises et de leurs établissements, qui y consentent, ne sont pas tenues de communiquer à une administration des informations que celle-ci détient déjà dans un traitement automatisé ou qui peuvent être obtenues d'une autre administration par un tel traitement (…) ". Elle rappelle également que le caractère expérimental du dispositif projeté, expressément prévu par le législateur pour une durée de trois ans, ne préjuge en rien de la pérennisation d’une telle démarche. A cet égard, la Commission estime que cette expérimentation devra faire l’objet d’une évaluation rigoureuse avant d’envisager de maintenir ou non un tel dispositif. Si elle observe que l’article précité prévoit expressément que " l'expérimentation fait l'objet d'une évaluation, notamment de son impact sur les délais administratifs, dont les résultats sont transmis au Parlement
 ", elle demande qu’un bilan lui soit également adressé à l’issue de ces trois années. La Commission estime que ce rapport d’évaluation devra mentionner a minima :
des éléments chiffrés sur le nombre d’échanges réalisés, le nombre d’entreprises et d’administrations concernées, les flux intervenus ;
des éléments chiffrés sur l’impact sur les délais administratifs ;
une description des conditions de mise en œuvre technique et opérationnelle du dispositif expérimenté ;
des éléments de conclusion généraux relatifs au fonctionnement du dispositif expérimenté et aux éventuelles difficultés rencontrées, aussi bien juridiques que techniques.
 
Elle rappelle par ailleurs que l’article 40 précité ne dresse pas une liste limitative des dispositions devant figurer au sein du présent projet de décret, lequel doit " notamment " préciser " la liste des traitements automatisés entrant dans le champ de l’expérimentation ainsi que, pour chaque traitement, la liste des données disponibles ".
Dans ce contexte, la Commission observe que les dispositions qui lui sont soumises visent à préciser les régions concernées par l’expérimentation, les procédures administratives ainsi que les administrations concernées, l’interface de programmation utilisée, dénommée " API entreprises ", les données susceptibles d’être transmises ainsi que les conditions de sécurité et de traçabilité des échanges. A ce titre, elle relève que l’expérimentation projetée vise à alléger les formalités des personnes inscrites au répertoire des entreprises et de leurs établissements dans le cadre de leurs démarches administratives ainsi qu’à démontrer la pertinence d’un dispositif d’échanges d’informations entre administrations par l’intermédiaire d’une interface de programmation applicative (API) unique mise en œuvre par la DINSIC, plutôt que des échanges d’administration à administration.
La Commission observe toutefois que la description du dispositif d’expérimentation projeté telle que prévue à l’article 6 du projet de décret transmis ne permet pas de comprendre l’architecture globale du dispositif envisagé. En particulier, elle estime ne pas être en mesure de se prononcer sur la manière dont une administration pourra se procurer les données par l’intermédiaire de l’interface de programmation dénommée " API entreprises " auprès d’une autre administration française. La Commission estime dès lors que le projet de décret devrait être précisé en ce sens.
En premier lieu, l’article 3 du projet de décret précise le périmètre de l’expérimentation en indiquant que participent à celle-ci " dès lors qu’elles ont la possibilité technique de recevoir des informations par l’intermédiaire du traitement automatisé ", d’une part les collectivités territoriales de plus de 3500 habitants, d’autre part les autres administrations mentionnées au 1° de l’article L. 100-3 du CRPA dont le nombre d’agents ou de salariés exprimé en équivalent temps plein, est égal ou supérieur à cinquante.
 
La Commission rappelle que les échanges d’informations auxquelles ces administrations participent ont lieu dans le cadre prévu par l’article L. 114-8 du CRPA pour ce qui est de la stricte nécessité d’en connaître pour traiter la demande ou la déclaration présentée par la personne concernée. Il en va de même pour la non opposabilité du secret professionnel, dès lors que ces administrations sont, dans le cadre de leurs missions légales, habilitées à connaitre des informations ou données ainsi échangées.
L’article 7 du projet de décret précise d’autre part les informations qui peuvent être obtenues par l’intermédiaire de l’interface de programmation dénommée " API entreprises " en effectuant un renvoi aux articles R. 114-9-1 et R. 114-9-2 du CRPA.
La Commission observe que ce dernier article est relatif aux " informations relatives aux associations, à leurs statuts et à leurs dirigeants ", alors que l’article 3 du projet de décret relatif à l’expérimentation ne vise que " les entreprises ".
La Commission considère de ce fait que le périmètre de l’expérimentation devrait être plus précisément défini afin de déterminer si les associations sont également concernées par le dispositif. Elle estime dès lors que le projet de décret devrait être modifié afin de mettre en cohérence les dispositions des articles 3 et 7.
 
En deuxième lieu, l’article 4 du projet de décret précise les procédures concernées par l’expérimentation. La Commission relève que sont concernés les marchés publics (1°), les aides publiques (2°) ainsi que les installations classées et établissements recevant du public (3°).
Elle relève qu’il semble résulter de cette disposition que l’article 4-1° se rapporte aux procédures visées à l’article R. 114-9-3, 7° du projet de décret.
Elle regrette en revanche qu’aucune précision n’ait été apportée sur le champ des procédures entrant dans le domaine des " aides publiques ". A supposer que cette notion renvoie exclusivement aux aides publiques visées à l’article R. 114-9-3, 8° du même projet, cette précision pourrait utilement être mentionnée.
En troisième lieu
, la Commission relève que l’article 6 du projet de décret prévoit que l’administration participant à l’expérimentation informe la personne concernée dans les conditions prévues par les deuxième et troisième alinéas de l’article L. 114-8 du CRPA des informations qu’elle obtient. Dans ces conditions, elle renvoie aux observations générales précédemment formulées dans le cadre de l’examen des dispositions relatives à l’application de l’article L. 114-9 de ce même code.
Elle estime en revanche que le projet de décret devrait être complété afin de détailler les modalités du recueil du consentement des personnes physiques identifiées ou identifiables inscrites au répertoire des entreprises et de leurs établissements à participer à l’expérimentation, de l’éventuel retrait dudit consentement ainsi que du droit à l’information desdites personnes en cas d’informations obtenues par une administration grâce au traitement automatisé.
En dernier lieu, la Commission relève que s’agissant des durées de conservation et des mesures de sécurité, l’article 7 du projet de décret renvoie aux projets d’articles R. 114-9-7 et R. 114-9-8 pris dans le cadre des dispositions relatives à l’article L. 114-9 du CRPA. Dans ces conditions, elle renvoie dès lors aux observations précédemment formulées dans le cadre de l’examen de ces dispositions.
 
La Présidente
I. FALQUE-PIERROTIN