Délibération n°2018-014 du 25 janvier 2018 autorisant le ministère de l’agriculture et de l’alimentation à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la simplification administrative des demandes d’aides à caractère économique et abrogeant la délibération n°2017-206 du 6 juillet 2017
Nature: Autre autorisation

(demande d’autorisation n° 1067948 v4)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’agriculture et de l’alimentation d’une demande d’autorisation concernant un traitement de données à caractère personnel ayant pour finalité la simplification administrative des demandes d’aides à caractère économique;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code rural et de la pêche maritime, notamment ses articles L. 723-43, L. 725-2 et R. 725-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-5° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 28 février 2006 portant création de la base de données nationale des usagers du ministère de l’agriculture et de la pêche ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Formule les observations suivantes :
La présente délibération modifie les catégories de destinataires des données contenues dans le traitement existant sur lequel la Commission s’est prononcée par la délibération n° 2017-206 du 6 juillet 2017 autorisant le ministère de l’agriculture et de l’alimentation à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la simplification des demandes d’aides à caractère économique.
En effet, parmi ces destinataires figuraient les offices nationaux interprofessionnels des céréales (ONIC), des oléagineux et cultures textiles (ONIOL), des viandes, de l’élevage et de l’aviculture (OFIVAL), du lait et des produits laitiers (ONILAIT), des fruits, des légumes, des vins et de l’horticulture (ONIFLHOR), des plantes à parfum, aromatiques et médicinales (ONIPPAM), des vins (ONIVINS), des produits de la mer et de l’aquaculture (OFIMER) ainsi que le centre national pour l’aménagement des structures des exploitations agricoles (CNASEA). 
Ces organismes ont été remplacés par l’Etablissement national des produits de l’agriculture et de la mer (FranceAgriMer) et par l’Agence de Services et de Paiement (ASP). 
Par ailleurs, les conseils régionaux, en tant qu’autorités de gestion du Fonds européen agricole pour le développement rural (FEADER) peuvent être amenés à instruire les dossiers de demandes d’aides déposés dans le cadre des Programmes de Développement Rural (PDR) financés par ce fonds, et doivent ainsi vérifier l’accomplissement des obligations sociales des demandeurs conformément aux dispositions des articles L. 725-2 et R. 725-2 du code rural et de la pêche maritime. Il est dès lors aujourd’hui nécessaire de leur permettre d’accéder aux données contenues dans le traitement.  
Les autres caractéristiques du traitement restent inchangées. 
Responsable du traitement
Le ministère de l’agriculture et de l’alimentation.
Sur la finalité
Le traitement de données à caractère personnel a pour finalité l’instruction et le contrôle des demandes d’aides à caractère économique (nationale et/ou européenne) accordées aux agriculteurs, sous réserve du respect du paiement des cotisations et contributions légalement exigibles aux régimes de la protection sociale agricole (MSA), conformément aux dispositions des articles L. 725-2 et R. 725-2 du code rural et de la pêche maritime.
Le traitement susvisé porte sur la transmission entre la Caisse centrale de la Mutualité  sociale agricole (CCMSA), et la Base de données nationale des usagers (BDNU), d’informations actuellement mises à disposition par les services locaux du ministère, ainsi que par les caisses locales, sous la forme d’un fichier papier, en vue d’instruire les demandes relatives aux indemnités compensatrices de handicaps naturels (ICHN), au plan de compétitivité et d’adaptation des exploitations agricoles (PCAE), au transfert de droits à paiement de base (DPB), et celles concernant les paiements aux jeunes agriculteurs (JA).
Afin de simplifier les démarches administratives des personnes concernées, et d’obtenir des informations les plus à jour possibles dans le cadre de la BDNU, les services locaux du ministère utilisent la plateforme « API entreprise », mise en place par le secrétariat général pour la modernisation de l’action publique (SGMAP).  
À ce titre, l’API entreprise récupère directement auprès du répertoire national  des associations (RNA) du ministère de l’intérieur, de la base Economic Operator registration and identification (EORI) des douanes, de la base de diffusion du système national d’identification et du répertoire des entreprises et de leurs établissements (SIRENE) de l’institut national de la statistique et des études économiques (INSEE), de la base de la mutualité sociale agricole (MSA), ainsi que celle de la direction générale des finances publiques (DGFIP), certaines des informations mentionnées ci-dessous.
La Commission considère les finalités poursuivies comme déterminées, explicites et légitimes conformément aux dispositions de l’article 6-2° de la loi Informatique et Libertés du 6 janvier 1978 modifiée en août 2004.
Sur les données traitées
Pour répondre aux finalités du traitement, peuvent être collectées et traitées les catégories de données relatives :
à l’identité du demandeur ;  
à la vie professionnelle ;
à la situation financière des entreprises, et notamment les informations relatives au respect des obligations sociales conformément aux dispositions des articles L. 725-2 et R. 725-2 du code rural et de la pêche maritime, ainsi que celles relatives aux revenus, à la situation financière et à la situation fiscale ;
à l’identité bancaire.
Ces données apparaissent pertinentes au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée en août 2004.
 Sur les destinataires
Dans les limites de leurs attributions respectives, et chacun pour ce qui le concerne, peuvent accéder aux données enregistrées dans le traitement, les services centraux et déconcentrés du ministère de l’agriculture et de l’alimentation ainsi que les agents des services gestionnaires des aides des conseils régionaux.
Dans les limites de leurs attributions respectives, et chacun pour ce qui le concerne, sont destinataires des données susvisées, l’Agence de services et de paiement (ASP), l’Etablissement national des produits de l’agriculture et de la mer (FranceAgriMer),  l’office national des forêts (ONF), ainsi que les services du ministère de la transition écologique et solidaire.
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données.
Sur l’information et les droits des personnes 
Les personnes sont informées, conformément aux dispositions de l’article 32 de la loi du 6 janvier 1978, par une mention d’information sur la plateforme du téléservice (BDNU).
La Commission considère que ces modalités d’information des personnes sont satisfaisantes.
Les droits d’opposition, d’accès et de rectification prévus aux articles 38, 39 et 40 de la loi susvisée s’exercent auprès du ministère de l’agriculture et de l’alimentation, ainsi qu’auprès des centres de formalités des entreprises (CFE).
La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
La Commission prend acte que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
À cet égard, les échanges de données à caractère personnel sont sécurisés au moyen du protocole https. Concernant le recours à ce protocole, la Commission rappelle qu’elle recommande d’utiliser la version de TLS la plus à jour possible.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs sont spécifiés et documentés de manière détaillée, et prennent en compte les accès différentiés aux informations en fonction du besoin d’en connaître.
La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité et qu’une revue globale des habilitations soit opérée régulièrement.
L’authentification des utilisateurs du traitement est assurée par l’utilisation de mots de passe régulièrement renouvelés et constitués d’au moins huit caractères contenant des majuscules, des minuscules, des chiffres ou des caractères spéciaux lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe.
La Commission rappelle qu’elle recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux, et lever des alertes.
Des sauvegardes régulières sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée en août 2004.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Les données sont conservées cinq ans à compter de la date de clôture du dossier du bénéficiaire, à l’exception des données transmises par la MSA qui sont supprimées de manière automatique et sécurisée chaque année.
À l’expiration de ces périodes, les données sont détruites de manière sécurisée.
Lorsqu’il existe un recours contre un tiers ou un contentieux, les données peuvent être conservées jusqu’à l’intervention de la décision définitive.
La Commission autorise, conformément à la présente délibération, le ministère de l’agriculture et de l’alimentation à mettre en œuvre le traitement et abroge la délibération n°2017-206 du 6 juillet 2017.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS