Délibération n° 2017-040 du 23 février 2017 portant avis sur un projet d’arrêté modifiant l’arrêté du 6 février 2009 modifié portant création d’un traitement de données à caractère personnel dénommé "Répertoire partagé des professionnels intervenant dans le système de santé".
(demande d’avis n° 16019251)

Extrait du Journal officiel électronique authentifié La Commission nationale de l'informatique et des libertés, Saisie par la ministre des affaires sociales et de la santé d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 6 février 2009 modifié portant création d’un traitement de données à caractère personnel dénommé "Répertoire partagé des professionnels de santé" (RPPS) ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de l’action sociale et des familles, notamment ses articles L. 411-1 à L. 411-2 et R. 411-1 ; Vu le code de la santé publique, notamment ses articles L. 1453-1, L. 5311-1 et D. 4113-118 ; Vu le code de la sécurité sociale, notamment ses articles R. 161-53 et R. 161-54 ; Vu le code des relations entre le public et l’administration, notamment le livre III relatif à l’accès aux documents administratifs et la réutilisation des informations publiques ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 27-II-1° ; Vu l’article 44 de la loi n° 85-772 du 25 juillet 1985 portant diverses dispositions d’ordre social pour les psychologues, modifié par l’ordonnance n° 2010-177 du 23 février 2010, article 14 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2007-435 du 25 mars 2007 relatif aux actes et aux conditions d’exercice de l’ostéopathie, notamment l’article 5 ; Vu le décret n° 2010-534 du 20 mai 2010 relatif à l’usage du titre de psychothérapeute, notamment l’article 7 ; Vu le décret n° 2011-32 du 7 janvier 2011 relatif aux actes et aux conditions d’exercice de la chiropraxie, notamment l’article 5 ; Vu le décret n° 2013-414 du 21 mai 2013 relatif à la transparence des avantages accordés par les entreprises produisant ou commercialisant des produits à finalités sanitaire et cosmétique destinés à l’homme ; Vu l’arrêté du 6 février 2009 modifié portant création d’un traitement de données à caractère personnel dénommé "Répertoire partagé des professionnels de santé" (RPPS) ; Après avoir entendu M. Alexandre LINDEN, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Émet l’avis suivant : La Commission a été saisie, le 5 août 2016, par la ministre des affaires sociales et de la santé d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 6 février 2009 modifié portant création d’un traitement de données à caractère personnel dénommé "Répertoire partagé des professionnels de santé" (RPPS). Ce projet d’arrêté (ci-après "le projet") est pris en application de l’article D. 4113-118 du code de la santé publique qui prévoit que l’arrêté est pris après avis de la Commission. Le RPPS, en tant que référentiel, est un outil d’identification unique et pérenne des professionnels de santé, quel que soit leur mode d’exercice. Sa mise en œuvre est confiée à l’Agence nationale des systèmes d’information partagés de santé (ASIP Santé), en application des dispositions de l’article D. 4113-118 précité. A ce jour, ce répertoire comporte les données d’identification des médecins, chirurgiens-dentistes, sages-femmes et pharmaciens, fournies et certifiées par leurs ordres professionnels respectifs et par le service de santé aux armées. Il a vocation à recueillir, à terme, les informations concernant l’ensemble des professionnels intervenant dans le système de santé, soumis à une obligation légale d’enregistrement du titre ou diplôme sanctionnant leur formation. Le projet soumis à la Commission a pour objet l’intégration au RPPS d’autres professions règlementées intervenant dans le système de santé ainsi que des autorités d’enregistrement propres à ces professions (ordres professionnels respectifs et agences régionales de santé). Il vise également à élargir les possibilités d’utilisation des données du RPPS. Afin de fiabiliser les informations figurant dans le RPPS, une consultation du répertoire national d’identification des personnes physiques (RNIPP) est nécessaire. Dans la mesure où cette consultation du RNIPP n’inclut pas le numéro d’inscription à ce répertoire (NIR), le RPPS relève des dispositions de l’article 27-II-1° de la loi du 6 janvier 1978 modifiée (ci-après "loi Informatique et Libertés"). En outre, l’article D. 4113-118 précité renvoie à un arrêté pris après avis de la CNIL la définition des caractéristiques du RPPS. Sur la dénomination et les finalités du traitement : L’article 1er du projet modifie le nom du répertoire, qui devient "Répertoire partagé des professionnels intervenant dans le système de santé", sans modification de l’acronyme RPPS. Cette modification vise à mettre en cohérence le nom du répertoire avec l’intégration au RPPS de nouvelles catégories de professionnels. La Commission en prend acte. L’article 1 de l’arrêté du 6 février 2009 en vigueur (ci-après "l’arrêté RPPS en vigueur") prévoit que le RPPS a pour finalités actuelles de : "1° Identifier les professionnels de santé en exercice, ayant exercé ou susceptibles d'exercer. 2° Suivre l'exercice de ces professionnels. 3° Contribuer aux procédures de délivrance et de mise à jour des cartes de professionnel de santé. 4° Permettre la réalisation d'études et de recherches ainsi que la production de statistiques relatives aux professionnels répertoriés, à partir d'une base de référence anonymisée. 5° Mettre les données librement communicables du RPPS à disposition du public au moyen d'un service de communication sous forme électronique." L’article 2 du projet complète ces finalités par les suivantes : l’identification des assistants de service social et les titulaires des titres de psychothérapeutes, psychologues, chiropracteurs ou ostéopathes, en exercice, ayant exercé ou susceptibles d’exercer ainsi que l’identification des internes en médecine, en odontologie et en pharmacie, les étudiants des professions de santé dûment autorisés à exercer à titre temporaire, ou susceptibles d’être requis ou appelés au titre de la réserve sanitaire vient compléter l’article 1-1° de l’arrêté RPPS en vigueur ; la connaissance du niveau d’études des internes et étudiants vient compléter l’article 1-2° de l’arrêté RPPS en vigueur ; la contribution aux procédures de délivrance et de mise à jour des produits de certification délivrés par l’ASIP Santé ainsi qu’aux procédures d’identification des professionnels des secteurs sanitaire, social et médico-social vient compléter l’article 1-3° de l’arrêté RPPS en vigueur. La Commission considère que les finalités visées aux 1°, 2°, 3° et 5° demeurent déterminées, explicites et légitimes. Par ailleurs, s’agissant de la finalité visée au 4°, le projet d’arrêté modifie les dispositions relatives à la réalisation d’études et de recherches ainsi que la production de statistiques à partir d’une base de référence anonymisée. D’une part, la Commission relève que la référence à un processus d’anonymisation a été supprimée et remplacée par "une base de référence mise à disposition sous réserve de mesures adéquates permettant d’assurer la confidentialité de l’identité des personnes". D’autre part, le ministère a indiqué que la finalité de cette base serait de permettre de répondre à certaines demandes provenant d’utilisateurs qui ne bénéficient pas de droits d’accès aux données en accès restreint du RPPS. Il a également précisé que ces utilisations porteraient exclusivement sur des données sous forme statistique ou agrégée. La Commission en prend acte. Le ministère et l’ASIP Santé indiqueront à la Commission les modalités de mise en œuvre de cette base et notamment les mesures concrètes à mettre en place pour éviter tout risque de réidentification. Sur les catégories de données à caractère personnel enregistrées dans le RPPS : Les données à caractère personnel déjà enregistrées dans le RPPS sont relatives : à l’identification et l’identité des professionnels intervenant dans le système de santé ; aux diplômes ou "attestations en tenant lieu" (attestations propres à des titres de formation à l’étranger) et autorisations liés à l’exercice professionnel ; à l’exercice de la profession (profession, inscription à l’ordre pour les professions concernées, coordonnées de correspondance, dates de début et de fin des périodes pendant lesquelles le professionnel fait l’objet d’une mesure de suspension ou d’interdiction d’exercice, langues étrangères) ; aux qualifications, titres et exercices professionnels particuliers (intitulé, date de reconnaissance, date d’abandon) ; aux activités et structures d’exercice – notamment les coordonnées professionnelles ou les coordonnées des structures d’exercice ; à la carte de professionnel de santé (type de carte, numéro, période de validité, date d’opposition). L’article 3 du projet élargit le périmètre des professionnels concernés par la collecte et le traitement des données aux professions suivantes : les professionnels paramédicaux (masseurs-kinésithérapeutes, pédicures-podologues, infirmiers, ergothérapeutes, psychomotriciens, orthophonistes, orthoptistes, manipulateurs d’électroradiologie médicale, techniciens de laboratoire médical, audioprothésistes, opticiens-lunetiers, prothésistes et orthésistes pour l’appareillage des personnes handicapées, diététiciens) ; les professions et activités telles qu’identifiées à l’article 2 du projet d’arrêté. S’agissant des étudiants et internes et par analogie avec les professionnels en exercice, l’article 3-2° du projet ajoute le niveau d’études à la liste des données enregistrées dans le répertoire. Le ministère précise que l’enregistrement du niveau d’étude est justifié dans certaines situations par l’octroi d’autorisations de remplacement des étudiants fondées sur un niveau d’études fixé par la réglementation en vigueur. La Commission prend acte de ce que le projet d’arrêté définit "les données de correspondance" comme étant les coordonnées personnelles ou professionnelles du professionnel et que ce dernier disposera du choix de communiquer l’une ou l’autre de ces données, lesquelles ne relèvent pas des données en libre accès visées à l’article 5 du projet. La Commission considère que les données enregistrées dans le RPPS telles que prévues par le présent arrêté sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément aux dispositions de l’article 6-3° de la loi "Informatique et Libertés". Sur la liste des données en libre accès : Le projet (art. 5-3°) substitue la référence aux "données communicables au public" par celle de "données en libre accès" et complète la liste actuelle de ces données par les suivantes : la catégorie de professionnel ; le mode d’exercice ; les diplômes. Elles viennent ainsi se rajouter à celles prévues par l’arrêté RPPS en vigueur : le numéro RPPS ; les noms et prénoms d’exercice ; la profession exercée ; les qualifications et titres professionnels correspondant à l’activité exercée ; les coordonnées des structures d’exercice ainsi que leurs identifiants FINESS et SIREN. La Commission en prend acte et relève que l’ajout des diplômes à la liste des données en libre accès résulte d’une concertation avec des représentants des acteurs concernés. Sur les destinataires ou catégories de destinataires habilités à recevoir communication des données : L’article 7 de l’arrêté RPPS en vigueur recense dix-sept catégories d’utilisateurs, pour lesquels l’annexe 2 de l’arrêté précité précise les habilitations d’accès aux données au travers de dix-huit profils. Le ministère indique que ces profils sont construits sur des différences d’habilitations fondées sur deux distinctions principales entre catégories de données actives et historisées, d’une part, et données accessibles en consultation et en extraction, d’autre part. Une différence d’habilitations existe en outre à l’égard des données relatives à la nationalité et aux sanctions temporaires ou définitives prononcées à l’encontre des professionnels. La Commission prend acte de ce que l’article 7 du projet tend à faciliter la lisibilité de l’article. Cet article énumère seize catégories de destinataires des données habilités en fonction de profils déterminés de la manière suivante : "Profil 1 : données actives et données historisées en consultation et en extraction ; Profil 2 : données actives et données historisées en consultation et en extraction à l’exception des données relatives aux sanctions et à la nationalité ; Profil 3 : données actives en consultation et en extraction ; Profil 4 : données actives en consultation et en extraction à l’exception des données relatives aux sanctions et à la nationalité." Elle relève que l’ASIP Santé, en sa qualité de responsable de traitement, s’assure par une procédure de gestion des demandes d’accès que seules les personnes habilitées accèdent aux données contenues dans le RPPS dans le respect des règles de fonctionnement de ce répertoire. La Commission relève que le projet d’arrêté complète la liste des destinataires par les suivants : conseils des ordres professionnels des masseurs-kinésithérapeutes, pédicures-podologues et infirmiers ; établissements publics à caractère administratif de ressort national, amenés à devoir connaître, dans l’exercice de leurs missions, des conditions d’exercice des professionnels. S’agissant des conseils des ordres professionnels, la Commission prend acte de ce que cet ajout résulte de l’intégration au RPPS d’autres professions règlementées intervenant dans le système de santé ainsi que des autorités d’enregistrement propres à ces professions. S’agissant des établissements publics à caractère administratif de ressort national, le ministère a précisé que, dans le cadre de la gestion des demandes d’accès aux données en accès restreint du RPPS, l’ASIP Santé est confrontée à des demandes d’usagers qui ne correspondent parfois pas aux droits d’accès qui leur sont reconnus par l’arrêté. La Commission prend acte de ce que ces destinataires auront accès aux données correspondant au profil 2 uniquement dans le cadre de l’exercice de leurs missions. Elle prend également acte de ce que le ministère a indiqué que les personnes demandant un accès s’engagent, au travers du formulaire qu’elles remplissent, à utiliser les données conformément aux finalités listées par l’arrêté et à la charte d’utilisation qui est systématiquement annexée. L’article 7 du projet retire les hébergeurs de données de santé à caractère personnel agrées et les éditeurs et imprimeurs d’ordonnance mentionnés à l’article R. 5132-5 du code de la santé publique de la liste des destinataires. Le ministère a indiqué que ce retrait résulte de la modification de l’arrêté autorisant les extractions de coordonnées des structures d’exercice par le grand public. Dès lors, les droits des hébergeurs de données de santé et éditeurs et imprimeurs d’ordonnances sont les mêmes que ceux du grand public. Cette catégorie n’a plus lieu d’être mentionnée dans l’arrêté. La Commission prend acte de ce que ces modalités d’accès aux données résultent d’une concertation avec des représentants des acteurs du RPPS et estime que les modifications apportées par l’article 7 du projet n’appellent pas d’observation particulière, dès lors que les accès demeurent restreints, au sein des organismes participant à la mise en place et à l’alimentation du RPPS, aux services et structures qui y sont habilités dans le cadre de l’exercice de leurs missions. Sur la rediffusion des données du RPPS : L’article 8 de l’arrêté RPPS en vigueur prévoit que "Seuls les utilisateurs mentionnés du 1° au 7° de l'article 7 peuvent rediffuser : les données communicables au public, en consultation et en extraction ; les autres données, à l'exclusion de celles relatives à la nationalité et aux périodes pendant lesquelles le professionnel fait l'objet d'une mesure de suspension ou d'interdiction d'exercice, en consultation et en extraction, en fonction de leurs missions. Les utilisateurs mentionnés au 17° de l'article 7 peuvent également rediffuser les données communicables au public, en consultation, dans le cadre de l'application de l'article L. 1453-1 du code de la santé publique. La réutilisation des données doit s'effectuer dans des conditions conformes au chapitre II de la loi n° 78-753 du 17 juillet 1978 susvisée". La liste des personnes autorisées à rediffuser les données du RPPS est aujourd’hui restreinte aux autorités et agences publiques ou parapubliques, nationales ou ayant une mission d’intérêt général (catégories 1 à 7 de l’article 7 de l’arrêté). La Commission relève que l’article 8 du projet soumis à son examen complète les dispositions précitées en prévoyant que les utilisateurs mentionnées du 1° au 7° de l’article 7 peuvent autoriser les autres utilisateurs mentionnées à l’article 7 à rediffuser tout ou partie des données en libre accès et en accès restreint. Elle observe que le projet prévoit que cette autorisation de rediffusion soit encadrée par une convention-type conforme à celle qui sera publiée par l’ASIP Santé. Le ministère précise que cette convention encadrera les catégories de données rediffusées, les finalités de la rediffusion, la durée d’autorisation et prévoit de fortes garanties notamment en termes de modalités de rediffusion (qualité des données, sécurité, etc.). Ainsi, la Commission prend acte de ce que le projet élargit la possibilité de rediffusion des données du RPPS aux utilisateurs mentionnées du 8° au 16° de l’article 7 uniquement dans le cadre d’une convention encadrant les modalités de rediffusion, passée avec un des utilisateurs mentionnés du 1° au 7° de l’article susvisé, seuls habilités à les y autoriser. Cette rediffusion s'effectue dans des conditions conformes aux dispositions du titre II du livre III du code des relations entre le public et l'administration. Sur l’information des personnes concernées : La Commission relève que ni l’arrêté en vigueur ni le projet ne comportent de dispositions particulières concernant l’information des personnes dont les données à caractère personnel sont traitées. Outre l’information par voie de publication de l’arrêté au Journal officiel de la République française, le ministère a indiqué que les personnes concernées seraient informées par voie d’affichage sur les sites web, les revues internes et les formulaires des autorités d’enregistrement des professionnels. La Commission en prend acte. Sur les droits d’accès et de rectification des personnes concernées : L’article 11 du projet ne modifie pas les dispositions de l’arrêté RPPS en vigueur et prévoit que les droits d’accès et de rectification des données prévus aux articles 39 et 40 de la loi "Informatique et Libertés" s’exercent auprès des organismes et autorités mentionnés à l’article D. 4113-116 et à l’article D. 4221-22 du code de la santé publique, pour les données qu’ils recueillent ou qu’ils produisent. La Commission prend acte de la mise en place de guichets uniques chargés de l’enregistrement de toutes les informations concernant les professionnels intervenant dans le système de santé : les ordres pour les professionnels à ordre, le service de santé des armées pour les professionnels relevant du statut militaire et les services concernés de l’Etat pour les autres professions. Chaque professionnel peut consulter ou faire corriger les données le concernant en s’adressant au "guichet unique" auquel il est rattaché. S’agissant du droit d’opposition des personnes concernés, le projet d’arrêté ne modifie pas l’article 10 de l’arrêté RPPS en vigueur qui prévoit que : "Conformément aux dispositions de la loi du 6 janvier 1978 susvisée, le droit d’opposition ne s’applique pas aux dispositions des articles 1 à 3, de l’article 5, de l’article 7 et de l’article 9 du présent arrêté". S’agissant de la réutilisation des données, la Commission rappelle qu’elle a à connaître de nombreuses plaintes de professionnels ne parvenant pas à obtenir la suppression de données les concernant figurant dans des annuaires ou registres publics (délibération n° 2014-041 du 29 janvier 2014 précitée). Elle relève que le Conseil d’Etat a, dans sa décision rejetant le recours de l’association (Conseil d’Etat, 10ème SSJS, 11 avril 2014, n° 348111, aff. JURICOM & ASSOCIES), considéré que "le nom et les coordonnées des personnes physiques, telles que leur adresse et leurs numéros de téléphone, constituent des informations relatives à une personne physique identifiée et, par suite, des données à caractère personnel au sens des dispositions de la loi du 6 janvier 1978" et que "la circonstance qu'il s'agisse des coordonnées professionnelles des personnes physiques en cause est sans incidence à cet égard". La Commission rappelle enfin que le fait que certaines données enregistrées dans le RPPS soient rendues librement accessibles sur l’Internet ou rediffusables ne fait pas obstacle au droit des professionnels d’obtenir leur rectification ou leur effacement, conformément à l’article 38 de la loi "Informatique et Libertés", ou de s’opposer, pour des motifs légitimes, à ce que des données à caractère personnel les concernant fassent l’objet d’un traitement, conformément à l’article 39 de la loi "Informatique et Libertés." Ainsi, s’agissant d’une obligation réglementaire, le droit d’opposition pour motifs légitimes ne s’applique pas à l’enregistrement des données dans le RPPS. Il ne s’applique qu’à la rediffusion de ces données. Sur la sécurité des données et la traçabilité des actions : Le traitement mis en œuvre consiste en un répertoire accessible par service web. Les transmissions entre les systèmes d’information des différents partenaires et les services offerts par le répertoire sont sécurisées au moyen du protocole HTTPS. Le projet supprime l’annexe 1 de l’arrêté en vigueur intitulé "Procédures à l’issue desquelles sont générés les flux de données en vue de l’implémentation du RPPS". Le ministère indique, d’une part, que ces procédures sont désormais décrites dans le contrat conclu entre l’ASIP Santé et chaque autorité d’enregistrement et, d’autre part, que les modifications apportées n’auront aucun impact sur les formats techniques d’échange de données avec les organismes qui accèdent au RPPS et sur les applications qui communiquent avec le RPPS. La Commission en prend acte. Le répertoire est hébergé sur un site présentant des garanties de sécurité physiques satisfaisantes. Le réseau informatique supportant le répertoire est bâti à partir d’une architecture moderne mettant notamment en œuvre un cloisonnement du réseau, et intègre des moyens de sécurité permettant de limiter les risques d’accès illégitimes. Les mécanismes d’authentification des informations au moyen de certificats s’appuient sur l’Infrastructure de gestion de clés (IGC) du GIP "CPS", laquelle répond aux exigences de sécurité ainsi que les informations disponibles sur le site http://esante.gouv.fr/services/espace-cps/les-certificats-cps l’attestent. Les personnels en charge du répertoire sont authentifiés au moyen d’une authentification forte en accès distant. Les accès en local sont authentifiés au moyen d’un couple identifiant et mot de passe, dont la politique de gestion répond aux recommandations de la Commission. Les informations sont enregistrées dans des formats ouverts, ce qui garantit la pérennité des données lors de futures migrations techniques. Toutes les actions aux serveurs sont journalisées, afin notamment de tracer les modifications du répertoire. Cette traçabilité garantit la fiabilité des informations du répertoire relativement à celles présentes dans les systèmes d’information des partenaires chargés d’alimenter ce répertoire. Les autres modifications apportées par le projet n’appellent pas, en l’état et au regard de la loi "Informatique et Libertés", d’autres observations. La Présidente Isabelle FALQUE-PIERROTIN


Délibération n° 2016-006 du 14 janvier 2016 portant avis sur un projet d’arrêté autorisant la mise en œuvre par le ministère de l’éducation nationale, de l’enseignement supérieur et de la recherche d’un traitement automatisé de données à caractère personnel dénommé "suivi de consultation bulletin n° 2" (SCB2).
(demande d’avis n° 1912336)

Extrait du Journal officiel électronique authentifié La Commission nationale de l'informatique et des libertés, Saisie par la ministre de l’éducation nationale, de l’enseignement supérieur et de la recherche d’une demande d’avis concernant un projet d’arrêté autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel dénommé "suivi de consultation bulletin n° 2" (SCB2) ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code pénal ; Vu le code de procédure pénale, notamment ses articles 776 et R. 79 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 26-I ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2015-1841 du 30 décembre 2015 relatif à la délivrance des extraits de casier judiciaire ; Vu la délibération n° 2015-415 du 19 novembre 2015 portant avis sur un projet de décret relatif aux dispositions concernant le contenu et la délivrance des extraits de casier judicaire ; Après avoir entendu M. Gaëtan GORCE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Émet l’avis suivant : La Commission a été saisie par la ministre de l’éducation nationale, de l’enseignement supérieur et de la recherche (MENESR) d’une demande d’avis relative à un projet d’arrêté autorisant la mise en œuvre par ledit ministère d’un traitement automatisé de données à caractère personnel dénommé "Suivi de consultation bulletin n° 2" (SCB2). L’article R. 79 du code de procédure pénale, récemment modifié par le décret n° 2015-1841 du 30 décembre 2015 susvisé, pris après l’avis de la Commission en date du 19 novembre 2015, permet "aux administrations de l’État, aux collectivités territoriales et à leurs établissements publics, ainsi qu’aux établissement de santé, sociaux et médico-sociaux mentionnés à l’article 2 de la loi n° 86-33 du 9 janvier 1986 portant dispositions statutaires relatives à la fonction publique hospitalière, pour le contrôle de l’exercice d’emplois dans leurs services impliquant un contact habituel avec des mineurs", de recueillir le bulletin n° 2 du casier judiciaire (ci-après "B2") de leurs agents. Cette modification, intervenue dans un contexte où avaient été constatés des dysfonctionnements dans le contrôle des professions impliquant un contact avec des mineurs, permet à ces administrations de recueillir le B2 hors du seul cadre du recrutement de leurs agents, tout au long de leur carrière, afin de procéder à ce contrôle. Désormais habilité à solliciter le B2 de certains de ses agents afin de contrôler l’exercice de certains emplois et de renforcer ainsi la protection des mineurs, le MENESR a décidé, compte tenu de la volumétrie des agents concernés par ce contrôle, de mettre en place un traitement automatisé de données à caractère personnel. Dans la mesure où le traitement SCB2 est mis en œuvre pour le compte de l’État et a pour finalité d’identifier des condamnations susceptibles d’être incompatibles avec un contact habituel avec des mineurs, il a pour objet la prévention d’infractions pénales et la sécurité publique. Il doit dès lors, conformément à l’article 26-I de la loi du 6 janvier 1978 modifiée, être autorisé par un arrêté ministériel pris après avis motivé et publié de la Commission. Sur les finalités et le périmètre du traitement Aux termes de l’article 1er du projet d’arrêté, le traitement SCB2 a pour finalité "d’assurer la protection des mineurs, aussi bien au sein des établissements d’enseignement des premier et second degrés publics et privés sous contrat dans lesquels ils sont scolarisés que dans les services ayant vocation à les recevoir". Il s’agit pour le ministère de s’assurer que ses agents n’ont pas été condamnés pour des infractions qu’il juge incompatibles avec l’exercice de leur profession, lorsqu’elle s’exerce dans un service impliquant un contact habituel avec des mineurs. Pour ce faire, le traitement SCB2 permet à chaque académie de procéder à une opération de consultation automatisée du B2, en application de l’article R. 79 du CPP. Plus précisément, le recueil du B2 de ces agents s’effectue par l’intermédiaire d’un dispositif technique permettant aux services du ministère de l’éducation nationale d’interroger le casier par listes d’identités, constituées à partir des traitements locaux relatifs à la gestion de leurs personnels. Les informations envoyées par le ministère transitent par le réseau interministériel de l’État (RIE). En retour, le service du casier judiciaire national (CJN) transmet une réponse, comportant soit la mention "0", qui indique un bulletin néant, soit la mention "1", signifiant que le retour sera effectué par courrier. Dans cette dernière hypothèse, il peut s’agir d’un bulletin comportant des mentions ou d’une demande qui fait l’objet d’un rejet (problème d’identité, personne décédée ou âgée de plus de 100 ans, etc.). Les courriers adressés par le service du CJN sont traités manuellement par des personnels individuellement et dûment habilités au sein des académies, afin de trier les B2 et de ne conserver que ceux qui contiennent une condamnation susceptible d’être considérée comme incompatible avec l’exercice de fonctions en contact avec des mineurs et nécessitant une instruction approfondie du dossier. À cet égard, le ministère a précisé que ces services devront systématiquement demander communication de la copie de la décision ayant donné lieu à une telle condamnation et qu’ils devront procéder à une appréciation des faits au cas par cas, au regard de l’ensemble du contexte (ancienneté et comportement de l’agent, ancienneté et gravité des faits, etc.). Il a en outre précisé qu’afin de garantir une homogénéité dans l’appréciation de l’opportunité d’engager des poursuites, la mise en œuvre d’une procédure disciplinaire serait pilotée par le directeur des ressources humaines (DRH) académique, quel que soit le corps des personnels en cause. La Commission estime que ces mesures permettent de garantir le respect des dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, qui interdisent à tout responsable de traitement de prendre une décision produisant des effets juridiques à l’égard des personnes concernées sur le seul fondement d’un traitement automatisé de données. En tout état de cause, les procédures disciplinaires dont feront l’objet les agents concernés seront engagées et menées sous le contrôle du juge administratif. Enfin, le traitement SCB2 permet le pilotage des opérations de consultation du B2 en fournissant aux directions des ressources humaines académiques des tableaux de bord destinés à contrôler l’exhaustivité des consultations réalisées et à élaborer des statistiques. La Commission considère que les finalités poursuivies par SCB2 sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée. Toutefois, elle rappelle que des garanties appropriées doivent être mises en œuvre, aussi bien concernant la délimitation des professionnels concernés que les conséquences pour les personnes dont le casier sera consulté, et que des modalités précises d’appréciation, par les services du ministère de l’éducation nationale, des infractions ayant donné lieu à condamnation afin de les considérer comme incompatibles avec l’emploi exercé, doivent être formalisées. À cet égard, elle prend acte que seront précisés le périmètre et la nature des infractions ayant entraîné une condamnation qui pourrait être jugée, par l’administration, incompatible avec l’exercice de fonctions en contact avec des mineurs. Il ressort des éléments fournis par le ministère de l’éducation nationale qu’une circulaire viendra lister ces infractions. Seront ainsi principalement recherchées les condamnations pour les infractions mentionnées à l’article 706-47 du code de procédure pénale, mais également pour les atteintes volontaires à la vie prévues aux articles 221-1 à 221-5 du code pénal, les tortures et actes de barbarie mentionnés aux articles 222-1 à 222-6 du même code, les actes de violences mentionnés aux articles 222-7 à 222-14 lorsque ces faits ont été commis sur un mineur de 15 ans, les délits d’exhibition et de harcèlement sexuel mentionnés aux articles 222-32 et 222-33 du code pénal, le délit de cession de stupéfiants pour usage personnel mentionné au deuxième alinéa de l’article 222-39 dudit code, les délits de provocation de mineur à usage de stupéfiants, de boissons alcooliques ou à commettre un délit ou un crime prévus aux articles 227-18 à 227-21 du code pénal, la provocation, non suivie d’effet, à la commission d’infractions sexuelles contre des mineurs mentionnée à l’article 227-28-3 et, enfin, les actes de terrorisme énumérés aux articles 421-1 à 421-6 du code pénal. La Commission relève que cette liste d’infractions correspond à celle prévue au projet d’article 706-47-4 du CPP tel qu’envisagé par le projet de loi relatif à l’information de l’administration par l’institution judiciaire et à la protection des mineurs. Sont ainsi visées des infractions dont le mineur est directement la victime ou dont la gravité est susceptible de porter atteinte à la sécurité des mineurs, c’est-à-dire tant à leur intégrité physique qu’à leur intégrité morale. La Commission estime, au regard de l’article R. 79 du CPP, que seules les infractions répondant à ces critères justifient en effet l’engagement de poursuites disciplinaires. Le ministère avait indiqué que les condamnations pour des infractions de nature à mettre en cause la protection des mineurs et qui contreviendraient gravement "au maintien de l’ordre, à la sécurité des personnes ou des biens ou au bon fonctionnement du service public" pourraient également, à titre complémentaire, être concernées. À la demande de la Commission, le ministère a précisé ce périmètre et a fait part d’une liste exhaustive d’infractions répondant aux critères précités et qui ne seront prises en compte que si elles sont constitutives d’une faute professionnelle. Il s’agit de faits de violences avec certaines circonstances aggravantes, de certaines infractions prévues par la loi du 29 juillet 1881 sur la liberté de la presse (injures, diffamations, incitations et provocations, apologie, négationnisme, etc.), de certaines infractions de discrimination prévues par le code pénal, de certaines infractions de port, transport et détention d’armes et de munitions, de vols et extorsions avec violence, des menaces de commettre un crime ou un délit, des non dénonciations de certains crimes ou délits et des faits de bizutage. En tout état de cause, la Commission estime indispensable que soit prévue une liste limitative des infractions concernées, afin de s’assurer que les condamnations susceptibles, après avoir fait l’objet d’une appréciation au cas par cas, de fonder une poursuite disciplinaire s’inscrivent bien dans le cadre de l’article R. 79 du CPP, dédié à la protection des mineurs. Enfin, la Commission appelle l’attention du ministère sur le fait que mettre en œuvre une procédure disciplinaire à la suite de la découverte, lors de la consultation du B2 fondée sur l’article R. 79 du CPP, d’une condamnation pour une infraction qui ne serait pas directement liée à l’exercice de fonction dans un service en contact habituel avec un mineur, pourrait constituer un détournement de finalité du traitement SCB2, et ainsi une violation de l’article 6-2° de la loi du 6 janvier 1978, quand bien même cette condamnation serait incompatible avec le statut de fonctionnaire et pourrait légalement justifier des poursuites disciplinaires. Sur les personnes concernées et les données traitées L’article 1er du projet d’arrêté précise que pourront faire l’objet d’une consultation du B2 les "agents titulaires et non titulaires de l’éducation nationale en contact habituel avec des mineurs". La Commission relève que la liste exhaustive des typologies de personnels concernés figure en annexe du projet d’arrêté. Constituent ainsi des agents en contact habituel avec un mineur, les personnels de l’éducation nationale affectés dans un établissement scolaire, public ou privé sous contrat, ou dans un service accueillant des élèves mineurs tels que les centres d’information et d’orientation (CIO), quand bien même ils n’exercent pas des missions éducatives. En effet, pour les personnels médico-sociaux, administratifs et techniques, le ministère a pris soin de ne viser que ceux qui exercent dans des établissements publics locaux d'enseignement (EPLE) et, partant, dans un service en contact habituel avec des mineurs. Sont donc exclus du contrôle envisagé les personnels exerçant au sein de l’administration centrale ou de ses services déconcentrés, ainsi que les personnels des corps d’inspection, qui ne sont pas en contact habituel avec des mineurs. Ne sont en outre pas concernés les personnels stagiaires, les contrats aidés, les apprentis et les volontaires du service civique, dès lors que leur situation judiciaire a été récemment contrôlée dans le cadre de leur recrutement, conformément à l’article 776-1 du CPP. Enfin, si l’article R. 79 du code de procédure pénale permet également aux collectivités territoriales de consulter le B2 de leurs personnels exerçant leurs fonctions dans un service impliquant un contact habituel avec les mineurs, le traitement SCB2, mis en œuvre par le seul MENESR, ne concerne que les agents titulaires ou non titulaires de celui-ci. Ainsi, pour les personnels des collectivités territoriales travaillant dans des EPLE, le choix procéder à une telle consultation du casier judiciaire relèvera de la seule collectivité territoriale compétente. Au regard de ces éléments, la Commission estime que cette liste limitative des professions qui pourront donner lieu à la consultation du casier judiciaire par le ministère de l’éducation nationale est conforme aux dispositions de l’article R. 79-14° du code de procédure pénale. Elle relève néanmoins que cela représente un grand nombre de personnes (environ 900 000), de sorte que la mise en œuvre de ce contrôle nécessite une vigilance particulière. S’agissant des données enregistrées dans le traitement SCB2, elles sont relatives à l’identité des agents concernés par la consultation, à leur fonction, au résultat de la consultation et aux traces des accès au traitement. Concernant plus précisément l’identité des personnels pour lesquels une consultation du B2 est prévue, sont enregistrés dans l’application leurs noms (patronymique et d’usage), prénoms, sexe, date et lieu de naissance et leur numéro d’identification de l’éducation nationale (NUMEN). Le NUMEN est l’identifiant unique et national attribué à tous les agents du MENESR pour leur gestion administrative. Le traitement de cette donnée permettra dès lors d’identifier de manière certaine les personnes qui verront leur casier judiciaire consulté. La Commission constate que cet identifiant unique des agents du ministère sera traité de manière sécurisée. En effet, il sera chiffré dans l’application avant d’être transmis au service du casier judiciaire. Lors de son retour le service du CJN fera mention du NUMEN afin que soit automatiquement assuré un lien avec la demande initiale, dans SCB2. S’agissant des fonctions des personnels concernés, sont enregistrés leur corps d’appartenance ou corps assimilé, selon que l’agent est titulaire ou non, leur académie d’exercice et leur lieu d’affectation. En ce qui concerne les opérations de consultation du B2, sont enregistrées une mention chiffrée relative à la nature de la réponse du casier (état néant ou retour courrier), la date de soumission de la demande de B2 au CJN et la date de retour de la réponse. La Commission prend acte que l’application SCB2 n’enregistre pas le contenu des éventuels courriers adressés par le service du casier judiciaire national en retour à la demande de consultation. Les bulletins papier qui seraient utilisés à des fins de poursuite disciplinaire seront en effet uniquement enregistrés et classés dans les dossiers individuels des agents concernés. La Commission estime que l’ensemble de ces données permet d’identifier de façon fiable les personnels concernés, d’opérer un suivi des opérations de consultation et de réaliser des statistiques. Elle considère dès lors que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités du traitement envisagé, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée. Sur les destinataires L’article 4 du projet d’arrêté prévoit que peuvent être destinataires des données les agents habilités de la direction générale des ressources humaines (DGRH) du MENESR, les secrétaires généraux et les directeurs des ressources humaines des rectorats d’académie, ainsi que les secrétaires généraux et les directeurs des ressources humaines des services départementaux de l’éducation nationale. Le nombre d’utilisateurs de l’application est restreint dès lors que moins de cinq personnes par académie sont habilitées à procéder aux opérations d’envoi des listes, de traitement des réponses du casier judiciaire et de pilotage technique. Par ailleurs, ces habilitations ne permettent aucun accès en saisie de données, dès lors qu’il s’agit d’une application destinée à la seule consultation des résultats des échanges entre l’éducation nationale et le service du casier judiciaire. Les habilitations sont définies au niveau central par la direction générale des ressources humaines (DGRH), qui désigne les personnes habilitées au sein des DRH académiques. Puis, au niveau local, les DRH précisent les utilisateurs habilités. La Commission estime que ces destinataires ont un intérêt légitime à connaître des données collectées. Le service du casier judiciaire national délivre des habilitations par service demandeur et non des habilitations individuelles, dont la délivrance revient à chaque administration. La Commission appelle dès lors l’attention du ministère de l’éducation nationale sur la vigilance avec laquelle il devra délivrer ces habilitations, chaque administration étant responsable de la délivrance, au sein de ses services, de ces habilitations individuelles. Sur les durées de conservation L’article 3 du projet d’arrêté prévoit que les données traitées dans l’application SCB2 sont conservées trois ans à compter de la date de la réponse du service du casier judiciaire national. Le ministère a indiqué que cette durée de conservation permet de ne pas réitérer une consultation pour un agent qui changerait d’académie et pour lequel le B2 aurait été vérifié peu de temps avant sa mutation. Elle vise en outre à permettre à l’administration de justifier qu’elle a bien procédé à la vérification de la situation d’un agent. La Commission prend dès lors acte de cette durée de conservation, dont le respect sera par ailleurs garanti par la mise en œuvre d’un système de purge automatique. S’agissant des bulletins papier que les services de l’éducation nationale seront susceptibles de recevoir en retour, le ministère a précisé que les B2 qui ne donneraient pas lieu à une procédure, soit parce qu’ils ne comportent aucune condamnation, soit parce que les condamnations ne sont pas jugées incompatibles avec la profession exercée, seront conservés pendant une durée maximale de 6 mois, afin de procéder au dépouillement des données, et qu’ils seront détruits à l’issue de cette période. La Commission rappelle que cette durée de conservation de 6 mois doit être une durée maximale et que les bulletins ne doivent pas être conservés par l’administration au-delà du temps nécessaire à ces opérations d’analyse. Elle rappelle en outre qu’ils devront être détruits de manière sécurisée. En ce qui concerne les B2 qui seraient utilisés dans le cadre d’une procédure disciplinaire, le ministère a précisé qu’ils seront conservés dans le dossier administratif individuel pendant trois ans ou, le cas échéant, jusqu’à l’issue de la procédure disciplinaire mise en œuvre. À cet égard, la Commission rappelle que, en l’état actuel du droit, le statut des fonctionnaires ne prévoit pas de délai de prescription de l’action disciplinaire. Dès lors, elle estime qu’en fixant à trois ans la durée de conservation des B2 faisant état de condamnations incompatibles avec l’exercice d’une fonction dans un service impliquant un contact habituel avec des mineurs, le ministère a entouré le traitement SCB2 de garanties satisfaisantes. Cette durée de conservation est par ailleurs cohérente avec les dispositions législatives projetées, le projet de loi relatif à la déontologie et aux droits et obligations des fonctionnaires prévoyant en effet qu’aucune procédure disciplinaire ne peut être engagée au-delà d'un délai de trois ans à compter du jour où l'administration a eu connaissance des faits passibles de sanction. Au regard de ces éléments, la Commission considère que les durées de conservation n’excèdent pas celles nécessaires aux finalités pour lesquelles les données à caractère personnel sont collectées et traitées, conformément à l’article 6-5° de la loi du 6 janvier 1978 modifiée. Sur les droits des personnes Concernant l’information des personnes concernées, le ministère a choisi de ne pas se prévaloir de l’exclusion prévue à l’article 32-VI de la loi du 6 janvier 1978 modifiée. Il a en effet indiqué que cette information serait délivrée par l’intermédiaire de la publication, au bulletin officiel du ministère de l’éducation nationale, d’une circulaire et par l’information des organisations syndicales nationales représentatives. La Commission estime que, au regard de l’atteinte à la vie privée que peut constituer cette consultation du casier judiciaire et de l’ampleur des personnes concernées, cette information est opportune. S’agissant des droits d’accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, l’article 5 du projet d’arrêté précise qu’ils peuvent s’exercer directement, au choix de l’agent, soit auprès de la DGRH soit auprès de la DRH académique dont il dépend. En application de l’article 38 de la loi du 6 janvier 1978 modifiée, l’article 6 du projet d’arrêté écarte le droit d’opposition. La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. Sur les mesures de sécurité L’application SCB2 est hébergée au sein d’une infrastructure en hébergement sec chez un prestataire. La sécurité physique des locaux du prestataire est assurée. Les échanges, qui ont lieu sur le Réseau Interministériel de l’État (RIE), sont sécurisés au moyen de protocoles de chiffrement tels que HTTPS, CFT ou IPSEC selon les modalités de transmission. L’ensemble de ces mesures sont de nature à garantir la confidentialité des données lors de leur transmission. S’agissant des transmissions des documents au format papier, la Commission recommande l’utilisation d’enveloppes sécurisées lors d’envoi en nombre. Les utilisateurs, habilités par les responsables DRH de chaque académie, sont authentifiés au moyen de dispositifs OTP (mot de passe à usage unique). Les données présentant un enjeu particulier au regard de la protection des données personnelles sont chiffrées en base au moyen d’un algorithme conforme à l’état de l’art. Des équipements réseau finissent de cloisonner l’accès aux données au niveau des couches réseau. Tous ces éléments concourent à garantir que la consultation des données n’est possible qu’aux seules personnes ayant besoin d’en connaitre. Les B2 portant une condamnation ou faisant état d’une incapacité pour le casier judiciaire de traiter la demande sont envoyés par courrier simple. La Commission estime qu’il conviendrait de mettre en place un mécanisme de transport de ces B2 qui puisse en assurer la confidentialité. Seules les connexions font l’objet d’une traçabilité. Toutefois, le nombre réduit d’utilisateurs ainsi que le niveau d’automatisation de l’application ne semblent pas justifier une traçabilité plus détaillée des actions. L’article 2-3° du projet d’arrêté prévoit ainsi que les traces des accès et des consultations des données seront conservées jusqu’à la date de mise hors service de l’application. La Commission rappelle que ces traces ne devraient en tout état de cause pas être conservées au-delà d’une durée de 3 ans, qui correspond à la durée de prescription de l’infraction de détournement de finalité, prévue à l’article 226-21 du code pénal. S’agissant de la destruction des documents papier, la Commission recommande d’utiliser un broyeur garantissant une élimination sécurisée des documents. Au regard de ces éléments, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont de nature à garantir un risque limité d’atteinte aux données et sont donc conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. La Présidente Isabelle FALQUE-PIERROTIN


Délibération n° 2016-197 du 30 juin 2016 portant avis sur un projet d’arrêté relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé "OCEAN concours".
(demande d’avis n° 1917713)

Extrait du Journal officiel électronique authentifié PDF - 230,3 Ko La Commission nationale de l'informatique et des libertés, Saisie par la ministre de l’éducation nationale, de l’enseignement supérieur et de la recherche d’une demande d’avis concernant un projet d’arrêté relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé "OCEAN concours"; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 27-II-4°; Vu la loi n° 91-715 du 26 juillet 1991 modifiée portant diverses dispositions relatives à la fonction publique ; Vu l’ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives, notamment son article 9-I ; Vu le décret n° 95-681 du 9 mai 1995 modifié fixant les conditions d’inscription des candidats aux concours d’accès à la fonction publique de l’Etat par voie électronique ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2010-112 du 2 février 2010 pris pour l’application des articles 9, 10, et 12 de l’ordonnance n°2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ; Vu l’arrêté du 2 juin 1994 modifié portant création d’un traitement automatisé d’informations nominatives relatif à la gestion des concours ; Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Émet l’avis suivant : La Commission a été saisie, par le ministère de l’éducation nationale, de l’enseignement supérieur et de la recherche, d’un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé "OCEAN concours". Les concours de recrutement de personnels des services d’administration centrale et des académies sont actuellement gérés par le système d’aide à la gestion automatisé de concours créé par l’arrêté du 2 juin 1994 susvisé, pris après avis de la Commission en date du 10 mai 1994. En raison d’un nombre croissant de candidatures et de la mutualisation des recrutements interministériels, les opérations de gestion des concours et examens professionnels se sont diversifiées. Ainsi, le champ d’application que couvre l’arrêté du 2 juin 1994 précité n’apparaît plus adapté à la gestion de l’ensemble de ces concours et examens. Il a donc été décidé de créer un nouveau traitement, couvrant l’ensemble des opérations de gestion des concours et examens professionnels dénommé "OCEAN concours". Le traitement "OCEAN concours" met à disposition des usagers deux téléservices de l’administration électronique. Dans la mesure où il comporte un identifiant des personnes physiques, il relève des dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par un arrêté du ministre compétent, pris après avis motivé et publié de la Commission. Sur la finalité du traitement : Le traitement "OCEAN concours" a pour finalité la gestion de l’ensemble des opérations propres à l’organisation des concours de recrutement de personnels, des examens professionnels et des opérations de recrutement sans concours aux niveaux national, académique et interministériel. Il est intégré dans l’application informatique "OCEAN", qui permet l’organisation et la gestion de l’ensemble des concours, recrutements et examens de l’éducation nationale. Outre le traitement "OCEAN concours", cette application comporte ainsi le traitement dénommé "OCEAN", créé par l’arrêté du 22 avril 2013 susvisé, pris après avis de la CNIL en date du 31 mai 2012 et qui a pour finalité la gestion de l’ensemble des opérations propres à l’organisation des examens et concours scolaires aux niveaux académique et national. Les concours et examens concernés par le traitement "OCEAN concours" sont plus précisément : les concours nationaux de recrutement des personnels de l’enseignement de second degré, des personnels d’encadrement, des personnels administratifs, sociaux et de santé et des personnels des bibliothèques ; les concours organisés par les académies pour le recrutement des professeurs des écoles, des personnels enseignants de l’enseignement privé et certaines catégories de personnels administratifs, sociaux et de santé ; les concours et examens professionnels réservés, les recrutements sans concours dans le corps de la catégorie C, les recrutements dans le cadre du parcours d’accès aux carrières de la fonction publique territoriales, hospitalière et d’État (PACTE) et les concours communs à plusieurs administrations. Le traitement "OCEAN concours" est composé de deux téléservices. Le téléservice INSCRINET permet aux candidats de procéder par voie électronique à leur inscription à un ou plusieurs concours ou examens professionnels. L’utilisation de ce téléservice est facultative : conformément à l’article 7 du décret du 9 mai 1995 susvisé, les candidats n’ayant pas d’accès à internet disposent de la possibilité d’obtenir un dossier imprimé d’inscription en en faisant la demande par écrit, selon le modèle figurant en annexe de l’arrêté d’ouverture du concours publié au Journal Officiel. Le téléservice PUBLINET permet, d’une part, la publication des résultats d’admissibilité et d’admission et, d’autre part, l’accès pour chaque candidat au détail de ses résultats, au moyen d’un identifiant. Les candidats aux concours et examens peuvent ainsi remplir un formulaire en ligne leur permettant de s’inscrire aux concours et examens choisis. Cette inscription leur permet de disposer d’un compte, composé d’un identifiant et d’un mot de passe, grâce auquel ils pourront également consulter leurs résultats. Différents modules au sein du traitement "OCEAN concours" sont enfin utilisés pour l’organisation, l’affectation et le déroulement des concours. La Commission rappelle qu’elle a toujours considéré que la simplification des démarches administratives et l’amélioration des relations entre les administrés et l'administration constituent des finalités légitimes, sous réserve que des mesures de sécurité appropriées soient prévues et que les droits des personnes soient respectés. Elle considère dès lors que les finalités du traitement sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée. Sur la nature des données traitées : L’article 2 du projet d’arrêté énumère les catégories de données enregistrées dans le traitement projeté, qui concernent les candidats, les responsables et gestionnaires des concours des rectorats d’académie, ainsi que les présidents et membres de jurys et prestataires extérieurs. Certaines données concernant les candidats sont collectées indirectement via les traitements de données à caractère personnel EPP, AGAPE et AGORA, régulièrement mis en œuvre par les ministères concernés et relatifs à la gestion des ressources humaines des personnels relevant de ces derniers. Les données traitées sont relatives à l’état civil, à la vie personnelle et professionnelle des personnes concernées et n’appellent pas, dans l’ensemble, d’observations particulières. La Commission relève néanmoins que des données relatives au poids du candidat seront collectées, dans le cadre du passage de certaines épreuves des concours du certificat d’aptitude au professorat d’éducation physique et sportive (CAPEPS). Elle relève en outre que les données relatives à la situation familiale et professionnelle sont nécessaires à la gestion de la candidature. Ainsi, la situation familiale peut permettre de déroger à certaines conditions de diplôme et la condition professionnelle peut définir l’académie de passage de l’examen ou du concours. Pour les besoins éventuels d’aménagement d’épreuves, des données relatives à la présence d’un handicap sont également collectées, présentées sous la forme d’une mention "oui" ou "non" que les personnes concernées sont invitées à cocher. La Commission recommande que des cases à cocher indiquent également le type d’équipement ou d’accompagnement à mettre à disposition du candidat, afin de permettre un soutien effectif de ces personnes. Pour ce qui concerne les responsables et gestionnaires des divisions des examens et concours des rectorats d’académie, les présidents et membres de jurys et les prestataires extérieurs, les seules données figurant dans le traitement sont relatives aux identifiants de connexion. La Commission estime que les données traitées sont pertinentes, adéquates et non-excessives, au regard des finalités poursuivies par le traitement, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée. Sur la durée de conservation des données : Le projet d’arrêté prévoit que les données à caractère personnel contenues dans le traitement sont conservées pour une durée de dix ans à compter de la fin de chaque session d’examen ou concours, y compris pour les personnes ne s’étant pas présentées au concours ou à l’examen auquel elles étaient inscrites. Le ministère indique que cette durée est nécessaire à l’établissement d’attestations individuelles d’admissibilité aux concours et examens professionnels, ainsi qu’à l’exercice d’un contentieux éventuel. La Commission rappelle néanmoins que la durée de conservation des données enregistrées dans le traitement "OCEAN concours" ne peut être établie qu’au regard des finalités poursuivies par ce dernier. Or, ce traitement a pour seule finalité la gestion de l’ensemble des opérations propres à l’organisation des concours de recrutement de personnels, des examens professionnels et de opérations de recrutement sans concours aux niveau national, académique et interministériel, ce qui ne justifie pas la conservation en base active des données pendant une durée de 10 ans. Elle considère toutefois que le responsable de traitement peut conserver les données traitées pour l’établissement d’attestations individuelles d’admissibilité aux concours et examens professionnels, ainsi qu’à des fins probatoires, pour une durée adaptée aux contentieux concernés, à condition que ces dernières soient versées dans une base d’archives intermédiaire, dans la mesure du possible sur un support distinct, à laquelle seul un nombre restreint de personnes spécifiquement habilitées a accès. La Commission demande dès lors que, en application de l’article 6-5° de la loi du 6 janvier 1978 modifiée, le ministère prévoit des modalités de conservation distinctes pour l’ensemble des données figurant dans le traitement "OCEAN concours", en différenciant la durée de conservation en base active dans les téléservices projetés, qui doit être limitée à la durée strictement nécessaire à la réalisation des finalités poursuivies par ce traitement, de celle applicable aux données stockées en base inactive à des fins probatoires ou de gestion des attestations individuelles d’admissibilité. Sur les destinataires des données : L’article 3 du projet d’arrêté prévoit que les destinataires des données sont des personnels internes du ministère, à savoir les personnels des rectorats d’académie, les agents habilités de l’administration centrale, les agents habilités des centres d’épreuves, du président et des membres des jurys de concours ou d’examens professionnels. Les candidats au concours et examens professionnels ont également accès aux données figurant dans le traitement les concernant. Des personnes habilitées extérieures au ministère ont également accès aux données. Il s’agit tout d’abord des agents habilités des départements ministériels pour le compte desquels le ministère gère les concours interministériels de recrutement de personnels. Peut également obtenir communication des données contenues dans le traitement, la société chargée, pour le compte du ministère, du traitement des dossiers de reconnaissance des acquis et de l’expérience professionnelle (RAEP). Par ailleurs, le ministère s’est engagé dans un processus de dématérialisation des copies et des corrections en ligne. Ainsi, à la suite de chaque examen ou concours, les copies sont scannées, permettant ensuite aux correcteurs de les noter sur écran et en ligne grâce à une plateforme dédiée. Dans ce contexte, la société en charge de la dématérialisation des copies peut également obtenir communication des données contenues dans le traitement de données à caractère personnel projeté. La Commission considère que l’ensemble de ces personnes ont un intérêt légitime à être destinataires, dans la limite du besoin d’en connaître, des données traitées. Sur l’information et les droits des personnes : Les candidats sont informés de l’enregistrement de leurs données personnelles dans le système "OCEAN concours" par des mentions figurant sur le site internet. La Commission rappelle que l’ensemble des éléments prévus à l’article 32 de la loi du 6 janvier 1978 modifiée doivent être portés à la connaissance des personnes concernées. Conformément aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, les droits d’accès et de rectification s’exercent directement auprès des services des examens et concours des rectorats d’académie ou des services des examens et concours de l’administration centrale du ministère. L’article 5 du projet d’arrêté prévoit que le droit d’opposition prévu à l’article 38 de cette même loi ne s’applique pas au présent traitement, ce qui n’appelle pas d’observations particulières de la Commission. Sur la sécurité des données et la traçabilité des actions : Le traitement "OCEAN concours" comprenant deux téléservices de l’administration, il appartient au ministère d’attester de sa conformité au décret n° 2010-112 du 2 février 2010 susvisé relatif aux échanges électroniques entre les usagers et les autorités administratives (Référentiel général de sécurité) et de le mentionner sur le site. La Commission relève qu’une homologation à ce référentiel est actuellement en cours. Chaque candidat dispose d'un couple identifiant/mot de passe qui lui est propre. S’agissant uniquement d’opérations de consultation des données saisies par lui-même (téléservice "INSCRINET") ou des résultats obtenus par lui aux concours ou examens (téléservice "PUBLINET), ce choix semble proportionné. Pour l’authentification des utilisateurs aux différents modules du traitement "OCEAN concours", une politique de mot de passe est mise en place sous la responsabilité de l’administrateur système de chaque académie. A cet égard, la Commission rappelle qu’une politique satisfaisante de mot de passe implique que ceux-ci soient composés de huit caractères au minimum, comprenant au moins trois des quatre types de caractères suivants : majuscules, minuscules, chiffres et caractères spéciaux. Ils doivent en outre être définis, ou modifiés dès la première connexion, par l’utilisateur, puis régulièrement renouvelés et ne doivent pas être stockés en clair. Des profils d’habilitation définissent les accès, rôles et informations disponibles aux différents utilisateurs des modules constitutifs du traitement, qui ne peuvent ainsi accéder qu’aux informations qui leur sont nécessaires. La Commission rappelle que les permissions d'accès doivent être supprimées pour tout utilisateur n'étant plus habilité et qu’une revue globale des habilitations doit être opérée à une fréquence régulière. En ce qui concerne le module de dématérialisation et de correction en ligne des copies mis en œuvre, la Commission rappelle que la bonne gestion des périphériques de type copieur/scanneur nécessite que seules les personnes habilitées soient autorisées à utiliser ces matériels. De plus, des procédures spécifiques doivent être prévues pour vider ou chiffrer les disques durs/buffer susceptibles de conserver des copies des documents scannés. Les échanges d’information sont sécurisés, soit par l’utilisation de réseaux sécurisés pour les transferts internes, soit au moyen du protocole HTTPS pour les transferts sur internet. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour. Un cloisonnement du traitement est prévu, celui-ci étant isolé physiquement. Les serveurs de données sont hébergés dans des locaux dont l’accès est restreint et sécurisé et un logiciel antivirus est installé et régulièrement mis à jour sur les équipements prenant part au traitement. Un système de détection d’intrusion est également utilisé. Le ministère prévoit la mise en place de mesures de traçabilité, l’identification de l’utilisateur, l’horodatage et la nature de l’intervention étant conservées. Les incidents informatiques font également l’objet d’une journalisation. La Commission recommande la mise en place de procédures d’analyse de ces traces pour identifier des accès frauduleux ou des utilisations abusives des données. Des sauvegardes quotidiennes sont réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. Les données sont archivées à la fin de chaque session de recrutement. La Commission rappelle que l’accès à ces données doit se faire selon des modalités spécifiques et que les archives obsolètes doivent être détruites de manière sécurisée. Le ministère prévoit d’avoir recours à des sous-traitants pour la dématérialisation des copies et pour la maintenance des logiciels et équipements. A cet égard, la Commission souligne l’importance de fixer contractuellement des objectifs de sécurité à tous les sous-traitants impliqués dans la mise en œuvre du traitement "OCEAN concours" et de s'assurer de l'effectivité des garanties offertes par ceux-ci au regard de la loi du 6 janvier 1978 modifiée. Au regard de ces éléments, la Commission estime que les mesures de sécurité décrites sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle néanmoins que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Pour La Présidente, Le Vice-Président délégué, Marie-France MAZARS


Délibération n° 2017-151 du 9 mai 2017 portant avis sur un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel relatif aux étrangers sollicitant la délivrance d’un visa, dénommé France Visas.
(demande d’avis n° AV 17000255)

Extrait du Journal officiel électronique authentifié PDF - 251,1 Ko La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel relatif aux étrangers sollicitant la délivrance d’un visa, dénommé France Visas ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le règlement (CE) n° 1987/2006 du Parlement européen et du Conseil du 20 décembre 2006 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen de deuxième génération (SIS II) ; Vu le règlement (CE) n° 767/2008 du Parlement européen et du Conseil du 9 juillet 2008 concernant le système d'information sur les visas (VIS) et l'échange de données entre les États membres sur les visas de court séjour (règlement VIS) ; Vu le règlement n° 810/2009 du parlement européen et du conseil du 13 juillet 2009 établissant un code communautaire des visas (code des visas) ; Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L. 611-3 à L. 611-6, R. 611-1 à R. 611-7-4, R. 611-8 à R. 611-15 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 26-I-1° et 27-II-4° ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2010-569 du 28 mai 2010 modifié relatif au fichier des personnes recherchées ; Vu l’arrêté du 22 août 2001 modifié portant création d'un traitement informatisé d'informations nominatives relatif à la délivrance des visas dans les postes diplomatiques et consulaires ; Vu l’arrêté du 1er septembre 2015 autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel dénommé "Études en France" ; Après avoir entendu M. Eric PERES, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Émet l’avis suivant : La Commission a été saisie par le ministre de l’intérieur d’une demande d’avis portant sur un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel relatif aux étrangers sollicitant la délivrance d’un visa, dénommé France Visas. Le traitement France Visas, qui relève conjointement du ministère des affaires étrangères et du développement international (MAEDI) et du ministère de l’intérieur, a pour finalité principale de permettre l’instruction des demandes de visas et intéresse à ce titre la sécurité publique. Il comportera en outre des fonctionnalités de téléservice, permettant notamment aux demandeurs de visas de formuler et de suivre leur demande en ligne. Il y a donc lieu de faire application des dispositions des articles 26-I et 27-II-4° de la loi du 6 janvier 1978 modifiée et le traitement projeté doit dès lors être autorisé par arrêté ministériel pris après avis motivé et publié de la Commission. À titre liminaire, la Commission relève que le traitement France Visas a vocation à remplacer le traitement dénommé RMV 2, créé par l’arrêté du 22 août 2001 susvisé, sur lequel elle s’est prononcée à plusieurs reprises. Ce traitement, ancien, est notamment basé sur une architecture technique décentralisée et la conservation, par le MAEDI ainsi que par chaque poste diplomatique et consulaire, des données relatives aux personnes signalées aux fins de non-admission sur le territoire national. Or, l’existence de ces bases est, depuis la fin du mois de février 2017, contraire aux dispositions du règlement du 20 décembre 2006 susvisé et, par suite, aux règles de protection des données à caractère personnel applicables en la matière. En outre, cette architecture et les nombreux échanges d’informations qu’elle implique entraînent des difficultés de mise à jour des données. Comme la Commission a déjà eu l’occasion de le relever s’agissant du traitement RMV 2, ces traitements constituent, au regard des finalités poursuivies et des enjeux en matière de gestion et de sécurisation des frontières, des systèmes d’informations sensibles. Elle estime dès lors que le respect de la loi "Informatique et Libertés" et des règles européennes applicables en matière de protection des données personnelles, notamment concernant la qualité des données enregistrées dans ce traitement, constitue dans ce cadre une nécessité impérieuse, tant pour les personnes concernées que pour les ministères concernés. La Commission constate à cet égard que la mise en œuvre de ce nouveau traitement permettra aux ministères concernés de répondre aux difficultés précitées, tant légales qu’opérationnelles, liées à l’utilisation de multiples bases de données locales. Elle les invite dès lors à déployer France Visas dans les meilleurs délais afin que ces difficultés ne perdurent pas dans le temps. Dans ce contexte, le projet d’arrêté appelle les observations suivantes de la part de la Commission. Sur les finalités : L’article 1er du projet d’arrêté énumère les finalités assignées au traitement France Visas, lesquelles sont proches de celles poursuivies par le traitement RMV 2. Ce même article détaille en outre les diverses fonctionnalités offertes par le traitement, telles que la mise en place d’un portail internet et d’un téléservice, le suivi et le traitement des recours administratifs et contentieux se rapportant aux visas ou l’établissement de statistiques. En premier lieu, la Commission relève que la distinction ainsi établie par le projet d’arrêté entre les finalités assignées à France Visas, d’une part, et ce que "permet" ce traitement, d’autre part, n’est pas suffisamment claire, dans la mesure où certaines des fonctionnalités du traitement semblent en réalité constituer des finalités assignées à France Visas, comme par exemple le "suivi et le traitement des recours administratifs et contentieux se rapportant aux visas", expressément mentionné au titre des finalités dans l’arrêté relatif au traitement RMV 2. Elle invite dès lors le ministère à préciser l’articulation entre ces différentes dispositions de l’article 1er du projet d’arrêté. En deuxième lieu, s’agissant des trois finalités du traitement France Visas, il s’agit tout d’abord de permettre l’instruction des demandes de visas, en procédant notamment à l’échange d’informations, d’une part, avec les autorités nationales et, d’autre part, avec les autorités des États mettant en œuvre l’acquis Schengen au travers du système d’information sur les visas (VIS) pour les données se rapportant aux visas. Le code communautaire des visas prévoit, lors de l’examen d’une demande de visa, qu’il est procédé à une vérification des conditions d’entrée et une évaluation des risques, non seulement en matière de sécurité (menace pour la sécurité publique) mais aussi en matière de risque migratoire (risque de maintien illégal en France de la personne concernée à l’issue du séjour qui pourrait lui être accordé). Cette évaluation se matérialise notamment par la consultation automatique et systématique, lors du dépôt d’une demande, de plusieurs traitements nationaux, listés à l’article 2 du projet d’arrêté : le fichier des personnes recherchées (FPR), le système d'information Schengen de deuxième génération (SIS II), le Système d’Information sur les Visas (VIS) et le fichier des documents de voyage volés ou perdues d’Interpol, dénommé "SLTD" (Stolen and Lost Travel Documents). Les modalités de consultation du SIS II évoluent de manière importante par rapport au fonctionnellement actuel de RMV 2. Il est en effet désormais prévu une interrogation directe de ce fichier et non plus des copies partielles détenues localement par le MAEDI ou les postes diplomatiques et consulaires. La Commission estime que ce nouveau mode d’interrogation permettra aux personnels habilités d’avoir accès à des données complètes et à jour, améliorant l’efficacité des contrôles sécuritaires ainsi effectués. Par ailleurs, la Commission relève que de nouvelles mises en relation sont prévues par rapport au traitement RMV 2. D’une part, France Visas interrogera directement le fichier des personnes recherchées (FPR), dont les modalités de mise en œuvre sont prévues par le décret du 28 mai 2010, afin d’identifier si un demandeur est signalé ou recherché. Si une telle mise en relation n’est pas prévue par l’arrêté du 22 août 2001, des données issues du FPR sont toutefois traitées dans RMV 2 par l’intermédiaire du fichier central d'attention, de sorte que cette évolution technique n’appelle pas d’observation particulière de la part de la Commission. D’autre part, une interconnexion avec le traitement "SLTD" d’Interpol est prévue, afin d’identifier si un document de voyage présenté à l’appui d’une demande de visa correspond à un document répertorié. La Commission prend acte qu’en cas de concordance, une levée de doute sera effectuée par la direction des relations internationales de la direction centrale de la police judiciaire. L’article 1er du projet d’arrêté prévoit ensuite que France Visas aura pour finalité "d’améliorer les conditions de délivrance des visas". Les nouvelles fonctionnalités (dépôt et suivi en ligne de la demande de visa, dématérialisation du dossier, paiement en ligne, nouvelles modalités de consultation de certains traitements mis en œuvre par le ministère de l’intérieur, fonctionnalités de pilotage de l’activité) visent ainsi à faciliter le processus de demande de visa par les personnes concernées et le processus d’instruction de ces demandes, dans un contexte de demande croissante de visas. Enfin, le projet d’arrêté prévoit que France Visas aura pour finalité "de mieux garantir, dans le cadre de l’instruction des demandes de visas, le droit au séjour des personnes en situation régulière et de lutter contre l’entrée et le séjour irréguliers des étrangers en France, en prévenant les fraudes documentaires, les usurpations d’identité et les détournements de procédures". La Commission observe que cette formulation est identique à celle prévue dans plusieurs dispositions législatives et réglementaires du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) concernant une série de fichiers en matière d’immigration. Cette formulation générale est ainsi susceptible de recouvrir des finalités distinctes. Si la mention de la prévention de la fraude documentaire, des usurpations d’identité et des détournements de procédures permettent d’expliciter suffisamment la finalité de lutte contre l’entrée et le séjour irréguliers des étrangers, la Commission estime en revanche que la finalité visant à "mieux garantir le droit au séjour des personnes en situation régulière" devrait, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée, être davantage explicite s’agissant du traitement France Visas. Sur les données collectées : L’article 3 du projet d’arrêté prévoit que les données collectées sont précisées dans une annexe à l’arrêté. Les données sont principalement issues des déclarations du demandeur, par l’intermédiaire des documents fournis lors du dépôt du dossier auprès du poste consulaire, et complétées par ce dernier au cours de l’instruction. Les données qui figurent dans le projet d’annexe sont très proches de celles mentionnées dans l’annexe à l’arrêté du 22 août 2001 et sont relatives au dossier de demande de visa, aux différents recours engagés, aux signalements, à l’authenticité des actes d’état civil, aux interventions et aux partenaires habilités. Des ajustements ont néanmoins été apportés par le ministère à certaines de ces catégories de données. En premier lieu, dans le cadre des nouvelles finalités et fonctionnalités du traitement, les images numérisées des pièces du dossier de demande de visa, les données relatives au compte utilisateur créé par la personne qui a formulé en ligne sa demande de visa ainsi que de nouvelles données relatives au paiement seront enregistrées dans France Visas, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. La Commission rappelle que la photographie du demandeur de visa devra être traitée selon les mêmes modalités que dans le traitement RMV 2 et prend acte que les images et les minuties des empreintes digitales des dix doigts du demandeur de visa ne seront pas enregistrées dans le traitement France Visas. En troisième lieu, des données contenues dans les dossiers des "partenaires habilités" pourront être enregistrées dans le traitement projeté. France Visas permettra en effet de mettre à disposition d’organismes "partenaires" identifiés et habilités par l’administration (entreprises, exportateurs agréées par les douanes, chambres de commerce, institutions diverses, etc.) ou d’autres administrations un portail permettant de signaler de futures demandes de visa. Certaines données les concernant seront dès lors enregistrées, ce qui n’appelle pas d’observation particulière de la part de la Commission, d’autant que certaines données ne portent pas sur les personnes physiques. Les modalités de collecte des données sont fixées par les articles 4 et 5 du projet d’arrêté. La Commission relève que la liste prévue à l’article 4 est plus restreinte que celle prévue par l’article 3 de l’arrêté du 22 août 2001, le ministère des affaires étrangères, le ministère chargé de l'immigration et la commission de recours contre les refus de visa d'entrée en France n’étant plus mentionnés au titre des services habilités à recueillir directement les données. En revanche, il est désormais prévu que les points de passage aux frontières Schengen (PPF) soient désormais habilités à collecter les données, afin de leur permettre d’assurer les missions prévues à l’article 35 du code communautaire des visas en matière de délivrance de visas. L’article 5 du projet d’arrêté, relatif aux services ne relevant pas directement de l’administration française habilités à collecter les données, prévoit, comme cela est le cas dans l’arrêté du 22 août susvisé relatif au traitement RMV 2, que des prestataires agréés par les autorités chargées de la délivrance des visas puissent être chargés de cette collecte, sous la responsabilité de ces dernières. Si la Commission a déjà examiné les conditions de cette externalisation de la collecte des données alphanumériques des demandeurs de visas, elle rappelle que des mesures de sécurité particulièrement élevées doivent être mises en œuvre et adaptées régulièrement. Le projet d’arrêté prévoit enfin que les chancelleries consulaires et les consulats des autres États membres de l’Union européenne peuvent procéder à la collecte des données enregistrées dans le traitement France Visas. Interrogé à ce sujet, le ministère a toutefois précisé que seule la représentation dite "pleine" prévue par l’article 8 du code communautaire des visas et consistant, pour la France, à se faire représenter par un autre État membre en vue de l’examen et de la délivrance des visas pour son compte, est mise en œuvre. Il n’est dès lors pas nécessaire de prévoir que les services d’autres États membres pourront collecter les données et la Commission prend acte de l’engagement du ministère de l’intérieur de supprimer cette disposition. Sur les destinataires : L’article 6 du projet d’arrêté liste les personnels habilités à prendre connaissance des données enregistrées dans le traitement France Visas. S’agissant des personnels habilités à accéder directement aux données, le projet d’arrêté apporte peu de modifications par rapport aux destinataires actuellement prévus par l’arrêté du 22 août 2001 relatif au traitement RMV 2. Dans la mesure où les deux seuls ajouts concernent, d’une part, les agents des préfectures chargés de l’application de la réglementation relative à la délivrance des titres de séjour, au traitement des demandes d’asiles et aux mesures d’éloignement et, d’autre part, les agents de la police nationale, les militaires de la gendarmerie et les agents des douanes, chargés de l’instruction des demandes de délivrance des visas aux frontières et des vérifications aux frontières extérieures des documents de voyages des ressortissant des pays tiers, cette liste n’appelle pas d’observation particulière de la part de la Commission. Par ailleurs, elle prend acte de l’engagement du ministère de l’intérieur de mentionner, au titre des personnels habilités à accéder aux données, les agents de la Commission de recours contre les décisions de refus de visa d'entrée en France, comme cela est actuellement prévu dans l’arrêté du 22 août 2001 relatif au traitement RMV 2. Le II de l’article 6 du projet d’arrêté énumère les services habilités à recevoir communication des données enregistrées dans France Visas. Il s’agit de certains services de renseignement (direction générale de la sécurité intérieure (DGSI), direction du renseignement de la préfecture de police de Paris (DRPP), direction générale de la sécurité extérieure (DGSE), direction du renseignement militaire (DRM), direction du renseignement et de la sécurité de la défense (DRSD)), relevant du ministère de l’intérieur et de la défense, et de la direction centrale de la police aux frontières (DCPAF). Dans la mesure où le traitement France Visas intéresse la sécurité publique, la Commission estime que ces services ont un intérêt légitime à recevoir communication des données enregistrées dans ce traitement dans le cadre de leurs missions de prévention des atteintes à la sécurité publique. Sur les durées de conservation : L’article 7 du projet d’arrêté fixe les durées de conservation des données enregistrées dans le traitement France Visas. En premier lieu, les données à caractère personnel relatives aux demandes, à la délivrance et au refus de visas sont conservées pendant une durée maximale de cinq ans, identique à celle prévue dans RMV 2. Le traitement France Visas permettant de procéder à des démarches en ligne, le projet d’arrêté fixe en deuxième lieu une durée de conservation des données relatives aux comptes utilisateurs et aux partenaires habilités. Les données pourront ainsi être immédiatement effacées sur demande de l’utilisateur ou à l’initiative de l’administration en cas d’inactivité du compte prenant une durée ininterrompue d’un an. Les données enregistrées concernant des demandes en ligne incomplètes sont conservées pendant une durée de trois mois. La Commission estime que les durées de conservation fixées par le projet d’arrêté sont conformes aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée. Sur les droits des personnes : Les articles 8 et 10 du projet d’arrêté fixent les modalités d’exercice des droits des personnes. Les personnes concernées seront informées du traitement de leurs données. L’ensemble des mentions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée doivent être portées à la connaissance de la personne concernée. La Commission rappelle en outre que cette information doit être effective et demande qu’elle soit fournie en plusieurs langues sur le site permettant aux personnes de formuler une demande de visa. Elle rappelle en outre que le règlement (CE) n° 767/2008 relatif au VIS prévoit une information non seulement des demandeurs de visas, mais également des invitants. L’article 8 du projet d’arrêté prévoit que les droits d’accès et de rectification s’exercent de manière directe auprès de différents services, selon que la demande de visas est déposée hors du territoire français ou sur le territoire français. Conformément au règlement n° 767/2008 du 9 juillet 2008 concernant le VIS, il est prévu que les services saisis de demandes de rectification informent la personne concernée des éventuelles rectifications auxquels ils ont procédé. Le droit d’opposition ne s’applique pas au traitement projeté, ce qui n’appelle pas d’observation particulière de la part de la Commission. Sur l’architecture, les mesures de sécurité et de traçabilité : Le traitement France Visas est composé de différents modules accessibles depuis un navigateur internet. Concernant les modalités d’authentification, les personnes souhaitant formuler une demande de visa en ligne doivent créer un compte afin de s'authentifier, ce qui leur permettra de suivre l'avancement de leur demande. L’utilisateur crée lui-même son compte depuis le téléservice de demande de visa. S’agissant des acteurs professionnels prestataires, la Commission relève qu’un agent de l’administration (superviseur ou instructeur) doit créer un premier compte pour un responsable, à partir duquel ce dernier pourra à son tour créer d’autres comptes. La Commission note que leur activation est toutefois validée par un agent de l’administration (superviseur ou instructeur). La Commission prend acte que les mots de passe des comptes des personnes demandant un visa et des comptes des acteurs professionnels prestataires doivent comporter dix caractères minimum, avec a minima trois des quatre types de caractères suivants : lettres minuscules, lettres majuscules, chiffres et caractères spéciaux. Par ailleurs, les cinq derniers mots de passe sont conservés et ne peuvent être ressaisis et le compte de l’utilisateur est verrouillé pendant soixante minutes après trois tentatives infructueuses d’authentification. Les agents de l’État, à l’exception des agents du MAEDI, s’authentifient avec le compte personnel qui leur est attribué par leur administration. Les annuaires utilisés dans la gestion des identités et des accès sont ceux de leur propre administration et les modes d’authentification sont ainsi gérés par les administrations "sources". La Commission note que le mot de passe des agents du MAEDI doit contenir au moins dix caractères et respecter trois des quatre types de caractères suivants : au moins une majuscule, une minuscule, un chiffre, un caractère spécial. Pour les administrateurs techniques du MAEDI, l’authentification s’effectue par l’utilisation d’un certificat associé à un mot de passe. La Commission a élaboré une recommandation relative aux modalités techniques d'authentification par mot de passe. Elle invite dès lors les ministères concernés à en prendre connaissance et à procéder aux éventuelles modifications nécessaires afin de mettre leur politique des mots de passe en conformité avec cette recommandation, aussi bien sur la complexité demandée pour les mots de passe que sur leur modalité de stockage. L’article 2 du projet d’arrêté prévoit que le traitement France Visas sera mis en relation avec les traitements RMV 2, VISABIO, AGDREF 2 et le traitement dénommé "Études en France". La Commission relève que ces différents échanges de données, entre l’usager et l’application, entre les différents ministères impliqués et l’application, ainsi qu’entre les applications, sont réalisés via des canaux de communication chiffrés et assurant l’authentification de la source et de la destination. Le Commission prend acte qu’un dispositif de traçabilité est mis en œuvre. L’article 9 du projet d’arrêté prévoit ainsi que les créations, les mises à jour, les suppressions ainsi que les consultations sont tracées, ces traces étant conservées un an. Sous ces réserves, la Commission considère que les mesures prévues par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. La présidente I. FALQUE-PIERROTIN