Délibération n° 2017-248 du 14 septembre 2017 portant avis sur un projet d’arrêté portant création à la direction générale des finances publiques d’un traitement automatisé de données à caractère personnel permettant la gestion en ligne du prélèvement à la source de l’impôt sur le revenu
(demande d’avis n° 2053365)

La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l’économie et des finances d’une demande d’avis concernant un projet d’arrêté portant création à la direction générale des finances publiques d’un traitement automatisé de données à caractère personnel permettant la gestion en ligne du prélèvement à la source de l’impôt sur le revenu ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le livre des procédures fiscales, notamment son article L. 169 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 27-II-4° ; Vu la loi n° 2016-1917 du 29 décembre 2016 de finances pour 2017, notamment son article 60 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu l’arrêté du 9 mai 2006 modifié portant création par la direction générale des finances publiques d’un traitement automatisé de données à caractère personnel dénommé " Abonnement en ligne des particuliers ", notamment son article 2 ; Vu le dossier et ses compléments ; Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Émet l’avis suivant : La Commission nationale de l’informatique et des libertés a été saisie pour avis, par le ministre de l’économie et des finances, d’un projet d’arrêté portant création à la direction générale des finances publiques (DGFiP) d’un traitement automatisé de données à caractère personnel permettant la gestion en ligne du prélèvement à la source de l’impôt sur le revenu. L’article 60 de la loi du 29 décembre 2016 de finances pour 2017 instaure le prélèvement à la source de l’impôt sur le revenu. Il prévoit que ce prélèvement prend la forme d’une retenue à la source pour les revenus de type salaires, pensions et rentes viagères, et d’un acompte acquitté directement par le contribuable pour les bénéfices industriels, commerciaux et agricoles, les bénéfices non commerciaux et les revenus fonciers notamment. Concernant la retenue à la source, sa mise en œuvre s’appuie sur la communication à l’administration fiscale, par le tiers versant le revenu, des informations nécessaires à la détermination du taux de prélèvement applicable à chaque contribuable, taux que la DGFiP transmet en retour au tiers versant. Le taux de prélèvement peut être modulé à la demande du contribuable, dans les conditions fixées à l’article 60 de la loi de finances pour 2017. Ce même article prévoit que les demandes de modulation " sont présentées par voie électronique par les contribuables dont la résidence principale est équipée d'un accès à internet et qui sont en mesure de le faire ". Dans ce contexte, le nouveau traitement projeté par la DGFiP doit permettre au contribuable de gérer son prélèvement à la source, et notamment la modulation de son taux de prélèvement. Ce traitement comporte un téléservice de l’administration électronique, au sens des dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée, et sa mise en œuvre doit dès lors être autorisée par arrêté pris après avis motivé et publié de la Commission. Sur les finalités du traitement : Les articles 1er et 2 du projet d’arrêté prévoient d’autoriser la DGFiP à mettre en œuvre un traitement dénommé " TREMIS " pour permettre la gestion en ligne du prélèvement à la source de l’impôt sur le revenu. Ce traitement doit permettre : à chaque contribuable personne physique de consulter et gérer le taux et les montants de prélèvement, dans son espace personnel en ligne ; aux agents de la DGFiP de consulter et gérer les prélèvements à la source des contribuables personnes physiques ; le suivi statistique des actions effectuées par les usagers et les agents. Plus précisément, le téléservice " TREMIS ", qui vient compléter le bouquet de téléservices actuellement offerts aux particuliers depuis leur espace personnel sur " impots.gouv.fr ", doit permettre au contribuable de consulter le taux appliqué, les prélèvements effectués par le tiers versant et le montant des acomptes à venir pour les revenus sans tiers collecteurs, ainsi que de gérer ses coordonnées bancaires. Ce service en ligne doit également permettre à l’usager de signaler les variations de revenus ou changements de situation familiale, qui ont une incidence sur leur taux de prélèvement, et de gérer les différentes options prévues par les dispositions précitées du CGI en matière de taux, notamment l’individualisation pour les couples mariés ou pacsés, la modulation, la trimestrialisation des acomptes ou encore la transmission d’un taux neutre au tiers versant. A cet égard, la Commission rappelle que le système de retenue à la source conduit à porter à la connaissance du tiers versant le revenu, et notamment de l’employeur, certaines informations relatives à la vie privée du contribuable (revenus tirés d’autres sources que l’emploi, revenus du conjoint, etc.). Dans ce contexte, le législateur a prévu la possibilité, pour le contribuable, d’opter pour un taux par défaut ou " taux neutre ", lequel ne révèle pas le taux d’imposition du foyer. La Commission rappelle que ce taux neutre constitue une garantie essentielle de la protection de la vie privée du contribuable, dans le cadre de l’instauration du prélèvement à la source ; il convient dès lors d’offrir aux usagers des conditions de mise en œuvre de nature à assurer l’effectivité de cette garantie, en leur permettant notamment de solliciter ce taux neutre par voie dématérialisée. Elle considère ainsi que le téléservice " TREMIS ", au-delà de répondre à l’objectif de simplification des démarches administratives, permet de faciliter l’activation de la garantie que constitue le taux neutre. Dès lors, la Commission estime que la finalité de consultation et de gestion en ligne du prélèvement à la source est déterminée, explicite et légitime, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée. S’agissant de l’utilisation de " TREMIS " par les agents de la DGFiP, la Commission prend acte qu’il s’agit uniquement de permettre à ces agents d’accompagner tout contribuable dans la consultation et la gestion du prélèvement à la source et, en particulier, d’intervenir pour le compte de contribuables qui ne disposent pas d’un accès à internet ou qui sont exclus du service en ligne. Enfin, la finalité statistique poursuivie par le traitement " TREMIS " n’appelle pas d’observation particulière de la Commission. Sur les données traitées : L’article 3 du projet d’arrêté énumère les données personnelles traitées. Ces données concernent les catégories suivantes : les données d’identification de l’usager, à savoir les nom et prénom de l’usager et de son conjoint ou de son partenaire, les identifiants fiscaux de l’usager et du conjoint ou du partenaire, l’adresse de messagerie électronique de l’usager et du conjoint ou du partenaire, le nombre de personnes à la charge du foyer fiscal ainsi que leur année de naissance ; la situation familiale ; les données à caractère économique et financier : informations concernant les retenues et les évènements impliquant une modification du taux, la date de fin de validité du compte bancaire. L’article 4 du projet d’arrêté précise que ces données peuvent être issues d’autres traitements régulièrement mis en œuvre par la DGFiP ou renseignées par l’usager lui-même, ce qui n’appelle pas d’observation particulière. La Commission prend acte que, lorsqu’une modification est signalée par l’usager, les données sont ensuite transmises aux applications concernées de la DGFiP en vue de leur mise à jour. La Commission relève que le téléservice " TREMIS " permet uniquement la transmission par les usagers d’informations et non l’envoi de documents qui seraient ensuite stockés dans l’application. Elle prend en outre acte que, pour un couple, la situation présentée est celle du foyer fiscal et que chacun des membres du foyer peut ainsi consulter les actions effectuées par l’autre membre du couple et les montants prélevés par foyer. La Commission considère que les données traitées via le téléservice " TREMIS " sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. Sur la durée de conservation des données : L’article 5 du projet d’arrêté prévoit que les données à caractère personnel traitées dans le cadre du dispositif " TREMIS " sont conservées au maximum quatre ans. Cette durée de conservation tient compte du délai de reprise dont dispose l’administration pour rectifier les omissions constatées dans l’assiette de l’impôt, les insuffisances, les inexactitudes ou les erreurs d’imposition. Pour l’impôt sur le revenu, ce délai de reprise s’exerce jusqu’à la fin de la troisième année qui suit celle au titre de laquelle l’imposition est due, conformément aux dispositions de l’article L. 169 du livre des procédures fiscales. La Commission relève en outre que l’usager a ainsi accès à la liste des retenues effectuées par le tiers collecteur et des acomptes versés directement à la DGFiP par l’usager au cours des trois dernières années en plus de l’année en cours. Elle considère que la durée de conservation projetée n’excède pas la durée nécessaire au regard des finalités poursuivies par le traitement, conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée. Sur les destinataires des données : L’article 6 du projet d’arrêté prévoit que les destinataires des données relatives aux contribuables sont les seuls agents habilités de la DGFiP, ce qui n’appelle pas d’observation particulière de la Commission. Sur l'information et les droits des personnes : Dans la mesure où le taux neutre constitue une garantie de nature à assurer un juste équilibre entre l’intérêt général qui s’attache à la mise en œuvre du prélèvement à la source et l’atteinte portée au droit au respect de la vie privée, la Commission souligne l’importance de délivrer une information claire et complète aux contribuables quant à la possibilité qui leur est offerte d’actionner cette garantie. Outre les mentions d’information prévues à l’article 32 de la loi " Informatique et Libertés ", qui doivent obligatoirement être portées à la connaissance des personnes concernées, la Commission estime donc que le téléservice " TREMIS ", qui a précisément pour finalité la gestion de ce taux par les contribuables, doit fournir toute information de nature à permettre la mise en œuvre de cette garantie. En outre, la Commission observe que le site web sur lequel sera accessible le téléservice inclut un outil de mesure d’audience du site. Dès lors, elle rappelle la nécessité d’informer les contribuables et de les mettre en mesure de s’opposer au suivi de leur navigation sur le site, conformément aux dispositions de l'article 32-II de la loi du 6 janvier 1978 modifiée telles que précisées dans les recommandations formulées par la Commission en la matière. S'agissant des droits d'accès et de rectification prévus aux articles 39 et 40 de la loi susmentionnée, l'article 7 du projet d'arrêté dispose que ceux-ci s’exercent auprès du centre des finances publiques du domicile fiscal de l’usager. Ce même article précise en outre que tout contribuable peut consulter sur internet les éléments constitutifs de son prélèvement à la source mis en ligne dans son espace personnel après s’être identifié. A cet égard, la Commission appelle l’attention du ministère sur l’obligation qui incombe au responsable de traitement qui a collecté des données personnelles par voie électronique, de permettre à toute personne d’exercer ses droits, notamment son droit de rectification, également par voie électronique, conformément à l’article 43 bis de la loi du 6 janvier 1978 modifiée. Le ministère entend faire application du dernier alinéa de l'article 38 de la loi susmentionnée en excluant le droit d'opposition, ce qui n'appelle pas d'observation particulière de la Commission dans la mesure où le recours à un dispositif dématérialisé, pour les contribuables dont la résidence principale est équipée d'un accès à internet, est expressément prévu par l’article 60 de la loi de finances pour 2017. Sur la sécurité des données et la traçabilité des actions : Le traitement " TREMIS " constitue un téléservice de l’administration électronique et est, à ce titre, soumis au référentiel général de sécurité (RGS). La Commission prend acte que l’application " TREMIS " a fait l’objet d’une décision d’homologation au RGS le 7 juillet 2017. Néanmoins, en l’absence de transmission du détail de l’analyse de risques menée par la DGFiP, la seule mention du recours au protocole TLS n’apparaît pas suffisante pour permettre à la Commission de déterminer si les mesures de sécurité envisagées sont satisfaisantes au regard des risques encourus par le traitement. En tout état de cause, elle rappelle que l’ouverture du service en ligne devra être précédée de son homologation et qu’il conviendra de réactualiser régulièrement les mesures de sécurité encadrant le traitement afin qu’elles soient continuellement proportionnées aux risques. S’agissant des modalités d’authentification des contribuables en vue d’accéder à leur espace personnel sécurisé dans le portail fiscal, l’article 7 du projet d’arrêté renvoie à l’article 2 de l’arrêté du 9 mai 2006 susvisé, lequel prévoit une authentification soit par la procédure de saisie des trois secrets, soit par identifiant/ mot de passe en ligne, soit par identifiant/ mot de passe via le site " mon.service-public.fr ". Ainsi, les contribuables doivent être mis en mesure de choisir parmi ces trois modalités d’authentification, celle qu’ils souhaitent utiliser. S’agissant plus généralement de l’authentification de tout utilisateur du dispositif par un système impliquant un mot de passe, la Commission rappelle que cette authentification doit être conforme à l’état de l’art, tel que précisé dans les recommandations de la Commission en la matière. Concernant les mesures de traçabilité, les articles 3 et 5 du projet d’arrêté prévoient que les connexions effectuées par les usagers font l’objet d’une journalisation, qui se traduit par la conservation, de l’adresse IP de l’usager, des date et heure et des données de connexion pendant une durée de quatre-vingt-dix jours. Ils prévoient en outre que les actions réalisées par les agents de la DGFiP font également l’objet d’une journalisation qui induit la conservation pendant un an des éléments d’identification de l’auteur, des références et de la nature des actions effectuées ainsi que des date et heure. La Commission prend acte que le ministère s’engage à modifier l’article 6 du projet d’arrêté, qui prévoit que les destinataires des données relatives à la journalisation des actions menées sont " les personnels encadrant, les responsables de sécurité informatique et les agents habilités à consulter les traces ", afin de préciser qu’il s’agit du personnel de la DGFiP. Sous ces réserves, la Commission considère que les mesures de sécurité envisagées par l’administration fiscale apparaissent cohérentes avec le niveau de sécurité attendu au regard de la nature des données traitées et des risques présentés par le traitement, conformément aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée. Pour la Présidente Le Vice-Président Délégué Marie-France MAZARS


Délibération n° 2017-245 du 14 septembre 2017 portant avis sur un projet d’arrêté portant création à la direction générale des finances publiques d’un traitement automatisé de données à caractère personnel de reconnaissance des usagers et de restitutions enrichies dans le cadre du prélèvement à la source
(demande d’avis n° 2057436)

La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l’économie et des finances d’une demande d’avis concernant un projet d’arrêté portant création à la direction générale des finances publiques d’un traitement automatisé de données à caractère personnel de reconnaissance des usagers et de restitutions enrichies dans le cadre du prélèvement à la source ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le livre des procédures fiscales, notamment son article L. 169 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 27-II-2° ; Vu la loi n° 2016-1917 du 29 décembre 2016 de finances pour 2017, notamment son article 60 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu l’arrêté du 22 avril 2016 portant création par la direction générale des finances publiques d’un traitement automatisé de données à caractère personnel dénommé " DSN " ; Vu l’arrêté du 16 juin 2017 portant création par la direction générale des finances publiques d’un traitement automatisé de données à caractère personnel de gestion du prélèvement à la source mis en œuvre par les collecteurs n’entrant pas dans le champ de la déclaration sociale nominative ou versant des revenus de remplacement ; Vu le dossier et ses compléments ; Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Émet l’avis suivant : La Commission nationale de l’informatique et des libertés a été saisie pour avis, par le ministre de l’économie et des finances, d’un projet d’arrêté portant création à la direction générale des finances publiques (DGFiP) d’un traitement automatisé de données à caractère personnel de reconnaissance des usagers et de restitutions enrichies dans le cadre du prélèvement à la source. L’article 60 de la loi du 29 décembre 2016 de finances pour 2017, qui instaure le prélèvement à la source de l’impôt sur le revenu, prévoit que la mise en œuvre de cette contribution s’appuie sur la communication à l’administration fiscale, par le tiers versant le revenu, des informations nécessaires à la détermination du taux de prélèvement applicable à chaque bénéficiaire de revenus, taux que la DGFiP transmet en retour au tiers versant. Dans ce contexte, le traitement projeté vise à permettre à la DGFiP de procéder à la reconnaissance des individus qui font l’objet des déclarations par les collecteurs afin de transmettre en retour le taux aux collecteurs, qui auront l’obligation de l’appliquer. Dans la mesure où ce traitement porte sur des données parmi lesquelles figure le numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) et compte tenu du fait qu’il est utilisé par des services ayant pour mission d’établir l’assiette, de contrôler et de recouvrer des impositions, sa mise en œuvre doit être autorisée par arrêté pris après avis motivé et publié de la Commission, conformément aux dispositions de l’article 27-II-2° de la loi du 6 janvier 1978 modifiée. Sur les finalités du traitement : Les articles 1er et 2 du projet d’arrêté prévoient d’autoriser la DGFiP à mettre en œuvre un traitement dénommé " SRE-SZU " de reconnaissance des usagers et de restitutions enrichies dans le cadre du prélèvement à la source. Ce traitement a pour finalité : la reconnaissance, par le système d’information de la DGFiP, des bénéficiaires de revenu soumis au prélèvement à la source qui font l’objet des déclarations des collecteurs ; la restitution enrichie des données des bénéficiaires de revenu soumis au prélèvement à la source ; le suivi statistique du traitement des données. La Commission a d’ores et déjà été consultée sur les modalités d’échange de ces informations entre les tiers collecteurs et l’administration fiscale dans le cadre des dispositifs " DSN ", dont les conditions de mise en œuvre sont prévues par l’arrêté du 22 avril 2016 susvisé, et " PASRAU ", régi par l’arrêté du 16 juin 2017 également susvisé. Le présent traitement concerne uniquement l’application interne mise en œuvre par la DGFiP pour répondre aux déclarations des tiers collecteurs en assurant la reconnaissance des bénéficiaires de revenu par le système d’information de la DGFiP pour permettre la communication en retour au tiers collecteur du taux d’imposition propre à chaque individu. La reconnaissance des bénéficiaires de revenu concernés par les déclarations de tiers collecteurs est nécessaire pour s’assurer de l’identité des contribuables et prévenir toute erreur dans la détermination du taux de prélèvement applicable. Les finalités du traitement " SRE-SZU " s’inscrivent ainsi dans le cadre des missions de l’administration fiscale et, en particulier, de l’établissement de l’assiette de l’impôt. Elles participent également de l’objectif général de simplification des démarches administratives et, en l’espèce, des obligations déclaratives des contribuables en matière de situations fiscales. La Commission considère dès lors que ces finalités sont déterminées, explicites et légitimes au sens de l’article 6-2° de la loi du 6 janvier 1978 modifiée. Sur la nature des données traitées : L’article 3 du projet d’arrêté énumère les données personnelles traitées. Ces données concernent les données d’identification de l’établissement collecteur et de l’individu, notamment son NIR, les données de la déclaration, les données relatives aux anomalies d’identification ainsi que les données relatives aux versements sur prélèvement. L’article 5 du projet d’arrêté précise que les données personnelles traitées sont issues d’autres traitements régulièrement mis en œuvre par la DGFiP, ce qui n’appelle pas d’observation particulière. La Commission prend acte que les données figurant dans les restitutions enrichies qui sont communiquées au tiers collecteur sont également transmises aux applications concernées de la DGFiP en vue de leur mise à jour. S’agissant du recours au NIR des bénéficiaires de revenu dans le cadre du prélèvement à la source, l’article 60 de la loi précitée du 29 décembre 2016 prévoit la création d’un article L. 288 A du livre des procédures fiscales (LPF), qui dispose que les échanges entre le tiers collecteur et l’administration fiscale s’opèrent " sur la base du numéro d’inscription au répertoire national d’identification des personnes physiques ". Le Législateur a ainsi expressément autorisé l’utilisation de cette donnée dans ce cadre, tout en précisant que les opérations d’échange d’informations entre le tiers collecteur et l’administration fiscale et les données recueillies, détenues ou transmises dans ce cadre le sont aux seules fins de gestion du prélèvement à la source. A cet égard, la Commission prend acte de la précision apportée par le projet d’arrêté qui dispose que " le [NIR] est utilisé pour fiabiliser l’identification des individus ". La Commission considère que les données traitées dans le système " SRE-SZU " sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l’article 6-3° de la loi du 6 janvier 1978 modifiée. Sur la durée de conservation des données : L’article 4 du projet d’arrêté prévoit que les données à caractère personnel traitées sont conservées trois ans et l’année en cours, à l’exclusion du NIR. Cette durée de conservation tient compte du délai de reprise dont dispose l’administration pour rectifier les omissions constatées dans l’assiette de l’impôt, les insuffisances, les inexactitudes ou les erreurs d’imposition. Pour l’impôt sur le revenu, ce délai de reprise s’exerce jusqu’à la fin de la troisième année qui suit celle au titre de laquelle l’imposition est due, conformément aux dispositions de l’article L. 169 du livre des procédures fiscales. S’agissant du NIR, celui-ci n’est conservé dans le dispositif " SRE-SZU " que le temps nécessaire à la réalisation du traitement de fiabilisation et de reconnaissance de l’individu, étant précisé qu’il est par ailleurs traité par la DGFiP dans le cadre du référentiel PERS d’identification des personnes physiques et morales. La Commission considère que ces durées n’excèdent pas la durée nécessaire au regard des finalités poursuivies, conformément aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée. Sur les destinataires des données : L’article 6 du projet d’arrêté prévoit que les agents habilités de la direction générale des finances publiques sont destinataires des données traitées dans le dispositif " SRE-SZU ", à l’exclusion du NIR. En effet, la reconnaissance des bénéficiaires de revenu sur la base de leur NIR est réalisée directement par le système d’information de la DGFiP et ne nécessite aucune intervention humaine. Ces catégories de destinataires n’appellent pas d’observation particulière de la Commission. Sur l'information et les droits des personnes : La Commission rappelle que les mentions d’information prévues à l’article 32 de la loi " Informatique et Libertés " doivent obligatoirement être portées à la connaissance des personnes concernées. Il convient en particulier d’informer les contribuables quant à l’utilisation faite de leur NIR afin de procéder à leur reconnaissance dans le système d’information de la DGFiP. S'agissant des droits d'accès et de rectification prévus aux articles 39 et 40 de la loi " Informatique et Libertés ", l'article 7 du projet d'arrêté dispose que ceux-ci s’exercent auprès du centre des finances publiques compétent. Le ministère entend faire application du dernier alinéa de l'article 38 de la loi susmentionnée en excluant le droit d'opposition, ce qui n'appelle pas d'observation particulière de la Commission. Sur la sécurité des données et la traçabilité des actions : La Commission prend acte que le ministère entend recourir au système de gestion de base de données Postgre, dans sa version 9.4. Le traitement ne sera accessible qu’aux agents habilités de la DGFiP, via le réseau interne au ministère, ce qui n’appelle pas de remarque particulière de la Commission. S’agissant de leur authentification par un système impliquant un mot de passe, la Commission rappelle que cette authentification doit être conforme à l’état de l’art, tel que précisé dans les recommandations de la Commission en la matière. La Commission observe que le NIR fait l’objet de mesures de sécurité renforcées. Ainsi, il ne sera pas sauvegardé dans le traitement projeté, il sera systématiquement transmis de manière chiffrée entre les différentes applications et la maintenance des ressources traitant le NIR sera spécifiquement encadrée. Concernant les mesures de traçabilité, l’article 3 du projet d’arrêté prévoit que les consultations effectuées par les agents de la DGFiP font l’objet d’une journalisation qui se traduit par la conservation, pour chaque connexion, des éléments d’identification de l’auteur, des références ainsi que des date et heure. L’article 4 précise que ces données sont conservées un an. La Commission prend acte que le ministère s’engage à modifier l’article 6 du projet d’arrêté, qui prévoit que sont destinataires des données relatives à la journalisation des consultations menées " l’encadrement, les responsables de sécurité informatique et les agents habilités à consulter les traces ", afin de préciser qu’il s’agit du personnel de la DGFiP. Sous ces réserves, la Commission considère que les mesures de sécurité envisagées par l’administration fiscale apparaissent cohérentes avec le niveau de sécurité attendu au regard de la nature des données traitées et des risques présentés par le traitement, conformément aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée. Pour la Présidente Le Vice-Président Délégué Marie-France MAZARS


Délibération n° C du 11 avril 2019 portant avis sur un projet de décret relatif aux conditions dans lesquelles la collecte de données épidémiologiques et leur traitement peuvent être confiés à des personnes agréées
(demande d’avis n° 19003802)

La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l’agriculture et de l’alimentation d’un projet de décret relatif aux conditions dans lesquelles la collecte de données épidémiologiques et leur traitement peuvent être confiés à des personnes agréées ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu le code rural et de la pêche maritime notamment son article L. 201-3 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Vu la loi n° 2018-938 du 30 octobre 2018 pour l’équilibre des relations commerciales dans le secteur agricole et alimentaire et une alimentation saine, durable et accessible à tous (1) ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Emet l’avis suivant : La loi n° 2018-938 du 30 octobre 2018 pour l’équilibre des relations commerciales dans le secteur agricole et alimentaire et une alimentation saine, durable et accessible à tous a modifié les dispositions de l’article L. 201-3 du code rural et de la pêche maritime. L’article susvisé modifié prévoit désormais que l’Etat a la possibilité de confier la collecte des informations d’ordre épidémiologique relatives aux dangers sanitaires de première et deuxième catégorie à des personnes agréées par le ministère chargé de l’agriculture. Il prévoit qu’un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, " précise les conditions dans lesquelles la collecte des données et leur traitement peuvent être confiés à des personnes agréées par le ministère chargé de l'agriculture ". L’avis rendu par la Commission sera publié conformément à l’article 11-4 a) de la loi du 6 janvier 1978. A titre liminaire, la Commission relève que le projet qui lui a été soumis traite davantage des modalités de l’agrément délivré par le ministre chargé de l’agriculture que des conditions de collecte et de traitement des données qui peuvent être confiées à des personnes agréées. Elle estime dès lors que le projet devrait être complété sur certains points au vu des éléments communiqués par le ministère. Sur la finalité L’article L. 201-7 du code rural et de la pêche maritime prévoit que les vétérinaires et laboratoires communiquent immédiatement à l’autorité administrative tout résultat d’analyse conduisant à suspecter ou à constater la présence d’un danger sanitaire de première catégorie ou la première apparition sur le territoire national d’un danger sanitaire. La disposition susvisée précise également que tout propriétaire ou détenteur d’animaux ou de végétaux, ou tout professionnel exerçant ses activités en relation avec des animaux ou végétaux qui détecte ou suspecte l’apparition d’un danger sanitaire sur le territoire national en informe immédiatement l’autorité administrative désignée par décret. Aussi, afin de faciliter les démarches réglementaires des propriétaires ou détenteurs d’animaux concernant l’identification d’un danger sanitaire, la loi n° 2018-938 vient ajouter les personnes agréées par le ministre de l’agriculture comme nouvelle catégorie de personnes susceptibles de collecter et d’enregistrer dans une base de données nationale les informations susvisées. A cet égard, l’article 1er du projet de décret prévoit que l’agrément est délivré après avis du conseil national d’orientation de la politique sanitaire animale et végétale, à des personnes répondant aux conditions d’aptitude, d’expérience et de compétences techniques. La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes conformément aux dispositions de l’article 5.1.b) du règlement général sur la protection des données. Elle estime toutefois que le projet de décret pourrait préciser la finalité de la collecte et du traitement des données confiées à des tiers agréés. Sur les données traitées La Commission prend acte que les informations concernant le candidat à l’obtention de l’agrément sont relatives : à l’identité de la personne physique : nom, prénom, adresse postale, numéro de téléphone, adresse électronique ; à l’identité de la personne morale : statut juridique, extrait de l’inscription au RCS, liste des mandats électifs du dirigeant, composition de l’actionnariat, informations relatives à la comptabilité. S’agissant des informations concernant la gestion du fichier nominatif tenu par la personne agréée, celles-ci sont relatives : aux propriétaires d’animaux : nom, prénom, adresse postale du lieu de détention, coordonnées géographiques des sites de détention, numéro de téléphone, adresse électronique ; aux informations d’ordre sanitaire concernant les animaux détenus. Ces catégories de données n’appellent pas d’observation de la part de la Commission, qui considère qu’elles sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5.1.c) du règlement général sur la protection des données. La Commission considère que le projet de décret dont l’objet est notamment de préciser les conditions de collecte des données devrait préciser ces catégories de données. Sur les destinataires La Commission prend note, que dans les limites de leurs attributions respectives et chacun pour ce qui le concerne, peuvent accéder aux informations concernant le candidat à l’obtention de l’agrément, le personnel du bureau de la commande publique et de la sous-direction santé et protection animale du ministère de l’agriculture et de l’alimentation. Selon les informations fournies par le ministère, peuvent être destinataires des informations enregistrées dans le fichier nominatif tenu par la personne agréée, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître : les organismes à vocation sanitaire et les organismes vétérinaires à vocation technique ; les réseaux sanitaires ; les associations sanitaires régionales ; la plateforme d’épidémiosurveillance animale ; les personnes, services ou organismes assurant la surveillance, la prévention et la lutte contre les dangers sanitaires ; les préfets ; les officiers et agents de police judiciaire ; les agents des services de secours contre l’incendie ; les maires ; les organismes à vocation statistique pour l’analyse et l’information ; les organismes payeurs des aides agricoles ; les organismes contribuant à l’amélioration génétique des animaux ou de la recherche ; les personnes en charge de l’équarrissage ; les agents habilités à procéder aux contrôles des dispositions relatives à la santé des animaux et à la salubrité des denrées alimentaires d’origine animale. La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données et que le décret pourrait être complété sur ce point. Sur l’information et les droits des personnes La Commission prend note que les candidats à l’obtention de l’agrément sont informés conformément aux dispositions de l’article 13 du règlement général sur la protection des données, par une mention figurant dans le règlement relatif à l’appel aux candidatures et dans la convention signée entre le ministère et la personne agréée, une fois l’agrément obtenu. Les droits d’accès et de rectification s’exercent auprès du ministère de l’agriculture et de l’alimentation. Les propriétaires ou détenteurs d’animaux sont informés, conformément aux dispositions de l’article susvisé, par une mention figurant dans la charte précisant les conditions générales d’utilisation de la base de données. La Commission précise qu’il conviendra également d’informer les personnes concernées par un premier niveau d’information au moment de leur authentification sur la plateforme en priorisant les éléments d’information essentiels et notamment l’identité du responsable de traitement, la finalité poursuivie ainsi que les modalités d’exercice des droits des personnes. Les droits de rectification et d’accès s’exercent auprès de la personne agréée. La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes. Sur la durée de conservation La Commission prend acte que les informations relatives au candidat à l’obtention de l’agrément sont conservées en base active le temps de l’instruction et de la délivrance de l’agrément par le ministre de l’agriculture. En cas de refus de l’agrément par le ministre de l’agriculture, les données sont conservées jusqu’à l’extinction des différentes voies de recours puis archivées conformément aux dispositions du code du patrimoine relatives aux obligations d’archivage des informations dans le secteur public. Les informations relatives à l’agrément, une fois obtenu, sont conservées dix ans. A cet égard, la Commission relève que cette durée correspond au temps de validité de l’agrément. A l’expiration de cette période, les données sont archivées conformément aux dispositions du code du patrimoine susvisées. S’agissant des informations contenues dans le fichier nominatif tenu par la personne agréée, celles-ci sont conservées dix ans à compter de leur enregistrement. La Commission considère que cette durée de conservation est justifiée par le temps nécessaire aux études épidémiologiques qui nécessitent un historique des évènements sanitaires. Sur les mesures de sécurité La Commission prend acte que des mesures de protection physiques et logiques seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, préserver l’intégrité des données traitées, et en assurer la disponibilité. A ce titre, elle rappelle que des profils d’habilitation doivent définir les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs doivent être spécifiés et documentés de manière détaillée, et prendre en compte les accès différentiés aux informations en fonction du besoin d’en connaître. La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement. L’authentification des utilisateurs du traitement doit être assurée par l’utilisation de mots de passe régulièrement renouvelés et, constitués d’au moins huit caractères contenant des majuscules, des minuscules, et des chiffres lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe modifiée. Des sauvegardes régulières doivent être réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes. La Commission rappelle que ces obligations nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Pour la Présidente La Vice-Présidente Déléguée Mme Sophie LAMBREMON


Délibération n° 2018-097 du 15 mars 2018 portant avis sur un projet d’arrêté portant création d’un traitement de données à caractère personnel " interface de levée de l’anonymat des agents de la police et de la gendarmerie nationales et des douanes dans les actes de procédure " (IDPV)

(demande d’avis n° 2159045)

La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet d’arrêté portant création d’un traitement de données à caractère personnel dénommé " interface de levée de l’anonymat des agents de la police et de la gendarmerie nationales et des douanes dans les actes de procédure " (IDPV) ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de procédure pénale, notamment son article 15-4 ; Vu le code des douanes, notamment son article 55 bis ; Vu le code de la sécurité intérieure, notamment ses articles L. 229-1 et suivants ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 26-II ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2012-895 du 19 juillet 2012 modifié portant autorisation d’un traitement de données à caractère personnel dénommé " Agorha " relatif à la gestion des ressources humaines de la gendarmerie nationale ; Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Émet l’avis suivant : La Commission a été saisie par le ministre de l’intérieur d’une demande d’avis relative à un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé " interface de levée de l’anonymat des agents de la police et de la gendarmerie nationales et des douanes dans les actes de procédure " (IDPV). Le traitement projeté doit permettre l’identification des agents apparaissant dans des actes de procédure sous un numéro d’immatriculation administrative en application des articles 15-4 du code de procédure, 55 bis du code des douanes et L. 229-2 du code de la sécurité intérieure, qui visent à protéger les agents contre tout risque d’atteinte à leur intégrité physique ou à celle de leur entourage. Ce projet, fondé sur l’article 26-I-1° de la loi du 6 janvier 1978 modifiée, doit être autorisé par arrêté, pris après avis motivé et publié de la Commission. Sur les finalités du traitement : Aux termes de l’article 1er du projet d’arrêté soumis à la Commission, le traitement, qui doit être mis en œuvre par la direction générale de la police nationale (DGPN) et la direction générale de la gendarmerie nationale (DGGN) du ministère de l’intérieur, a pour finalité : " de permettre aux autorités judiciaires ainsi qu’aux agents de la police et de la gendarmerie nationales et des douanes, dans le cadre des procédures dont ils sont saisis et dans la limite du besoin d’en connaître, d’identifier un agent apparaissant dans un acte de procédure sous un numéro d’immatriculation administrative en application des articles 15-4 du code de procédure pénale, 55 bis du code des douanes et L. 229-2 du code de la sécurité intérieure ". Ce projet s’explique par l’adoption récente de plusieurs dispositions législatives permettant aux agents de la police nationale, de la gendarmerie nationale ainsi que des douanes, de ne pas s’identifier dans des actes de procédure par leurs nom et prénom et d’y substituer un numéro d’immatriculation administrative, complété par leur qualité et leur service d’affectation. Cette faculté, dont la mise en œuvre est conditionnée par l’autorisation du responsable hiérarchique, vise à protéger les agents concernés de risques de représailles par des délinquants ou des criminels faisant l’objet de procédures judiciaires ou administratives. Initialement réservée aux seuls officiers et agents de police judiciaire affectés dans les services spécialement chargés de la lutte contre le terrorisme, la possibilité de ne pas être identifié par ses nom et prénom dans des actes de procédure a été étendue par la loi n° 2017-258 du 28 février 2017 relative à la sécurité publique : aux agents de la police nationale, de la gendarmerie nationale, des douanes ou des services fiscaux habilités à effectuer des enquêtes judiciaires, dans le cadre des procédures relatives à un crime ou un délit puni d’au moins 3 ans d’emprisonnement (article 15-4 du code de procédure pénale) ; aux agents de la police nationale, de la gendarmerie nationale, des douanes ou des services fiscaux habilités à effectuer des enquêtes judiciaires, dans le cadre des procédures relatives à un crime ou un délit puni de moins de 3 ans lorsqu’en raison de circonstances particulières dans la commission des faits ou de la personnalité des personnes mises en cause, la révélation de l’identité de l’agent est susceptible de mettre en danger sa vie ou son intégrité physique ou celle de ses proches (article 15-4 du code de procédure pénale) ; aux agents de la douane administrative (article 55 bis du code des douanes). La loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme a ensuite étendu cette possibilité, en matière de police administrative, aux procès-verbaux relatant les opérations de visite et saisie effectuées aux seules fins de prévenir la commission d’actes de terrorisme (article L. 229-2 du code de la sécurité intérieure). Dès lors qu’un certain nombre d’actes de procédure ne comporteront plus les nom et prénom des agents ayant participé à leur accomplissement, l’autorité judiciaire ainsi que les agents de la police nationale, de la gendarmerie nationale ou des douanes devant connaître des procédures concernées doivent pouvoir accéder aux nom et prénom des agents identifiés par un numéro d’immatriculation. Le traitement IDPV projeté doit précisément répondre à cette nécessité. La DGPN et la DGGN souhaitent plus précisément mettre en œuvre une interface unique permettant d’accéder, à partir du numéro d’immatriculation administrative complété, le cas échéant, par le numéro de la procédure, aux données à caractère personnel nécessaires à l’identification de l’agent et de son service d’affectation. Ces données sont actuellement enregistrées dans les traitements de gestion mis en œuvre par chaque direction concernée, à savoir : - le traitement " RIO " - référentiel des identités et de l’organisation ayant pour finalité la gestion des cartes professionnelles sécurisées – pour les agents de la police nationale ; - le traitement " Agorha " relatif à la gestion des ressources humaines de la gendarmerie pour les agents de la gendarmerie nationale, autorisé par le décret n° 2012-895 du 19 juillet 2012 susvisé ; - le traitement dénommé " identification des agents des douanes dans les actes de procédure " (IDdouane), qui doit prochainement être créé, pour les agents de la direction générale des douanes et des droits indirects. Il est donc prévu que l’interface IDPV interroge ces trois traitements, ce dont la Commission prend acte. La Commission prend également acte que le traitement IDPV sera uniquement utilisé dans les hypothèses suivantes : lorsqu’une partie à la procédure considère que la connaissance des nom et prénom d’une personne ayant été autorisée à s’identifier par un numéro d’immatriculation est nécessaire à l’exercice des droits de la défense, notamment en raison de la contestation des faits énoncés dans les procès-verbaux et rapports ou des conditions de leur recueil et que le juge d’instruction ou le président de la juridiction de jugement ordonne la révélation de ces informations ; en cas de demande d’annulation d’un acte de procédure fondée sur la violation des formes prescrites par la loi dont l’appréciation nécessite la révélation de l’identité des personnes qui sera communiquée au juge d’instruction, au président de la chambre de l’instruction ou au président de la juridiction, qui statueront sans verser ces éléments dans le cadre du débat contradictoire ni indiquer l’identité des personnes dans leur décision ; en cas de poursuite d’une enquête par un autre service ou en cas d’enquête en co-saisine, les agents de la police, de la gendarmerie nationale et de la douane désignés par un numéro d’immatriculation devant pouvoir être identifiables par les autres agents amenés à connaître de la procédure judiciaire ou administrative ; pour permettre au juge qui a autorisé une saisie sur le fondement de l’article L. 229-2 du CSI et aux juridictions saisies à cet effet de connaître l’identité des agents qui ont procédé à la visite et à la saisie. Au regard de l’ensemble de ces précisions, la Commission considère que les finalités poursuivies par le traitement IDPV sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que, contrairement à ce que pourrait laisser penser la terminologie employée par certains passages du dossier et la page d’accueil de l’interface, qui évoque un " numéro d’anonymat ", l’utilisation d’un numéro d’immatriculation administrative ne constitue pas une technique d’anonymisation mais uniquement de pseudonymisation, les actes de procédure comportant de tels numéros, a fortiori complétés par la qualité de l’agent et son service d’affectation, comportant toujours des données à caractère personnel au sens de l’article 2 de la loi du 6 janvier 1978 modifiée. Sur les données traitées : L’article 3 du projet d’arrêté prévoit que les données relatives à l’agent apparaissant dans un acte de procédure qui sont rendues accessibles par le traitement IDPV sont : le grade, le nom, le prénom et la qualité judiciaire de l’agent ; le service ou le service dans lequel il est affecté ; l’adresse électronique professionnelle et le numéro de téléphone du service ou de l’unité. L’accès à de telles informations apparaît pertinent à la Commission, compte tenu des finalités du traitement. En outre, la Commission prend acte que les données à caractère personnel rendues accessibles par l’interface de consultation IDPV seront uniquement conservées dans les fichiers propres à chaque administration consultés par le traitement IDPV (RIO, AGORHA, IDdouane), pendant la durée prévue par les actes autorisant la mise en œuvre de ces traitements. Ainsi, le traitement IDPV n’enregistrera aucune donnée, à l’exception de celles relatives à la traçabilité des opérations. Concernant ces dernières, le projet d’arrêté prévoit que les consultations font l’objet d’un enregistrement comprenant l’identification de l’auteur de la consultation, le numéro d’immatriculation objet de la requête, la date et l’heure. Il précise que ces informations seront conservées pendant 6 ans ce qui, compte tenu de l’objet du traitement, n’apparaît pas excessif à la Commission. Sur les destinataires du traitement : Le projet d’arrêté prévoit que peuvent avoir accès à tout ou partie des données consultables par le biais de l’interface IDPV : des magistrats du ministère public, des juridictions d’instruction, des juridictions répressives de jugement et des juridictions d’application des peines ainsi que les greffiers qui les assistent ; des agents et officiers de police judiciaire et fiscaux de la direction générale de la police nationale, de la direction générale de la gendarmerie nationale, de la préfecture de police et les agents de la douane judiciaire ; des agents spécialisés, techniciens et ingénieurs de police technique et scientifique et les agents de la gendarmerie nationale agissant en qualité de personne qualifiée ou d’expert ; des agents de la direction générale de la sécurité intérieure. Le projet d’arrêté précise que ces différents personnels n’auront accès aux données que dans le cadre de l’exercice de leurs missions, pour une procédure dont ils sont saisis et dans la limite du besoin d’en connaître. S’agissant des agents spécialisés, techniciens et ingénieurs de police technique et scientifique et les agents de la gendarmerie nationale agissant en qualité de personne qualifiée ou d’expert, le ministère a précisé que leur accès au traitement à des fins d’identification d’un agent pouvait être nécessaire dans le cadre de l’exploitation de scellés, ce dont la Commission prend acte. Elle prend également acte, qu’à l’exception de l’hypothèse dans laquelle ils rechercheraient le nom et le prénom d’agents de leur propre direction, les agents de la DGSI n’auront accès qu’aux seules informations relatives au service ou unité d’affectation de l’agent et au numéro à contacter. Elle prend acte, enfin, s’agissant de l’accès aux informations relatives à des agents de la DGSI que seuls les magistrats et les agents de la DGSI pourront accéder aux informations nominatives, les autres destinataires ayant uniquement accès aux informations relatives au service ou unité d’affectation de l’agent et au numéro de téléphone à contacter. Cette même restriction sera mise en œuvre concernant les agents et militaires des unités d’intervention spécialisées dans la lutte contre le terrorisme (RAID, GIGN, BRI), pour lesquels seules les données relatives au service ou à l’unité et aux coordonnées téléphoniques seront consultables via l’interface. Dans ces conditions, l’accès à tout ou partie des données par les destinataires précités apparaît justifié à la Commission. En dehors de ces destinataires, le projet d’arrêté prévoit, à des fins d’identification d’agents relevant de la DGPN et de la préfecture de police, l’utilisation de l’interface IDPV par des agents relevant de l’Inspection générale de la police nationale (IGPN). De même, il est prévu que les agents relevant de l’inspection générale de la gendarmerie nationale (IGGN) puissent accéder au traitement pour l’identification des agents relevant de la gendarmerie nationale. Dans la mesure où la seule mention d’un numéro d’immatriculation dans un acte de procédure pourrait faire obstacle au bon exercice par ces corps d’inspection de leurs missions respectives, la Commission juge justifiées les consultations ainsi envisagées. Sur l’information et les droits des personnes concernées : Le projet d’arrêté dispose que le droit à l’information prévu à l’article 32 de la loi du 6 janvier 1978 modifiée s’applique au traitement IDPV. La Commission prend acte que l'information des agents ayant recours au numéro d'immatriculation administrative et étant donc susceptibles d'être identifiés par le traitement IDPV sera réalisée par le biais des mentions figurant dans le formulaire à compléter pour obtenir l’autorisation de ne pas être identifié par leurs nom et prénom dans un acte de procédure. Le projet d’arrêté prévoit en outre que le droit d’accès prévu à l’article 39 de la même loi s’exerce auprès de la DGPN et de la DGGN. La Commission prend acte que les intéressés pourront, dans le cadre de l’exercice de ce droit, demander s’ils ont fait l’objet d’une demande d’identification par l’interface IDPV. Le projet d’arrêté précise toutefois que " le droit de rectification prévu à l’article 40 de la même loi ne s’applique pas ". Si la Commission prend acte que l’intention du ministère est de souligner que les données consultées par le biais du traitement IDPV seront uniquement enregistrées dans les traitements Aghora, RIO et IDdouane précités, elle souligne qu’a été prévu l’exercice d’un droit d’accès aux données du traitement IDPV dans les conditions définies à l’article 39 de la loi du 6 janvier 1978 modifiée, compte tenu de l’enregistrement des traces de consultation, qui comportent notamment des données d’identification relatives aux utilisateurs de l’interface. Dans ces conditions, elle estime que doit être supprimée du projet d’arrêté la disposition précisant que le droit de rectification ne s’applique pas au traitement. Elle prend acte que le ministère s’engage à procéder à cette suppression. Le projet d’arrêté prévoit également que le droit d’opposition prévu à l’article 38 de la même loi ne s’applique pas au traitement, ce qui n’appelle pas d’observation de la part de la Commission. Sur les mesures de sécurité du traitement : La Commission prend acte que le traitement consiste en une interface web de consultation et qu’il est hébergé au sein d’une zone militaire sécurisée. Elle prend également acte que l’accès à l’interface de consultation est opéré par l’intermédiaire des portails informatiques du ministère de l’intérieur " CHEOPS NG " (police nationale) et " PROXYMA " (gendarmerie nationale), qui intègrent un dispositif de contrôle des habilitations individualisées. Les échanges sont sécurisés au moyen de SSL. Le traitement IDPV met en œuvre une traçabilité des opérations de consultation. Dans ces conditions, la Commission considère que les mesures prévues par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Pour la Présidente Le vice-président délégué Marie-France MAZARS


Délibération n° 2018-098 du 22 mars 2018 portant avis sur un projet de décret modifiant le décret n° 2012-895 du 19 juillet 2012 portant autorisation d’un traitement automatisé de données à caractère personnel dénommé " Agorha " relatif à la gestion des ressources humaines de la gendarmerie nationale
(demande d’avis n° 1555002V3)

La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret modifiant le décret n° 2012-895 du 19 juillet 2012 portant autorisation d’un traitement automatisé de données à caractère personnel dénommé " Agorha " relatif à la gestion des ressources humaines de la gendarmerie nationale ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de procédure pénale, notamment son article 15-4 ; Vu le code de la sécurité intérieure, notamment ses articles L. 229-2 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 27 et 30-II ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2012-895 du 19 juillet 2012 modifié portant autorisation d’un traitement de données à caractère personnel dénommé " Agorha " relatif à la gestion des ressources humaines de la gendarmerie nationale ; Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Emet l’avis suivant : La Commission a été saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret modifiant le décret n° 2012-895 du 19 juillet 2012 portant autorisation d’un traitement automatisé de données à caractère personnel dénommé " Agorha " relatif à la gestion des ressources humaines de la gendarmerie nationale. Ce projet a pour objet de permettre une mise en relation du traitement Agorha avec le traitement dénommé " interface de levée de l’anonymat des agents de la police et de la gendarmerie nationales et des douanes dans les actes de procédure " (IDPV), qui doit être mis en œuvre par la Direction générale de la police nationale (DGPN) et par la Direction générale de la gendarmerie nationale (DGGN) du ministère de l’intérieur et dont le projet d’acte de création a été soumis à la Commission. Il s’explique par l’adoption récente de plusieurs dispositions législatives permettant notamment aux agents de la gendarmerie nationale de ne pas s’identifier dans des actes de procédure par leur nom et prénom et d’y substituer un numéro d’immatriculation administrative, complété par la qualité et le service d’affectation de l’agent. Cette faculté, dont la mise en œuvre est conditionnée par l’autorisation du responsable hiérarchique, vise à protéger les agents concernés de risques de représailles par des délinquants ou des criminels faisant l’objet de procédures. Initialement réservée aux seuls officiers et agents de police judiciaire affectés dans les services spécialement chargés de la lutte contre le terrorisme, la possibilité de ne pas être identifié par ses nom et prénom a été étendue par l’article 15-4 du code de procédure pénale, issu de la loi n° 2017-258 du 28 février 2017 relative à la sécurité publique, aux agents de la gendarmerie nationale intervenant dans le cadre des procédures relatives à un crime ou un délit puni d’au moins 3 ans d’emprisonnement ou dans le cadre des procédures relatives à un crime ou un délit puni de moins de 3 ans lorsqu’en raison de circonstances particulières dans la commission des faits ou de la personnalité des personnes mises en cause, la révélation de l’identité de l’agent est susceptible de mettre en danger sa vie ou son intégrité physique ou celle de ses proches. L’article L. 229-2 du CSI, créé par la loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme, a ensuite étendu cette possibilité, en matière de police administrative, aux procès-verbaux relatant les opérations de visite et saisie effectuées aux seules fins de prévenir la commission d’actes de terrorisme. Dès lors qu’un certain nombre d’actes de procédure ne comporteront plus les nom et prénom des agents ayant participé à leur accomplissement, l’autorité judiciaire ainsi que les agents de la police nationale, de la gendarmerie nationale ou des douanes devant connaître de ces procédures doivent pouvoir accéder aux nom et prénom des agents identifiés par un numéro d’immatriculation. La DGPN et la DGGN souhaitent donc mettre en œuvre une interface unique, IDPV, permettant d’accéder, à partir du numéro d’immatriculation administrative complété, le cas échéant, par le numéro de la procédure, aux données à caractère personnel nécessaires à l’identification de l’agent et de son service d’affectation. Ces données étant enregistrées, s’agissant des agents relevant de la gendarmerie nationale, dans le traitement Agorha, il est prévu que l’interface IDPV interroge ce traitement. L’objet du projet de décret soumis à la Commission est de procéder aux modifications du décret du 19 juillet 2012 susvisé nécessaires pour autoriser et encadrer cette consultation. Le projet prévoit ainsi de compléter les dispositions de l’article 3 du décret du 19 juillet 2012 précité, en précisant que peuvent être destinataires de données issues du traitement : des magistrats du ministère public, des juridictions d’instruction, des juridictions répressives de jugement et des juridictions d’application des peines ainsi que les greffiers qui les assistent ; des agents et officiers de police judiciaire et fiscaux de la Direction générale de la police nationale, de la Direction générale de la gendarmerie nationale, de la préfecture de police ; des agents spécialisés, techniciens et ingénieurs de police technique et scientifique de la police nationale ; les agents de la gendarmerie nationale agissant en qualité de personne qualifiée ou d’expert ; les agents du service national de douane judiciaire, habilités sur le fondement de l’article 28-1 du CPP ; des agents de la direction générale de la sécurité intérieure ; les agents relevant de l’Inspection générale de la gendarmerie nationale (IGGN). Le projet de décret précise que la consultation de données par ces destinataires ne peut intervenir qu’en cas de nécessité d’identification des personnels de la Gendarmerie nationale apparaissant dans un acte de procédure sous un numéro d’immatriculation administrative en application des articles 15-4 du CPP ou L. 229-2 du CSI et selon les modalités prévues par l’acte créant l’interface IDPV. Il ressort en outre du dossier qu’en dehors de l’hypothèse particulière de l’utilisation du dispositif par l’IGGN pour l’accomplissement de ses missions de contrôle, l’accès à des données issues du traitement Agorha par le biais de l’interface IDPV n’interviendra que dans les hypothèses suivantes : lorsqu’une partie à la procédure considère que la connaissance des nom et prénom d’une personne ayant été autorisée à s’identifier par un numéro d’immatriculation est nécessaire à l’exercice des droits de la défense, notamment en raison de la contestation des faits énoncés dans les procès-verbaux et rapports ou des conditions de leur recueil et que le juge d’instruction ou le président de la juridiction de jugement ordonne la révélation de ces informations ; en cas de demande d’annulation d’un acte de procédure fondée sur la violation des formes prescrites par la loi dont l’appréciation nécessite la révélation de l’identité des personnes qui sera communiquée au juge d’instruction, au président de la chambre de l’instruction ou au président de la juridiction, qui statueront sans verser ces éléments dans le cadre du débat contradictoire ni indiquer l’identité des personnes dans leur décision ; en cas de poursuite d’une enquête par un autre service ou en cas d’enquête en co-saisine, les agents de la police, de la gendarmerie nationale et de la douane désignés par un numéro d’immatriculation devant pouvoir être identifiables par les autres agents amenés à connaître de la procédure judiciaire ou administrative ; pour permettre au juge qui a autorisé une saisie sur le fondement de l’article L. 229-2 du CSI et aux juridictions saisies à cet effet de connaître l’identité des agents qui ont procédé à la visite et à la saisie. La Commission prend également acte que seules pourront être consultées, dans ce cadre, les données concernant : le grade, le nom, le prénom et la qualité judiciaire de l’agent ; le service ou l’unité dans lequel il est affecté ; l’adresse électronique professionnelle et le numéro de téléphone du service ou de l’unité. La Commission considère que la consultation de ces informations par les destinataires mentionnés par le projet de décret, dont la nécessité découle de l’application de dispositions législatives, est justifiée et n’est pas incompatible avec les finalités du traitement Agorha. Le projet de décret soumis à la Commission prévoit également d’autoriser, de manière dérogatoire, la conservation des données à caractère personnel permettant l’identification des agents de la gendarmerie nationale pendant les 20 ans qui suivent la rupture de tout lien avec l’administration de la gendarmerie nationale. La Commission prend acte qu’une telle conservation est nécessaire pour permettre l’identification des agents qui auraient quitté l’administration mais dont le numéro d’immatriculation figurerait sur des actes relatifs à des procédures toujours en cours. En outre, la durée de conservation prévue n’apparaît pas excessive compte tenu de la longueur des procédures concernées et des durées de prescription applicables, en particulier en matière criminelle, ainsi que de l’encadrement strict des possibilités d’utilisation des données pendant cette durée. Elle rappelle par ailleurs que les durées ainsi définies en matière de conservation des données s'appliquent sans préjudice des dispositions du code du patrimoine relatives à l'archivage public et du versement en base d'archives des tables de correspondances permettant l'identification des agents de la gendarmerie nationale. Enfin, le projet de décret prévoit un allongement de la durée de conservation des traces de consultation du traitement, qui doit passer de 5 ans à 6 ans. Une telle évolution, compte tenu des enjeux particuliers soulevés par la protection des données relatives aux agents de la gendarmerie nationale, n’appelle pas d’observation de la part de la Commission. Pour la Présidente Le vice-président délégué Marie-France MAZARS


Délibération n° 2016-329 du 10 novembre 2016 habilitant des agents de la CNIL à procéder à des missions de vérification

Extrait du Journal officiel électronique authentifié PDF - 216,7 Ko Le bureau de la Commission nationale de l'informatique et des libertés, Vu le code de la sécurité intérieure, notamment son article L. 253-3 ; Vu la loi n° 78-17 modifiée du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ; Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Après avoir entendu Mme Marie-France MAZARS, vice-présidente déléguée, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Décide : Article 1 Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 et à l'article L. 253-3 du code de la sécurité intérieure : Mme Maryline ABIVEN, chef du service du droit d'accès indirect à la direction de la protection des droits et des sanctions ; Mme Fabienne AMIARD, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Maxime AUVY, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Leslie BASSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Franck BAUDOT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Margalith BENECH-KOPELIANSKIS, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Anna BENISTI, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; Mme Alma BENZAÏD, juriste au service de la santé à la direction de la conformité ; Mme Tiphaine BESSIERE, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Thomas BIZET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Stéphanie BOISSEAU, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; Mme Soumia BOUASSAM, juriste au service de la santé à la direction de la conformité ; M. Erik BOUCHER-DE-CREVECOEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Sophie BORY, juriste au service des affaires européennes et internationales ; Mme Céline BOYER, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ; Mme Véronique BREMOND, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; M. Thierry CARDONA, ingénieur au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Delphine CARNEL, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ; Mme Anne-Sophie CASAL, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; Mme Stephany CHEMMACHERY, juriste au service des questions sociales et ressources humaines à la direction de la conformité ; M. Jérôme COUZIGOU, juriste responsable du pôle Transferts/BCR à la direction de la conformité ; M. Guillaume DELAFOSSE, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; M. Geoffrey DELCROIX, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ; M. Eric DELISLE, juriste au service des correspondants informatique et libertés à la direction de la conformité ; M. Xavier DELPORTE, adjoint au chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ; M. Olivier DESBIEY, chargé des études prospectives au pôle innovation, études et prospective à la direction des technologies et de l'innovation ; M. Jérôme DE MERCEY, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Alexandra DORE, juriste au service de la santé à la direction de la conformité ; M. Julien DROCHON, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Nicolas de DROUIN DE BOUVILLE, juriste au service des affaires européennes et internationales ; M. Thomas DUONG, juriste au service de la santé à la direction de la conformité ; M. Hugo DUSSERT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Wafae EL BOUJEMAOUI, chef du service des questions sociales et ressources humaines à la direction de la conformité ; M. Lionel ERRANDONEA, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Marie FERTE, juriste au service du secteur régalien et des collectivités locales à la direction de la conformité ; Mme Anne FONTANILLE, juriste au service des correspondants Informatique et Libertés à la direction de la conformité ; Mme Florence FOURETS, directrice de la protection des droits et des sanctions ; M. Emile GABRIE, chef du service du secteur régalien et des collectivités locales à la direction de la conformité ; Mme Mahalia GALIÉ-BLANZÉ, juriste au secteur régalien et des collectivités locales à la direction de la conformité ; M. Gaston GAUTRENEAU, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Edouard GEFFRAY, secrétaire général ; M. Rodolphe GENISSEL, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions Mme Sophie GENVRESSE, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Mathieu GINESTET, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; M. Jérôme GORIN, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Matthieu GRALL, chef du service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Michel GUEDRÉ, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Hélène GUIMIOT-BREAUD, juriste au service de la santé à la direction de la conformité ; Mme Fatima HAMDI, chef du service des relations avec les publics à la direction des relations avec les publics et la recherche ; Mme Aurélie HARVENT-LAFFONT, juriste au service des correspondants Informatique et Libertés à la direction à de la conformité ; M. Paul HEBERT, directeur adjoint de la conformité ; Mme Amandine JAMBERT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Véronique JENNEQUIN, assistante au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Pauline KIENLEN, juriste au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Karin KIEFER, chef du service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Chloé KURFÜRST, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; M. Florian LABAUDINIERE, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Alice de LA MURE, juriste au service des correspondants informatique et libertés à la direction à de la conformité ; M. Bernard LAUNOIS, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; M. Gwendal LE GRAND, directeur des technologies et de l'innovation ; Mme Maud LETAY, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; Mme Noémie LICHON, adjoint au chef du service des plaintes à la direction de la protection des droits et des sanctions ; M. Laurent LIM, juriste au service des affaires européennes et internationales ; Mme Astrid MARIAUX, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; Mme Joanna MASSON, juriste au service du secteur économique à la direction de la conformité ; M. Richard MONTBEYRE, chef du service des contrôles à la direction de la protection des droits et des sanctions ; M. Mathias MOULIN, directeur adjoint de la protection des droits et des sanctions ; Mme Sophie NERBONNE, directrice de la conformité ; Mme Ingrid NKOUENJIN, juriste au service des correspondants informatique et libertés à la direction de la conformité ; Mme Rabia OUADDAH, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; Mme Daniéla PARROT, chef du service des plaintes à la direction de la protection des droits et des sanctions ; M. Frédéric PATTE-BRASSEUR, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ; Mme Astrid PEYRARD, adjoint au chef du service des contrôles à la direction de la protection des droits et des sanctions ; Mme Délia RAHAL-LOFSKOG, chef du service de la santé à la direction de la conformité ; Mme Florence RAYNAL, chef du service des affaires européennes et internationales ; Mme Albane RICHET, juriste au service des plaintes à la direction de la protection des droits et des sanctions ; M. David RUIZ, juriste au service des questions sociales et ressources humaines à la direction de la conformité ; Mme Isabelle SANSOT, juriste au service du secteur économique à la direction de la conformité ; Mme Katty SAINT-GELAIS, juriste au service du secteur économique à la direction de la conformité ; Mme Clémence SCOTTEZ, chef du service du secteur économique à la direction de la conformité ; Mme Emilie SERUGA-CAU, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ; M. Vincent TOUBIANA, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Félicien VALLET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; M. Benjamin VIALLE, responsable de la sécurité des systèmes d'information au secrétariat général ; Mme Albine VINCENT, chef du service des correspondants Informatique et Libertés à la direction de la conformité ; M. Christophe VIVENT, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ; Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche. Liens relatifs Article 2 La délibération n° 2016-027 du 11 février 2016 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée. Liens relatifs Article 3 Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans. Article 4 La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française. Fait le 10 novembre 2016. La présidente, I. Falque-Pierrotin