Délibération n° 2021-39 du 17 février 2021 de la Commission de Contrôle des Informations Nominatives portant avis favorable à la mise en œuvre du traitement automatisé d'informations nominatives ayant pour finalité « Demander une aide à l'achat d'un véhicule écologique par voie dématérialisée » de la Direction de l'Environnement présenté par le Ministre d'État.
Vu la Constitution ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et son Protocole additionnel ;
Vu la loi n° 1.165 du 23 décembre 1993 relative à la protection des informations nominatives, modifiée ;
Vu l'Ordonnance Souveraine n° 1.464 du 7 janvier 2008 portant création d'une Direction de l'Environnement ;
Vu l'Ordonnance Souveraine n° 2.230 du 19 juin 2009 fixant les modalités d'application de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
Vu l'Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l'Administration et l'administré ;
Vu l'arrêté ministériel n° 2018-1182 du 18 décembre 2018 relatif à l'aide à l'achat de véhicules écologiques ;
Vu la délibération n° 2011-82 du 21 octobre 2011 portant recommandation sur les principes européens applicables aux traitements automatisés ou non automatisés d'informations nominatives ;
Vu la demande d'avis déposée par le Ministre d'État le 17 novembre 2020 concernant la mise en œuvre d'un traitement automatisé d'informations nominatives ayant pour finalité « Demander une aide à l'achat d'un véhicule écologique par voie dématérialisée » ;
Vu la prorogation du délai d'examen de la présente demande d'avis notifiée au responsable de traitement le 15 janvier 2021, conformément à l'article 19 de l'Ordonnance Souveraine n° 2.230 du 19 juin 2009, susvisée ;
Vu le rapport de la Commission de Contrôle des Informations Nominatives en date du 17 février 2021 portant examen du traitement automatisé, susvisé ;
La Commission de Contrôle des Informations Nominatives,
Préambule
La Direction de l'Environnement (la « DE ») est chargée, au sein du Département de l'Équipement, de l'Environnement et de l'Urbanisme, d'aider à définir et mettre en œuvre la politique du Gouvernement en matière environnementale et de développement durable et de coordonner les actions s'inscrivant dans cette démarche.
Afin de faciliter les démarches des usagers (particuliers et entreprises) qui sollicitent l'obtention d'une aide à l'achat d'un véhicule écologique, l'État souhaite mettre en œuvre un téléservice.
Le traitement automatisé d'informations nominatives, objet de la présente, est soumis à l'avis de la Commission, conformément à l'article 7 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
I. Sur la finalité et les fonctionnalités du traitement
Le présent traitement a pour finalité « Demander une aide à l'achat d'un véhicule écologique par voie dématérialisée ».
Il concerne les agents traitants et les usagers (particuliers et entreprises) désirant bénéficier d'une aide à l'achat d'un véhicule écologique, lesquels pourront effectuer cette démarche après la création d'un compte personnel sécurisé.
La démarche en ligne mise en place par la DE présente les fonctionnalités suivantes :
- Saisie des informations sur le déclarant ;
- Saisie des informations sur le propriétaire du véhicule et le bénéficiaire de la subvention ;
- Saisie des informations bancaires du bénéficiaire de la subvention ;
- Saisie des informations sur le véhicule concerné ;
- Envoi des pièces justificatives ;
- Envoi de courriels de suivi des demandes aux usagers ;
- Saisie d'informations complémentaires d'une demande incomplète ;
- Annulation d'une demande par l'usager ;
- Envoi d'un courriel de confirmation de désinscription à la démarche en ligne ;
- Export d'un fichier Excel qui comprend toutes les demandes et leurs informations anonymisées par les agents ayant les droits nécessaires pour effectuer cette action.
Le responsable de traitement précise par ailleurs que l'objectif de ce téléservice est de permettre aux particuliers « d'effectuer leurs demandes en ligne sans se déplacer ; d'être notifiés et de suivre l'avancement de leurs demandes ; de télécharger les justificatifs et décisions émises par l'administration » et de permettre à l'administration « d'obtenir des statistiques sur les demandes effectuées ; simplifier le travail des agents traitants en automatisant certaines actions ; faciliter le suivi des dossiers par les agents traitants grâce aux outils de recherche et aux historiques des demandes ».
Enfin, il indique qu'un lien vers un questionnaire de satisfaction anonyme est mis à la disposition des usagers, dont les résultats sont traités anonymement par la Direction de l'Administration Numérique, devenue entre-temps la Direction des Services Numériques, afin de lui permettre de remplir sa mission.
La Commission constate que la finalité du traitement est déterminée et explicite, conformément aux dispositions de l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
II. Sur la licéité et la justification du traitement
Le responsable de traitement indique que le présent traitement est justifié par le consentement des personnes concernées, par le respect d'une obligation légale à laquelle il est soumis et par la réalisation d'un intérêt légitime, sans que ne soient méconnus les droits et libertés fondamentaux des personnes concernées.
Il précise, à cet égard, que le consentement de la personne concernée est formalisé par :
- un acte positif clair matérialisé par le biais d'une case à cocher indiquant : « J'accepte que mes données personnelles soient traitées dans le cadre du téléservice « Demander une aide à l'achat d'un véhicule écologique » » ;
- l'acceptation préalable des conditions générales d'utilisation, l'accord des personnes concernées étant, en outre, indispensable pour la création du compte sécurisé et pour l'accès à la démarche en ligne.
Par ailleurs, ce téléservice est justifié par le respect d'une obligation légale à laquelle le responsable de traitement est soumis au titre de l'Ordonnance Souveraine n° 1.464 du 7 janvier 2008 portant création d'une Direction de l'Environnement et de l'arrêté ministériel n° 2018-1182 du 18 décembre 2018 relatif à l'aide à l'achat de véhicules écologiques.
En outre, l'intérêt légitime se justifie par la volonté de l'Administration de « simplifier les démarches administratives des administrés en leur permettant de déposer leur déclaration sans se déplacer et sans autre démarche. Elle s'inscrit dans le cadre de l'Ordonnance Souveraine n° 3.413 du 29 août 2011 portant diverses mesures relatives à la relation entre l'Administration et l'administré ».
La Commission rappelle à cet égard que conformément aux dispositions de l'article 42 de l'Ordonnance Souveraine susvisée « (…) la création d'un téléservice ne saurait toutefois avoir pour effet de supprimer la possibilité pour l'usager d'accomplir les démarches, formalités ou paiements qui en sont l'objet par des voies autres qu'électroniques ».
Enfin, le responsable de traitement indique que le sondage effectué par la Direction de l'Administration Numérique (devenue la DSN) l'est dans le cadre de sa mission.
La Commission considère que le traitement est licite et justifié, conformément aux dispositions des articles 10-1 et 10-2 de la loi n° 1.165 du 23 décembre 1933, modifiée, susvisée.
III. Sur les informations traitées
Les informations nominatives traitées sont :
- Identité/situation de famille : titre, nom d'usage, prénom, nom de jeune fille, raison sociale ;
- Adresses et coordonnées : adresse, téléphone ;
- Caractéristiques financières : prix du véhicule, factures, identification bancaire du bénéficiaire de l'aide (RIB) ;
- Données d'identification électronique : identifiant technique de l'usager ;
- Informations temporelles : données d'horodatage ;
- Données de connexion : logs de connexion et données de messagerie de l'usager ;
- Autre : informations sur le certificat d'immatriculation, informations techniques sur le véhicule (émission de CO2 en g/km, puissance KW, nombre de km, type de véhicule et genre de véhicule).
Les informations ont pour origine la personne concernée, à l'exception des données d'identification électronique, des informations temporelles et des données de connexion qui proviennent du système et du module web de la démarche en ligne.
S'agissant des personnes concernées, la Commission constate que celles-ci sont désignées sous différents vocables qui renvoient à des qualités propres. Ainsi, il peut s'agir du déclarant, du bénéficiaire de l'aide ou du propriétaire du véhicule, le responsable de traitement indiquant à cet effet, que le déclarant et le bénéficiaire de l'aide peuvent ne pas désigner la même personne.
La Commission considère que les informations ainsi collectées sont « adéquates, pertinentes et non excessives » au regard de la finalité du traitement, conformément à l'article 10-1 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
IV. Sur les droits des personnes concernées
- Sur l'information préalable des personnes concernées
L'information préalable des personnes concernées est réalisée par le biais d'une mention particulière intégrée dans un document d'ordre général accessible en ligne, à savoir les conditions générales d'utilisation du téléservice.
À la lecture des mentions contenues dans ce document, la Commission constate que les droits offerts aux personnes concernées sont larges et reprennent les droits du Règlement Général sur la Protection des Données, dont certains n'ont pas vocation à s'appliquer en l'espèce, tels que le droit à la portabilité. À cet égard elle s'interroge sur le point de savoir si le responsable de traitement a les moyens effectifs de faire bénéficier les personnes concernées de ce droit encore inexistant en droit interne.
La Commission considère que les modalités d'information préalable sont conformes aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
- Sur l'exercice du droit d'accès
Le droit d'accès est exercé sur place, par courrier postal adressé à la Direction de l'Environnement, par accès en ligne au dossier (en cliquant sur un lien hypertexte intégré dans les conditions générales d'utilisation du téléservice) ou par courrier électronique.
S'agissant de l'exercice du droit d'accès par voie de courrier électronique, la Commission considère qu'une procédure devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
À ce titre, elle précise que si une copie d'un document d'identité était demandée, la transmission et le traitement de ce document devront faire l'objet de mesures de protection particulières, comme rappelé dans sa délibération n° 2015-113 du 18 novembre 2015 portant recommandation sur la collecte et la conservation de la copie de documents d'identité officiels.
Sous cette réserve, elle constate que les modalités d'exercice des droits des personnes concernées sont conformes aux dispositions des articles 13, 15 et 16 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée.
V. Sur les destinataires et les personnes ayant accès au traitement
Les accès sont définis comme suit :
- Personnels de la Direction de l'Environnement : en lecture, en validation, en traitement et en paramétrage ;
- Personnels de la Direction des Systèmes d'Information (DSI) ou tiers intervenant pour son compte : dans le cadre des missions de maintenance, développement des applicatifs nécessaires au fonctionnement du site et de sécurité du site et du système d'information de l'État : en lecture, en validation, en traitement, en configuration et en paramétrage ;
- Personnels de la Direction des Services Numériques (DSN) ou tiers intervenant pour son compte ayant un rôle d'assistance à maîtrise d'ouvrage sur la procédure : en lecture, en validation, en traitement, en configuration et en paramétrage.
Le responsable de traitement précise que la liste des agents ayant accès au téléservice est définie et validée par le service.
Enfin, le Contrôleur Général des Dépenses de l'Administration a communication de certaines des données collectées pour la validation du paiement de l'aide octroyée à l'achat d'un véhicule écologique. Le responsable de traitement précise, à cet effet, « que la demande soit réalisée par voie papier ou par le biais d'un téléservice, un dossier papier est imprimé par la Direction de l'Environnement et est envoyé au CGD pour valider l'octroi de ladite aide ».
La Commission relève que de plus en plus de traitements métiers ou de téléservices font l'objet d'interventions de Directions Supports qui administrent ou créent les solutions. Ces Directions supports sont décrites comme disposant d'accès aux traitements concernés. Elle rappelle que ces dernières n'ont pas à avoir accès en continu à l'information métier, dont la sensibilité peut varier en fonction des services concernés.
Elle rappelle donc que les accès doivent être restreints au strict besoin d'en connaitre et que les interventions de support doivent être effectuées selon des modalités définies conformes aux règles de l'art.
En ce qui concerne les tiers intervenant pour le compte de la DSI et de la DSN, la Commission rappelle que, conformément aux dispositions de l'article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les droits d'accès doivent être limités à ce qui est strictement nécessaire à l'exécution de leur contrat de prestation de service. De plus, lesdits prestataires sont soumis aux mêmes obligations de sécurité et de confidentialité que celles imposées au responsable de traitement, en application de ce même article.
La Commission relève par ailleurs que les personnes concernées disposent également d'un accès à leur propre compte.
Elle considère que ces accès sont justifiés.
VI. Sur les interconnexions
Le présent traitement fait l'objet d'interconnexions avec les traitements suivants :
- « Gestion du compte permettant aux usagers d'entreprendre des démarches par téléservices », légalement mis en œuvre ;
- « Gérer les habilitations des agents et fonctionnaires de l'État aux téléservices contenus dans le « Guichet Virtuel » », légalement mis en œuvre.
Le responsable de traitement indique également que le traitement est interconnecté avec les traitements de messagerie professionnelle légalement mis en œuvre par l'État.
La Commission considère que ces interconnexions sont conformes aux exigences légales.
VII. Sur la sécurité du traitement et des informations
Les mesures prises pour assurer la sécurité et la confidentialité du traitement et des informations qu'il contient n'appellent pas d'observation particulière.
Cependant, les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switchs, routeurs, pare-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
La Commission rappelle néanmoins que, conformément à l'article 17 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée, les mesures techniques et organisationnelles mises en place afin d'assurer la sécurité et la confidentialité du traitement, au regard des risques présentés par ce traitement et de la nature des données à protéger, devront être maintenues et mises à jour en tenant compte de l'état de l'art, afin de permettre de conserver le haut niveau de fiabilité attendu tout au long de la période d'exploitation du présent traitement.
VIII. Sur la durée de conservation
Les informations nominatives sont conservées 5 ans à compter du dépôt de la demande, cette durée étant justifiée par « la nécessité pour la Direction de l'Environnement de conserver lesdites données dans le cadre de la gestion des demandes de réclamation concernant les refus d'aide à un déclarant, la gestion administrative des dossiers traités ou pour le suivi des remboursements de l'aide de l'État octroyée en cas de revente du véhicule (…) et à l'article 2044 du Code civil (…) ».
Par ailleurs, les données d'identification électronique et les données de connexion sont effacées au bout d'un an et les informations temporelles au bout de 3 mois.
La Commission relève que ces délais sont conformes aux exigences légales.
Après en avoir délibéré,
Rappelle que :
- les personnes concernées doivent être informées de manière conforme aux dispositions de l'article 14 de la loi n° 1.165 du 23 décembre 1993, modifiée, susvisée ;
- le responsable de traitement, s'il confère de nouveaux droits en faveur des personnes concernées, doit être en mesure de les assurer, et doit vérifier l'adéquation de ceux-ci avec le présent traitement, notamment en ce qui concerne le droit à la portabilité ;
- les accès doivent être restreints au strict besoin d'en connaitre et que les interventions de supports doivent être effectuées selon des modalités définies conformes aux règles de l'art ;
- les ports non utilisés doivent être désactivés et les serveurs, périphériques, équipements de raccordements (switch, routeurs, pares-feux) ainsi que chaque compte utilisateur et administrateur doivent être protégés individuellement par un identifiant et par un mot de passe réputé fort, régulièrement renouvelé.
Considère qu'une procédure relative au droit d'accès par voie électronique devra être mise en place afin que le responsable de traitement puisse s'assurer que l'expéditeur du courriel est effectivement la personne concernée par les informations.
Sous le bénéfice de la prise en compte de ce qui précède,
la Commission de Contrôle des Informations Nominatives émet un avis favorable à la mise en œuvre, par le Ministre d'État, du traitement automatisé d'informations nominatives ayant pour finalité « Demander une aide à l'achat d'un véhicule écologique par voie dématérialisée ».
Le Président de la Commission de Contrôle des Informations Nominatives.