Sur la finalité poursuivie :
Le traitement IPWEB permet aux études d'huissier sous la responsabilité de la Chambre nationale des huissiers de justice de saisir les juridictions de proximité et les juridictions d'instance d'une requête en injonction de payer de manière dématérialisée conformément aux dispositions de l'article 748-1 du code de procédure civile. Il permet également aux juridictions concernées de gérer les dossiers de requêtes en injonction de payer conformément aux dispositions de l'article 729-1 du code de procédure civile et de produire des statistiques.
La commission considère que la finalité poursuivie par ce traitement est déterminée, explicite et légitime.
Sur les données collectées :
La commission observe que la collecte des données d'identité relatives aux créanciers et débiteurs collectées est conforme aux dispositions de l'article 58 du code de procédure civile. Elle note que des pièces justificatives peuvent être jointes à la requête en injonction de payer. Elle rappelle toutefois qu'aucune requête ne pourra être lancée à partir d'une donnée sensible contenue dans une pièce justificative.
La commission prend acte qu'aucune donnée sensible ou donnée comportant des appréciations sur les difficultés sociales n'est renseignée dans le traitement.
Elle appelle l'attention de la Chambre nationale des huissiers de justice sur le fait que seules les études ayant introduit la requête initiale en injonction de payer pourront être destinataires du flux retour d'informations transmis par la juridiction et que les données concernant la situation économique et financière d'un débiteur ne doivent être collectées que pour les stricts besoins des procédures d'exécution que les études d'huissier sont amenées à conduire.
La commission prend acte que les données transmises à des fins statistiques sont anonymisées et qu'elles ne contiennent donc aucune donnée nominative concernant les débiteurs, mandataires ou créanciers.
Sur les destinataires :
La liste des destinataires n'appelle pas d'observation dès lors que les études d'huissier n'ont communication que des données relatives aux procédures dont ils ont la charge et que les services de statistiques du ministère n'ont communication que de données préalablement anonymisées.
Sur les durées de conservation :
Il est prévu une durée de conservation de trente ans pour les données collectées. La commission relève que le ministère précise que cette durée de conservation se décompose en deux étapes successives : trois ans dans la base des affaires vivantes et vingt-sept ans dans un système d'archives intermédiaires. Elle prend acte que la durée de conservation de trois ans a pour point de départ la décision de rejet, la délivrance de la formule exécutoire, la demande de restitution de pièces ou de l'opposition formée ou à défaut de signification ou de demande exécutoire, à compter de la caducité de la procédure.
Elle prend acte de l'engagement de la Chambre nationale des huissiers de justice de conserver les données personnelles au sein des études d'huissier pendant un délai de vingt-cinq ans, conformément aux dispositions de la loi n° 2008-561 du 17 juin 2008 portant réforme de la prescription en matière civile, et notamment de l'article 17 du décret n° 79-1037 du 3 décembre 1979, modifié par l'article 11 du décret n° 2009-1124 du 17 septembre 2009 relativement aux « originaux des actes détenus en minutes et répertoires ».
Elle souligne que cette durée de conservation se décompose en deux temps : en base active jusqu'à clôture du dossier, puis archivées conformément aux dispositions du décret précité.
La commission appelle l'attention de la chambre nationale sur le fait qu'une fois le dossier clos (soit au paiement de la dette) les études d'huissier ne pourront pas utiliser les informations obtenues dans le cadre de ce dossier deux fois pour le même débiteur au-delà de ce délai. En effet, passé ce délai, les informations collectées ne pourront pas être utilisées dans le cadre d'une nouvelle procédure contre le même débiteur.
La commission prend acte que les pièces justificatives accompagnant la requête initiale ne sont pas conservées, conformément aux dispositions des articles 1410 et 1424 du code de procédure civile, ces dernières sont détruites soit au moment de la décision de rejet, soit lors de la délivrance de la formule exécutoire.
Elle note également que l'Association droit électronique et communication ne conserve aucune donnée personnelle au sein de la plate-forme qu'elle met à disposition de la Chambre nationale des huissiers de justice.
Sur les droits des personnes :
La commission prend acte que l'information s'effectue par affichage au sein de l'étude d'huissier dans un lieu accessible au public. Chaque étude d'huissier insérera dans ses courriers le texte suivant : « Conformément à l'article 34 de la loi du 6 janvier 1978 "informatique et libertés”, toute personne justifiant de son identité a un droit d'accès et de rectification quant aux informations nominatives la concernant et, le cas échéant, le droit d'obtenir rectification. Adresser toute demande à l'étude. »
Elle prend acte concernant les juridictions que le droit d'accès et de rectification s'exerce auprès du directeur du greffe ou du chef de greffe de juridiction saisi de l'affaire et qu'une mention d'information spécifique est affichée au sein des juridictions concernées.
Elle note que le droit d'opposition ne s'applique pas au présent traitement.
Sur les sécurités :
La commission note que l'accès physique au site de la Caisse des dépôts et consignations est contrôlé par le recours à des badges, de la vidéosurveillance et un système biométrique à empreinte palmaire.
Elle relève que les utilisateurs sont authentifiés par un identifiant et un mot de passe ; toutefois, elle estime que la politique de gestion des mots de passe n'est pas satisfaisante dans la mesure où des mots de passe de seulement six caractères sont requis, que leur validité est illimitée et qu'aucun blocage du compte n'est prévu.
Elle prend acte de l'engagement du ministère et de la Chambre nationale des huissiers de justice de prévoir un mot de passe de huit caractères alphanumériques, renouvelé tous les trois mois avec un blocage du compte après trois tentatives infructueuses.
La commission relève que les connexions et déconnexions sont journalisées. Ces données de connexion sont conservées, à savoir la date, l'heure et l'utilisateur concerné, dix jours, et accessibles uniquement à l'administrateur technique du centre de production. Elle note que l'application IPWEB conserve la trace des événements fonctionnels (création, enrichissement, modification, transmissions) pendant la durée de gestion du dossier.
Elle prend acte que les sauvegardes sont réalisées quotidiennement.
La commission considère que les mesures de sécurité qui sont proposées sont de nature à garantir la sécurité des données personnelles et sont conformes à la loi « informatique et libertés ».
Dans ces conditions, la commission autorise le ministère de la justice et la Chambre nationale des huissiers de justice à mettre en œuvre le traitement de données à caractère personnel ainsi que les échanges de données présentés.