La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie, de l'industrie et du numérique d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel permettant la gestion des aides à l'équipement permettant la continuité de la réception des services de télévision en clair diffusés par voie hertzienne terrestre à l'occasion de l'arrêt de l'utilisation de la norme de codage vidéo MPEG-2 ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code des postes et des communications électroniques, notamment son article L. 43 ;
Vu le livre des procédures fiscales, notamment son article L. 166 B ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;
Vu la loi n° 86-1067 du 30 septembre 1986 modifiée relative à la liberté de communication, notamment son article 99 ;
Vu la loi n° 96-659 du 26 juillet 1996 modifiée de réglementation des télécommunications ;
Vu la loi n° 2015-1267 du 14 octobre 2015 relative au deuxième dividende numérique et à la poursuite de la modernisation de la télévision numérique terrestre ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie, le 21 octobre 2015, d'un projet d'arrêté portant création, par l'ANFR, d'un traitement automatisé de données à caractère personnel permettant la gestion des aides à l'équipement afin d'assurer la continuité de la réception des services de télévision à l'occasion de la modernisation de la norme de codage de la TNT.
Créé par la loi du 26 juillet 1996 susvisée, l'ANFR est un établissement public à caractère administratif placé sous la tutelle du ministère de l'économie, de l'industrie et du numérique et investi d'une mission de service public. L'ANFR est en particulier chargée de la gestion du spectre radioélectrique en France.
La loi n° 2015-1267 relative au deuxième dividende numérique et à la poursuite de la modernisation de la télévision numérique terrestre (TNT) doit permettre de moderniser la TNT afin d'offrir aux téléspectateurs de nouveaux formats d'image et de son. De nouvelles missions ont donc été confiées à l'Agence nationale des fréquences (ANFR), notamment en ce qui concerne l'accompagnement des téléspectateurs pour le passage à la TNT haute définition qui doit avoir lieu le 5 avril prochain.
Dans ce contexte, il est prévu de mettre en œuvre un téléservice afin de permettre la gestion d'aide à l'équipement telle que prévue par la loi du 14 octobre 2015 susvisée. Dès lors, en application de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée, ce traitement doit être autorisé par arrêté du ministre compétent, pris après avis motivé et publié de la commission.
Sur la finalité du traitement :
L'alinéa 1 de l'article 99 de la loi du 30 septembre 1986 modifiée susvisée prévoit l'octroi d'une aide à l'équipement aux foyers dégrevés de la contribution à l'audiovisuel public et ne recevant les services de télévision en clair que par la voie hertzienne, afin de contribuer à la continuité de la réception gratuite de ces services à l'occasion de l'arrêt de l'utilisation de la norme de codage vidéo ISO/IEC 13818-2 dite « MPEG-2 ».
Dans ce cadre, le téléservice projeté a pour finalité, aux termes de l'article 1er du projet d'arrêté, de « permettre la réception, le traitement, le suivi et le paiement des demandes d'aide à l'équipement ».
Cette aide à l'équipement, d'un montant maximum de 25 euros TTC et soumise à des conditions strictes d'éligibilité, prend la forme d'une offre de remboursement a posteriori. Elle doit permettre de couvrir tout ou partie des frais relatifs à l'acquisition d'un dispositif permettant la réception des services de télévision en clair diffusés par voie hertzienne terrestre ou à l'accès à l'offre d'un distributeur de services ou d'un opérateur de réseau satellitaire qui propose la réception desdits services (acquisition d'un adaptateur TNT, d'un téléviseur TNT intégré, souscription d'un abonnement par câble, etc.).
En pratique, le traitement projeté doit permettre aux usagers de demander à bénéficier de l'aide à l'équipement et leur permettre de suivre en temps réel l'évolution du statut de leur demande.
De manière générale, la commission rappelle qu'elle a toujours considéré que la simplification des démarches administratives et l'amélioration des relations entre les administrés et l'administration constituent des finalités légitimes, sous réserve que des mesures de sécurité appropriées soient prévues et que les droits des personnes soient respectés. Elle estime que le traitement projeté, de nature à simplifier les démarches relatives à l'octroi de l'aide à l'équipement réalisées auprès de l'ANFR, poursuit dès lors une finalité légitime.
Enfin, la commission relève qu'aux termes de l'article 99 de la loi du 30 septembre 1986 modifiée il est également prévu d'instituer une « aide à la réception », sans condition de ressources, afin d'assurer la continuité de la réception de la télévision des foyers affectés lors des réaménagements de fréquence (aide à la réorientation de l'antenne, au passage à un mode de réception alternatif, etc.). Elle prend acte que la mise en œuvre du téléservice afférent au traitement de cette démarche administrative fera prochainement l'objet de nouvelles formalités préalables.
Sur les données traitées :
L'article 2 du projet d'arrêté énumère les catégories de données à caractère personnel relatives à l'usager qui souhaite bénéficier de l'aide à l'équipement et qui peuvent être enregistrées dans le traitement projeté.
Il s'agit tout d'abord de données nécessaires à la gestion de l'identification du demandeur (civilité, nom, prénom, date et lieu de naissance, adresse postale et type d'habitat). En ce qui concerne le type d'habitat (individuel ou collectif), la commission prend acte que cette donnée doit permettre un contrôle approfondi des demandes d'aides à l'équipement en s'assurant en particulier de l'unicité d'une demande par foyer.
Ce même article prévoit également la collecte et l'enregistrement de l'identifiant fiscal du demandeur, des coordonnées GPS de l'adresse de son domicile ainsi que de ses coordonnées bancaires (RIB).
La commission considère que ces informations doivent permettre de vérifier l'éligibilité du demandeur à l'octroi de l'aide à l'équipement et le versement de cette dernière. En particulier, elle relève que les dispositions de l'article L. 166 B du livre des procédures fiscales (LPF) tel que modifié par la loi du 14 octobre 2015 susvisée, qui permettent à l'ANFR de « recevoir communication de l'administration fiscale des renseignements utiles à la gestion des aides instituées à l'article 99 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication », autorisent la collecte et le traitement de données fiscales.
La commission prend acte que, dans un premier temps, le téléservice de gestion de l'aide à l'équipement, mis en place à partir du 20 novembre prochain, reposera sur la saisie du seul identifiant fiscal des demandeurs à partir des pièces justificatives transmises. Elle relève qu'il est prévu dans un deuxième temps d'utiliser d'autres données fiscales, conformément à la possibilité offerte par le nouvel article L. 166 B du LPF précité, lesquelles seront directement transmises par la direction générale des finances publiques (DGFIP) via le réseau interministériel d'échange (RIE).
La commission rappelle que, dans la mesure où les données enregistrées dans le téléservice projeté seront modifiées, il conviendra de la saisir pour avis, conformément aux dispositions de l'article 30-II de la loi du 6 janvier 1978 modifiée. Il appartiendra également à la DGFiP de procéder à la modification des traitements à partir desquels ces nouvelles données fiscales seront transmises afin d'en rendre l'ANFR destinataire.
S'agissant des coordonnées GPS du domicile, la commission relève que cette donnée doit permettre de vérifier l'éligibilité géographique de la demande d'aide à l'équipement en vérifiant que la zone concernée est bien couverte par la TNT.
L'article 2 du projet d'arrêté prévoit enfin que, de manière facultative, l'adresse électronique et le numéro de téléphone portable du demandeur pourront être collectés. La commission prend acte que ces données visent à permettre à l'usager d'être informé et de suivre l'état d'avancement de sa demande d'aide financière.
Enfin, la commission prend acte que, parmi les données enregistrées dans le traitement, peuvent figurer les pièces justificatives transmises afin de justifier de l'éligibilité à la demande d'aide à l'équipement, à savoir l'avis d'imposition du demandeur ou l'avis de taxe d'habitation. Elle prend acte que, à sa demande, l'article 2 du projet d'arrêté sera modifié afin de faire figurer expressément ces données au titre de celles qui peuvent être enregistrées dans le téléservice de gestion des aides à l'équipement.
Sous ces réserves, la commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
L'article 3 du projet d'arrêté précise que « les données collectées sont conservées pour la durée nécessaire à la réalisation des finalités, c'est-à-dire jusqu'à la fin de la gestion des aides à l'équipement ».
A l'expiration de cette période, actuellement prévue au 31 décembre 2019, les données sont détruites de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Elle considère que cette durée de conservation est proportionnée au regard de la finalité poursuivie par le traitement.
Sur les destinataires des données :
L'article 4 du projet d'arrêté énonce les destinataires ou catégories de destinataires habilités à recevoir communication, dans la limite du besoin d'en connaître et à raison de leurs attributions respectives, des données énumérées à l'article 2 de ce même projet. Il s'agit :
- des agents de l'Agence nationale des fréquences ;
- des agents du Conseil supérieur de l'audiovisuel ;
- des personnels des sous-traitants.
La commission rappelle que les agents de l'ANFR ainsi que les personnels des sous-traitants auxquels a recours le responsable de traitement ne constituent pas des destinataires au sens de l'article 3-II de la loi du 6 janvier 1978 modifiée et n'ont donc pas à figurer au titre des personnes habilitées à recevoir communication des données à caractère personnel enregistrées dans le traitement projeté. Elle prend acte que, à sa demande, l'article 4 du projet d'arrêté sera modifié en conséquence.
S'agissant des agents du Conseil supérieur de l'audiovisuel (CSA), la commission relève que ces derniers seront uniquement destinataires des coordonnées GPS de l'adresse du domicile du demandeur, à des fins de vérification du critère de zone de couverture TNT, conformément aux compétences qui sont dévolues à cet organisme aux termes de la loi du 30 septembre 1986 susvisée.
Sur les droits des personnes :
La commission rappelle que la mise en place d'outils de simplification des démarches administratives par voie électronique ne doit pas être exclusive d'autres canaux d'échanges. A cet égard, elle prend acte de l'existence d'une procédure alternative au téléservice qui doit permettre l'accès à la même prestation de services, via le centre d'appel de l'ANFR, lequel est situé en France.
S'agissant de l'information des personnes concernées par le traitement projeté, elle est réalisée par le biais des mentions légales sur le formulaire d'aide à l'équipement et les conditions générales du site internet à partir duquel le téléservice sera accessible (www.recevoirlatnt.fr), conformément à l'article 32 de la loi du 6 janvier 1978 modifiée. Une campagne d'information nationale à destination du public sera par ailleurs organisée pour informer les téléspectateurs de l'évolution de la norme de codage de diffusion de la TNT.
La commission considère que ces modalités d'information sont satisfaisantes.
Les droits d'accès, de rectification et d'opposition pour motifs légitimes prévus par les articles 38 et suivants de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du directeur général de l'ANFR, 78, avenue du Général-de-Gaulle, 94700 Maisons-Alfort, ce qui n'appelle pas d'observation particulière.
Sur les mesures de sécurité :
La commission rappelle tout d'abord que le dispositif de l'ANFR étant un téléservice d'une autorité administrative au sens de l'ordonnance n° 2005-1516 du 8 décembre 2005 susvisée, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé. Elfe rappelle qu'il revient au responsable de traitement d'attester formellement de la sécurité de celui-ci au travers d'une homologation RGS.
La commission rappelle également qu'étant un établissement public sous tutelle du ministère de l'économie, de l'industrie et du numérique l'ANFR est soumise à la politique de sécurité des systèmes d'information de l'Etat (PSSIE). Aussi, elle recommande que les mesures nécessaires d'ajustement de la sécurité soient entreprises dès à présent afin de s'assurer de la mise en conformité à cette politique.
Concernant la sous-traitance informatique, l'ANFR fait appel à des prestataires pour assurer la gestion des dossiers de demande d'aide à l'équipement.
La commission rappelle que le responsable de traitement est tenu de prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par la nature du traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès. A cet égard, il convient notamment de s'assurer que l'hébergement externalisé des données fait l'objet de mesures contractuelles suffisantes pour assurer leur intégrité et leur confidentialité.
Au regard de la sensibilité et du volume des données qui seront traitées, notamment lorsqu'il s'agira d'utiliser d'autres données fiscales que le seul identifiant du contribuable, la commission estime qu'il est indispensable que des mesures de sécurité logique, physique et organisationnelle soient définies au regard des risques présentés par le traitement. Elle relève que, à sa demande, une étude d'impact sur la vie privée a été réalisée et lui a été transmise.
S'agissant de l'accès par l'ANFR aux données gérées par ses prestataires, la commission prend acte qu'il se fera par des canaux sécurisés par chiffrement et mot de passe. La commission rappelle sa recommandation en la matière, qui consiste à utiliser des identifiants uniques et des mots de passe régulièrement renouvelés et strictement personnels, de complexité minimale (au moins huit caractères parmi majuscules, minuscules, chiffres et caractères spéciaux) et qui ne soient pas stockés en clair. En outre, elle considère que la circulation des pièces justificatives devra faire l'objet de mesures organisationnelles visant à assurer leur sécurité.
La commission considère par ailleurs que la gestion des habilitations doit faire l'objet d'une procédure formalisée et communiquée à l'ensemble des acteurs. Les habilitations doivent être attribuées après validation hiérarchique, pour une durée déterminée et faire l'objet d'un réexamen périodique.
Une fonctionnalité de journalisation a été définie pour les opérations de création et de mise à jour. La commission recommande d'affiner cette journalisation et de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et lever des alertes. Elle recommande également que des mesures soient mises en œuvre pour assurer l'intégrité de ces traces.
Sous ces réserves, la commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue à l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.