Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
Le projet de décret, soumis pour examen de la Commission nationale de l'informatique et des libertés (ci-après la Commission) en application des dispositions de l'article L. 114-9 du code des relations entre le public et l'administration (CRPA), vise à élargir la liste des administrations auprès desquelles une demande de communication peut être effectuée dans le cadre du traitement par une autre administration d'une demande présentée par le public ou d'une déclaration transmise par celui-ci en application d'un texte législatif ou réglementaire conformément à l'article L. 114-8 du CRPA d'une part, et le périmètre des démarches administratives pouvant faire l'objet d'un échange d'informations, d'autre part.
La Commission rappelle qu'elle s'est déjà prononcée sur les modalités d'échanges d'informations ou de données entre administrations dans le cadre de sa délibération n° 2018-357 du 13 décembre 2018 susvisée.
L'alinéa 1 de l'article 1er du projet de décret prévoit ainsi de modifier l'article R. 114-9-3 du CRPA afin de permettre à une administration d'effectuer une demande de communication, selon le type d'informations ou de données en cause, aux services et organismes suivants :
- au ministère de l'éducation nationale, au ministère de l'enseignement supérieur et de la recherche ou aux organismes publics chargés de la délivrance de diplômes, titres et qualifications ou de leur reconnaissance, des informations relatives à la situation de la personne scolarisée ;
- à Pôle emploi, des informations relatives à la situation de demandeur d'emploi ;
- aux organismes de protection sociale, des informations relatives à la situation de la famille ;
- à la direction du service national et de la jeunesse, des informations relatives à la situation d'une personne au regard des obligations prévues à l'article L. 111-2 du code du service national ;
- au service du casier judiciaire national, des informations relatives à la mention du bulletin n° 2 du casier judiciaire ;
- aux organismes publics chargés de leur délivrance ou de leur reconnaissance, des informations relatives aux diplômes, titres et qualifications professionnelles.
S'agissant de la demande de communication pouvant être effectuée au service du casier judiciaire national, la Commission prend acte de ce que celle-ci se fera dans le respect des dispositions spécifiques prévues par le code de procédure pénale.
L'alinéa 2 de l'article précité prévoit en outre de remplacer le 3° de l'article R. 114-9-3 du CRPA par « 3° Droits sociaux, revenus et prestations, aux organismes de protection sociale et aux organismes mentionnés au premier alinéa de l'article L. 133-5 du code de la sécurité sociale ». Interrogée sur ce point, la direction interministérielle du numérique a précisé qu'un tel élargissement doit permettre aux administrations dans le cadre de certaines démarches administratives, notamment la demande de prime d'activité ou la demande d'allocation de logement, de demander les derniers salaires perçus par un usager, ce dont la Commission prend note.
Si l'élargissement projeté aux services et organismes précités n'appelle pas d'observation particulière, la Commission rappelle toutefois que la mise en œuvre d'échanges de données entre administrations doit demeurer limitée aux données strictement nécessaires et doit garantir le respect des droits des personnes ainsi que la sécurité de leurs données.
Par ailleurs, l'article 2 du projet de décret prévoit le remplacement au 5° de l'article R. 114-9-4 du CRPA du mot : « élections » par le mot : « citoyenneté ». La Commission prend acte de ce que ce changement de terminologie vise à élargir le périmètre des démarches administratives pouvant faire l'objet d'un échange d'informations afin d'englober le recensement citoyen obligatoire.
Enfin, la Commission relève que les mesures de sécurité, notamment le respect du référentiel général de sécurité, la mise en place de profils d'habilitation pour accéder aux données et d'un système de journalisation des accès, telles que prévues aux articles R. 114-9-5 à R. 114-9-7 du CRPA, restent inchangées.