Direction de publication
L’application mobile, le service et le site sont placés sous la responsabilité éditoriale de Madame Julie MERCIER, directrice générale de France Titres, l’Agence nationale des titres sécurisés.
Direction du programme interministériel France identité numérique
Tél : 01 49 27 49 27contact@france-identite.gouv.fr
Décret
Décret n° 2022-676 du 26 avril 2022 autorisant la création d’un moyen d’identification électronique dénommé « Service de garantie de l’identité numérique » (SGIN) et abrogeant le décret n° 2019-452 du 13 mai 2019 autorisant la création d’un moyen d’identification électronique dénommé « Authentification en ligne certifiée sur mobile »
Voir le décret n° 2022-676
Consulter la synthèse de l’analyse d’impact relative à la protection des données (AIPD)
Synthèse de l’analyse d’impact relative à la protection des données (AIPD)
Consulter les délibérations de la CNIL
« La Commission accueille très favorablement ce projet, dont elle note qu’il est l’aboutissement d’échanges nourris avec le ministère et qu’il permet le développement d’une identité numérique régalienne de niveau élevé et respectueuse de la vie privée des usagers. »
CNIL — Délibération n° 2021-151 du 9 décembre 2021
Délibération n° 2021-151 du 9 décembre 2021
Transcription
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’intérieur d’une demande d’avis concernant un projet de décret en Conseil d’Etat autorisant la création d’un moyen d’identification électronique dénommé « Service de garantie de l’identité numérique » et abrogeant le décret n° 2019-452 du 13 mai 2019 autorisant la création d'un moyen d'identification électronique dénommé « Authentification en ligne certifiée sur mobile » ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Après avoir entendu le rapport de M. Claude CASTELLUCCIA, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après « la Commission ») a été saisie, le 27 aout 2021 par le ministère de l’intérieur, d’une demande d’avis relative à un projet de décret en Conseil d’Etat autorisant la création d’un moyen d’identification électronique dénommé « Service de garantie de l’identité numérique » (ci-après « SGIN ») et abrogeant le décret n° 2019-452 du 13 mai 2019 autorisant la création d'un moyen d'identification électronique dénommé « Authentification en ligne certifiée sur mobile » (ci-après « ALICEM »).
Le présent projet de décret crée un traitement de données à caractère personnel dénommé « SGIN » dont le responsable de traitement est le ministère de l’intérieur. Ce traitement permettrait aux titulaires d’une carte nationale d’identité électronique (ci-après « CNIe »), disponible sur le territoire national depuis le 2 août 2021, de bénéficier d’un moyen d'identification électronique.
Comme défini à l’article L. 102 du code des postes et des communications électroniques, un moyen d’identification électronique est un élément matériel ou immatériel contenant des données d'identification personnelle et utilisé pour s'authentifier pour un service en ligne.
Le moyen d’identification électronique prévu par le présent projet de décret permettrait aux usagers de s’identifier et de s’authentifier auprès d’organismes publics ou privés, en utilisant un téléphone portable doté d'un dispositif permettant la lecture sans contact du composant électronique de la CNIe et d’une application mobile spécifique.
La création et l’utilisation du « SGIN » seraient facultatives pour l’usager, et seraient conditionnées à la détention d’une CNIe et d’un téléphone portable disposant de la technologie de lecture sans contact et compatible avec l’application mobile. Cependant, il s’agira du seul dispositif, pour les prochaines années, accessible à tous les citoyens fournissant une identité numérique de niveau élevé. Dans ce contexte, la Commission souligne l’importance de s’assurer que le dispositif soit le plus simple d’utilisation pour tous les publics, y compris ceux les moins rompus au numérique.
Si la Commission estime que ce moyen d’identification électronique permet aux citoyens de bénéficier des avantages offerts par un service d’identité numérique, elle souligne que le caractère facultatif de la création et de l’utilisation de ce moyen d’identification électronique doit être garanti par principe. En effet, ce moyen d’identification électronique ne saurait être imposé pour accéder aux services en ligne, publics comme privés, qui devront donc offrir d’autres modalités d’accès aux services concernés, d’une part par d’autres moyens d’identification électronique et, d’autre part, par un guichet physique afin d’assurer un égal accès au service public à tous les citoyens.
Par ailleurs, il convient de préciser que si le présent projet de décret abroge le décret n° 2019-452 mettant en place le traitement « ALICEM », ce dernier utilisait un enrôlement à distance basé sur de la reconnaissance faciale alors que le dispositif « SGIN » présenté utilise le processus d’identification et d’enrôlement mis en œuvre pour la création de la carte nationale d’identité sans étape ou données biométriques supplémentaires. Ainsi, il bénéficie des mesures mises en place pour celles-ci, et donc du contrôle visuel de l’identité du demandeur par un agent de l’Etat sur la base des documents fournis pour la demande, ainsi qu’une comparaison d’empreintes entre le demandeur et les données inclues dans son titre biométrique.
A cet égard, il convient de rappeler que si la reconnaissance faciale a été un temps envisagée pour l’enrôlement d’un moyen d‘identification électronique de niveau substantiel dans le cadre du projet « ALICEM », le référentiel relatif aux prestataires de vérification de l’identité à distance publié par l’Agence nationale de sécurité des systèmes d’information (ANSSI) le 1er mars 2021 requiert une intervention humaine pour valider l’identité au niveau substantiel. La Commission quant à elle s’était inquiétée, dans sa délibération n° 2018-342 du 18 octobre 2018, d’une utilisation, sans alternative, de la reconnaissance faciale lors de ce processus dans le cadre du dispositif « ALICEM ».
Le présent projet de décret autorise le traitement « SGIN » à lire les données enregistrées dans le composant électronique des CNIe, à l'exception de l'image numérisée des empreintes digitales. Même si le dispositif « SGIN » traitera la donnée relative à la photographie de l’usager, le présent projet de décret, en son article 2-II, prévoit que le dispositif ne comporte pas de traitement biométrique de la photographie. La Commission relève qu’aucun traitement supplémentaire de donnée biométrique ne sera réalisé du fait de la mise en œuvre du traitement projeté.
Enfin, la Commission prend acte des précisions apportées selon lesquelles il est envisagé, pour fin 2022, une extension du dispositif « SGIN » aux passeports et titres de séjour. Elle rappelle qu’une telle extension devra lui être soumise pour avis.
Le traitement « SGIN », en tant que moyen d’identification électronique, sera le support qui permettra de développer, graduellement, les usages numériques en ligne et dans le monde physique de la CNIe sur laquelle la Commission a déjà eu à se prononcer.
La Commission prend acte de ce que ce dispositif d’identité numérique permettra une identification de niveau élevé, une possibilité de démontrer seulement certains attributs et de créer des justificatifs d’identité permettant de remplacer le recours aux photocopies de pièces d’identité. A cet égard, il est
rappelé que la Commission a toujours été favorable à la création d’une identité
numérique d’Etat de haut niveau, de nature à améliorer la sécurité des
procédures (en supprimant par exemple la circulation de photocopies de
pièces d’état-civil lors de l’accomplissement de démarches administratives) et
à faciliter la lutte contre la fraude documentaire. Enfin, la Commission
apprécie particulièrement que le ministère ait prévu un dispositif permettant
d’assurer la minimisation des données, que ce soit par la divulgation des seuls
attributs nécessaires lors de l’utilisation de la CNIe pour l’identification du
porteur ou par la possibilité de créer des attestations minimisées contenant les
seules informations strictement nécessaires à certaines démarches et pouvant
être utilisées hors ligne.
La Commission accueille très favorablement ce projet, dont elle note qu’il est l’aboutissement d’échanges nourris avec le ministère et qu’il permet le développement d’une identité numérique régalienne de niveau élevé et respectueuse de la vie privée des usagers.
Sur la finalité du dispositif projeté
L‘article 1er du projet de décret prévoit notamment que le traitement « SGIN » aura pour finalité de proposer aux titulaires d'une CNIe la délivrance d'un moyen d'identification électronique leur permettant de s’identifier et de s’authentifier électroniquement auprès d’organismes publics ou privés, à
savoir des fournisseurs de services liés par convention à « FranceConnect »,
des fournisseurs de services liés par convention au ministère de l’intérieur ou
des tiers via des attestations générées par l’usager avec le traitement « SGIN ».
La finalité envisagée apparaît déterminée, explicite et légitime conformément à l’article 5 du règlement général sur la protection des données ( ci-après « RGPD » ).
La Commission comprend des précisions apportées que le « SGIN », en tant que moyen d’identification électronique, permettrait à ses utilisateurs de s’identifier et de s’authentifier électroniquement et ainsi :
d’accéder aux services en ligne des fournisseurs de services publics ou privés ;
de prendre connaissance des données contenues dans la carte et d’en générer des attestations électroniques d’attributs d’identité qu’ils pourront transmettre électroniquement aux tiers de leur choix ou présenter dans le monde physique (par exemple pour apporter la preuve de leur majorité ou de leur âge)
Toutefois la Commission s’interroge quant à l’absence de mention explicite au sein du projet de décret de la faculté pour l’usager de générer ses attestations utilisables à la fois en ligne et hors ligne.
Sur les données traitées
A titre liminaire, il est relevé que l’article 3-II du projet de décret prévoit que lorsque les usagers s’identifient et s’authentifient électroniquement, ils peuvent accéder à la quasi-totalité des données d’identité traitées et les transmettre aux personnes physiques ou morales de leur choix. La Commission encourage ce type de dispositif qui doit rester à la main de l’usager.
L’article 2 du projet de décret liste les informations qui peuvent être traitées et
enregistrées dans le traitement « SGIN ». Parmi celles-ci figure la
photographie de l’usager extraite du composant électronique du titre
d’identité. La Commission prend acte des précisions apportées par le ministère
selon lesquelles le traitement de cette donnée permettrait à l’usager de faire
apparaître sa photographie sur son attestation électronique d’attributs
d’identité ou conjointement à un code QR afin de l’authentifier. La
Commission prend acte de ce que cette donnée, qui transitera par le serveur du
« SGIN », sera conservée uniquement de manière chiffrée au sein du téléphone
portable de l’usager.
Ce même article prévoit également que les données relatives à l'historique des
transactions réalisées par l’usager seront traitées dans le cadre du dispositif
« SGIN ». Si la Commission prend acte des précisions apportées, à savoir que
ne seront traitées que les cinq dernières transactions de l’usager, elle estime
que l’article 2 du présent projet de décret pourrait être complété sur ce point
en mentionnant explicitement le nombre exact des dernières transactions qui
seront traitées ou, à tout le moins, en mentionnant que cet historique est limité
par un nombre maximal de transactions conservées en mémoire, déterminé
par le responsable de traitement. Dans un objectif de transparence et de
contrôle par les utilisateurs de leur moyen d’identification électronique, mais
aussi afin de détecter le plus tôt possible une éventuelle usurpation du moyen
d’identification, la Commission recommande qu’une notification par un canal
séparé (courriel, par exemple) soit adressée à l’utilisateur à chaque utilisation
du dispositif, sur le modèle de ce qui est fait pour « FranceConnect ».
Les autres données traitées dans le cadre du dispositif « SGIN » n’appellent pas d’observations de la part de la Commission
Sur les destinataires des données
L’article 3-II du projet de décret prévoit que peuvent être destinataires de certaines données traitées par le dispositif « SGIN », dans la limite du besoin d’en connaître, les personnes physiques ou morales choisies par l’usager, le
téléservice « FranceConnect », les fournisseurs de services liés par convention
à « FranceConnect » et les fournisseurs de services liés par convention au
ministère de l’intérieur.
Dans un premier temps, la Commission prend acte de ce que lorsque l’usager entend transmettre à un tiers une attestation électronique d’attributs d’identité, il a la possibilité, via son application mobile, de sélectionner les données à faire apparaître sur ce document en fonction des exigences du
destinataire concerné. Cette divulgation sélective d’attributs et la possibilité
de preuves sur des attributs sont fortement encouragées par la Commission.
Dans un second temps, la Commission prend acte de ce que seules les données dites « pivot » (nom, nom d’usage, prénom(s) date de naissance, lieu
de naissance et sexe) ainsi que l’adresse de courrier électronique de l’usager
seront transmises au téléservice « FranceConnect », à charge pour ce dernier
de ne transmettre aux fournisseurs de services avec lesquels il a une
convention que les attributs qui leur sont nécessaires et qu’ils ont
expressément demandés, tel que prévu dans ses conditions générales
d’utilisation.
De manière générale, la Commission rappelle que les conventions liant les fournisseurs de services à « FranceConnect » et au ministère de l’intérieur doivent être conformes à la règlementation en matière de protection des données.
Sur les durées de conservation
A titre liminaire, la Commission tient à souligner que le ministère a fait un travail de minimisation pour ne conserver sur le serveur qu’une liste de données à caractère personnel succincte. Elle regrette néanmoins que la rédaction de l’article 4 du projet de décret n’en fasse pas mention.
En premier lieu, la Commission prend acte de ce que les données à caractère personnelle sont supprimées à l’issue d’une période d’inactivité du moyen d’identification électronique de deux ans. Cette durée a été établie au regard de
l’utilisation moyenne envisagée du moyen d’identification électronique calquée
sur l’utilisation actuelle du téléservice « FranceConnect ». Cette suppression
porte tant sur les données contenues dans le téléphone portable de l’usager
que sur celles contenues au sein du serveur du responsable de traitement.
En second lieu, la Commission prend acte de ce que les données à caractère personnel relatives aux cinq dernières transactions de l’usager sont conservées, sur le terminal de l’usager, pour une durée maximum de cinq ans.
Dans le cas où l’usager supprime son moyen d’identification électronique, si
celui-ci expire, ou si l’usager désinstalle l’application, ces données seront
immédiatement supprimées du téléphone portable de l’usager.
Par ailleurs, les données relatives à la création du moyen d’identification électronique seront conservées en base active par le ministère durant cinq ans. Bien que la durée envisagée semble pertinente au regard des finalités et des
obligations relatives à la création d’un tel moyen d’identification électronique,
la Commission s’interroge sur la pertinence de conserver ces données en base
active durant toute la durée de conservation. Elle encourage le ministère à
évaluer s’il est possible de, et à partir de quand, conserver ces données en base
archive.
Enfin, le ministère conserve pendant trois ans sur le serveur les traces concernant les opérations de création, de consultation, d’utilisation, de révocation et de suppression du moyen d’identification électronique. Au vu de
l’impact potentiel sur les personnes concernées, la Commission considère
comme proportionnée la durée de conservation des journaux, relatifs aux
opérations de création, de consultation, de révocation et de suppression du
moyen d’identification électronique.
La Commission s’interroge cependant sur la conservation à si long terme des traces d’utilisation du moyen d’identification électronique, dès lors qu’il serait
utilisé pour des services non-régaliens. La Commission encourage le ministère
à réévaluer la pertinence et l’équilibre (au regard du suivi que cela implique)
de conserver ces traces sur trois ans pour les services commerciaux.
Sur l’interrogation avec le fichier national de contrôle de la validité des titres (« DOCVERIF »)
La Commission prend acte de ce que le traitement projeté « SGIN » interrogera le fichier national de contrôle de la validité des titres (ci-après « DOCVERIF »).
L’interrogation du fichier « DOCVERIF » impliquerait de traiter le numéro du titre, le type du titre et sa date de délivrance. Cette interrogation du fichier
retournerait le statut de validité administrative du titre (valide, invalide ou
inconnu).
Cette interrogation aura lieu afin de vérifier la validité des titres présentés lorsque le moyen d’identification électronique sera utilisé avec un niveau de garantie élevé, ainsi que pour la génération d’attestations, mais pas lorsqu’il
sera utilisé comme moyen d’identification ou d’authentification avec les
niveaux de garanties substantiel ou bas.
Si les interconnexions, mises en relation et rapprochements de base de
données n'ont pas obligatoirement à figurer dans l'acte réglementaire, la
Commission recommande vivement aux responsables de traitement publics,
pour les traitements correspondant à des bases de données importantes, de
décrire sur leur site web l'ensemble des mises en relation réalisées avec
d'autres bases de données.
Sur les mesures de sécurité
Le ministère a fourni à la Commission une analyse d’impact relative à la protection des données (ci-après « AIPD ») démontrant sa bonne prise en compte des risques sur les personnes concernées liés au dispositif.
En particulier, la Commission a pris note à la fois de l’intégration, dès que possible, de briques logicielles ayant fait l’objet d’un visa de sécurité par l’ANSSI, ainsi que la mise en œuvre d’un processus d’homologation, de
certification et/ou de qualification pour l’ensemble des éléments du processus,
application comprise.
Concernant la génération d’attestations, bien que la qualification de ces
attestations soit effectuée seulement dans un second temps, la Commission a
bien noté qu’une certification de sécurité de premier niveau (CSPN) est prévue
à court terme. La Commission tient à souligner l’importance d’évaluer la
solution en prenant en compte l’impact potentiel des utilisations frauduleuses,
notamment par un tiers, d’une telle attestation, en vérifiant notamment que
des mesures adaptées sont mises en œuvre (par exemple avec un dispositif de
date maximale d’utilisation pour chaque attestation et un système de
révocation d’attestation par l’utilisateur en un clic).
En ce qui concerne les identifications et authentification à des fournisseurs de
services partenaires, donc en dehors du système « FranceConnect », la
Commission prend acte de ce que la minimisation des données à caractère
personnel sera intégrée aux conventions afin d’assurer que seules les données
nécessaires soient demandées. N’ayant pas eu accès au schéma technique
détaillé, la Commission encourage le ministère à vérifier que les solutions
choisies fournissent une garantie technique à la hauteur des garanties
juridiques prévues.
Ainsi, les mesures de sécurité décrites par le responsable de traitement
semblent conformes à l’exigence de sécurité prévue par les articles 5.1.f et 32
du RGPD ainsi que l’article 4-6 de la loi du 6 janvier 1978 modifiée. La
Commission rappelle toutefois que cette obligation nécessite la mise à jour de
l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des
risques.
La Présidente
Marie-Laure DENIS
Délibération n° 2022-011 du 10 février 2022
Transcription
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’intérieur d’une demande d’avis concernant un projet de décret en Conseil d’Etat autorisant la création d’un moyen d’identification électronique dénommé « Service de garantie de l’identité numérique » et abrogeant le décret n° 2019-452 du 13 mai 2019 autorisant la création d'un moyen d'identification électronique dénommé « Authentification en ligne certifiée sur mobile » ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi « informatique et libertés »), notamment son article 8-I-4°-a) ;
Sur la proposition de M. Claude CASTELLUCCIA, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie à nouveau en urgence le 27 janvier 2022 d'une demande d'avis portant sur certaines modifications du projet de décret en Conseil d’Etat autorisant la création d’un moyen d’identification électronique dénommé « Service de garantie de l’identité numérique » (ci-après « SGIN ») et abrogeant le décret n° 2019-452 du 13 mai 2019 autorisant la création d'un moyen d'identification électronique dénommé « Authentification en ligne certifiée sur mobile » (ci-après « ALICEM »), qu’elle avait examiné dans son avis n° 2021-151 du 9 décembre 2021.
La Commission ne se prononce dans le présent avis que sur les modifications apportées au projet de texte et renvoie pour le reste à sa délibération du 9 décembre 2021. La saisine modificative a deux objets principaux : modifier la désignation des responsables de traitement et préciser l’étendue de cette responsabilité.
Sur la désignation des responsables de traitement
L’article 1er du projet de décret prévoit désormais que l’Agence nationale des titres sécurisés (ci-après « ANTS ») est co-responsable du traitement « SGIN » aux côtés du ministère de l’intérieur. A cet égard, la Commission prend acte des précisions apportées par le ministère de l’intérieur selon lesquelles cet ajout est réalisé pour tenir compte de l’évolution récente de la gouvernance du projet interministériel de développement de l’identité numérique.
Il est rappelé que conformément à l’article 26 du RGPD, les responsables conjoints du traitement définissent de manière transparente leurs obligations respectives aux fins d'assurer le respect des exigences de la règlementation « informatique et libertés » (loi et règlement) par voie d'accord entre eux, sauf si, et dans la mesure où, leurs obligations respectives sont définies par le droit de l'Union ou par le droit de l'Etat membre auquel les responsables du traitement sont soumis. En tout état de cause, l’accord ou la législation en question doit refléter les rôles respectifs des responsables conjoints du traitement et leurs relations vis-à-vis des personnes concernées. Conformément aux lignes directrices du Comité européen de la protection des données relatives aux concepts de responsable de traitement et de sous-traitant dans le RGPD en date du 7 juillet 2020, la Commission recommande que ces rôles et ces responsabilités soient définis dans le présent projet de décret.
La Commission relève que l’article 3 du projet de texte a été modifié afin d’inclure les agents de l’ANTS chargés de la maîtrise d’ouvrage et de la maîtrise d’œuvre du traitement en tant qu’accédants aux données du traitement « SGIN ». Elle prend acte de ce que cette modification reflète les changements de gouvernance du projet interministériel mentionnés ci-dessus.
Enfin, l’article 5 du projet de décret devra être modifié en conséquence et mentionner « les responsables de traitements ».
Sur l’étendue de la responsabilité de traitement de l’administration et l’objet du décret
Le ministère s’interroge sur l’étendue de la responsabilité de traitement et les éléments à faire figurer dans le décret lorsque l’administration prévoit de mettre à disposition des usagers une application à télécharger sur leurs téléphones portables pour leur fournir un service et que cette application sera amenée à traiter les données à caractère personnel de l’usager.
Selon la règlementation « informatique et libertés », est responsable de traitement celui qui détermine les finalités et les moyens du traitement. S’agissant de la fourniture des services publics administratifs, la Commission considère généralement que l’administration, qui détermine unilatéralement les modalités de ses services publics et peut les modifier, endosse la responsabilité des traitements, y compris lorsqu’elle ne fait que fournir un service à l’usager à sa demande. Dans certains cas particuliers, lorsqu’elle se contente de mettre à disposition des usagers une application ou un logiciel qui est installé et désinstallé sur leur terminal à leur discrétion, avec un traitement et une conservation des données locaux, les traitements sont parfois considérés comme étant sous la seule responsabilité de l’usager (v. CNIL, délibération n° 2020-135 du 17 décembre 2020).
En l’espèce, la Commission relève que l’opération d’enrôlement des usagers dans l’application, la fourniture du service d’identification et d’authentification à des services en ligne ainsi que la génération d’attestations impliquent des interactions avec les serveurs du ministère. Ces opérations se feront donc sous la responsabilité du ministère de l’intérieur et de l’ANTS, qui apparaissent responsables de l’ensemble des traitements liés à l’application proposée aux usagers. Si le dispositif de vérification des attestations d’identité par des tiers devait être mis en œuvre sous la seule responsabilité de ceux-ci, l’administration devrait a minima être en charge de s’assurer de la sécurité du dispositif employé et de sa conformité à la réglementation « informatique et libertés ».
La Commission approuve donc les modifications apportées à l’article 1er pour mieux décrire les services apportés à l’usager et, notamment, la mention explicite de la faculté pour l’usager de générer ses attestations (telle qu’elle l’avait recommandée dans sa délibération du 9 décembre 2021).
Elle invite le Gouvernement à mieux distinguer, à l’article 2, pour chaque fonctionnalité (identification, authentification, attestation, etc.), ce qui relève des données traitées par l’administration, qui ont vocation à être encadrées par le décret, et des données stockées par l’usager sur l’application de son ordiphone, qui ne seront pas traitées sur les serveurs de l’administration, tels que notamment certains éléments de l’historique des transactions.
Par ailleurs, il apparaît opportun de limiter le nombre maximal de transactions conservé dans l’historique, ou de permettre à l’usager de le régler, cette information constituant une donnée à caractère personnel qui pourrait être récupérée par un tiers en cas de vol de l’ordiphone.
Sur les autres modifications apportées au projet de décret
La Commission formule en outre les observations complémentaires suivantes :
La Commission relève que la précision selon laquelle « Le traitement ne comporte pas de dispositif de reconnaissance faciale à partir de la photographie » a été retirée de l’article 2 du projet de décret listant les informations pouvant être traitées et enregistrées dans le traitement « SGIN ». La Commission regrette la disparition de cette mention qui permettait de mentionner explicitement qu’aucun traitement supplémentaire de données biométriques ne serait réalisé du fait de la mise en œuvre du traitement projeté. Elle rappelle que, dès lors que le traitement ne comporte pas, parmi la liste des données, de gabarit biométrique mais seulement la photographie, le décret n’autorisera pas le recours à la reconnaissance faciale, qui conduirait à traiter une telle donnée, qui relève des données sensibles (voir CNIL, séance plénière, 25 juin 2020, avis sur projet de décret PASP, n° 2020-064).
La Commission relève que l’article 3 a été complété de sorte à obliger les responsables de traitement à rendre publique la liste actualisée des fournisseurs de services liés par convention à « FranceConnect » et ceux liés par convention au ministère de l’intérieur et à l’ANTS. Cette initiative est fortement encouragée par la Commission.
La Commission relève que la mention relative à l’accès des usagers à leurs données d’identité mentionnées aux a à k, à l’exception du i du 1° de l’article 2, a été supprimée du projet de texte. La Commission s’interroge quant à cette suppression et rappelle qu’il est important que les usagers puissent prendre connaissance des informations les concernant stockées à l’intérieur de l’application, conformément au principe de transparence.
La Commission relève que la mention initialement prévue à l’article 6, qui écartait le droit d’opposition, a été retirée du présent projet de décret. Le ministère a précisé ce droit s’appliquerait de facto par la désinstallation de l’application mobile entraînant automatiquement l’effacement des données stockées sur le serveur et l’ordiphone, à l’exception de celles conservées en vue de la résolution d’éventuels contentieux. Elle prend acte de ce que le droit d’opposition s’appliquera, selon le droit commun et y compris pour toutes les opérations de traitement des données qui relèveront de l’administration, et estime que l’effacement de l’application constitue une modalité appropriée d’exercice de ce droit. Elle recommande que les mentions d’information de l’application précisent que la désinstallation de l’application entraîne à la fois la suppression des données conservées localement et celles stockées en base centrale par le ministère et l’ANTS à l’exception des données identifiant le titre (numéro et type) et des traces en vue de la résolution d’éventuels contentieux.
Enfin, eu égard aux modifications apportées entre le premier projet de décret soumis à la Commission en 2021 et celui-ci, la Commission demande que l’analyse d’impact relative à la protection des données à caractère personnel soit mise à jour.
La Présidente
Marie-Laure DENIS
CNIL — 3 Place de Fontenoy, TSA 80715 –
75334 PARIS CEDEX 07
Téléphone : 01 53 73 22 22
Site officiel :
www.cnil.fr
Les données personnelles nécessaires
à l’accomplissement des missions de la CNIL
sont traitées dans des fichiers destinés
à son usage exclusif.
Les personnes concernées peuvent exercer leurs droits Informatique et Libertés en s’adressant au délégué à la protection des données (DPO) de la CNIL via un formulaire en ligne ou par courrier postal. Pour en savoir plus :
www.cnil.fr/donnees-personnelles.
Conception éditoriale
La conception éditoriale du site et sa mise à jour sont assurées par la Direction du programme interministériel France Identité Numérique en collaboration avec l’agence HULA-HOOP .
Agence HULA-HOOP
Hébergement
L’hébergement du service est réalisé par la Direction du numérique et par la société Scalingo.
Direction du numérique
Société Scalingo.
Gestion du traceur d’audience
Le traceur d’audience (ou cookie d’audience) est géré par la société AT-Internet.
Société AT-Internet
Traitements de données à caractère personnel
Les traitements de données à caractère personnel des usagers mis en œuvre par le service et le site répondent notamment aux exigences :
Du règlement général sur la protection des données ; De la loi informatique et libertés ;
Du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Vous avez la possibilité de prendre connaissance des mentions d’information sur la protection des données à caractère personnel du SGIN ici : Politique de confidentialité
Droits de propriété intellectuelle
Protection de la marque pour éviter les contrefaçons et lutter contre les noms de domaine de nature à induire en erreur
La Direction du programme interministériel France Identité Numérique est et restera propriétaire de ses signes distinctifs, à savoir la marque France identité numérique, les dénominations sociales et autres noms commerciaux, enseignes et noms de domaine.
La reproduction, l’imitation ou l’apposition, partielle ou totale des marques et dessins et modèles, qu’ils soient protégés par le droit d’auteur ou le droit de la propriété industrielle, appartenant à la Direction du programme interministériel France Identité Numérique est strictement interdite sans son accord écrit préalable.
Reprise du contenu de l’application mobile, du service ou du site
Sauf mention explicite de propriété intellectuelle détenue par des tiers, les contenus de ce site sont proposés sous licence ouverte Etalab 2.0. En conséquence, il est possible de les reproduire, copier, modifier, extraire, transformer, communiquer diffuser, redistribuer, publier, transmettre et exploiter sous réserve de mentionner leur source, leur date de dernière mise à jour et ne pas induire en erreur des tiers quant aux informations qui y figurent.
Tout site public ou privé est autorisé à établir, sans autorisation préalable, un lien (y compris profond) vers les informations diffusées sur ce site. En revanche, les pages du portail ne doivent pas être imbriquées à l’intérieur des pages d’un autre site.
La Direction du programme interministériel France Identité Numérique se réserve le droit de demander la suppression de lien vers des sites dont l’objet s’avèrerait non conforme à l’objet de son site, à ses missions ou plus généralement aux principes véhiculés par l’administration.
Cette autorisation de reprise et de réutilisation est valable pour tout support, à l’exception de ceux diffusant des informations à caractère polémique, pornographique, xénophobe ou pouvant, dans une plus large mesure porter atteinte à la sensibilité du plus grand nombre.
Créations graphiques, crédits photographiques, vidéos
Toute manipulation des photographies, créations graphiques et vidéos (recadrage, retouche, montage, trucage…) est interdite sans l’accord de la Direction du programme interministériel France Identité Numérique.
Il est interdit d’utiliser les photographies, créations graphiques et vidéos à des fins commerciales.
Les usagers doivent s’abstenir de tout usage contraire aux lois et règlements ou portant atteinte à l’ordre public et de détourner l’utilisation des photographies, créations graphiques et vidéos de leur contexte d’actualité à savoir l’information.
Les usagers s’engagent à respecter le droit moral des photographes, créateurs et vidéastes.
Dans le cas où ces obligations ne seraient pas respectées par les usagers, la Direction du programme interministériel France Identité Numérique engagera des poursuites judiciaires.
Liens vers les pages du site
Tout site public ou privé est autorisé à établir des liens vers les pages du site. Il n’y a pas à demander d’autorisation préalable sous réserve :
Que l’origine des informations soit précisée ;
Que les pages du site ne soient pas imbriquées à l’intérieur des pages d’un autre site. Elles doivent être affichées dans une nouvelle fenêtre ;
Que les liens pointent vers des pages non profondes du site (sont ainsi exclus de cette autorisation les liens directs vers des fichiers téléchargeables tels que des vidéos…).
La Direction du programme interministériel France Identité Numérique se réserve le droit de demander la suppression de lien vers des sites dont l’objet s’avèrerait non conforme à l’objet de son site, à ses missions ou plus généralement aux principes véhiculés par l’administration.
Contenu de l’application mobile, du service ou du site
Malgré tout le soin apporté par les équipes à la rédaction et la mise en ligne des informations et des documents de l’application mobile, du service ou du site, des erreurs typographiques ou des inexactitudes techniques ne peuvent être exclues. La Direction du programme interministériel France Identité Numérique se réserve le droit de les corriger à tout moment dès qu’elles sont portées à sa connaissance.
La Direction du programme interministériel France Identité Numérique ne saurait être tenue pour responsable de tout dommage, quelle qu’en soit la nature, des erreurs typographiques ou des inexactitudes techniques de l’application mobile, du service ou du site.
Les informations et les documents contenus sur l’application mobile, le service ou le site sont susceptibles de faire l’objet d’une mise à jour à tout moment. La Direction du programme interministériel France Identité Numérique ne saurait être tenue pour responsable de tout dommage, quelle qu’en soit la nature, résultant de la mise à jour de l’application mobile, du service ou du site.
La Direction du programme interministériel France Identité Numérique s’efforce de permettre aux usagers d’avoir accès en continu à l’application mobile, au service ou au site. Néanmoins, la Direction du programme interministériel de France Identité Numérique se réserve le droit de ne pouvoir garantir l’accessibilité à l’application mobile, au service et au site notamment en cas de panne et de maintenance ou de force majeure. La Direction du programme interministériel France Identité Numérique ne saurait être tenue pour responsable de tout dommage, quelle qu’en soit la nature, résultant de l’indisponibilité de l’application mobile, du service ou du site.