| N° de demande d’avis : 25013417 | Thématiques : Télédéclaration – Financements étrangers – Cultes – Loi du 9 décembre 1905 |
| Organisme(s) à l’origine de la saisine : Ministère de l’intérieur | Fondement de la saisine : Article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés |
L’essentiel :
1. Le projet de décret crée un téléservice permettant aux organismes cultuels de réaliser les déclarations obligatoires concernant les financements étrangers perçus. Si le traitement des données est pertinent et adéquat au regard des finalités poursuivies, la CNIL considère que le décret devrait être plus précis sur les catégories de destinataires amenés à consulter les informations issues du fichier.
2. Le traitement recueille les données personnelles relatives aux personnes responsables d’associations qui reçoivent des ressources et des avantages redistribués par d’autres associations. Celles-ci pouvant être inscrites dans le traitement à leur insu, la CNIL invite le ministère de l’intérieur à préciser les modalités d’information des personnes concernées.
3. Le traitement des déclarations et leur inscription dans le fichier seront effectués par le biais d’une interface de programmation applicative (API) mise en œuvre par une administration tierce, sous-traitante au sens de l’article 28 du RGPD. La CNIL invite le ministère de l’intérieur à établir un document ayant valeur de contrat de sous-traitance avec cette administration.
La Commission nationale de l’informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu la loi du 9 décembre 1905 concernant la séparation des Eglises et de l’Etat, notamment son article 19-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (« loi informatique et libertés »), notamment son article 31 ;
Après avoir entendu le rapport de Mme Sophie Lambremon, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. – La saisine
A. – Le contexte
La loi n° 2021-1109 du 24 août 2021 confortant le respect des principes de la République (CRPR) a imposé aux organismes ayant une activité cultuelle d’effectuer auprès des services du ministre de l’intérieur, sous certaines conditions :
– la déclaration de qualité cultuelle de leur association ;
– la déclaration de la liste de leurs lieux de culte ;
– la déclaration des avantages ou ressources reçus provenant directement ou indirectement de l’étranger.
Les obligations déclaratives en matière de financements, ressources et avantages reçus depuis l’étranger imposées par la loi CRPR concernent les associations cultuelles, les associations dites « mixtes », les congrégations et, dans les départements du Bas-Rhin, du Haut-Rhin et de la Moselle, les établissements publics du culte ainsi que les associations inscrites de droit local à objet cultuel.
Ainsi, toute association cultuelle doit déclarer les dons, avantages ou ressources provenant directement ou indirectement de l’étranger, dès lors qu’ils dépassent un certain seuil. Cette obligation vise à permettre à l’État de vérifier que rien ne s’oppose, pour des motifs d’ordre public, à ce que l’association perçoive un financement étranger.
B. – L’objet de la saisine
Le ministère de l’intérieur a créé un téléservice destiné à permettre aux organismes concernés d’effectuer des déclarations en ligne de façon à faciliter et à homogénéiser la procédure de dépôt, la gestion, le suivi et l’instruction des déclarations par les agents des préfectures et les services de la direction des libertés publiques et des affaires juridiques (DLPAJ). Ce téléservice s’appuie sur la plateforme « Démarche numérique » proposée par la direction interministérielle du numérique (DINUM).
La CNIL est saisie par le ministre de l’intérieur d’une demande d’avis relative à un projet de décret autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel permettant le dépôt et l’instruction par voie dématérialisée au moyen d’un téléservice des déclarations relatives au financement étranger des cultes et relatifs à diverses dispositions portant sur le droit des cultes.
Le traitement ayant pour finalité de permettre l’accomplissement par voie électronique du dépôt des déclarations par les organismes exerçant le culte afin de se conformer aux obligations d’information et de transparence prévues par la loi, il relève du RGPD.
Dans la mesure où cette nouvelle obligation a pour objet la prévention des ingérences étrangères et peut permettre la détection d’infractions pénales, le traitement intéresse la sûreté de l’Etat et a parmi ses objets la prévention et la détection d’infractions pénales. Il relève, à ce titre, de l’article 31 de la loi « informatique et libertés ». Compte tenu de la nature de certaines données collectées, susceptibles de révéler les convictions religieuses des déclarants, le traitement doit être autorisé par décret en Conseil d’Etat pris en application du II de l’article 31, après avis de la CNIL.
II. – L’avis de la CNIL
A. – Sur les données traitées
Les données collectées dans le cadre du téléservice mentionnées dans le décret n° 2022-619 du 22 avril 2022 n’appellent pas d’observations. Les 3° et 4° de l’article 10 du projet de décret prévoient d’introduire de nouvelles catégories de données dans les déclarations de financement étrangers renseignées par les organismes cultuels.
D’une part, en application du 3° de l’article 10 de ce projet, les déclarations de financements inférieurs ou égaux à 15 300 euros devront désormais indiquer la date et lieu de naissance du déclarant en complément de ses nom, prénom(s), adresse électronique et coordonnées téléphoniques.
D’autre part, le 4° de l’article 10 du projet de décret concerne les informations relatives aux prêts de main-d’œuvre, c’est-à-dire aux personnes mises à disposition des associations cultuelles, tels que prévus par l’article 19-3 de la loi de 1905 concernant la séparation de l’Eglise et de l’Etat. Les déclarations préciseraient à cette fin les « noms, prénom(s), date et lieu de naissance, nationalité(s), fonctions exercées » par les personnes mises à disposition.
Au regard de l’objet du traitement, la CNIL considère que la collecte de ces données est proportionnée et légitime.
B. – Sur les accédants et destinataires des données
En premier lieu, le I de l’article 4 du projet de décret réserve l’accès au traitement aux seuls « agents des services centraux du ministère de l’intérieur chargés de l’instruction de la déclaration mentionnée au 1° de l’article 1er du présent décret, individuellement désignés et spécialement habilités par leur chef de service ». Le ministère de l’intérieur précise dans son AIPD que cette dénomination recouvre en réalité un faible nombre d’agents affectés à la DLPAJ.
La CNIL considère que le faible nombre d’accédants, relevant d’un unique service central du ministère de l’intérieur et soumis à une procédure d’habilitation, est adapté à la sensibilité des données contenues dans le traitement.
En second lieu, le II du même article désigne comme destinataires des données du traitement « les agents des services de l’Etat, individuellement désignés et dûment habilités, en vue d’établir l’existence d’une menace réelle, actuelle et suffisamment grave affectant un intérêt fondamental de la société dans les conditions prévues au III de l’article 19-3 de la loi du 9 décembre 1905 et au III de l’article 79-VIII du code civil local ». L’AIPD fournie par le ministère de l’intérieur ne comporte pas de précisions complémentaires quant à cette catégorie de destinataires.
La CNIL estime qu’eu égard à la sensibilité des données contenues dans le traitement, la formulation employée pour désigner les destinataires potentiels des données devrait être précisée, notamment en établissant des catégories plus précises de destinataires dont la mission consiste explicitement à établir l’existence de la menace décrite par le projet de décret (par exemple : agents des services spécialisés de renseignement, au sens de l’article L. 8112-2 du code de la sécurité intérieure).
Une modification en ce sens de l’article 4 du projet de décret et de l’AIPD serait pertinente afin de préciser les catégories de destinataires, dont notamment les services de renseignement.
C. – Sur les droits d’opposition et l’exercice des autres droits par les personnes
1. Sur le droit d’opposition
L’article 6 du projet de décret prévoit, d’une part, d’exclure l’application du droit d’opposition et, d’autre part, de permettre l’exercice des autres droits directement auprès du ministère.
La CNIL estime légitime, au regard de la finalité du traitement, l’exclusion du droit d’opposition.
2. Sur l’exercice des autres droits par les personnes
Compte tenu du fait que le projet de décret porte création d’un téléservice regroupant trois déclarations, le traitement est susceptible de concerner un nombre significatif de personnes qui devront être informées de leur inscription dans ce traitement et conscientes des caractéristiques de ce dernier, notamment son objet, les données collectées, les personnes habilitées à les consulter et les durées de conservation.
Le 2° de l’article 10 du projet de décret permettra à une association qui redistribue les avantages et ressources qu’elle reçoit à d’autres associations d’effectuer la déclaration pour le compte de ces dernières, les dispensant ainsi d’y procéder. Le 4° du même article impose aux associations déclarantes de transmettre les données personnelles des personnes relevant du prêt de main d’œuvre ou de la mise à disposition.
La CNIL considère que ces dispositions comportent un enjeu important en matière d’information des personnes, car elles impliquent la possibilité que des associations puissent inscrire certaines données dans le fichier au cours de leur déclaration sans que les personnes concernées en soient prévenues. Elle note également qu’en dehors du droit à l’opposition, le ministère de l’intérieur n’a pas prévu d’autres exclusions de droits à l’article 6 du projet de décret.
Afin de garantir le droit à l’information de l’ensemble des personnes qui seront inscrites dans le traitement, la CNIL invite le ministère de l’intérieur à élaborer une procédure qui lui permettra, en tant que responsable de traitement, d’informer toutes les personnes concernées de leur inscription dans le fichier, y compris celles qui auront été déclarées par une association effectuant la déclaration pour le compte d’autres associations.
Le ministère indique qu’une information à destination des déclarants conforme à l’article 13 du RGPD est bien prévue sur la plateforme du téléservice. Cependant, au regard du nombre important de personnes dont les données se retrouvent collectées indirectement – y compris des données susceptibles de révéler de façon implicite leurs convictions religieuses – la CNIL recommande au ministère de mettre en place des mesures de communication spécifiques à destination de ces personnes : une collecte des adresses électroniques, uniquement consacrée à l’information des personnes quant à leur inscription dans le traitement, et aux droits qu’elles peuvent exercer, pourrait en ce sens être envisagée, avec une suppression de la donnée après notification.
D. – Sur la conservation des données de journalisation
L’article 7 du projet de décret prévoit que « les opérations de collecte, de modification, de consultation, de communication et d’effacement des données à caractère personnel font l’objet d’un enregistrement comprenant l’identifiant de l’auteur, la date, l’heure, le motif de l’opération et, le cas échéant, les destinataires des données. Les informations relatives à ces opérations sont conservées pendant un an ».
La CNIL remarque que la durée de conservation des données de journalisation et de traçabilité envisagée pour le traitement par le ministère de l’intérieur est très inférieure à celle généralement retenue par ce dernier pour la grande majorité de ses autres traitements, notamment ceux intéressant la détection des infractions pénales ou la sûreté de l’État.
En réponse, le ministère propose, sous réserve de faisabilité technique, une modification de l’article 7 portant la durée de conservation des données de journalisation à trois ans, en considérant notamment la sensibilité des données relatives au financement des cultes. La CNIL accueille favorablement cette proposition.
E. – Sur les mesures de sécurité
En premier lieu, la CNIL prend acte du fait que la journalisation mise en œuvre dans Démarche numérique (ci-après DN) fait l’objet d’un traitement par les équipes sécurité de la DINUM / RIE au sein du Computer Security Incident Response Team (CSIRT).
De même, pour Bibliothèque Numérique (ci-après BN), les journaux techniques sont analysés en temps réel et archivés sur un an. En revanche, l’analyse des journaux fonctionnels, prévue courant 2025, n’est plus prioritaire et ne sera envisagée qu’en 2026, au mieux. L’analyse de la journalisation est essentielle afin de garantir la sécurité et la bonne utilisation des systèmes d’information. La CNIL demande au ministère de déployer cette fonctionnalité le plus tôt possible.
En deuxième lieu, la CNIL prend acte de ce que DN permet trois moyens d’authentification : l’utilisation de compte locaux (pour les usagers et agents, instructeurs ou administrateurs), l’utilisation de France Connect (pour les usagers) ou l’utilisation de Pro Connect (pour les agents, instructeur ou administrateurs).
La CNIL prend acte des mesures mises en œuvre afin de sécuriser les comptes locaux, leur accès ou encore le stockage des mots de passe associés et de ce que la politique de mots de passe impose une longueur minimale de 12 caractères pour les comptes locaux. Les mesures de contrôles d’accès logique doivent être conformes à la recommandation relative aux mots de passe et autres secrets partagés, notamment en termes d’entropie (délibération n° 2022-100 du 21 juillet 2022), ce qui signifie que pour un mot de passe de 12 caractères, une complexité est attendue.
La CNIL prend acte de ce que DN est nativement accessible depuis internet et que l’authentification multi facteur (ci-après MFA) est en cours de déploiement en partenariat avec Pro Connect. Pour les instructeurs et administrateurs, le MFA sera possible dès lors que l’administrateur d’une démarche imposera aux utilisateurs une connexion à l’aide de Pro Connect et une utilisation systématique du MFA. La CNIL demande au ministère de généraliser et d’imposer l’utilisation du MFA pour les agents, administrateurs ou instructeurs, afin de garantir un niveau de sécurité conforme. En réponse, le ministère indique que l’authentification multi facteur a bien été mise en place pour le traitement en question, ce que la CNIL accueille favorablement.
Enfin, le CNIL prend acte de ce qu’une interface de programmation applicative (ci-après API) Démarche numérique est utilisée par l’application Bibliothèque Numérique afin de récupérer les données et pièces jointes des dossiers pour certaines démarches afin de les sauvegarder de manière pérenne.
La CNIL note que l’accès à l’API se fait après accord sur le périmètre des démarches à récupérer, que l’authentification est sécurisée par un jeton (« token ») attribué à BN par DN et qu’une traçabilité technique est mise en place. La CNIL note également qu’aucun filtrage IP n’est mis en œuvre quant à l’utilisation de cette API et qu’elle est accessible directement depuis internet. La CNIL rappelle que les API doivent faire l’objet des mesures de sécurité décrites dans la recommandation relative à l’utilisation de ces interfaces (délibération n° 2023-050 du 25 mai 2023).
F. – Sur la sous-traitance
Le ministère et la direction interministérielle du numérique (DINUM), éditeur de la plateforme « Démarche numérique » n’ont pas conclu de convention ou tout autre forme d’acte permettant d’établir les modalités de traitement de données et les mesures de sécurité afférentes conformément à l’article 28 du RGPD.
Le ministère considère que les conditions générales d’utilisation de la plateforme « Démarche numérique » ont une nature contractuelle et satisfont aux exigences de l’article 28 du RGPD. Même si le ministère indique travailler à une amélioration de la rédaction des conditions générales d’utilisation, la CNIL estime que ces dernières ne constituent en l’état qu’un cadre général, qui ne satisfait pas aux exigences de l’article 28 du RGPD, dans la mesure où elles ne mentionnent pas toutes les obligations afférentes.
La CNIL invite donc le ministère à conclure un contrat ou une convention de sous-traitance afin de répondre aux exigences de l’article 28 du RGPD.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.