J.O. 37 du 12 février 2006       J.O. disponibles       Alerte par mail       Lois,décrets       codes       AdmiNet
Ce document peut également être consulté sur le site officiel Legifrance


Délibération n° 2005-183 du 5 juillet 2005 portant avis sur le projet d'arrêté du Premier ministre créant un traitement de données à caractère personnel mettant en place le téléservice « demande d'acte de naissance »

NOR : CNIX0609072X


La Commission nationale de l'Informatique et des Libertés,

Saisie le 23 mai 2005 par le secrétariat général du Gouvernement d'une demande d'avis sur l'arrêté créant le téléservice de demande d'acte de naissance ;

Saisie également, à la même date, d'un dossier de formalités préalables portant sur le projet de téléservice correspondant au projet d'arrêté ;

Vu la convention no 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive no 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 27 (II, 4°) ;

Après avoir entendu Mme Isabelle Falque-Pierrotin et M. Jean-Marie Cotteret, commissaires, en leur rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations,

Emet l'avis suivant :

La CNIL a été saisie, par l'Agence pour le développement de l'administration électronique (ADAE), le 23 mai 2005, d'un dossier de formalités préalables portant sur le portail internet « demande d'acte de naissance ». Ce projet s'inscrit dans le cadre de l'action no 25 du plan ADELE adopté en février 2004 par l'ADAE (généralisation, dans un premier temps, des services de demande en ligne d'extrait d'acte de naissance. Ensuite, en fonction de l'évolution du droit, dématérialisation de la transmission des actes authentiques).

Ce portail « demande d'acte de naissance » est un téléservice facultatif destiné à faciliter les démarches des usagers. Il est non exclusif de tout autre moyen de demander un acte de l'état civil directement aux communes ou aux autorités habilitées à délivrer les actes.



Le régime juridique applicable à ce traitement est l'article 27 (II, 4°) de la loi du 6 janvier 1978 dans la mesure où il s'agit d'un téléservice de l'administration destiné aux usagers de l'administration électronique.

Le téléservice de l'ADAE sera limité, dans un premier temps, aux demandes relatives aux actes de naissance, quelle que soit la commune de naissance. A terme, il sera étendu aux actes de mariage et de décès. Un site portail identifiable au niveau national permettra soit d'accéder directement à un formulaire de demande de copie intégrale ou d'extrait d'acte de naissance, soit de renvoyer vers les sites internet des communes.

La commission estime que les objectifs de simplification poursuivis par la création du téléservice de demande d'acte de naissance sont légitimes dès lors, d'une part, que l'utilisation de ce service est facultative et, d'autre part, que toutes garanties sont prises afin que ne soit pas constitué, à l'occasion de ce service, un fichier des demandeurs d'acte de naissance ou des données qu'ils auront communiquées, en particulier sur leur état civil ou leur filiation.

La commission estime que, pour assurer le respect des règles de protection des données à caractère personnel, le service de demande d'extrait d'acte de naissance devra se limiter à cette seule finalité et ne devra enregistrer que les seules données indispensables pour assurer la transmission de celles-ci aux seuls destinataires désignés par l'usager et habilités à connaître de ces informations, au titre de leurs missions.

Sur la justification du téléservice au regard de la nature des demandes d'actes de naissance et du principe de finalité :

La commission souligne que la tenue des registres d'état civil constitue une obligation pour les maires et les personnes concernées qui ne peuvent s'opposer à l'information des actes les concernant. En contrepartie, l'accès et l'utilisation de ces registres sont encadrés par le code civil et l'instruction générale sur les règles de l'état civil.

La commission rappelle que les articles 9 à 11 du décret no 62-921 du 3 août 1962 modifiant certaines règles relatives aux actes de l'état civil constituent la base juridique de la délivrance des copies intégrales ou des extraits des actes de l'état civil.

En outre, le décret no 2000-1277 du 26 décembre 2000 portant simplification de formalités administratives et suppression de la fiche d'état civil prévoit, par principe, qu'une simple photocopie d'un document attestant de l'identité, de l'état civil, de la situation familiale ou de la nationalité doit suffire, quand une disposition législative ou réglementaire exige une telle information. Ainsi, l'article 2 du décret du 26 décembre 2000 prévoit explicitement que la production du livret de famille ou de sa photocopie remplace la production d'un extrait d'acte de naissance.

La commission constate que de nombreux organismes continuent de demander la production systématique d'un extrait d'acte de naissance. Si la nécessité de vérifier la situation familiale avant l'ouverture d'un nouveau droit apparaît légitime, tout en devant être fondée sur un texte législatif ou réglementaire, force est de constater que de nombreuses demandes d'extraits d'acte de naissance sont excessives au regard de la volonté du Gouvernement de simplification des démarches administratives. Elles pourraient être satisfaites par de simples photocopies du livret de famille.



En conséquence, la commission demande à l'ADAE de diffuser sur le site internet du téléservice la liste des organismes seuls habilités à demander une copie intégrale ou un extrait d'acte de naissance.

Enfin, la commission estime qu'à l'article 2 de l'arrêté, qui précise les finalités du téléservice et qui dispose que « le traitement a pour finalité de permettre aux usagers d'effectuer, par internet, des demandes d'actes de naissance aux officiers publics compétents », les termes « aux officiers de l'état civil » seraient plus précis.

Sur la possibilité offerte par le téléservice pour une commune de demander une copie intégrale ou un extrait d'acte de naissance d'une personne à sa commune de naissance :

La commission constate que l'ADAE prévoit, sur le fondement de l'article 11-1 (ajouté par le décret no 2004-1159 du 29 octobre 2004) du décret du 3 août 1962 que les communes référencées dans le téléservice peuvent demander aux autres communes, ayant le même statut, une copie ou un extrait d'acte de naissance d'une personne. L'article 11-1 prévoit explicitement une information de la personne préalablement à la demande.

La commission demande que, dans l'attente du changement du cadre réglementaire relatif à l'état civil qui est en cours de préparation par le ministère de la justice, des modalités particulières d'information soient définies par ce ministère de façon à garantir effectivement cette information prélable. Elle souhaite que le projet d'arrêté portant création du traitement soit utilement complété en ce sens.

En outre, la commission souligne que la demande effectuée par la commune doit s'inscrire dans un cadre juridique qui l'autorise à effectuer une telle demande à la commune de naissance de la personne concernée. Il convient, précisément, qu'une telle demande soit nécessairement reliée à un dossier correspondant afin d'y être rattachée et d'éviter des demandes sans fondement.

En conséquence, la commission demande que la faculté offerte par l'article 11-1 du décret du 3 août 1962 ne soit activée que lorsqu'un texte disposera que les communes sont amenées à demander des copies ou extraits d'acte de naissance pour instruire elles-mêmes un dossier particulier.

Sur l'authentification de l'usager :

La commission rappelle que l'authentification de l'usager sera assurée par la saisie de ses informations personnelles conformément aux règles du décret du 3 août 1962.

Elle souligne que la question de l'authentification de l'usager se pose dans de nombreux dossiers d'administration électronique. La commission rappelle les risques d'utilisation détournée inhérents à une authentification de faible niveau et demande que les conditions des demandes des copies et des extraits de l'état civil soient réexaminées par le ministère de la justice.

La commission souhaite que le système comporte un avertissement rappelant les personnes habilitées à demander des copies ou extraits d'acte de naissance.



Sur l'utilisation de données à caractère personnel collectées :

Les informations collectées sont celles exigées par le décret no 62-921 du 3 août 1962 susvisé. Elles sont nécessaires à l'instruction de la demande et destinées au service de l'état civil de la mairie de naissance. La commission souligne le strict respect de ces données par le portail de l'ADAE.

Elle remarque cependant que, dans le cas où le portail de l'ADAE renvoie vers le site internet d'une mairie, celui-ci peut parfois comporter des collectes excessives de données telles que le type et le numéro de la pièce d'identité alors même qu'aucun usage ne peut en être fait par la collectivité et que le décret du 3 août 1962 n'en prévoit pas le recueil.

La commission demande à l'ADAE d'inciter les mairies partenaires, à défaut de reprendre le formulaire de l'ADAE, à en respecter les mêmes champs.

La commission rappelle, par ailleurs, que la collecte du numéro de téléphone et de l'adresse électronique du demandeur doit rester facultative et ces informations n'être demandées qu'en vue d'un meilleur suivi de la demande.

Le motif de la demande qui semble mis en oeuvre uniquement dans un but statistique doit également rester facultatif. La commission rappelle que l'application doit permettre à l'usager de ne pas avoir à justifier sa demande. Sur ce point, la commission demande que l'article 4 de l'arrêté créant le traitement soit complété de la zone « motifs » avec une précision sur son caractère facultatif.

Enfin, si l'application génère un message dynamique lorsque l'acte civil demandé n'est pas nécessaire pour le motif sélectionné, la commission regrette que ce message n'ait pas de conséquence sur la suite de la demande de l'usager qui peut passer outre.

Sur la durée de conservation des données :

L'ADAE souhaite conserver pendant une durée de conservation maximale de deux mois l'ensemble des données validées par l'usager, tant que la commune destinataire n'en a pas pris connaissance.

La commission considère que ce délai de conservation de deux mois est excessif. Elle demande qu'il soit réduit à un mois.

En outre, aucune précision n'étant apportée sur le délai de conservation des données à caractère personnel par les communes, la commission admet, conformément à la norme simplifiée no 43 du 24 juin 2004 relative au traitement automatisé d'informations nominatives mis en oeuvre par les communes pour la gestion de l'état civil, que les communes conservent pendant un an maximum des données à caractère personnel sur le demandeur (nom, prénom, adresse, nature de la demande). Elle prévoit, en revanche, un effacement des autres données contenues dans la demande (les données relatives à l'acte lui-même sont conservées dans les fichiers de l'état civil des communes). L'article 4 du projet d'arrêté créant le traitement devrait être complété en ce sens.



Sur l'information des personnes :

La commission rappelle que les mentions prescrites par l'article 32 de la loi du 6 janvier 1978 modifiée devront apparaître sur le formulaire électronique mis en place par l'ADAE.

Sur la sécurité du dispositif :

La commission rappelle que des engagements de sécurité (gestion des mots de passe, confidentialité des informations, personnels habilités...) devront figurer dans les conventions prévues entre l'ADAE et les communes.

La commission souligne que l'accès par les agents des collectivités au système par un simple identifiant/mot de passe permet de se connecter depuis n'importe quel poste informatique. En cas de perte ou de vol du mot de passe, un tiers peut ainsi accéder aux données. La commission demande que la prochaine version du portail de l'ADAE mette en place une solution d'authentification plus forte des agents des collectivités.

Sur les destinataires du traitement :

L'article 3 du projet d'arrêté créant le traitement précise comme destinataires du traitement les « mairies dépositaires des registres d'état civil ». Il conviendrait de modifier cette rédaction afin de préciser : « les mairies ayant été référencées par le dispositif de l'ADAE ».

Sur les déclarations de traitement des communes participant au téléservice de l'ADAE :

Devant être saisie des traitements qui seront mis en oeuvre par les communes pour assurer la réception et l'intégration des informations transmises par l'ADAE, la commission demande que le projet d'arrêté créant le traitement du téléservice soit complété d'une disposition précisant que les traitements des communes s'y conformant et créés pour les fins susvisées peuvent être déclarés à la commission par un simple engagement de conformité à cet arrêté.

Cet engagement de conformité ne saurait couvrir, cependant, le site internet éventuellement créé par la commune avec un formulaire propre de collecte des données à caractère personnel, ou l'application de gestion de l'état civil qu'elle possède par ailleurs.



Le président,

A. Türk