Délibération n° 2021-012 du 26 janvier 2021 portant avis sur un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé « SI Honorabilité » visant à assurer le contrôle de l'honorabilité des personnes soumises aux obligations des articles L. 133-6, L. 227-10 et L. 227-11 du code de l'action sociale et des familles et des articles L. 212-9, L. 212-13 et L. 322-1 du code du sport (demande d'avis n° 20019870)

La Commission nationale de l'informatique et des libertés,
Saisie par le ministre chargé des sports d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé « SI Honorabilité » visant à assurer le contrôle de l'honorabilité des personnes soumises aux obligations des articles L. 133-6, L. 227-10 et L. 227-11 du code de l'action sociale et des familles et des articles L. 212-9, L. 212-13 et L. 322-1 du code du sport ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de l'action sociale et des familles, notamment ses articles L. 133-6, L. 227-10 et L. 227-11 ;
Vu le code de procédure pénale, notamment ses articles 706-53-11 et 777-3 ;
Vu le code du sport, notamment ses articles L. 212-9, L. 212-13 et L. 322-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 31-I-2° et 89-I ;

Après avoir entendu M. Christian KERT, commissaire, en son rapport et M. Benjamin TOUZANNE, commissaire du gouvernement, en ses observations,
Emet l'avis suivant :
Le contrôle de l'honorabilité des personnes exerçant auprès des mineurs est une obligation inscrite dans le code de l'action sociale et des familles (CASF) et dans le code du sport qui prévoient une interdiction d'exercice de toute fonction en cas de condamnations à un crime ou à certains délits, ou encore en cas de mesure administrative d'interdiction ou de suspension d'exercer ses fonctions prononcée par le préfet, lorsque le maintien en activité du professionnel constitue un danger pour la santé et la sécurité physique ou morale des pratiquants ou des mineurs.
La Commission a été saisie par le ministère chargé du sport (ci-après le ministère), sur le fondement de l'article 31-I-2° de la loi du 6 janvier 1978 modifiée (ci-après loi « Informatique et Libertés »), d'une demande d'avis sur un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé « SI Honorabilité » visant à assurer le contrôle de l'honorabilité des personnes soumises aux obligations des articles L. 133-6, L. 227-10 et L. 227-11 du CASF et des articles L. 212-9, L. 212-13 et L. 322-1 du code du sport.
Elle a été concomitamment saisie par le ministère de deux demandes d'avis complémentaires concernant :



- un projet de décret relatif au recueil des données des personnes soumises aux obligations des articles L. 212-9 et L. 322-1 du code du sport en vue du contrôle de leur honorabilité ;
- un projet d'arrêté modifiant l'arrêté du 7 août 1997 relatif à la gestion par le ministère de la jeunesse et des sports d'un fichier des activités physiques et sportives concernant les éducateurs et les établissements.



Ces projets de texte sont destinés à répondre au besoin de systématiser le contrôle de l'honorabilité des éducateurs sportifs bénévoles licenciés des fédérations sportives et des exploitants d'établissements d'activités physiques et sportives licenciés des fédérations sportives. Pour ce faire, elles créent le « SI Honorabilité » pour lequel la direction des sports, la direction de la jeunesse, de l'éducation populaire et de la vie associative et le secrétariat général des ministères chargés des affaires sociales sont conjointement responsables, et ayant pour fonctionnalités principales :



- d'interroger le fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAISV) ;
- de gérer la base des cadres interdits ;
- de restituer aux services de l'Etat compétents les informations obtenues du FIJAISV pour gérer les incapacités d'exercice ou d'exploitation d'un établissement accueillant des activités physiques et sportives résultant des contrôles d'honorabilité effectués.



Deux actes réglementaires encadrent actuellement le traitement des données à caractère personnel utilisé aux fins de contrôle de l'honorabilité des personnes exerçant auprès de mineurs :



- pour le champ de la jeunesse, de l'éducation populaire et de la vie associative : l'arrêté du 19 avril 2012 créant le traitement de données à caractère personnel relatif à la gestion des accueils collectifs de mineurs à caractère éducatif dénommé « SIAM » détermine le contrôle de l'honorabilité des personnes exerçant au sein de ces accueils ;
- pour le champ du sport : l'arrêté du 28 février 2014 créant le traitement de données à caractère personnel dénommé « Télédéclaration des éducateurs sportifs » (traitement « EAPS ») définit les modalités du contrôle de l'honorabilité des éducateurs sportifs professionnels.



A terme (le 31 décembre 2021 au plus tard), le « SI Honorabilité » a vocation à devenir un portail mutualisé et unique de contrôle de l'honorabilité de l'ensemble des professionnels exerçant auprès de mineurs. Il devrait couvrir l'intégralité du dispositif de contrôle de l'honorabilité des personnes exerçant au sein d'accueils collectifs de mineurs dans le champ de la jeunesse, de l'éducation populaire et de la vie associative et des éducateurs sportifs professionnels, des éducateurs sportifs bénévoles et des exploitants d'établissements accueillant des activités physiques et sportives licenciés des fédérations sportives dans le champ du sport. Ainsi, d'après les informations transmises par le ministère, les traitements de données à caractère personnel « SIAM » et « EAPS » seront « raccordés » au « SI Honorabilité ». A cet égard, la Commission attire l'attention du ministère sur le fait que les actes réglementaires créant ces traitements devront être mis à jour préalablement à leur « raccordement » au « SI Honorabilité », dans la mesure où les traitements « SIAM » et « EAPS » alimenteront et seront alimentés par les données du « SI Honorabilité ».
Par ailleurs, dans la mesure où le « SI Honorabilité » pourrait également concerner d'autres acteurs (dans un calendrier restant à définir), par exemple les établissements de santé ou d'autres établissements du secteur social ou médico-social, la Commission alerte le ministère sur le fait que toute nouvelle utilisation du « SI Honorabilité » pour contrôler l'honorabilité des professionnels dans un champ nouveau, exigera une modification de l'arrêté portant création du « SI Honorabilité », dont elle devra être saisie.
D'un point de vue fonctionnel, le « SI Honorabilité » comporte deux portails distincts : le « SI Dépose » et le « SI Retour ».
Le portail « SI Dépose » est conçu pour que les fédérations puissent déposer les informations nécessaires à l'interrogation automatisée du FIJAISV concernant les éducateurs sportifs bénévoles et les exploitants d'établissements accueillant des activités physiques et sportives licenciés des fédérations sportives. A terme (le 31 décembre 2021 au plus tard), les traitements « SIAM » et « EAPS » seront connectés à ce portail aux fins de permettre l'interrogation automatisée du FIJAISV, du casier judiciaire national (bulletin n° 2) et de la base nationale des cadres interdits pour les personnes exerçant au sein des accueils collectifs de mineurs et les éducateurs sportifs professionnels.
Le portail « SI Retour » est conçu pour :



- gérer et consulter la base des cadres interdits des éducateurs sportifs bénévoles et identifier les personnes en incapacité d'exercer du fait d'une mesure administrative d'interdiction ou de suspension prononcée par le préfet. A terme (le 31 décembre 2021 au plus tard), les bases des cadres interdits actuellement intégrées aux traitements « SIAM » et « EAPS » seront fusionnées avec celle des éducateurs sportifs bénévoles au sein du portail « SI Retour » ;
- permettre aux services de l'Etat compétents de recevoir l'identité des personnes susceptibles d'être inscrites au FIJAISV et pour lesquelles une interrogation manuelle du fichier doit être faite ;
- à terme (le 31 décembre 2021 au plus tard), récupérer les informations relatives au contrôle du casier judiciaire national (bulletin n° 2) réalisé exclusivement à l'égard des personnes exerçant au sein des accueils collectifs de mineurs et des éducateurs sportifs professionnels : « 0 » pour les bulletins portant la mention « néant » et « 1 » pour la situation où un courrier a été envoyé au service compétent, en particulier en cas de condamnations éventuelles, de demandes de renseignements complémentaires concernant l'identité ou de décès de la personne. Ces informations ne sont pas affichées dans le « SI Retour » : elles sont stockées dans le « SI honorabilité » le temps que les traitements « SIAM » et « EAPS » récupèrent l'information.



Eu égard à ces circonstances, la Commission estime que le « SI Honorabilité » requiert une sécurisation juridique et technique de haut niveau, et formule les observations suivantes.
Sur les finalités du traitement
L'article 1er du projet d'arrêté précise que le traitement a pour finalité de permettre aux agents de la direction des sports et de la direction de la jeunesse, de l'éducation populaire et de la vie associative habilités, d'effectuer un contrôle de l'honorabilité des encadrants sportifs bénévoles et professionnels et des exploitants d'établissements accueillant des activités physiques et sportives licenciés des fédérations ainsi que des exploitants des établissements, services ou lieux de vie et d'accueil régis par les dispositions du CASF.
Aussi, le projet d'article précise que ce contrôle vise à s'assurer « que le maintien en activité des personnes contrôlées ne présente pas de risques ou de dangers pour la santé et la sécurité physique ou morale des mineurs ou des pratiquants en application des articles L. 227-10 et L. 227-11 du code de l'action sociale et des familles et de l'article L. 212-13 du code du sport. »
La Commission estime que les finalités projetées sont déterminées, explicites et légitimes conformément aux dispositions de l'article 5.1.b du RGPD.
Sur les conditions d'interrogation du FIJAIS et du casier judiciaire national
L'article 706-53-11 du code de procédure pénale prévoit qu'« aucun rapprochement ni aucune connexion au sens de l'article 33 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ne peuvent être effectués entre le fichier prévu par le présent chapitre (FIJAISV) et tout autre fichier ou recueil de données nominatives détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice, à l'exception du fichier des personnes recherchées pour l'exercice des diligences prévues au présent chapitre ». De façon constante, la Commission interprète le mot « connexion » à cet article comme visant spécifiquement les interconnexions.
Par ailleurs, l'article 777-3 du même code mentionne, qu'« aucune interconnexion au sens du 3° du I de l'article 33 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ne peut être effectuée entre le casier judiciaire national automatisé et tout autre fichier ou traitement de données à caractère personnel détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice ».
Les interrogations du FIJAISV et du casier judiciaire s'effectuent à partir du « SI Retour » de manière automatique par des services web ou API spécialisés mis en place par le ministère de la Justice et transitant par un réseau interne privé, sur la base des données d'identité inscrites dans le « SI Dépose » (notamment civilité, nom, prénom, date et lieu de naissance). Pour chacune des identités transmises, des codes retour spécifiques et un identifiant interne pseudonymisé sont renvoyés par ces interfaces. Ces données, ainsi que les données initialement envoyées et les identifiants internes au « SI Honorabilité », sont stockées dans le « SI Retour ».
Concernant le FIJAISV, quatre « codes retour » peuvent être retournés (erreur technique, impossibilité d'identifier la personne, identité à vérifier, ou identité non inscrite au FIJAISV). Un champ de commentaire en texte libre est destiné à l'administration centrale afin qu'elle puisse y inscrire tout élément qu'elle estimera nécessaire de porter à la connaissance du destinataire (en dehors d'indications en lien avec l'identité de la personne).
Concernant le casier judiciaire, il existe deux « codes retour » correspondant soit à un courrier envoyé au service compétent (demande de renseignements complémentaires ou contrôle manuel requis en raison d'un bulletin n° 2 positif) soit à l'information que le bulletin n° 2 porte la mention « néant ».
La Commission constate que ces modalités d'interrogation, et les retours qui en découlent, sont identiques à ceux mis en œuvre dans le cadre des traitements « SIAM » et « EAPS », qu'elle avait estimé conformes aux articles 706-53-11 et 777-3 du code de procédure pénale cités ci-dessus (délibérations n° 2012-031 du 2 février 2012 et n° 2013-274 du 26 septembre 2013). Le « SI Honorabilité » n'est ainsi pas alimenté automatiquement par des données issues du FIJAISV ou du casier judiciaire : ces fichiers sont, le cas échéant, uniquement consultés manuellement par un agent habilité.
Par ailleurs, la Commission s'interroge sur la durée de conservation d'un an des codes retour issus du FIJAISV. Dans le cadre du traitement « SIAM », elle avait relevé que ces codes n'étaient conservés qu'un mois et estime que le ministère devrait s'aligner sur cette durée. Elle prend acte de l'engagement du ministère de réduire cette durée à six mois.
Sur les accédants et les destinataires
L'article 4 du projet d'arrêté prévoit que « sont habilités à accéder aux données enregistrées dans le « SI Retour » à raison de leurs attributions respectives et dans la limite du besoin d'en connaître :



- Les agents de la direction des sports désignés par le directeur des sports ;
- Les agents de la direction de la jeunesse, de l'éducation populaire et de la vie associative désignés par le directeur de la jeunesse, de l'éducation populaire et de la vie associative ».



Cette disposition prévoit également que les agents des délégations régionales et départementales chargées de la jeunesse, des sports et de la cohésion sociale dûment habilités par leurs directeurs sont destinataires des informations enregistrées dans le « SI retour ».
La Commission prend note des observations du ministère précisant que seuls les agents habilités placés sous l'autorité du ministère chargé des sports et du représentant de l'Etat au sein des départements s'assureront de l'incompatibilité entre les fonctions d'éducateurs sportifs bénévoles et d'exploitants d'établissements physiques et sportifs licenciés des fédérations ainsi que des organisateurs d'accueils collectifs et les crimes et délits visés par le CASF et le code du sport.
S'agissant des informations transmises aux professionnels exerçant au sein des accueils collectifs, la Commission prend également note des observations du ministère selon lesquelles une lettre recommandée sera adressée aux organisateurs « dans le cadre où un intervenant est frappé d'une condamnation le rendant incapable d'exercer en accueils collectifs des mineurs en application des dispositions de l'article L. 133-6 du CASF » et que « les organisateurs d'accueils collectifs de mineurs ne sont pas informés de la nature des infractions commis par l'intervenant et le rendant incapable d'exercer au sein de ces accueils ».
La Commission prend note de ces observations et rappelle que la lettre adressée aux organisateurs ne devra mentionner que les seules informations pertinentes au regard de la finalité poursuivie conformément aux dispositions de l'article 5.1°.c du RGPD.
Concernant les informations relatives aux encadrants sportifs bénévoles et les exploitants d'établissements accueillant des activités physiques et sportives transmises aux fédérations, le ministère a précisé que « la notification d'incapacité est adressée à l'intéressé ainsi qu'à la structure au sein de laquelle la personne évolue » et que « Lorsque l'incapacité est motivée par des crimes et délits pour des faits de violence, la décision d'incapacité est transmise au référent désigné par chaque fédération, interlocuteur exclusif de la direction des sports, de manière à permettre à la fédération de mettre en œuvre les procédures administratives ou disciplinaires dont elle a la responsabilité (…) ».
Le ministère a précisé que « La fédération est informée uniquement lorsque l'incapacité est motivée par un crime ou un délit inscrit au FIJAISV » sans préciser toutefois si celle-ci sera informée de la nature des crimes et délits commis par l'intervenant. Sur ce dernier point, la Commission rappelle que celle-ci n'a pas à en avoir connaissance.
La notification d'incapacité est également notifiée à l'intéressé par les délégations régionales et départementales de la jeunesse, des sports et de la cohésion sociale.
Sur l'information et les droits des personnes
La Commission relève que les modalités d'information des éducateurs sportifs bénévoles sont précisées dans le cadre du projet de décret relatif au recueil des données des personnes soumises aux obligations des articles L. 212-9 et L. 322-1 du code du sport en vue du contrôle de leur honorabilité (délibération n° 2021-014 du 26 janvier 2021).
S'agissant des professionnels exerçant auprès des mineurs soumis au contrôle de l'honorabilité, le ministère a précisé que l'information sera délivrée par les organisateurs d'accueils collectifs de mineurs au moment de leur inscription au sein de la structure.
En outre, le ministère a également précisé que des « mentions d'information seront également disponibles sur les sites institutionnels des administrations concernées ». La Commission appelle l'attention du ministère sur la nécessité de mettre à jour les informations telles qu'elles existent actuellement.
Elle constate que les modalités d'exercice des droits sont prévues par le projet d'arrêté. En effet, l'article 5 du projet prévoit que les droits d'accès, de rectification et de limitation s'exerceront auprès de :



- « la direction des sports pour les personnes dont l'honorabilité est contrôlée en application des articles L. 212-9 et L. 322-1 du code du sport ;
- la direction de la jeunesse, de l'éducation populaire et de la vie associative pour les personnes dont l'honorabilité est contrôlée en application de l'article L. 133-6 du code de l'action sociale et des familles. »



La Commission relève, par ailleurs, que l'article 5 du projet d'arrêté prévoit que le droit d'opposition ne s'applique pas au présent traitement conformément aux dispositions de l'article 23 du RGPD et de l'article 56 de la loi « Informatique et Libertés ». La Commission rappelle que l'acte devra prévoir les mesures figurant à l'article 23-2 du RGPD.
Sur les durées de conservation
L'article 4-1° du projet d'arrêté prévoit que « dans le « SI dépose », les données d'identité relatives aux personnes dont l'honorabilité est contrôlée sont conservées durant un an. »
L'article 4-2° du projet d'arrêté prévoit, par ailleurs, que « dans le « SI retour », les données sont conservées (…) : a) Les données relatives aux personnes faisant l'objet d'une mesure de suspension, d'injonction de cesser, d'exercer ou d'interdiction d'exercer sont conservées pendant toute la durée de la mesure, augmentée d'un délai supplémentaire de quinze jours ; b) Les données mentionnées au 2 de l'article 2 et relatives aux personnes pour lesquelles une consultation du portail du fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes est nécessaire sont conservées pendant un an. »
Le ministère a précisé que ce délai était nécessaire dans la mesure où « les procédures d'enquêtes administrative préalable à une mesure de police administrative (…) peuvent être longues et complexes, en particulier lorsqu'elles nécessitent une coordination entre plusieurs départements ».
Au regard des observations précédentes, la Commission invite le ministère à réduire la durée de conservation à un mois à compter du dépôt des informations dans le « SI retour » par les agents du ministère de la justice, pour ce qui concerne le FIJAISV. Elle invite également le ministère à réduire la durée de conservation des traces fonctionnelles relatives aux événements associés aux personnes faisant l'objet d'un contrôle d'honorabilité pour cette même durée.
Sur les mesures de sécurité
La Commission relève tout d'abord que le traitement projeté, réalisé à grande échelle et incluant notamment des données sensibles, a fait l'objet d'une AIPD. Elle relève également que le « SI Honorabilité » a fait l'objet d'une homologation de sécurité couvrant l'ensemble de ses fonctionnalités, y compris celles relatives aux connexions avec les traitements « SIAM » et « EAPS », préalablement à son déploiement.
Concernant l'habilitation des utilisateurs, la Commission relève que des profils différents permettant une granularité des accès seront créés afin d'accéder aux données en tant que de besoin. Elle relève également que les profils administrateur seront limités à des fonctionnalités techniques telles que la gestion des comptes et le suivi des rejets techniques. Ces profils administrateur n'auront de plus accès à aucune donnée sensible.
La Commission relève que des mesures techniques ont été implémentées afin de cloisonner le « SI Dépose » et le « SI Retour », notamment grâce à l'utilisation de bases de données, de sous-réseaux et de serveurs différents. Le « SI Retour » ne sera de plus accessible aux utilisateurs qu'à partir de l'intranet du ministère.
La Commission prend acte de ce que des mesures de chiffrement permettant d'assurer l'intégrité et la confidentialité des données traitées seront mises en place dans le cadre du traitement, tant concernant le stockage, les sauvegardes, les flux d'accès que les échanges de données, et ce dans les différents environnements. Elle relève par exemple que les données d'identité seront chiffrées en base de données par des algorithmes à l'état de l'art et que des mesures organisationnelles sont mises en œuvre afin de chiffrer les emails transmis manuellement et pouvant contenir des listes de personnes ou documents. Elle relève cependant que les transmissions de données entre le « SI Retour » et les serveurs du ministère de la Justice lors de l'envoi et la réception automatiques des données liées à l'interrogation du FIJAISV et du casier judiciaire peuvent ne pas être chiffrées lors de la mise en production du « SI Honorabilité ». La Commission observe que ces transmissions de données seront effectuées via un réseau interministériel mais demande au ministère de mettre en place les mesures techniques liées au chiffrement des flux de données.
La Commission relève en outre que les numéros d'identification de dossier sont actuellement incrémentaux, ce qui peut permettre à un attaquant ou utilisateur de déduire des informations concernant les personnes faisant l'objet d'un contrôle d'honorabilité. Elle relève que des numéros d'identification de dossier non incrémentaux seront mis en place pour la fin du premier trimestre 2021 mais demande au ministère de mettre en place cette fonctionnalité préalablement au déploiement du « SI Honorabilité », par exemple en utilisant un générateur cryptographique de nombres pseudo-aléatoires pour ces numéros d'identification de dossier.
Concernant l'authentification des utilisateurs au sein du « SI Dépose » et du « SI Retour », la Commission prend note de l'utilisation d'une solution d'authentification et d'une politique de mot de passe conforme aux préconisations de la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Compte tenu de la sensibilité des données concernées, et bien qu'une telle mesure de sécurité ne soit pas explicitement imposée par les textes en vigueur, la Commission recommande fortement au ministère de ne permettre l'accès aux données qu'après une authentification forte, comprenant au moins deux facteurs d'authentification différents.
La Commission relève que les traces techniques ne comporteront pas de données sensibles et seront conservées pendant une durée de dix jours. La Commission rappelle que sa position sur la gestion des traces est de conserver ces dernières pour une durée de six mois pour des finalités de sécurité et de les assortir à un mécanisme proactif de contrôle automatique, mécanisme contribuant à la détection des comportements anormaux par la génération automatique d'alertes.
Enfin, la Commission relève que les traces fonctionnelles relatives aux événements associés à un utilisateur seront conservées indéfiniment. La Commission considère au regard de la finalité de sécurité et des éléments dont elle dispose qu'une durée de conservation illimitée est excessive. La Commission rappelle de nouveau que sa position sur la gestion des traces est de conserver ces dernières pour une durée de six mois pour des finalités de sécurité et de les assortir à un mécanisme proactif de contrôle automatique. S'il était déterminé que des risques résiduels importants demeuraient malgré la mise en place de cet outil de contrôle proactif, il pourrait alors être envisagé d'augmenter cette durée afin de couvrir le risque identifié.
Les autres points du projet d'arrêté n'appellent pas d'observations de la Commission.

La présidente,


M.-L. Denis