Des annuaires de crise en fichiers... CNIL, délib. n° 2012-389, 8 nov. 2012, dispense de déclaration, traitements automatisés de données à caractère personnel, gestion de crise...
Le 28 novembre 2012, par Geneviève Koubi,
La Commission nationale de l’informatique et des libertés (CNIL), dans une délibération n° 2012-389 du 8 novembre 2012, prend en considération "les plans de continuité d’activité" afin de dispenser de déclaration les traitements automatisés de données à caractère personnel mis en œuvre par les ministères dans le cadre de gestion de crise aux fins de pouvoir mobiliser leurs ressources humaines et celles d’autres structures prestataires de services (Dl-018) [1]. La base de ses observations est la circulaire n° 5567/SG du secrétariat général du Gouvernement en date du 2 janvier 2012 relative à l’organisation gouvernementale pour la gestion des crises majeures
Suivant cette ligne, la CNIL ne s’interroge pas sur la délimitation de la notion de "crise majeure" et adopte nécessairement le point de vue des autorités publiques. Dans la chronique de l’administration à la Revue française d’administration publique en 2012 [2], il est indiqué que cette circulaire du 2 janvier 2012 s’inscrit « dans les orientations du Livre blanc sur la défense et la sécurité nationale et de la loi du 29 juillet 2009 relative à la programmation militaire pour les années 2009 à 2014 et portant diverses dispositions concernant la défense. La crise majeure est celle qui s’étend à plusieurs secteurs et justifie ainsi une coordination interministérielle renforcée. La direction politique et stratégique des crises majeures est assurée par le Premier ministre en liaison avec le Président de la République. Certains ministres ont une responsabilité particulière dans la préparation et la conduite des crises : défense, intérieur, affaires étrangères et européennes. Un dispositif structuré permet d’assurer la coordination : la cellule interministérielle de crise (CIC). Le Premier ministre peut désigner un ministre chargé de la conduite opérationnelle et de la direction de la cellule interministérielle de crise. Celle-ci assure trois fonctions principales : situation, communication, décision. » [3] La CNIL s’appuie sans doute sur de mêmes approches révélant une perception minimale de la notion de ’crise majeure’ afin de retenir les « schémas d’organisation gouvernementale de conduite de crise afin d’assurer, en cas de crise, la sûreté, la sécurité et le fonctionnement de l’État » tels qu’ils sont proposés dans la circulaire n° 5567/SG en date du 2 janvier 2012.
.
La CNIL fait alors référence à des plans de continuité d’activité (PCA) qui ne sont pas directement visés par ladite circulaire. Ils y sont cependant clairement sous-entendus au-delà des plans de protection et de sécurité civile, sans omettre leur mise en place lors des mesures de prévention et de protection instituées face aux risques de pandémie grippale en 2009. Ils sont souvent signalés au sein de l’organisation des ministères. Ainsi, un décret en Conseil des ministres peut effectivement envisager de recourir au service de sécurité nationale et faire en sorte que les salariés concernés par un plan de continuité d’activité - d’importance vitale - ne pourront être autorisés à quitter leur travail ou seront obligés de rejoindre leur poste de travail. L’article L. 2171-1 du Code de la défense les présupposent également : « En cas de survenance, sur tout ou partie du territoire national, d’une crise majeure dont l’ampleur met en péril la continuité de l’action de l’État, la sécurité de la population ou la capacité de survie de la Nation, le Premier ministre peut recourir au dispositif de réserve de sécurité nationale par décret. / Le dispositif de réserve de sécurité nationale a pour objectif de renforcer les moyens mis en œuvre par les services de l’État, les collectivités territoriales ou par toute autre personne de droit public ou privé participant à une mission de service public. Il est constitué des réservistes de la réserve opérationnelle militaire, de la réserve civile de la police nationale, de la réserve sanitaire, de la réserve civile pénitentiaire et des réserves de sécurité civile. » Le dispositif de réserve de sécurité nationale renvoie donc à une notion de plan de continuité d’activité que la CNIL retient dans son argumentation.
La CNIL observe ainsi que ces plans de continuité d’activité « sont obligatoires pour les administrations de l’État et les services des hauts fonctionnaires à la défense (SHFD) jouent à cet égard un rôle essentiel. »
.
Du fait de la dispense de déclaration [4], elle autorise l’imbrication entre gestion d’une crise et prévention de la crise (majeure ?). Or, en se penchant essentiellement sur les plans de continuité d’activité, elle remarque que « le PCA est avant tout le fruit d’une démarche de prévention organisationnelle, et se veut tout d’abord un outil d’analyse permettant d’évaluer les activités et les postes indispensables au maintien de l’activité de l’organisme. »
Ainsi que le "cadre de référence" annexé à la circulaire le signifie, une "préparation" à la gestion d’une crise majeure est nécessaire. Outre la détermination des modes de répartition des responsabilités entre les différentes autorités gouvernementales et entre les services de défense, l’idée principale est d’assurer la continuité de l’État... au plan "civil". Car, secret oblige et la circulaire du 2 janvier 2012 le rappelle formellement, « les engagement des armées qui obéissent à des principes constitutionnels spécifiques et à une organisation particulière ne sont pas traités » dans le document qui lui est annexé. Dès lors, la fonction des plans de continuité n’est pas agencée autour de la continuité de l’État mais plutôt autour de la continuité des services administratifs centraux, - plus que que de la continuité des services publics en général. La circulaire du 2 janvier 2012 use de l’expression "continuité de la vie de la Nation", mais elle l’invoque en sus de la protection de la population et du territoire, du maintien du fonctionnement des pouvoirs publics [5].
Il n’en demeure pas moins que, dans son avis, la CNIL ne cherche pas à dissocier les deux aspects civil et militaire [6]. Dans la circulaire du 2 janvier 2012, la répartition des responsabilités permet cependant de distinguer les formes des crises majeures : dans l’espace militaire, « le ministre de la défense est responsable de l’anticipation et du suivi des crises intéressant la défense », ce qui peut conduire à l’engagement des forces armées par le Président de la République ; dans l’espace civil, « le ministre de l’intérieur est responsable de l’anticipation et du suivi des crises susceptibles d’affecter la sécurité intérieure et la sécurité civile. Il est chargé de la conduite opérationnelle des crises sur le territoire de la République... » ; et, dans l’espace international, « le ministre des affaires étrangères et européennes coordonne la gestion des crises extérieures... » ; dans l’espace économique, le ministre chargé de l’économie « prend les mesures de sa compétence garantissant la continuité de l’activité économique en cas de crise majeure et assure la protection des intérêts économiques de la Nation » ; etc.
En cas de crise majeure, qu’il s’agisse de la prévenir ou de la gérer, le civil et le militaire sont corrélés.
.
Pour autant, les domaines d’intervention de la CNIL dans ce schéma de préparation à la gestion de crise sont concentrés sur la désignation des titulaires des fonctions essentielles à la continuité de la chaîne de décisions. La CNIL note ainsi que « dans le cadre de ces plans, des traitements de données peuvent être mis en œuvre, notamment aux fins de constitution d’annuaires des personnes physiques susceptibles d’assurer les fonctions cruciales identifiées au sein des services des hauts fonctionnaires de défense. »
Tandis que les services de renseignements sont le sujet principal ou accessoire de plusieurs commissions parlementaires [7], l’interférence de cette délibération de la CNIL dans le débat devrait pourtant inciter à une réflexion sur la composante d’une "crise majeure". En effet, la notion de crise majeure n’est pas arrêtée. La circulaire du 2 janvier 2012 précise "qu’une crise, avant de devenir majeure, peut ne concerner qu’un seul secteur d’activités". Elle relève alors les cas dans lesquels une crise, « en fonction de son intensité et de son impact (...) peut être qualifiée de majeure dès son apparition ou le devenir pendant son développement. L’État doit être en mesure d’anticiper cette évolution et de se préparer à la montée en puissance progressive de son dispositif de réponse. » [8]
Ces modulations ne sont pas l’objet de la décision n° 2012-389 du 8 novembre 2012 de la CNIL. La CNIL, retenant la détermination d’un plan de continuité qui n’est pas formellement exposé dans la circulaire du 2 janvier 2012, s’intéresse à la « constitution d’annuaires des personnes physiques susceptibles d’assurer les fonctions cruciales identifiées au sein des services des hauts fonctionnaires de défense. » Il ne s’agit donc pas de discerner quelles sont les fonctions indispensables en cas de crise majeure mais de désigner quelles sont les personnes les plus à même de les assurer. Confiance et disponibilité, loyalisme et loyauté sont inévitablement au cœur du projet. Sont là principalement visés les hauts fonctionnaires de défense et de sécurité [9], mais il faut penser qu’ils ne sont pas les seuls... La composition de cet échantillon ’crucial’ implique une sélection spécifique des personnes concernées et, inévitablement la constitution d’un fichier qui, sous le nom bureaucratique d’annuaire, permettrait de les situer et de suivre leur parcours. Ce modèle ne relève pas directement "des catégories les plus courantes de traitements de données à caractère personnel, celles qui sont dispensées de déclaration", aussi la CNIL considère que « compte tenu des finalités, des catégories de personnes concernées, des données à caractère personnel traitées, de la durée de conservation de celles-ci et des destinataires des traitements des données à caractère personnel relatives aux annuaires de crise », les traitements en cause ne peuvent faire l’objet d’une dispense de déclaration qu’à certaines conditions, et, plus exactement, selon ses propres formules, « sous réserve du strict respect des dispositions .... Ce sont ces dispositions qui composent la teneur de sa décision n° 2012-389 du 8 novembre 2012.
.
Le principe initial est que « le traitement doit avoir pour seules finalités : a) De contribuer à l’élaboration d’un plan de continuité d’activité (PCA) dans le contexte d’une crise impactant l’administration nationale française en identifiant les personnes susceptibles d’être disponibles, au sein des SHFD, en raison de leur situation familiale ou/et de leur mode de déplacement ; / b) Dans le cadre du suivi du PCA, de mobiliser les personnes identifiées par l’organisme. / Le traitement ne peut pas être utilisé pour la gestion courante du personnel. » (art. 2) Or, ces dispositifs sont indéniablement détachées des descriptifs de la circulaire du 2 janvier 2012 qui concerne surtout les responsabilités gouvernementales. La détermination d’un plan de continuité d’activité s’entend nécessairement sur un terrain sectoriel, même si plusieurs secteurs doivent être envisagés dans le cas d’une crise majeure. Peut-être que des textes spécifiques, non diffusés et non publiés, sont intervenus ’en interne’ pour rendre compte des liens à renforcer entre l’organisation de la Cellule de crise interministérielle (CIC) comme celle des autres cellules (de crise sanitaire ou de continuité économique), centres opérationnels et services administratifs et la situation des personnels attachés à ces autres cellules, centres et services. Car, de toute évidence, ce ne sont pas les seuls hauts fonctionnaires de défense et de sécurité qui entrent dans cet annuaire particulier.
Les informations collectées et traitées concernent, en effet, « les agents des services des hauts fonctionnaires de défense (SHFD) [et] les agents d’autres administrations de l’État ou d’organismes publics ou privés avec qui le SHFD du ministère concerné entretient des relations. » (art. 3) En ce que « la collecte de ces données a lieu directement auprès des personnes concernées » (art. 3), on peut penser que ces dernières, en acceptant de les délivrer - et à condition qu’elles soient informées de la raison d’être du questionnaire éventuel -, adhèrent sans réserve au jeu de la gestion des crises majeures décidé par l’État, - étant entendu que ces données seront « conservées jusqu’à la cessation définitive de leurs fonctions afférentes aux dispositifs de gestion de crise. » Ceci suppose donc qu’elles « doivent faire l’objet d’une mise à jour régulière afin de maintenir le caractère opérationnel de l’annuaire de crise. Les données non exactes ou non mises à jour doivent être supprimées en conséquence. » (art. 5)
Toutefois, la CNIL précise que « le traitement doit se limiter aux données suivantes : / a) Pour l’identité : nom, nom marital, prénoms, adresses postale et électronique personnelles, coordonnées téléphoniques personnelles ; / b) Pour la situation familiale : présence au foyer d’enfants à charge de moins de trois ans, présence au foyer d’enfants à charge scolarisés (école maternelle et primaire), autres contraintes personnelles pouvant empêcher de se rendre sur son lieu de travail en cas de crise (telles que parents à charge). Les données collectées dans cette catégorie doivent se limiter à des réponses par oui ou non aux questions posées ; / c) Pour la fonction exercée : lieu de travail, numéro d’identification interne (à l’exclusion du NIR), emploi occupé, caractéristiques du poste (tels que contact avec le public, déplacements fréquents) ; / d) Pour les moyens de déplacement des personnes : mode de transport habituel, mode de transport alternatif, distance lieu de résidence/lieu de travail, permis de conduire. » (art. 3) Elle ajoute aussi que « les informations traitées (...) ne doivent pas être relatives aux infractions, condamnations ou mesures de sûreté ni faire apparaître, directement ou indirectement, les origines raciales, les opinions politiques, philosophiques, religieuses, l’appartenance syndicale des personnes ni être relatives à la santé ou à la vie sexuelle de celles-ci. » (art. 3) Mais même si elle signale que des contrôles pourraient être mis en place, le risque est que la condition relative aux "infractions, condamnations ou mesures de sûreté" soit difficilement respectée puisque l’objectif d’un plan de continuité d’activité le susciterait plus ou moins dans la mesure où il s’agirait de répondre à des fonctions ’cruciales’ pour la défense et la sécurité...
Il est alors nécessaire de prévoir des « mesures de protection physique et logique (...) afin de préserver la sécurité du traitement et l’intégrité des données traitées ainsi que d’empêcher tout accès ou toute utilisation détournés ou frauduleux de celles-ci, notamment par des tiers non autorisés. » (art. 7) L’annuaire de crise est alors à la seule disposition des gestionnaires de la crise... sectorielle ou majeure.
Mais l’incertitude quant à la définition de la "crise", inévitablement circonscrite par les autorités gouvernementales, grève toujours quelque peu le propos.
.
Pour la constitution de tels traitements automatisés de données à caractère personnel, même sous le label d’annuaire de crise, la référence à la circulaire du 2 janvier 2012 relative à l’organisation gouvernementale pour la gestion des crises majeures en apparaît donc que plus problématique...
.
Notes :
[1] JO 28 nov. 2012.
[2] RFAP 2012/1, n° 141.
[3] V. par ailleurs, Gk, « Une circulaire pour une gestion des "crises majeures" » (25 janvier 2012).
[4] Délib. n° 2012-389 du 8 nov. 2012, art. 8 : « Effets de la dispense de déclaration. / Les traitements répondant aux conditions visées aux articles 2 à 7 peuvent être mis en œuvre sans délai et sans déclaration préalable auprès de la CNIL. / La dispense de déclaration préalable auprès de la CNIL n’exonère le responsable de tels traitements d’aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel. En particulier, la commission rappelle qu’elle se réserve le droit de contrôler le respect des dispositions de la présente délibération. »
[5] Relire l’article 16 de la Constitution ne serait pas inutile...
[6] Ce qui est désormais courant. Par ex., pendant la session extraordinaire 2010-2011, lors du débat à l’Assemblée nationale sur la proposition de loi, adoptée par le Sénat, tendant à faciliter l’utilisation des réserves militaires et civiles en cas de crise majeure, le président de la commission de la défense nationale et des forces armées (de l’époque) avait tenu ce discours : « Quel que soit le scénario de crise, la sécurité civile et la sécurité intérieure sont toujours les premières à intervenir. (...) Les cas potentiels de crise majeure ont tendance à se multiplier, pour plusieurs raisons. La complexité croissante de notre économie nous pousse à investir dans des installations représentant des risques technologiques importants, quand bien même leur conception et leur réalisation répondent aux plus hautes normes de sécurité technologique dont notre pays est capable. Notre économie dépend également d’un certain nombre d’infrastructures vitales, dont le caractère critique tend à s’accentuer avec le développement de leur technicité. Nous ne sommes pas à l’abri d’un risque d’attaques contre ces infrastructures, et nous ne pouvons pas en ignorer les conséquences. Enfin, une multiplication des catastrophes naturelles ne peut être exclue (...) : il suffit de se souvenir de la tempête Xynthia ou des inondations dans le Var (...). Ces éléments contribuent à expliquer le lien si étroit entre la défense et la sécurité de notre territoire, lien qui tend à devenir de plus en plus fort. (...) Défendre notre pays en effet, ce n’est pas seulement prévoir les menaces extérieures mais également parer à celles venant de l’intérieur... »
[7] V. par ex., à l’Assemblée nationale, la mission d’information : "Évaluation du cadre juridique applicable aux services de renseignement". Sans compter les différentes propositions de création de commission d’enquête sur le fonctionnement des renseignements généraux et l’évolution des missions des services de renseignement intérieur. V. en outre, L. n° 2007-1443 du 9 octobre 2007 portant création d’une délégation parlementaire au renseignement, JO 10 oct. 2007.
[8] V. annexe à la circulaire, p, 6 du .pdf : § 2 De la crise sectorielle à la crise majeure.