La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d'une demande d'avis concernant un projet d'arrêté autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel permettant la réalisation de procédures au moyen d'un téléservice relatif aux offices publics ou ministériels, dénommé « OPM »,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;
Vu la loi n° 2015-990 du 6 août 2015 pour la croissance, l'activité et l'égalité des chances économiques, notamment ses articles 52 et 57 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 12 octobre 1998 portant création d'un traitement automatisé d'informations nominatives ayant pour objet le suivi de la réglementation et la gestion des professions judiciaires et juridiques ;
Vu l'arrêté du 25 juillet 2014 portant création d'un traitement automatisé ayant pour objet la réalisation d'études statistiques sur les professions juridiques et judiciaires et le suivi des professions d'administrateur et de mandataire judiciaires ;
Vu l'arrêté du 1er décembre 2014 fixant l'organisation en bureaux de la direction des affaires civiles et du sceau ;
Après avoir entendu M. Gaétan GORCE, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de la justice d'une demande d'avis concernant un projet d'arrêté autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel permettant la réalisation de procédures au moyen d'un téléservice relatif aux offices publics ou ministériels, dénommé « OPM ».
Les officiers public ou ministériels sont délégataires d'une mission de service public et sont, à ce titre, nommés par arrêté du garde des sceaux, ministre de la justice.
Afin de faciliter leurs démarches auprès du garde des sceaux, le ministère met en œuvre une téléprocédure permettant à ces professionnels de dématérialiser leurs demandes. La mise en œuvre de ce dispositif s'inscrit par ailleurs dans un contexte plus général de modernisation des outils mis à la disposition de la direction des affaires civiles et du sceau (DACS) dans la gestion de ces professionnels, notamment en raison de la réforme opérée par la loi 6 août 2015 susvisée.
Le traitement envisagé, qui comporte un aspect téléservice, doit dès lors être autorisé par arrêté ministériel pris après avis motivé et publié de la commission, en application des dispositions de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement :
La gestion des professions réglementées est assurée, au sein de la DACS, par le bureau des officiers ministériels et de la déontologie. A cette fin, il met en œuvre plusieurs traitements, dont les traitements dénommés PROSPER 2 et PEP'S créés respectivement par les arrêtés susvisés en date des 12 octobre 1998 et 25 juillet 2014.
La loi du 6 août 2015 susvisée a réformé les procédures de création d'office de notaires, d'huissiers de justice, de commissaires-priseurs judiciaires et d'avocats au Conseil d'Etat et à la Cour de cassation.
Cette réforme va entraîner un nombre important de demandes de nomination au sein d'office créés à l'initiative des professionnels. Par ailleurs, plusieurs décrets d'application de ladite loi rendent obligatoire pour ces professionnels le recours à une téléprocédure pour formuler leurs demandes au garde des sceaux, ministre de la justice. D'autres décrets, en cours d'élaboration, viendront étendre le champ des demandes qui devront être formulées par l'intermédiaire d'une telle téléprocédure.
Or, les traitements existants sont jugés trop cloisonnés par le ministère et entraînent de nombreuses doubles saisies. C'est dans ce contexte que le ministère a souhaité moderniser ces outils.
Le traitement envisagé doit permettre, d'une part, aux professionnels de saisir l'administration de leurs demandes par voie électronique et, d'autre part, de constituer au profit des services compétent du ministère un outil de gestion de ces demandes et de suivi de l'activité de ces professionnels.
Dans ce cadre, l'article 1er du projet d'arrêté assigne quatre finalités au traitement projeté :

- l'ouverture d'un espace d'information permettant aux professionnels et au public de s'informer des nouvelles procédures en vigueur ;
- la mise à disposition des officiers publics ou ministériels d'un téléservice par lequel ils formuleront leurs demandes et dont ils pourront suivre l'état d'instruction en ligne ;
- le suivi par le service gestionnaire de ces professions, des structures d'exercice et des professionnels concernés ;
- la réalisation d'études statistiques.

S'agissant tout d'abord de la téléprocédure, elle permettra aux professionnels déjà nommés et à ceux remplissant les conditions pour le devenir de créer un compte nominatif pour former leurs demandes, de transmettre les documents nécessaires à leur examen et d'en suivre l'état d'instruction. La commission relève à cet égard que, dans un premier temps, seules les demandes de création d'offices de notaire devront être déposées via ce téléservice. A terme, l'ensemble des demandes concernant ces professionnels et relevant de la compétence du garde des sceaux (demande de nomination sur présentation, demandes de nomination aux offices créés ou vacants, demande de prolongation d'activité, etc.) seront prises en charge par ce canal, à l'exception des procédures maintenant un dépôt des demandes auprès du parquet général près la cour d'appel du ressort de l'office (régime applicable en Alsace-Moselle).
Des textes réglementaires viennent préciser les délais pour déposer les pièces nécessaires à l'instruction des demandes et les conséquences à tirer d'une absence de complétude du dossier dans les délais fixés.
Le ministère précise que le caractère obligatoire de ce téléservice répond à un besoin impératif d'horodatage des demandes, l'ordre d'enregistrement des demandes reçues par les services de la DACS pouvant constituer, en application des textes en vigueur, un critère de nomination.
La commission a toujours considéré que la simplification des démarches administratives et l'amélioration des relations entre les administrés et l'administration constituent des finalités légitimes, sous réserve que des mesures appropriées soient prévues.
A cet égard, le ministère estime que l'utilisation obligatoire d'une téléprocédure ne fait pas peser sur les professionnels concernés une charge excessive, dans la mesure où, compte tenu de leurs fonctions, ils disposent nécessairement de moyens informatiques nécessaire à l'accès à ce téléservice.
En outre, cette téléprocédure contribuera à une fluidification des démarches des professionnels, une accélération des délais de traitement de leurs demandes et une meilleure information sur l'état d'avancement de l'instruction des demandes. Elle participe par ailleurs à la dématérialisation des dossiers des offices et des professionnels, dans un objectif de modernisation porté par le ministère.
Au regard de l'ensemble de ces éléments, la commission considère qu'en l'espèce le caractère obligatoire du téléservice pour les professionnels concernés ne pose pas de difficulté particulière.
En ce qui concerne ensuite la finalité de suivi par le service gestionnaire de ces professions, le traitement envisagé s'inscrit dans la continuité des traitements existants, qu'il a vocation à remplacer. Le traitement envisagé lui permettra, conformément aux missions dévolues à ce bureau par l'arrêté du 1er décembre 2014 susvisé, d'instruire les dossiers et d'élaborer les arrêtés de nomination, de définir la localisation des offices, de contrôler le suivi des procédures disciplinaires et l'instruction des plaintes déposées par les particuliers et de suivre le contentieux des offices, des structures d'exercice et des officiers publics ou ministériels en exercice en leur sein.
Il contribuera ainsi, grâce à l'horodatage des demandes qu'il garantit, un classement correct des demandes. Par ailleurs, grâce à cette dématérialisation, il permettra une fluidification du traitement des dossiers, d'une part, en permettant des échanges facilités avec les partenaires et, d'autre part, en facilitant l'accès des agents aux dossiers des professionnels.
S'agissant de la finalité statistique, un module permettra de produire des chiffres-clés sur ces professions, prenant par exemple en compte les aspects démographiques ou géographiques ou les aspects économiques. La commission recommande que les données figurent sous forme de statistiques agrégées constituées de telle sorte que les personnes concernées ne puissent être identifiées.
Enfin, un espace d'information permettra aux professionnels et au public de prendre connaissance d'informations diverses. Dans la mesure où une telle finalité ne nécessite a priori pas la collecte de données à caractère personnel, cela n'appelle pas d'observation particulière de la part de la commission. Elle rappelle cependant que si le ministère décidait à l'avenir de rendre publiques certaines données à caractère personnel, elle devra en être informée dans les conditions prévues à l'article 30-II de la loi du 6 janvier 1978 modifiée.
Au regard de ces éléments, la commission estime que les finalités assignées au traitement envisagé sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les personnes concernées par le traitement projeté sont les notaires, les huissiers de justice, les commissaires-priseurs judiciaires, les avocats au Conseil d'Etat et à la Cour de cassation ainsi que les greffiers des tribunaux de commerce. Ainsi, le suivi, par la DACS, des administrateurs et mandataires judiciaires et de leurs structures d'exercice continuera d'être exercé par l'intermédiaire des applications existantes. Si le traitement envisagé devait être amené à évoluer sur ce point et ses modalités de mise en œuvre modifiées, notamment concernant les données collectées et les destinataires, la commission devra en être informée dans les conditions prévues à l'article 30-II de la loi du 6 janvier 1978 modifiée.
Quatre catégories de données seront collectées, lesquelles sont énumérées dans l'annexe au projet d'arrêté :

- des données relatives aux professionnels concernés : identité, formation, vie professionnelle ;
- des données relatives aux offices ;
- des données relatives aux sociétés titulaires d'un office ou de parts de sociétés titulaires d'un office ;
- des données fiscales et économiques.

Ces données sont fournies pour l'essentiel par le professionnel concerné lors de sa demande. Certaines données sont néanmoins communiquées au bureau des officiers ministériels et de la déontologie par les juridictions de l'ordre administratif (décisions statuant sur les recours), par les parquets du tribunal de grande instance ayant reçu la prestation de serment (procès-verbal de prestation de serment ; fiche D, comportant la photographie de l'officier public ou ministériel, sa signature et son sceau et qui accompagne le PV précité), par les parquets généraux et instances professionnelles (situation pénale ou disciplinaire d'un office), par les juridictions de l'ordre judiciaire (décision de suppléance ou d'administration provisoire), ainsi que par les instances sollicitées pour avis dans le cadre de la décision prise par le garde des sceaux (instances représentative des professions concernées, autorité de la concurrence, instances judiciaires).
Un arrêté, dont la commission n'a pas eu encore connaissance, précisera les pièces que les professionnels devront fournir à l'appui de leur demande.
La commission rappelle que seules les données nécessaires et pertinentes au traitement d'une demande spécifique doivent être collectées et enregistrées dans le traitement, conformément aux exigences de l'article 6-3 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
L'article 5 du projet d'arrêté prévoit différentes durées de conservation.
Les données concernant les professionnels sont conservées dix ans, à compter de la sortie de la profession (retrait, démission, destitution, atteinte de la limite d'âge, décès). Néanmoins, les données ne faisant l'objet que d'un contrôle limité à l'instruction (situation familiale, horodatage des demandes) sont conservées dix ans à compter de la demande de nomination.
Les données concernant les offices sont conservées pendant dix ans à compter de de la disparition de la structure (suppression, dissolution).
Le ministère indique que cette durée est nécessaire au suivi des offices et à la finalité statistique poursuivie par le traitement envisagé.
A cet égard, la commission estime qu'il devrait être envisagé de conserver les données en base active pendant la période d'activité du professionnel ou de l'office, afin d'assurer leur suivi conformément aux missions dévolues à la DACS, puis de les basculer en base inactive après la cessation d'activité ou la dissolution de l'office, conformément aux finalités assignées au traitement. Le ministère a précisé à cet égard qu'un tel dispositif pourrait être envisagé dans une version ultérieure du traitement.
Sur les destinataires des données :
Les articles 3 et 4 du projet d'arrêté énumèrent les destinataires du traitement projeté, en distinguant respectivement ceux qui ont un accès direct aux données enregistrées dans ce dernier de ceux qui peuvent recevoir communication de certaines de ces données.
S'agissant des premiers, il s'agit uniquement des agents de la DACS en charge de la gestion des professions réglementées, c'est-à-dire les agents des bureaux des officiers ministériels et de la déontologie et de l'économie des professions ainsi que du sous-directeur des professions judiciaires et juridiques.
Leur accès interviendra par l'intermédiaire du portail SSO, tout utilisateur devant être déclaré dans l'annulaire (LDAP) du ministère de la justice.
En ce qui concerne les personnels habilités à recevoir communication de données, il s'agit des magistrats des parquets généraux près les cours d'appel, des instances en charge de la représentation auprès des pouvoirs publics pour les professions juridiques et judiciaires concernées par le traitement et de l'autorité de la concurrence.
Les textes relatifs à l'organisation de ces professions prévoient dans plusieurs hypothèses que l'avis préalable de ces autorités peut être sollicité avant la prise de décision. A cette fin, elles recevront les seuls éléments du dossier nécessaires à la formulation de l'avis, par l'intermédiaire de copies numériques. Le ministère a indiqué qu'il est envisagé de saisir ces instances par la plate-forme sécurisée du ministère de la justice, avec transmission d'une copie du dossier objet de la consultation.
La commission estime que ces destinataires ont un intérêt légitime à connaître des données collectées et que leurs modalités d'accès aux données sont conformes aux exigences prévues par l'article 34 de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes :
L'information sera fournie lors de la création du compte individuel par le professionnel. La commission rappelle que l'ensemble des mentions prévues à l'article 32-I de la loi du 6 janvier 1978 modifiée devront être portées à la connaissance des professionnels.
L'article 7 du projet d'arrêté prévoit que les droits d'accès et de rectification, prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exerceront de manière directe auprès du sous-directeur des professions judiciaires et juridiques de la direction des affaires civiles et du sceau.
Le traitement projeté répondant à une obligation légale, le droit d'opposition ne s'applique pas, conformément aux dispositions de l'article 38 de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions :
Le traitement envisagé est un système d'information conçu sur la base d'une architecture technique centralisée, mettant à disposition des professionnels concernés un portail accessible depuis internet. Il est hébergé au sein du ministère sans recours à une externalisation. Il met en œuvre des composants logiciels libres.
L'architecture réseau garantit le cloisonnement du traitement au sein du réseau privé virtuel justice (RPVJ) du ministère.
Différents profils sont prévus pour la gestion du back-office. L'authentification à ce back-office s'appuie sur une brique SSO déjà déployée au sein de l'administration. Les mots de passe attribués à la création d'un compte doivent être changés à la première connexion et la complexité imposée respecte les recommandations de la commission en la matière.
S'agissant de l'accès au portail, l'authentification par mot de passe respecte les recommandations de la commission. Ce portail étant une application web, les transmissions sont sécurisées au moyen du protocole SSL à base de certificats respectant les règles du RGS.
Si les documents téléchargés par les professionnels ne sont pas conservés chiffrés, ceux-ci ne sont accessibles qu'à des serveurs internes au traitement une fois téléchargés, d'une part, et, d'autre part, retransmis à l'aide du protocole sécurisé SFTP à un serveur intranet du traitement.
Le responsable de traitement a prévu une purge annuelle des dossiers.
Des mesures de traçabilité seront mises en œuvre, aussi bien concernant l'accès au traitement que pour les opérations effectuées sur les données (création, modification, suppressions, consultation). Les traces concernant les accès seront conservées, en application des dispositions de l'article 5 du projet d'arrêté, un an pour les connexions des professionnels au portail et trois ans pour les connexions du service gestionnaire. Les autres traces sont conservées six mois, en application des dispositions de l'article 6 dudit projet.
Enfin, le ministère est engagé dans un processus d'homologation du traitement, lequel requiert notamment une analyse des risques dont la fourniture est prévue fin juillet. La commission demande à être destinataire de cette analyse dans l'hypothèse où des risques importants seraient révélés.