La Commission nationale de l'informatique et des libertés,

Saisie par le ministère de l'agriculture, de l'agroalimentaire et de la forêt d'une demande d'avis concernant un projet d'arrêté relatif à la création d'un téléservice internet de déclaration annuelle de détention et d'emplacement de ruches dénommé « Déclarer des ruches »,

Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;

Vu la loi n° 2000-321 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec les administrations ;

Vu la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ;

Vu la loi n° 2009-967 du 3 août 2009 de programmation relative à la mise en œuvre du Grenelle de l'environnement, notamment son article 33 ;

Vu la loi n°2013-1005 du 12 novembre 2013 habilitant le Gouvernement à simplifier les relations entre l'administration et les citoyens ;

Vu les articles L. 201-9, L. 201-13 et L. 221-1 du code rural et de la pêche maritime ;

Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 modifiée relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;

Vu le décret n° 2012-842 du 30 juin 2012 relatif à la reconnaissance des organismes à vocation sanitaires, des organisations vétérinaires à vocation technique, des associations sanitaires régionales ainsi qu'aux conditions de délégations de missions liées aux contrôles sanitaires ;

Vu l'arrêté ministériel du 11 août 1980 modifié relatif au dispositif sanitaire de lutte contre les maladies des abeilles ;

Vu l'arrêté du 23 décembre 2009 établissant les mesures de police sanitaire applicables aux maladies contagieuses des abeilles ;

Vu le dossier et ses compléments ;

Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,

Emet l'avis suivant :

La commission a été saisie par le ministère de l'agriculture, de l'agroalimentaire et de la forêt (MAAF) d'une demande d'avis portant sur un projet d'arrêté relatif à la création d'un téléservice internet de déclaration annuelle de détention et d'emplacement de ruches dénommé « Déclarer des ruches ».

L'article 33 de la loi n° 2009-967 du 3 août 2009 de programmation relative à la mise en œuvre du Grenelle de l'environnement prévoit que « La déclaration annuelle de ruches est rendue obligatoire dès la première ruche à compter du 1er janvier 2010. »

L'arrêté du 11 août 1980 modifié relatif au dispositif sanitaire de lutte contre les maladies des abeilles précise quant à lui que « Tout apiculteur est tenu de déclarer son activité d'élevage, en précisant notamment le nombre de ruches dont il est propriétaire ou détenteur et leurs emplacements, auprès du directeur départemental des services vétérinaires du département de son domicile. »

Sur la finalité du traitement :

L'article 1er du projet d'arrêté précise que le traitement « Déclarer des ruches » a pour objet de mettre à disposition des usagers du MAAF un téléservice leur permettant de déclarer annuellement en ligne les données relatives au nombre de leurs ruches et leur emplacement et de recevoir un récépissé de leur déclaration.

La commission considère la finalité poursuivie comme déterminée, explicite et légitime.

Dans ce contexte, elle estime qu'il y a lieu de faire application des dispositions de l'article 27-II (4°) qui prévoit que sont autorisés par arrêté pris après avis de la commission les traitements mis en œuvre « aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques ».

Sur la nature des données traitées :

L'article 2 du projet d'arrêté prévoit que les données enregistrées sont relatives :

- à l'état civil : nom, prénom, adresse postale, adresse mél, numéro de téléphone ;

- à la vie professionnelle : numéro SIRET, raison sociale, adresse postale, adresse mél, numéro de téléphone ;

- à l'activité : emplacement des ruchers (adresse), nombre de colonies détenues, numéro d'apiculteur (NAPI) :

- à la localisation : géolocalisation des ruchers.

La commission considère que ces données sont pertinentes au regard de la finalité poursuivie.

Sur la durée de conservation des données :

Les données sont conservées trois ans après la dernière déclaration de l'apiculteur. Cette durée de conservation permet de prendre en compte les divers aléas pouvant affecter la vie d'une ruche (épisodes de mortalité des ruches, problème de santé des abeilles…) et empêcher l'apiculteur de remplir son obligation déclarative. Au-delà de cette durée et en l'absence de déclaration de la part de l'apiculteur, celui-ci est considéré comme n'ayant plus d'activité apicole.

Au regard de ces éléments, la commission considère que la durée de conservation retenue n'excède pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées.

Sur les destinataires des données :

L'article 3 du projet d'arrêté précise que sont destinataires des données du traitement les personnes habilitées suivantes :

- les usagers eux-mêmes pour les données les concernant et qui sont reprises dans le récépissé de déclaration :

- les agents des services déconcentrés du MAAF après authentification de l'annuaire des agents du MAAF ou de l'administration centrale en fonction des habilitations mises en place ;

- les agents des organismes à vocation sanitaire (OVS) dans le domaine animal et des organismes vétérinaires à vocation technique (OVVT), dans le cadre d'une convention entre ces entités sanitaires et le MAAF. Le code rural et de la pêche maritime prévoit (articles L. 201-9 et L. 201-13) que l'Etat peut confier des missions ou déléguer certaines activités de contrôles à des organismes reconnus présentant des garanties de compétence, d'indépendance et d'impartialité conformément au décret n° 2012-842 du 30 juin 2012 relatif à la reconnaissance des organismes à vocation sanitaires, des organisations vétérinaires à vocation technique, des associations sanitaires régionales ainsi qu'aux conditions de délégations de missions liées aux contrôles sanitaires, notamment les organismes à vocation sanitaires (OVS) et les organisations vétérinaires à vocation technique (OVVT).

La commission estime que ces destinataires ont un intérêt légitime à connaître des données collectées.

Sur l'information, les droits d'accès, de rectification et d'opposition des personnes :

Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les usagers du téléservice « Déclarer des ruches » sont informés de l'existence de ce traitement ainsi que des modalités d'exercice de leurs droits d'accès et de rectification par une mention d'information qui figure sur le formulaire de collecte et sur le site internet.

L'article 4 du projet d'arrêté prévoit que les droits d'accès et de rectification visés aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès de la direction générale de l'alimentation du MAAF, 251, rue de Vaugirard, 75732 Paris Cedex 15.

Par ailleurs, l'article 6 du projet d'arrêté exclut le droit d'opposition.

Sur la sécurité des données et la traçabilité des actions :

Le traitement s'appuie sur une base de données, indépendante des autres bases de données du MAAF, permettant de stocker les courriels et les informations relatives aux ruches des apiculteurs.

Les mesures de sécurité prévues par le responsable de traitement sont identiques à celles organisées dans le cadre du « traitement automatisé de données à caractère personnel permettant la réalisation de procédures au moyen d'un téléservice » mis en œuvre par le MAAF et ayant fait l'objet d'un avis de la commission et de la délibération n° 2015-392 du 5 novembre 2015.

Le responsable de traitement précise que le présent traitement qui est un téléservice respecte bien le référentiel général de sécurité, prévu par le décret n° 2010-112 du 2 février 2010 susvisé.

Les mesures de sécurité décrites par le ministère sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.