L’essentiel :

La teneur de l’article 2 du projet de décret n’appelle pas d’observation de fond de la CNIL.

Néanmoins, la CNIL relève que les risques en termes de droits des personnes concernées tels qu’ils découlent de l’entrée en vigueur du nouveau dispositif d’attestation d’honorabilité prévu à l’article L. 133-6 du CASF sont très élevés. Aussi, elle appelle l’attention du ministère sur la nécessité d’intégrer, dans le projet de décret, des garanties visant à sauvegarder ces droits, de façon à prendre en compte le caractère très sensible des données figurant sur l’attestation d’honorabilité.

____________________

La Commission nationale de l’informatique et des libertés,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (ci-après le RGPD) ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci- après la loi informatique et libertés ) ;

Vu l’article 706-53-12 du code de procédure pénale ;

Après avoir entendu le rapport de M. Philippe Latombe, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,

Adopte la délibération suivante :

I. – La saisine

A. – Le contexte

Dans les champs de la protection de l’enfance et de la petite enfance, les articles L. 133-6 et L. 421-3 du code de l’action sociale et des familles (CASF) encadrent le contrôle des antécédents judiciaires des personnes qui interviennent à quelque titre que ce soit auprès de mineurs.

Ce contrôle s’effectue en amont de l’exercice de l’activité, puis à intervalles réguliers au cours de cet exercice. Il concerne :

• les professionnels et bénévoles intervenant dans des établissements et services relevant du CASF (ex. : établissements ou services mettant en œuvre des mesures de prévention en faveur de l’enfant et de ses parents ou mettant en œuvre des mesures d’aide sociale à l’enfance ou de prestations d’aide sociale à l’enfance, structures d’évaluation de la minorité des personnes migrantes se présentant comme non accompagnées) ;
• les assistants maternels et familiaux agréés par le président du conseil départemental.

Ce contrôle vise à vérifier que les personnes candidates ou celles déjà en poste ne font l’objet d’aucune incapacité d’exercer une activité en lien avec les mineurs. Pour ce faire, un accès est prévu :

• aux inscriptions du bulletin n° 2 (B2) du casier judiciaire national (CJN), dans les conditions prévues au 3° de l’article 776 du code de procédure pénale (CPP) ;
• aux informations contenues dans le fichier judiciaire national automatisé des auteurs d’infractions sexuelles ou violentes (FIJAISV), dans les conditions prévues à l’article 706-53-7 du même code. En vertu de l’article L. 421-3 du CASF, sont également concernées par le contrôle du FIJAISV, les personnes âgées d’au moins treize ans vivant au domicile d’un assistant maternel ou familial agréé.

En pratique, le contrôle des antécédents judiciaires est réalisé à partir de la plateforme nationale SI Honorabilité , encadrée par l’arrêté modifié du 31 mars 2021, examinée par la CNIL les 26 janvier 2021 (délibération n° 2021-012) et 21 octobre 2021 (délibération n° 2021-121).

Par ailleurs, l’article 16 de la loi n° 2024-317 du 8 avril 2024 portant mesures pour bâtir la société du bien vieillir et de l’autonomie a modifié l’article L. 133-6 du CASF en créant de nouvelles modalités pour le contrôle des antécédents judiciaires. Il fait désormais reposer ce contrôle sur la délivrance d’une attestation que le professionnel, le bénévole, l’assistant maternel ou familial doit remettre à son futur employeur ou, à intervalles réguliers, à son employeur actuel. Cette attestation mentionne que son titulaire ne fait l’objet :

• ni d’une des incapacités d’exercice visées par les articles L. 133-6 et L. 421-3 du CASF ;
• ni d’une condamnation non définitive ou d’une mise en examen mentionnées au FIJAISV.

L’article 16 de cette même loi a assoupli les conditions d’accès au FIJAISV prévues par l’article 706-53-7 du CPP.

B. – L’objet de la saisine

La CNIL est concomitamment saisie pour avis sur un projet de décret, plus spécifiquement sur son article 2, et un projet d’arrêté modifiant l’arrêté du 31 mars 2021.

Le projet de décret précise les modalités d’obtention de l’attestation visée au nouvel article L. 133-6 du CASF : périmètre des personnes concernées, conditions de délivrance, contrôle de la caducité notamment.

Le président du conseil départemental territorialement compétent y est indiqué comme l’autorité habilitée à délivrer l’attestation d’honorabilité, après vérification des informations inscrites au bulletin B2 du CJN et au FIJAISV.

L’accès indirect de ce dernier aux informations présentes dans le FIJAISV, nécessaires à la délivrance de l’attestation d’honorabilité, est strictement encadré par la combinaison des dispositions de :

• l’article 16 de la loi du 8 avril 2024 qui, modifiant l’article 706-53-7 du CPP, autorise l’accès du président du conseil départemental aux informations du FIJAISV, via les administrations de l’Etat désignées par décret en Conseil d’Etat (en l’occurrence la direction générale de la cohésion sociale DGCS) ;
• l’article 2 du projet de décret, qui ajoute la DGCS dans la liste des administrations de l’Etat autorisées à interroger directement le FIJAISV au titre du recrutement, de l’agrément ou du contrôle des professions ou activités impliquant un contact avec des mineurs.

La CNIL relève que, selon le ministère, le président du conseil départemental n’accède pas aux informations présentes dans le FIJAISV mais uniquement à l’information selon laquelle une personne ne fait l’objet ni d’une incapacité d’exercice, ni d’une condamnation non définitive ou d’une mise en examen.

II. – L’avis de la CNIL

Les dispositions de l’article 2 du projet de décret, qui ajoute la DGCS dans la liste des administrations de l’Etat autorisées à interroger directement le FIJAISV au titre du recrutement, de l’agrément ou du contrôle des professions ou activités impliquant un contact avec des mineurs, n’appellent pas d’observations de la part de la CNIL.

Néanmoins, les dispositions du projet de décret relatives à la protection des données à caractère personnel et à leur traitement appellent les observations suivantes compte tenu de leurs impacts forts en termes de droits des personnes concernées.

A. – Sur les données collectées

Selon l’article L. 133-6 du CASF, l’attestation d’honorabilité fait état, sous la forme de cases à cocher, de l’absence :

• d’une des incapacités d’exercice mentionnées aux articles L. 133-6 et L. 421-3 du CASF ;
• d’une condamnation non définitive ou d’une mise en examen devant être portée à la connaissance de l’employeur.

Cette attestation comprend des données relatives à des condamnations pénales et infractions au sens de l’article 10 du RGPD mais aussi l’indication d’une condamnation non définitive ou d’une mise en examen.

Seule une incapacité d’exercice entraine le refus de délivrance de l’attestation d’honorabilité. Toutefois, le III de l’article L. 133-6 prévoit la possibilité pour un directeur d’un établissement, d’un service ou d’un lieu de vie et d’accueil, lorsqu’il est informé de la condamnation non définitive ou de la mise en examen d’une personne y travaillant, de prononcer à l’encontre de la personne concernée une mesure de suspension temporaire d’activité jusqu’à la décision définitive de la juridiction compétente. Le texte ne prévoit rien dans le cadre d’un processus de recrutement.

Compte tenu des risques associés à l’usage du nouveau dispositif d’attestation d’honorabilité, la CNIL appelle l’attention du ministère sur la nécessité d’intégrer dans le projet de décret les garanties ci-dessous, qui auraient pour objet de renforcer les droits des personnes concernées. A cet égard, en vertu de l’article 10 du RGPD, le traitement des données à caractère personnel relatives aux condamnations pénales et aux infractions ne peut notamment être effectué que si le traitement est autorisé par le droit d’un Etat membre qui prévoit des garanties appropriées pour les droits et libertés des personnes concernées.

B. – Sur la durée de conservation des données

Le ministère envisage, à des fins probatoires, un dispositif de stockage des attestations d’honorabilité par les responsables d’établissements ou de services ainsi que par les présidents de conseil départemental au titre de l’agrément des assistants maternels ou familiaux. Les attestations seraient conservées pour une durée de trois ou de cinq ans, correspondant à la périodicité retenue pour le renouvellement du contrôle des antécédents judiciaires.

Or, cette durée de conservation n’est pas inscrite dans le projet de décret.

En tout état de cause, la CNIL s’interroge sur le besoin, pour les responsables d’établissement ou de service ainsi que les services des présidents de conseil départemental dans le cadre de l’agrément, de conserver les attestations d’honorabilité.

En effet, la vérification des antécédents judiciaires est assurée par les autorités habilitées via la plateforme nationale SI Honorabilité , qui conserve ces attestations dans son portail Demande Honorabilité pendant une période de douze mois après l’expiration de la dernière attestation.

De plus, le ministère a précisé que la durée de validité des attestations n’était que de six mois à compter de leur émission, la situation du demandeur étant susceptible d’évoluer. A cet égard, l’absence de conservation constitue une garantie forte pour les droits et libertés des personnes concernées, tout particulièrement dans l’hypothèse où une décision de non-lieu, de relaxe ou d’acquittement serait prononcée à l’égard de la personne concernée. La conservation d’éléments inexacts serait, dans une telle hypothèse, susceptible d’entrainer des conséquences graves pour cette dernière.

Dans ces conditions, la CNIL considère que la conservation d’un identifiant d’attestation ad hoc dans le fichier de gestion du personnel serait suffisante, en application du principe de minimisation du c du 1 de l’article 5 du RGPD.

Cet identifiant pourrait par exemple être généré via une fonction de hachage cryptographique à l’état de l’art muni d’un secret et se fonder sur l’identifiant interne de l’attestation dans le SI Honorabilité. Un tel identifiant ad hoc serait présenté à l’utilisateur lors de la vérification de l’attestation afin de permettre sa conservation. A défaut d’une telle solution, la seule indication confirmant la réalisation des vérifications liées à l’honorabilité dans le fichier de gestion du personnel, sous la forme oui/non , pourrait également être suffisante.

C. – Sur le droit à l’information

D’après le projet d’article R. 133-8 du CASF, avant de délivrer l’agrément nécessaire pour exercer la profession d’assistant maternel ou familial, le président du conseil départemental vérifie que le demandeur ainsi que les personnes âgées d’au moins treize ans vivant à son domicile, à l’exception de celles accueillies en application d’une mesure d’aide sociale à l’enfance, disposent d’une attestation d’honorabilité datant de moins de six mois.

La CNIL accueille favorablement le dispositif prévu par le ministère pour informer les personnes majeures ou mineures également concernées par le contrôle de leurs antécédents judiciaires dans ce contexte. En particulier, s’agissant des personnes mineures, même si la demande d’attestation est effectuée par la personne qui sollicite l’agrément, une mention spécifique indiquera au demandeur, sur le portail Demande Honorabilité , qu’il doit informer le mineur des modalités du traitement de ses données. La CNIL prend acte de l’engagement du ministère d’intégrer une mention d’information spécifique et adaptée à ce public sur le portail Demande Honorabilité de la plateforme et recommande qu’une telle information soit délivrée par les services concernés de l’administration.

De manière générale, l’information des personnes concernées (assistant maternel, assistant familial, personne âgée d’au moins treize ans vivant à leur domicile) devra être réalisée, préalablement au contrôle de leurs antécédents, de manière concise, transparente, compréhensible et aisément accessible conformément aux dispositions de l’article 12 du RGPD. A cet égard, les mentions d’information devront comporter l’ensemble des mentions prévues par les dispositions de l’article 13 du RGPD.

Enfin, compte tenu des risques pesant sur les droits des personnes concernées par le dispositif, et estimant nécessaire d’introduire des garanties particulières, le ministère confirme que la plateforme SI Honorabilité met à disposition de l’utilisateur de nombreuses informations sur le fonctionnement de l’attestation d’honorabilité et que les conséquences individuelles de la délivrance de l’attestation à l’employeur y sont précisées.

Les autres dispositions du projet de décret n’appellent pas d’observations.

La vice-présidente déléguée,

S. Lambremon