N° de demande d’avis : 26006446	Thématiques : défense ; réquisitions ; recensement.
Organisme(s) à l’origine de la saisine : Ministère des armées et des anciens combattants	Fondement de la saisine : article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés

L’essentiel :

Le projet d’arrêté dont la CNIL est saisie autorise la mise en œuvre d’un traitement permettant le recensement, dans le cadre de l’exercice militaire ORION 26 , de personnes, biens et services, qui serait, le cas échéant, le préalable à un exercice de réquisition.

La CNIL estime que les catégories de données et la durée de conservation projetées sont pertinentes au regard des finalités du traitement.

Toutefois, la CNIL constate que l’information relative à l’aptitude, désignée sous le vocable de données médico-administratives dans le projet d’arrêté, sera en réalité recueillie directement auprès de l’intéressé sur sa seule déclaration, excluant ainsi toute qualification de données de santé ; dès lors, elle recommande de supprimer dans le projet la mention des données médico-administratives précédant la donnée d’aptitude, et de faire suivre cette dernière de la précision déclarée par la personne concernée .

­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________

La Commission nationale de l’informatique et des libertés,

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi informatique et libertés ), notamment son titre IV ;

Sur la proposition de M^me Isabelle Latournarie-Willems, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,

Adopte la délibération suivante :

I. La saisine

A.Le contexte

La loi n° 2023-703 du 1^er août 2023 relative à la programmation militaire pour les années 2024 à 2030 a modifié le cadre juridique applicable aux réquisitions pour les besoins de la défense et de la sécurité nationale. Les articles L. 2212-1 L. 2211-1 du code de la défense prévoient respectivement la possibilité de recourir à des réquisitions et d’organiser, dans le cadre d’essais et exercices, le recensement des personnes, des biens et des services susceptibles de faire l’objet de réquisitions.

Préalablement aux réquisitions et conformément aux dispositions de l’article L. 2211-1 du code de la défense, le Premier ministre peut ordonner le recensement – parmi les personnes, biens et services susceptibles d’être requis – de ceux que chaque ministère peut, dans la limite de ses attributions, soumettre à tous les essais et exercices qu’il juge indispensables.

Pour la première fois, le ministère des armées s’est saisi de cette possibilité pour préparer un exercice mené dans le cadre de l’exercice ORION 26 . Cette dernière repose sur un vaste exercice interarmées organisé sur tout le territoire national, visant à préparer les forces à un éventuel engagement dans un conflit international.

Dans ce cadre, un exercice est prévu du 27 au 30 avril 2026 dans les territoires de Clermont-Ferrand et Moulins, au profit de la 13^ème base de soutien du matériel.

B. L’objet de la saisine

Pour la conduite de cet exercice, la CNIL a été saisie en urgence, par le ministère des armées et des anciens combattants, d’un projet d’arrêté pris sur le fondement de l’article R. 2211-4 du code de la défense, autorisant la mise en œuvre d’un traitement de données à caractère personnel aux fins de recensement et d’exploitation des informations relatives au recensement dans le cadre de l’exercice militaire ORION 26 .

II. L’avis de la CNIL

A. Sur les catégories de données traitées

Le projet de décret prévoit que les catégories de données relatives aux personnes physiques pouvant être enregistrées dans le traitement correspondent :

• aux nom(s), prénom(s), sexe, date et lieu de naissance, nationalité(s) ;
• à l’adresse postale, à l’adresse électronique et au numéro de téléphone ;
• aux poste(s) occupé(s) et employeur(s), et aux compétences professionnelles et techniques (selon les précisions apportées, notamment dans les domaines de la maintenance, de la manutention, ou encore du transport et du fret routier) ;
• aux données médico-administratives , pour la seule donnée relative à l’ aptitude (Oui/Non) .

Selon les indications du ministère, l’information relative à l’aptitude sera collectée directement auprès de la personne concernée, sur le fondement d’une simple déclaration de sa part, excluant ainsi toute qualification de données de santé.

Dans ce cadre, la CNIL prend acte de l’engagement du ministère de supprimer du projet d’arrêté les termes : données médico-administratives et de faire suivre la catégorie aptitude de la mention : déclarée par la personne concernée .

Elle souligne par ailleurs que tout traitement de données de santé qui serait mis en œuvre lors d’un exercice ultérieur devra être autorisé par un décret en Conseil d’État pris avis de la CNIL (II de l’article 31 de la loi informatique et libertés ).

Eu égard aux observations qui précèdent, la CNIL estime que les catégories de données prévues par l’arrêté sont pertinentes et nécessaires aux finalités du traitement.

B. Sur la durée de conservation des données

Le projet d’arrêté prévoit une durée de conservation des données de six mois à compter de la fin de l’exercice militaire.

Selon les précisions apportées par le ministère, cette durée de conservation serait nécessaire, d’une part, à l’établissement d’un retour d’expérience et, d’autre part, à la gestion des droits à indemnisation des personnes concernées.

Dans ces conditions, la CNIL estime que cette durée de conservation est pertinente.

Elle recommande qu’à l’issue de ce premier exercice et de la mise en œuvre du dispositif, cette durée puisse être réévaluée – dans la perspective de traitements qui seraient le cas échéant mis en œuvre, pour des exercices militaires ultérieurs, sur le fondement de l’article R. 2211-4 du code de la défense.

Les autres dispositions du projet d’arrêté n’appellent pas d’observation de la CNIL.

La présidente,

M.-L. Denis