Arrêté du 24 juillet 2015 portant création d'un traitement de données à caractère personnel par la direction interministérielle des systèmes d'information et de communication d'un téléservice dénommé « FranceConnect »

Article 1 JORFARTI000030972772

Il est créé, par la direction interministérielle des systèmes d'information et de communication (DISIC), un téléservice dénommé « FranceConnect ».

Article 2 JORFARTI000030972773

Le téléservice a pour finalité de proposer aux usagers de s'identifier et de s'authentifier, auprès de fournisseurs de téléservices, au moyen de dispositifs mis en œuvre par des fournisseurs d'identité partenaires de « FranceConnect ». « FranceConnect » repose sur une fédération d'identités et permet :

- la simplification des démarches et formalités administratives effectuées par les usagers et d'en assurer la traçabilité et le suivi ; - de sécuriser le mécanisme d'échange d'informations entre autorités administratives prévu par l'article 16 A de la loi du 12 avril 2000 susvisée. Le téléservice assure uniquement une fonction de mise en relation des autorités administratives, sans traiter des données susceptibles d'être échangées dans le cadre de l'article 16 A de la loi du 12 avril 2000 susvisée ; - aux usagers, d'accéder à des téléservices d'autres Etats membres en respectant les dispositions prévues par le règlement du 23 juillet 2014 susvisé, notamment les exigences relatives au niveau de garantie requis par le téléservice concerné.

L'adhésion au téléservice « FranceConnect » est facultative.

Article 3 JORFARTI000030972776

Les catégories de données à caractère personnel enregistrées sont les suivantes : 1° Pour la gestion de l'identification : De façon obligatoire :

- le sexe ; - le nom de famille ; - le(s) prénom(s) ; - la date et le lieu de naissance complet ; - le cas échéant, le numéro d'inscription de l'établissement au répertoire des entreprises et de leurs établissements (SIRET) vérifié et utilisé dans les conditions fixées par les articles R. 123-220 et suivants du code de commerce ; - les clés de fédération ou « alias » générés par le système à la connexion de l'usager ; - un alias technique unique propre au système obtenu par le hachage irréversible de tout ou partie des données à caractère personnel mentionnées au présent 1°. Cet alias technique est utilisé pour les seuls besoins du téléservice. Il n'est ni diffusé ni divulgué aux tiers.

De façon facultative :

- le nom d'usage ; - le numéro de téléphone fixe ; - le numéro de téléphone portable ; - l'adresse de courrier électronique ; - l'adresse postale.

2° Pour la gestion de la traçabilité des accès :

- l'adresse IP de l'usager ; - les dates et heures de connexion des usagers au téléservice ; - les jetons issus du mécanisme d'échange d'informations permettant de vérifier la bonne information de l'usager et, le cas échéant, le recueil de son consentement.

Article 4 JORFARTI000030972778

Les destinataires ou catégories de destinataires des informations enregistrées par le traitement sont les seuls autorités partenaires habilitées à traiter les démarches et formalités des usagers en vertu d'un texte législatif ou réglementaire.

En outre, les données enregistrées de façon obligatoire mentionnées au 1° de l'article 3 sont adressées à l'INSEE pour consultation du répertoire national d'identification des personnes physiques, à seule fin de certification dans le cas où l'autorité partenaire n'est pas en mesure de réaliser cette certification elle-même.

Article 5 JORFARTI000030972779

L'adhésion au téléservice par les partenaires est subordonnée à l'envoi préalable à la Commission nationale de l'informatique et des libertés, en application du III de l'article 27 de la loi du 6 janvier 1978 susvisée, d'une déclaration faisant référence au présent texte. Cette déclaration dite de conformité à un acte réglementaire unique s'effectue par téléprocédure sur le site internet de la CNIL.

Toutefois, cette déclaration ne couvre pas la mise en œuvre des traitements de données à caractère personnel liés aux services propres de chaque partenaire qui restent soumis à l'accomplissement des formalités préalables prévues au chapitre IV de la loi du 6 janvier 1978 susvisée.

Article 6 JORFARTI000030972782

Les données à caractère personnel relatives à la gestion de l'identification sont conservées pendant la durée de la session de l'usager. Au-delà de cette durée, elles sont détruites sans délai.

Les données relatives à la gestion de la traçabilité des accès sont supprimées, en l'absence de connexion de l'usager pendant une durée de six mois.

Les clés de fédération et l'alias technique unique propre au système sont supprimés, en l'absence de connexion de l'usager pendant une durée de trente-six mois.

Pour les données visant à assurer la sécurisation du mécanisme d'échange d'informations entre autorités administratives, la durée de conservation est corrélative à la finalité propre de chaque téléservice.

Article 7 JORFARTI000030972783

Le droit d'accès, de rectification et de suppression prévu par les articles 39 et suivants de la loi du 6 janvier 1978 susvisée s'exerce auprès de la direction interministérielle des systèmes d'informations et de communication située 39-43, quai André-Citroën, 75015 Paris, par voie postale ou par voie électronique, dans les conditions fixées dans les modalités d'utilisation du téléservice.

Article 8 JORFARTI000030972785

Le directeur interministériel des systèmes d'information et de communication est chargé de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.