Arrêté du 8 novembre 2018 relatif au téléservice dénommé « FranceConnect » créé par la direction interministérielle du numérique et du système d'information et de communication de l'Etat

Article 1 JORFARTI000037611490

Il est créé, par la direction interministérielle du numérique et du système d'information et de communication de l'Etat (DINSIC), un téléservice dénommé « FranceConnect ».

Article 2 JORFARTI000037611491

Le téléservice a pour finalité de proposer au public de s'identifier et de s'authentifier, auprès de partenaires, fournisseurs de téléservices et de services en ligne, au moyen de dispositifs mis en œuvre par des fournisseurs d'identité partenaires de « FranceConnect ».

« FranceConnect » repose sur une fédération d'identités et permet :

1° De simplifier des démarches et formalités administratives effectuées par le public et d'en assurer la traçabilité et le suivi ;

2° De sécuriser le mécanisme d'échange d'informations entre autorités administratives prévu par les articles L. 113-12 et L. 114-8 du code des relations entre le public et l'administration susvisés. Le téléservice assure uniquement une fonction de mise en relation des autorités administratives, sans traiter des données susceptibles d'être échangées dans ce cadre ;

3° De simplifier l'accès du public aux services en ligne proposés par les entités partenaires ;

4° Au public, d'accéder à des téléservices d'autres Etats membres en respectant les dispositions prévues par le règlement du 23 juillet 2014 susvisé, notamment les exigences relatives au niveau de garantie requis par le téléservice concerné.

L'adhésion au téléservice « FranceConnect » est facultative.

Article 3 JORFARTI000037611494

Les catégories de données à caractère personnel enregistrées sont les suivantes : 1° Pour la gestion de l'identification de l'utilisateur : a) De façon obligatoire :

- le sexe ; - le nom de famille ; - le(s) prénom(s) ; - la date et le lieu de naissance complet ; - l'adresse de courrier électronique ; - le cas échéant, le numéro d'inscription de l'entreprise ou de son établissement au répertoire des entreprises et de leurs établissements (SIREN ou SIRET) vérifié et utilisé dans les conditions fixées par les articles R. 123-220 et suivants du code de commerce ; - les clés de fédération ou « alias » générés par le système à la connexion de l'utilisateur ; - un alias technique unique propre au système obtenu par le hachage irréversible de tout ou partie des données à caractère personnel mentionnées au présent 1°. Cet alias technique est utilisé pour les seuls besoins du téléservice. Il n'est ni diffusé ni divulgué aux tiers ;

b) De façon facultative :

- le nom d'usage ; - le numéro de téléphone fixe ; - le numéro de téléphone portable ; - l'adresse de courrier électronique ; - l'adresse postale.

2° Pour la gestion de la traçabilité des accès de l'utilisateur :

- l'adresse IP ; - les dates et heures de connexion au service « FranceConnect » ; - les jetons issus du mécanisme d'échange d'informations permettant de vérifier la bonne information de l'utilisateur et, le cas échéant, le recueil de son consentement.

Article 4 JORFARTI000037611496

Les destinataires ou catégories de destinataires des informations enregistrées par le traitement sont :

- les autorités administratives partenaires habilitées à traiter les démarches et formalités des usagers en vertu d'un texte législatif ou réglementaire ; - les personnes morales mentionnées au II et au III de l'article 1er de l'ordonnance du 28 avril 2005 susvisée qui proposent des services en ligne liés à la démarche de changement d'adresse et uniquement pour ces services ; - les personnes morales de droit privé qui proposent des services en ligne dont l'usage nécessite, conformément à des dispositions législatives ou règlementaires, la vérification de l'identité de leurs utilisateurs ou de celle de certains de leurs attributs et uniquement pour les services qui nécessitent cette vérification.

En outre, les données enregistrées de façon obligatoire mentionnées au 1° du I de l'article 3 sont adressées à l'INSEE pour consultation du répertoire national d'identification des personnes physiques, à seule fin de certification dans le cas où l'autorité partenaire n'est pas en mesure de réaliser cette certification elle-même.

Article 5 JORFARTI000037611498

Les données à caractère personnel relatives à la gestion de l'identification sont conservées pendant la durée de la session de l'utilisateur. Au-delà de cette durée, elles sont détruites sans délai.

Les données relatives à la gestion de la traçabilité des accès sont supprimées, en l'absence de connexion de l'utilisateur pendant une durée de six mois.

Les clés de fédération et l'alias technique unique propre au système sont supprimés, en l'absence de connexion de l'utilisateur pendant une durée de trente-six mois. Pour ce qui concerne la finalité mentionnée au dernier alinéa de l'article 2, cette durée est fixée à six mois.

Pour les autres données, la durée de conservation est corrélative à la finalité propre de chaque service en ligne partenaire.

Article 6 JORFARTI000037611499

Le droit d'accès, de rectification et de suppression prévu par les articles 39 et suivants de la loi du 6 janvier 1978 susvisée s'exerce auprès de la direction interministérielle du numérique et du système d'information et de communication de l'Etat située au 20, avenue de Ségur, 75007 Paris, par voie postale ou par voie électronique, dans les conditions fixées dans les modalités d'utilisation du téléservice.

Article 7 JORFARTI000037611501

L'arrêté du 24 juillet 2015 portant création d'un traitement de données à caractère personnel par la direction interministérielle des systèmes d'information et de communication d'un téléservice dénommé « FranceConnect » est abrogé.

Article 8 JORFARTI000037611502

Le directeur interministériel du numérique et du système d'information et de communication de l'Etat est chargé de l'exécution du présent arrêté, qui sera publié au Journal officiel de la République française.