La Commission nationale de l'informatique et des libertés,
Saisie par les ministères de la Défense et de la Culture agissant pour le compte des conseils départementaux, d'une demande d'autorisation concernant des traitements automatisés de données à caractère personnel ayant pour finalités de numériser, indexer et diffuser sur Internet les registres matricules du recrutement militaire des soldats ayant participé à la Première Guerre mondiale ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code du patrimoine, notamment son Livre II ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 6-2°), 25-I-1°), 34 et 36 ;
Vu la loi n° 78-753 du 17 juillet 1978 modifiée portant diverses mesures d'amélioration des relations entre l'administration et le public ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 20 décembre 2012 instituant une dérogation générale pour la consultation des registres matricules du recrutement militaire de la Première Guerre mondiale ;
Vu la délibération n° 2012-113 de la Commission du 12 avril 2012 portant autorisation unique de traitements de données à caractère personnel contenues dans des informations publiques aux fins de communication et de diffusion par les services d'archives publiques (AU-029) ;
Après avoir entendu M. Jean MASSOT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,

Formule les observations suivantes :
La Commission a été saisie par les ministères de la Défense et de la Culture agissant pour le compte des conseils départementaux, responsables de services d'archives publics, en vue d'être autorisés à numériser, indexer et diffuser sur Internet l'ensemble des données personnelles contenues dans les registres matricules du recrutement militaire des 9 millions de soldats enrôlés par l'armée française lors de la Première Guerre mondiale.

Cette opération registres matricules participe au programme national des manifestations organisées pour commémorer le centenaire de la Première Guerre mondiale. En parallèle de ce programme 1914-1918 concernant les registres matricules ouverts de 1887 à 1921, les registres matricules antérieurs à cette période peuvent également faire l'objet de traitements analogues.

Les registres matricules regroupent par classe d'âge et bureau de recrutement les états signalétiques et des services (ESS) de tous les hommes recensés, habituellement dans leur vingtième année, par le ministère de la guerre. Cette catégorie d'informations du secteur public revêt un intérêt historique certain, en particulier pour ce qui concerne les soldats mobilisés lors d'opérations militaires d'envergure. En leur qualité d'élément du patrimoine commun à conserver, l'intégralité des données personnelles composant ces registres matricules a donc été sélectionnée par les services d'archives publics afin d'alimenter un témoignage permanent sur ces faits historiques.

Dès lors que la finalité des traitements envisagés ne se limite pas à assurer la conservation à long terme de documents d'archives , ces traitements sont soumis aux formalités préalables prévues au chapitre IV de la loi du 6 janvier 1978 modifiée. En application de l'alinéa 3 de l'article 36 de cette loi, les données à caractère personnel peuvent être conservées au-delà de la durée prévue au 5° de l'article 6 de la loi Informatique et Libertés à des fins autres qu'historiques, statistiques ou scientifiques, soit avec l'accord exprès de la personne concernée, soit avec l'autorisation de la Commission. Le recueil de l'accord exprès des personnes concernées étant difficile compte tenu de la multiplicité et de l'ancienneté des documents en cause, ces traitements relèvent de l'autorisation de la Commission conformément à la disposition précitée de l'article 36. Dans la mesure où ils sont susceptibles de comporter des données sensibles au sens des articles 8 et 9 de la loi Informatique et Libertés , ces traitements relèvent précisément du régime d'autorisation prévu par l'article 25-I-1°) de la même loi.

Les caractéristiques du dispositif projeté en vue de commémorer le Centenaire n'entrent pas intégralement dans le cadre défini par la délibération n°2012-113 de la Commission du 12 avril 2012 portant autorisation unique de traitements de données à caractère personnel contenues dans des informations publiques aux fins de communication et de diffusion par les services d'archives publiques (AU-029). La Commission est donc saisie d'une demande d'autorisation ad hoc.

Sur la finalité des traitements :
A l'occasion du Centenaire, un projet de numérisation, indexation et mise en ligne des registres matricules des combattants de la Grande Guerre est soutenu par l'Etat et l'ensemble des collectivités départementales avec le soutien de l'Assemblée des départements de France.

L'objectif est double : entretenir le devoir de mémoire et alimenter les analyses historiques en ouvrant aux internautes, citoyens et chercheurs, professionnels et amateurs, l'accès à une source archivistique leur restituant les parcours individuels des hommes mobilisés pour la défense de la France.

Les données contenues dans les registres matricules des soldats de la Première Guerre mondiale sont ainsi destinées à être traitées à des fins de diffusion massive sur Internet dans l'objectif d'alimenter les recherches historiques, scientifiques et familiales. Aucune finalité commerciale n'a été évoquée.

Les registres matricules sont conservés par les services d'archives départementaux et les archives nationales d'Outre-mer relevant de la responsabilité des conseils départementaux, des ministères de la Culture, de la Défense et des Anciens combattants. Dès lors, le dispositif se compose de plusieurs traitements effectués par différents acteurs.

Sous la responsabilité des ministères, les registres matricules ont vocation à être indexés dans une base unique accessible depuis un site internet national, l'interrogation de cette base renvoyant à une page de résultats comportant les liens vers le(s) registre(s) recherché(s), hébergé(s) par chaque service d'archives départemental.

Sous la responsabilité de chaque service d'archives départemental, les registres matricules ont vocation à être :
- numérisés sous format image ;
- enregistrés dans la base constituée et hébergée par chaque service d'archives départemental pour les registres matricules qu'il détient ;
- diffusés sur Internet à partir de chaque site départemental susceptible de proposer directement un outil de recherche dans la base d'indexation nationale, et/ou un simple lien vers le site national pour y procéder ;
- librement consultés par les internautes naviguant sur un des sites départementaux ;
- communiqués par copie ou par lien, papier ou numérique, aux lecteurs.

L'accessibilité des données personnelles composant cette mémoire numérique ne doit toutefois porter aucun nouveau préjudice au respect dû à la mémoire des soldats défunts, ou à la vie privée de leurs ayants-droit, concernés par cette période de l'Histoire.

La Commission considère que ces finalités sont déterminées, explicites et légitimes dès lors ce dispositif n'a pas pour objectif de prendre des décisions à l'égard des personnes concernées (conformément à l'article 6-2°) de la loi du 6 janvier 1978 modifiée).
Sur la nature des données traitées :
Sont concernées par les présents traitements les données contenues dans les registres matricules du recrutement militaire des classes de 1887 à 1921 ayant servi durant la Première Guerre mondiale. En parallèle du programme 1914-1918 , les registres antérieurs à cette période, également conservés par les services d'archives publics départementaux, peuvent être traités dans les conditions décrites par la présente autorisation.

Chaque registre matricule comporte plusieurs champs de saisie laissant apparaître des données relatives à :
- l'identité civile d'un soldat : nom, prénoms ; date, commune, département et pays ou territoire (si autre que la métropole) de naissance ;
- la description physique succincte ( signalement ) ;
- la vie personnelle : commune et département de résidence au moment de l'enregistrement, localité successives habitées ;
- la vie professionnelle : profession, degré d'instruction
- la vie militaire : bureau de recrutement, classe et côte du registre ; décision du conseil de révision ; état des services et mutations diverses (campagnes, blessures, actions d'éclat, décoration, mention de maladie, mention de condamnation) ; indication des corps dans lesquels les soldats sont affectés ; date de libération.

Les rubriques Signalement , Décision du conseil de révision et Détail des services et mutations diverses sont susceptibles de faire apparaître des données relevant des articles 8 et 9 de la loi du 6 janvier 1978 modifiée (blessures, maladies et causes du décès, condamnations).

Conformément au code du patrimoine, de tels registres sont librement communicables 120 ans après la naissance des intéressés (en raison de l'éventuelle présence de renseignements médicaux), soit 100 ans à compter de la classe du soldat (les recrues devant alors par principe être âgées de 20 années).

Cependant, par arrêté en date du 20 décembre 2012, les ministères de la Culture et de la Défense ont instauré une dérogation générale pour que puissent être librement consultés, dans les fonds d'archives publiques relatifs à la Première Guerre mondiale, les documents suivants : - registres matricules du recrutement militaire des classes ayant servi durant la Première Guerre mondiale et non encore librement communicables (classes 1912-1921). .

Dans le cadre de l'autorisation unique n°029, la diffusion sur Internet ne peut concerner que des archives de plus de 100 ans et doit exclure toute indexation à partir des nom et prénom des personnes concernées jusqu'à 120 ans ainsi que toute diffusion de donnée sensible jusqu'à l'expiration de 150 ans d'âge du document. Les paramètres de la diffusion retenus en l'espèce pour les registres matricules justifient une demande d'autorisation ad hoc.

Bien que les données soient contenues dans des documents datant d'à peine 100 ans et relèvent des articles 8 et 9 de la loi Informatique et Libertés la Commission estime devoir autoriser leur traitement dans un cadre historique et mémoriel alors d'ailleurs que ces données ne concernent que des soldats décédés (le dernier poilu en 2008).

A cet égard, elle relève que le caractère manuscrit de ces registres matricules ne permet pas de recourir à des outils de reconnaissance automatique des caractères (dit OCR ) ou d'appliquer de façon automatique un cache . Elle estime dès lors qu'exiger l'occultation de ces données pourrait induire des efforts disproportionnés par rapport à l'intérêt de la démarche de commémoration.

La Commission considère donc que ces catégories de données à caractère personnel relatives aux personnes concernées par les états généraux de service des soldats, recensés sous les drapeaux français jusque la période de la Première Guerre mondiale incluse, sont adéquates, pertinentes et non excessives au regard des finalités du traitement.
Sur les conditions de mise à disposition des données :
Sur les destinataires des données :
Il s'agit de permettre à toute personne, internaute ou non, ainsi qu'à la communauté scientifique, d'accéder aux registres matricules.

La consultation de ces données ou l'obtention de copie, papier ou numérique, n'est pas conditionnée par une identification préalable. Tout internaute ou toute personne se rendant dans un centre ou sur un site d'archives départemental est donc susceptible d'être rendu destinataire de ces données.

Compte tenu de la finalité mémorielle du dispositif, la Commission accepte de ne pas imposer de mesures de restriction d'accès telles que prévues par l'autorisation unique n°029, s'agissant en particulier du contingentement de documents en accès libre et/ou de la création de compte utilisateur.

Sur les instruments de recherche
L'indexation consiste à répertorier dans un document les données significatives (nom, prénom, date, lieu de naissance, date du document, auteur, etc.) afin de permettre d'effectuer des recherches par mots-clés de façon simple et rapide dans ces documents.

Dans le cadre de l'autorisation unique n°029, l'indexation n'est permise :
- sur les nom et prénom qu'à partir de 120 ans d'âge de la donnée ;
- sur des données relevant des articles 8 et 9 de la loi Informatique et Libertés qu'à partir de 150 ans d'âge de la donnée.
Le programme registres matricules comporte une opération d'indexation sur plusieurs données dont les nom et prénom(s) du soldat. Le projet retient la possibilité de lancer une recherche à partir d'un seul critère. Un tel paramétrage faciliterait principalement les recherches d'un internaute qui, non initié aux modalités habituelles permettant de consulter des fonds d'archives, souhaiterait reconstituer l'itinéraire particulier des membres de sa famille.

Les ministères précisent l'absence d'outils de saisie semi-automatique ou tout autre outil soumettant à l'internaute la liste des noms les plus recherchés, ainsi que la quasi non accessibilité des documents d'archives par les moteurs de recherche externe (sous réserve des moyens mobilisés par ces derniers).

La Commission demande à ce qu'aucune donnée relevant des articles 8 ou 9 de la loi Informatique et Libertés ne puisse être retenue parmi les paramètres d'indexation.

Eu égard à l'hétérogénéité des publics visés par cette diffusion massive sur Internet et les catégories de données concernées par le dispositif, elle estime nécessaire de faciliter la consultation des bases de registres matricules en utilisant notamment les données nominatives pour une recherche avant le terme de 120 ans fixé par l'AU-029.
Sur l'information des personnes :
Les personnes concernées par ces registres matricules sont décédées, le dernier des poilus en 2008. En outre, l'identité de leurs ayants-droit n'est pas visée par les registres matricules. L'information préalable, ou le recueil de leur consentement à une telle accessibilité sur Internet, se révèle dès lors impossible et exigerait des efforts disproportionnés au regard de l'intérêt du dispositif.

La Commission insiste sur les moyens à mettre en œuvre par les ministères et les services départementaux pour poursuivre leurs efforts d'information pédagogique à destination du grand public s'agissant de l'utilisation de fonds d'archives, et les invite à renforcer la qualité des éléments accompagnant la diffusion des registres matricules des poilus sur Internet.

Elle demande que soit insérée, de façon lisible, une information précisant que toute réutilisation à des fins commerciales est interdite.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les ministères envisagent d'organiser l'exercice des droits Informatique et libertés dans les conditions suivantes :
- Tout ayant-droit peut s'opposer à la diffusion de données en invoquant un motif tiré de la volonté de préserver la mémoire du défunt ou de protéger sa propre vie privée. Serait considéré comme ayant-droit, tout descendant de poilu justifiant de sa qualité en présentant copie ou extrait d'acte d'état civil de naissance avec filiation, ou copie de livret de famille permettant de s'assurer de celle-ci.
- Tout internaute attentif peut demander que les bases de données d'indexation et des registres matricules ainsi numérisés soient rectifiées. Le demandeur n'aura à justifier ni de sa filiation, ni de sa demande. Avant d'apporter toute correction à la base concernée, sera mise en œuvre une procédure de vérification dans les registres originaux conservés par les services départementaux.
- Chaque demande est communiquée au service départemental ou inversement, au ministère concerné.

La Commission souligne l'intérêt d'ouvrir un tel droit de mise à jour des données à l'ensemble des internautes qui auront accès aux registres matricules. Aucune analyse quant à l'exactitude des données n'a en effet été préalablement menée et les pratiques suivies pour constituer un registre matricule variaient d'un bureau de recrutement à l'autre. Il s'agirait ainsi de permettre le lien avec d'éventuelles informations survenues ultérieurement qui concernerait tel registre matricule ou tel soldat, par exemple en visant une décision de justice intervenue ultérieurement pour effacer la condamnation d'un soldat pour désertion.

La Commission invite également les responsables à relayer l'information d'une telle mise à jour sous la forme d'encarts d'actualité afin de mettre en évidence les motifs et le sens de la décision des autorités administratives concernées. De tels éléments permettraient également de contribuer à la compréhension de la réalité historique.
Sur la sécurité des données et la traçabilité des actions :
Dans le cadre de l'AU-029, la mise en place de mesures de sécurité est imposée pour éviter tout téléchargement massif d'archives en évoquant plusieurs exemples tels que l'utilisation de Captcha visuels et auditifs, la limitation du nombre de documents accessibles depuis une même adresse IP ou la création de comptes utilisateurs.

Au regard du public destinataire et des caractéristiques des traitements de données, la Commission estime qu'il serait excessif d'imposer l'obligation de créer un compte utilisateur, de restreindre l'accès libre à un volume de documents, ou de tracer plus avant les consultations des internautes.

Elle rappelle cependant que tout responsable de traitement doit prendre les mesures nécessaires pour empêcher que les données qu'il détient soient déformées, endommagées ou réutilisées à des fins commerciales. En cas de recours à un prestataire de service, il s'agit de lui imposer, par voie contractuelle, de n'utiliser les données qu'aux fins prévues, de s'assurer de leur confidentialité et intégrité, et de procéder à la destruction ou à la restitution de tous les supports manuels ou informatisés de données à caractère personnel au terme de sa prestation.

La Commission recommande, en toute hypothèse, de protéger les sites concernés notamment afin de détecter d'éventuelles attaques massives d'aspiration ou de copie du contenu, ainsi que d'empêcher de porter atteinte à l'intégrité des bases de données. Les modalités pratiques pour obtenir copie des bases de registres matricules pourraient d'ailleurs être précisées sur les sites internet concernés.

Si les ministères ont détaillé les mesures de sécurité de la base nationale d'indexation, il appartient à chaque collectivité de définir sa propre politique de sécurité s'agissant des bases départementales des registres.

La Commission rappelle que ce dispositif rendant des données accessibles à distance doit être mis en œuvre conformément aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée ainsi que de l'ordonnance n° 2005-1516 du 8 décembre 2005 et du décret n°2010-112 du 2 février 2010 (relatif au Référentiel général de sécurité, RGS ). Il s'agit principalement pour chaque autorité administrative de mener une étude préalable des risques pour définir les mesures de sécurité à mettre en œuvre. Le périmètre de l'étude doit considérer, d'une part, les risques d'atteinte à la sécurité des systèmes d'information et leurs impacts sur l'entité publique et d'autre part, les risques d'atteinte aux données à caractère personnel et leurs impacts sur la vie privée des administrés. Cette étude de risques doit être communiquée sur demande à la Commission, qui doit être en mesure de vérifier à tout moment que des mesures adéquates de sécurité ont été mises en œuvre et sont améliorées en tant que de besoin. Enfin, il appartient à l'administration d'attester de la conformité de son système d'information au RGS et de rendre accessible cette attestation sur le site internet concerné.

Dans ces conditions, la Commission autorise les ministères de la Défense et de la Culture ainsi que les conseils départementaux, responsables de services d'archives publics, à mettre en œuvre des traitements de données à caractère personnel ayant pour finalités de numériser, d'indexer sur certaines données et de diffuser sur Internet les registres matricules des soldats ayant servi sous les drapeaux français pendant la Première Guerre mondiale.

La Présidente

Isabelle FALQUE-PIERROTIN