Décret n° 2021-1587 du 7 décembre 2021 portant autorisation d'un traitement automatisé de données à caractère personnel dans le but d'identifier les ingérences numériques étrangères (Lien Legifrance, JO 09/12/2021)

    Le décret en Conseil d'Etat crée un traitement de données à caractère personnel dans le cadre de la mission de vigilance et de protection contre les ingérences numériques étrangères confiée au secrétaire général de la défense et de la sécurité nationale. Il autorise le secrétaire général de la défense et de la sécurité nationale à mettre en œuvre un traitement automatisé de données à caractère personnel dans le cadre de ses missions, prévues au 9° de l'article R.* 1132-3 du code de la défense, d'identification des opérations d'ingérence numérique étrangères de nature à porter atteinte aux intérêts fondamentaux de la Nation. Ce traitement est confié au service de vigilance et de protection contre les ingérences numériques étrangères, service à compétence nationale rattaché au secrétaire général de la défense et de la sécurité nationale. Le présent décret modifie aussi le décret n° 2021-922 du 13 juillet 2021 portant création, auprès du secrétaire général de la défense et de la sécurité nationale, d'un service à compétence nationale dénommé « service de vigilance et de protection contre les ingérences numériques étrangères ». (D'après la notice publiée avec le décret)

    Le décret a été pris après l'avis de la délibération n° 2021-116 de la Commission nationale de l'informatique et des libertés (CNIL) : Délibération n° 2021-116 du 7 octobre 2021 portant avis sur un projet de décret portant création d'un traitement automatisé de données à caractère personnel visant à détecter et caractériser les opérations d'ingérence numérique étrangères aux fins de manipulation de l'information sur les plateformes en ligne,

Sommaire du décret
Titre Ier : ORGANISATION ET FONCTIONNEMENT DU TRAITEMENT (Articles 1 à 11)
Titre II : RÔLE DU COMITÉ ÉTHIQUE ET SCIENTIFIQUE (Articles 12 à 15)

    Le traitement informatisé et automatisé de données à caractère personnel a pour finalités la détection et la caractérisation des opérations impliquant, de manière directe ou indirecte, un Etat étranger ou une entité non étatique étrangère, et visant à la diffusion artificielle ou automatisée, massive et délibérée, par le biais d'un service de communication au public en ligne, d'allégations ou imputations de faits manifestement inexactes ou trompeuses de nature à porter atteinte aux intérêts fondamentaux de la Nation, notamment lorsque ces opérations sont de nature à altérer l'information des citoyens pendant les périodes électorales. Ce traitement repose sur la collecte et l'exploitation des contenus publiquement accessibles aux utilisateurs des plateformes en ligne des opérateurs mentionnés au I de l'article L. 111-7 du code de la consommation et dont l'activité sur le territoire français dépasse un seuil de cinq millions de visiteurs uniques par mois, y compris lorsque l'accès à ces plateformes requiert une inscription à un compte. Lorsqu'elles concourent à la caractérisation des opérations précédemment mentionnées, les données ainsi collectées sont exploitées pour les seuls besoins de l'élaboration de notes d'analyse. Ce traitement est confié au service de vigilance et de protection contre les ingérences numériques étrangères (VIGINUM), créé par l'article 2 du décret n° 2021-922 du 13 juillet 2021. Le chef de ce service est le responsable de traitement. La sélection des contenus à collecter s'opère de manière proportionnée et automatisée par application de critères techniques déterminés à l'issue de travaux de veille, dans le strict respect des finalités précédemment mentionnées et à l'exclusion de tout recours à un système de reconnaissance faciale ou d'identification vocale. Aucune collecte automatisée de données à caractère personnel n'est mise en œuvre à l'occasion des travaux de veille. Les contenus précédemment mentionnés sont collectés pendant une période maximale de sept jours. Cette période peut être renouvelée, dans la limite d'une durée qui ne peut excéder six mois à compter du déclenchement de l'opération de collecte, dès lors que la collecte demeure pertinente au regard des finalités du traitement. Pour la collecte des contenus, VIGINUM est autorisé à créer des comptes sur les plateformes ainsi que des comptes destinés à être utilisés par l'intermédiaire d'interfaces de programmation mises à disposition par les opérateurs de ces plateformes. Les agents de ce service ne sont pas autorisés à utiliser ces comptes pour entrer en relation avec d'autres détenteurs de compte, ni à diffuser des contenus, ni à exercer une activité autre que celle prévue. VIGINUM définit dans des tables informatiques les catégories de données nécessaires à la réalisation des finalités mentionnées au début et devant être conservées à cet effet. Ces catégories de données sont : 1° Les données d'identification déclarées par les titulaires de comptes ouverts sur les plateformes en ligne, lorsqu'ils diffusent ou relaient des contenus publiquement accessibles ou y réagissent, telles qu'elles apparaissent sur ces comptes ; 2° Les données permettant de caractériser l'activité et l'audience de ces comptes, notamment les indicateurs quantitatifs relatifs au nombre d'abonnés et au nombre de publications ; 3° Les contenus publiquement accessibles dans les conditions définies à l'article 1er, diffusés ou relayés au moyen de ces comptes et les indicateurs d'audience associés. Les données collectées qui ne correspondent pas aux catégories de données prévues doivent être détruites immédiatement après leur collecte, selon un procédé automatisé. Seuls les agents affectés au sein du service précité, individuellement désignés et spécialement habilités par le responsable de traitement, peuvent accéder à ce procédé automatisé et en modifier les paramètres. Il est interdit de sélectionner dans le traitement une catégorie particulière de personnes à partir des seules données sensibles, au sens de l'article 6 de la loi du 6 janvier 1978.

Rubriques :  médias, télécommunications, informatique / élections / défense, police, sécurité civile

Voir aussi :
Loi n° 2018-1202 du 22 décembre 2018 relative à la lutte contre la manipulation de l'information - Décret n° 2021-922 du 13 juillet 2021 portant création, auprès du secrétaire général de la défense et de la sécurité nationale, d'un service à compétence nationale dénommé « service de vigilance et de protection contre les ingérences numériques étrangères