Bonjour Monsieur,

Merci de votre intérêt pour l’application Agora. 

Je vous prie de bien vouloir trouver ci-après les éléments de réponse à
vos demandes relatives à l’application.

1/ S’agissant du code source 

L'application Agora a été publiée en open source et le code source
est disponible sur [1]Code.gouv.fr ([2]https://code.gouv.fr/public/#/repos?g=ht...
recense les codes sources du secteur public. 

2/ S’agissant d’une éventuelle analyse d’impact relative à la protection 
des données à caractère personnel (AIPD) 

L’obligation d’une étude d’impact est déterminée par l’article 35 du RGPD
et par le cadre fixé par l’autorité de contrôle (CNIL) conformément à
l’article 35 du RGPD.

• Le projet ne relève d'aucun des critères définis par l'article 35 du
RGPD :

- Le traitement n'est pas susceptible d'engendrer un risque élevé pour les
droits et libertés des personnes physiques (1. de l’article 35), car il ne
conditionne en rien l’obtention de droits, ni n’encadre d’aucune façon la
privation d’une quelconque liberté des personnes physiques.

 

- Agora n'entre dans aucun des 3 champs fixés au 3. de l'article 35 : 

a) l'évaluation systématique et approfondie d'aspects personnels
concernant des personnes physiques, qui est fondée sur un traitement
automatisé, y compris le profilage, et sur la base de laquelle sont prises
des décisions produisant des effets juridiques à l'égard d'une personne
physique ou l'affectant de manière significative de façon similaire ;

b) le traitement à grande échelle de catégories particulières de données
visées à l'article 9, paragraphe 1, ou de données à caractère personnel
relatives à des condamnations pénales et à des infractions visées à
l'article 10 ;

c) la surveillance systématique à grande échelle d'une zone accessible au
public.

 

·       Le projet ne relève pas de la liste fixée par la CNIL des types
d’opérations de traitement pour lesquelles une analyse d’impact relative à
la protection des données est requise : 

- Pas de traitement de données de santé

- Pas de traitement portant sur des données génétiques de personnes dites
« vulnérables »

- Pas de traitement établissant des profils de personnes physiques à des
fins de gestion des ressources humaines

- Pas de traitement ayant pour finalité de surveiller de manière constante
l’activité des employés concernés

- Pas de traitement ayant pour finalité la gestion des alertes et des
signalements en matière sociale et sanitaire

- Pas de traitement ayant pour finalité la gestion des alertes et des
signalements en matière professionnelle

- Pas de traitement des données de santé nécessaires à la constitution
d’un entrepôt de données ou d’un registre

- Pas de traitement  impliquant le profilage des personnes pouvant aboutir
à leur exclusion du bénéfice d’un contrat ou à la suspension voire à la
rupture de celui-ci

- Pas de traitement mutualisé  de manquements contractuels constatés,
susceptibles d’aboutir à une décision d’exclusion ou de suspension du
bénéfice d’un contrat

- Pas de traitement  de profilage faisant appel à des données provenant de
sources externes

- Pas de traitement de données biométriques aux fins d'identifier une
personne physique de manière unique parmi lesquelles figurent des
personnes dites « vulnérables »

- Pas d'instruction des demandes et gestion des logements sociaux

- Pas de traitement ayant pour finalité l’accompagnement social ou
médico-social des personnes

- Pas de traitement de données de localisation à large échelle :
l'application ne fait pas de géolocalisation. Les utilisateurs peuvent, de
manière volontaire, renseigner un département de résidence. 

 

·       Le traitement réalisé dans le cadre d’Agora ne remplit pas au
moins deux des neuf critères listés par la CNIL pour une AIPD : 

- évaluation/scoring (y compris le profilage) : sans objet,

- décision automatique avec effet légal ou similaire : sans objet,   

- surveillance systématique : sans objet, 

- collecte de données sensibles ou données à caractère hautement personnel
: sans objet, 

- collecte à large échelle : réalisé, 

- croisement de données : sans objet, 

- personnes vulnérables (patients, personnes âgées, enfants, etc.) : sans
objet, 

- usage innovant (utilisation d’une nouvelle technologie) : sans objet, 

- exclusion du bénéfice d’un droit/contrat : sans objet. 

 

 

·       L’application a été conçue avec une approche dite "privacy by
design"

- Minimisation des données personnelles demandées dans l’application. Les
informations de profil (genre, année de naissance, département de
résidence, type de cadre de vie -milieu urbain, milieu rural, autre / je
ne sais pas- ; catégorie socio-professionnelle, fréquence de vote,
fréquence d’engagement sur le terrain, fréquence d’engagement en ligne)
sont fournies volontairement par l’utilisateur et ne sont pas des données
identifiantes ;

- Pour poser une question citoyenne, l'application demande un prénom. Il
n'y a aucun croisement entre les questions posées au Gouvernement (qui
nécessitent le prénom) et les informations de profil (qui ne sont pas
identifiantes) ;

- Chaque donnée qui n'est plus utile est supprimée au plus tôt :
suppression des prénoms à l'archivage des questions citoyennes au bout de
15 jours, suppression des réponses aux consultations une fois que les
consultations sont terminées pour ne garder que les résultats agrégés ;

- Modération des questions citoyennes assurée avant toute publication dans
l’application pour supprimer toute donnée à caractère personnel qu’aurait
mentionné l’utilisateur ;

- Mesures techniques garantissant un haut niveau de sécurisation des
données traitées.

 

L’ensemble de ces éléments a abouti à la conclusion que le projet était
hors du champ de l’obligation d’une AIPD.

 

Bien cordialement,

P-H Méchet

-----Message d'origine-----
De : Olivier Blazy <[3][FOI #44862 email]>
Envoyé : vendredi 29 septembre 2023 1
Objet : Demande au titre du droit d’accès aux documents administratifs -
Documents relatifs à Agora

 

Madame, Monsieur,

 

Au titre du droit d’accès aux documents administratifs, tel que prévu
notamment par le Livre III du Code des relations entre le public et
l’administration, je sollicite auprès de vous la communication des
documents suivants :

- Le PIA (privacy Impact assessment) réalisé autour de l'application Agora

- Le code source de l'application

 

Je souhaite recevoir ces documents sous forme électronique, dans un
standard ouvert, aisément réutilisable et exploitable par un système de
traitement automatisé, comme le prévoit l’article L300-4 du Code des
relations entre le public et l’administration.

 

Comme l’article L311-2 du code précité le prévoit lorsque le demandeur a
mal identifié celui qui est susceptible de répondre à sa requête, je vous
prie de bien vouloir transmettre ma demande au service qui détient les
documents demandés si tel est le cas.

 

Veuillez agréer, Madame, Monsieur, l'expression de mes sentiments
distingués.

 

Olivier Blazy

 

-------------------------------------------------------------------

La demande ci-dessus vous a été envoyée par l’intermédiaire de la
plateforme associative et citoyenne Ma Dada ([4]https://madada.fr), dont
l’objet est de faciliter l’accès aux informations publiques.

 

Merci d’utiliser cette adresse email pour toutes les réponses à cette
demande :

[5][FOI #44862 email]

 

Attention : les réponses que vous apporterez à cette demande, de même que
les éventuels documents administratifs que vous pourriez communiquer,
seront publiés en libre accès sur Ma Dada. Nous vous demandons donc de
procéder, le cas échéant, à l’occultation de données à caractère personnel
(noms, contacts…), comme le prévoit notamment l’article 311-7 du CRPA.

 

Nous vous rappelons que vous devez répondre à cette demande dans un délai
d’un mois, faute de quoi votre silence vaudra refus implicite (articles
R311-12 et R311-13 du CRPA).

 

Pour toute difficulté ou question concernant :

- Le droit d’accès, vous pouvez consulter le site Internet de la
Commission d’accès aux documents administratifs (CADA), [6]www.cada.fr, ou
la contacter directement.

- Ma Dada, vous pouvez consulter notre documentation
([7]https://doc.madada.fr), ou nous contacter à [8][Ma Dada contact email].

 

En vous remerciant pour la bienveillance que vous pourrez apporter à cette
requête,

 

L’équipe de Ma Dada.

-------------------------------------------------------------------

 

 

References

Visible links
1. https://code.gouv.fr/public/#/repos?g=ht...
2. https://code.gouv.fr/public/#/repos?g=ht...
3. mailto:[FOI #44862 email]
4. https://madada.fr/
5. mailto:[FOI #44862 email]
6. http://www.cada.fr/
7. https://doc.madada.fr/
8. mailto:[Ma Dada contact email]