Financement étranger des cultes : la CNIL encadre le nouveau téléservice

1. Contexte juridique et finalité du traitement relatif au financement étranger des cultes

1.1. La délibération no 2025-115 du 27 novembre 2025 de la Commission nationale de l’informatique et des libertés (CNIL) porte avis sur un projet de décret relatif à la mise en œuvre d’un traitement automatisé de données à caractère personnel permettant le dépôt et l’instruction par voie dématérialisée, au moyen d’un téléservice, des déclarations relatives au financement étranger des cultes et à diverses dispositions portant sur le droit des cultes. Ce projet s’inscrit dans le cadre du règlement (UE) 2016/679 (RGPD), de la loi no 78-17 du 6 janvier 1978 modifiée (« loi informatique et libertés ») et de la loi du 9 décembre 1905 concernant la séparation des Églises et de l’État, notamment son article 19-3.

1.2. La loi no 2021-1109 du 24 août 2021 confortant le respect des principes de la République (CRPR) a imposé aux organismes ayant une activité cultuelle plusieurs obligations déclaratives auprès du ministère de l’intérieur : déclaration de qualité cultuelle, déclaration de la liste des lieux de culte, et déclaration des avantages ou ressources reçus provenant directement ou indirectement de l’étranger. Ces obligations concernent les associations cultuelles, les associations « mixtes », les congrégations, ainsi que, dans les départements du Bas-Rhin, du Haut-Rhin et de la Moselle, les établissements publics du culte et les associations inscrites de droit local à objet cultuel. Toute association cultuelle doit déclarer les dons, avantages ou ressources étrangers dépassant un certain seuil, afin de permettre à l’État de vérifier qu’aucun motif d’ordre public ne s’oppose à la perception de ces financements.

1.3. Le ministère de l’intérieur a créé un téléservice, s’appuyant sur la plateforme « Démarche numérique » proposée par la direction interministérielle du numérique (DINUM), destiné à permettre aux organismes concernés d’effectuer ces déclarations en ligne. L’objectif est de faciliter et homogénéiser la procédure de dépôt, de gestion, de suivi et d’instruction des déclarations par les agents des préfectures et les services de la direction des libertés publiques et des affaires juridiques (DLPAJ). Le traitement, ayant pour finalité de permettre l’accomplissement par voie électronique des obligations d’information et de transparence prévues par la loi, relève du RGPD.

1.4. Dans la mesure où cette nouvelle obligation vise la prévention des ingérences étrangères et peut permettre la détection d’infractions pénales, le traitement intéresse la sûreté de l’État et relève de l’article 31 de la loi « informatique et libertés ». Compte tenu de la nature de certaines données collectées, susceptibles de révéler les convictions religieuses des déclarants, le traitement doit être autorisé par décret en Conseil d’État pris en application du II de l’article 31, après avis de la CNIL.

2. Les données traitées dans le téléservice

2.1. Les données collectées dans le cadre du téléservice sont en partie celles déjà prévues par le décret no 2022-619 du 22 avril 2022, qui n’appellent pas d’observations de la CNIL. Le projet de décret introduit toutefois de nouvelles catégories de données via les 3o et 4o de l’article 10. D’une part, pour les déclarations de financements inférieurs ou égaux à 15 300 euros, il est désormais prévu de collecter, en complément du nom, prénom(s), adresse électronique et coordonnées téléphoniques du déclarant, sa date et lieu de naissance. D’autre part, le 4o de l’article 10 concerne les informations relatives aux prêts de main-d’œuvre, c’est-à-dire aux personnes mises à disposition des associations cultuelles, au sens de l’article 19-3 de la loi de 1905.

2.2. Pour ces personnes mises à disposition, les déclarations préciseront les noms, prénom(s), date et lieu de naissance, nationalité(s), fonctions exercées. Au regard de l’objet du traitement – contrôle des financements étrangers et prévention des menaces à l’ordre public – la CNIL considère que la collecte de ces données est proportionnée et légitime. Elle souligne toutefois que certaines personnes peuvent être inscrites dans le traitement à leur insu, ce qui pose un enjeu particulier en matière d’information des personnes concernées.

3. Accédants et destinataires des données : exigences de précision

3.1. Le I de l’article 4 du projet de décret réserve l’accès au traitement aux seuls « agents des services centraux du ministère de l’intérieur chargés de l’instruction de la déclaration », individuellement désignés et spécialement habilités par leur chef de service. Le ministère précise dans son analyse d’impact relative à la protection des données (AIPD) que cette dénomination recouvre un faible nombre d’agents affectés à la DLPAJ. La CNIL estime que ce faible nombre d’accédants, relevant d’un unique service central et soumis à une procédure d’habilitation, est adapté à la sensibilité des données.

3.2. Le II du même article désigne comme destinataires des données « les agents des services de l’État, individuellement désignés et dûment habilités, en vue d’établir l’existence d’une menace réelle, actuelle et suffisamment grave affectant un intérêt fondamental de la société » dans les conditions prévues au III de l’article 19-3 de la loi de 1905 et au III de l’article 79-VIII du code civil local. L’AIPD ne précise pas davantage cette catégorie. Eu égard à la sensibilité des données, la CNIL juge que la formulation employée devrait être précisée, notamment en établissant des catégories plus détaillées de destinataires dont la mission consiste explicitement à établir l’existence de la menace (par exemple, services spécialisés de renseignement au sens de l’article L. 811-2 du code de la sécurité intérieure). Elle recommande une modification de l’article 4 du projet de décret et de l’AIPD en ce sens.

4. Droits des personnes : opposition, information et autres droits

4.1. L’article 6 du projet de décret prévoit d’exclure l’application du droit d’opposition et de permettre l’exercice des autres droits directement auprès du ministère. La CNIL considère que, compte tenu de la finalité du traitement – prévention des ingérences étrangères et protection de la sûreté de l’État –, l’exclusion du droit d’opposition est légitime. En revanche, l’exercice des autres droits (accès, rectification, effacement, limitation) doit être pleinement garanti.

4.2. Le projet de décret crée un téléservice regroupant trois déclarations, ce qui implique un nombre significatif de personnes concernées. Le 2o de l’article 10 permet à une association qui redistribue des avantages et ressources à d’autres associations d’effectuer la déclaration pour le compte de ces dernières, les dispensant de déclarer elles-mêmes. Le 4o impose aux associations déclarantes de transmettre les données personnelles des personnes relevant du prêt de main-d’œuvre ou de la mise à disposition. Ces mécanismes impliquent que des associations puissent inscrire des données dans le fichier sans que les personnes concernées en soient informées, y compris des données susceptibles de révéler implicitement leurs convictions religieuses.

4.3. La CNIL souligne l’enjeu important en matière d’information des personnes et invite le ministère de l’intérieur à élaborer une procédure lui permettant, en tant que responsable de traitement, d’informer toutes les personnes concernées de leur inscription dans le fichier, y compris celles déclarées par une association pour le compte d’autres associations. Le ministère indique qu’une information conforme à l’article 13 du RGPD est prévue sur la plateforme du téléservice pour les déclarants. Toutefois, au regard du nombre important de personnes dont les données sont collectées indirectement, la CNIL recommande la mise en place de mesures de communication spécifiques, par exemple la collecte d’adresses électroniques uniquement consacrées à l’information des personnes quant à leur inscription et à leurs droits, avec suppression de ces adresses après notification.

5. Conservation des données de journalisation et traçabilité

5.1. L’article 7 du projet de décret prévoit que les opérations de collecte, modification, consultation, communication et effacement des données font l’objet d’un enregistrement comprenant l’identifiant de l’auteur, la date, l’heure, le motif de l’opération et, le cas échéant, les destinataires des données. Ces informations sont conservées pendant un an. La CNIL remarque que cette durée est très inférieure à celle généralement retenue par le ministère de l’intérieur pour ses autres traitements, notamment ceux intéressant la détection des infractions pénales ou la sûreté de l’État.

5.2. En réponse, le ministère propose, sous réserve de faisabilité technique, de porter la durée de conservation des données de journalisation à trois ans, en considération de la sensibilité des données relatives au financement des cultes. La CNIL accueille favorablement cette proposition, qui renforce la traçabilité et la capacité de contrôle a posteriori des accès et opérations sur les données.

6. Mesures de sécurité : authentification, journalisation et API

6.1. La CNIL prend acte du fait que la journalisation mise en œuvre dans Démarche numérique (DN) fait l’objet d’un traitement par les équipes sécurité de la DINUM / RIE au sein du Computer Security Incident Response Team (CSIRT). Pour l’application Bibliothèque Numérique (BN), les journaux techniques sont analysés en temps réel et archivés sur un an, tandis que l’analyse des journaux fonctionnels, initialement prévue pour 2025, est reportée à 2026 au mieux. La CNIL insiste sur le caractère essentiel de l’analyse de la journalisation pour garantir la sécurité et la bonne utilisation des systèmes d’information et demande au ministère de déployer cette fonctionnalité le plus tôt possible.

6.2. DN permet trois moyens d’authentification : comptes locaux (usagers et agents), FranceConnect (usagers) et ProConnect (agents, instructeurs, administrateurs). La CNIL prend acte des mesures de sécurisation des comptes locaux, de l’accès et du stockage des mots de passe, ainsi que de la politique imposant une longueur minimale de 12 caractères pour les mots de passe, en conformité avec la délibération no 2022-100 du 21 juillet 2022 relative aux mots de passe et autres secrets partagés, qui exige une entropie suffisante. Elle note que DN est accessible depuis internet et que l’authentification multi facteur (MFA) est en cours de déploiement avec ProConnect. La CNIL demande de généraliser et imposer le MFA pour les agents, administrateurs et instructeurs. Le ministère indique que le MFA a bien été mis en place pour le traitement en question, ce que la CNIL accueille favorablement.

6.3. Une interface de programmation applicative (API) Démarche numérique est utilisée par Bibliothèque Numérique pour récupérer les données et pièces jointes des dossiers et les sauvegarder de manière pérenne. L’accès à l’API se fait après accord sur le périmètre des démarches à récupérer, l’authentification étant sécurisée par un jeton (« token ») attribué à BN par DN, avec une traçabilité technique. Toutefois, aucun filtrage IP n’est mis en œuvre et l’API est accessible directement depuis internet. La CNIL rappelle que les API doivent faire l’objet de mesures de sécurité spécifiques, conformément à la délibération no 2023-050 du 25 mai 2023 relative à l’utilisation de ces interfaces, et invite le ministère à renforcer la protection de cette API.

7. Sous-traitance et conformité à l’article 28 du RGPD

7.1. Le ministère de l’intérieur et la DINUM, en tant qu’éditeur de la plateforme « Démarche numérique », n’ont pas conclu de convention de sous-traitance ou autre acte formalisant les modalités de traitement des données et les mesures de sécurité afférentes, comme l’exige l’article 28 du RGPD. Le ministère considère que les conditions générales d’utilisation (CGU) de la plateforme ont une nature contractuelle et satisfont à ces exigences.

7.2. La CNIL estime que ces CGU ne constituent, en l’état, qu’un cadre général insuffisant, ne mentionnant pas l’ensemble des obligations imposées par l’article 28 du RGPD (instructions documentées, confidentialité, sécurité, recours à un autre sous-traitant, assistance au responsable de traitement, sort des données en fin de contrat, etc.). Elle invite donc le ministère à conclure un contrat ou une convention de sous-traitance spécifique avec la DINUM, afin de répondre pleinement aux exigences du RGPD et de clarifier les responsabilités respectives en matière de protection des données.

8. Appréciation globale de la CNIL

8.1. La CNIL considère que le projet de décret, en créant un téléservice dédié aux déclarations relatives au financement étranger des cultes, répond à un objectif légitime de transparence et de prévention des ingérences étrangères, dans le respect du cadre posé par la loi CRPR et la loi de 1905. Elle juge que les données collectées sont pertinentes et adéquates au regard des finalités poursuivies, sous réserve des précisions demandées sur les destinataires des données, le renforcement de l’information des personnes inscrites indirectement dans le traitement, l’allongement de la durée de conservation des données de journalisation, la généralisation de l’authentification multi facteur, la sécurisation de l’API et la formalisation de la sous-traitance avec la DINUM.

8.2. Sous ces réserves et recommandations, la CNIL adopte la délibération, signée par sa présidente, M.-L. Denis, et contribue ainsi à encadrer juridiquement et techniquement la mise en œuvre de ce traitement automatisé de données à caractère personnel, au croisement des enjeux de sûreté de l’État, de liberté de culte et de protection des données personnelles.