Délibération n° 2023-104 du 5 octobre 2023 portant avis sur un projet de décret portant application des articles L. 256-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre de systèmes de vidéosurveillance dans les cellules de garde à vue et de retenue douanière

Date de l'avis : 5 octobre 2023 N° de la délibération : 2023-104 N° de demande d'avis : 22014532 N° d'acte réglementaire unique : RU-78 Texte concerné : projet de décret portant application des articles L. 256-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre de systèmes de vidéosurveillance dans les cellules de garde à vue et de retenue douanière Thématiques : vidéosurveillance, cellules de garde à vue et de retenue douanière Fondement de la saisine : article L. 256-5 du code de la sécurité intérieure L'essentiel : 1. La CNIL prend note que des doctrines d'emploi des caméras de vidéosurveillance seront élaborées par le ministère de l'intérieur et le ministère chargé du budget. 2. Afin de préserver l'intimité des personnes placées en garde à vue ou en retenue douanière, elle recommande que le pare-vue opacifiant soit placé de manière à ce que l'ensemble de la zone sanitaire des cellules ne puisse pas être filmé. 3. La CNIL estime satisfaisant le modèle d'affiche qui lui a été transmis et qui sera apposé à l'entrée des cellules au regard des mentions d'information requises par la loi informatique et libertés . La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant application des articles L. 256-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre de systèmes de vidéosurveillance dans les cellules de garde à vie et de retenue douanière ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31 et son titre III ; Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la delibération suivante : I. - La saisine A. - Le contexte de la saisine Dans sa délibération n° 2021-078 du 8 juillet 2021, la CNIL s'est prononcée sur le projet de loi relatif à la responsabilité pénale et à la sécurité intérieure (loi n° 2022-52 du 24 janvier 2022), qui comportait des dispositions relatives à la mise en œuvre de systèmes de vidéosurveillance au sein des cellules de garde à vue. Elle a notamment rappelé que de tels dispositifs, qui permettent une surveillance permanente, portent par nature une atteinte grave au droit au respect de la vie privée et à la protection des données à caractère personnel d'individus déjà soumis à des mesures restrictives de liberté. Une telle atteinte ne peut dès lors être admise que si elle apparaît strictement nécessaire au but poursuivi et si des garanties fortes sont prévues, de nature à assurer la proportionnalité des dispositifs mis en œuvre. B. - L'objet de la saisine La CNIL a été saisie par le ministère de l'intérieur pour avis sur un projet de décret portant application des articles L. 256-1 et suivants du code de la sécurité intérieure (CSI) et relatif à la mise en œuvre de systèmes de vidéosurveillance dans les cellules de garde à vue et de retenue douanière. Les articles L. 256-1 et suivants du CSI permettent à l'autorité administrative de mettre en œuvre des systèmes de vidéosurveillance dans les cellules de garde à vue et de retenue douanière pour prévenir les risques d'évasion de la personne placée en garde à vue ou en retenue douanière et les menaces sur cette personne ou sur autrui. L'article L. 256-5 du CSI prévoit que les modalités d'application sont précisées par un décret en Conseil d'Etat, pris après avis de la CNIL. Le projet de décret constitue un acte réglementaire unique au sens du IV de l'article 31 de la loi informatique et libertés . Conformément au projet d'article R. 256-7 du CSI, la mise en œuvre des traitements est subordonnée à l'envoi à la CNIL d'un engagement de conformité. II. - L'avis de la CNIL A. - Sur le régime juridique des traitements de données Les traitements de données à caractère personnel ont pour finalités de prévenir : - les risques d'évasion des personnes placées en garde à vue ou en retenue douanière, et - les menaces sur ces personnes ou sur autrui. Selon le ministère, les mesures de garde à vue et de retenue douanière s'inscrivent nécessairement dans le cadre d'enquêtes ou de poursuites pénales. En particulier, l'évasion d'une personne placée en garde à vue est une infraction pénale (articles 434-27 à 434-37 du code pénal). La prévention des menaces sur les personnes faisant l'objet de la mesure, peuvent se matérialiser par un risque : - d'atteinte de la personne envers-elle même (passage à l'acte auto-agressif (automutilation ou suicide) ; - d'atteinte par un tiers envers la personne gardée à vue (autres personnes se trouvant dans la cellule) ; - d'atteinte de la personne gardée à vue envers autrui. La sécurité des personnes peut ne pas constituer en tant que telle une finalité qui s'inscrit nécessairement dans le cadre de la prévention d'infractions pénales. En l'espèce, les finalités poursuivies par les traitements visent à prévenir les atteintes (physiques ou morales) sur la personne gardée à vue ou sur autrui. Ainsi, l'objectif est d'empêcher la réalisation de ces atteintes et par conséquent, de prévenir la commission d'un fait pénalement répréhensible. Compte tenu des précisions apportées par le ministère, la CNIL considère que les traitements permettent la prévention d'infractions pénales et à leur poursuite le cas échéant. Elle considère que les traitements relèvent du régime de la directive police-justice transposée au titre III de la loi informatique et libertés . B. - Sur le périmètre des dispositifs de vidéosurveillance L'article L. 256-2 du CSI prévoit que le placement sous vidéosurveillance est décidé par le chef du service responsable de la sécurité des lieux concernés ou son représentant lorsqu'il existe des raisons sérieuses de penser que cette personne pourrait tenter de s'évader ou représenter une menace pour elle-même ou pour autrui . L'analyse d'impact relative à la protection des données (AIPD) précise qu'il appartiendra au responsable de la sécurité des lieux concernés d'apprécier au cas par cas la nécessité de mettre en œuvre la vidéosurveillance, au regard des critères fixés par la loi et à partir d'éléments tels que : - l'état psychique ou la personnalité de la personne ; - les propos exprimant une intention de suicide ; - les faits ayant justifié la mesure de garde à vue ; - les éventuelles mesures antérieures au cours desquelles les agents ont constaté des passages à l'acte violents ou des tentatives d'évasion de la personne placée en garde à vue ou en retenue douanière. De manière générale, la CNIL considère que ces éléments doivent présenter un caractère sérieux, dans la mesure où la surveillance permanente par vidéo porte une atteinte grave au droit au respect de la vie privée et le recours à ce type de dispositif ne doit présenter qu'un caractère subsidiaire. En particulier, les faits ayant justifié la mesure de garde à vue doivent résulter d'actes de violence d'une particulière gravité démontrant la nécessité d'une surveillance permanente par vidéosurveillance. Des doctrines d'emploi des caméras seront rédigées par chacun des ministères concernés (ministère de l'intérieur et ministère chargé du budget). Elles comporteront notamment : - des éléments d'aide à la décision orientant les agents sur les cas dans lesquels une mesure de vidéosurveillance peut être prise ; - des critères permettant d'encadrer le visionnage des images en temps réel par le chef de service ou son représentant individuellement désigné et habilité par lui, pour les seules finalités mentionnées au projet d'article R. 256-1 du CSI. La CNIL considère que ces doctrines d'emploi devront lui être transmises et être régulièrement mises à jour autant que de besoin pour résoudre les éventuels problèmes de mise en œuvre. Par ailleurs, l'article L. 256-3 du CSI indique qu'un pare-vue fixé à la cellule de garde à vue ou de retenue douanière garantit l'intimité de la personne tout en permettant la restitution d'images opacifiées, et que l'emplacement des caméras est visible. L'intimité de la personne s'entend au sens de l'intimité physique et corporelle. Dans ce cadre, la présence de sanitaires dans les cellules de garde à vue et de retenue douanière est de nature à nécessiter la préservation de l'intimité de la personne. Seules les cellules équipées de sanitaires seront équipées d'un système d'opacification des images (pare-vue opacifiant). La CNIL recommande que le pare-vue ou filtre opacifiant placé entre la caméra et la zone sanitaire dans les cellules soit orienté de manière à ce que l'ensemble de la zone sanitaire ne puisse pas être filmé. La CNIL prend acte de ce qu'il ne peut y avoir en même temps dans une même cellule de garde à vue ou de retenue douanière une personne placée sous vidéosurveillance et une autre qui ne l'est pas. Seules les personnes faisant l'objet d'un placement sous vidéosurveillance peuvent ainsi être filmées. En outre, l'article L. 256-3 du CSI interdit : - tout dispositif biométrique ou de captation du son ; - tout rapprochement, interconnexion ou mise en relation automatisé avec d'autres traitements de données à caractère personnel. La CNIL prend acte de ce qu'il n'est pas envisagé de recourir à des traitements algorithmiques d'analyse automatisée des images ( vidéo augmentée ). C. - Sur le droit à l'information L'article L. 256-1 du CSI prévoit qu'une affiche apposée à l'entrée de la cellule équipée d'un système de vidéosurveillance informe de l'existence du système ainsi que des modalités d'accès et de rectification des données recueillies. Le modèle d'affiche, transmis à la CNIL, comporte les mentions d'information requises conformément à l'article 104 de la loi informatique et libertés . Outre les affiches apposées à l'entrée des cellules, la CNIL prend acte de ce que les mentions d'information requises au titre de l'article 104 de la loi informatique et libertés figureront également sur le site web des ministères concernés. D. - Sur les mesures de sécurité La CNIL prend acte des mesures de sécurité mises en place par les ministères pour limiter les risques de disparition, de modification ou d'accès illégitime aux données de vidéosurveillance. Concernant les moyens d'authentification, la CNIL accueille favorablement le recours à l'authentification forte lorsque cela est possible, ainsi que l'utilisation de mots de passe complexes associés à des mécanismes de verrouillage suivant plusieurs tentatives de connexion infructueuses. Si la plupart des accès aux données du traitement se feront par le biais de comptes nominatifs, la CNIL relève que certaines opérations pourront localement être réalisées par des comptes génériques. A ce titre, elle recommande l'usage systématique de comptes individuels et nominatifs. Concernant la qualité et l'intégrité des données du traitement, la CNIL accueille favorablement l'intégration de données d'horodatage et de localisation dans les images, ainsi que les mesures de chiffrement et de signature numérique mises en place pour garantir la sécurité des données extraites. Afin de décourager la copie optique directe des enregistrements, la CNIL recommande également l'utilisation du tatouage (ou filigranage) numérique des images collectées. La CNIL prend acte des mesures de journalisation mises en place dans le cadre du traitement. Elle accueille favorablement l'encadrement strict de l'accès aux données de traçabilité et prend acte de la durée de conservation d'un an prévue pour ces données. La CNIL accueille favorablement le passage progressif des registres papier à des systèmes de gestion dématérialisée des traces, et recommande pour ceux-ci la mise en place de moyens permettant la détection proactive des comportements illicites ainsi que la purge automatique des journaux. Enfin, la CNIL prend acte de l'intention du ministère de l'intérieur d'enregistrer certaines données de traçabilité dans le traitement dénommé Informatisation de la gestion des gardes à vue ( iGAV ). Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL. La présidente, M.-L. Denis


Délibération n° 2023-119 du 9 novembre 2023 portant avis sur un projet de décret relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police judiciaire

Date de l'avis : 9 novembre 2023 N° de la délibération : 2023-119 N° de demande d'avis : 23008253 Texte concerné : projet de décret relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police judiciaire Thématiques : caméras installées sur des aéronefs, missions de police judiciaire Fondement de la saisine : articles 89 et suivants de la loi du 6 janvier 1978 modifiée L'essentiel : Le projet de décret autorise la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police judiciaire dans les lieux publics et privés. La Commission nationale de l'informatique et des libertés (CNIL) estime que ces finalités sont légitimes. S'agissant du périmètre du traitement, la CNIL invite le Gouvernement à clarifier les notions de lieu public et de lieu privé dans le projet de décret. Des exemples précis sur les lieux pouvant être concernés pourraient également être inclus dans l'AIPD et les doctrines d'emploi. La CNIL précise les rôles respectifs de l'AIPD et des doctrines d'emploi. La Commission nationale de l'informatique et des libertés, Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police judiciaire ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 89 et suivants ; Après avoir entendu le rapport de Mme Christine MAUGÜÉ, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Contexte de la saisine Le recours à des fins judiciaires à des dispositifs aéroportés de captation d'images présente, selon le ministère de la justice, un intérêt opérationnel majeur, notamment en raison de la discrétion du dispositif et de la possibilité de visualiser des images captées en direct, sans nécessité d'engager des services d'enquête sur le terrain. Les caméras peuvent être installées sur des drones mais également d'autres aéronefs (notamment les ballons captifs, les avions ou les hélicoptères). Le code de procédure pénale (CPP) prévoit deux cadres dans lesquels il peut être recouru à la mise en place d'un tel dispositif technique. Lorsque des personnes se trouvent : - dans un lieu public, cette technique d'enquête est encadrée par les articles 230-47 à 230-53 du CPP ; - dans un lieu privé, le régime applicable est celui prévu aux articles 706-96 à 706-98 du CPP. Le projet de décret est pris pour l'application de ces deux séries de dispositions légales. B. - Objet de la saisine Le ministère de la justice a saisi la CNIL d'une demande d'avis concernant un projet de décret relatif à la mise en œuvre de traitements d'images au moyen de dispositifs de captation installés sur des aéronefs pour des missions de police judiciaire. Le projet de décret vise à assurer la cohérence globale du dispositif par un cadre réglementaire unique, quel que soit le lieu dans lequel se trouvent les personnes filmées. Selon le ministère, les opérations de traitement de données qui résulteront de la mise en œuvre de ces dispositifs de captation, qu'elles soient effectuées dans un lieu public ou privé, poursuivent les mêmes finalités et obéissent aux mêmes règles quant aux caractéristiques essentielles du traitement (nature des données, durées et modalités de conservation, etc.). II. - L'avis de la CNIL A. - Sur le régime juridique applicable et les finalités du traitement Le projet d'article R. 40-57 du CPP permet la mise en œuvre, dans les conditions prévues par les articles 230-47 à 230-53 et 706-96 à 706-98 du même code, d'un traitement de données à caractère personnel comportant les images provenant de caméras installées sur des aéronefs lorsque cela est nécessaire à la constatation des infractions, au rassemblement des preuves de ces infractions et à la recherche de leurs auteurs, ainsi qu'à la recherche d'une personne en fuite ou des causes de la mort ou de la disparition d'une personne. Le régime juridique applicable à ces traitements est celui de la directive (UE) 2016/680 du 27 avril 2016, transposée au titre III de la loi du 6 janvier 1978 modifiée. B. - Sur le périmètre du traitement S'agissant des lieux concernés, le ministère a indiqué les éléments suivants : - les lieux privés sont non accessibles ou non visibles directement depuis la voie publique, comme par exemple des cours, allées, jardins d'habitation, champs. Si les capacités techniques actuelles limitent la possibilité d'utiliser les aéronefs dans des lieux privés fermés, en revanche, ils pourraient être mis en œuvre pour capter les images à l'intérieur d'un bâtiment depuis les ouvertures ; - les lieux publics peuvent être en zone urbaine ou rurale. La question de la définition des lieux concernés présente une importance particulière pour les présents traitements dans la mesure où elle conditionnera le périmètre de leur mise en œuvre. Si la CNIL considère qu'une liste des lieux concernés n'a effectivement pas à être détaillée dans le projet de texte, elle invite néanmoins le Gouvernement à clarifier ces notions dans le projet de décret, par exemple pour indiquer si la qualification de lieu privé est déterminée par rapport à la personnalité du propriétaire ou à d'autres critères, ou encore si la notion de lieu public comprend ou non les lieux ouverts au public. Des exemples précis pourraient également être inclus dans l'AIPD et dans les doctrines d'emploi. S'agissant de la protection de la vie privée, des garanties sont prévues dans les dispositions relatives aux lieux publics (par exemple, l'article 230-52 du CPP qui prévoit qu'aucune séquence relative à la vie privée étrangère à l'objet pour lequel les opérations ont été autorisées ne peut être conservée dans le dossier de procédure). S'agissant des lieux privés, la même garantie est prévue pour l'ensemble des techniques spéciales d'enquête par l'article 706-95-18 du code de procédure pénale. La CNIL prend acte de ce que la direction générale de la gendarmerie nationale (DGGN), la direction générale de la police nationale (DGPN) ainsi que la direction générale de la sécurité intérieure (DGSI) du ministère de l'intérieur et des outre-mer rédigeront chacune une doctrine d'emploi afin de préciser les cadres d'emploi du recours aux caméras aéroportées utilisées dans un cadre judiciaire. Au vu du recours de plus en plus fréquent aux doctrines d'emploi par les ministères, la CNIL souligne que leur usage est utile mais ne doit pas se substituer aux analyses d'impact relatives à la protection des données (AIPD). Les éléments relatifs à la protection des données à caractère personnel, lorsqu'ils ne figurent pas dans l'acte réglementaire, doivent ainsi être systématiquement développés dans l'AIPD et être portés, autant que possible, à la connaissance de la CNIL au moment de sa saisine. Les doctrines d'emploi, qui permettent de préciser aux agents les conditions opérationnelles d'utilisation des traitements, peuvent le cas échéant reprendre ces éléments, afin d'en assurer la bonne diffusion auprès de toutes les personnes intéressées, mais cela ne doit pas conduire à une moindre précision de l'AIPD pour ce qui concerne les garanties apportées à la protection des données personnelles. Par conséquent, la CNIL invite le ministère à compléter l'AIPD, le cas échéant, si des garanties pour la protection des données à caractère personnel auraient dû y figurer. Il ressort de l'AIPD qu'il existera trois modalités de visualisation des images collectées au moyen d'une caméra aéroportée : - la visualisation en direct par le télépilote de la caméra aéroportée ; - en sus de la modalité ci-dessus, la visualisation en temps différé, les images étant enregistrées et consultées ultérieurement ; - la retransmission des images dans une salle de commandement, qui peut se faire en temps réel ou différé. Selon le ministère, cette retransmission est déclenchée seulement dans les cas où il est nécessaire de disposer d'une vision globale de l'opération en cours permettant de fournir les instructions adéquates. La CNIL regrette de ne pas avoir eu communication de critères plus précis permettant de distinguer les différentes hypothèses prévues pour visualiser les images, en particulier pour déterminer les cas dans lesquels une retransmission des images dans une salle de commandement peut être décidée. Elle considère que de tels critères pourraient être définis dans les doctrines d'emploi. C. - Sur les données collectées Le projet d'article R. 40-58 du CPP liste les catégories de données pouvant faire l'objet d'un enregistrement dans le traitement. Le traitement pourra notamment collecter les images, à l'exclusion des sons, captées par les caméras installées sur des aéronefs. Il est prévu que le traitement pourra collecter des données dites sensibles. Le ministère a indiqué qu'il serait interdit de sélectionner dans le traitement une catégorie particulière de personnes à partir de ces seules données. Si l'acte réglementaire régissant un traitement public n'a en principe pas à détailler les modalités de traitement des données, et en particulier pas les modalités d'interrogation du fichier, il peut en aller autrement lorsqu'une restriction constitue une garantie apportée à la protection des données, en particulier pour empêcher les recherches à partir des zones de commentaires libres ou des données sensibles. La CNIL s'interroge sur les raisons ayant conduit le ministère à mettre la phrase correspondante entre crochets dans le projet de décret et l'invite à supprimer les crochets et maintenir la phrase. La CNIL rappelle par ailleurs que, sans qu'il soit besoin de l'indiquer dans le décret, les dispositions législatives encadrant ces dispositifs de caméras aéroportées à finalité judiciaire ne permettent pas le recours à des traitements algorithmiques d'analyse d'images aux fins de reconnaissance faciale ou d'analyse de comportements des personnes physiques. Les articles 230-52, alinéa 3, et 706-95-18 du CPP indiquent qu'aucune séquence relative à la vie privée étrangère à l'objet pour lequel les opérations ont été autorisées ne peut être conservée dans le dossier de la procédure. Cette disposition prohibe ainsi la description dans les procès-verbaux versés au dossier de la procédure, des données inutiles à la manifestation de la vérité. En revanche, les données enregistrées dans le traitement (images captées puis placées sous scellés fermés) ne sont pas concernées par la sélection des séquences conservées, dès lors que les éléments placés sous scellés ne font pas partie du dossier de la procédure au sens de l'article 197 du CPP. Ces données sont intégralement conservées afin de garantir l'intégrité des images captées. En outre, il ressort de l'AIPD que le traitement peut faire l'objet de mises en relation manuelles puisque les données sont susceptibles d'être versées dans les différents actes d'enquêtes réalisés via les logiciels de procédure de la gendarmerie nationale (LRPGN) et de la police nationale (LRPPN). Des données sont aussi susceptibles d'être versées au dossier pénal numérique (DPN). Le ministère estime que les actes réglementaires autorisant ces traitements ne font pas obstacle à ces mises en relation à sens unique, ce qui n'appelle pas d'observations de la CNIL. D. - Sur les accédants et les destinataires Le projet d'article R. 40-60 du CPP prévoit les personnes pouvant accéder aux données dans le cadre des procédures dont elles sont saisies à savoir les magistrats de l'ordre judiciaire, les personnels des services judiciaires, les officiers de police judiciaire et sous leur responsabilité les agents de police judiciaire, les télépilotes et les opérateurs. La CNIL comprend du projet de décret que certaines personnes mentionnées comme accédants ne seront pas seulement autorisées à accéder aux données mais pourront également enregistrer des données dans le traitement (par exemple, lors du déclenchement manuel de l'enregistrement par le télépilote ou l'opérateur de la caméra), contrairement à ce qu'indique le projet de décret. La CNIL invite dès lors le ministère, pour éviter toute ambiguïté, à clarifier dans le projet de décret que certains accédants pourront de façon plus générale accéder au traitement , c'est-à-dire avoir accès aux données mais également enregistrer certaines données. Plus largement, elle recommande au ministère de clarifier dans le projet d'article R. 40-60 du CPP quels sont les accédants qui pourront avoir un accès aux images captées pendant l'intervention (par exemple, les télépilotes et les opérateurs) et/ou ceux qui pourront accéder aux enregistrements dans le traitement après l'intervention (par exemple, les magistrats de l'ordre judiciaire). Le projet de décret ne prévoit pas de destinataires des données. La CNIL prend acte de ce que le projet de décret, ainsi que l'AIPD, seront complétés sur ce point avec la liste des destinataires suivante : - les accédants aux traitements Logiciel de rédaction des procédures et au DPN, qui pourront prendre connaissance des données des procès-verbaux relatant les images captées ; - les avocats et parties autorisés à assister au bris des scellés, en application des dispositions du CPP en la matière ; - les experts qui pourront être mandatés par un magistrat pour procéder au bris des scellés et à l'analyse des images. En tout état de cause, la liste des destinataires devra être limitée aux seules personnes ayant le besoin d'en connaître. S'agissant de la possibilité d'une retransmission des images dans une salle de commandement, la CNIL prend acte de que seules les personnes qui revêtent l'une des qualités mentionnées au projet d'article R. 40-60 du CPP (à savoir des magistrats de l'ordre judiciaire, des personnels des services judiciaires, des officiers de police judiciaire et sous leur responsabilité des agents de police judiciaire, des télépilotes et des opérateurs), sont susceptibles de se trouver dans la salle de commandement. Si des agents autres que ceux prévus en tant qu'accédants avaient vocation à avoir communication des données car leur intervention était requise par le centre de commandement, la CNIL estime qu'il conviendrait alors de les prévoir en tant que destinataires. Toutefois elle prend acte de ce qu'aucun agent autre que ceux prévus en tant qu'accédants par les dispositions du projet d'article R. 40-60 du CPP n'a vocation à avoir communication des données dans le cadre du centre de commandement, ce qui rend cette observation caduque. E. - Sur la durée de conservation des données Le projet d'article R. 40-61 du CPP prévoit les durées de conservation des données. Les données sont conservées pendant une durée maximale d'un mois à compter de la fin de l'opération de captation ou jusqu'à la clôture des investigations si celle-ci intervient avant l'expiration du délai d'un mois. L'ensemble des données placées sous scellé est conservé jusqu'à l'expiration du délai de prescription de l'action publique conformément aux articles 230-53 et 706-95-119 du CPP. La CNIL prend acte de ce qu'il n'a pas été prévu de cas de suppression anticipée des données qui doivent, en vertu du code de procédure pénale, demeurer conservées sous scellés jusqu'à l'expiration de la prescription de l'action publique. En effet, il est prévu par les articles 230-53 et 706-95-19 du CPP que les enregistrements et données recueillis lors des opérations effectuées au moyen de caméras aéroportées sont détruits, à la diligence du procureur de la République ou du procureur général, à l'expiration du délai de prescription de l'action publique. F. - Sur les droits des personnes concernées Le projet d'article R. 40-63 du CPP prévoit que, conformément à l'article 111 de la loi du 6 janvier 1978 modifiée, pour les personnes dont les données figurent soit dans une décision judiciaire, soit dans un dossier judiciaire faisant l'objet d'un traitement lors d'une procédure pénale, l'accès aux données et les conditions de leur rectification ou de leur effacement sont régies par les dispositions du code de procédure pénale. Une information générale des personnes concernées est prévue et sera publiée sur le site web justice.fr . Par ailleurs, pour les utilisateurs du traitement, la CNIL prend acte de ce que les télépilotes et les opérateurs recevront une information sur leurs droits en matière de protection des données au cours des formations diplômantes dispensées. L'information sera aussi réalisée par la doctrine d'emploi. Pour les agents qui auront accès au système d'information, la CNIL recommande également qu'une infobulle à la première connexion délivre les informations relatives au traitement de leurs données et précise les modalités d'exercice de leurs droits. G. - Sur les mesures de sécurité La CNIL rappelle que, afin de répondre à l'obligation de garantie d'intégrité et de sécurité des enregistrements jusqu'à leur effacement, il est indispensable de mettre en œuvre un ensemble de mesures techniques concernant les caméras et les terminaux de téléversements. A ce titre, si elle accueille favorablement l'emploi systématique de supports d'enregistrement embarqués chiffrés, de moyens de transmissions sans fil sécurisé et la limitation technique de toute opération de téléversement à des postes sur lesquels les agents sont authentifiés, elle rappelle qu'il est également nécessaire : - de signer les enregistrements directement au niveau des caméras, avec des algorithmes conformes à l'annexe B1 du référentiel général de sécurité ; - de protéger techniquement les images enregistrées contre toute opération de suppression en dehors des postes identifiés pour lesquels ces opérations sont journalisées ; - d'inclure l'horodatage ainsi qu'un identifiant du drone dans les flux vidéo eux-mêmes, via des procédés de tatouage numérique ( watermarking ). La CNIL prend acte de la réalisation de sauvegardes, ainsi que de la réalisation d'un test annuel de restauration de ces sauvegardes. Concernant des données de journalisation, et prenant en compte le fait que les données captées sont conservées sous scellés le temps de la prescription de l'action publique, ainsi que la forte nécessité d'assurer l'intégrité des données collectées, la CNIL considère que la durée de trois années proposées est proportionnée. Elle rappelle cependant que le but principal d'un tel système est la détection et la prévention d'opérations illégitimes sur les données collectées. A ce titre, elle encourage la tenue de contrôles proactifs des traces collectées pour permettre la détection des comportements anormaux de la part des agents accédants. Elle rappelle également que doivent être mises en œuvre toutes les mesures techniques permettant d'assurer l'intégrité de ces données (conservation sur serveur ségrégé, conditions d'accès spécifique, etc.). La CNIL s'étonne du maintien dans l'analyse d'impact de mentions relatives à l'archivage de l'identité des agents, alors que l'existence de celle-ci avait été démentie dans les éléments fournis. Elle prend acte de qu'il n'y aura pas d'archivage de ces données. Compte tenu de la nature du traitement, la CNIL estime que les mesures de sécurité logique, physique et organisationnelle doivent être définies au regard des risques identifiés au terme d'une analyse des risques présentés par le traitement. Elle invite à ce titre le ministère à formaliser une analyse de risque incluant une cartographie des risques. La présidente, M.-L. Denis


Décision du 10 novembre 2017 portant délégation de signature

Le secrétaire général de la Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 19 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris en application de la loi n° 78-17 relative à l'informatique, aux fichiers et aux libertés, notamment son article 4-1 ; Vu la décision du 23 mai 2017 portant délégation de signature, Décide : Article 1 Délégation permanente est donnée à M. Olivier Tournut, directeur administratif et financier, à l'effet de signer, dans la limite de ses attributions et en son nom, tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la commission, la gestion et l'exécution de son budget ainsi que tous marchés et conventions et tous actes nécessaires au respect des procédures conformément au code des marchés publics et à l'effet de valider dans l'application informatique de l'Etat Chorus-formulaire, les actes relatifs à la réalisation des opérations budgétaires et comptables en matière de recettes et de dépenses. Article 2 En cas d'absence ou d'empêchement du directeur administratif et financier, M. Olivier Tournut, délégation est donnée à Mme Kahina Cheref, chef du service des ressources humaines à l'effet de signer, dans la limite de ses attributions et en son nom, tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la commission, la gestion et l'exécution de son budget ainsi que tous marchés et conventions et tous actes nécessaires au respect des procédures conformément au code des marchés publics et à l'effet de valider dans l'application informatique de l'Etat Chorus-formulaire, les actes relatifs à la réalisation des opérations budgétaires et comptables en matière de recettes et de dépenses. Article 3 En cas d'absence ou d'empêchement du directeur administratif et financier, M. Olivier Tournut, délégation est donnée à M. Ludovic Gerin, chef du service des finances, de la commande publique et des moyens généraux à l'effet de signer, dans la limite de ses attributions et en son nom, tous actes ayant pour objet la gestion et l'exécution du budget de la commission, ainsi que tous marchés et conventions et tous actes nécessaires au respect des procédures conformément au code des marchés publics et à l'effet de valider dans l'application informatique de l'Etat Chorus-formulaire, les actes relatifs à la réalisation des opérations budgétaires et comptables en matière de recettes et de dépenses. Article 4 La décision du 23 mai 2017 portant délégation de signature est abrogée. Article 5 La présente décision sera publiée au Journal officiel de la République française. Fait le 10 novembre 2017. J. Lessi


Décision du 28 septembre 2018 portant nomination du référent déontologue de la Commission nationale de l'informatique et des libertés

La présidente de la Commission nationale de l'informatique et des libertés, Vu la loi n° 83-634 du 13 juillet 1983 modifiée, portant droits et obligations des fonctionnaires, notamment son article 28 bis ; Vu le décret n° 2017-519 du 10 avril 2017 relatif au référent déontologue dans la fonction publique, Décide : Article 1 M. Emmanuel De Givry, conseiller honoraire à la Cour de cassation, est désigné référent déontologue de la Commission nationale de l'informatique et des libertés, à compter du 1er octobre 2018. Article 2 Le secrétaire général est chargé de l'exécution de la présente décision, qui sera publiée au Journal officiel de la République française. Fait le 28 septembre 2018. I. Falque-Pierrotin


Délibération n° 2024-032 du 11 avril 2024 portant avis sur un projet de décret relatif à la partie nationale du système d'information Schengen

N° de demande d'avis : 23016110. Thématiques : personnes recherchées, police judiciaire, police administrative, procédures intéressant les ressortissants étrangers, données biométriques, empreintes génétiques. Organisme(s) à l'origine de la saisine : ministère de l'intérieur. Fondement de la saisine : article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés. L'essentiel : Le système informatique national du système d'information Schengen (N-SIS) constitue la partie nationale du système d'information Schengen (SIS). Le projet de décret modifie plusieurs dispositions du code de la sécurité intérieure relatives au N-SIS pour, en particulier, prendre en compte l'évolution récente des règlements européens régissant le SIS (nouvelles catégories de signalements, par exemple). La CNIL estime ces évolutions nécessaires et justifiées. Elle recommande cependant : de déterminer, plus précisément, le régime juridique applicable à chaque catégorie de signalement enregistré dans le N-SIS, et d'adapter le cas échéant les dispositions du décret ; de prendre les mesures nécessaires pour garantir la mise à jour et l'exactitude des données ; de renforcer certaines mesures de sécurité. ___________________________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ; Après avoir entendu le rapport de Mme Sophie Lambremon, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte Le système d'information Schengen (SIS) constitue un système de partage d'informations utilisé pour la gestion des frontières et la sécurité. Il contient des signalements judiciaires et administratifs concernant des personnes et des objets (par exemple : signalements de personnes aux fins de non-admission sur le territoire ou en vue d'une arrestation, signalements concernant des objets aux fins de saisie ou à titre de preuve, etc.). Le SIS a été initialement prévu par l'article 92 de la convention du 19 juin 1990 d'application de l'accord de Schengen du 14 juin 1985. La deuxième génération du SIS a, par la suite, été encadrée par le règlement (CE) n° 1987/2006 et la décision 2007/533/JAI du Conseil. Ces textes ont notamment ouvert la possibilité d'ajouter des empreintes digitales et des photographies aux signalements. En mars 2023, le SIS a fait l'objet d'une refonte. Les règlements (UE) 2018/1860, 2018/1861 et 2018/1862 encadrent désormais le traitement et autorisent, en particulier, l'introduction de nouveaux types de signalements (signalements de personnes faisant l'objet d'une décision de retour, par exemple) ainsi que l'enregistrement de nouvelles catégories de données (ADN, par exemple). Ces textes organisent l'architecture et le fonctionnement du dispositif, qui repose sur un système central, un système national pour chaque Etat membre (le N.SIS) ainsi que des infrastructures de communication. Le N.SIS est constitué des systèmes de données nationaux reliés au SIS central et peut contenir un fichier de données (une copie nationale ) comprenant une copie complète ou partielle de la base de données du SIS. Les données du SIS sont introduites, mises à jour, supprimées et consultées par le biais des différents N.SIS. En France, le traitement N-SIS est alimenté à partir du fichier des personnes recherchées (FPR), du fichier des objets et des véhicules signalés (FOVeS) et du traitement titres électroniques sécurisés (TES). Le FPR a été récemment modifié pour prendre en compte l'évolution des dispositions encadrant le SIS et, ainsi, permettre la création de nouvelles catégories de signalements à partir du FPR (v. CNIL, SP, 6 juillet 2023, avis sur projet de décret, FPR, n° 2023-069, publié). B. - L'objet de la saisine Le ministère de l'intérieur a saisi la CNIL d'un projet de décret modifiant les articles R. 231-1 à R. 231-16 du code de la sécurité intérieure (CSI) encadrant la mise en œuvre du N-SIS. Il entend mettre en conformité le N-SIS avec : les nouveaux règlements européens encadrant le SIS (précités), entrés en application le 7 mars 2023 ; la règlementation en matière de protection des données à caractère personnel (loi informatique et libertés modifiée). Dans le cadre de la marge de manœuvre laissée aux autorités nationales dans l'application du règlement, une vigilance particulière s'impose quant au traitement de données biométriques. Ces données, particulièrement sensibles, permettront en effet de consulter le SIS dans différents cadres et pourront être issues de différents fichiers nationaux. Elles devront, en particulier, avoir été initialement collectées pour des finalités compatibles avec celles poursuivies par le N-SIS. II. - L'avis de la CNIL A. - Sur les signalements introduits dans le N-SIS et le régime juridique applicable a) Nouvelles catégories de signalements : Le projet de décret ajoute de nouvelles catégories de signalements pouvant être enregistrés dans le N-SIS, en application des règlements précités. En particulier, il prévoit l'inscription de personnes recherchées inconnues à des fins d'identification, signalées par l'autorité judiciaire dans le cadre d'une procédure pénale. Ces signalements ne contiennent que des données dactyloscopiques découvertes sur les lieux d'infractions terroristes ou d'autres infractions graves faisant l'objet d'une enquête (art. 40 du règlement 2018/1862). Ils seront créés à partir du FPR. La CNIL rappelle ses observations relatives aux conditions d'introduction de tels signalements (CNIL, SP, 6 juillet 2023, avis sur projet de décret, FPR, précité). Il conviendra, en particulier, de prendre les mesures nécessaires pour garantir que seules les traces pour lesquelles existe un degré très élevé de probabilité qu'elles appartiennent à un auteur de l'infraction alimentent ces signalements. b) Régime juridique applicable à chaque signalement : Le ministère précise qu'au regard de ses finalités, le N-SIS est un traitement mixte dont les données relèvent de trois régimes juridiques distincts. En premier lieu, les données relevant du titre II de la loi informatique et libertés sont celles qui concernent les personnes signalées aux fins de retour, de non-admission ou d'interdiction de séjour ainsi que les personnes vulnérables devant être empêchées de voyager dans l'intérêt de leur propre protection. En deuxième lieu, les données relevant du titre III concernent, par exemple : les personnes signalées en vue d'une arrestation aux fins de remise sur la base d'un mandat d'arrêt européen ou aux fins d'extradition, ou encore les personnes signalées par l'autorité judiciaire dans le cadre d'une procédure pénale ou pour la notification d'une décision pénale. Elles peuvent également concerner certaines personnes signalées aux fins de retour, de non-admission ou d'interdiction de séjour. S'agissant de la détermination du périmètre des personnes concernées, la CNIL prend acte de ce qu'un tableau détaillant le régime juridique applicable à chaque signalement, en cours d'élaboration, lui sera transmis. Par ailleurs, elle rappelle que la mise en œuvre de marqueurs spécifiques ou d'un dispositif équivalent pourra le cas échéant permettre de déterminer précisément les signalements et données relevant de chaque régime juridique, sur la base de critères précis (en ce sens, v. CNIL, SP, 25 juin 2020, avis sur projet de décret, PASP, n° 2020-064, publié). En troisième lieu, le traitement des données qui concernent les personnes signalées aux fins de contrôles discrets, d'investigation ou spécifiques pour certains motifs serait encadré par les dispositions du titre IV de la loi informatique et libertés . En conséquence, le projet de décret prévoit que les droits d'accès, de rectification et d'effacement qui concernent ces données s'exercent auprès de la CNIL, dans les conditions prévues par l'article 118 de la loi informatique et libertés (droit d'accès indirect). En parallèle, les règlements SIS : prévoient que les traitements effectués par les autorités et services nationaux compétents sont encadrés soit par les dispositions de la directive police-justice , soit par celles du RGPD (art. 66 du règlement 2018/1862 et 51 du règlement 2018/1861) ; définissent un régime d'exercice des droits propre au SIS qui diffère de celui prévu par les dispositions pertinentes du titre IV (art. 67 du règlement 2018/1862 ; art. 52 et 53 du règlement 2018/1861) ; ne prévoient pas l'application d'autres règles de protection des données. Au regard de ces éléments, la CNIL s'interroge sur l'applicabilité du titre IV de la loi informatique et libertés au N-SIS. Elle invite le ministère à engager une réflexion sur la possibilité de ne soumettre le traitement qu'aux titres II et III de cette loi. En tout état de cause, les droits des personnes devraient être mis en œuvre conformément aux dispositions des règlements SIS, qui ne prévoient pas de droit d'accès indirect. La mise en place, dans tous les cas, d'une procédure d'exercice direct des droits (fût-ce avec des restrictions) et d'un point de contact unique contribuerait, en outre, à l'effectivité des droits des personnes concernées. Il conviendrait, le cas échéant, d'adapter les dispositions du décret relatives à l'exercice des droits. B. - Sur le traitement de données biométriques a) La collecte et l'enregistrement de données biométriques : S'agissant des conditions d'alimentation du SIS, les règlements européens précités prévoient que les données biométriques sont introduites dans un signalement si elles sont disponibles (art. 22 du règlement 2018/1862). Elles ne s'inscrivent pas parmi les catégories de données qui doivent, dans tous les cas, alimenter le SIS. Au-delà de ce critère de disponibilité : la décision d'alimenter un signalement en données biométriques devra être commandée par le principe de nécessité ; la transmission de telles données au N-SIS ainsi que leur traitement dans le fichier devront être conformes à la finalité ayant présidé leur collecte. Conformément au principe de finalité, les données dactyloscopiques destinées aux signalements judiciaires seront issues du fichier automatisé des empreintes digitales (FAED). L'alimentation des signalements à partir de ce fichier se fera via le numéro d'identifiant d'une personne physique lié à la procédure (IDPP), qui constitue une donnée à caractère personnel. La CNIL rappelle avoir déjà eu à se prononcer sur un projet de traitement de l'IDPP, en tant qu'identifiant commun au fichier national automatisé des empreintes génétiques (FNAEG) et à d'autres fichiers de police. Dans ce cadre, elle a notamment considéré qu'une telle évolution devrait s'inscrire dans une réflexion approfondie pour identifier précisément l'objectif poursuivi et les conséquences d'une telle modification sur l'ensemble des traitements concernés (v. CNIL, SP, 7 janvier 2021, avis sur projet de décret, FNAEG, n° 2021-009, publié). La CNIL devra, le cas échéant, être saisie pour avis de la modification des actes réglementaires encadrant les fichiers concernés. A défaut, l'IDPP ne pourra faire l'objet d'un traitement pour permettre l'alimentation du SIS en empreintes digitales. Par ailleurs, les données dactyloscopiques des signalements émis à des fins de retour, de non-admission et d'interdiction de séjour seront issues de l'application de gestion des dossiers des ressortissants étrangers en France (AGDREF). L'alimentation de ces signalements se fera via le numéro AGDREF, qui permettra au N-SIS de récupérer les empreintes digitales correspondantes sans que ces dernières ne passent par le FPR. Des travaux sont en cours pour déterminer les évolutions juridiques nécessaires à l'alimentation du N-SIS en empreintes issues d'AGDREF. b) La consultation du N-SIS à partir de données biométriques : Les règlements européens susmentionnés autorisent les recherches dans le SIS à partir de données biométriques et génétiques. S'agissant en particulier des données dactyloscopiques, elles peuvent être utilisées notamment pour : confirmer l'identité d'une personne qui a été localisée à la suite d'une recherche alphanumérique effectuée dans le SIS ; et identifier une personne, lorsque l'identité de cette dernière ne peut être établie par d'autres moyens (articles 33 du règlement 2018/1861 et 43 du règlement 2018/1862). Selon les précisions apportées, le N-SIS pourra faire l'objet d'une consultation par l'empreinte dans le cadre, notamment, d'une vérification d'identité, d'une vérification du droit au séjour ou d'une procédure judiciaire. De manière générale, les comparaisons de données dactyloscopiques peuvent être sujettes à des taux de faux rejets élevés. En outre, dans le cas où ces comparaisons sont opérées dans le but d'identifier une personne dont l'identité n'a pu être établie par d'autres moyens , la possibilité de fausse correspondance (en principe très faible) ne peut a priori être complètement négligée du fait de l'échelle européenne de la base de comparaison. La CNIL note que ce risque susceptible d'avoir un impact sur les personnes concernées n'est pas pris en compte dans l'analyse d'impact relative à la protection des données (AIPD). Elle invite le ministère à s'assurer qu'il est pris en compte par les services habilités à effectuer des recherches à partir de données dactyloscopiques via le SIS. S'agissant des modalités de consultation, il s'agira d'interroger le N-SIS à partir des données collectées sur une interface qui serait commune au N-SIS et au FAED. La consultation biométrique du N-SIS sera néanmoins indépendante des flux de données qui concerneraient le FAED, de sorte qu'elle n'impliquera pas d'intégration préalable des empreintes dans le FAED. Dans la mesure où l'interface précitée constituerait une composante du N-SIS, elle devrait être prise en compte dans l'AIPD afférente. La CNIL prend acte des dernières précisions apportées selon lesquelles l'AIPD sera modifiée en ce sens. Enfin, elle prend acte : de ce que la consultation par l'empreinte ne passera pas par le FPR, dans la mesure où les dispositions encadrant ce fichier n'autorisent pas le traitement de données biométriques ; de ce que la consultation du SIS à partir de photographies n'est, pour l'instant, pas envisagée. C. - Sur le traitement de données génétiques Le projet de décret autorise l'enregistrement d' empreintes génétiques dans les cas prévus au paragraphe 3 de l'article 42 du règlement (UE) 2018/1862 (pour les seuls signalements concernant les personnes disparues qui doivent être placées sous protection, et uniquement lorsque les photographies, images faciales et données dactyloscopiques ne sont pas disponibles ou ne permettent pas une identification). Selon les précisions apportées par le ministère, cette modification vise à permettre l'enregistrement, dans le N-SIS, des empreintes génétiques qui seraient introduites par d'autres Etats membres. Il n'est, pour l'instant, pas prévu que les signalements émis par les autorités françaises soient alimentés en données génétiques ni que le N-SIS puisse être consulté à partir de telles données. Si cela devait être envisagé, des évolutions juridiques et techniques seraient nécessaires. Dans une telle hypothèse, la CNIL devrait être saisie pour avis de la modification des textes réglementaires pertinents. D. - Sur les durées de conservation et la mise à jour des données Le projet de décret prévoit : des durées de conservation différenciées selon le signalement en cause, qui se calquent sur celles prévues par les règlements SIS ; que les signalements sont supprimés dans les conditions prévues par les ces mêmes règlements (conservation nécessaire aux finalités, délais de réexamen, différents motifs de suppression pour chaque catégorie de signalement). Ces derniers prévoient, en particulier, que l'Etat membre signalant est tenu d'examiner la nécessité de conserver un signalement, avant l'expiration de sa durée de conservation, au terme d'une évaluation individuelle globale . Selon les précisions apportées par le ministère, il revient aux services demandant la création d'un signalement dans le N-SIS de s'assurer de la nécessité et de la proportionnalité de l'inscription et du maintien de ce dernier. La CNIL souligne qu'il appartiendra à la direction générale de la police nationale (DGPN), en tant que responsable de traitement, de garantir l'exactitude des données ainsi que la nécessité et la proportionnalité de leur traitement. Elle invite le ministère à prendre toutes les mesures nécessaires à cette fin, en prévoyant par exemple des procédures de communication avec les différents services émetteurs de signalements ainsi qu'une formation des agents concernés. En l'absence de telles mesures, un défaut de mise à jour des données pourrait avoir des conséquences importantes pour les personnes concernées. Différentes décisions, tels qu'un refus de visa ou d'entrée sur le territoire, par exemple, pourraient être prises au vu d'informations erronées. Le projet de décret prévoit également que : les données de chaque signalement ne peuvent être conservées une fois expirée la période de conservation prévue par le traitement national d'où elles sont issues ; la mise à jour ou la suppression des données dans le traitement national d'origine emporte la mise à jour ou la suppression des données correspondantes dans le traitement N-SIS . La CNIL prend acte de la mise en production prochaine d'un projet de synchronisation automatique des bases de données nationales alimentant le N-SIS. E. - Sur les mesures de sécurité Le ministère précise que l'homologation de sécurité du système est en cours. Cette homologation est rendue obligatoire par le décret n° 2022-513 du 8 avril 2022 relatif à la sécurité numérique du système d'information et de communication de l'Etat et de ses établissements publics, avant toute mise en exploitation d'un nouveau système ou dans les deux ans de l'entrée en vigueur de ce décret. Compte tenu du rôle pivot du système N-SIS et de ses nombreuses interconnexions, cette homologation apparaît à la CNIL comme un élément essentiel vis-à-vis de la sécurité du système d'information. De façon très générale, la CNIL observe que la maîtrise du risque sur la confidentialité des données des personnes concernées par les signalements nationaux dépend en grande partie d'éléments qui échappent a priori à la responsabilité du ministère, dans la mesure où ils relèvent du système d'information central Schengen et de ses déclinaisons nationales dans les autres Etats membres. a) Concernant la sécurité des accès au N-SIS : Le N-SIS lui-même repose désormais sur une brique technique qui constitue à la fois la base de données des signalements, une suite applicative servant d'interface d'administration, de connecteurs assurant les échanges avec les fichiers auxquels N-SIS est interconnecté, ainsi que l'interface avec le système central Schengen. Cette brique technique concentre donc toutes les données et fonctions critiques du système. En particulier, son interface applicative permet de consulter, modifier ou supprimer toutes les données de signalements nationaux, et de consulter l'ensemble des signalements européens. Bien que son accès soit réservé à un nombre limité d'utilisateurs (agents de maîtrise d'ouvrage et maîtrise d'œuvre NSIS, maîtrise d'ouvrage du bureau SIRENE et certains membres du bureau SIRENE), la sensibilité de l'interface applicative est telle que la CNIL invite le ministère à mettre en place, pour l'ensemble des accédants directs, une authentification multifacteur, en complément des mesures de filtrage d'adresses IP déjà en place. Le ministère confirme par ailleurs que les opérations de la brique technique N-SIS font l'objet d'une journalisation propre, qui trace également les opérations mensuelles de synchronisation entre les systèmes d'information Schengen national et central. La durée de conservation de ces journaux est fixée à trois ans, ce qui apparaît justifié au regard des finalités du traitement. b) Concernant le chiffrement des données : Un chiffrement des flux de données est mis en œuvre entre le N-SIS et les systèmes d'information nationaux dès lors que ceux-ci sortent du périmètre du système d'information du ministère. Concernant les échanges avec le système d'information central Schengen, le ministère précise que les échanges passent par un réseau sécurisé européen, dont la politique de sécurité est déterminée par l'agence eu-LISA. La CNIL considère que ces mesures sont importantes pour assurer la sécurité des flux. Concernant les données au repos, le ministère n'envisage pas de chiffrement de la base de données propre du N-SIS, considérant que le bénéfice de sécurité ne justifierait pas les inconvénients de cette mesure en termes de coût, de complexité et d'harmonisation européenne des formats de données. Toutefois, compte tenu de la concentration de données biométriques au sein de la base de données, la CNIL considère que le chiffrement des données au repos et leur sauvegarde, conformément à ses recommandations et à celles de l'ANSSI en la matière, constitue une mesure appropriée. La présidente, M.-L. Denis


Délibération n° 2024-035 du 25 avril 2024 portant avis sur un projet d'arrêté relatif à la création d’un traitement automatisé d’informations nominatives dénommé « Outil de Surveillance et de Contrôle Eau et Nature (OSCEAN) » et de sa version mobile SONGE (Solution pour un Outil Nomade de gestion de l’Eau)

N° de demande d’avis : 24005555 Thématiques : Office français de la biodiversité, procédures judiciaires et administratives Organisme(s) à l’origine de la saisine : Ministère de la transition écologique et de la cohésion des territoires Fondement de la saisine : Articles 31.I et 89.I de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés L’essentiel : La CNIL rappelle que conformément au principe de minimisation, le responsable de traitement doit veiller à ce que seules les données nécessaires à la poursuite des finalités du traitement soient effectivement collectées et traitées. D’une manière générale, la CNIL invite le ministère à prévoir une conservation en archivage intermédiaire dès que les besoins opérationnels ne nécessitent plus un accès régulier et donc une conservation en base active. Elle rappelle également, compte tenu de la sensibilité des données traitées, que les mesures de sécurité techniques et organisationnelles doivent être adaptées pour se prémunir contre les atteintes à la confidentialité et à l’intégrité des données collectées. Elle invite par conséquent l’OFB à ajuster certaines durées de conservation. Par ailleurs, la CNIL rappelle que les restrictions apportées aux droits des personnes doivent constituer une mesure nécessaire et proportionnée. Il appartient dès lors à l’OFB de veiller, au cas par cas, à ce que les conditions d’application de ces restrictions soient satisfaites lors des exercices de droit des personnes. Enfin, elle rappelle qu’une information claire et appropriée devra être mise à disposition des personnes concernées. ___________________ La Commission nationale de l'informatique et des libertés, Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (directive police justice ) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment le I de son article 31 et son titre III ; Sur la proposition de M. Alain Dru, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. La saisine A. Le contexte L’Outil de Surveillance et de Contrôle Eau et Nature (OSCEAN) est une application métier ayant vocation à regrouper les informations issues des contrôles réalisés dans le domaine environnemental par les agents de l’Office français de la biodiversité (OFB) et des parcs nationaux (PNX). Cette application, alimentée par les agents de l’OFB et des PNX, a notamment pour objet de faciliter la gestion, le suivi et la coordination des contrôles réalisés par les services de ces deux organismes dans le cadre de leurs activités de police administrative et judiciaire relatives à l’eau (pollution de la ressource, atteinte aux zones humides ou littoral), aux espaces naturels, à la flore et la faune sauvage (lutte contre les trafics d’espèces), à la chasse (contre-braconnage, renforcement de la sécurité à la chasse) et à la pêche. Elle permet également, le cas échéant, d’assurer le suivi des procédures transmises aux autorités compétentes. B. L’objet de la saisine La CNIL a été saisie pour avis par le ministre de la transition écologique et de la cohésion des territoires d’un projet d’arrêté relatif à la création du traitement OSCEAN et à sa version mobile SONGE (Solution pour un Outil Nomade de Gestion de l’Eau). L’OFB est le responsable de ces traitements qui ont notamment pour finalités : la centralisation et l’homogénéisation de la rédaction des procédures judiciaires et administratives mises en œuvre par les fonctionnaires et agents chargés des contrôles ; le suivi des suites des procédures menées par les autorités administratives et judiciaires compétentes ; le pilotage et le suivi de l’activité de police de l’environnement des agents habilités ; l’exploitation des données collectées à des fins statistiques et de prévention ; la mise en relation avec le traitement dénommé LICORNE relatif aux contrôles effectués par les agents chargés de missions de police de l’eau et de la nature. Dans la mesure où les traitements sont mis en œuvre pour le compte de l’Etat et ont notamment pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sécurité, les traitements sont autorisés par un arrêté ministériel pris après avis publié de la CNIL sur le fondement des dispositions de l’article 89-I de la loi du 6 janvier 1978 modifiée qui renvoient à l’article 31-I. Au regard des risques pour les droits et libertés des personnes, une analyse d’impact sur la protection des données (AIPD) portant sur les traitements mis en œuvre a été transmise à la CNIL conformément aux dispositions de l’article 90 de la loi du 6 janvier 1978 modifiée. II. L’avis de la CNIL A. Sur le régime juridique applicable Pour qu’un traitement de données puisse entrer dans le champ d’application de la directive Police-Justice , il doit d’une part poursuivre l’une des finalités mentionnées à son article 1er relatives à la prévention et la détection des infractions pénales, ainsi que les enquêtes et les poursuites en la matière, et d’autre part, être mis en œuvre par une autorité compétente au sens de cette directive. Le critère de finalité poursuivie apparait satisfait dans la mesure où le traitement a pour objet principal la centralisation et l’homogénéisation des procédures judiciaires et administratives ainsi que le suivi des suites des procédures menées par les autorités administratives et judiciaires. Le critère d’autorité compétente s’applique à une autorité à laquelle ont été dévolus des pouvoirs pour la prévention et la détection des infractions pénales, ainsi que les enquêtes et les poursuites en la matière, selon l’article 3.7 de cette directive. A cet égard, les dispositions de l’article L. 131-9 du code de l’environnement reconnaissant aux agents de l’OFB tant des pouvoirs de police administrative que des pouvoirs de police judiciaire, ce critère apparaît rempli. Aussi, la CNIL considère que les traitements susvisés relèvent bien du champ d’application des dispositions du titre III de la loi du 6 janvier 1978 modifiée transposant la directive Police-Justice . B. Sur les données collectées L’article 2-I du projet d’arrêté prévoit que, dans le cadre des procédures judiciaires, de nombreuses données sont collectées telles que des informations relatives au nombre de mineurs (avec âge) et majeurs à charge et lien de parenté , aux études effectuées ou niveau d’études atteint ; au diplôme obtenu ; à la situation financière (ressources, charges, patrimoine) ou encore aux décorations et distinctions honorifiques . La CNIL relève que ces données sont nécessaires à la conduite des investigations en matière pénale et à l’individualisation des peines. Elle rappelle cependant que le besoin de collecter certaines informations devrait être apprécié au cas par cas et en fonction de la gravité des infractions constatées. A cet égard, la collecte de l’ensemble de ces informations n’apparait pas nécessaire dans le cadre d’une contravention. Par conséquent, elle rappelle que conformément au principe de minimisation, le responsable de traitement devra veiller à ce que seules les données nécessaires à la poursuite des finalités du traitement soient effectivement collectées et traitées. La CNIL constate par ailleurs que des informations relatives au comportement de la personne sont collectées. A cet égard, l’analyse d’impact relative à la protection des données fournie par le ministère, souligne qu’il existe en effet quelques champs de texte libre dans l ’ application mais qu’une charte d ’ utilisation des donn é es personnelles, lue par chaque utilisateur à la premi è re connexion et accessible à tout moment dans l'application, rappelle qu ’ il est interdit d ’ ins é rer des donn é es personnelles dans ces champs. La CNIL prend acte de la mise en place de cette garantie mais invite le ministère à une vigilance renforcée quant au contenu de ce champ libre spécifique, susceptible par nature dès lors qu’elle porte sur le comportement d’un individu, de contenir des données à caractère personnel. Il convient tout particulièrement de veiller à ce que n’y figurent que des éléments objectifs, pertinents et non-excessifs sur les personnes physiques mises en cause. Aussi, la CNIL recommande au ministère de mettre en œuvre des actions de sensibilisation régulières à destination des agents sur ce point. A cet égard, le ministère a précisé que (…) le comportement de la personne mise en cause n’a pas vocation à être décrit dans les champs libres spécifiques de l’application OSCEAN. Des informations relatives au comportement de la personne mise en cause sont traitées lorsqu’elles ont été mentionnées sur les procès-verbaux d’interpellation et, si cela est pertinent, de constatation ou d’investigation de la procédure menée par l’inspecteur de l’environnement. Ainsi, lorsque des données sur le comportement sont mentionnées, c’est uniquement lorsque le rédacteur les introduit dans la description du constat (en particulier dans les PV d’interpellation) parce qu’il juge nécessaire d’informer le parquet de ce comportement. . La CNIL prend acte des engagements du ministère sur ce point. C. Sur les durées de conservation L’article 3 du projet d’arrêté prévoit que les informations sont conservées : trois ans à compter de la date du contrôle, en cas de contrôle administratif ne faisant l’objet d’aucune procédure administrative ou judiciaire ; dix ans à compter de la date de la transmission de l’ensemble de la procédure administrative à l’autorité administrative compétente ; six ans à compter de la date de la transmission de l’ensemble de la procédure judiciaire portant sur des délits ; trois ans à compter de la date de la contravention ayant fait l’objet d’une procédure d’amende forfaitaire ou d’une procédure judiciaire. S’agissant des durées de conservation de dix et six ans envisagées dans le cadre de la transmission des procédures aux autorités compétentes, la CNIL s’interroge sur la pertinence de retenir les délais de prescriptions administrative et judiciaire alors que cette transmission a précisément pour effet de suivre une action en justice effective. Aussi, la CNIL estime que les informations devraient être conservées pendant la durée nécessaire à la procédure et jusqu’à extinction des voies de recours. Par ailleurs, concernant les données conservées trois ans à compter de la date de la contravention ayant fait l’objet d’une procédure d’amende forfaitaire ou d’une procédure judiciaire , la CNIL estime que celles-ci devraient être conservées pendant une durée nécessaire à l’extinction des voies de recours devant les tribunaux administratifs et/ou judiciaires. Enfin d’une manière générale, la CNIL invite le ministère à prévoir une conservation en archivage intermédiaire dès que les besoins opérationnels ne nécessitent plus un accès régulier et donc une conservation en base active. Elle rappelle également, compte tenu de la sensibilité des données traitées, que les mesures de sécurité techniques et organisationnelles doivent être adaptées pour se prémunir contre les atteintes à la confidentialité et à l’intégrité des données collectées. D. Sur l’information et les droits des personnes concernées L’article 6 du projet d’arrêté prévoit que les droits d’information, d’accès, de rectification, d’effacement et de limitation des données s’exercent auprès de l’OFB. Le droit d’opposition est pour sa part écarté sur le fondement de l’article 110 de la loi du 6 janvier 1978 modifiée. Le projet d’arrêté prévoit également que pour (…) éviter de gêner des enquêtes, des recherches ou des procédures judiciaires ou d’éviter de nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes ou aux poursuites en la matière, les droits d’accès, de rectification, d’effacement et à la limitation peuvent faire l’objet de restrictions en application des 2° et 3° du II et du III de l’article 107 de la même loi. . Conformément à l’article 108 de la loi du 6 janvier 1978 modifiée, les personnes concernées par ces restrictions peuvent saisir la CNIL pour exercer leurs droits. Au regard des objectifs poursuivis par les traitements de centralisation et de suivi des suites de procédures menées par les autorités administratives et judiciaires compétentes, la CNIL rappelle que les restrictions apportées aux droits des personnes doivent constituer une mesure nécessaire et proportionnée. Il appartient dès lors à l’OFB de veiller, au cas par cas, à ce que les conditions d’application de ces restrictions soient satisfaites lors des exercices de droit des personnes. S’agissant de l’information des personnes, l’article 104 de la loi du 6 janvier 1978 modifiée impose à l’OFB de mettre à disposition des personnes certaines mentions d’information, de façon permanente et sans demande de leur part. A cet égard, la CNIL prend acte des engagements du ministère selon lesquels les personnes seront informées via des mentions d’informations disponibles sur : (…) les différents documents communiqués aux personnes mises en cause (courriers, rapports, procès-verbaux…) ; (…) le site internet de l’OFB, qui comportera en outre un lien vers l’arrêté de création du traitement. E. Sur les destinataires L’article 4 du projet d’arrêté liste les accédants ainsi que les destinataires des données enregistrées au sein du traitement. La CNIL rappelle que toute transmission de données à caractère personnel à un autre organisme doit respecter la confidentialité et l’intégrité des données transmises. Ainsi, dans le cas d’une transmission par voie électronique, les données qui transitent sur des réseaux ouverts au public doivent faire l’objet de mesures de chiffrement et d’authentification de l’émetteur du destinataire. Les autres dispositions du projet de l’arrêté n’appellent pas d’observations de la part de la CNIL. La présidente M.-L. Denis


Délibération n° 2024-031 du 11 avril 2024 portant avis sur un projet de décret modifiant les conditions d'organisation du scrutin destiné à mesurer l'audience des organisations syndicales auprès des salariés des entreprises de moins de onze salariés

N° de demande d'avis : 24002027. Thématiques : vote électronique, mesure de l'audience syndicale, TPE, NIR. Organisme(s) à l'origine de la saisine : Ministère du travail, de la santé et des solidarités. Fondement de la saisine : Article 8-I (4° a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés. L'essentiel : 1. La CNIL estime nécessaire d'authentifier les personnes souhaitant vérifier certaines informations les concernant, en particulier leur adresse postale, via la plate-forme en ligne d'exercice du droit d'accès par voie dématérialisée. L'authentification via FranceConnect répond, pour les personnes acceptant d'y recourir, à cette nécessité. 2. La CNIL rappelle que le numéro d'identification des personnes au répertoire national d'identification des personnes physiques ( NIR ou numéro de la sécurité sociale ) ne peut pas être considéré comme un secret permettant une telle authentification. 3. Enfin, la CNIL estime possible, par dérogation à ses recommandations sur le vote électronique, de transmettre par un même canal l'identifiant et le mot de passe de participation au scrutin par voie électronique, puisqu'elle est cohérente avec la participation par voie postale, également permise. ___________________________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment son article 8-I (4°a) ; Après avoir entendu le rapport de Mme Aminata Niakaté, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte a. Le scrutin de mesure d'audience dans les TPE Le scrutin de mesure d'audience dans les très petites entreprises (TPE) permet, tous les quatre ans, à près de cinq millions de salariés d'entreprises de moins de onze salariés et d'employés à domicile de participer, par voie électronique ou par correspondance, à un scrutin professionnel afin de désigner leurs représentants syndicaux. Régie par les articles L. 2122-10-1 et suivants du code du travail, cette élection contribue à la mesure de l'audience des organisations syndicales, principal critère permettant d'établir la représentativité d'une organisation et sa capacité à signer des accords collectifs. Depuis 2012, la participation à ce scrutin baisse régulièrement. A titre d'exemple, seuls 5,44 % des électeurs se sont exprimés en 2021. Parmi les causes de cette tendance, le ministère met notamment en avant : des difficultés d'acheminement et de distribution des courriers postaux contenant les informations nécessaires à la vérification et à la rectification par les électeurs de leurs données et de leurs identifiants d'accès à la plateforme de vote ; des difficultés de compréhension et d'utilisation de ces informations pour la connexion à la plateforme de vote ; des délais restreints enserrant le recours gracieux relatif à l'inscription sur la liste électorale. Partant, le ministère envisage de modifier le cadre réglementaire en vue de remédier à ces difficultés et d'atteindre un meilleur taux de participation à ce scrutin. b. Le fonctionnement actuel de la plateforme en ligne mentionnée à l'article R. 2122-19 du code du travail Conformément à l'article R. 2122-19 du code du travail, un site web a été créé par les services du ministre chargé du travail de manière à permettre la consultation de la liste électorale pour le scrutin. Outre une simple consultation de cette liste, ouverte à l'ensemble des internautes, il doit permettre aux seuls électeurs d'accéder à un espace personnel afin de vérifier et le cas échéant d'enclencher une procédure de rectification de certaines données détenues par le ministère, en particulier l'adresse postale utilisée pour l'envoi du matériel de vote à distance ( courrier C3 ). Ce courrier contient à la fois le matériel permettant le vote postal et le vote par correspondance électronique. Afin d'accéder à cet espace personnel, les électeurs doivent saisir un identifiant et un mot de passe générés par le ministère et qui leur sont également transmis par voie postale ( courrier C2 ). La rectification par un électeur de son adresse ne se fait pas directement sur la plateforme et nécessite d'avoir un échange avec le ministère et de justifier son identité. Les électeurs sont cependant susceptibles de ne recevoir aucun des courriers lorsque le ministère ne dispose pas d'une adresse postale à jour. c. Le besoin de fiabilisation de l'adresse postale des électeurs Le ministère indique ne pas avoir accès aux adresses électroniques ni aux numéros de téléphone des électeurs, si bien que les adresses postales sont la seule voie de communication possible avec eux. Or, la communication aux électeurs de leur matériel de vote par courrier postal est aujourd'hui nécessaire pour leur permettre d'exercer leur droit de vote, que les électeurs optent pour le vote postal ou le vote par correspondance électronique. Toutefois, en l'état actuel de la réglementation, les adresses postales des électeurs peuvent avoir été acquises plusieurs mois avant l'organisation du scrutin, et ne sont pas mises à jour au moment de l'envoi des courriers. Par ailleurs, certains fichiers sources utilisés pour obtenir ces adresses affichent des taux statistiquement importants d'adresses non-renseignées, ou ne respectant pas les normes postales, pouvant dans certains cas s'élever jusqu'à 20 %. Dans ces conditions, il existe un besoin de mettre en place un système de fiabilisation des données relatives à l'adresse postale des électeurs. B. - L'objet de la saisine Le projet de décret en Conseil d'Etat soumis à la CNIL pour avis prévoit que les identifiants de connexion à l'espace personnel, précédemment adressés aux électeurs par courrier postal (courrier C2 ), correspondront à l'avenir à des informations que les électeurs possèdent déjà. L'accès à cet espace personnel sera donc possible pour l'ensemble des électeurs, y compris ceux pour lesquels l'administration ne dispose pas d'une adresse postale exacte. Plus concrètement, pour accéder à son espace en ligne, un électeur devra saisir son numéro d'identification au répertoire des personnes physiques (le NIR ) ainsi que son nom, en tant qu'identifiants de connexion. A cette fin, le projet prévoit la modification de plusieurs dispositions, en particulier la partie réglementaire du code du travail relative à la mesure de l'audience des organisations syndicales concernant les entreprises de moins de onze salariés (articles R. 2122-8 à R. 2122-98), ainsi que le décret cadre NIR , afin d'y inscrire ce nouvel usage du NIR. II. - L'avis de la CNIL A. - Sur les modalités d'accès à la plateforme permettant aux électeurs de vérifier leur adresse postale Pour accéder à la plateforme dédiée, l'électeur doit renseigner son nom, ainsi que son NIR qui ferait alors office d'identifiant confidentiel . Le projet initial prévoyait que l'électeur, une fois connecté, pouvait accéder à des données personnelles le concernant, parmi les catégories suivantes mentionnées à l'article R. 2122-12 du code du travail : a) Nom et prénoms ; b) Date de naissance, département et commune de naissance ou, pour les personnes nées à l'étranger, pays de naissance ; c) Adresse du domicile. A cet égard, la CNIL considère que le NIR peut constituer un moyen d'identification des personnes sur des systèmes informatiques mais ne devrait pas être utilisé comme un secret pour l'authentification. Le NIR était déjà considéré comme un secret faiblement robuste, du fait de son caractère en partie dicté par certaines caractéristiques de la personne (sexe, date de naissance etc.) ; le contexte de violations massives de données comprenant ce numéro, associé au nom et au prénom des personnes concernées, ne fait que renforcer cette position. Bien que le ministère ait précisé que l'électeur devra également valider un test captcha afin de limiter l'accès à la plateforme par des systèmes automatisés d'aspiration de données en ligne, ce qui limite le risque d'atteinte massive aux données des électeurs, le système initialement étudié laisse courir un risque de divulgation des adresses postales à partir du NIR d'une personne. Or la CNIL rappelle que l'adresse postale est un élément qui doit pouvoir rester confidentiel et protégé si la personne le souhaite (notamment si elle a fait opposition aux annuaires). Dans certains contextes (violences familiales en particulier), il est indispensable que cette confidentialité soit fortement assurée. Pour répondre à cette problématique, le ministère propose de renoncer à l'affichage de l'adresse postale sur la plateforme dédiée lorsque la connexion à la plateforme repose sur la saisie du NIR, et de ne divulguer l'adresse pour vérification que lorsque la connexion a lieu par FranceConnect. Dans ces conditions, la CNIL estime que le processus envisagé par le ministère ne présente pas de risque particulier d'atteinte à la confidentialité des données des personnes. Elle invite cependant le ministère à envisager, pour les élections suivantes, un système de vérification de l'adresse permettant aux électeurs qui ne souhaitent pas utiliser FranceConnect de vérifier leur adresse en vue de la réception du courrier contenant le matériel de vote. Ce processus pourrait par exemple reposer sur la saisie par l'électeur de son adresse à des fins de comparaison avec l'adresse connue du ministère. La CNIL se tient à la disposition du ministère pour l'accompagner dans ce projet s'il le souhaite. B. - Sur les modalités d'accès à la plateforme de vote électronique Les systèmes de vote électronique sont susceptibles de présenter des risques particuliers pour les personnes, liés notamment à la difficulté d'assurer que l'identité du votant correspond bien à celle de l'électeur authentifié et qu'il émet son vote en toute indépendance, ainsi qu'à la possible divulgation d'opinions politiques ou syndicales en cas de violation de données. Par conséquent, la CNIL rappelle la nécessité de mettre en œuvre des mesures de sécurité fortes pour assurer la confidentialité du vote et la sincérité du scrutin, telles qu'elle les a définies dans sa délibération n° 2019-053 du 25 avril 2019 portant adoption d'une recommandation relative à la sécurité des systèmes de vote par correspondance électronique, notamment via internet. En l'espèce, le scrutin offre aux électeurs deux modalités de vote distinctes, à savoir le vote par correspondance électronique et le vote postal. Il résulte des dispositions des articles R. 2122-49 et suivants du code du travail que l'ensemble du matériel de vote permettant, d'une part, le vote postal et d'autre part, l'accès à la plateforme de vote par correspondance électronique, est transmis par un unique courrier postal à l'électeur après la période lui permettant de rectifier son adresse auprès du ministère. Les modalités d'envoi du matériel de vote ne sont pas modifiées dans le cadre de la présente saisine. S'agissant du vote par correspondance électronique, la CNIL relève que ces dispositions n'apparaissent pas conformes à la recommandation précitée en ce qu'elles prévoient la transmission du matériel du vote (à savoir un identifiant et un mot de passe) par un canal de communication unique. Toutefois, ces recommandations ont vocation à permettre de garantir une sincérité absolue du scrutin dans un contexte où le vote par correspondance postale n'est pas autorisé. En l'espèce et afin de favoriser une plus grande participation au scrutin, le pouvoir réglementaire a autorisé le vote par voie postale après réception du courrier C3 . Dans ces conditions, la CNIL estime que l'envoi du matériel de vote par correspondance électronique est acceptable. Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL. La présidente, M.-L. Denis


Délibération n° 2024-045 du 20 juin 2024 portant modification du règlement intérieur de la Commission nationale de l'informatique et des libertés

La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 12 ; Vu la loi n° 2017-55 du 20 janvier 2017 modifiée portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes, notamment ses articles 8-1 et 14 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2020-173 du 27 février 2020 relatif aux modalités de rémunération des membres des autorités administratives indépendantes et des autorités publiques indépendantes, notamment son article 6 ; Vu l'arrêté du 27 février 2020 pris en application du décret n° 2020-173 du 27 février 2020 relatif aux modalités de rémunération des membres des autorités administratives indépendantes et des autorités publiques indépendantes, notamment ses articles 4 à 6 ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Après avoir entendu le rapport Mme Marie-Laure DENIS, présidente et les observations de M. Damien MILIC, commissaire du Gouvernement, Décide : Article 1 Le chapitre XI de l'annexe à la délibération n° 2013-175 du 4 juillet 2013 est remplacé par les dispositions suivantes : Art. 75. - Publication au Journal officiel. Sont publiées au Journal officiel de la République française les délibérations relatives à son fonctionnement qui portent les décisions suivantes : élection des vice-présidents dont celle du vice-président délégué (article 9-I) ; élection des membres de la formation restreinte, de son président et de son vice-président (article 9-I) ; délégation de compétences au président ou vice-président délégué (article 13) ; délégation d'attributions au bureau (article 15) ; désignation des membres de la Commission chargés d'exercer le droit d'accès indirect (article 108) ; habilitation des agents des services à procéder à des contrôles (article 10) et à procéder à des visites ou vérifications portant sur les traitements relevant de l'article 31 de la loi du 6 janvier 1978 modifiée ; les avis relatifs à la désignation de membres de la Commission. Sont également publiées au Journal officiel de la République française les délibérations qui portent les décisions suivantes : les lignes directrices, recommandations ou référentiels mentionnés à l'article 8-I-2°-b la loi du 6 janvier 1978 modifiée ; les règlements types mentionnés à l'article 8-I-2-c de la même loi ; Sont également publiées au Journal officiel de la République française les décisions de délégation de signature du président de la Commission au vice-président délégué. Art. 76. - Publication sur Légifrance. Outre les décisions et délibérations publiées au Journal officiel de la République française, sont publiés sur Légifrance : les décisions et délibérations portant autorisation sur le fondement des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée et du 9° de l'article D. 312-1-3 du code des relations entre le public et l'administration ; les avis rendus sur les projets de loi ou règlement, lorsqu'ils doivent être publiés ; les décisions élaborant ou approuvant les critères des référentiels de certification et d'agrément mentionnés à l'article 8-I-2-h) ; les décisions et avis relatifs aux codes de conduite mentionnés au 5 de l'article 40 du règlement (UE) 2016/679. La Commission peut décider de publier tout autre avis, décision ou recommandation sur le site Légifrance. Art. 76-1. - Publication sur le site internet de la Commission. Sont publiés sur le site internet de la Commission : les décisions d'approbation des règles d'entreprise contraignantes mentionnées à l'article 47 du règlement (UE) 2016/679 ; la liste des personnes, des produits, des systèmes de données ou des procédures certifiés conformément à l'article 8-I-2-h de la loi du 6 janvier 1978 modifiée ; les décisions d'agrément des organismes certificateurs mentionnées à l'article 43 du règlement (UE) 2016/679 ; l'ordre du jour de la Commission réunie en séance plénière ; les délégations de signature non mentionnées aux articles précédents. La liste des délégués à la protection des données désignés par un responsable de traitement auprès de la Commission est accessible depuis le site internet de la Commission. La Commission peut décider que les décisions publiées au Journal officiel ou sur Légifrance seront également publiées sur son site internet. Article 2 1° L'article 26 du chapitre IV est supprimé. 2° Les articles 45 et 46 de la section II du chapitre V sont supprimés. Article 3 Après l'article 83 du règlement intérieur de la Commission nationale de l'informatique et des libertés, il est inséré un article 83 bis ainsi rédigé : Art. 83 bis. - Indemnités à la vacation allouées au président de la formation restreinte ou à l'un des membres de la formation restreinte statuant dans le cadre de la procédure simplifiée. Le montant des indemnités allouées au président de la formation restreinte ou à l'un des membres statuant seul dans le cadre de la procédure prévue à l'article 22-1 de la loi du 6 janvier 1978 modifiée (procédure simplifiée) est fixée à 50 euros par dossier. Lorsque, dans le cadre de cette procédure, le mis en cause demande à être entendu et qu'une séance est organisée pour entendre ses observations orales, l'indemnité allouée au président de la formation restreinte ou à l'un de ses membres est complétée d'une indemnité forfaitaire de 50 euros par dossier. Article 4 La présidente et le secrétaire général de la Commission nationale de l'informatique et des libertés sont chargés, chacun en ce qui le concerne, de l'exécution de la présente décision, qui sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis


Délibération n° 2024-029 du 11 avril 2024 portant avis sur un projet d'arrêté portant modification de l'arrêté du 22 décembre 2021 autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel relatif aux atteintes aux systèmes de traitement automatisé de données dénommé « MISP-PJ »

N° de demande d’avis : 24003243 Thématiques : cybersécurité, atteintes aux systèmes de traitement automatisé de données, procédures judiciaires Organisme(s) à l’origine de la saisine : ministère de l’intérieur Fondement de la saisine : article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés L’essentiel : 1. Le traitement " Malware Information Sharing Platform - Police Judiciaire " (MISP-PJ) est mis en œuvre à des fins de centralisation, analyse et recoupement des informations contenues dans les procédures judiciaires en matière d'atteintes aux systèmes de traitement automatisé de données. 2. Le projet d’arrêté étend la liste des accédants à ce traitement aux agents de la direction générale de la sécurité intérieure (DGSI) chargés d’une mission de police judiciaire. La DGSI est compétente en matière d’infractions relatives aux technologies de l’information et de la communication prévues au code pénal. 3. La CNIL considère que cet ajout est pertinent au regard de la finalité du traitement. _________________ La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (" loi informatique et libertés ") ; Sur la proposition de Mme Sophie Lambremon, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. La saisine A. Le contexte Le traitement " Malware Information Sharing Platform - Police Judiciaire " (MISP-PJ) centralise les informations contenues dans les procédures judiciaires en matière d'atteintes aux systèmes de traitement automatisé de données. Il permet aux services de la police nationale et de la gendarmerie nationale de faciliter les investigations judiciaires et l'identification des auteurs d'infractions correspondantes à la cybercriminalité (par exemple, rançongiciels). Une base de données constituée à partir des attaques informatiques recensées permet le recoupement et l’analyse de ces informations dans le traitement. Il est mis en relation avec les logiciels de rédaction des procédures LRPPN et LRPGN et avec le recueil d'informations techniques relatives aux incidents de sécurité sur les réseaux et systèmes d'information. Celui-ci est mis en œuvre par le centre de réponse à incident de la police judiciaire (CSIRT-PJ) qui dispose d’une plateforme d’échanges d'informations relative aux logiciels malveillants. Ces traitements alimentent le traitement MISP-PJ, au moyen de rapprochements manuels, par les données techniques détaillées à l'article 2 de l'arrêté modifié (adresses IP, adresses de courriers électroniques ou pseudonymes utilisés lors des attaques informatiques). Le résultat des recoupements et analyses recueillis sur ces attaques est consigné en procédure dans les dossiers par procès-verbal et non dans le fichier MISP. MISP-PJ, encadré par l’arrêté du 22 décembre 2021, est mis en œuvre par la direction générale de la police nationale du ministère de l'intérieur et relève du Titre III de la loi " informatique et libertés ". B. L’objet de la saisine Le ministère de l’intérieur a saisi la CNIL, sur le fondement de l’article 31 de la loi du 6 janvier 1978 modifiée, d’un projet d’arrêté portant modification du traitement MISP-PJ. Le projet d’arrêté vise à : étendre la liste des accédants au traitement, en ajoutant les agents de la direction générale de la sécurité intérieure (DGSI) chargés d’une mission de police judiciaire ; modifier le service auprès duquel les personnes concernées par le traitement de leurs données peuvent exercer leurs droits. II. L’avis de la CNIL A. Sur l’ajout d’accédants au traitement et les mises en relation induites L'article 6 de l’arrêté du 22 décembre 2021 liste les personnes qui " peuvent accéder aux données à caractère personnel et aux informations mentionnées à l'article 2 " et celles qui en sont destinataires. Le projet d'arrêté étend la liste des accédants aux agents de la DGSI chargés d’une mission de police judiciaire. La CNIL relève que les personnes mentionnées comme " accédants " ne seront pas seulement chargées d'accéder aux données mais pourront enregistrer des données dans le traitement. En application du décret n° 2014-445 relatif aux missions et à l'organisation de la DGSI, il s’agit d’un service actif de la police nationale, qui concourt à l’exercice des missions de police judiciaire en matière de criminalité liée aux technologies de l’information et de la communication (infractions relatives aux atteintes aux systèmes de traitement automatisé des données prévues au code pénal). L'ajout des accédants envisagé par le projet d’arrêté est pertinent au regard de la finalité du traitement. Le ministère considère, en accord avec le délégué ministériel à la protection des données, dont l'avis a été transmis à la CNIL dans le cadre cette demande d'avis, que, dans la mesure où le traitement MISP-PJ n'est pas susceptible d'engendrer un risque élevé pour les droits et libertés des personnes, la réalisation d'une AIPD n'est pas nécessaire. La réalisation d'une AIPD est recommandée même lorsqu'elle n'est pas obligatoire, notamment au regard des finalités poursuivies par le traitement et de son périmètre. Une AIPD permettrait notamment au ministère d'évaluer si des risques nouveaux pour les personnes concernées, liés à la centralisation des informations et à l’expansion des accès au dispositif MISP-PJ, sont apparus. Elle estime néanmoins que ces mises en relation avec les LRP, concernant des données techniques, ne revêtent pas de caractère particulièrement sensible et sont conformes aux finalités poursuivies par le traitement. B. Sur les droits des personnes Conformément aux dispositions des articles 104 à 106 de la loi " informatique et libertés ", les droits d'information, d'accès, de rectification, d'effacement et à la limitation des données s'exercent auprès de la direction centrale de la police judiciaire. Le projet d’arrêté modifie le service auprès duquel les personnes concernées par le traitement de leurs données peuvent exercer leurs droits. La demande est envoyée par courrier à l’adresse indiquée sur le site internet du ministère de l’intérieur. Le ministère précise qu’il s’agit d’harmoniser les procédures et de prévoir un fonctionnement similaire aux autres traitements mis en œuvre par la direction générale de la police nationale. La CNIL prend acte de ce que les droits des personnes concernées s’exercent auprès de la direction générale de la police nationale à des fins d’harmonisation des procédures. La présidente M.-L. Denis