Délibération n° 2024-030 du 11 avril 2024 portant avis sur un projet de loi de simplification

Numéro de demande d’avis : 24004933 Thématiques : missions de la CNIL ; formalités préalables pour les traitements de données dans le domaine de la santé Organisme à l’origine de la saisine : ministère de l’économie, des finances et de la souveraineté industrielle et numérique Fondement de la saisine : Article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés L’essentiel : La CNIL est saisie de deux dispositions d’un projet de loi de simplification. L’une de ces dispositions (article 23 du PJL) vise principalement à modifier le régime de création des traitements dans le domaine de la santé afin de renforcer le principe selon lequel l’engagement de conformité (référentiel, méthodologie de référence), est la norme, et l’autorisation, l’exception. Il est également prévu d’introduire la possibilité pour le ministre de la santé et les acteurs représentatifs du secteur de proposer des projets de référentiels à la CNIL. Elle souscrit pleinement à cette évolution qui correspond aux attentes du secteur de la recherche en santé tout en maintenant le régime d’autorisation pour les traitements innovants qui ne correspondraient à aucun référentiel ou méthodologie de référence. Elle estime que ces modifications maintiennent un haut niveau de protection des données. L’autre disposition (article 24 PJL) prévoit d’inscrire la prise en compte des enjeux d’innovation dans les missions de la CNIL. Celle-ci estime qu’une telle disposition viendra reconnaître la pratique de la CNIL et un de ses axes stratégiques depuis de nombreuses années. La CNIL suggère que la rédaction permette d’inscrire dans la loi son rôle d’accompagnement des entreprises et de la communauté scientifique, notamment la mission de favoriser une innovation respectueuse des droits des personnes dans le domaine de l’intelligence artificielle. _________________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ( loi informatique et libertés ) ; Après avoir entendu le rapport de Mme Marie-Laure Denis, présidente, et les observations de M. Damien Milic, commissaire du Gouvernement ; Adopte la délibération suivante : La CNIL a été saisie, pour avis, des articles 23 et 24 du projet de loi de simplification. . A - Sur le projet d’article 23 : Ce projet d’article vise à modifier, d’une part, le code de la santé publique (CSP) et, d’autre part, la section 3 du chapitre III du titre II de la loi informatique et libertés (LIL) (traitements de données à caractère personnel dans le domaine de la santé). . Sur la modification prévue de certaines dispositions du CSP : Le projet de loi entend simplifier la procédure d’autorisation d’importation et d’exportation des tissus et de cellules issus du corps humain, d’organes, de sang, de ses composants et de ses produits dérivés, notamment dans le cadre : de recherches impliquant la personne humaine définies à l’article L. 1121-1 du CSP ; d’essais cliniques de médicaments régis par les dispositions du règlement (UE) n° 536/2014 du Parlement européen et du Conseil du 16 avril 2014 ; d’investigations cliniques de dispositifs mentionnés à l'article premier du règlement (UE) 2017/745 du Parlement européen et du Conseil du 5 avril 2017 ; d’études des performances de dispositifs médicaux de diagnostic in vitro mentionnés à l'article premier du règlement (UE) 2017/746 du Parlement européen et du Conseil du 5 avril 2017. Les éléments et produits du corps humain sont le plus souvent associés à des données à caractère personnel, notamment des données d’identification des patients et des données cliniques. En outre, comme la CNIL l’avait déjà indiqué dans son avis du 11 juillet 2019 relatif au projet de loi bioéthique, les prélèvements effectués à partir d’éléments et produits du corps humain constituent, de par leur nature, des sources de données que l’on pourrait qualifier d’intarissables, au regard de l’évolution constante des techniques d’analyse. Les conditions de leur collecte, de leur conservation, de leur utilisation et de leur circulation doivent être particulièrement rigoureuses et respectueuses des droits des personnes, notamment s’agissant de la protection de leur vie privée et de leurs données à caractère personnel. Ces modifications n’appellent pas d’observations de la CNIL, qui rappelle que ces activités devront être mises en œuvre dans le respect du règlement général sur la protection des données (RGPD) et de la LIL. . Sur la modification de la section 3 du chapitre III du titre II de la loi informatique et libertés (traitements de données à caractère personnel dans le domaine de la santé) : > Concernant la modification prévue de l’article 65 de la LIL : Le projet de loi prévoit de préciser que les dispositions des articles 65 et suivants de la LIL sont applicables aux traitements qui, cumulativement, sont mis en œuvre dans le domaine de la santé et contiennent des données concernant la santé. La CNIL accueille favorablement cette modification, dès lors qu’elle a pu constater à plusieurs reprises que la formulation actuelle suscitait des interrogations. > Concernant la modification prévue de l’article 66 de la LIL : Pour la mise en œuvre du RGPD, l’ordonnance n° 2018-1125 du 12 décembre 2018 puis la loi n° 2019-774 du 24 juillet 2019 ont refondu les dispositions nationales protégeant les données à caractère personnel. Usant de la marge de manœuvre nationale laissée par le RGPD, le législateur a maintenu les formalités préalables pour certains traitements opérés dans le domaine de la santé, eu égard à la grande quantité et à la sensibilité des données concernées. En l’état du droit, ces traitements doivent être autorisés par la CNIL, sauf à être conformes à un référentiel ou, dans le domaine des recherches en santé, à une méthodologie de référence adopté par elle. Les récents rapports Fédérer les acteurs de l’écosystème pour libérer l’utilisation secondaire des données de santé , confié à M. Jérôme Marchand-Arvier, et IA : notre ambition pour la France , de la Commission de l’intelligence artificielle, proposent d’élargir le champ d’application des référentiels et des méthodologies de référence afin que le régime de l’autorisation n’ait vocation qu’à concerner un nombre résiduel de traitements. La CNIL accueille favorablement ces propositions qui s’inscrivent dans sa volonté de favoriser la recherche en santé. Elle se félicite que le gouvernement ait fait le choix de maintenir un examen par elle de la conformité au RGPD de tout référentiel ou de toute méthodologie de référence, afin de garantir la sécurité juridique des responsables de traitement, dès lors qu’il lui revient de contrôler en aval le respect du RGPD par ces acteurs. Dans un premier temps, le projet prévoit de modifier les conditions d’adoption des référentiels permettant aux responsables de traitement de mettre en œuvre leurs projets grâce à une simple déclaration de conformité. Il a notamment pour objet d’inscrire dans la loi les principes selon lesquels les référentiels : précisent les modalités concrètes de mise en œuvre des traitements en vue d’assurer le respect des dispositions du RGPD et de la LIL ; assurent un équilibre entre la protection des données et les finalités d’intérêt public poursuivies par les traitements soumis à formalités préalables, notamment en matière de développement de la recherche dans le domaine de la santé. Ces dispositions viennent conforter les pratiques de la CNIL en matière d’élaboration de référentiels dans la mesure où elle a toujours eu à cœur de créer des outils de mise en conformité sectoriels pragmatiques et adaptés aux pratiques des professionnels, décrivant de manière pédagogique et précise les mesures garantissant la conformité de leurs traitements aux exigences du RGPD et de la LIL. Le projet introduit en outre la possibilité, pour le ministre de la santé et certains acteurs représentatifs du secteur, d’adresser à la CNIL des propositions de référentiel. Cette modification vient consacrer la volonté constante de la CNIL d’inciter les acteurs concernés à lui adresser de telles propositions, afin de permettre l’adoption de référentiels adaptés à leurs besoins et leurs pratiques. En outre, elle s’inscrit pleinement dans l’esprit du principe de responsabilisation des acteurs prévu par le RGPD. La CNIL prend acte de ce que le gouvernement s’est engagé à prévoir, dans le projet de loi ou par voie réglementaire, le délai dont elle disposera pour adopter ou refuser un projet de référentiel. Elle propose qu’il soit fixé à deux mois (renouvelable une fois). Par ailleurs, le projet prévoit que la CNIL élaborera et publiera une stratégie qui comportera une programmation des référentiels à adopter pour les catégories le plus usuelles de traitements. Un tel dispositif permettra d’identifier, en lien avec les acteurs concernés, les types de traitements, et notamment de recherches, non couverts par des référentiels ou méthodologies de référence afin d’en élargir progressivement le champ. Cette stratégie pourra prévoir de confier l’élaboration de certains projets de référentiel ou de méthodologies à d’autres acteurs, en collaboration avec elle. Le gouvernement a précisé que cette stratégie n’aura pas vocation à décrire de manière exhaustive et obligatoire l’ensemble des référentiels à élaborer, mais constituera un document programmatique. La CNIL souligne qu’une telle stratégie, pour être efficace, devrait être pluriannuelle. Elle invite le gouvernement à le préciser dans le projet. Le projet de II de l’article 66 précise enfin que les référentiels et cette stratégie sont élaborés dans des conditions prévues par décret en Conseil d’Etat, dont la CNIL sera saisie pour avis. Dans un second temps, le projet précise que les traitements mis en œuvre en application de la section 3 doivent être conformes à l’un des référentiels adoptés par la CNIL et que le responsable n’effectue qu’une déclaration de conformité lorsqu’il entend mettre en œuvre plusieurs traitements relevant d’un même référentiel. La CNIL rappelle que chacun des traitements devra être inscrit au registre du responsable de traitement prévu à l’article 30 du RGPD. Le projet prévoit de maintenir, dans le IV de l’article 66, le principe selon lequel, en l’absence de conformité à un référentiel (absence de référentiel ou non-conformité au référentiel existant), les traitements ne peuvent être mis en œuvre qu’après autorisation de la CNIL. La CNIL se félicite du maintien de ce principe qui permettra : de ne pas faire obstacle à l’innovation, en garantissant la possibilité pour les acteurs publics et privés de s’affranchir des cadres proposés par les référentiels et de mettre en œuvre des projets créatifs et ambitieux, respectueux des droits et libertés des personnes concernées ; d’accompagner ces acteurs et de construire la doctrine nécessaire à l’élaboration de nouveaux référentiels adaptés aux besoins et pratiques du plus grand nombre. En conclusion, la CNIL estime que ces mesures, prises dans leur ensemble, permettront une simplification des démarches des acteurs du secteur de la santé. Elle confirme sa volonté d’élargir et de diversifier le champ des référentiels, comme en témoigne le lancement prochain d’une concertation publique relative aux référentiels applicables au secteur de la recherche en santé. La CNIL souligne néanmoins qu’il sera nécessaire, pour garantir l’efficacité de ces mesures, que les acteurs concernés se saisissent de l’opportunité qui leur sera offerte de lui adresser des propositions adaptées à leurs besoins et respectueuses des droits des personnes, conformément au principe de responsabilisation des acteurs prévu par le RGPD. > Concernant la modification prévue de l’article 73 de la LIL : Le projet simplifie la rédaction de l’article 73 de la LIL, qui vient préciser que les référentiels applicables aux recherches, études et évaluations dans le domaine de la santé, les méthodologies de référence, sont adoptés par la CNIL, tout en renvoyant aux modalités prévues à l’article 66 de cette même loi. La CNIL renvoie à ses observations sur la modification prévue de l’article 66. > Concernant la modification prévue de l’article 76 de la LIL : Le projet ajoute un alinéa à cet article, afin d’aménager une exception au principe selon lequel l’autorisation de la CNIL est accordée après avis du comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (CESREES) s’agissant des études, des évaluations et des recherches n’impliquant pas la personne humaine. Le gouvernement entend ainsi dispenser de l’obtention d’un avis préalable du CESREES les dossiers de demande ayant fait l’objet d’un avis favorable d’un comité scientifique et éthique local dont le fonctionnement respectera un cahier des charges établi au niveau national par le ministre chargé de la santé pris après avis du CESREES. La CNIL souhaite être associée à l’élaboration de ce cahier des charges. La CNIL accueille favorablement cette modification qui permettra, tout en soulageant le CESREES d’un volume certain de demandes d’avis, d’éclairer l’instruction des demandes d’autorisation par des avis élaborés par des instances connaissant les bases dont les données seront issues. Elle invite le gouvernement à préciser les termes comité scientifique et éthique local , par exemple en visant les comités éthiques et scientifiques intervenant dans la gouvernance des bases de données dont l’utilisation est envisagée . La CNIL comprend par ailleurs du dispositif prévu que le CESREES devra être saisi en cas d’avis défavorable du comité scientifique et éthique local. Elle s’interroge toutefois sur la répartition des compétences entre ces comités. Elle suggère que cette articulation soit prévue par un acte de nature réglementaire, qui pourrait réserver au CESREES l’examen de certains projets qui dépassent le champ de compétence des comités locaux. Elle demande enfin que le projet précise que les avis rendus par ces comités scientifiques et éthiques locaux sont motivés, à l’instar de ceux rendus par le CESREES et qui lui sont utiles dans l’instruction des dossiers. . B - Sur le projet d’article 24 : Le projet d’article 24 prévoit de compléter l’article 8 de la LIL, relatif aux missions de la CNIL, en inscrivant la prise en compte des enjeux d’innovation dans tous les domaines de son action. La CNIL est favorable à la consécration, par la loi, d’un de ses axes stratégiques. Depuis de nombreuses années, elle a mis en place, notamment auprès de la communauté scientifique et des acteurs de la recherche, une stratégie d’accompagnement à l’innovation : d’une part, en produisant des éléments de doctrine sur des sujets innovants (chaîne de blocs ou blockchain, interface de programmation d’applications, fiches sur l’intelligence artificielle, journée annuelle consacrée à la recherche en matière de protection de la vie privée ou privacy research day, etc.) ; d’autre part, en accompagnant de manière pragmatique les acteurs innovants (création du laboratoire d’innovation numérique de la CNIL, création d’un service de l’intelligence artificielle, création d’un Bac à sable et d’un dispositif d’accompagnement renforcé destiné aux entreprises innovantes, stratégie start-up , etc.). La CNIL est par ailleurs en lien direct avec la communauté scientifique pour accompagner la recherche et l’innovation (partenariats avec des organismes de recherche comme l’Institut national de recherche en sciences et technologies du numérique (Inria), accompagnement de programmes et équipements prioritaires de recherche (PEPR)). Elle propose de préciser la disposition sur deux points. D’une part, elle propose que le texte indique explicitement qu’à ce titre la CNIL peut accompagner les responsables de traitement dans la mise en place d’un traitement innovant, ce qu’elle accomplit déjà grâce aux divers programmes d’accompagnement mis en place. D’autre part, elle invite le gouvernement à aller jusqu’au bout de cette logique en consacrant explicitement dans la loi informatique et libertés une mission pour la CNIL d’accompagner spécifiquement l’innovation dans le domaine de l’intelligence artificielle (IA). Ainsi que la doctrine s’en est fait l’écho, de même que le récent rapport de la Commission de l’intelligence artificielle, l’innovation en intelligence artificielle nécessite de grandes bases de données, qui contiennent souvent des données à caractère personnel. Ainsi que la CNIL l’a souligné lors de la récente publication de ses premières recommandations pour l’entraînement des modèles d’intelligence artificielle, l’application du RGPD ne s’oppose nullement à l’innovation en la matière. En revanche, la constitution et l’utilisation des bases d’entraînement, ainsi que l’utilisation des modèles d’IA, doivent prendre en compte les risques liés à l’utilisation des données à caractère personnel pour assurer une protection proportionnée de la vie privée des personnes. La CNIL a donc une mission essentielle à remplir pour garantir une innovation en matière d’IA respectueuse des droits des personnes. Cette reconnaissance serait cohérente avec un certain nombre de publications appelant l’autorité de régulation des données à caractère personnel à jouer un rôle central en matière d’IA : étude Intelligence artificielle et action publique : construire la confiance, servir la performance du Conseil d’Etat (août 2022), le rapport d’information du Sénat Pour un déploiement de l’intelligence artificielle conforme aux valeurs européennes (mars 2023) ou encore le rapport d’information de l’Assemblée nationale sur les défis de l’intelligence artificielle générative en matière de protection des données personnelles et d’utilisation du contenu généré (février 2024). La présidente, M.-L. Denis


Délibération n° 2024-006 du 18 janvier 2024 portant avis sur un projet de décret modifiant le code de procédure pénale et relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé fichier automatisé des empreintes digitales (FAED)

Délibération n° 2024-006 du 18 janvier 2024 portant avis sur un projet de décret modifiant le code de procédure pénale et relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé fichier automatisé des empreintes digitales (FAED) Date de l’avis : 18 janvier 2024 N° de la délibération : n° 2024-006 N° de demande d’avis : 23012713 Organisme(s) à l’origine de la saisine : ministère de l’intérieur Textes concernés : projet de décret modifiant le code de procédure pénale et relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé fichier automatisé des empreintes digitales (FAED) Thématiques : données biométriques, empreintes digitales et palmaires, fiches de signalisation d’individus, empreintes d’origine inconnue Fondement de la saisine : article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés L’essentiel : 1. Le fichier automatisé des empreintes digitales (FAED) est un traitement sensible par nature, en raison des données biométriques hautement identifiantes qu’il contient. La CNIL considère que les évolutions des finalités du fichier sont légitimes et prend acte de la nouvelle rédaction de la finalité d'identification des personnes détenues afin d’y préciser l’établissement des cas de récidive ou de la commission d’infractions dans le cadre de procédures distinctes. 2. Le projet de décret prévoit d’allonger les durées de conservation à quarante ans dans le cadre de procédures criminelles. La CNIL invite le ministère à prévoir, pour l’intégralité des empreintes concernées, que cet allongement ne peut être possible que sur décision d’un magistrat. Sous cette réserve, elle estime que cette durée de conservation allongée est pertinente et justifiée par les besoins de la procédure pénale. 3. Compte tenu de la sensibilité du fichier, la CNIL recommande vivement au ministère de faire figurer dans l’analyse d’impact relative à la protection des données (AIPD), ainsi que sur son site web, la liste des mises en relation effectuées. Enfin, elle estime que le FAED devrait faire l’objet d’une homologation de sécurité préalable à toute nouvelle interconnexion dans les meilleurs délais. LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (" loi informatique et libertés ") ; Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, ADOPTE LA DÉLIBÉRATION SUIVANTE : I. La saisine A. Le contexte Le " fichier automatisé des empreintes digitales " (ci-après " FAED ") facilite la recherche et l’identification, par les services de police judiciaire, des auteurs de crimes et délits, par comparaison biométrique des empreintes relevées sur des lieux de commission d'infractions. Il permet également la recherche des personnes décédées, blessées non identifiées et de personnes disparues. Enfin, il peut être utilisé à des fins de coopération européenne et internationale en matière de police judiciaire. En décembre 2022, le fichier contenait plus de 6,5 millions d’empreintes de personnes identifiées en tant que mises en cause, ainsi que 293.831 empreintes d’origine inconnue. B. L’objet de la saisine Le ministère de l’intérieur a saisi la Commission nationale de l’informatique et des libertés (ci-après " la CNIL "), sur le fondement de l’article 32 de la loi du 6 janvier 1978 modifiée (ci-après loi " informatique et libertés "), d’un projet de décret modifiant le code de procédure pénale et relatif à la mise en œuvre du traitement de données à caractère personnel dénommé FAED. Le projet de décret abroge le décret n° 87-249 du 8 avril 1987 relatif au FAED et codifie au sein du code de procédure pénale (CPP) les dispositions relatives à ce fichier. Il encadre : les finalités d’identification des personnes détenues et d’identification dans un cadre extrajudiciaire des victimes de catastrophes naturelles ou des personnes faisant l’objet de recherches et dont la mort est supposée ; l’allongement des durées de conservation des empreintes digitales et palmaires collectées dans le cadre de procédures criminelles ; la levée de l’interdiction de principe des mises en relation. II. L’avis de la CNIL A. Sur les finalités du traitement Le FAED a pour finalités de faciliter l'identification, par les empreintes digitales et palmaires : des auteurs de crimes et de délits, pour les besoins d’enquêtes pénales ; des personnes blessées ou décédées, non identifiées, ou encore disparues et faisant l’objet de recherches, dans un cadre judiciaire ou extrajudiciaire ; des personnes dans le cadre de la procédure de vérification d’identité prévue à l’article 78-3 du CPP et d’un étranger dans les conditions prévues à l’article L. 142-2 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA). En premier lieu, le projet de décret prévoit explicitement une finalité d'identification des personnes détenues dans les établissements pénitentiaires. Le ministère indique que cette évolution doit permettre : d’établir la récidive, en comparant les empreintes avec d’autres empreintes collectées dans le cadre d’une autre enquête ; de vérifier que la personne n’est pas connue sous d’autres identités ; de confronter les empreintes de la personne concernée avec celles d’origine inconnue afin de révéler d’autres infractions. La CNIL relève que les services et unités de la police nationale et de la gendarmerie nationale sont d’ores et déjà autorisés à réaliser des prélèvements sur les personnes détenues, au titre de l’établissement de leur dossier individuel pénitentiaire (articles D. 214-7 et D. 214- 30 du code pénitentiaire). Par ailleurs, la collecte des empreintes des personnes détenues était déjà prévue par les dispositions qui encadrent actuellement le FAED. Le ministère précise que cette modification intervient dans un souci de transparence. Cependant, La CNIL observe que le projet de décret crée une finalité autonome " d’identification des personnes détenues dans les établissements pénitentiaires ". Or, les cas d’usage indiqués au point 7 ne visent pas spécifiquement à déterminer l’identité de la personne détenue, qui est en principe connue, mais s’inscrivent dans les autres finalités prévues par le décret, en particulier la conduite d’enquêtes de police judiciaire. La CNIL recommande donc au ministère de reformuler cette finalité et de préciser, dans le projet de décret, l’établissement de la récidive et la recherche d’infractions dans d’autres procédures au titre de cette finalité. Elle prend acte de l’engagement du ministère de préciser cette finalité en ce sens. En second lieu, le projet de décret ajoute une finalité d’identification des victimes de catastrophes naturelles ou des personnes faisant l’objet de recherches et dont la mort est supposée. Le ministère a précisé que cette possibilité s’inscrit dans la finalité plus globale et préexistante d’identification des cadavres dans un cadre extrajudiciaire, lorsque l’identité de la personne décédée est inconnue. Compte tenu des raisons opérationnelles invoquées par le ministère, et du fait que cette évolution s’inscrit dans la continuité de ce qui est déjà encadré, l’extension de cette finalité est légitime. B. Sur les empreintes traitées 1. Sur les empreintes pouvant faire l’objet d’une comparaison sans enregistrement Le projet de décret prévoit que les empreintes collectées dans le cadre d’une vérification d’identité (sur le fondement de l’article 78-3 du CPP) et pour permettre l’identification d’un étranger (dans les conditions de l’article L. 142-2 du CESEDA), peuvent être comparées avec celles des personnes mises en cause, détenues, disparues et collectées dans le cadre judiciaire ou transmises dans le cadre de la coopération judiciaire internationale. Ces empreintes ne sont pas conservées dans le traitement. La CNIL accueille favorablement la mention dans le projet de décret de la garantie selon laquelle il ne s’agit que d’une comparaison avec les empreintes digitales et palmaires, laquelle ne peut donner lieu à un enregistrement des empreintes dans le FAED. Le résultat de cette consultation est présenté sous forme de rapport de rapprochement qui ne contient pas d’empreintes. La CNIL s’interroge sur sa durée de conservation de quarante jours en base active au regard des justifications opérationnelles insuffisantes en l’état (statistiques et perte du rapport). À cet égard, la séparation existante entre les données judiciaires et extrajudiciaires est une garantie importante pour l’application des règles de gestion qui leurs sont propres. C. Sur les nouvelles catégories de données associées aux empreintes enregistrées dans le FAED 1. Concernant l’immatriculation, la marque, le type de véhicule et les nom et prénoms de la victime de l’infraction Le projet de décret prévoit la collecte de nouvelles informations : l’immatriculation, la marque, le type de véhicule faisant l’objet de relevés d’empreintes d’origine inconnue : il s’agit des données permettant d'identifier le véhicule sur lequel des empreintes d’origine inconnue ont été prélevées ; les nom et prénoms de la victime de l’infraction " lorsque les nécessités de l’enquête ou de l’information le justifient ". Afin d’encadrer leur usage, le ministère met en œuvre les garanties suivantes : aucune de ces informations ne peut faire l’objet d’une requête dans le FAED ; la collecte des nom et prénoms de la victime n’est pas systématique et n’intervient que si elle est nécessaire (par exemple si l’adresse de la victime ne suffit pas) et n’est prévue que pour les seules empreintes digitales et palmaires d’origine inconnue collectées dans le cadre judiciaire. S’agissant des informations relatives à la victime de l’infraction, le ministère a précisé qu’il s’agit de se repérer sur la scène d’infraction (par exemple, lors d’une série de cambriolages dans plusieurs appartements, avec différentes victimes sans numéro de porte pour les distinguer autrement que par le numéro d’étage). La CNIL reconnaît l’utilité de la collecte de ces nouvelles données. Elle prend acte de ce que le ministère présente des garanties afin d’éviter tout détournement de finalités et notamment, qu’aucune recherche de personnes n’est possible sur ces champs. 2. Concernant la nationalité des personnes dont les empreintes sont collectées Le projet de décret prévoit la collecte de la nationalité des personnes dont les empreintes sont traitées. Le ministère a précisé que cette donnée n’est pas enregistrée en base active du FAED mais stockée directement dans la base d’archivage accessible à un nombre restreint de personnes. Elle n’est alors pas consultable ou requêtable, ni directement exploitable par les utilisateurs du FAED. En effet, elle est relevée lors de la signalisation pour être transmise au casier judiciaire national, lequel est responsable du traitement national de données à caractère personnel nécessaire au fonctionnement du traitement européen ECRIS-TCN (article 771-1 du CPP). Au regard des justifications invoquées par le ministère, la collecte de cette donnée est légitime. D. Sur l’allongement des durées de conservation des données dans le cadre de procédures criminelles Les durées de conservation des données à caractère personnel du FAED sont proportionnées à la gravité des infractions concernées. Des durées différentes, variant actuellement de dix à vingt-cinq ans, sont prévues selon plusieurs critères : la nature de l'infraction, le statut de la personne (minorité, personne détenue ou mise en cause, décédée ou personne non identifiée) et l'origine des données (organisme international ou procédure nationale). Le projet de décret prévoit un allongement des durées de conservation des empreintes recueillies dans un cadre criminel et des informations qui leur sont liées. Ces informations pourront être conservées quarante ans : pour certaines empreintes, la durée de conservation ne peut être allongée que sur décision du procureur de la République ou, en cours d'information, du juge d'instruction. Il s’agit des empreintes d’origine inconnue et de celles des cadavres ou des personnes découvertes grièvement blessées non identifiées ou disparues, recueillies dans un cadre judiciaire (1°, 5° et 6° de l’article R. 40-38-2 du CPP projeté) ; pour les empreintes des personnes mises en cause dans une procédure pénale et des personnes détenues (3° et 4° de l’article R. 40-38-2 du CPP projeté), cet allongement des durées peut intervenir sans la décision du procureur de la République ou du juge d’instruction. Seuls la relaxe ou l’acquittement, comme pour toutes les empreintes, conduiront à l’effacement anticipé du fichier. Le ministère justifie cette modification par : un alignement sur les durées de conservation des traces biologiques du fichier national automatisé des empreintes génétiques (ci-après " FNAEG "). Les empreintes génétiques peuvent, dans certaines hypothèses, être conservées pour une durée de quarante ans ; l’allongement du délai de prescription de l’action publique en matière criminelle qui est de vingt ans. Une durée de quarante ans permettrait de tenir compte des actes d’enquête et de l’instruction préparatoire qui interrompent le délai de prescription. Elle tient compte également des points de départ différés pour certaines infractions (notamment, les infractions sexuelles sur mineur). S’agissant du champ infractionnel précis, il peut s’agir de la résolution des affaires anciennes non élucidées (dites " cold cases ") mais également de toute catégorie d’infraction criminelle. Le ministère précise que cela permettra, par exemple, l'identification des cadavres plusieurs années après leur découverte ou l'identification ultérieure d'auteurs d'infractions en cas de récidive. Dans sa décision du 16 septembre 2010, le Conseil constitutionnel a rappelé que la durée de conservation des données doit être proportionnée à la nature ou à la gravité des infractions concernées. (Cons. const., 16 septembre 2010, n° 2010-25 QPC). En l’espèce, la CNIL estime que les durées ainsi fixées sont proportionnées. Elle invite toutefois le ministère à prévoir, pour l’intégralité des empreintes concernées, que l’allongement de la durée de conservation ne peut être possible que sur décision d’un magistrat. Sous cette réserve, la CNIL estime que cette durée de conservation allongée est justifiée par les besoins de la procédure pénale. E. Sur les mises en relation, interconnexions et rapprochements avec d’autres traitements Le projet de décret met fin à l’interdiction de principe des mises en relation actuellement prévue par l’article 9 du décret n° 87-249 en vigueur, dans la perspective d’une interconnexion des fichiers de police au niveau national et international et, en particulier, dans le cadre de la mise en œuvre du système d’information Schengen (ci-après " SIS ") et du système ECRIS-TCN. Depuis 2015 des exceptions étaient expressément prévues par le décret en vigueur : concernant le traitement Cassiopée, mentionné à l’article R. 15-33-66-4 du CPP. Cette interconnexion est maintenue afin de permettre de mettre à jour le FAED lorsque l’autorité judiciaire demande l’effacement des données ; dans le cadre de la coopération internationale en matière de police judiciaire. Il est prévu que le FAED fasse l’objet d’interconnexions, de rapprochements ou de mises en relation avec les autres traitements suivants : le traitement mentionné à l’article R. 40-23 du CPP (le traitement d’antécédents judiciaires, TAJ) ; les logiciels de rédaction des procédures de la police nationale (LRPPN) et de la gendarmerie nationale (LRPGN) ; le traitement mentionné à l’article R. 249-9 du CPP (le dossier pénal numérique, DPN) ; le système d’information Schengen (N-SIS) ; le fichier des personnes recherchées (FPR) ; le casier judiciaire national (CJN) mentionné à l’article 768 du CPP ; le système d’entrée et de sortie (EES). La CNIL rappelle que lorsque des traitements mis en relation sont encadrés par des actes réglementaires, la mise en relation doit respecter les dispositions régissant les traitements concernés. En particulier, l’opération de mise en relation doit être conforme aux finalités, aux catégories de données et aux accédants ou destinataires fixés par les actes réglementaires concernés. Pour être licite, le transfert de données d’une base vers une autre doit ainsi s’inscrire ou concourir aux finalités poursuivies par la base d’origine ou à celles associées aux transmissions à des destinataires, les données transférées doivent être autorisées à figurer dans la base de destination et au moins une personne habilitée à alimenter la base de destination doit constituer un accédant ou un destinataire de la base d’origine. La liste des mises en relation effectuées n’a pas à être autorisée par les actes réglementaires des traitements mais doit figurer dans l’analyse d’impact relative à la protection des données (AIPD) (CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié). En l’espèce, et après vérification au regard des actes réglementaires des fichiers concernés, la CNIL estime possibles et légitimes les mises en relation indiquées. Eu égard à la sensibilité du fichier, au volume de données traitées et aux durées de conservation particulièrement longues, la CNIL souligne la nécessité de satisfaire à l’exigence de transparence vis-à-vis du public. Dès lors, elle recommande vivement au ministère de lister sur son site web l’ensemble des mises en relation réalisées avec d’autres bases de données. F. Sur l’exactitude des données traitées 1. Concernant la mise à jour des données du FAED Il ressort de l’AIPD que les données à caractère personnel contenues dans le FAED font l’objet : d’un effacement automatique quotidien à l’issue des délais réglementaires de conservation prévus à l’article 2 du projet de décret (article R. 40-38-4 du CPP projeté), sauf pour les empreintes d’origine inconnue, pour lesquelles le système propose une liste d’affaires qui arrivent à expiration et que l’opérateur doit valider manuellement ; d’un effacement manuel anticipé, selon les cas prévus à l’article R. 40-38-5 du CPP projeté : en cas d’identification de la personne à laquelle elles se rapportent (auteur d’infraction, personne grièvement blessée ou décédée, etc.) ; à réception de l’avis de la découverte de la personne disparue, sur instruction du procureur de la République ou du juge d’instruction ou, à leur demande, de l’officier de police judiciaire si la prescription de l’action publique est acquise ; dès réception d’une information émanant du procureur général ou du procureur de la République (en cas de décision de relaxe ou d’acquittement devenue définitive, de classement sans suite ou de non-lieu sur ordonnance du juge d’instruction) sauf si l’autorité judiciaire en prescrit le maintien ; ou à la demande du magistrat chargé du contrôle du fichier ou de l’intéressé, lorsque l'autorité judiciaire estime que la conservation n’apparaît plus nécessaire. La CNIL prend acte de ce qu’un système automatisé permettant l’effacement des données à caractère personnel, à l’expiration des durées prévues par le projet de décret, est mis en œuvre pour les fiches de signalisation. Ce dispositif permet de garantir le respect de cette durée de conservation. Elle considère cependant que les empreintes d’origine inconnue, lesquelles sont soumises à des durées de conservation analogues, devraient être supprimées via ce même procédé. Elle prend acte de l’engagement du ministère de mettre en œuvre une fonctionnalité d’effacement automatisé des empreintes d’origine inconnue. 2. Concernant la mise à jour des données via les mises en relation du FAED avec d’autres traitements Concernant l’interconnexion avec le N-SIS, le ministère a précisé qu’à ce jour, seul un processus d’alimentation manuelle en fiches de signalisation est mis en œuvre. Le ministère indique que ce processus sera automatisé à l’avenir. De même, la transmission d’informations dans le TAJ sera réalisée ultérieurement au titre d’une interconnexion afin d’automatiser les fusions de dossiers dans le TAJ. Compte tenu de la sensibilité des données biométriques dans le cadre d’un fichier de police judiciaire facilitant l’identification d’auteurs d’infractions, d’éventuelles erreurs sont susceptibles d’avoir de lourdes conséquences pour les personnes concernées. Au regard du principe d’exactitude des données, toute mise à jour des données à caractère personnel contenues dans le FAED doit être répercutée dans les autres traitements auxquelles elles ont été transmises. G. Sur les mesures de sécurité 1. Sur l’homologation du système d’information et sa mise à jour Le FAED repose aujourd’hui sur un système d’information ne répondant pas aux exigences actuelles d’une homologation de sécurité. La mise à jour du système n’est prévue qu’en 2025, et l’homologation de sécurité n’aura lieu qu’au terme de celle-ci. Le ministère indique que le FAED ne disposera, jusqu’à cette mise à jour, que d’une autorisation provisoire d’emploi. Tout système d’information de l’État doit en principe faire l’objet d’une décision d’homologation avant sa mise en exploitation, et doit par la suite être maintenu en condition de sécurité, conformément aux objectifs 5 et 6 de la politique de sécurité des systèmes d’information de l’État (PSSIE). De plus, le décret n° 2022-513 du 8 avril 2022 relatif à la sécurité numérique du système d’information et de communication de l’État et de ses établissements publics précise que les systèmes antérieurs à son entrée en vigueur doivent faire l’objet d’une homologation de sécurité dans un délai de deux ans. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) précise enfin qu’une autorisation provisoire d’emploi (APE) peut être prononcée pour une durée courte (trois à six mois), si elle est assortie de conditions strictes et d’un plan d’action précis destiné à supprimer les risques trop élevés pour permettre une homologation. Compte tenu de la sensibilité des données concernées et des risques associés à l’utilisation de briques technologiques obsolètes, la CNIL estime que le FAED devrait disposer d’une homologation de sécurité préalablement à toute interconnexion avec d’autres traitements nationaux ou internationaux. Les systèmes avec lesquels le FAED sera mis en relation, ainsi que les interconnexions elles-mêmes, devraient également faire l’objet d’une homologation de sécurité. 2. Sur l’authentification des personnes accédant au traitement L’accès au traitement FAED par des agents sur le terrain, ainsi que tout accès aux fiches de signalisation qu’il contient, reposent désormais sur un système d’authentification forte nécessitant l’utilisation d’une carte agent et d’un code PIN. Seul l’accès à l’application Métamorpho, qui n’est possible que depuis certains sites spécifiques et pour moins de 300 agents, repose encore sur une brique technologique ne permettant pas la mise en place de l’authentification forte. La CNIL accueille favorablement la mise en œuvre d’une authentification forte pour les agents sur le terrain, et prend acte de ce que la mise à jour projetée du système d’information permettra d’étendre l’authentification forte à l’ensemble des agents accédant au traitement. 3. Sur les mesures de journalisation Les composants du traitement FAED font l’objet d’un système de journalisation permettant la collecte de plusieurs types de données (journaux techniques, traces techniques et traces métiers). Ces données de traçabilité sont conservées pour une durée de trois ans, afin d’identifier d’éventuels comportements irréguliers dans les opérations réalisées par les personnes accédants au traitement. Cette durée de conservation peut se justifier : d’une part en raison de la gravité et de la vraisemblance du risque de détournement des finalités du traitement principal ; d’autre part en raison de l’incompatibilité du système actuel avec les systèmes de gestion des traces permettant la détection automatique des consultations non autorisées. Par ailleurs, il ressort de l’AIPD fournie par le ministère que les journaux des opérations réalisées sur le système FAED permettent " d’en établir le motif, la date et l’heure et, dans la mesure du possible d’identifier les personnes qui consultent ou communiquent les données et les destinataires de celles-ci ". Il est également indiqué que les différents composants du système FAED gèrent leurs données de traçabilité chacun de manière indépendante, et que " le suivi d’un dossier nécessite donc d’avoir accès à tous les fichiers de tous les serveurs ". Le ministère précise que l’ensemble des accès aux traitement FAED se fait désormais par le biais de comptes nominatifs. Cependant, afin de faciliter la détection, notamment automatique, d’incidents de sécurité, la CNIL recommande que les données de traçabilité de l’ensemble du traitement soient regroupées dans un système dédié et sécurisé. 4. Sur les mesures de chiffrement et la sauvegarde des données Le ministère indique que les flux de données nécessaires au fonctionnement du traitement bénéficient de mesures de chiffrement, notamment concernant les échanges entre les terminaux déployés sur le terrain et l’infrastructure centrale. Les données de sauvegarde du traitement ne sont en revanche pas chiffrées. La CNIL accueille favorablement les mesures de chiffrement des flux, et recommande de prévoir des mesures complémentaires de chiffrement pour les données au repos et leurs sauvegardes, à l'aide d'algorithmes et de procédures de gestion des clés réputés sûrs, conformément à ses recommandations et à celles de l’ANSSI en la matière. De plus, elle rappelle que le processus de restauration des sauvegardes doit être régulièrement testé pour s'assurer de l'intégrité de celles-ci. La Présidente M.-L. Denis


Délibération n° 2024-041 du 25 janvier 2024 portant adoption de deux recommandations relatives à l’application du règlement général sur la protection des données aux traitements d’ouverture et de réutilisation de données à caractère personnel publiées sur internet

La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b) ; Après avoir entendu le rapport M. Anne Debet, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement Formule les observations suivantes : Les pratiques d’ouverture et de réutilisation de données publiées sur internet sont en plein développement. En effet, le mouvement réglementaire en faveur du partage des données publiques s’est accéléré ces dernières années. Parallèlement, ces données, et plus largement toutes celles qui sont accessibles en ligne (ex. : celles figurant sur des réseaux sociaux), font l’objet de multiples exploitations, pour des finalités diverses et dans des conditions variées, par des organismes aussi bien publics que privés (ex. : lutte contre la fraude, démarchage commercial, recherche scientifique, etc.). Les saisines pour avis de la CNIL sur des projets de texte législatif ou réglementaire, les demandes de conseils de professionnels, ou encore les plaintes qu’elle reçoit au sujet de traitements de diffusion ou de réutilisation de données témoignent largement de ces évolutions. Sont soulignés, plus particulièrement, toutes les opportunités comme les risques qu’elles peuvent présenter pour les droits, libertés et intérêts des personnes concernées. Dans ce contexte, la CNIL adopte deux recommandations relatives à l’application du RGPD à ces catégories de traitements : l’une s’adresse spécifiquement aux acteurs (administrations, entreprises, particuliers, etc.) qui mettent à disposition du public des données à caractère personnel en open data, c’est-à-dire dans un format ouvert, aisément réutilisable et exploitable par machine ; l’autre, aux acteurs qui souhaitent réutiliser tous types de données à caractère personnel publiées sur internet (données en open data et autres données accessibles en ligne) pour divers objectifs. Ces recommandations prennent la forme d’une série de fiches pratiques qui ont été soumises à consultation publique. La première recommandation consiste en un jeu de fiches "principes" devant aider les diffuseurs de données ouvertes à : identifier les responsabilités des différents organismes susceptibles d’être impliqués dans le traitement ; déterminer la base légale du traitement ; connaître la portée de leurs obligations en matière d’information des personnes concernées ; tenir compte des droits des personnes ; garantir la pertinence et la proportionnalité des données traitées, leur exactitude et leur sécurité. La seconde recommandation, destinée aux réutilisateurs de données à caractère personnel, comprend, outre un jeu de fiches "principes" conçu sur le modèle de celui précédemment évoqué, des fiches "cas d’usage" déclinant les conditions de mise en œuvre de ces principes à certaines réutilisations de données : la réutilisation de données aux fins de diffusion d’annuaires de professionnels ; la réutilisation de données aux fins de constitution et d’enrichissement de bases destinées à la prospection commerciale ; la réutilisation de données à des fins de recherche scientifique (hors santé) ; l’aspiration de données par des autorités publiques dans le cadre de leurs missions. Décide : Article 1er : Les recommandations figurant en annexe sont adoptées. Article 2 : La présente délibération sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis Annexe Vous pouvez consulter l'intégralité du texte avec ses images à l'adresse suivante : https://www.cnil.fr/fr/recommandations-diffuseurs-donnees-ouvertes https://www.cnil.fr/fr/recommandations-reutilisateurs-donnees-internet


Délibération n° 2023-122 du 23 novembre 2023 portant avis sur un projet de décret modifiant le décret n° 2017-1224 du 3 août 2017 portant création d'un traitement automatisé de données à caractère personnel dénommé « Automatisation de la consultation centralisée de renseignements et de données » (ACCReD) et le code de la sécurité intérieure

Date de l'avis : 23 novembre 2023 N° de la délibération : n° 2023-122 N° de demande d'avis : 23011634 Texte concerné : projet de décret modifiant le décret n° 2017-1224 du 3 août 2017 portant création d'un traitement automatisé de données à caractère personnel dénommé Automatisation de la consultation de renseignements et de données (ACCReD) et le code de la sécurité intérieure Thématiques : enquêtes administratives Fondement de la saisine : article 31-II de la loi du 6 janvier 1978 et article L. 211-11-1 du code de la sécurité intérieure L'essentiel : 1. La CNIL considère justifiées les mises en relation entre le traitement Automatisation de la consultation de renseignements et de données (ACCReD) qui permet de faciliter les enquêtes administratives et les traitements de données à caractère personnel projetés (le casier judiciaire national et deux fichiers d'Interpol). 2. Elle relève que des garanties ont été mises en œuvre dans le cadre de la consultation des traitements projetés, notamment la mise en place de vérifications complémentaires en cas de réponse positive ( hit ). La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le décret n° 2017-1224 du 3 août 2017 portant création d'un traitement automatisé de données à caractère personnel dénommé Automatisation de la consultation de renseignements et de données (ACCReD) et le code de la sécurité intérieure ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31 et ses titres III et IV ; Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la deliberation suivante : I. - La saisine A. - Le contexte de la saisine Dans ses délibérations n° 2017-152 du 18 mai 2017 et n° 2019-096 du 11 juillet 2019, la CNIL s'est prononcée sur le traitement de données à caractère personnel dénommé Automatisation de la consultation centralisée de renseignements et de données (ACCReD). La CNIL a rappelé que la réalisation d'enquêtes administratives doit s'accompagner de garanties fortes pour s'assurer que les enquêtes ainsi réalisées, qui conduisent au traitement de données particulièrement sensibles sur un nombre de plus en plus important de personnes, ne portent pas d'atteinte excessive au droit au respect de la vie privée des intéressés. Le traitement ACCReD a pour finalité de faciliter la réalisation d'enquêtes administratives en application : - des articles L. 114-1 et L. 114-2 du code de la sécurité intérieure (CSI) portant sur l'accès à certains emplois, par exemple dans le domaine du transport public de personnes ou de marchandises dangereuses ; - de l'article L. 211-11-1 du CSI portant sur l'accès à certains lieux considérés comme sensibles dans le cadre de grands évènements ; - de l'article 17-1 de la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité et d'exploiter les informations recueillies dans ce cadre, pour l'instruction des demandes d'acquisition de la nationalité française et de délivrance et de renouvellement des titres relatifs à l'entrée et au séjour des étrangers et des demandes de visa ou d'autorisation de voyage. Le service national des enquêtes administratives de sécurité (SNEAS) constitue le service interministériel chargé de la réalisation des enquêtes administratives prévues aux articles L. 114-1, L. 114-2 et L. 211-11-1 du CSI et à l'article 17-1 de la loi du 21 janvier 1995. Le commandement spécialisé pour la sécurité nucléaire (CoSSeN) est chargé de la réalisation des enquêtes relatives au secteur du nucléaire relevant de l'article L. 114-1 du CSI. Dans la mesure où le traitement ACCReD a pour objet de faciliter la réalisation d'enquêtes administratives en permettant la consultation automatique de traitements de données à caractère personnel relevant du titre III de la loi du 6 janvier 1978 modifiée transposant la directive (UE) 2016/680 du 27 avril 2016, ainsi que l'interrogation de traitements intéressant la sûreté de l'Etat, ce traitement relève du régime juridique des titres III et IV de la loi précitée. B. - L'objet de la saisine La CNIL a été saisie par le ministère de l'intérieur pour avis sur un projet de décret modifiant : - le décret n° 2017-1224 du 3 août 2017 portant création du traitement ACCReD ; - l'article R. 211-32 du CSI pris en application de l'article L. 211-11-1 du CSI et relatif aux enquêtes administratives préalables à l'accès de certaines personnes aux établissements et installations accueillant des grands évènements exposés à un risque d'actes de terrorisme ou des grands rassemblements de personnes ayant pour objet d'assister à la retransmission de ces évènements. Ces modifications portent essentiellement sur l'ajout de traitements de données à caractère personnel pouvant faire l'objet d'une consultation, ainsi que l'ajout de destinataires. II. - L'avis de la CNIL A. - Sur la modification du décret du 3 août 2017 portant création du traitement ACCReD 1. Sur les mises en relation projetées Le projet de décret modifie l'article 7 du décret du 3 août 2017 afin de permettre au traitement ACCReD de consulter de manière automatisée de nouveaux traitements de données à caractère personnel : - le casier judiciaire national ; - deux fichiers d'Interpol : le fichier des documents de voyage volés et perdus (SLTD) et le système d'information criminelle d'Interpol (ICIS). Le ministère a indiqué que la sécurisation des jeux Olympiques et Paralympiques de 2024 impliquera la réalisation d'enquêtes administratives. Le traitement ACCReD interrogera le casier judiciaire national, puis le retour de l'interrogation se fera par un code restant à définir pour les situations suivantes : - B2 néant ; - B2 avec mention ; - identité ne figurant pas au Répertoire national d'identification des personnes physiques ; - connu au B2. En cas de retour positif du casier judiciaire national ( connu au B2 ), le casier judicaire national transmettra le B2 au SNEAS ou au CoSSeN par courrier postal. La date et la nature de la condamnation seront manuellement intégrées dans le traitement ACCReD. Dans la mesure où la mise en relation entre le casier judiciaire national et le traitement ACCReD ne donne pas lieu à la mise en œuvre de moyens automatisés, la CNIL estime que cette mise en relation constitue un rapprochement. Le ministère de l'intérieur a fait part de son souhait de supprimer à l'avenir la procédure d'envoi du B2 par courrier postal et la remplacer par une procédure dématérialisée via une interface de programmation applicative (API). Le B2 continuera à ne pas être automatiquement intégré dans le traitement ACCReD. A cet égard, la CNIL rappelle que l'article 777-3 du code de procédure pénale interdit toute interconnexion entre le casier judiciaire national et tout autre traitement de données à caractère personnel détenu par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice. Concernant la consultation des deux fichiers d'Interpol (SLTD et ICIS), l'article 10 du règlement d'Interpol sur le traitement des données prévoit qu'ils peuvent être consultés dans le cadre de contrôles de sécurité. Au regard des finalités du traitement ACCReD, la CNIL considère que la consultation de ces deux fichiers d'Interpol est justifiée. En raison des enjeux importants résultant, pour les personnes concernées, de la consultation de ces traitements, la CNIL rappelle que des garanties doivent être mises en œuvre pour que leur consultation automatique ne conduise pas à ce que des avis ou des décisions résultent de la seule inscription d'une personne dans un traitement de données à caractère personnel. A cet égard, elle prend acte de ce que des vérifications complémentaires seront réalisées par les services et autorités compétentes en cas de réponse positive ( hit ) et que la consultation des fichiers visés sera limitée à certains types d'enquêtes administratives (uniquement les enquêtes prévues aux articles L. 114-1, L. 114-2 et L. 211-11-1 du CSI, à l'exclusion des enquêtes prévues à l'article 17-1 de la loi du 21 janvier 1995). Par ailleurs, dans l'hypothèse où des transferts de données à caractère personnel hors de l'Union européenne seraient effectués, la CNIL rappelle la nécessité de se conformer aux articles 112 à 114 du titre III de la loi du 6 janvier 1978 modifiée et aux articles 123 et 124 du titre IV de la même loi. 2. Sur les destinataires Le projet de décret prévoit que le préfet de police de Paris puisse recevoir communication du sens de l'avis ou de la décision prise concernant les autorisations d'accès à un établissement ou une installation, mentionnés à l'article L. 211-11-1 du CSI lorsque celui-ci est situé dans les départements de la petite couronne et sur les emprises aéroportuaires parisiennes. Dans la mesure où en vertu de l'article L. 122-2 du CSI, le préfet de police est compétent en matière d'ordre public sur les territoires précités, la CNIL considère comme justifié l'ajout de ce destinataire dans le traitement ACCReD. 3. Sur les mesures de sécurité La CNIL prend acte : - de la mise en œuvre d'une gestion des droits d'accès par profil dans la limite du besoin d'en connaître, pour chacun des services concernés, SNEAS et CoSSeN ; - de l'usage d'une authentification forte pour les accès des agents du SNEAS ainsi que pour les agents du CoSSeN. En situation dégradée, les agents du SNEAS seront en capacité d'utiliser une solution d'authentification à double facteur alors que les agents du CoSSeN pourront accéder à ACCReD à l'aide d'un couple identifiant et mot de passe ; - de la mise en œuvre de solutions de sauvegarde. Elle rappelle toutefois la nécessité de réaliser périodiquement des tests de restauration de ces dernières afin de s'assurer de leur bon fonctionnement ; - de la mise en œuvre de flux chiffrés pour l'accès des utilisateurs au traitement ACCReD ; - de la mise en œuvre de communications authentifiées et chiffrées entre ACCReD et les traitements interrogés, permettant ainsi d'assurer le respect de la sécurité et la confidentialité desdites communications. Par ailleurs, l'article 6 du décret du 3 août 2017 relatif au traitement ACCReD prévoit que les données de journalisation sont conservées pendant six ans. Conformément à la délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation, la CNIL rappelle la nécessité de mettre en œuvre une durée de conservation des journaux n'excédant pas trois ans. La CNIL rappelle également l'importance de la mise en œuvre d'outils de détection automatisés permettant une réaction rapide en cas d'actions malveillantes qui seraient réalisées sur le traitement. La CNIL rappelle enfin la nécessité de respecter un niveau de sécurité suffisant dans le cadre de la communication du sens de l'avis ou de la décision auprès des destinataires de tout ou partie des données d'ACCReD, notamment du préfet de police de Paris. B. - Sur la modification de l'article R. 211-32 du CSI portant sur les grands évènements Le projet de décret prévoit la consultation de cinq nouveaux traitements dans le cadre des enquêtes administratives relevant de l'article R. 211-32 du CSI : - le casier judiciaire ; - les fichiers SLTD et ICIS d'Interpol ; - les traitements SIRCID et TREX mis en œuvre par le ministère des armées. Dans la mesure où la consultation des traitements SIRCID et TREX (anciennement dénommé fichier de la DGSE) est déjà prévue par l'article 7 du décret du 3 août 2017 relatif au traitement ACCReD, l'ajout de la consultation de ces deux traitements à l'article R. 211-32 du CSI n'appelle pas d'observations de la part de la CNIL. Concernant l'ajout de la consultation du casier judiciaire et des fichiers SLTD et ICIS d'Interpol, la CNIL renvoie à ses observations précédentes dans le cadre de la modification du traitement ACCReD. Par ailleurs, le projet de décret précise à l'article R. 211-32 du CSI les compétences du préfet de police de Paris dans les départements de la petite couronne et sur les emprises aéroportuaires parisiennes en matière d'accès aux établissements et installations mentionnés à l'article L. 211-11-1 du CSI. La CNIL renvoie à ses observations précédentes dans le cadre de la modification du traitement ACCReD. La présidente, M.-L. Denis


Délibération n° 2023-084 du 7 septembre 2023 portant avis sur un projet de décret relatif à l'organisation et au fonctionnement de la plateforme nationale de lutte contre la manipulation des compétitions

Date de l'avis : 7 septembre 2023 N° de la délibération : 2023-084 N° de demande d'avis : 23010145 Organisme(s) à l'origine de la saisine : ministère des sports et des jeux Olympiques et Paralympiques Texte concerné : projet de décret relatif à l'organisation et au fonctionnement de la plateforme nationale de lutte contre la manipulation des compétitions Thématiques : Plateforme nationale de lutte contre la manipulation des compétitions sportives, sport, paris sportifs, Autorité nationale des jeux Fondement de la saisine : article L. 335-2 du code du sport L'essentiel : La teneur du projet de décret n'appelle pas d'observation de fond de la CNIL. Elle relève néanmoins que les éléments concernant les modalités, notamment techniques, des échanges d'informations utiles à la lutte contre la manipulation des compétitions sportives avec les acteurs nationaux et internationaux ne sont pas décrits dans le projet de décret. Les traitements de données à caractère personnel mis en œuvre au sein de la plateforme semblant relever du champ de l'article 31 de la loi informatique et libertés , la CNIL prend acte de l'engagement du ministère d'autoriser le traitement par la voie d'un arrêté. La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi informatique et libertés ) ; Vu le code du sport, notamment son article L. 335-2 ; Sur la proposition de Mme Aminata NIAKATÉ, commissaire, et après avoir entendu les observations de M. Damien MILIC commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. - Le contexte La Convention du Conseil de l'Europe sur la manipulation de compétitions sportives du 18 septembre 2014 (dite Convention de Macolin ) a pour objectif de combattre la manipulation des compétitions sportives telle que définie à l'article 3 de cette convention, afin de protéger l'intégrité du sport et l'éthique sportive. Dans ce but, elle vise à : - prévenir, détecter et sanctionner la manipulation nationale ou transnationale de compétitions sportives nationales ou internationales ; - promouvoir la coopération nationale et internationale, entre les autorités publiques concernées et avec les organisations impliquées dans le sport et dans les paris sportifs. Cette convention impose aux Etats parties d'identifier une plateforme nationale chargée de traiter de la manipulation de compétitions sportives. Elle les oblige également à adopter l'encadrement juridique permettant de s'assurer que toutes les mesures prises en la matière respectent la réglementation applicable en matière de protection des données à caractère personnel. Signée et ratifiée par la France, la Convention de Macolin entrera en vigueur sur le territoire national le 1er octobre 2023. Elle réunit d'autres membres du Conseil de l'Europe (38 signataires à ce jour) et trois pays non-membres (Australie, Fédération de Russie et Maroc). L'article L. 335-1 du code du sport, introduit par la loi n° 2022-296 du 2 mars 2022 visant à démocratiser le sport en France, confère une assise légale à la plateforme nationale de lutte contre la manipulation des compétitions (ci-après la plateforme ). Jusqu'à présent, celle-ci était encadrée par un accord datant du 28 janvier 2016 et un règlement intérieur. La plateforme veille notamment à : - servir de centre de recueil, de collecte et de partage des informations et des documents utiles à la lutte contre la manipulation des compétitions sportives en procédant, le cas échéant, à leur transmission aux autorités compétentes et aux organisations sportives ; - favoriser la coopération avec les acteurs nationaux et internationaux concernés, notamment à travers l'échange d'informations avec ces derniers. Le projet de décret prévoit que la plateforme comportera deux formations : - l'une, de prévention et de sensibilisation au risque de manipulation des compétitions sportives (ci-après la formation de prévention ) ; - l'autre, de surveillance du marché français des paris sportifs (ci-après la formation de surveillance ). En application de l'article L. 335-2 du code du sport, les membres de la plateforme peuvent se communiquer entre eux et échanger avec les acteurs nationaux et internationaux intéressés par la lutte contre la manipulation des compétitions sportives les informations et documents utiles, y compris ceux couverts par le secret professionnel et sous réserve de respecter les règles applicables en matière de procédure pénale. Les conditions et les modalités de ces échanges et communications doivent être prévues par un décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés (ci-après la CNIL ). B. - L'objet de la saisine La CNIL a été saisie, le 9 novembre 2022, par le ministère des sports et des jeux Olympiques et Paralympiques d'un projet de décret relatif à l'organisation et au fonctionnement de la plateforme nationale de lutte contre la manipulation des compétitions. Deux saisines rectificatives lui ont été transmises respectivement le 8 août 2023 et le 23 août 2023. Le projet de décret précise la composition et le fonctionnement de la plateforme et organise, par ailleurs, les échanges d'informations entre les membres de la plateforme ainsi qu'avec des acteurs nationaux et internationaux. Ce projet ne constitue pas un acte de création des traitements de données à caractère personnel mis en œuvre au sein de la plateforme. Par conséquent, l'avis de la CNIL n'est requis, à ce stade, qu'au titre de l'article L. 335-2 du code du sport. La CNIL constate qu'elle ne dispose que de peu d'éléments, dans la version actuelle du projet de décret, pour se prononcer sur les conditions et modalités des échanges d'informations et de données à caractère personnel utiles à la lutte contre la manipulation des compétitions sportives. II. - L'avis de la CNIL A. - Sur la responsabilité des acteurs mettant en œuvre les traitements de données à caractère personnel au sein de la plateforme aux fins d'exécuter les missions qui lui sont confiées Selon l'article 4-7 du RGPD, le responsable des traitements de données à caractère personnel est la personne physique ou morale, l'autorité publique, le service ou un autre organisme, qui seul ou conjointement avec d'autres, détermine les finalités et les moyens du traitement. Il peut être désigné, à certaines conditions, par le droit d'un Etat membre. Par ailleurs, les lignes directrices n° 07/2020 du Comité européen de la protection des données (CEPD), adoptées le 7 juillet 2021, concernant les notions de responsable du traitement et de sous-traitant dans le RGPD, précisent que la loi peut indirectement désigner le responsable de traitement. Il en est par exemple ainsi lorsqu'une entité légalement chargée d'une mission de service public ne peut exécuter celle-ci sans traiter certaines données à caractère personnel, créer une base de données ou un registre. La CNIL s'interroge sur les responsabilités des différents acteurs mettant en œuvre des traitements de données à caractère personnel au sein de la plateforme, aux fins d'exécuter ses missions. En effet, la répartition des compétences exercées tant par le ministère chargé des sports que par l'Autorité nationale des jeux (ANJ) au sein de la plateforme, telle que décrite aux articles L. 335-1-II et III du code du sport et aux projets d'article R. 335-1 et suivants de ce même code, ne permet pas d'identifier le rôle respectif de ces autorités dans la détermination des finalités et des moyens du traitement et, en conséquence, de leur attribuer les qualifications définies par le RGPD et relatives aux traitements de données à caractère personnel mis en œuvre. Par conséquent, la CNIL recommande au ministère de clarifier le régime de responsabilité applicable aux traitements mis en œuvre au sein de la plateforme aux fins d'exécuter ses missions. Comme l'autorise l'article 4-7 du RGPD, ce régime pourra être défini par l'acte réglementaire créant le traitement, dont la CNIL sera saisie. B. - Sur le traitement des données relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes La CNIL prend acte de l'engagement du ministère de ce que des données relatives aux condamnations pénales et aux infractions ou aux mesures de sûreté connexes, au sens du l'article 10 du RGPD ne seront pas traitées. Elle rappelle que le traitement de cette catégorie de données à caractère personnel est strictement encadré par l'article 46 de la loi informatique et libertés . C. - Sur les transferts de données hors de l'Union européenne La formation de surveillance de la plateforme peut transmettre à des acteurs internationaux tout ou partie des informations ou documents communiqués ou mis à sa disposition. Le projet d'article R. 335-7-III du code du sport indique qu'un accord permettant de garantir le secret de ces informations et documents doit être préalablement conclu entre les parties concernées. La transmission des informations et documents à des acteurs internationaux, dont certains situés hors de l'Union européenne et non soumis au RGPD s'effectue via la plateforme Antidoping Denmark et, pour le traitement d'un cas de manipulation, via Europol et Interpol. Les flux de données provenant d'un exportateur soumis au RGPD vers un importateur situé hors de l'Union européenne et non soumis au RGPD constituent des transferts de données à caractère personnel au sens du RGPD. La nécessité de réaliser ces transferts n'est pas remise en cause par la CNIL. La CNIL rappelle toutefois que les exportateurs devront s'assurer que leurs transferts de données, au sens du RGPD, seront réalisés conformément au chapitre V du RGPD. A cette fin, elle prend acte de ce que les accords visés au projet d'article R. 335-7-III du code du sport intégreront des dispositions sur les modalités d'encadrement des transferts réalisés. D. - Sur les conditions et les modalités techniques d'échange d'informations L'article L. 335-2 du code du sport indique que le décret en Conseil d'Etat prévoit les conditions et modalités d'échanges des informations et des documents utiles à la lutte contre la manipulation de compétitions sportives : d'une part, avec les membres de la plateforme et, d'autre part, avec des acteurs nationaux et internationaux. S'agissant des échanges d'informations avec les membres de la plateforme, le projet d'article R. 335-7-I et II du code du sport prévoient les conditions selon lesquelles l'ANJ effectue cette transmission. Le projet d'article R. 335-8 du code du sport prévoit également les modalités d'échanges en précisant seulement que ceux-ci sont réalisés par le biais d'un système informatique sécurisé. La CNIL relève à cet égard que les principaux choix techniques ne semblent pas avoir été arrêtés à ce stade par le ministère. La circulaire n° 6404/SG du 31 mai 2023 portant actualisation de la doctrine d'utilisation de l'informatique en nuage par l'Etat (ci-après, la circulaire cloud au centre ) promeut le cloud comme mode d'hébergement et de production par défaut des services numériques de l'Etat. Interrogé sur l'application de celle-ci, le ministère a fait savoir qu'aucune donnée sensible n'était traitée par la plateforme. Or, le champ d'application de la circulaire cloud au centre est indépendant du caractère sensible ou non des données. La CNIL invite donc le ministère à réexaminer la question de l'inscription de ce système informatique dans la circulaire cloud au centre . Au surplus, et si le système informatique sécurisé, mentionné au projet d'article R. 335-8, reposait sur une offre de cloud commercial, le premier alinéa de la règle R9 de la circulaire cloud au centre s'appliquerait (indépendamment du caractère sensible des données). La CNIL attire donc l'attention du ministère sur ces dispositions, qui rappellent la nécessité de se conformer au RGPD dès lors que des données à caractère personnel sont traitées. La CNIL recommande au ministère le recours à une solution disposant de la qualification SecNumCloud. Cette qualification fournit des garanties fortes en matière de protection des données vis-à-vis des législations non-européennes à portée extraterritoriale. S'agissant du partage d'informations avec les acteurs nationaux ou internationaux, la CNIL estime que le projet de décret n'en précise pas les modalités, notamment techniques, contrairement à ce que prévoit l'article L. 335-2 du code du sport. E. - Sur la mise en conformité du traitement de données à caractère personnel de la plateforme Si le projet de décret ne constitue pas un acte de création de traitement, la CNIL estime que le traitement de données à caractère personnel mis en œuvre par la plateforme semble relever du champ de l'article 31 de la loi informatique et libertés . La CNIL prend acte de l'engagement du ministère d'autoriser le traitement par la voie d'un arrêté, dont elle sera saisie conformément aux exigences de l'article 31 de la loi informatique et libertés . Par ailleurs, la plateforme constitue un outil de centralisation des données en vue de les transmettre à ses membres et de les communiquer également à des acteurs nationaux et internationaux en lien avec la lutte contre la manipulation des compétitions sportives. Dès lors, les traitements de données à caractère personnel réalisés au sein de cette instance sont mis en relation avec de nombreux autres traitements de données à caractère personnel réalisés notamment par l'ANJ, le ministère de la justice et le ministère de l'intérieur et des Outre-mer. La CNIL rappelle, à cet égard, que les actes encadrant les traitements qui alimentent ou sont destinataires des données issues de la plateforme devront être mis à jour. Les responsables de ces traitements devront s'assurer de leur conformité à l'égard de la réglementation en vigueur avant la mise en œuvre des traitements modifiés. Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL. La présidente, M.-L. Denis


Délibération n° 2023-111 du 19 octobre 2023 portant avis sur un projet d'arrêté modifiant l'arrêté du 20 mai 2009 portant création d'un traitement automatisé dénommé « Application de gestion centrale »

Date de l'avis : 19 octobre 2023 N° de la délibération : n° 2023-111 N° de demande d'avis : 23006106 Texte concerné : projet d'arrêté modifiant l'arrêté du 20 mai 2009 portant création d'un traitement automatisé dénommé Application de gestion centrale Thématiques : verbalisation électronique, contraventions et délits forfaitaires, procédure d'amende forfaitaire, agents verbalisateurs, terminaux mobiles, procès-verbal électronique Fondement de la saisine : article 31 dela loi n° 78-17 du 6 janvier 1978 modifiée L'essentiel : Le traitement permet la verbalisation électronique des infractions forfaitaires. L'application de gestion centrale (AGC) s'articule avec le système de contrôle automatisé (SCA) qui assure, en aval, la procédure pénale liée aux infractions constatées. La CNIL considère que les évolutions envisagées sont légitimes, et les données collectées nécessaires à la poursuite des finalités du traitement. Elle rappelle qu'une attention particulière devra être portée aux données d'identité des auteurs d'infractions, avec une application rigoureuse du principe de nécessité. Les durées de conservations des données sont proportionnées, s'agissant notamment de l'affichage des données d'infractions via l'AGC, pour une durée de six mois. Concernant la finalité de suivi d'activité des agents et services verbalisateurs, la CNIL estime que la durée de conservation retenue est insuffisamment justifiée. La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 1° et 2° du I de son article 31 ; Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement, Adopte la délibération suivante : I. - La saisine A. Le contexte de la saisine Le traitement de données à caractère personnel dénommé application de gestion centrale (ci-après AGC ) est une application web centralisée permettant la verbalisation électronique des infractions relevant de la procédure de l'amende forfaitaire : - initialement cela concernait uniquement les contraventions de 1ère à 4e classe en lien avec la sécurité routière ; - puis le périmètre s'est ouvert aux infractions en lien avec la sécurité publique, sanitaire, la protection environnementale, les contraventions de 5e classe et certains délits, lorsqu'un texte le prévoit. L'application AGC est mise en relation avec le traitement dénommé système de contrôle automatisé (ci-après SCA ). Pour chaque verbalisation, l'AGC adresse un message d'infraction contenant l'ensemble des données utiles au déroulement de la procédure pénale. Le SCA assure, en aval, le suivi de la procédure liée à l'infraction (l'émission des avis d'infraction, la matérialisation des procès-verbaux et la gestion des paiements ou des contestations). Le recours au traitement AGC vise à fiabiliser et simplifier l'activité de verbalisation électronique (réduction du risque d'erreurs de transcription) et assurer le suivi de l'activité des agents et services verbalisateurs. L'application s'inscrit dans une démarche de dématérialisation et de forfaitisation des infractions, dont les champs ont été progressivement étendus par le législateur. De ce fait, les moyens des agents et les fonctionnalités ont dû être adaptés en créant une nouvelle finalité de saisie d'infractions dans l'application elle-même, en dehors des terminaux mobiles. L'AGC doit ainsi permettre à l'ensemble des nouveaux agents légalement habilités, de verbaliser électroniquement. B. L'objet de la saisine La Commission nationale de l'informatique et des libertés (ci-après CNIL ) a été saisie conjointement par le ministère de l'intérieur et l'Agence nationale de traitement automatisé des infractions (ci-après ANTAI ) d'un projet d'arrêté modifiant les dispositions encadrant le traitement AGC. Le projet d'arrêté modifie l'arrêté du 20 mai 2009 et prévoit : - une nouvelle finalité de saisie d'infractions via l'application AGC pour les agents habilités ne disposant pas de terminaux mobiles ; - la collecte de nouvelles données relatives aux auteurs d'infractions ; - la conservation des données relatives à la saisie d'infractions et à la journalisation des traces. II. - L'avis de la CNIL A. Sur le périmètre et les finalités du traitement Le traitement AGC a pour finalités : - la gestion des habilitations des agents verbalisateurs utilisant des appareils électroniques d'enregistrement des procès-verbaux ; - la gestion des habilitations des agents utilisateurs du traitement ; - le suivi de l'activité des agents et services verbalisateurs. Le projet d'arrêté ajoute une finalité au traitement AGC de saisie d'infractions faisant l'objet d'une procédure d'amende forfaitaire par les agents verbalisateurs . En pratique, cette modification vise à prendre en compte l'extension des agents autorisés à verbaliser électroniquement par amende forfaitaire, jusqu'alors limités aux agents de la police et gendarmerie nationales et de la police municipale équipés de terminaux mobiles. De nombreux agents de divers organismes étant désormais concernés par cette procédure (ex. : sociétés de transport de voyageurs, gardes-chasse et gardes-pêche, agents de l'Office national des forêts). Dès lors, la possibilité de procéder à la verbalisation électronique via le traitement AGC en dehors des terminaux mobiles est rendue nécessaire du fait que : - les carnets à souche permettant la verbalisation forfaitaire au format papier disparaissent progressivement ; - les petites unités ne disposent pas nécessairement de terminaux mobiles ; - la verbalisation doit parfois se faire à distance depuis un centre de vidéoverbalisation ou depuis un bureau. La CNIL relève que le périmètre du traitement dépend de celui de la procédure de l'amende forfaitaire. Elle observe, à cet égard, que son champ s'est étendu ces dernières années. Compte tenu des raisons opérationnelles invoquées par le ministère ainsi que des garanties entourant le périmètre du dispositif, la CNIL estime que l'extension des finalités du traitement est légitime. B. Sur les nouvelles catégories de données traitées 1. Concernant les données relatives aux infractions Le projet d'arrêté prévoit la collecte de données relatives aux infractions sanctionnées par amende forfaitaire en vue de la génération d'un procès-verbal. Il s'agit du numéro d'identification unique de l'infraction, ainsi que de la nature, du lieu, des dates et heure de l'infraction constatée et du moyen de constatation. Le ministère précise que ces données pourront être complétées via des zones de commentaires libres : - pour les contraventions : elles sont systématiques et permettent à l'agent verbalisateur de relever des éléments matériels ayant vocation à être reportés sur le procès-verbal ; - pour les délits, les éléments caractérisant chaque infraction à relever sont préalablement déterminés via des menus déroulants. A défaut, un champ libre très encadré guide l'agent verbalisateur par son intitulé, pour ne relever que les éléments utiles au procès-verbal ; - pour justifier, auprès du chef de service, une demande de saisine de l'autorité judiciaire en vue de faire annuler une procédure en cas d'erreur. Afin d'encadrer leur usage dans l'AGC, le ministère met en œuvre : - des consignes de saisie précisant les informations attendues dans ces champs. Celles-ci transcrivent ainsi dans l'application la doctrine d'emploi actuellement diffusée au travers des manuels d'utilisation et des formations ; - un rappel spécifique relatif à l'interdiction de collecter des données sensibles. La CNIL rappelle que les champs libres devront comporter des informations dénuées de toute appréciation étrangère à la qualification des éléments de l'infraction. Un contrôle strict et régulier devra être réalisé pour s'assurer que seuls les éléments utiles à la génération d'un procès-verbal sont effectivement renseignés. Sous ces réserves, la CNIL estime que la collecte de ces données est légitime. Elle accueille favorablement les efforts du ministère pour encadrer ces champs de commentaires libres. 2. Concernant les données relatives aux contrevenants ou mis en cause Le projet d'arrêté prévoit la collecte d'informations relatives à la pièce d'identité (numéro, date, lieu de délivrance), ainsi qu'à la filiation notamment en cas d'homonymes ou lorsque le conducteur est né à l'étranger . Le ministère précise que la collecte de ces données vise à éviter des erreurs sur l'identité et anticiper toute éventuelle contestation. La CNIL considère que : - la collecte des informations relatives à la pièce d'identité est justifiée ; - la collecte de la filiation en présence d'une personne née à l'étranger apparaît justifiée. La collecte de cette information est d'ores et déjà prévue à l'article R. 65 du code de procédure pénale pour l'inscription au casier judiciaire national des personnes qui sont condamnées à une amende forfaitaire pour un délit ou une contravention de la cinquième classe. S'agissant des cas d'homonymie des autres personnes, nées en France, la CNIL estime que cette collecte doit rester subsidiaire, en cas de doute réel quant à l'identité de la personne concernée. A ce titre, lorsque l'agent relève déjà les informations relatives à la carte d'identité française, dont le numéro du titre qui permet d'éviter les risques liés à l'homonymie, la collecte de la filiation n'apparaît pas nécessaire. Par ailleurs, le projet d'arrêté prévoit la collecte des données de contact et notamment, les adresses postale et électronique . Elles permettent l'envoi des avis de contravention et courriers à la personne verbalisée. L'avis de contravention peut être mis à la disposition du contrevenant au format électronique, dans une zone sécurisée du portail de relation avec les usagers de l'ANTAI, lorsque l'usager en fait la demande. Le ministère a précisé que la fourniture d'une adresse électronique n'est pas obligatoire et que, même lorsque celle-ci est fournie, le choix n'est pas irréversible. Ainsi, en cas de non utilisation du lien envoyé à l'adresse de messagerie fournie dans le délai indiqué dans le courriel, l'envoi du document se fait automatiquement par voie postale. Aucune pénalité n'est appliquée au justiciable. Le justiciable peut, après verbalisation, retirer ou réitérer son consentement à la dématérialisation de la procédure. La CNIL estime ainsi que la collecte facultative de l'adresse électronique est conforme au principe de minimisation des données et accueille favorablement ces modalités de mise à disposition. C. Sur les durées de conservation des données 1. S'agissant des données relatives au suivi d'activité des agents Le projet d'arrêté prévoit le suivi de l'activité de verbalisation électronique des agents verbalisateurs. Pour cette finalité, le projet d'arrêté prévoit une durée de conservation des données de trois ans. Il ressort de l'analyse d'impact que ces données incluent notamment des informations liées au nombre et aux caractéristiques des infractions relevées par PVe, ainsi que des données liées aux agents verbalisateurs (numéros identifiants). La CNIL estime que la durée de trois ans pour la conservation de données relatives au suivi d'activité de verbalisation électronique, à l'exclusion des données à caractère personnel des contrevenants ou mis en cause, n'est pas suffisamment justifiée. Elle prend acte de ce que ces données ne seront pas utilisées à des fins disciplinaires. 2. S'agissant de la durée de conservation des données relatives à la saisie d'infractions et au suivi d'activité des services verbalisateurs L'AGC transmet les données relatives à la saisie des infractions par les services verbalisateurs au SCA via l'émission d'un message d'infraction . Les données sont traitées et conservées dans le SCA. Les données ne sont pas stockées dans l'AGC mais y sont enregistrées temporairement pour une durée maximale de six mois pour permettre leur affichage. Par ailleurs, il est possible de procéder à l'interrogation des bases de données du SCA afin de consulter, par l'intermédiaire de l'AGC et de manière temporaire et limitée : - l'historique des infractions saisies par les agents verbalisateurs : la mise à disposition de la copie du contenu du message d'infraction stocké dans le SCA est nécessaire en cas de saisine du ministère public par le service verbalisateur pour solliciter l'annulation d'une procédure comportant une erreur, de réquisition judiciaire ou encore de contestation de l'infraction par le justiciable auprès de l'autorité judiciaire ; - et les procès-verbaux des infractions constatées et saisies par les agents verbalisateurs à partir des applications PVe et AGC : leur mise à disposition est nécessaire pour les besoins de transmission des procès-verbaux, induits par l'habilitation de nouveaux agents verbalisateurs soumis à des règles de procédure particulières. Les données à caractère personnel ne sont pas conservées dans le traitement AGC mais sont rendues accessibles depuis le SCA par un affichage temporaire. Cela est justifié pour les besoins de la procédure pénale et de gestion de la procédure d'amende forfaitaire. La CNIL considère que la durée maximale de six mois de cet affichage, en simple consultation, est justifiée et proportionnée. D. Sur les mesures de sécurité La CNIL prend acte : - de la mise en œuvre d'une gestion des droits d'accès par profil dans la limite de leur besoin d'en connaître ; - de l'usage d'une authentification forte pour les forces de police et de gendarmerie nationales et d'un projet de déploiement d'une authentification forte de niveau équivalent pour les autres agents et services verbalisateurs ; - de l'usage de mots de passe conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés, et abrogeant la délibération n° 2017-012 du 19 janvier 2017 ; - de la mise en œuvre de solutions de sauvegardes mais rappelle la nécessité de réaliser périodiquement des tests de restauration de ces dernières afin de s'assurer de leur bon fonctionnement ; - de la mise en œuvre de communications chiffrées entre les différents environnements le nécessitant et permettant ainsi d'assurer le respect de la confidentialité desdites communications ; Par ailleurs, le ministère confirme une durée de conservation des données de traçabilité limitée à un an. Néanmoins, la CNIL rappelle l'importance de la mise en œuvre d'outils de détection automatisés permettant une réaction rapide en cas d'actions malveillantes qui seraient réalisées sur le traitement. La présidente, M.-L. Denis