Délibération n° 2017-236 du 7 septembre 2017 portant avis sur un projet d'arrêté portant autorisation d'un traitement automatisé de données à caractère personnel dénommé « Gestion électronique des courriers internationaux » (GECI) (demande d'avis n° 1881735)

La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Gestion Electronique des Courriers Internationaux (GECI) ; Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de procédure pénale, notamment ses articles 695-9-31 et D. 8-2 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I (2°) ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Emet l'avis suivant : La commission a été saisie par le ministre de l'intérieur d'une demande d'avis portant sur un projet d'arrêté portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Gestion Electronique des Courriers Internationaux (GECI). Le traitement projeté vise à permettre le référencement, le suivi et le recoupement des demandes et des réponses de coopération internationale en matière de police judiciaire émises et reçues par les services de la police nationale, de la gendarmerie nationale et de la douane judiciaire, ainsi que l'établissement de statistiques relatives à l'usage des outils de coopération internationale de police judiciaire. Il relève dès lors de l'article 26-I (2°) de la loi du 6 janvier 1978 modifiée et doit être autorisé par arrêté ministériel pris après avis motivé et publié de la commission. Sur les finalités du traitement : Aux termes de l'article 1er du projet d'arrêté soumis à la commission, le traitement projeté, qui doit être mis en œuvre par la Direction générale de la police nationale (DGPN) du ministère de l'intérieur, a pour finalités : le référencement, le suivi et le recoupement des demandes et des réponses de coopération internationale en matière de police judiciaire émises et reçues par les services français compétents de la police et de la gendarmerie nationales et de la douane judiciaire, ainsi que l'établissement de statistiques relatives à l'usage des outils de coopération internationale de police judiciaire . Le ministère a précisé que le traitement GECI doit uniquement constituer un outil interne à la direction des relations internationales de la DGPN, permettant de faciliter la gestion et le suivi de toutes les demandes de coopération internationale en matière policière par l'attribution d'un numéro à chaque demande, le référencement unique des multiples messages relatifs à un même dossier ainsi que le recoupement des différentes demandes émises et reçues par les services français. GECI doit en effet disposer d'une fonctionnalité permettant d'opérer des recoupements dans la base afin d'éviter des doublons. Cette fonctionnalité doit permettre : - de ne pas attribuer deux numéros GECI à une demande de coopération portant sur un objet identique émanant de services différents ; - d'aviser par un courriel unique les services ayant émis la même demande qu'un rapprochement a été opéré dans la base, afin qu'ils se contactent. Enfin, la commission prend acte que le traitement comportera un module statistique qui permettra de mesurer la manière dont les canaux de coopération sont utilisés par les services français et étrangers par l'établissement de statistiques à la demande et automatiquement (production de tableaux hebdomadaires, mensuels, trimestriels…), afin d'avoir une connaissance plus fine de l'évolution du nombre de demandes émises ou reçues par la France, de leur répartition par grand type (observations transfrontalières, commission rogatoire internationale avec déplacement d'enquêteurs…) et de l'intensité de la coopération avec un pays donné. Dès lors, la commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée. Sur les données traitées et leur durée de conservation : Les données à caractère personnel qui seront enregistrées dans le traitement sont des données issues de procédures judiciaires transmises par les services d'enquêtes français et internationaux. La commission prend acte que les catégories de personnes relatives auxquelles des données pourraient être enregistrées dans le traitement seront limitées aux personnes suivantes : - personnes soupçonnées d'avoir commis ou tenté de commettre un crime ou un délit ; - personnes à l'encontre desquelles existent des indices laissant supposer qu'elles ont l'intention de commettre un crime ou un délit ; - personnes faisant l'objet d'une enquête judiciaire pour disparition inquiétante ; - victimes, seulement lorsque la transmission de leur identité par ou vers un autre pays apparaît nécessaire à l'enquête (en matière d'enlèvements, de soustraction d'enfants, de traite ou d'exploitation d'êtres humains). L'article 2 du projet d'arrêté définit plus précisément les catégories de données susceptibles d'être enregistrées dans le traitement. S'agissant des signes physiques enregistrés en tant qu'éléments de signalement des personnes, la commission prend acte que les informations collectées se limiteront à la description objective d'un signe physique particulier sans utilisation de références ethno-raciales. Le ministère a également fait savoir que les utilisateurs seront sensibilisés à la stricte utilisation de ce champ et que des consignes écrites seront diffusées pour exclure l'enregistrement d'informations relatives à des signes physiques susceptibles de révéler directement ou indirectement l'appartenance, vraie ou supposée, à un ethnie, une nation ou une prétendue race, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ainsi que l'enregistrement de données relatives à la santé ou à la vie sexuelle des personnes concernées. Concernant l'enregistrement de diverses informations relatives à l'objet et aux références de la demande de coopération internationale, notamment sur des moyens de transport (nature, numéro d'immatriculation, marque…), des moyens de communication (numéro de ligne téléphonique, adresse électronique, adresse IP…), des comptes bancaires, des moyens de paiement, certains types de produits (stupéfiants, explosifs, tabac…) ou encore des armes à feu, la commission prend acte qu'il est justifié par le fait que de tels informations peuvent faire l'objet d'investigations découlant de la demande de coopération. Par exemple, un véhicule, une arme ou un compte bancaire peuvent être utilisés par les auteurs présumés d'infractions et le service d'enquête demandeur peut ainsi avoir besoin d'en identifier le propriétaire ou de déterminer son implication possible dans des enquêtes conduites dans d'autres pays. L'enregistrement de ces éléments dans le traitement GECI permettra alors d'opérer des recoupements entre les demandes et, le cas échéant, d'informer les services enquêteurs qu'une précédente demande de coopération a déjà lieu sur une même voiture, un même numéro de téléphone, une même adresse IP, etc. Enfin, il est prévu l'enregistrement, au titre de la catégorie de données intitulée objets divers , de commentaires, étant précisé que ce champ constituera un champ non obligatoire permettant de mentionner certains objets non prévus dans le menu déroulant de la catégorie et que les utilisateurs seront sensibilisés à la stricte utilisation de ce champ par le biais de consignes écrites. Au regard de l'ensemble de ces éléments, la commission estime que les données et informations enregistrées dans le traitement GECI sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée. Le projet d'arrêté fixe à trois ans après l'enregistrement de la dernière demande de coopération la durée de conservation de ces données. La commission prend acte que cette durée correspond à celle pendant laquelle la nécessité de procéder à des recoupements entre des demandes est la plus fréquente et qu'une durée de conservation inférieure ne laisserait pas aux différents services compétents le temps nécessaire pour enquêter et trouver des indices à l'encontre des auteurs d'infractions. Dans ces conditions, la commission considère que la durée de conservation prévue par le projet d'arrêté n'excède pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément à l'article 6 (5°) de la loi du 6 janvier 1978 modifiée. Sur les destinataires du traitement/des données : Le projet d'arrêté distingue les personnes ayant accès à tout ou partie des données à caractère personnel enregistrées dans le traitement, des personnes pouvant être destinataires d'informations issues du traitement GECI. S'agissant des premières, le projet précise que seuls auront accès au traitement, à raison de leurs attributions et dans la limite du besoin d'en connaître : - les fonctionnaires de la police nationale, les militaires de la gendarmerie nationale et les agents des douanes affectés au sein des services et unités de la section centrale de coopération opérationnelle policière et du service en charge des actions de coopération européenne et internationale de la division des relations internationales de la direction centrale de la police judiciaire, individuellement désignés et habilités par leur chef de service ; - les fonctionnaires de la police nationale et les militaires de la gendarmerie nationale des groupes de relations internationales des offices centraux de la direction centrale de la police judiciaire, de la direction centrale de la police aux frontières et de la sous-direction de la police judiciaire de la direction générale de la gendarmerie nationale individuellement désignés et habilités par leur chef de service. S'agissant des secondes catégories de destinataires, qui ne peuvent également recevoir des informations que dans le cadre de leurs attributions et dans la limite du besoin d'en connaître, le projet d'arrêté mentionne : - les fonctionnaires de la police nationale, les militaires de la gendarmerie nationale, les agents de la douane judiciaire ; - les services d'enquête des Etats membres de l'espace Schengen, de l'Union européenne et des pays membres d'Interpol, l'agence européenne de police Europol et l'organisation internationale de police criminelle Interpol. La commission prend acte que le projet d'arrêté a été modifié par le ministère pour tenir compte de ses observations et qu'il précise ainsi, d'une part, que les informations susceptibles d'être communiquées à ces derniers destinataires se limitent aux seuls numéros de dossier et, d'autre part, qu'une telle communication ne peut intervenir que lorsque les dossiers concernés ont fait l'objet d'un recoupement ayant donné lieu à un résultat positif. Dans ces conditions, la commission considère que les accès aux données prévus par le projet d'arrêté sont justifiés au regard des finalités du traitement. Sur l'information et les droits des personnes concernées : Le projet d'arrêté prévoit que l'obligation d'information prévue à l'article 32 de la loi du 6 janvier 1978 modifiée et le droit d'opposition prévu à l'article 38 de la même loi ne s'appliquent pas au traitement, ce qui n'appelle pas d'observation de la part de la commission. Il en va de même des dispositions prévoyant que les droits d'accès et de rectification s'exercent de manière indirecte auprès de la Commission nationale de l'informatique et des libertés, dans les conditions prévues aux articles 41 et 42 de la loi du 6 janvier 1978 modifiée. Sur les mesures de sécurité du traitement : La commission prend acte que l'ensemble de la chaîne de transmission des demandes de coopération est sécurisée, que les demandes seront conservées dans des boîtes aux lettres électroniques du domaine gouv.fr et qu'elles transiteront via la messagerie sécurisée SIENA et le réseau mondial 1/24, tous les deux mis à disposition par Interpol. Elle prend également acte que des droits d'accès ad hoc sont prévus pour les agents accédant au traitement. Leur authentification s'appuiera sur le portail CHEOPS.NG, soit au moyen d'une carte agent, soit d'un mot de passe. Sur ce dernier point, la commission rappelle que, conformément à ses recommandations dans ce domaine, les mots de passe doivent avoir une longueur minimale de douze caractères et être composés de lettres majuscules, minuscules, chiffres et symboles ou faire entre huit et onze caractères, être composés de trois des quatre possibilités précitées et être associés à une restriction d'accès en cas d'erreurs successives (blocage temporaire de compte, possibilité de nouvelles tentatives après une durée d'attente croissante, etc.), Ils doivent en outre être définis ou modifiés par l'utilisateur dès sa première connexion, puis régulièrement renouvelés et ne doivent pas être stockés en clair. La commission relève qu'une traçabilité des actions des agents sera réalisée. Le projet d'arrêté prévoit en effet que les créations, consultations, mises à jour et suppressions de données du traitement font l'objet d'un enregistrement comprenant l'identifiant de l'auteur, la date, l'heure et l'objet de l'opération. Les informations relatives à ces opérations seront conservées pendant trois ans. Enfin, elle prend acte que les sauvegardes seront chiffrées. Dans ces conditions, la commission considère que les mesures prévues par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. Pour la présidente : Le vice-président délégué, M.-F. Mazars Extrait du Journal officiel électronique


Délibération n° 2017-242 du 7 septembre 2017 portant avis sur un projet arrêté modifiant l'arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé Ficovie

(DEMANDE D'AVIS NO 1942384V4) La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l'action et des comptes publics d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 1er septembre 2016 portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé Ficovie ; Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code général des impôts, notamment son article 1649 ter ; Vu le livre des procédures fiscales, notamment ses articles L. 135 ZG et R. 135 ZG-1 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-1-2° et 30-II ; Vu la loi n° 2013-907 du 11 octobre 2013 modifiée relative à la transparence de la vie publique ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu l'arrêté du 1er septembre 2016 modifié portant création par la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de gestion du fichier des contrats de capitalisation et d'assurance vie dénommé FICOV1E ; Vu le dossier et ses compléments ; Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Emet l'avis suivant : La Commission a été saisie pour avis par le ministère de l'action et des comptes publics d'un projet d'arrêté modificatif de l'arrêté du 1er septembre 2016 relatif au traitement dénommé Ficovie, pris après un avis de la Commission en date du 19 mai 2016 et sur les modifications duquel elle s'est déjà prononcée à plusieurs reprises. Le traitement Ficovie, mis en œuvre par la direction générale des finances publiques (DGFiP), a pour finalité principale d'améliorer le contrôle fiscal, par le recensement et le contrôle des déclarations des contrats et placements prévues aux I et II de l'article 1649 ter du code général des impôts, en vue de lutter contre la fraude fiscale. Il a ainsi pour objet la prévention et la recherche d'infractions pénales et relève à ce titre de l'article 26-1-2° de la loi du 6 janvier 1978 modifiée. En application de ces dispositions et de celles prévues à l'article 30-II de la même loi, les modifications apportées à l'arrêté en portant création doivent être autorisées par arrêté ministériel pris après avis motivé et publié de la Commission. Le présent projet d'arrêté vise à autoriser l'accès des agents de la Haute Autorité pour la transparence de la vie publique (HATVP) aux données enregistrées dans le traitement Ficovie. La HATVP est une autorité administrative indépendante dont les missions sont prévues à l'article 20 de la loi n° 2013-907 du 11 octobre 2013 susvisée. En particulier, elle est chargée de recevoir des principaux responsables publics relevant de sa compétence leurs déclarations de situation patrimoniale et leurs déclarations d'intérêts et d'en assurer la vérification et le contrôle. Afin de permettre aux agents de cette autorité de contrôler, de manière efficace et rapide, l'évaluation et l'évolution du patrimoine des personnes concernées, les dispositions de l'article L. 135 GZ du livre des procédures fiscales (LPF) prévoient expressément une dérogation au secret professionnel en matière fiscale et leur permettent d'accéder notamment au traitement Ficovie. Pour les besoins de l'accomplissement de leurs missions, les agents de la HATVP, individuellement désignés et dûment habilités selon les modalités prévues à l'article R. 135 ZG-1 du LPF, disposent ainsi d'un droit d'accès audit traitement. Dans ces conditions, les modifications prévues de l'arrêté du 1er septembre 2016 précité relatives aux finalités du traitement, afin de mentionner la mise à disposition des données enregistrées dans Ficovie à ces agents au titre de ces finalités, et à la liste des destinataires de ces données, afin d'y ajouter les agents habilités de la HATVP, n'appellent pas d'observation de la part de la Commission. S'agissant des modalités de ces nouveaux accès, la Commission prend acte que les agents habilités de la HATVP, tenus au secret professionnel, auront accès, en seule consultation, à l'ensemble des déclarations enregistrées dans le traitement sur le plan national, y compris aux dossiers sécurisés. Il est prévu que cet accès Web au traitement Ficovie intervienne par connexion au portail ADER, accessible via le Réseau Interministériel Interne, au moyen d'un identifiant personnalisé. Le ministère n'a toutefois pas précisé les modalités pratiques d'authentification des agents de la HATVP via ce portail. La Commission rappelle dès lors que l'authentification de ces agents, et plus généralement de l'ensemble des agents s'authentifiant via ce portail en vue d'accéder à des traitements de données à caractère personnel, doit être conforme à l'état de l'art, tel que précisé dans les recommandations de la Commission en la matière. Conformément aux dispositions de l'article R. 135 GZ-1 du LPF, les habilitations individuelles des agents de la HATVP sont délivrées par le président de cette autorité et communiquées à la DGFiP, de même que toute modification relative à ces habilitations. La Commission prend acte que ces habilitations seront revues tous les six mois et que ces échanges auront lieu par l'intermédiaire d'une plateforme d'échanges sécurisée. Elle rappelle toutefois que les échanges des clés de chiffrement devront être réalisés par un autre moyen de communication que celui utilisé pour transmettre les accès à la plateforme. Les consultations du traitement Ficovie par les agents de la HATVP feront l'objet des mêmes mesures de journalisation que les autres utilisateurs du traitement et il est prévu que l'exploitation de ces traces soit de la responsabilité exclusive de la HATVP. A cet égard, la Commission prend acte que la HATVP s'est engagée à appliquer les mêmes règles et analyses de contrôle de ces traces que celles auxquelles sont soumis ces autres utilisateurs et que les agents en charge de ce contrôle ont été dûment informés de ces processus par la DGFiP. A l'exception d'une modification administrative des structures des services de la DGFiP dont les agents sont habilités à accéder au traitement, qui n'appelle aucune observation de la part de la Commission, les autres conditions de mise en œuvre du traitement Ficovie ne font pas l'objet de modifications. Pour la présidente : Le vice-président délégué, M.-F. Mazars


Délibération n° 2017-288 du 26 octobre 2017 portant élection d'un membre de la formation restreinte de la Commission nationale de l'informatique et des libertés

La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, telle que modifiée par la loi n° 2004-801 du 6 août 2004, notamment son article 13, Constate : Article 1 M. Philippe GOSSELIN, est élu membre de la formation restreinte de la Commission nationale de l'informatique et des libertés. Article 2 La formation restreinte de la commission est ainsi composée : M. Jean-François CARREZ, président ; Mme Dominique CASTERA ; M. Philippe GOSSELIN ; M. Alexandre LINDEN ; M. Marie-Hélène MITJAVILE ; M. Maurice RONAI. Article 3 La présidente de la commission est chargée de l'exécution de la présente délibération, qui sera publiée au Journal officiel de la République française. La présidente, I. Falque-Pierrotin


Délibération n° 2013-253 du 19 septembre 2013 habilitant des agents de la CNIL à procéder à des missions de vérification sur place

Le bureau de la Commission nationale de l'informatique et des libertés, Vu le code de la sécurité intérieure, notamment son article L. 253-3 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ; Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ; Après avoir entendu M. Emmanuel de GIVRY, vice-président délégué, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Décide : Article 1 Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 susvisée et à l'article L. 253-3 du code de la sécurité intérieure : M. Marc-André BEAUDET, ingénieur au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ; M. Olivier DESBIEY, chargé des études prospectives à la direction des études, de l'innovation et de la prospective ; M. Edouard DOLLEY, ingénieur au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ; Mme Amal MARC, juriste au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ; Mme Ingrid NKOUENJIN, juriste au service des correspondants à la direction des relations avec les usagers et du contrôle ; M. Frédéric PATTE-BRASSEUR, auditeur des systèmes d'information au service des contrôles à la direction des relations avec les usagers et du contrôle ; Mme Clémence SCOTTEZ, juriste au service des correspondants à la direction des relations avec les usagers et du contrôle ; M. Vincent TOUBIANA, ingénieur au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise. Liens relatifs Article 2 L'habilitation mentionnée à l'article 1er est délivrée pour une durée de cinq ans. Article 3 Sont supprimés, à l'article 1er de la délibération n° 2013-092 du 11 avril 2013 habilitant des agents de la CNIL à procéder à des missions de vérification sur place, les noms des personnes suivantes : M. Marc-André BEAUDET, auditeur des systèmes d'information au service des contrôles à la direction des relations avec les usagers et du contrôle ; M. Armand HESLOT, ingénieur au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise. Liens relatifs Article 4 La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française. Fait le 19 septembre 2013. La présidente, I. Falque-Pierrotin


Délibération n° 2017-263 du 5 octobre 2017 portant avis sur un projet de décret relatif aux juristes assistants et aux personnes habilitées à accéder au bureau d'ordre national automatisé des procédures judiciaires (demande d'avis n° 17015929)

La Commission nationale de l'informatique et des libertés, Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret relatif aux juristes assistants et aux personnes habilitées à accéder au bureau d'ordre national automatisé des procédures judiciaires ; Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code de l'organisation judiciaire, notamment son article L. 123-4 ; Vu le code de procédure pénale, notamment ses articles 48-1 et R. 15-33-66-4 à R. 15-33-66-13 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-1 (2°) ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2017-099 du 13 avril 217 portant avis sur un projet de décret relatif au service d'accueil unique du justiciable et aux personnes habilitées à accéder au bureau d'ordre national automatisé des procédures judiciaires ; Sur la proposition de Mme Sylvie ROBERT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Emet l'avis suivant : La commission a été saisie par le ministre de la justice d'une demande d'avis portant sur un projet de décret autorisant les juristes assistants et les assistants spécialisés placés auprès des magistrats de l'ordre judiciaire à accéder au Bureau d'ordre national automatisé des procédures judiciaires (Cassiopée). En application de l'article 48-1 du code de procédure pénale (CPP) et de l'article 26-II de la loi du 6 janvier 1978 modifiée, cet accès doit être autorisé par un décret en Conseil d'Etat pris après avis motivé et publié de la Commission. L'application Cassiopée, qui constitue le Bureau d'ordre national automatisé des procédures judiciaires et dont les modalités de mise en œuvre sont prévues aux articles 48-1 et R. 15-33-66-4 à R. 15-33-66-13 du CPP, est déployée dans tous les tribunaux de grande instance. Aux termes de l'article 48-1 du CPP, cette application enregistre les informations nominatives relatives aux plaintes et dénonciations reçues par les procureurs de la République ou les juges d'instruction et aux suites qui leur ont été réservées et est destinée à faciliter la gestion et le suivi des procédures judiciaires par les juridictions compétentes, l'information des victimes et la connaissance réciproque entre les juridictions des procédures concernant les mêmes faits ou mettant en cause les mêmes personnes, afin notamment d'éviter les doubles poursuites . Les articles R. 15-33-66-8 et R. 15-33-66-9 du CPP définissent respectivement les catégories de personnes pouvant directement accéder à des informations et données enregistrées dans Cassiopée et les catégories de personnes pouvant être destinataires de tout ou partie des données enregistrées dans ce traitement. Le projet de décret aujourd'hui soumis à la Commission prévoit de compléter l'article R. 15-33-66-8 du CPP en y ajoutant, d'une part, les juristes assistants mentionnés à l'article L. 123-4 du code de l'organisation judiciaire (COJ), issu de la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle et, d'autre part, les assistants spécialisés mentionnés aux articles 628-9 et 706 du CPP. Aux termes de l'article L. 123-4 du COJ, les juristes assistants peuvent être nommés auprès des magistrats des tribunaux d'instance, des tribunaux de grande instance et de première instance, des cours d'appel ainsi qu'à la Cour de cassation. Le projet de décret soumis à la Commission précise que ces personnels contribuent par leur expertise, en matière civile et en matière pénale, à l'analyse juridique des dossiers techniques ou complexes qui leur sont soumis par les magistrats sous la direction desquels ils sont placés . Les assistants spécialisés, quant à eux, apportent un appui aux magistrats dans le cadre des procédures applicables aux crimes contre l'humanité et aux crimes de guerre ainsi qu'en matière économique et financière. Les articles 628-9 et 706 du CPP définissent les modalités d'accès à ces fonctions ainsi que les missions que ces assistants peuvent exercer. Les mêmes articles précisent qu'ils peuvent accéder aux dossiers de procédure pour l'exercice des tâches qui leur sont confiées et sont soumis au secret professionnel. L'accès des juristes assistants ainsi que des assistants spécialisés aux données enregistrées dans le traitement Cassiopée, qui se fonde sur les dispositions de l'article 48-1 du CPP et s'inscrit directement dans le cadre des finalités poursuivies par le traitement, apparaît justifié à la Commission. La Commission relève toutefois que, si l'article 48-1 du CPP prévoit que les informations contenues dans le traitement Cassiopée sont directement accessibles aux personnes habilitées qui assistent les procureurs de la République et les magistrats du siège exerçant des fonctions pénales, il précise que c'est uniquement pour les nécessités liées au seul traitement des infractions ou des procédures dont ils sont saisis , ce que rappelle d'ailleurs l'article R. 15-33-66-8 du CPP, dont la modification est aujourd'hui envisagée. La Commission souligne qu'il appartient dès lors au ministère de la justice de prévoir l'ensemble des mesures techniques requises pour assurer l'effectivité de cette restriction, d'autant que, comme elle l'a relevé dans sa délibération n° 2017-099 du 13 avril 2017 susvisée, les nouveaux accès prévus par le législateur sont nombreux et ont pour conséquence d'augmenter de manière significative le nombre de personnes habilitées à consulter le traitement Cassiopée, qui comporte des données particulièrement sensibles. Sur ce point, le ministère a précisé que les juristes assistants comme les assistants spécialisés disposeront d'un accès en consultation nationale et que la possibilité de restreindre cet accès à une consultation locale sera laissée à l'appréciation des chefs de juridiction, au regard des missions qui leur seront confiées. Elle prend acte que le besoin de recoupement de données, propre au travail de recherche attendu des assistants spécialisés et des juristes assistants, ne permet pas d'exclure a priori et de manière générale l'accès au traitement en consultation nationale, mais que les assistants spécialisés et les juristes assistants disposeront, comme les autres utilisateurs, d'un profil d'accès dépendant du service auquel ils seront rattachés et excluant, en tout état de cause, l'accès à une partie des informations enregistrées dans le traitement. Seront en particulier exclues des catégories de données susceptibles d'être consultées par les assistants spécialisés et les juristes assistants les informations propres à l'instruction et celles relatives aux contentieux du juge de la liberté et de la détention. Au-delà de ces restrictions, il a été indiqué à la Commission qu'une fonctionnalité du traitement permet de limiter l'accès à des informations spécifiques au magistrat et au greffier du cabinet en charge de l'affaire concernée et que cette fonctionnalité est systématiquement utilisée pour les affaires en assistance éducative. Plus généralement, la Commission relève que le profil d'accès dont disposeront les juristes assistants et les assistants spécialisés ne permettra que la consultation des données et qu'aucune possibilité de modification ou de suppression de ces dernières ne leur sera donc ouverte. En outre, ils seront soumis aux mêmes règles d'authentification que les autres utilisateurs et disposeront donc d'un identifiant et d'un mot de passe personnels. Enfin, les consultations effectuées par ces agents feront l'objet de mesures de traçabilité identiques à celles prévues pour les autres accès, ce qui permettra le contrôle des conditions d'utilisation de l'outil Cassiopée, ce dont la Commission prend acte. Elle rappelle toutefois que, conformément à l'article 34 de la loi du 6 janvier 1978 modifiée, le ministère doit veiller à prévoir l'ensemble des mesures nécessaires pour assurer la sécurité des données et que cette exigence de sécurité nécessite la mise à jour régulière des mesures techniques mises en œuvre au regard de la réévaluation des risques. Pour la présidente : Le vice-président délégué, M.-F. Mazars


Délibération n° 2017-269 du 5 octobre 2017 portant avis sur un projet d'arrêté portant création à la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de fiabilisation des états civils et de gestion des anomalies dans l'identification des usagers (demande d'avis n° 2057423)

La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l'économie et des finances d'une demande d'avis concernant un projet d'arrêté portant création à la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de fiabilisation des états civils et de gestion des anomalies dans l'identification des usagers ; Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le livre des procédures fiscales, notamment ses articles L. 287, L. 288 A et R.* 287-1 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (2°) ; Vu la loi n° 2016-1917 du 29 décembre 2016 de finances pour 2017, notamment son article 60 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu l'arrêté du 17 janvier 2008 modifié relatif à la mise en service par la direction générale des finances publiques d'un traitement automatisé d'identification des personnes physiques et morales dénommé PERS ; Vu le dossier et ses compléments ; Sur la proposition de M. Jean-Luc VIVET, commissaire, après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement, Emet l'avis suivant : La Commission nationale de l'informatique et des libertés a été saisie pour avis, par le ministre de l'économie et des finances, d'un projet d'arrêté portant création à la direction générale des finances publiques (DGFiP) d'un traitement automatisé de données à caractère personnel de fiabilisation des états civils et de gestion des anomalies dans l'identification des usagers. L'article 60 de la loi du 29 décembre 2016 de finances pour 2017, qui instaure le prélèvement à la source de l'impôt sur le revenu, prévoit que la mise en œuvre de cette contribution s'appuie sur la communication à l'administration fiscale, par le tiers versant le revenu, des informations nécessaires à la détermination du taux de prélèvement applicable à chaque bénéficiaire de revenus, taux que la DGFiP transmet en retour au tiers versant. Dans ce contexte, la nécessité de garantir l'identification des contribuables a conduit la DGFiP à réaliser plusieurs campagnes de fiabilisation des identifiants fiscaux (SPI) par l'interrogation du répertoire national d'identification des personnes physiques et la collecte du NIR, campagnes au sujet desquelles la Commission a été consultée. Toutefois, il reste un certain nombre de contribuables connus du système d'information de la DGFiP par leur numéro SPI mais dont l'identité n'est pas certifiée au regard de ce répertoire. Le présent projet d'arrêté vise dès lors à faire évoluer les modalités de mise en œuvre du dispositif de gestion des anomalies dans l'identification des contribuables dénommé FIABPERS , afin de permettre la fiabilisation de l'état civil des contribuables dont l'identité n'est pas certifiée. Dans la mesure où le traitement porte sur des données parmi lesquelles figure le NIR et compte tenu du fait qu'il est utilisé par des services ayant pour mission d'établir l'assiette, de contrôler et de recouvrer des impositions, sa mise en œuvre doit être autorisée par arrêté ministériel pris après avis motivé et publié de la Commission, conformément aux dispositions de l'article 27-II (2°) de la loi du 6 janvier 1978 modifiée. Sur les finalités du traitement : Les articles 1er et 2 du projet d'arrêté prévoient d'autoriser la DGFiP à mettre en œuvre un traitement dénommé FIABPERS pour permettre la fiabilisation des états civils des usagers ainsi que l'enregistrement et le suivi des anomalies d'identification des personnes et leur suivi. S'agissant de l'objectif de fiabilisation des états civils, la Commission prend acte qu'il s'agit de permettre aux services locaux de la DGFiP de collecter directement auprès des contribuables non certifiés les informations relatives à leur état civil, ainsi que leur NIR le cas échéant. Il est prévu que cette collecte s'effectue chaque fois qu'un agent se trouve en présence d'une personne connue du système d'information de la DGFiP mais dont l'identité n'est pas certifiée, par la présentation par les personnes concernées des pièces justificatives nécessaires. La Commission relève que les données ainsi fiabilisées seront intégrées dans le référentiel PERS d'identification des personnes physiques et morales. S'agissant de la gestion des anomalies d'identification, la Commission prend acte que cela concerne les hypothèses de création de doublons (une personne pour plusieurs identités enregistrées), de création d'amalgames (deux personnes enregistrées sous une même identité) et de litiges (contestation par un usager des données d'identification le concernant enregistrées par la DGFiP). Ces anomalies peuvent être détectées par la cellule d'administration du référentiel PERS ou par les services gestionnaires de la DGFiP, dans le cadre de leurs missions d'établissement de l'assiette, de taxation et de recouvrement ou de la relation entre la DGFiP et les usagers. Elles sont alors enregistrées dans le dispositif FIABPERS . Les échanges d'informations entre le tiers collecteur et l'administration fiscale instaurés par le prélèvement à la source impliquent que le contribuable soit correctement identifié dans les applications mises en oeuvre par la DGFiP afin de prévenir toute erreur dans la détermination du taux de prélèvement applicable. Les identités non-certifiées conduisent à une reconnaissance de l'individu sur la base d'un état civil dit pauvre , source de d'échecs ou de réponses multiples en cas d'homonymie. En pareille hypothèse, la DGFiP est alors amenée à communiquer au tiers collecteur un taux par défaut, fixé par la loi de Finances et qui ne correspond pas à la situation personnelle du contribuable. Dans ce contexte, les finalités du dispositif FIABPERS s'inscrivent dans le cadre des missions de l'administration fiscale et, en particulier, de l'établissement de l'assiette de l'impôt et participe de leur bon exercice. La Commission considère dès lors que ces finalités sont déterminées, explicites et légitimes au sens de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée. Sur la nature des données traitées : L'article 3 du projet d'arrêté énumère les données personnelles traitées. Ces données concernent les catégories suivantes : - les données d'identification : civilité, nom de naissance, prénoms, nom d'usage, NIR, numéro fiscal, date et département de naissance, libellé de commune de naissance ou du pays si né à l'étranger, adresse de messagerie électronique, identifiant du dossier, adresse postale ; - les données relatives à la vie familiale : nom du conjoint ; - la nature de l'impôt (impôt sur le revenu, taxe d'habitation, taxe foncière). La Commission prend acte que l'utilisation du NIR par l'administration fiscale est expressément autorisée, aux termes de l'article L. 287 du livre des procédures fiscales, aux fins de vérifier la fiabilité des éléments d'identification des personnes physiques figurant dans les traitements de données relatives à l'assiette, au contrôle et au recouvrement de tous impôts, droits, taxes, redevances ou amendes . L'article R.* 287-1 du même livre précise que ce traitement du NIR peut intervenir en cas de demande spécifique motivée par l'insuffisance ou la contradiction des éléments d'identification de l'intéressé à disposition de l'administration fiscale. La Commission estime que le traitement projeté s'inscrit dans ce cadre légal. Elle rappelle néanmoins que ces dispositions ne rendent pas obligatoire la fourniture, par les personnes concernées, de leur NIR aux fins de fiabilisation de l'identité fiscale. A cet égard, elle prend acte que le ministère de l'économie et des finances n'entend pas rendre la collecte du NIR obligatoire dans le cadre de la fiabilisation des états civils. La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée. Sur la durée de conservation des données : L'article 4 du projet d'arrêté prévoit que les données à caractère personnel traitées dans le cadre du dispositif FIABPERS sont conservées trois ans, à l'exception du NIR qui est conservé un mois maximum. La Commission prend acte que cette durée correspond au délai légal durant lequel un usager est recevable à contester, auprès de l'administration, les données qui ont permis de mettre à jour son état civil dans le système d'information de la DGFiP. Dans ce contexte, la durée de conservation projetée permet de répondre à l'éventualité d'un contentieux en assurant une traçabilité de la demande de l'usager. Dès lors, la Commission considère que cette durée de conservation n'excède pas la durée nécessaire au regard des finalités poursuivies, conformément aux dispositions de l'article 6 (5°) de la loi du 6 janvier 1978 modifiée. Sur les accédants et destinataires des données : La Commission prend acte que, à sa demande, le ministère a modifié la rédaction de l'article 5 du projet d'arrêté afin de préciser que les personnes habilitées à accéder aux données traitées sont les agents habilités de la DGFiP chargés de la collecte des informations relatives aux états civils des usagers et les destinataires des données traitées sont, quant à eux, les agents habilités de la DGFiP en charge de la fiabilisation de l'identification des usagers dans le référentiel des personnes ( PERS ). Sur l'information et les droits des personnes : La Commission rappelle la nécessité de délivrer une information claire et complète aux contribuables quant au traitement qui peut être fait de leurs données personnelles. En particulier, il convient de les informer des motifs de la collecte du NIR (améliorer l'identification et éviter la confusion avec une autre personne), ainsi que du caractère facultatif de cette collecte. S'agissant des droits d'accès et de rectification prévus aux articles 39 et 40 de la loi Informatique et Libertés , l'article 7 du projet d'arrêté dispose que ceux-ci s'exercent auprès du centre des finances publiques du domicile fiscal de l'usager. Le ministère entend faire application du dernier alinéa de l'article 38 de la loi susmentionnée en excluant le droit d'opposition, ce qui n'appelle pas d'observation particulière de la Commission. Sur la sécurité des données et la traçabilité des actions : La Commission prend acte de l'engagement du ministère de recourir à la version 9.4 du système de gestion de base de données Postgre. Le traitement ne sera accessible qu'aux agents habilités de la DGFiP, via le réseau interne au ministère, ce qui n'appelle pas de remarque particulière de la Commission. S'agissant de leur authentification par un système impliquant un mot de passe, la Commission rappelle que cette authentification doit être conforme à l'état de l'art, tel que précisé dans les recommandations de la Commission en la matière. Il est prévu que le NIR fasse l'objet de mesures de sécurité renforcées. Ainsi, il est stocké dans un espace de stockage spécifique, afin de garantir la meilleure étanchéité possible avec les autres données du traitement, et supprimé de la base au bout d'un mois. En outre, le ministère a prévu un mécanisme de suppression totale de cette donnée du traitement en cas de demande de la Commission. Il est prévu que les transmissions de données sur des réseaux fassent l'objet de mesures de chiffrement. Néanmoins, en l'absence de transmission d'éléments plus précis sur ce point, la Commission n'est pas en mesure de déterminer si ces mesures de sécurité envisagées sont satisfaisantes au regard des risques encourus par le traitement. Concernant les mesures de traçabilité, l'article 3 du projet d'arrêté prévoit que les actions des agents de la DGFiP (signalement d'une anomalie, enrichissement d'un état civil) font l'objet d'une journalisation qui se traduit par la conservation de leur identifiant ministériel, leurs nom, prénom et adresse de messagerie, ainsi que des coordonnées de leur service. En outre, l'article 4 du projet d'arrêté prévoit que ces données sont conservées trois ans. A cet égard, la Commission prend acte qu'il est nécessaire d'appliquer à cette catégorie de données la même durée de conservation que celle prévue pour les données des usagers car les données des agents relatives à la gestion sont susceptibles d'être utilisées en cas de contestation, par un usager, de la mise à jour de son état civil. Sous ces réserves, la Commission considère que les mesures de sécurité envisagées par l'administration fiscale apparaissent cohérentes avec le niveau de sécurité attendu au regard de la nature des données traitées et des risques présentés par le traitement, conformément aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée. Pour la présidente : Le vice-président délégué, M.-F. Mazars


Délibération n° 2017-179 du 15 juin 2017 portant avis sur un projet d’arrêté relatif au référentiel déterminant les critères de confidentialité, d’expertise et d’indépendance pour les laboratoires de recherche et bureaux d’études.
(demande d’avis n° 17008126)

La Commission nationale de l'informatique et des libertés, Saisie par le ministère des affaires sociales et de la santé d’une demande d’avis concernant un projet d’arrêté relatif au référentiel déterminant les critères de confidentialité, d’expertise et d’indépendance pour les laboratoires de recherche et bureaux d’études ; Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ; Vu la loi n° 2016-41 du 26 janvier 2016 de modernisation de notre système de santé, notamment son article 193 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ; Vu le décret n° 2016-1871 du 26 décembre 2016 relatif au traitement de données à caractère personnel dénommé " Système national des données de santé " ; Vu l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé ; Après avoir entendu Mme Valérie PEUGEOT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Émet l’avis suivant : La Commission a été saisie, le 5 avril 2017, d’une demande d’avis sur un projet d’arrêté relatif au référentiel déterminant les critères de confidentialité, d’expertise, et d’indépendance pour les laboratoires de recherche et bureaux d’études (ci-après le " projet "). La définition du référentiel par voie d’arrêté est prévue par le 2° du II de l’article L. 1461-3 du code de la santé publique, créé par l’article 193 de la loi de modernisation de notre système de santé du 26 janvier 2016. Il a pour objet de permettre à certains organismes du secteur privé et entreprise de mener des recherches, études ou évaluations à partir des données du Système national des données de santé (SNDS). Sur l’utilisation du terme " commanditaire " Le ministère indique, dans son courrier de saisine, que le projet a pour objet " de garantir un dispositif homogène des conditions de traitement des données et des règles à respecter par les laboratoires de recherche et bureaux d’études quant aux commanditaires et aux finalités interdites ". Le projet vise également à organiser les relations entre les personnes prenant l’initiative d’une recherche, et qui définissent ainsi les finalités et les moyens du traitement, et les laboratoires et bureaux d’études qui accéderont aux données à leur demande en qualité de prestataire La commission relève que le projet ne fait pas usage de la notion de responsable du traitement de données, mais mentionne à plusieurs reprises le " commanditaire " de la recherche, de l’étude ou de l’évaluation réalisée à partir des données du SNDS. Dans sa délibération n° 2016-317 du 13 octobre 2016 portant avis sur le projet de décret en Conseil d’Etat modifiant le décret n° 2005-1309 pris pour application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifié, la Commission s’interrogeait sur le sens du terme " commanditaire de la recherche " et suggérait que ce terme soit explicité. La Commission estime nécessaire que le projet précise que le client du laboratoire de recherche ou du bureau d’étude sera responsable du traitement de données en ce qu’il prend l’initiative de la réalisation d’une recherche, étude ou évaluation et définit à ce titre les finalités et les moyens du traitement de données à caractère personnel. A ce titre, la Commission propose que le terme " commanditaire " soit remplacé par le terme " responsable de traitement ". Cependant, dans le cas où le ministère infirmerait cette analyse, elle demande que le terme " commanditaire " soit défini plus précisément dans le projet. Sur ce point, la Commission prend acte de l’engagement du ministère de modifier le projet afin de préciser le terme " commanditaire ", qui désigne l’industriel ou l’assureur concerné par l’article L. 1461-3 du code de la santé publique, responsable du traitement de données à caractère personnel. Le projet précisera par ailleurs que le commanditaire, qui définit les finalités et les moyens du traitement et a recours à un intermédiaire en application de la loi, n’accédera pas aux données et ne recevra que les résultats globaux de l’étude. Sur le contrat liant le laboratoire de recherche ou bureau d’études et le responsable du traitement L’article 2 du projet dresse la liste des informations devant figurer dans le contrat conclu entre le commanditaire et le laboratoire de recherche ou bureau d’études. La Commission relève que le contrat devra notamment préciser les traitements envisagés. Dans la mesure où les chercheurs interrogent régulièrement les services de la Commission sur la notion de traitement et opèrent souvent une confusion entre " traitement de données " et " traitement médical ", la Commission prend acte de l’engagement du ministère de préciser, par souci de clarté, qu’il s’agira des traitements de données à caractère personnel envisagés. La Commission prend également acte de l’engagement du ministère de compléter le projet afin d’ajouter parmi les éléments devant figurer dans le contrat : les mesures et conditions de sécurité concernant les accès et les échanges de données et de documents entre les différents intervenants mettant en œuvre le traitement de données ou autorisés à accéder aux données, conformes aux exigences du référentiel de sécurité applicable au SNDS ; les procédures et conditions d’habilitation d’accès aux données pour les personnes mettant en œuvre le traitement de données ou autorisées à accéder aux données, conformes aux exigences du référentiel de sécurité applicable au SNDS ; des stipulations particulières en matière de responsabilité et de sécurité en cas de recours à un prestataire. Sur l’expertise et les compétences des laboratoires de recherche et bureaux d’études L’article 4 du projet prévoit l’obligation pour les laboratoires de recherche et bureaux d’études de se doter de compétences en matière de recherche dans les domaines de la santé, de la statistique et en matière de traitement de données à caractère personnel. Il précise par ailleurs qu’il pourront faire appel à des compétences complémentaires notamment en épidémiologie, génétique, biostatistique, environnement, économie, ou sciences humaines et sociales, en fonction du thème de la recherche, étude ou évaluation. La Commission prend acte de l’engagement du ministère de modifier le projet afin d’imposer aux laboratoires de recherche et bureaux d’études l’obligation de disposer ou se doter de compétences en matière d’anonymisation des données. Elle recommande par ailleurs que les laboratoires de recherche ou les bureaux d’études se voient également imposer l’obligation de disposer ou se doter de compétences en matière de sécurité et de confidentialité des données à caractère personnel, conformément aux exigences du référentiel de sécurité applicable au SNDS. Par ailleurs, la Commission relève que le deuxième alinéa l’article 4 du projet prévoit que " les personnes salariées des laboratoires de recherche ou des bureaux d’études ou les prestataires auxquels ils ont recours, accédant aux jeux de données du Système national des données de santé mis à disposition du demandeur doivent avoir suivi une formation spécifique au traitement des données du Système national des données de santé dont le contenu a été validé par le responsable du traitement du Système national des données de santé mentionné au II de l’article L. 1461-1 du code de la santé publique ". La Commission prend acte de l’engagement du ministère de compléter le projet afin qu’il soit fait mention du " laboratoire de recherche ou bureau d’études demandeur " et que ces dispositions ne puissent être interprétées comme permettant un accès par le commanditaire aux jeux de données extraits du SNDS. Sur la confidentialité et la présentation des résultats L’article 3 du projet prévoit que les résultats diffusés ne doivent pas permettre de ré-identifier les personnes auxquelles les données se rapportent. La Commission prend acte de l’engagement du ministère de compléter le projet par un renvoi à la définition établie par l’arrêté du 22 mars 2017 relatif au référentiel de sécurité applicable au Système national des données de santé, afin de clarifier la notion de ré-identification. Enfin l’article 3 du projet mentionne que la diffusion des résultats peut être publique ou à destination exclusive du commanditaire. La Commission rappelle que l’article L. 1461-3 du code de la santé publique prévoit que l’Institut national des données de santé (INDS) publie les résultats de la recherche, étude ou évaluation et, qu’à ce titre, leur diffusion ne pourra être effectuée à destination exclusive du commanditaire. Elle demande donc de modifier ou de clarifier le projet sur ce point. Sur la transparence et la prévention des conflits d’intérêts Sur la nature des données traitées dans le cadre de la déclaration d’intérêts Le deuxième alinéa de l’article 5 du projet prévoit que le responsable du laboratoire de recherche ou du bureau d’études communique à l’INDS, au moment du dépôt de sa demande d’accès aux données du SNDS, une déclaration d’intérêts en rapport avec l’objet du traitement. Le troisième alinéa de l’article 5 du projet prévoit que " le responsable du laboratoire de recherche ou du bureau d’études ainsi que ses salariés ou les prestataires auxquels il a recours, impliqués dans la mise en œuvre d’une recherche, étude ou évaluation au sens du 1°, I de l’article L. 1461-3 du code de la santé publique, attestent respectivement de l’absence de conflit d’intérêt avec l’objet du traitement dans la déclaration des intérêts du laboratoire de recherche ou du bureau d’études demandeur ". A cette fin, deux projets de formulaires de déclaration sont joints au projet : un " formulaire de déclaration des intérêts, du laboratoire de recherche ou du bureau d’études " ; un " modèle type de déclaration des intérêts à compléter par le responsable du laboratoire de recherche ou du bureau d’études et par chacune des personnes impliquées dans la recherche, étude ou évaluation ". La Commission comprend du projet que : le responsable du laboratoire de recherche ou du bureau d’études, sera dans l’obligation de procéder à une déclaration d’intérêts pour chaque projet de recherche, étude ou évaluation et d’attester de l’absence de conflit d’intérêts ; les salariés et prestataires du laboratoire de recherche ou bureaux d’études seront également tenus de compléter la déclaration d’intérêts et d’attester l’absence de conflit d’intérêts pour chaque recherche, étude ou évaluation dans laquelle ils sont impliqués. La Commission en prend acte. Elle rappelle cependant que le dossier devra être mis à jour dans le cas où d’autres salariés ou prestataires interviendraient dans la recherche, l’étude ou l’évaluation. Les données à caractère personnel faisant le cas échéant l’objet d’un traitement dans le cadre de la déclaration des intérêts au moyen des formulaires sont les suivantes : des données d’identification : nom, prénom, organisme d’appartenance, fonction ou qualité, rôle dans la mise en œuvre du traitement ; des données relatives aux liens d’intérêts en rapport avec l’objet du traitement concernant les activités principales ou secondaires au cours des trois dernières années, les activités dirigées et activités dirigées par la personne et financées par un organisme à but lucratif dont les activités, les techniques et les produits entrent dans le champ de l’objet du traitement : la structure et les activités bénéficiaires ; le nom de l’entreprise, de l’établissement, de l’organisme, ou de l’employeur ; l’organisme à but lucratif financeur ; le nom de la structure qui met à disposition le brevet, produit… ; l’adresse de l’employeur ; le lieu d’exercice de l’activité ; les fonctions exercées ; le domaine et type de travaux ; le nom du produit de santé ou du sujet traité ; le lieu et l’intitulé de la réunion ; le sujet de l’intervention ; le nom du produit visé ; le nom de l’activité et du brevet, produit… ; la rémunération /intérêt financier direct ou indirect ; la prise en charge des frais de déplacement ; la perception d’un éventuel intéressement ; les dates de début et de fin des activités. La Commission considère que ces données sont légitimes, pertinentes et non excessives au regard des finalités poursuivies, conformément aux dispositions de l'article 6 (3°) de la loi Informatique et Libertés. Sur l’information des personnes concernées et les modalités d’exercice des droits L’article 6 du projet prévoit que les personnes physiques mentionnées au troisième alinéa de l’article 5, c’est-à-dire le responsable, les salariés et les prestataires des laboratoires de recherche et bureaux d’études, sont informés du recueil et de la publicité des données les concernant par le laboratoire de recherche ou bureau d’études. Il prévoit, par ailleurs, que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi n° 78-17 du 6 janvier 1978 modifiée s'exercent auprès de l’INDS. La Commission déduit de l’absence de mention du droit d’opposition que le ministère souhaite en écarter l’application. Elle prend acte de ce que le ministère s’est engagé à écarter formellement la possibilité pour les personnes concernées d’exercer leur droit s’opposition en précisant dans le projet que " le droit d’opposition prévu à l’article 38 de la LIL ne s’applique pas au(x) traitement(s) de données à caractère personnel autorisé(s) par le présent arrêté ". La Commission suggère au ministère de modifier cet ajout afin de faire mention des " traitements de données à caractère personnel relatifs à la déclaration d’intérêts ", dans la mesure où l’arrêté n’a pas pour objet d’autoriser la création d’un traitement. En outre, la Commission relève que les deux modèles de formulaire figurant dans le projet ne comportent pas les mentions prévues par l’article 32 de la loi n° 78-17 du 6 janvier 1978 modifiée. Elle demande qu’ils soient complétés en conséquence. Sur l’engagement de conformité au référentiel : Le deuxième alinéa de l’article L. 1461-3-II-2° du code de la santé publique prévoit que les laboratoires de recherche et bureaux d’études présentent à la Commission un engagement de conformité au référentiel prévu par le projet. La Commission prend acte de l’engagement du ministère de mentionner cette obligation dans le projet, en précisant que l’engagement de conformité devra être réalisé auprès de la Commission. Les autres dispositions du projet n'appellent pas, en l'état et au regard de la loi n° 78-17 du 6 janvier 1978 modifiée, d'observation de la Commission. La présidente Isabelle FALQUE-PIERROTIN


Délibération n° 2024-095 du 12 décembre 2024 portant élection d'un membre de la formation restreinte de la Commission nationale de l'informatique et des libertés

La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ; Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 6 ; Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ; Après avoir procédé au vote, Constate : Article 1 M. Didier KLING est élu membre de la formation restreinte de la Commission. Article 2 La formation restreinte de la Commission nationale de l'informatique et des libertés est ainsi composée de : M. Philippe-Pierre CABOURDIN, président. M. Vincent LESCLOUS, vice-président. Mme Laurence FRANCESCHINI. M. Didier KLING. Mme Isabelle LATOURNARIE-WILLEMS. M. Bertrand DU MARAIS. Article 3 La présente délibération sera publiée au Journal officiel de la République française. La présidente, M.-L. Denis


Délibération n° 2024-056 du 18 juillet 2024 portant avis sur un projet de décret relatif au fichier national du permis de chasser

N° de demande d’avis : 24007844 Thématiques : permis de chasser, environnement Organisme(s) à l’origine de la saisine : Ministère de la transition écologique et de la cohésion des territoires, Office français de la biodiversité, Fédération nationale des chasseurs Fondement de la saisine : Article 8.I. 4°.a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés L’essentiel : Le fichier national du permis de chasser est créé par l'Office français de la biodiversité (OFB) et la Fédération nationale des chasseurs (FNC). Il est constitué du fichier central des titres permanents du permis de chasser (FCTP) géré par l’OFB et du fichier central des validations et autorisations de chasser (FCVA) géré par la FNC. Les données relatives au titulaire de l’autorisation de chasser, à son accompagnateur et au titulaire de la validation du permis de chasser seront regroupées dans le FCVA. Elles seront conservées pendant une durée de six années au terme de la validation ou de l’autorisation - soit sept ans au total - ce qui correspond au délai de prescription administrative ou judiciaire. La CNIL invite le ministère à inscrire cette durée dans le projet de décret. Les données relatives aux mesures administratives ou judiciaires affectant la validité du titre seront supprimées à la fin de la mesure et ne seront conservées, en archivage intermédiaire, qu’en cas de contentieux et jusqu’à expiration des voies de recours. L’OFB et de la FNC s’engagent à effectuer une AIPD requise par l’article 35 du RGPD avant la mise en œuvre des traitements, en cohérence avec l’engagement de l’OFB concernant le FCTP. ______________ La Commission nationale de l'informatique et des libertés, Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (" loi informatique et libertés "), notamment son article 8.I.4°.a) ; Après avoir entendu le rapport de M. Alain Dru, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante : I. La saisine A. Le contexte Le droit de chasser est conditionné à la détention de trois éléments : le titre permanent du permis de chasser, obtenu par la réussite d’un examen et délivré à vie ; la validation du permis de chasser, qui consiste en une demande administrative et une cotisation à renouveler chaque année auprès de la fédération départementale compétente ; et la souscription d’une assurance chasse. L’article L. 423-4 du code de l'environnement crée un fichier national du permis de chasser constitué : du fichier central des titres permanents du permis de chasser (FCTP) géré par l'Office français de la biodiversité (OFB) ; et du fichier central des validations et autorisations de chasser (FCVA) géré par la Fédération nationale des chasseurs (FNC). B. L’objet de la saisine La CNIL a été saisie pour avis sur un projet de décret relatif à la création du fichier national du permis de chasser. Il vise à centraliser, au niveau national, les données relatives aux détenteurs d’un permis de chasser, d’une validation du permis de chasser ou d’une autorisation de chasser, dans un but de contrôle administratif. L’OFB et la FNC sont responsables conjoints de ce traitement fondé sur l’obligation légale instituée par l’article L. 423-4 du code de l'environnement. II. L ’avis de la CNIL A. Sur les durées de conservation En premier lieu, le projet de décret prévoit la conservation des données relatives au titulaire de l’autorisation de chasser, à ses accompagnateurs et au titulaire de la validation du permis de chasser " conformément aux dispositions prévues par le fichier central des validations et autorisations de chasser de la fédération nationale des chasseurs ". Le ministère a précisé que ces données seront conservées pendant une durée de six années au terme de la validation ou de l’autorisation – soit sept ans au total -, ce qui correspond au délai de prescription administrative ou judiciaire. La CNIL considère que cette durée est justifiée et invite le ministère à l’inscrire dans le projet de décret. En deuxième lieu, le projet de décret prévoit que les données relatives aux événements affectant la validité du permis de chasser, de l’autorisation de chasser ou de la validation du permis de chasser sont conservées pendant une durée maximale d’un an à compter de la date de fin de la mesure administrative ou de la mesure judiciaire affectant le titre. Le projet de fichier national des permis de chasser a pour objet de vérifier, lors d’un contrôle administratif, que la personne contrôlée dispose à cet instant des autorisations nécessaires à la pratique de la chasse. Par conséquent, la CNIL s’interroge sur la conservation de ces données au terme de la mesure. Aussi, elle accueille favorablement la proposition du ministère de supprimer les données à la fin de la mesure et de ne les conserver au-delà qu’en cas de contentieux, en archivage intermédiaire et jusqu’à expiration des voies de recours. En dernier lieu, d’une manière générale, la CNIL rappelle également, compte tenu de la sensibilité des données traitées, que les mesures de sécurité techniques et organisationnelles doivent être adaptées pour se prémunir contre les atteintes à la confidentialité et à l’intégrité des données collectées. B. Sur les destinataires des données Le projet d’article D. 423-1-5 prévoit la consultation automatique du fichier national des interdits d’acquisition et de détention d’armes (FINIADA). L’article R. 312-81 du code de la sécurité intérieure (CSI) précise que la consultation du FINIADA par les agents habilités de l’OFB et de la FNC se fait sur " requête individuelle ". La CNIL relève que le projet de décret permet aux seules personnes dont les missions le justifient et qui sont autorisées par le CSI à interroger le FINIADA à accéder à la donnée d’inscription ou non à ce fichier. Autrement dit, parmi les catégories de personnes citées comme destinataires par le projet d’article D. 423-1-4, les agents de développement des FNC (2°), les agents des réserves naturelles et les agents de l’Office national des forêts (3°) n’auront pas accès à cette donnée. La CNIL invite le ministère à distinguer de manière explicite les destinataires qui n’accèderont pas à la donnée d’inscription au FINIADA. C. Sur la réalisation d’une analyse d’impact relative à la protection des données (AIPD) Le projet de décret prévoit la collecte de données à caractère personnel à grande échelle, de données relatives à des condamnations ainsi que de données de personnes dites vulnérables (mineurs et personnes âgées). Au regard de ces éléments et des critères établis par le Comité européen de la protection des données afin de déterminer si un traitement de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes concernées, la CNIL estime nécessaire la réalisation d’une AIPD. La CNIL prend acte de l’engagement de l’OFB et de la FNC d’effectuer une AIPD. Un tel engagement ayant également été pris par l’OFB concernant le fichier central des titres permanents des permis de chasser, elle rappelle que cette analyse doit être effectuée avant la mise en œuvre du projet de traitement en application de l’article 35 du RGPD. Les autres dispositions du projet de décision n’appellent pas d’observations de la part de la CNIL. La présidente, M.-L. Denis