AgentPublic/cnil huggingface dataset:
Dès lors, à la différence du traitement DRACAR qui faisait seulement référence à la décision prise par le préfet, DRACAR NG peut comporter des données relatives à des infractions ou des condamnations. 
Il y a donc lieu de faire application des dispositions prévues à l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation par la Commission les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté.
Sur la finalité du traitement :
Le CNAPS souhaite mettre en œuvre un nouveau traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des demandes de titres (DRACAR NG). 
À ce titre, la Commission relève que les demandes de titres sont adressées aux différentes délégations territoriales compétentes qui procèdent à leur instruction avant de les transmettre aux CIAC-CLAC, lesquelles décident ou non de la délivrance du titre. 
Elle rappelle que cette délivrance intervient de manière dématérialisée, conformément aux dispositions du décret n° 2009-137 du 9 février 2009 susvisé.
À l’instar de DRACAR, DRACAR NG doit permettre d’attribuer, si les conditions légales sont respectées :
un numéro de carte professionnelle délivrée aux personnes souhaitant être employées pour participer à une activité de surveillance, de gardiennage, de transport de fonds, de protection des personnes ;
un numéro d'autorisation préalable ou d'autorisation provisoire délivrée aux personnes souhaitant se former aux fins d'acquérir l'aptitude professionnelle nécessaire à l'obtention de la carte professionnelle.
Le traitement DRACAR NG poursuit ainsi des finalités identiques à celles de DRACAR. Compte tenu de ces éléments, la Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.  
Sur la nature des données traitées :
Les données traitées se rapportent aux personnes ayant effectué une demande de titre auprès des délégations territoriales du CNAPS. À cette fin, sont collectées directement auprès de la personne concernée : 
des données d’identité : nom, prénom, adresse, date et lieu de naissance ; 
le numéro unique de bénéficiaire (NUB) qui constitue une fraction du numéro de titre demandé ainsi que le numéro de titre délivré ;
des données relatives à la vie professionnelle : certificat de qualification professionnelle ; 
des données relatives à la situation économique : chiffre d’affaire et extrait K-bis de la société ; 
des données de connexion : un identifiant de connexion à la plateforme DRACAR NG.
Au regard des finalités poursuivies par le traitement et du caractère nécessairement dématérialisé de la procédure de délivrance des titres, la Commission considère que ces données n’appellent pas d’observation particulière.
Sont également amenées à figurer dans le traitement des données relatives à des infractions ou des condamnations.
En effet, conformément aux dispositions de l’article L. 114-1 du code de la sécurité intérieure, les services d’instruction des délégations territoriales du CNAPS procèdent à des enquêtes administratives (dites « enquêtes de moralité ») afin de vérifier que le comportement des personnes physiques ou morales sollicitant un titre n’est pas incompatible avec l’exercice des fonctions ou des missions envisagées.
Ces enquêtes peuvent révéler des inscriptions au traitement des antécédents judiciaires (TAJ) prévu à l’article 230-6 du code de procédure pénale ou au bulletin  n° 2 du casier judiciaire ne permettant pas la délivrance des titres, conformément aux dispositions de l’article L. 612-20 du code de la sécurité intérieure.
La Commission relève que ces données peuvent être collectées directement auprès de la personne concernée ou de manière indirecte auprès des services de police et de gendarmerie nationales. Dans ce dernier cas, l’information est cependant limitée à la seule connaissance de l’enregistrement de l’identité de la personne concernée dans le TAJ en tant que mis en cause. Lorsque l’identité apparaît comme étant connue lors de la consultation du fichier, une seconde consultation du traitement d’antécédents judiciaires est effectuée par les personnels de la police nationale spécialement habilités à cet effet et qui demandent, le cas échéant, les suites judiciaires auprès des parquets concernés.
Elle rappelle qu’un accès direct, par le CNAPS, au TAJ nécessiterait la modification des dispositions réglementaires du code de procédure pénale relatives à ce traitement, sur laquelle la Commission s’est déjà prononcée en avril 2013 mais qui n’a pas encore été prise par le pouvoir réglementaire.
En tout état de cause, la Commission rappelle qu’aucune décision ne peut être prise sur le seul fondement des résultats issus de cette consultation, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, rappelées notamment dans la circulaire du 23 décembre 2011 relative à l’installation du CNAPS. À cet égard, le CNAPS a prévu, avant toute décision de refus d’une demande, l’ouverture d’une phase contradictoire durant laquelle l’intéressé est mis en mesure de présenter ses observations lorsque l’enquête administrative fait apparaître des antécédents potentiellement incompatibles avec la profession envisagée.  
Enfin, la Commission prend acte que, à sa demande, aucune donnée à caractère personnel comportant des appréciations sur les difficultés sociales des personnes ne sera finalement collectée afin d’assurer la gestion et le suivi des demandes de titres dans le cadre de DRACAR NG. 
Au regard de ces éléments, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :
Les données relatives à la carte professionnelle sont conservées pour une durée de cinq ans et six mois. La Commission relève que cette durée correspond à la durée de validité d’une carte professionnelle à laquelle s’ajoute la durée permettant d’instruire les demandes de renouvellement des titres.
Les données relatives au titre délivré à une personne morale sont conservées pour une durée correspondant à la durée de validité de celui-ci. 
Les données de connexion sont conservées un an.
Ces durées de conservation n’appellent pas d’observation particulière. 
Sur les destinataires des données :
La Commission relève que les données d’identité, le numéro unique de bénéficiaire (NUB), le numéro de titre délivré, les données relatives à la vie professionnelle ainsi que les données relatives à la situation économique des demandeurs de titres pourront être transmises aux agents du CNAPS suivants : les services instructeurs de gestion des demandes de titre ainsi que les chefs instructeurs, les services des contrôles, les chefs des délégations territoriales, les secrétaires permanents ainsi que le service des affaires juridiques du CNAPS en cas de recours administratif préalable. 
Les données de connexion ne pourront être transmises qu’au responsable de la sécurité et des systèmes d’information du CNAPS, ce qui n’appelle pas d’observation particulière. 
S’agissant des données relatives aux infractions et condamnations, la Commission relève que seront destinataires de ces données :
les services instructeurs des délégations territoriales compétentes en tant qu’ils reçoivent et instruisent les demandes de titres ; 
les secrétaires permanents des CIAC-CLAC compétentes qui participent à la rédaction des délibérations relatives aux demandes de titres ; 
la Commission Nationale d’Agrément et de Contrôle (CNAC) ; 
le service des affaires juridiques en cas de recours administratifs contre les décisions des CIAC-CLAC.
Elle relève enfin que les agents dûment habilités du bureau des polices administratives de la Direction des Libertés Publiques et des Affaires Juridiques (DLPAJ) du ministère de l’intérieur disposeront d’un accès direct, en mode consultation, au traitement DRACAR NG, en fonction de leur besoin d’en connaître. Il est de même des agents habilités des préfectures, aux fins d’exercice de leur mission de police administrative dans le cadre des activités de sécurité privée. 
Sur les droits des personnes : 
L’information des personnes concernées par le traitement est réalisée par le biais des mentions légales figurant sur le formulaire de demande de titres, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée. 
Les droits d’accès, de rectification et d’opposition pour motifs légitimes s’exercent directement auprès du CNAPS. 
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur la sécurité des données et la traçabilité des actions :
La Commission rappelle tout d’abord qu’étant un établissement public sous tutelle du ministère de l’intérieur, le CNAPS est soumis à la politique de sécurité des systèmes d’information de l’État (PSSIE). Aussi, la Commission recommande que les mesures nécessaires d’ajustement de la sécurité soient entreprises dès maintenant afin que la mise en conformité à cette politique soit effectuée dans les délais impartis par les textes en vigueur. 
Par ailleurs, elle prend acte que ce traitement sera hébergé dans un centre de données du ministère de l’intérieur dont les mesures de sécurité physique et logique sont de nature à assurer la confidentialité et l’intégrité des données à caractère personnel traitées. Ces mesures garantissent également la haute disponibilité des données et assurent ainsi le bon fonctionnement du service.
La Commission prend acte que l’accès au système d’information est contrôlé par une authentification forte via l’utilisation des cartes agents du ministère de l’intérieur. Elle note qu’une procédure de connexion particulière est prévue en cas de perte de la carte par un agent et que cette procédure spécifique est encadrée par des mesures de détection et de notification. Ces modalités relatives à l’authentification n’appellent aucune remarque.
En ce qui concerne les fonctions d’export au format PDF, la Commission recommande la mise en œuvre de mesures tendant à assurer une traçabilité des données pouvant être copiées par ce vecteur en dehors du présent système d’information.
La Commission estime que les mesures de sécurité mises en œuvre sont satisfaisantes au regard des obligations de l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle cependant que ces mesures doivent faire l’objet d’une mise à jour au regard de la réévaluation régulière des risques. 
Dans ces conditions, la Commission autorise le Conseil National des Activités Privées de Sécurité (CNAPS) à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion et le suivi des demandes de titres (DRACAR NG).
La Présidente
I. FALQUE-PIERROTIN
(demande d’autorisation n° 1635903)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil National des Activités Privées de Sécurité (CNAPS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’activité contentieuse ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article R. 40-29 ; 
Vu le code de la sécurité intérieure, notamment ses articles L. 114-1 et L. 631-1 à  L. 635-1 ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu la loi n° 83-629 du 12 juillet 1983 modifiée réglementant les activités privées de sécurité ;
Vu la loi n° 95-73 du 21 janvier 1995 modifiée d'orientation et de programmation relative à la sécurité, notamment son article 17-1 ; 
Vu la loi n° 2011-267 du 14 mars 2011 d’orientation et de programmation pour la performance de la sécurité intérieure ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2009-137 du 9 février 2009 relatif à la carte professionnelle, à l'autorisation préalable et à l'autorisation provisoire des salariés participant aux activités privées de sécurité définies à l'article 1er de la loi n° 83-629 du 12 juillet 1983 ; 
Vu le décret n° 2011-1919 du 22 décembre 2011 relatif au Conseil national des activités privées de sécurité et modifiant certains décrets portant application de la loi n° 83-629 du 12 juillet 1983 ;
Vu le décret n° 2014-901 du 18 août 2014 relatif aux activités privées de sécurité ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par le Conseil National des Activités Privées de Sécurité (CNAPS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’activité contentieuse.
Créé par la loi du 14 mars 2011 susvisée, le CNAPS est un établissement public à caractère administratif placé sous la tutelle du ministère de l’intérieur et investi d’une mission de police administrative. Il est en particulier chargé de l’agrément, du contrôle et du conseil des professions de sécurité privées. À ce titre, il exerce une partie des prérogatives antérieurement dévolues aux préfectures, lesquelles restent cependant chargées de la délivrance et du retrait de certains titres, dans le respect des conditions prévues par les dispositions du code de la sécurité intérieure. 
En particulier, le CNAPS diligente des enquêtes administratives afin de vérifier que le comportement des personnes physiques ou morales intéressées n’est pas incompatible avec l’exercice des fonctions ou des missions envisagées. Ces enquêtes peuvent révéler des inscriptions au traitement des antécédents judiciaires (TAJ) prévu à l’article 230-6 du code de procédure pénale ou au bulletin n° 2 du casier judiciaire ne permettant pas la délivrance des titres, conformément aux dispositions de l’article L. 612-20 du code de la sécurité intérieure. Les résultats issus de ces enquêtes peuvent donc amener les commissions interrégionales ou locales d’agréments et de contrôle (CIAC-CLAC) du CNAPS à prendre des décisions défavorables à l’encontre des demandeurs de titre. Ces décisions peuvent faire l’objet d’un recours de la part du demandeur.
Le traitement projeté est donc susceptible de contenir des données relatives à des infractions ou des condamnations. Dès lors, il y a lieu de faire application des dispositions prévues à l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, qui soumettent à la procédure de l’autorisation par la Commission les traitements portant sur des données relatives aux infractions, condamnations ou mesures de sûreté. 
Sur la finalité du traitement :
Le CNAPS souhaite mettre en œuvre un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’activité contentieuse. 
Le CNAPS est dirigé par un collège composé de représentants de l’État, d’un magistrat du parquet général de la Cour de cassation, d’un membre du Conseil d’État, de personnes issues des activités privées de sécurité et de personnalités qualifiées. Ce collège comprend en son sein une formation spécialisée, la Commission nationale d’agrément et de contrôle (CNAC), qui statue sur les recours administratifs préalables formés à l’encontre des décisions des commissions interrégionales et locales (CIAC-CLAC).
Les CIAC-CLAC peuvent délivrer, suspendre ou retirer les autorisations, agréments et cartes professionnelles des personnes souhaitant exercer ou exerçant des activités privées de sécurité. En cas d’infraction aux lois, règlements ou règles déontologiques de la profession, ces commissions peuvent également prononcer des sanctions disciplinaires (avertissement, blâme, etc.) et infliger des amendes aux entreprises et aux dirigeants non salariés.
La Commission relève que tout recours contentieux formé par une personne physique ou morale à l’encontre d’actes des CIAC-CLAC est précédé d’un recours administratif préalable devant la CNAC, à peine d’irrecevabilité du recours contentieux devant le tribunal administratif, conformément aux dispositions de l’article L. 633-3 du code de la sécurité intérieure. 
Elle prend acte que le traitement projeté aura pour objet d’assurer le suivi de l’activité contentieuse du CNAPS dans le cadre de l’ensemble des recours qui peuvent être exercés à l’encontre des décisions prises par les CIAC-CLAC, par la CNAC et par les juridictions administratives.
Ce traitement permettra également de s’assurer de la cohérence et de la coordination de l’instruction des demandes de titres au niveau territorial. En effet, la Commission relève que les demandeurs de titres n’étant nullement limités quant au nombre de demandes déposées, le CNAPS doit pouvoir tenir compte des décisions rendues en matière contentieuse afin d’autoriser ou de refuser la délivrance de nouveaux titres.  
Par ailleurs, le traitement projeté permettra l’élaboration de statistiques portant notamment sur le nombre de recours administratifs préalables, de recours contentieux ou encore de référés suspension introduits. La Commission rappelle qu’un traitement ultérieur de données à des fins statistiques est considéré comme compatible avec les finalités initiales de la collecte des données, s’il est réalisé dans le respect des principes et procédures prévus par la loi du 6 janvier 1978 modifiée et s’il n’est pas utilisé pour prendre des décisions à l’égard des personnes concernées, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée. Elle prend acte que ce traitement statistique ne contient aucune donnée à caractère personnel. 
Compte tenu de ces éléments, la Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.  
Sur la nature des données traitées :
Les données traitées se rapportent uniquement aux personnes ayant introduit un recours contentieux à l’encontre d’une décision prise par les CIAC-CLAC, la CNAC ou par les juridictions administratives. À cette fin, sont notamment collectées : 
des données d’identité : nom, prénom, adresse, date et lieu de naissance ; 
la situation familiale ; 
des données relatives à la vie professionnelle : curriculum vitae, situation professionnelle, scolarité, formation, distinction ; 
des données relatives à la situation économique (revenus).
La Commission relève que l’ensemble des informations précitées sont collectées directement auprès de la personne concernée, par le biais des informations renseignées dans le traitement DRACAR NG, lequel fait l’objet d’une délibération du même jour.
Sont également amenées à figurer dans le traitement des données relatives à des infractions ou des condamnations. 
En effet, conformément aux dispositions de l’article L. 114-1 du code de la sécurité intérieure, les services d’instruction des délégations territoriales du CNAPS procèdent à des enquêtes administratives (dites « enquêtes de moralité ») afin de vérifier que le comportement des personnes physiques ou morales sollicitant un titre n’est pas incompatible avec l’exercice des fonctions ou des missions envisagées.
Ces enquêtes peuvent révéler des inscriptions au traitement des antécédents judiciaires (TAJ) prévu à l’article 230-6 du code de procédure pénale ou au bulletin n° 2 du casier judiciaire ne permettant pas la délivrance des titres, conformément aux dispositions de l’article L. 612-20 du code de la sécurité intérieure. 
La Commission rappelle que, en tout état de cause, aucune décision ne peut être prise sur le seul fondement des résultats issus de la consultation du TAJ, conformément aux dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, rappelées notamment dans la circulaire du 23 décembre 2011 relative à l’installation du CNAPS. À cet égard, le CNAPS a prévu, avant toute décision de refus d’une demande, l’ouverture d’une phase contradictoire durant laquelle l’intéressé est mis en mesure de présenter ses observations lorsque l’enquête administrative fait apparaître des antécédents potentiellement incompatibles avec la profession envisagée.  
La Commission observe que, dans le cadre des contentieux qui le concernent, le CNAPS doit pouvoir disposer des informations issues de cette consultation dans la mesure où elles sont à même d’expliquer la décision prise par les CIAC-CLAC, la CNAC ou encore par les juridictions administratives.
Elle relève que la gestion effective du contentieux implique de disposer de l’ensemble des informations relatives aux personnes ayant introduit un recours, dans la mesure où l’analyse de ces données peut permettre d’expliquer les décisions prises par les organes du CNAPS ou encore par les juridictions administratives. 
La Commission considère dès lors que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée. 
Sur la durée de conservation des données :
Ces données sont conservées dans une base d’archives courantes (base active) le temps du contentieux, jusqu’à la notification de la décision de la juridiction compétente. 
Les données sont ensuite conservées dans une base d’archives intermédiaires (base inactive) pendant une durée de deux ans à compter de la notification de la décision de la juridiction saisie avant de faire l’objet d’une suppression définitive. 
La Commission prend acte que, durant cette période de deux ans supplémentaires, ces données ne seront accessibles qu’aux personnes du service des affaires juridiques du CNAPS dûment habilitées à en connaître pour l’exercice de leur mission. 
Sur les destinataires des données :
La Commission prend acte que les données collectées ne feront l’objet d’aucune transmission externe. Par ailleurs, elle relève que l’activité contentieuse du CNAPS est centralisée et traitée par le service des affaires juridiques de l’établissement, à l’exclusion des personnels des délégations territoriales. 
Seuls les agents du service des affaires juridiques ainsi que le secrétaire général et le directeur auront dès lors accès aux informations contenues dans le traitement projeté. 
Au regard de la finalité du traitement, la Commission considère que ces destinataires n’appellent pas d’observation particulière. 
Sur les droits des personnes :
L’information des personnes concernées par le traitement est réalisée par le biais des mentions légales figurant sur le formulaire de demande de titres, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée. 
Les droits d’accès, de rectification et d’opposition pour motifs légitimes s’exercent directement auprès du CNAPS. 
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes. 
Sur la sécurité des données et la traçabilité des actions :