AgentPublic/cnil huggingface dataset:
La commission note qu'en raison du caractère obligatoire attaché à l'enquête  GARE en ménages , le droit d'opposition ne s'applique pas au traitement lié à cette enquête.Cependant le caractère obligatoire n'est attaché qu'à l'enquête  CARE en ménages . La commission prend acte, qu'à sa demande, l'article 9-II du projet de décret relatif aux droits des personnes précisera que les sujets de l'enquête seront informés du caractère obligatoire ou non de l'enquête dans la lettre-avis qui leur sera adressée, impliquant le cas échéant une absence de droit d'opposition.Par ailleurs, à la demande de la commission, l'article 2 du projet de décret en Conseil d'Etat, portant autorisation de mise en œuvre du traitement de données à caractère personnel relatif au dispositif d'enquêtes  CARE , sera complété et précisera que les sujets de l'enquête seront informés par l'envoi d'une lettre-avis accompagnée d'un dépliant d'informations et qu'une lettre de relance en cas de non réponse leur sera adressée.Sur ce point, eu égard aux engagements pris par le ministère, le projet de décret n'appelle pas d'observation de la part de la commission, les mentions d'informations précisées à l'article 32 de la loi du 6 janvier 1978 modifiée étant reprises dans les dépliants d'informations versés au dossier de demande d'avis.Sur les droits d'accès, de rectification et d'opposition des personnes :L'article 9 du projet de décret en Conseil d'Etat précise les modalités d'exercice des droits des personnes, qui
s'exerceront auprès de la direction générale de l'INSEE ou des directions régionales ou interrégionales de l'INSEE, et ce uniquement pour les sujets de l'enquête  GARE en ménages .Concernant l'enquête  CARE en institutions , l'article 9 du projet de décret précise uniquement que les droits des personnes s'exerceront auprès du  prestataire sous la responsabilité de la DREES .Or, l'article 29-2° de la loi du 6 janvier 1978 modifiée impose que l'acte autorisant la création du traitement précise  le service auprès duquel s'exerce le droit d'accès .En conséquence, la commission prend acte, qu'à sa demande, le projet de décret précisera que le service auprès duquel les personnes faisant l'objet de l'enquête  GARE en institutions  pourront exercer leurs droits, sera identifié au sein de la lettre-avis qui leur sera adressée.Sur la sécurité des données et la traçabilité des actions :L'article 5 alinéa 2 du projet de décret dispose que  le rapprochement des informations collectées par enquête avec les données administratives est précédé d'un chiffrement du NIR permettant de garantir la confidentialité des données .Si le chiffrement du NIR permet d'en garantir la confidentialité lors de son transfert, les rapprochements avec les données du SNIIRAM ne peuvent être réalisés après le double hachage du NIR en clair et des éléments d'identité de l'assuré.En conséquence, la commission demande que l'article 5 du projet de décret précise que le chiffrement du NIR permet d'en garantir la
confidentialité lors des transferts.La commission prend acte, qu'à sa demande, un article 10 a été ajouté au sein du projet de décret précisant que le responsable de traitement garantit la sécurisation des transferts de données et met en place une politique de gestion d'habilitations d'accès aux données.Les conditions de conservation des données ainsi que les modalités d'accès n'étant pas précisées, la commission demande que cet article soit complété afin de préciser les objectifs de sécurité que le responsable de traitement devra mettre en œuvre.Elle recommande à cet égard qu'une étude des risques pesant sur la vie privée des personnes soit menée.La commission estime que les objectifs de sécurité qui devront être pris en compte sont les suivants :
- empêcher les utilisations inadaptées des matériels et logiciels ;- empêcher que le matériel ou le logiciel soit observé ;- empêcher les modifications du matériel et des logiciels ;- éviter la perte ou le vol du matériel ou des logiciels ;- empêcher les écoutes des canaux informatiques ou papier ;- réduire les risques liés à des personnes habilitées à accéder aux données (par exemple éviter l'influence ou la pression pouvant être exercée sur ces personnes) ;- le cas échéant, protéger les documents papier contre les accès illégitimes.
S'agissant plus spécifiquement de l'enquête  CARE en ménages , le dossier technique et les compléments fournis à l'appui de la demande d'avis précisent que seules les personnes spécifiquement habilitées disposent d'un accès aux données. Pour ce faire, le personnel de la DRESS s'authentifie au moyen d'une carte à puce personnelle associée à un code secret. Les cartes sont attribuées aux agents lors de leur prise de fonction, et reprise lors du départ de l'agent.De plus, l'accès au fichier de données nécessite de renseigner un mot de passe composé de huit caractères, et comportant au moins un chiffre et un caractère spécial.Au sein du groupe des écoles nationales d'économie et statistique (Genes), les personnes habilitées à accéder aux données doivent disposer d'un boîtier spécifique ( SD-Box ), boîtier fourni par le Genes permettant l'accès à un espace de stockage dédié au dispositif d'enquêtes  GARE , sur les serveurs du centre d'accès sécurisé distant aux données (CASD). L'authentification doit être réalisée par le recours à un dispositif biométrique.Les modalités d'accès aux données par le personnel habilité de l'INSEE, de la CNAMTS, de la CCMSA et de la CNAV ne sont pas précisées.La commission rappelle que ces personnels habilités doivent être authentifiés avant tout accès aux données.Aucune mesure n'est prévue, ou n'a été décrite dans le dossier, pour tracer les activités réalisées sur les données.La commission demande que soient mises en œuvre des mesures permettant
d'assurer qu'aucun comportement déviant ou anormal ne puisse avoir lieu sans être détecté.Les transferts de données sont sécurisés, soit par le recours à des protocoles sécurisés, soit par le chiffrement des données préalablement à leur inscription sur les supports matériels utilisés pour leur transmission, soit par une combinaison de protocoles sécurisés et de chiffrement des données. L'algorithme de chiffrement utilisé est un algorithme asymétrique.S'agissant des clés secrètes utilisées pour chiffrer les données, la commission rappelle que les clés privées doivent être conservées secrètes par les destinataires des données.La commission prend acte du fait que les données transmises à la DRESS sont transmises en main propre sur matériel chiffré.Au sein de la DRESS, les données conservées sont des données indirectement identifiantes. Elles sont conservées sur un serveur sécurisé à accès physique et logique restreint.Les données sont conservées au sein du Genes dans un espace sécurisé, pour lequel un audit a été réalisé par une entreprise externe au Genes. Les modalités de suppression des données ne sont pas précisées dans le dossier.Les modalités de suppression des données par les différents intervenants du système (INSEE, Genes, CNAMTS, CNAV, CCMSA et DRESS) ne sont pas précisées dans le dossier,La commission demande à ce que les modalités de suppression définitive des données, une fois celles-ci transmises à la DRESS, ou à l'issu de la durée de conservation, soient prévues
et mises en œuvre.Les autres points du projet de décret n'appellent pas, en l'état et au regard de la loi du 6 janvier 1978 modifiée, d'autres observations de la commission.
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du sport, notamment ses articles L. 332-15, L. 332-16, R. 332-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 9 et le 3° du I de son article 25 ;  
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Au sens de la loi du 6 janvier 1978 modifiée, les interdictions de stade prononcées par l’autorité judiciaire à titre de peine complémentaire, ainsi que les mesures d’interdiction de stade décidées par l’autorité administrative, sont des données à caractère personnel relatives à des infractions, condamnations ou mesures de sûreté.
L’article 9 de la loi du 6 janvier 1978 modifiée, tel qu’interprété par le Conseil constitutionnel dans sa décision n° 2004-499 DC du 29 juillet 2004, réserve la faculté de créer un traitement de données à caractère personnel relatives à des infractions, condamnations ou mesures de sûreté :
-       aux juridictions, aux autorités publiques et aux personnes morales gérant un service public, agissant dans le cadre de leurs attributions légales ; 
-       aux auxiliaires de justice, pour les stricts besoins de l'exercice des missions qui leur sont confiées par la loi ; 
-       aux personnes morales mentionnées aux articles L. 321-1 et L. 331-1 du code de la propriété intellectuelle, agissant au titre des droits dont elles assurent la gestion ou pour le compte des victimes d'atteintes aux droits prévus aux livres Ier, II et III du même code aux fins d'assurer la défense de ces droits ;
-       aux personnes physiques ou morales victimes d’une infraction dans le cadre de l’exercice d’un recours juridictionnel.
En dehors de ces hypothèses, il est impossible de mettre en œuvre un traitement de données à caractère personnel relatives à des infractions, condamnations ou mesures de sûreté, sauf en présence d’une disposition légale spécifique permettant de déroger à l’article 9 de la loi du 6 janvier 1978 modifiée.
Sans préjudice des missions de service public confiées aux fédérations sportives agréées, deux dispositions légales spécifiques figurant au code du sport permettent à la Commission d’autoriser la mise en œuvre de traitements de données à caractère personnel relatives à des condamnations ou à des mesures de sûreté, en dehors des hypothèses prévues par l’article 9 de la loi du 6 janvier 1978 modifiée, pour   permettre aux organisateurs de manifestations sportives de préserver la sécurité des participants et des spectateurs.
L’article L. 332-15 du code du sport prévoit en effet que le préfet du département ou, à Paris, le préfet de police communique aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées, l'identité des personnes physiques ayant été condamnées à une peine complémentaire d’interdiction de stade par l’autorité judiciaire. 
L’article L. 332-16 du même code prévoit, quant à lui, des dispositions analogues s’agissant des personnes physiques faisant l'objet d’une mesure d'interdiction de pénétrer ou de se rendre aux abords des enceintes sportives prononcée par l’autorité administrative, par arrêté motivé, en raison de l’existence d’une menace pour l'ordre public.
En application du 3° du I de l’article 25 de la loi du 6 janvier 1978 modifiée, la mise en œuvre d’un traitement de données à caractère personnel, automatisé ou non, portant sur des données relatives à des infractions, condamnations ou mesures de sûreté doit être autorisée par la Commission.
Toutefois, en application du II de l'article 25 de la loi du 6 janvier 1978 modifiée, la Commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires. 
Les traitements automatisés de données à caractère personnel visant à permettre la mise en œuvre des interdictions de stade prononcées par l’autorité judiciaire ou administrative sont de ceux qui peuvent, sous certaines conditions, relever de cette définition. 
Les responsables de traitement qui adressent à la Commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre. 
Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit en revanche faire l'objet d'une demande d'autorisation spécifique. 
Article 1er : Champ d’application
Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente décision les traitements, automatisés ou non, mis en œuvre par les organismes mentionnés aux articles L. 332-15 et L. 332-16 du code du sport aux fins de priver les personnes frappées d’une interdiction de stade, prononcée par une juridiction ou un préfet, de la possibilité d’accéder à une enceinte dans laquelle se déroule une manifestation sportive à laquelle il leur est interdit d’assister.
Article 2 : Finalité du traitement
Les traitements mis en œuvre sur la base de la présente décision ne peuvent avoir pour finalité que la constitution de listes de personnes physiques faisant l’objet d’une interdiction de stade en vigueur, prononcée par une juridiction ou un préfet, et ce, afin de ne pas leur fournir un titre d’accès ou de pouvoir leur refuser l’accès à une enceinte dans laquelle une manifestation sportive est organisée.
Article 3 : Données collectées et traitées
La Commission rappelle que des données à caractère personnel ne peuvent être collectées que si elles sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie. Un responsable de traitement doit ainsi être en mesure de justifier du caractère nécessaire des données à caractère personnel effectivement collectées.
Pour atteindre la finalité mentionnée à l’article 2 de la présente décision, les responsables de traitement peuvent collecter et traiter les données que les préfets leur transmettent en application des articles R. 332-2 et R. 332-7 du code du sport.
La Commission estime que ces responsables peuvent également traiter les adresses et les photographies des personnes concernées par une interdiction de stade, lorsque ces données ont été collectées par un moyen légitime, en particulier à l’occasion de la souscription d’un abonnement ou de l’achat d’un titre d’accès, dans la mesure où ces informations présentent un intérêt pour identifier les personnes frappées par une interdiction de stade, ainsi que pour les informer de leurs droits tels que précisés par l’article 6 de la présente décision. 
S’agissant des photographies éventuellement collectées, la Commission précise que ces données ne peuvent être utilisées pour mettre en place un dispositif biométrique de reconnaissance faciale. 
La Commission relève que le code du sport ne prévoit pas que les raisons ayant conduit au prononcé d’une interdiction de stade puissent être transmises par les préfets territorialement compétents aux associations et sociétés sportives, ainsi qu'aux fédérations sportives agréées. Dans la mesure où cette information ne présente pas d’intérêt au regard de la finalité mentionnée à l’article 2 de la présente décision, elle estime que cette information ne peut être traitée.
Sur la base de la présente décision, les responsables de traitement peuvent ainsi collecter des données relatives à :
-      l’identification des personnes (nom ; prénom ; adresse ; date et lieu de naissance ; photographie) ;
-      des condamnations ou mesures de sûreté, à savoir :
o   en cas d’interdiction judiciaire de stade: date de la décision et durée de la peine complémentaire ; 
o   en cas d’interdiction administrative de stade: enceintes et abords interdits d’accès, type de manifestations sportives concernées, date et durée de validité de l’arrêté préfectoral d’interdiction, le cas échéant obligation de répondre aux convocations des autorités ou des personnes qualifiées désignées par l’autorité préfectorale.
Article 4 : Durée de conservation des données
Conformément au 5° de l'article 6 de la loi du 6 janvier 1978 modifiée, des données à caractère personnel ne peuvent être conservées, que le temps strictement nécessaire à l'accomplissement de la finalité pour laquelle elles ont été collectées.
Au regard de la finalité indiquée à l’article 2 de la présente décision, les données à caractère personnel collectées sur la base de cette dernière ne peuvent être conservées au-delà de la durée d’une interdiction de stade prononcée par l’autorité judicaire ou administrative.
La Commission rappelle à cet égard, conformément aux articles R. 332-3 et R. 332-9 du code du sport et au 4° de l’article 6° de la loi du 6 janvier 1978 modifiée, que le responsable de traitement doit mettre à jour son traitement sans délai et, en particulier, supprimer les données à caractère personnel : 
-       à l’expiration de la durée d’interdiction prononcée par un juge ou un préfet ;
-       lorsqu’une peine complémentaire d’interdiction de stade prononcée par l’autorité judiciaire est infirmée à l’occasion d’un recours juridictionnel ou amnistiée ;
-       lorsqu’une mesure administrative d'interdiction de pénétrer dans des enceintes sportives ou de se rendre à leurs abords est annulée par une juridiction administrative.
Lorsqu’une mesure administrative d'interdiction de pénétrer dans des enceintes sportives ou de se rendre à leurs abords est simplement suspendue par une juridiction administrative, les données relatives à la personne concernée peuvent être conservées dans le traitement, jusqu’à l’intervention de la décision définitive, sous réserve que les effets de la mesure d’interdiction initialement prononcée soient suspendus par le responsable de traitement, de façon à permettre à la personne concernée d’accéder à une enceinte sportive pendant le temps de la suspension.
En cas d’utilisation d’un traitement automatisé, puisque le responsable de traitement connait dès l’origine la durée de validité d’une interdiction de stade, la Commission estime nécessaire qu’une purge automatique des données soit mise en œuvre à l’issue de cette période ou, à défaut, qu’une procédure garantisse de façon certaine le même résultat. 
Article 5 : Destinataires des données
Conformément à l’article 34 de la loi du 6 janvier 1978 modifiée, le responsable d'un traitement de données à caractère personnel est tenu de prendre toutes les garanties utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et notamment empêcher que des tiers non autorisés y aient accès. 
Dans les limites de leurs attributions, et chacun pour ce qui le concerne, seuls les employés du responsable de traitement qui présentent un intérêt légitime à en connaitre, au regard de leurs attributions, peuvent accéder aux données listées à l’article 3 de la présente décision, en particulier les membres habilités d’un service sécurité, d’un service billetterie, d’un service juridique ou encore d’un service chargé d’organiser les rencontres et de filtrer les accès d’une enceinte sportive.
En cas de recours à un sous-traitant, seul le personnel spécialement habilité du sous-traitant doit pouvoir accéder aux données se rapportant à une liste de personnes interdites de stade, à l’exclusion de toute personne n’étant pas chargée d’assurer la réalisation de la prestation de service. Dans cette hypothèse, le responsable de traitement devra par ailleurs tout mettre en œuvre pour récupérer les documents en format papier remis à son sous-traitant ou pour faire cesser une mise à disposition dématérialisée de ces informations. 
Article 6 : Information et droits des personnes
Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, à l'information des personnes concernées par affichage, envoi ou remise d'un document, ou par tout autre moyen équivalent, en indiquant l'identité du responsable de traitement, la finalité poursuivie par le traitement, les destinataires des données et les modalités d'exercice des droits des personnes (droit d'accès, de rectification et d'opposition pour motif légitime). 
Cette information peut ainsi être délivrée par l’envoi d’un courrier postal ou électronique, par une mention dans des conditions générales de vente, par une mention sur les billets, ou par un autre moyen que le responsable de traitement jugerait plus adapté.
En cas d’impossibilité pratique pour délivrer cette information, en particulier lorsque le responsable de traitement n’a pas eu de contact avec une personne avant le jour de la manifestation qu’il organise ou ne dispose pas de son adresse, cette personne doit être informée de son inscription dans le traitement lors du premier contact avec le responsable de traitement, par exemple par la remise d’un formulaire contre signature ou par l’envoi d’un courrier ou d’un courriel.   
Les droits d'accès, de rectification et d'opposition définis au chapitre V de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du ou des services que le responsable de traitement doit impérativement désigner.
S’agissant du droit d’opposition, la Commission rappelle que ce droit ne peut être invoqué que pour un motif légitime.
Article 7 : Sécurité des données et traçabilité des actions
La Commission rappelle que le responsable du traitement doit prendre toutes les précautions utiles au regard des risques présentés par le traitement pour préserver la sécurité des données à caractère personnel. Pour atteindre cet objectif, il peut en particulier réaliser une étude des risques liés à la sécurité des données permettant de définir les mesures les plus adaptées au contexte en présence.
Il doit, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher que les données soient déformées, endommagées ou que des tiers non autorisés y aient accès.
À cet égard, en cas de recours à un traitement automatisé, le responsable de traitement doit s'assurer plus particulièrement : 
-      que toute transmission d'information via un canal de communication non sécurisé, par exemple Internet, s'accompagne de mesures adéquates permettant de garantir la confidentialité des données échangées, telles qu'un chiffrement des données. Les moyens utilisés doivent être conformes à l'état de l'art et, le cas échéant, respecter les recommandations de la Commission ;
-      que les personnes habilitées disposant d'un accès aux données s'authentifient avant tout accès à des données à caractère personnel, au minimum au moyen d'un identifiant et d'un mot de passe personnels respectant les recommandations de la CNIL, ou par tout autre moyen d'authentification garantissant au moins le même niveau de sécurité ;
-      qu'un mécanisme de gestion des habilitations est mis en œuvre et régulièrement mis à jour pour garantir que les personnes habilitées n'ont accès qu'aux seules données effectivement nécessaires à la réalisation de leurs missions. Le responsable de traitement doit définir et formaliser une procédure permettant de garantir la bonne mise à jour des habilitations ;
-      qu’un mécanisme ou qu’une procédure garantit que les données à caractère personnel seront automatiquement supprimées à l'issue de leur durée de conservation ;