AgentPublic/cnil huggingface dataset:
En effet, cette rédaction permettrait de collecter des données transitant sur des systèmes utilisés par des personnes protégées par le législateur en raison de secrets particuliers liés à l'exercice de leur profession, ou de les collecter dans les lieux de travail ou domiciles de ces dernières.
Il convient en outre de relever que les textes relatifs aux dispositifs de sonorisation ne comportent aucune restriction de ce genre, puisqu'il s'agit de lieux par définition immobiles, à la différence des systèmes d'information qui peuvent eux être mobiles.
Compte tenu de ce qui précède, la Commission exprime une réserve sur la rédaction de cet article et demande qu'elle soit reformulée de façon à ce que les objectifs poursuivis par le dispositif soient mieux définis.
Sur la surveillance de points publics d'accès à Internet :Le projet de loi prévoit la possibilité de mettre en oeuvre un dispositif de captation dans tout type de point d'accès public à Internet (cybercafés ou bornes d'accès publiques).
La Commission souligne la portée de cette disposition, qui pourrait permettre l'enregistrement pendant une durée d'au plus huit mois, de tous les caractères saisis au clavier et de toutes les images affichées sur l'écran de tous les ordinateurs d'un point d'accès public à Internet, et ce à l'insu des utilisateurs.
La Commission relève que si l'installation de dispositifs de captation de données informatiques demeure une mesure d'investigation exceptionnelle, sa mise en œuvre dans des points publics d'accès au réseau Internet présente un caractère particulièrement sensible.
Compte tenu de ces éléments, la Commission estime nécessaire que cette décision d'installation ainsi que les modalités d'utilisation de ces dispositifs particulièrement intrusifs, fassent l'objet d'une vigilance particulière, afin de garantir la proportionnalité de la mesure de surveillance aux objectifs poursuivis.
La Commission rappelle que le Conseil constitutionnel a considéré, dans sa décision n°2003-467 du 13 mars 2003 relative à la loi pour la sécurité intérieure, qu'il appartenait au législateur d'assurer la conciliation entre, d'une part, la prévention des atteintes à l'ordre public et la recherche des auteurs d'infractions, toutes deux nécessaires à la sauvegarde de droits et de principes de valeur constitutionnelle, et, d'autre part, l'exercice des libertés constitutionnellement garanties, au nombre desquelles figurent la liberté d'aller et venir et le respect de la vie privée, protégés par les articles 2 et 4 de la Déclaration des droits de l'homme et du citoyen de 1789, ainsi que la liberté individuelle, que l'article 66 de la Constitution place sous la surveillance de l'autorité judiciaire.
Sur l'obligation de sécuritéLa Commission relève tout d'abord qu'elle ne dispose pas d'information précise sur les outils de captation dont l'utilisation est envisagée.
Sur l'autorisation des dispositifs de captation :La Commission estime que les matériels et logiciels mis en œuvre pour procéder à cette captation doivent garantir l'impossibilité de les utiliser à des fins détournées de l'usage pour lequel ils sont spécifiquement paramétrés.
La Commission rappelle que l'article 226-3 du Code pénal prévoit que la fabrication, la commercialisation ou la publicité de matériels permettant de réaliser des interceptions de correspondances ou de détecter à distance des conversations sont soumises à une autorisation ministérielle, et que les dispositifs de captation autorisés figurent sur une liste fixée par décret en Conseil d'Etat. Le non-respect de ces règles est puni d'un an d'emprisonnement et de 45000 euros d'amende. 
La Commission relève que l'article 1er du projet de loi vise à modifier l'article 226-3 du code pénal pour y ajouter les dispositifs de captation de données informatiques.
La Commission prend acte de ce que les outils de captation seront bridés , c'est-à-dire configurés de façon à ne permettre que la mise en oeuvre des fonctions prévues par la loi. Elle relève que ces dispositifs seront configurés et certifiés de façon à ne pas porter atteinte à l'intégrité des données ou de la sécurité de la machine visée.
S'agissant des modalités selon lesquelles l'intégrité des données captées serait garantie lors de leur transmission vers les agents habilités chargés de ces opérations, le ministère de l'intérieur indique que cette question devra faire l'objet d'une étude spécifique afin de garantir l'intégrité des informations obtenues, leur conservation et leur exploitation .
La Commission observe toutefois que le ministère de l'intérieur n'apporte sur ce point aucun élément concret et ne propose pas de modification du texte.
Afin de prendre en compte ces observations, la Commission propose que l'article 706-102-1 soit ainsi complété : Si les nécessités de l'information relative à l'une des infractions entrant dans le champ d'application de l'article 706-73 l'exigent, un dispositif technique ayant fait l'objet d'une autorisation ministérielle et ayant pour objet, sans le consentement des intéressés, d'accéder à des données informatiques, de les observer, les collecter, les enregistrer, les conserver et les transmettre en en garantissant l'intégrité, telles qu'elles s'affichent pour l'utilisateur d'un système de traitement automatisé de données ou telles qu'il les y introduit par saisie de caractères, peut être mis en place, dans un lieu public ou privé et dans les conditions prévues par la présente section.
Sur la mise en œuvre d'outils de traçabilité :La Commission estime que la mise en œuvre de mesures de traçabilité technique fournirait, en restreignant et en journalisant l'accès aux outils de captation, de meilleures garanties contre le risque d'utilisation détournée ou abusive de ces derniers (tel que par exemple, l'utilisation à des fins personnelles, l'installation sur plusieurs ordinateurs, etc.)
Elle considère qu'une telle traçabilité pourrait notamment être organisée autour d'un système de coffre-fort logique dans lequel seraient stockés les outils de captation, et auquel il ne pourrait être accédé que sous le contrôle du juge d'instruction. Ceci permettrait notamment en consultant un seul fichier, de connaître chaque accès aux outils d'espionnage, et de connaître précisément, quand, par qui et sur quels ordinateurs le dispositif a pu être installé. Par ailleurs ceci permettrait d'obtenir des éléments chiffrés quant au volume et à l'évolution des installations des logiciels, ainsi qu'un état précis des opérations d'installation et de désinstallation.
La Commission demande en conséquence que le projet de loi prévoie le renvoi à des dispositions réglementaires définissant les mesures techniques précises permettant d'assurer la traçabilité des accès et des utilisations des outils de captation de données informatiques.
Sur l'article 2Les dispositions de l'article 2 de l'avant projet de loi visent à faciliter les opérations d'identification des dépouilles mortelles, en rendant possible, notamment, la réalisation de prélèvements biologiques sur les cadavres non identifiés, y compris lorsque les causes de la mort ne sont pas suspectes.
Pour ce faire, il est envisagé de modifier les articles 16-11, 81, 82 et 83 du code civil, d'ajouter un article L.2223-42-1 au code général des collectivités territoriales et de modifier les article 226-28 du code pénal et 706-54 du code de procédure pénale, relatif au fichier national des empreintes génétiques (FNAEG).
Le fichier pourrait ainsi contenir les empreintes génétiques issues des traces biologiques recueillies à l'occasion des procédures de recherche des causes de la mort ou de recherche des causes d'une disparition prévues par les articles 74, 74-1 et 80-4 et des recherches aux fins d'identification, prévues par l'article 16-11 du code civil, d'une personne décédée dont l'identité ne peut être établie, des victimes de catastrophes naturelles, ou des personnes dont le décès est présumé et qui font l'objet des recherches mentionnées à l'article 26 de la loi n°95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité.
Le fichier pourrait également contenir, sous réserve du consentement éclairé et écrit des intéressés, les empreintes génétiques des ascendants, descendants et collatéraux des personnes décédées ou recherchées faisant l'objet des procédures prévues par les articles 74, 74-1 et 80-4 et des victimes de catastrophes naturelles ou des personnes dont le décès est présumé et qui font l'objet des recherches mentionnées à l'article 26 de la loi du 21 janvier 1995 susvisée, dans le cadre des recherches aux fins d'identification prévues par l'article 16-11 du code civil.
La Commission tient à souligner que, si elle comprend les raisons qui peuvent présider à la mise en place d'un nouveau dispositif susceptible de favoriser les opérations d'identification, notamment, des victimes de catastrophes naturelles, elle observe que l'enregistrement tel qu'il est envisagé de données génétiques recueillies, non plus seulement dans le cadre de procédures judiciaires, mais également au cours de procédures administratives d'identification, tend à conférer une finalité nouvelle au FNAEG. En effet, régi par les dispositions législatives et réglementaires du code de procédure pénale, le FNAEG est actuellement conçu principalement comme un fichier d'identification judiciaire.
Sur l'article 3L'article 3 de l'avant projet de loi entend simplifier les procédures destinées à l'alimentation du FNAEG afin que les agents du corps des personnels techniques et scientifiques puissent procéder, sous le contrôle des officiers de police judiciaire, aux opérations de vérification, de prélèvement et d'enregistrement.
La modification envisagée n'appelle pas d'observation de la part de la Commission.
Sur l'article 4 (articles 29-2 et 29-3 nouveaux du code de procédure pénale)L'article 4 a trait au régime juridique de certains fichiers de police judiciaire. Il modifie les articles 21 et 21-1 de la loi n°2003-239 du 18 mars 2003 pour la sécurité intérieure, modifiée par la loi du 12 décembre 2005 sur la récidive des infractions pénales, et opère leur codification au sein du code de procédure pénale.
A cet effet il introduit les articles 29-2 et 29-3 nouveaux du code de procédure pénale, qui reprennent, au sein d'une nouvelle section V du même code, intitulée Des fichiers de police judiciaire , les articles 21 et 21-1 de la loi du 18 mars 2003 tout en leur apportant des modifications substantielles.
Sur la codificationA titre liminaire, il convient de souligner que la codification de ces dispositions constitue indéniablement une opération utile, de nature à favoriser l'accessibilité de la loi et à renforcer la clarté et l'intelligibilité de cette dernière. A cet égard, il serait pertinent que des mesures semblables soient envisagées s'agissant des actes réglementaires portant création des traitements mis en œuvre sur le fondement des dispositions précitées et, plus généralement, de tous les actes réglementaires portant création des traitements mis en œuvre sur le fondement du 2° du II de l'article 26 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004.
Sur le régime juridiqueLa Commission estime qu'il pourrait être opportun que soit rappelé aux termes des articles 29-2 (nouveau) et 29-3 (nouveau) du code de procédure pénale que la création des traitements qui en relèvent demeure soumise aux dispositions du 2° du I de l'article 26 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, comme l'a rappelé le Conseil constitutionnel dans sa décision n°2003-467 DC du 13 mars 2003 relative à la loi du 18 mars 2003 (considérant 26) pour la sécurité intérieure.
Sur l'article 29-2 (nouveau) du code de procédure pénaleCet article reprend les dispositions de l'article 21 de la loi n°2003-239 du 18 mars 2003 pour la sécurité intérieure. Ce dernier, qui détermine, notamment, le régime juridique du système de traitement des infractions constatées (STIC), serait cependant modifié sur trois points principaux. Tout d'abord, l'article 4 de l'avant projet de loi entend rendre possible l'enregistrement dans les traitements concernés par les présentes dispositions des informations recueillies au cours des procédures de recherche des causes de la mort et des causes de disparitions inquiétantes ou suspectes sur les personnes qui sont l'objet desdites procédures. Il définit en outre un nouveau mécanisme de contrôle, lequel serait confié à un magistrat spécialement désigné à cet effet. Enfin, il précise le régime de consultation de ces mêmes traitements dans le cadre de l'exécution d'enquêtes administratives.
Sur l'extension de la liste des données susceptibles d'être enregistréesComme le souligne le ministère de l'intérieur, les traitements considérés ne comportent, en l'état actuel des textes, que les données relatives à des mis en cause ou victimes dans le cadre d'enquêtes judiciaires diligentées en flagrance, en préliminaire ou sur commission rogatoire, et relatives à des faits faisant l'objet d'une incrimination pénale .
La nouvelle rédaction envisagée a pour objectif de permettre également l'enregistrement des données recueillies dans le cadre des procédures spéciales de recherche des causes de la mort ou d'une disparition prévues par les articles 74 et 74-1 du code de procédure pénale . En effet, le ministère de l'intérieur considère que ces procédures, ouvertes alors qu'un décès ou une disparition présente un caractère inconnu, inquiétant ou suspect, sans révéler d'infraction caractérisée constituent un cadre d'enquête spécifique qu'il importe d'inclure expressément dans le périmètre des traitements susvisés .
Les données enregistrées ne pourraient porter que sur les personnes faisant l'objet de l'une des procédures évoquées ci-dessus, à l'exclusion de toute autre, et seraient effacées dès lors que l'enquête aurait permis de retrouver la personne disparue ou d'écarter toute suspicion de crime ou de délit.
En première analyse, la faculté donnée aux services de la police et de la gendarmerie nationales d'enregistrer les données portant sur les personnes qui font l'objet de procédures de recherche des causes de la mort et des causes de disparitions inquiétantes dans les traitements concernés par l'article 21 de la loi précitée ne paraît pas illégitime, dès lors que ces procédures sont régies par les articles 74 et 74-1 du code de procédure pénale et, partant, qu'elles présentent un caractère judiciaire.
Il convient toutefois d'observer que les procédures engagées de ce chef se distinguent des autres procédures visées par l'article considéré en ce qu'elles ne font pas suite à la constatation d'une infraction ou au dépôt d'une plainte mais envisagent simplement la possibilité qu'une infraction ait pu être commise.
Dans ces conditions, la Commission prend acte de ce que le projet de texte envisage que les données enregistrées dans ce cadre soient effacées dès lors que l'enquête aura permis de retrouver la personne disparue ou d'écarter toute suspicion de crime ou de délit. En outre, eu égard aux observations qu'elle a récemment formulées à l'issue du contrôle général du STIC, la Commission relève que, selon les précisions apportées par le Gouvernement, aucun enregistrement ne devrait être effectué sur ces nouveaux motifs avant le déploiement de l'application ARIANE . 
Enfin, il conviendrait que des dispositions techniques soient prises afin que les données se rapportant à ces personnes soient clairement identifiées et fassent l'objet d'un traitement distinct de celui des personnes mises en cause et des victimes au sein des traitements considérés.
Sur la création d'un nouveau mécanisme de contrôleL'article 4 de l'avant projet de loi envisage également de placer la mise en œuvre des applications automatisées relevant de l'article 29-2 (nouveau) du code de procédure pénale sous le contrôle d'un magistrat désigné à cet effet par arrêté du ministre de la justice . Ce dernier pourrait agir d'office ou sur requête des particuliers, selon les mêmes modalités de mise à jour que celles dont disposent les procureurs de la République. Pour ce faire, ce magistrat disposerait d'un accès direct aux applications.
Si l'on ne peut que partager le souci du Gouvernement d'améliorer les conditions d'exercice du contrôle des fichiers de police judiciaire, on peut cependant s'interroger sur la complexité du dispositif envisagé. A cet égard, il convient de noter que les missions de contrôle du magistrat référent devraient être exercées de manière concurrente à celles des procureurs de la République et selon les mêmes modalités que ces derniers. En outre, si le Gouvernement insiste sur le fait que le magistrat référent exercera ses missions sans préjudice des celles dévolues à la CNIL, notamment en matière de droit d'accès indirect, la Commission observe qu'il pourrait néanmoins être saisi sur requête, ce qui peut entraîner une certaine confusion s'agissant des attributions des différents acteurs impliqués.
Dans ces conditions, si la Commission considère que ce magistrat référent pourrait jouer un rôle tout à fait essentiel dans l'amélioration de l'efficacité des procédures de mise à jour et d'effacement, elle a souhaité que le Gouvernement puisse préciser les conditions d'articulation des missions confiées audit magistrat avec celle dévolues aux procureurs de la République. A cet égard, elle prend acte de ce que le Gouvernement a précisé que, dorénavant, seul le magistrat référent devrait être habilité à recevoir les requêtes individuelles visant à opérer des mesures d'effacement ou de mise à jour. Elle observe cependant que l'article 29-2 (nouveau) du code de procédure pénale devrait être modifié en ce sens. Enfin, elle tient à rappeler le rôle qui est le sien en matière de droit d'accès indirect.
Sur le régime juridique des enquêtes administrativesIl est fait mention aux termes de l'article 29-2 (nouveau) du code de procédure pénale de ce que, en application des dispositions de l'article 17-1 de la loi n°95-73 du 21 janvier 1995, les traitements régis par ce nouvel article 29-2 du code de procédure pénale pourront être consultés pour les besoins d'enquêtes administratives. A cet égard, il est prévu que la liste des traitements concernés soit définie aux termes d'un décret en Conseil d'Etat pris après avis de la Commission.
La Commission en prend acte.
Sur la mise à jour et l'effacement des données.Outre ces observations formulées sur les modifications introduites aux termes de l'article 29-2 (nouveau) du code procédure pénale par rapport à l'article 21 de la loi n°2003-239 du 18 mars 2003 pour la sécurité intérieure, la Commission souhaite appeler une nouvelle fois l'attention du Gouvernement sur la question de la mise à jour et de l'effacement des données.
Ainsi, comme elle l'a récemment indiqué aux termes des conclusions de son rapport de contrôle général du STIC, elle propose de modifier la loi afin d'étendre les cas de mises à jour et d'effacement des données à de nouvelles décisions judiciaires, notamment en cas de classements sans suites autres que celles correspondant aux motifs d'absence d'infraction et d'infraction insuffisamment caractérisée. A cet égard, elle invite le Gouvernement à suivre la recommandation formulée sur ce point par le récent rapport d'information parlementaire sur les fichiers de police.
Sur l'article 29-3 (nouveau) du code de procédure pénaleCet article reprend, pour les codifier, les dispositions de l'article 21-1 de la loi n°2003-239 du 18 mars 2003 pour la sécurité intérieure, introduit par la loi du 12 décembre 2005 sur la récidive des infractions pénales. Cet article 21-1, qui détermine le régime juridique des traitements d'analyse sérielle, serait cependant modifié de manière substantielle par la rédaction proposée. Tout d'abord, les nouvelles dispositions ont vocation à rendre possible la mise en œuvre de traitements d'analyse sérielle portant sur un champ élargi d'infractions pénales. Elles consacrent en outre une extension des données enregistrées cependant qu'elles confèrent au service national des douanes judiciaires le droit de mettre en œuvre ce type de traitements. Enfin, elles placent le contrôle de ces traitements sous l'autorité d'un magistrat référent.
Sur la portée de l'extension des infractions et des personnes concernées ainsi que sur celle des services autorisés à mettre en œuvre des traitements d'analyse sérielle.Le Gouvernement souhaite étendre l'utilisation des fichiers de police judiciaire à la lutte contre la petite et la moyenne délinquance de masse pour permettre aux officiers de police judiciaire de bénéficier de nouvelles capacités de rapprochement et de traitement de la sérialité. A cet égard, la démarche d'investigation qui préside à la mise en œuvre de ce type de traitements porte moins sur la recherche directe de l'identité de l'auteur stricto sensu que dans la recherche de liens objectifs permettant de relier des faits entre eux pour pouvoir isoler une série de faits imputable à un même auteur ou un groupe d'auteurs.
A cette fin, il est envisagé d'étendre le nombre des infractions concernées par les traitements d'analyse sérielle par le biais de l'abaissement du seuil de peines à la durée de cinq ans d'emprisonnement. En outre, il est proposé d'étendre le champ de la collecte des données personnelles à toutes les personnes dont l'identité est citée dans une procédure judiciaire. Cette collecte pourrait ainsi concerner l'entourage des personnes mises en cause, les simples témoins et, plus généralement, toute personne dont le nom pourrait être cité dans un procès-verbal. Enfin, il est envisagé d'autoriser le service national de douane judiciaire, au même titre que les services et unités de la police et de gendarmerie nationales, à mettre en œuvre ce type de traitements.
La Commission tient à rappeler que, aux termes de sa délibération n°2009-042 du 29 janvier 2009 portant avis sur le projet de décret en Conseil d'Etat portant création du traitement dénommé SALVAC , elle avait estimé que la mise en œuvre d'un tel traitement d'analyse sérielle était légitime compte tenu du caractère exceptionnellement grave des infractions concernées et dès lors que ledit traitement se limitait à ce champ d'infractions restreint.
Or, compte tenu des modifications introduites par le projet de loi, et même si le seuil de peines envisagé correspond à la qualification primaire des infractions, les fichiers d'analyse sérielle prendront une ampleur nouvelle, qui en change la nature, car ils ne seront plus limités aux infractions les plus graves, porteront sur un nombre très important d'infractions et de personnes.
C'est pourquoi, sur le plan des principes, la Commission demeure extrêmement réservée sur la mise en œuvre d'une telle extension.Elle tient toutefois à rappeler que, dans l'hypothèse où les dispositions précitées venaient à être adoptées en l'état par le Parlement, elle sera saisie pour avis de tout acte réglementaire portant création de ce type de traitements (contrôle a priori) et ne manquera pas de remplir ses missions en matière de contrôle sur place et sur pièces et de droit d'accès indirect (contrôle a posteriori) conformément aux dispositions de la loi du 6 janvier 1978 modifiée.
Sur l'extension de la liste des destinatairesJusqu'à présent, seuls les services et unités de la police et de la gendarmerie nationales chargés d'une mission de police judiciaire étaient destinataires, sous le contrôle des autorités judiciaires, des données contenues dans les traitements automatisés de données à caractère personnel d'analyse sérielle. Le Gouvernement entend inscrire le service national de douane judiciaire dans la liste des services susceptibles d'être destinataires des données précitées.