AgentPublic/cnil huggingface dataset:
et du registre des entreprises, désignés selon des modalités définies par décret en Conseil d'Etat.La commission relève par ailleurs que le législateur a prévu que les personnels des services du ministère de la justice informent le secrétaire général du comité interministériel de restructuration industrielle (CIRI), à sa demande, du fait qu'une personne pressentie pour exercer des fonctions de direction, gestion, administration ou contrôle dans un dossier dont ce comité a été saisi est inscrite dans ce fichier. Cet accès indirect constitue une garantie importante, qui permet non seulement d'avoir une information utile dans le cadre des missions du GIRL, tout en réduisant le nombre de personnes accédant directement aux données.Conformément au 3° de l'article L. 128-2 du code de commerce, le projet d'article R. 128-6 du même code précise tout d'abord la liste des représentants de l'administration et d'organismes qui peuvent être destinataires, au sens du II de l'article 3 de la loi du 6 janvier 1978 modifiée, des informations et des données à caractère personnel enregistrées dans le fichier. Il s'agit des officiers de police judiciaire de la police et de la gendarmerie nationale, des officiers fiscaux judiciaires en fonctions à la brigade nationale de la répression de la délinquance fiscale, des agents des services des douanes, des agents de la direction générale des finances publiques, des agents du service TRACFIN, des agents des organisme nationaux et locaux de sécurité
sociale et des agents de Pôle emploi, chacun en fonction du besoin d'en connaître.La finalité de lutte contre la fraude assignée au FNIG est de nature à justifier ce nombre élevé de destinataires du traitement. Cependant, la commission estime que des mesures de sécurité et de traçabilité doivent être mises en place, afin de prévenir des consultations abusives de celui-ci et des éventuels détournements de finalité. Par ailleurs, le nombre et la diversité des destinataires du traitement imposent la mise en œuvre de mesures juridiques et techniques de nature à garantir des accès restreints aux seules données strictement nécessaires à l'accomplissement de leurs missions.A cet égard, elle prend acte que l'article R. 128-6 nouveau du code de commerce prévoit les modalités de désignation individuelle et d'habilitation de l'ensemble de ces destinataires.Elle rappelle en revanche que, conformément à l'article L. 128-2 du code de commerce, l'ensemble de ces personnels peuvent être rendus destinataires des informations enregistrées dans le FNIG dans le seul cadre de leur mission de lutte contre les fraudes. Dès lors, l'accès direct à ces informations ne pourra en aucun cas intervenir dans le cadre des autres missions dévolues à ces organismes. A cet égard, la commission prend acte de l'engagement du ministère à modifier le projet de décret en indiquant que les destinataires ne recourent au traitement FNIG que dans le cadre des finalités énoncées par l'article L. 128-2 du code de
commerce.Le 4° de l'article L. 128-2 de ce même code prévoit en outre que les modalités de désignation des personnels des chambres de métiers et de l'artisanat départementales et de région et les personnels des chambres de métiers d'Alsace et de Moselle, dans le cadre de leurs missions respectives de tenue du répertoire des métiers et du registre des entreprises, sont précisées par décret en Conseil d'Etat. Le projet de décret prévoit ainsi qu'ils sont individuellement désignés et dûment habilités par le président de l'assemblée permanente des chambres de métiers et de l'artisanat, sur proposition de chaque président de chambre.Au regard de ces éléments, la commission estime que ces destinataires ont un intérêt légitime à connaître des données collectées.Le législateur n'a pas précisé les modalités de transmission des données enregistrées dans le FNIG aux différents destinataires. Ces précisions sont dés lors apportées par le présent projet de décret, le projet d'article R. 128-7 du code de commerce indiquant que les destinataires font une  demande de communication  au CNGTC par voie électronique et que  la communication de ces informations se fait par voie électronique .Ainsi, ces destinataires recourent à un système d'interrogation à distance, qui automatise les demandes, vérifie leur provenance, rejette les demandes formulées de manière trop vague et permet de communiquer les seules informations auxquelles ces destinataires ont droit, sans possibilité de les réutiliser.
Ces destinataires, pour interroger le dispositif, devront disposer de trois informations, à savoir les nom, prénom et date de naissance de la personne concernée. Par ailleurs, l'interrogation ne pourra se faire que de manière unitaire ; il n'y aura donc pas d'interrogation par liste par exemple. Dans la mesure où ce dispositif interdit, à titre d'exemple, les extractions de la base par liste ou les copies des extraits du FNIG sur les ordinateurs des destinataires, la commission considère qu'il s'agit de mesures techniques adaptées.Le projet d'article R. 128-8 du même code prévoit que ces modalités de transmission devront faire l'objet de conventions ou d'un cahier des charges entre le CNGTC et les destinataires prévus au 1° à 4° de l'article L. 128-2 du code de commerce, le ministère de la justice pour l'accès des greffiers des tribunaux civils statuant en matière commerciale aux informations et enfin les greffiers des tribunaux de commerce. Ce même article détaille les informations qui devront figurer dans ces documents, à savoir, notamment, les exigences de sécurité applicables au système d'accès, les mesures permettant d'assurer la communication sécurisée des informations, l'authentification des destinataires et la traçabilité des accès.A cet égard, la commission relève que le projet de convention qui lui a été communiqué contient des dispositions satisfaisantes relatives aux contraintes techniques permettant d'assurer la confidentialité des données. Elle rappelle
toutefois que l'ensemble des conventions ainsi que le cahier des charges devront contenir le même niveau de contraintes techniques.Sur les droits des personnes :Les projets d'articles R. 128-9 et R. 128-10 du code de commerce prévoient les modalités d'exercice des droits des personnes. Conformément à l'article 38 de la loi du 6 janvier 1978 modifiée, le droit d'opposition ne s'applique pas au traitement projeté, ce qui n'appelle pas d'observation particulière de la part de la Commission.La commission relève que le ministère n'entend pas faire application des dispositions prévues au V ou au VI de l'article 32 de la loi du 6 janvier 1978 modifiée : les personnes concernées seront donc informées du traitement de leurs données. Afin d'informer les personnes inscrites au FNIG, les décisions des tribunaux et des cours d'appels, tant civiles et commerciales que correctionnelles prononçant une interdiction de gérer porteront une mention précisant qu'en application des dispositions concernées du code de commerce, la sanction fera l'objet d'une inscription au FNIG. Afin de se conformer aux recommandations de la commission, le ministère s'est engagé à compléter cette information, notamment par l'intermédiaire du site du CNGTC, de l'ensemble des mentions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée. La commission rappelle à cet égard que l'identité du responsable de traitement devra apparaître dans les mentions d'information présentes sur les décisions de justice. Elle
recommande enfin que celles-ci fassent clairement apparaître le fait que l'information complète sur ce fichier est disponible sur le site du CNGTC.Les utilisateurs du FNIG (destinataires et greffiers des tribunaux) seront quant à eux informés que leurs actions seront tracées.Le projet d'article R. 128-11 du code de commerce tel que prévu par le projet de décret prévoit que les droits d'accès et de rectification s'exerceront dans les conditions prévues aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, c'est-à-dire directement auprès du Conseil national des greffiers des tribunaux de commerce. La commission prend acte que le responsable de traitement s'engage à communiquer les informations dans un délai moyen de quinze jours ouvrés à compter de la réception de la demande. Eu égard aux conséquences importantes, pour les personnes concernées, de l'inscription au FNIG, elle estime que ce délai de traitement est satisfaisant et appelle l'attention du responsable de traitement sur la nécessité de traiter dans ces délais toute demande d'exercice des droits d'accès ou de rectification.Sur la sécurité des données et la traçabilité des actions :S'agissant des éléments de sécurité et de traçabilité liés à la mise en œuvre du fichier national des interdits de gérer (FNIG), la commission estime que les éléments suivants permettent d'assurer le respect de la confidentialité et de l'intégrité des données traitées.Pour ce qui est de la sécurité, le ministère précise notamment que
les accès informatiques seront limités aux seules adresses IP des organismes dûment autorisés et confirme que le référentiel général de sécurité (RGS) s'impose au prestataire en sus des contraintes fixées dans les annexes relatives au cahier des charges du projet.Concernant l'authentification et la gestion des habilitations des utilisateurs, la commission note que toutes les requêtes d'interrogation du FNIG feront l'objet d'un contrôle systématique des privilèges de l'utilisateur afin de s'assurer que celui-ci est habilité à effectuer la requête demandée. Elle relève à cet égard que des procédures formelles seront mises en place afin de garantir la mise à jour des listes de personnes dûment habilitées, en tenant compte notamment des départs, arrivées et changements de poste des utilisateurs.L'article R. 128-9 du code de commerce tel que prévu par le projet de décret précise que les  consultations  du FNIG seront enregistrées et conservées pendant trente mois à compter de leur enregistrement. Après précision du ministère de la justice, la commission prend acte que la  consultation  recouvre en réalité toutes les actions effectuées sur le système, aussi bien par les personnels traitant les données que les destinataires. Afin de clarifier ce point, la commission prend acte de la proposition du ministère de modifier le projet de décret en ce sens.Elle prend également acte du fait que les accès et les interrogations se feront de façon unitaire. Les requêtes interrogeant,
consultant, modifiant ou ajoutant plus d'une entrée dans le fichier seront proscrites et seules les requêtes orthographiquement exactes et contenant le triplet nom, prénom et date de naissance seront acceptées.Au regard de ces éléments, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente de la Commission nationale de l’informatique et des libertés,
 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu le code de procédure pénale, et notamment ses articles 230-6, 230-8, R. 40-23 et R. 40-33 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 87-1 ;
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
 
Vu le rapport remis par la CNIL au Premier ministre le 20 janvier 2009 présentant les conclusions du contrôle du système de traitement des infractions constatées (STIC) ;
 
Vu le rapport adopté par la CNIL le 13 juin 2013 présentant les conclusions du contrôle des fichiers d’antécédents de X. 
 
I.                
Constate les faits suivants
La Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) est chargée de traiter les demandes d’accès indirect aux données enregistrées dans le traitement d’antécédents judiciaires (TAJ).
 
Fichier d’antécédents commun à la police et à la gendarmerie nationales, le TAJ a été créé pour remplacer les fichiers JUDEX (abrogé depuis le 31 décembre 2013) et STIC (devant être abrogé à compter du 31 décembre 2015). 
 
Conformément aux dispositions de l’article 230-6 du code de procédure pénale, le TAJ a pour finalité de faciliter la constatation d’infractions, le rassemblement de preuves et la recherche des auteurs d’infractions. Il est consulté dans le cadre d’enquêtes judiciaires, mais également d’enquêtes administratives (notamment pour certains emplois publics ou sensibles).
 
L’article R. 40-23 du code de procédure pénale autorise X, et plus particulièrement les services de la police et de la gendarmerie nationales, à mettre en œuvre ce traitement.
Y a quant à lui une mission de contrôle et de mise à jour du TAJ . En effet, l’article 230-8 du code de procédure pénale prévoit que le TAJ est opéré sous le contrôle du procureur de la République qui demande [que les données] soient effacées, complétées ou rectifiées. Les procureurs de la République (ci-après les Parquets) procèdent ainsi aux demandes d’effacement et de rectification des données contenues dans le TAJ auprès des services de la police et de la gendarmerie nationales (ci-après les services gestionnaires du TAJ).
 
Conformément aux dispositions de l’article R. 40-33 du code de procédure pénale, les personnes concernées peuvent avoir accès aux données enregistrées dans le TAJ uniquement par l’intermédiaire de la CNIL. Il est expressément prévu que le droit d’accès à ce traitement s’exerce de manière indirecte, dans les conditions prévues à l’article 41 de la loi n° 78-17 du 6 janvier 1978, par demande portée préalablement devant la Commission nationale de l’informatique et des libertés, pour l’ensemble des données.
En effet, dans la mesure où le TAJ a pour objet principal la recherche et la constatation d’infractions pénales, il relève de l’article 26-I-2° de la loi du 6 janvier 1978 modifiée et, par conséquent, de l’article 42 de ladite loi. Aux termes de cet article 42, le droit d’accès des personnes concernées peut, si l’acte réglementaire autorisant la mise en œuvre du traitement le prévoit - ce qui est le cas en l’espèce, s’exercer indirectement auprès de la CNIL dans les conditions prévues à l’article 41 de la loi précitée.
L’article 87-1 du décret du 20 octobre 2005 modifié, qui détermine les conditions d’application de l’article 41 au TAJ, précise les modalités d’instruction des demandes d’accès aux données contenues dans ce traitement : La demande est adressée à la Commission nationale de l’informatique et des libertés. Elle est traitée dans les conditions prévues au premier alinéa de l’article 87 dans un délai de six mois. Dès réception de la demande, le responsable du traitement dispose d’un délai d’un mois et demi pour saisir le procureur de la République. Ce délai peut être prorogé d’un mois supplémentaire si le traitement de la demande nécessite des investigations complexes. La commission en est informée par le responsable du traitement. Le procureur de la République dispose d’un délai de trois mois pour se prononcer sur les suites qu’il convient de réserver à la demande. Il communique ses prescriptions au responsable du traitement qui, dans un délai de quinze jours, informe la commission des suites réservées à la demande. 
 
Ainsi, cet article impose : 
 
-        Aux services de la police et de la gendarmerie nationales de saisir le(s) Parquet(s) concerné(s) dans un délai d’un mois et demi à compter de la réception de la demande d’accès transmise par la CNIL ; ce délai peut être prorogé d’un mois supplémentaire si le traitement de la demande le nécessite, et la commission en est informée par le responsable du traitement ;
-        A chaque Parquet concerné, dans un délai de trois mois, d’indiquer aux services gestionnaires du TAJ les suites judiciaires données à l’affaire et de répondre à la demande d’accès de la personne concernée.
 
A réception de la réponse du (des) Parquet(s), un magistrat de la CNIL en charge du droit d’accès indirect procède aux vérifications. A cette occasion et conformément à l’article 41 de la loi du 6 janvier 1978 modifiée, il fait procéder aux rectifications nécessaires. Aux termes de l’article 230-8 du code de procédure pénale, ces rectifications sont de droit en cas de suites judiciaires favorables intervenues dans les affaires concernées. 
 
A l’issue de ces vérifications, la CNIL en informe la personne concernée si le procureur de la République ou les gestionnaires du TAJ ne s’y opposent pas.
 
Or, les services de la police nationale et les Parquets ne respectent pas les délais prévus à l’article 87-1 du décret du 20 octobre 2005 modifié.
Ce défaut de saisine et de réponse des Parquets dans les délais prévus met ainsi la CNIL dans l’impossibilité de répondre, dans le délai de six mois qui lui est imparti par le décret, aux demandes d’accès qu’elle reçoit. A cet égard, dans une décision n° 360500 du 11 avril 2014, le Conseil d’Etat a considéré que l’enregistrement de données à caractère personnel dans le STIC, de même que leur rectification ou leur effacement, n’est pas le fait de la CNIL mais des autorités administratives et judiciaires responsables de ce traitement ; que, pour procéder aux diligences qui lui incombent du fait des dispositions combinées de l’article 41 de la loi du 6 janvier 1978 et de l’article 88 du décret du 20 octobre 2005, la CNIL est tributaire des réponses des autorités administratives et judiciaires responsables des traitements en cause.
 
II.             
Sur la qualification de ces faits au regard de la loi du 6 janvier 1978 modifiée
 
Un manquement à l’obligation de respecter les modalités de mise en œuvre du droit d’accès 
 
Il apparaît que 20% des demandes d’accès aux données enregistrées dans les fichiers STIC et JUDEX reçues en 2012 par la CNIL sont toujours en cours d’instruction. Ce nombre s’élève à 60% pour les demandes reçues en 2013 et à 80% pour celles reçues en 2014. 
 
Pour les dossiers pour lesquels une réponse a pu être apportée aux personnes concernées par la CNIL en décembre 2014, le délai moyen de traitement s’élève à 16 mois.
Ces retards de traitement sont, en premier lieu, majoritairement dus à un défaut de saisine des Parquets par les services de la police nationale dans le délai d’un mois et demi prévu à l’article 87-1 du décret du 20 octobre 2005 modifié, qui détermine les conditions d’application de l’article 41 de la loi du 6 janvier 1978 modifiée au traitement TAJ . 
 
Les services de la police nationale ne procèdent pas de manière concomitante à la centralisation des procédures à l’origine de l’enregistrement de données dans le TAJ et à la saisine des Parquets concernés, ce qui a pour effet d’allonger de manière importante les délais de traitement. 
 
A titre d’exemple, une demande d’accès adressée par la CNIL aux services de la police nationale le 22 mai 2013 a été transmise au Parquet concerné le 25 septembre 2014, soit plus de 16 mois après la transmission de la demande par la CNIL.
 
En deuxième lieu, il apparaît que les retards de traitement sont également dus au défaut de réponse des Parquets aux saisines des services de la police nationale dans le délai de trois mois prévu à l’article 87-1 du décret du 20 octobre 2005 modifié, qui détermine les conditions d’application de l’article 41 de la loi du 6 janvier 1978 modifiée.
A titre d’exemple, le 3 juillet 2014, les services de la police nationale ont indiqué être en attente de la réponse du Parquet à une demande d’accès transmise par la CNIL le 28 mars 2012. Cinq mois plus tard, le 5 décembre 2014, les services de la police nationale étaient toujours en attente de cette réponse. 
 
En outre, les Parquets n’ont pas apporté de réponse pour 34% des 2497 affaires judiciaires (résultant de 960 demandes d’accès indirect) ayant fait l’objet de vérifications sur place par la CNIL en 2014, à la suite de demandes d’accès transmises aux services de la police nationale, pour des personnes faisant l’objet d’enregistrement(s) en qualité de mis en cause. La CNIL a donc dû répondre à ces demandes au vu des données enregistrées dans le TAJ sans avoir pu s’assurer que le traitement était à jour des rectifications qui auraient dû être opérées en cas de suites judiciaires favorables.
 
 
Ainsi, il apparaît que le droit d’accès indirect des personnes concernées nécessite tant le concours de X, en tant que gestionnaire du TAJ, que de Y, en tant que responsable de la mise à jour des données que contient ce fichier. 
 
En ne respectant pas les délais qui leur sont ainsi impartis, les services de la police nationale et les Parquets privent les personnes concernées d’un droit d’accès indirect efficace aux données les concernant enregistrées dans le TAJ.
Ces faits constituent un manquement aux obligations découlant des articles 41 et 42 de la loi du 6 janvier 1978 modifiée. Ils ne permettent pas aux membres de la Commission désignés conformément à l’article 41 de la loi de mener les investigations utiles et faire procéder aux modifications nécessaires. 
 
En conséquence, X, sis […], et Y, sis […], sont mis en demeure, sous un délai de trois (3) mois à compter de la notification de la présente décision et sous réserve des mesures qu’ils auraient déjà pu adopter, de :
 
-        permettre à la CNIL de traiter dans les délais qui lui sont impartis les demandes de droit d’accès indirect qu’elle reçoit, en respectant les délais prévus à l’article 87-1 du décret du 20 octobre 2005 modifié, qui détermine les conditions d’application de l’article 41 de la loi du 6 janvier 1978 modifiée au traitement TAJ, notamment :
 
o   pour les services de la police nationale, en saisissant les Parquets concernés dans un délai d’un mois et demi à compter de la réception de la demande ; et en saisissant les Parquets concernés dans les plus brefs délais pour les demandes d’accès n’ayant pas fait l’objet d’une saisine dans le délai imparti ;
o   pour les Parquets, en se prononçant sur les suites judiciaires des affaires concernées et celles qu’il convient de réserver à la demande d’accès dans un délai de trois mois à compter de cette saisine ; et, pour les demandes d’accès en souffrance, en répondant aux saisines des services gestionnaires du TAJ dans les plus brefs délais ;
 
-        justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
 
À l’issue de ce délai, si X et Y se sont conformés à la présente mise en demeure, il sera considéré que la procédure est close et un courrier leur sera adressé en ce sens.
 
À l’inverse, si le X et Y ne se sont pas conformés à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
 
La Présidente
   Isabelle FALQUE-PIERROTIN