AgentPublic/cnil huggingface dataset:
Cette modification n'appelle pas d'observation particulière.
Sur la création d'un nouveau mécanisme de contrôleL'article 4 de l'avant projet de loi envisage de placer la mise en œuvre des applications automatisées relevant de l'article 29-3 (nouveau) du code de procédure pénale sous le contrôle du même magistrat référent que celui désigné s'agissant des traitements relevant de l'article 29-2 (nouveau) du même code. Ce dernier pourrait agir d'office ou sur requête des particuliers. Pour ce faire, ce magistrat disposerait d'un accès direct aux applications.
Dans la mesure où les traitements susceptibles de relever des dispositions de l'article 29-3 (nouveau) du code de procédure pénale ont vocation à être mis en œuvre par des unités dédiées de la police ou de la gendarmerie nationale et, le cas échéant, du service national de douane judiciaire, le magistrat référent pourrait jouer un rôle fondamental dans la mise à jour et à l'effacement des données. Dès lors, il conviendra de préciser l'articulation de ses prérogatives avec celles dévolues par la loi à la Commission en matière de droit d'accès indirect.
Sur l'article 5 (articles 706-53-5 à 706-53-8 et 706-53-10 du code de procédure pénale)L'article 5 du projet de loi a pour objet de modifier les articles du code de procédure pénale relatifs au fichier judiciaire national automatisé des auteurs d'infractions sexuelles (FIJAIS).
Le FIJAIS a été créé par la loi du 9 mars 2004 et ses modalités d'application ont été fixées par un décret du 30 mai 2005 pris après un avis de la CNIL. Il a pour objectif de favoriser la prévention de la récidive des auteurs d'infractions sexuelles déjà condamnés, l'identification et la localisation des auteurs de ces mêmes infractions. Sa gestion a été confiée au service du casier judiciaire à Nantes, sous l'autorité du ministre de la Justice et sous le contrôle du magistrat dirigeant le service du casier. La loi du 12 décembre 2005 sur la récidive des infractions pénales a étendu le périmètre de ce fichier à l'ensemble des procédures concernant les crimes de meurtre ou assassinat commis avec tortures ou actes de barbarie, les crimes de tortures ou d'actes de barbarie et les meurtres ou assassinats commis en état de récidive légale.
Concernant les modifications apportées à l'article 706-53-5 du code de procédure pénaleSur les modifications relatives aux obligations de justifier de son adresseL'article 706-53-5 du code de procédure pénale oblige toute personne enregistrée dans le fichier à informer le gestionnaire du FIJAIS ou le commissariat de police ou de gendarmerie de son adresse et de tout changement d'adresse. Actuellement, les personnes inscrites dans le FIJAIS, auxquelles l'inscription a été dûment notifiée, doivent justifier de leur adresse une fois par an et déclarer leurs changements d'adresse dans les quinze jours (régime dit annuel). Quant aux auteurs d'infractions les plus graves, ils doivent justifier de leur adresse en personne, tous les six mois ou tous les mois (régime dit renforcé).
Le projet de loi prévoit de supprimer la possibilité pour la personne de justifier de son domicile auprès du responsable du FIJAIS. Il est également prévu, qu'en plus des obligations de justification de domicile une fois par an ou tous les mois, la personne concernée doit justifier une première fois de son adresse dès son enregistrement dans le fichier dans un délai de quinze jours.
Le ministère a indiqué, d'une part, que la suppression de la possibilité de justifier de son domicile auprès du gestionnaire du fichier, permettra une simplification des obligations des personnes inscrites et que cette procédure permettra aux services de police et de gendarmerie de mieux connaître les personnes inscrites au FIJAIS, dans la mesure où elle les incitera à se déplacer physiquement au commissariat de police ou à la brigade, d'autre part.
La Commission souligne à cet égard que toutes garanties doivent être prises pour assurer la confidentialité de ces notifications dans les commissariats et les brigades.
Par ailleurs le projet de loi prévoit de supprimer le délai d'appel pour la mise en œuvre de l'obligation de justification de domicile semestrielle ou mensuelle prévue à l'article 706-53-5 du code de procédure pénale. Le ministère a indiqué qu'en l'état des textes, les personnes ayant commis les faits les plus graves, échappent pendant une durée assez longue au régime renforcé qui les concerne, particulièrement lorsqu'elles exercent une voie de recours. Selon le ministère le système actuel poserait des problèmes de compréhension aux personnes inscrites dans le fichier, le régime renforcé ne s'appliquant qu'une fois le caractère définitif acquis, les personnes concernées l'ignorant la plupart du temps.
Cette modification n'appelle pas d'observations particulières au seul regard de la loi Informatique et Libertés .
Concernant l'article 706-53-6 du code de procédure pénaleIl est désormais prévu que le procureur de la République peut faire application des dispositions du 1er alinéa de l'article 78 du code de procédure pénale qui prévoit que ce dernier peut contraindre à comparaître par la force publique les personnes qui n'ont pas répondu à une convocation à comparaître ou dont on peut craindre qu'elles ne répondent pas à une telle convocation.
Cette modification n'appelle pas d'observations particulières au seul regard de la loi Informatique et Libertés .
Concernant l'article 706-53-7-2 du code de procédure pénale
Sur l'extension de l'accès des OPJ au FIJAISL'article 5 du projet de loi modifie l'article 706-53-7-2 afin d'étendre l'accès existant des OPJ au FIJAIS.
Cet accès ne serait plus limité aux seules procédures concernant un crime d'atteinte volontaire à la vie, d'enlèvement ou de séquestration, ou une infraction mentionnée à l'article 706-47 et pour l'exercice des diligences prévues aux articles 706-53-5 et 706-53-8 , comme c'est le cas actuellement, mais ouvert à toute procédure.
Il est également prévu de supprimer l'alinéa aux termes duquel il était indiqué que les OPJ peuvent également sur instruction de procureur de la république ou du juge d'instruction ou avec l'autorisation de ce magistrat, consulter le fichier à partir de l'identité d'une personne gardée à vue dans le cadre d'une enquête de flagrance ou d'une enquête préliminaire ou en exécution d'une commission rogatoire, même si cette procédure ne concerne pas une des infractions mentionnées au 2° du présent article .
La suppression de cet alinéa signifie donc que les OPJ pourraient désormais avoir un accès étendu au fichier et sans contrôle préalable d'un magistrat.
Le ministère de l'intérieur a précisé que la liste des données auxquelles peuvent avoir accès les OPJ prévue à l'article 706-53-7-2° était trop restrictive, dès lors que certaines infractions n'y sont pas mentionnées. Il a également souligné que les pratiques d'autorisation des magistrats sont très disparates sur le territoire au regard du nombre important de juridictions concernées. Enfin, il a indiqué qu'un certain nombre d'enquêtes justifie la consultation du FIJAIS à un moment où personne n'est en garde à vue, notamment pour localiser la personne qui sera ensuite le cas échéant placée en garde à vue.
Il a été précisé que les magistrats conserveront un contrôle à posteriori des consultations qui feront par ailleurs, l'objet d'une traçabilité rigoureuse, dans le cadre de leur appréciation globale de la légalité des procédures et notamment sur la qualité de la personne ayant consulté le FIJAIS.
La Commission prend acte de la proposition du ministère de compléter la rédaction de l'article 706-53-7 afin de préciser que cette consultation ne pourra avoir lieu que dans le cadre d'une mission de police judiciaire par opposition aux missions de police administratives.
Elle estime toutefois que l'autorisation préalable par un magistrat pour consulter le fichier constitue une garantie importante, qu'elle ne souhaite pas voir remise en cause, notamment au regard du caractère extrêmement sensible et spécialisé de ce fichier.
Sur l'ajout d'un nouveau destinataire : l'administration pénitentiaireLe projet de loi modifie l'article 706-53-7-4° du code de procédure pénale afin d‘ajouter un nouveau destinataire, l'administration pénitentiaire, pour vérifier la situation du détenu au regard du fichier et pour enregistrer les dates de mise sous écrou et de libération ainsi que l'adresse du domicile déclarée par la personne concernée .
Lors de l'écrou d'une personne, le greffe de l'établissement pénitentiaire pourrait ainsi vérifier si cette personne est inscrite au FIJAIS, afin notamment de pouvoir tenir compte de sa situation par rapport aux autres détenus. De plus, si la personne concernée se trouve dans le fichier, l'agent du greffe pourrait alors enregistrer dans l'application le fait que la personne est détenue et mettre à jour son adresse.
Enfin, lors de la libération de la personne, le greffe de l'établissement pourrait enregistrer directement dans l'application la date de notification des obligations. Le greffe mettrait également à jour l'adresse déclarée par la personne à sa sortie de détention, permettant une mise à jour du fichier en temps réel.
La Commission a souligné dans sa délibération du 8 novembre 2007 portant avis sur un projet de décret en Conseil d'Etat modifiant la partie réglementaire du code de procédure pénale et relatif au FIJAIS et au casier judiciaire national automatisé, que la possibilité, reconnue par la loi, d'un accès direct au FIJAISV par certaines administrations, à la différence du casier judiciaire national, accentuait sa sensibilité et rendait indispensable l'adoption de mesures de confidentialité particulièrement rigoureuses.
A cet égard, la Commission prend acte que le projet de loi permet à l'administration pénitentiaire de consulter le fichier uniquement à partir de l'identité de la personne concernée.
Elle estime que le projet de loi devrait être complété afin de préciser que seuls les agents du greffe spécialement et individuellement habilités ont accès au fichier.
Concernant l'article 706-53-8 du code de procédure pénaleSur l'accélération de l'inscription dans le fichier des personnes recherchées (FPR) des personnes en défaut de justification de domicileIl est désormais prévu que si la personne concernée ne se trouve plus à l'adresse indiquée dans le fichier, les OPJ informent sans délai le Procureur de la République et demandent à ce dernier de procéder à l'inscription de cette personne dans le FPR, avant d'avoir les résultats des réquisitions effectuées par les enquêteurs. Jusqu'à présent les OPJ n'informaient le Procureur qu'après avoir eu les résultats des recherches et des réquisitions.
La Commission appelle l'attention du ministère sur les risques d'erreur d'inscription dans le FPR, par excès de rapidité, que cette nouvelle procédure pourrait entraîner.
Sur les articles 6 et 8L'article 6 de l'avant projet de loi entend modifier les dispositions de l'article L.1332-1 du code de la défense en ce qu'il précise que, dans le cadre de procédures d'enquête administrative liées aux autorisations d'accès aux points d'importance vitale, il sera possible de procéder à la consultation des traitements automatisés de données à caractère personnel relevant des dispositions de l'article 26 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004.
L'article 8, quant à lui, a vocation à encadrer les activités d'intelligence économique les plus sensibles (recherche d'informations stratégiques) aux fins de moraliser et professionnaliser les entreprises qui s'y livrent. A cet égard, il prévoit des dispositions semblables s'agissant des enquêtes administratives liées à la délivrance d'un agrément en vue d'exercer une activité de recherche d'informations stratégiques.
La Commission a toujours émis une réserve de principe sur la consultation des fichiers de police judiciaire à des fins d'enquête administrative. A cet égard, les constatations effectuées lors du contrôle général du STIC et rendues publiques le 20 janvier 2009, doivent inciter à la prudence en la matière. En effet, les défauts constatés en matière de mise à jour et d'effacement des données sont de nature à rendre possible la conservation injustifiée de certaines informations, dont la mention peut, le cas échéant, porter gravement préjudice aux personnes qu'elles concernent.
En outre, la Commission constate que les dispositions des articles 6 et 8 de l'avant projet de loi viennent s'ajouter aux nombreuses dispositions législatives ou réglementaires déjà existantes qui ont trait à l'organisation de la consultation des fichiers de police, qu'il s'agisse des fichiers de police judiciaire ou de renseignement, dans le cadre de l'exécution d'enquêtes administratives et, de ce fait, souhaite appeler l'attention du Gouvernement sur l'absence de lisibilité qui en découle.
Dans ces conditions, elle souhaite que, dans la perspective de l'examen du projet de loi par le Parlement, il soit procédé à un véritable état des lieux en la matière.
Quoi qu'il en soit, la Commission estime que la liste des traitements dont la consultation est envisagée dans le cadre de l'exécution des enquêtes administratives considérées devrait être définie aux termes d'un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission, comme cela est d'ailleurs envisagé aux termes de l'article 4 du même projet de loi.
Enfin, s'il est prévu que la personne concernée soit informée de l'existence de l'enquête administrative dont elle fait l'objet, aucune mesure d'information relative aux opérations de consultation de fichiers ne semble en revanche envisagée.
La Commission considère que les personnes concernées par les dispositions des articles 6 et 8 devraient être informées de la nature des traitements susceptibles de faire l'objet de consultation. A cet égard, elle tient à rappeler que le principe même de cette consultation, s'agissant des fichiers d'antécédents judiciaires est prévu aux termes de l'article 17-1 de la loi n°95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité.
Enfin, il convient de rappeler le principe défini à l'article 10 de la loi du 6 janvier 1978 modifiée, selon lequel aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité.
 
Le Président, 
 
Alex TÜRK
(demande d’avis n°10013480)   
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales le 4 juin 2010 d’un projet de décret en Conseil d’Etat  autorisant la création d’un traitement de données à caractère personnel dénommé exécution des services commandés pour la réalisation des transfèrements et extractions;
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment ses articles 26, 32, 40, 41 et 42 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et  Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie le 4 juin 2010 par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales d’une demande d’avis relative à un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel dénommé "ESCORTE" ( Exécution des Services Commandés pour la Réalisation des Transfèrements et Extractions). Cette demande est présentée sur le fondement de l’article 26-II de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004.
Sur la finalité du traitement 
Le projet de décret soumis pour avis à l’examen de la Commission vise à créer le traitement Escorte qui a pour finalité la planification, l’organisation, la gestion et le compte-rendu des missions d’extractions et de transfèrements des personnes détenues conformément aux dispositions de l’article D.290 du code de procédure pénale. Ce traitement a également une finalité statistique et comptable de ces missions.
La Commission note que cette dernière finalité porte sur des recherches d’informations relatives au nombre de missions accomplies, interrompues et annulées, au nombre de tentatives d’évasion, aux évasions, aux outrages, à la répartition des missions accordées par catégorie. La recherche d’informations portent également sur la nature des services réalisés
Elle prend acte que les données transmises au niveau central du ministère de la justice sont anonymisées, seules des données quantitatives et qualitatives liées aux missions clôturées étant exportées. Elle estime que le projet de décret pourrait être complété à l’article 4 afin de le préciser.
Sur les données traitées
Aux termes de l’article 2 du projet de décret les données à caractère personnel pouvant être enregistrées ont trait  aux personnels effectuant les missions, aux donneurs d’ordre, à l’organisation et à l’exécution de la mission ainsi qu’aux personnes faisant l’objet du transfèrement et de l’extraction.
Concernant les données relatives aux gendarmes sont enregistrés : le numéro d’identification gendarmerie, grade, nom, prénom, unité d’affectation, unité d’emploi, fonction au sein de cette dernière.
Concernant les données relatives au donneur d’ordre et au bénéficiaire de la demande sont enregistrées le nom, prénom, qualité, lieu d’exercice professionnel, numéro de télécopie, adresse courriel.
Les données relatives aux personnes faisant l’objet du transfèrement ou de l’extraction sont : le nom, prénom, sexe, date et lieu de naissance, lieu de détention, lieu de destination, niveau de classification du détenu (particulièrement signalé ou non), banditisme, terrorisme, médiatisation, à séparer de, préconisation ou non de l’emploi de la force, donneur d’ordre, handicap, mesure prophylactique à prendre, préconisation d’un renfort en personnel.
La Commission prend acte qu’il n’existe aucun rapprochement entre l’application Escorte et le fichier national des détenus (FND), le fichier des détenus particulièrement signalés (DPS) le traitement de gestion informatisées des personnes écrouées (GIDE) et Cassiopée. Elle relève que les données relatives aux détenues sont communiquées par des fax transmis par l’administration pénitentiaire aux forces de gendarmerie.
Elle appelle toutefois l’attention du ministère sur la nécessité de procéder aux formalités préalables correspondantes lorsqu’une mise en relation de l’application ESCORTE avec le fichier national des détenus sera effective.
- S’agissant du traitement des données sensibles
La Commission relève que le projet de décret ne précise pas que le traitement contient des données sensibles qui relèvent de l’article 8 de la loi du 6 janvier 1978 modifiée en août 2004. Elle estime que ce point devrait être précisé aux termes du projet de décret quand bien même seules les données relatives à la santé du détenu sont susceptibles d’être enregistrées.
Elle prend acte que le ministère s’engage à compléter le projet de décret afin de préciser à l’article 2 : « les données relatives à l’état de santé du détenu peuvent, en application du IV de l’article 8 de la loi du 6 janvier 1978, être enregistrées dans le présent traitement, dans la limite des finalités définies à l’article 1er ».
Elle prend acte que les données relatives au détenu sont renseignées sous la forme des cases à cocher suivantes : « affaire médiatique / mesures prophylactiques à prendre/ handicap/ grand banditisme et terrorisme, détenu suivi pour grande violence / à séparer de…/ ».
Elle souligne qu’aucune zone de commentaire libre spécifique n’est rattachée à l’un des champs précédemment énumérés. Seule une zone de commentaire libre générale est prévue s’agissant de l’organisation de la mission proprement dite visant à indiquer les types de mesures prophylactiques à prévoir ou les précautions pratiques et matérielles nécessaires à mettre en œuvre si le handicap le nécessite.
Sur les interconnexions ou mises en relation 
La Commission prend acte qu’aux termes de l’article 4 du projet de décret le traitement Escorte alimente le traitement de gestion du service des unités pour le suivi des horaires des personnes ayant participé au transfèrement et aux extractions. Elle relève également que les informations relatives aux personnels et aux unités de gendarmerie sont issues du traitement dénommé « gestion du service des unités ». 
La Commission souligne qu’aucune donnée relative aux personnes détenues n’est échangée entre ces applications.
Sur les durées de conservation, la mise à jour et l’effacement des données
Aux termes de l’article 3 du projet de décret, les données à caractère personnel relatives aux autorités administratives et judiciaires et aux gendarmes exécutant la mission sont conservées deux ans à compter de la clôture de la mission. Les données relatives à la personne faisant l’objet du transport sont conservées trois mois à compter de la date d’exécution de la mission.
La Commission prend acte qu’une fois les missions clôturées, des données quantitatives et qualitatives anonymisées liées à ces dernières sont conservées dans la base statistique centrale de la gendarmerie.
S’agissant des destinataires
Aux termes de l’article 5 du projet de décret, sont destinataires des données, les personnels de la gendarmerie nationale individuellement désignés et spécialement habilités, ainsi que les autorités judiciaires et administratives lorsque les données sont en rapport avec les modalités d’exécution des missions mentionnées à l’article 1er du projet de décret. De même, les personnels de l’administration centrale du ministère de la justice peuvent être destinataires de données dans le cadre du suivi comptable de ces missions.
La Commission prend acte que le ministère s’engage à compléter l’article 5 du projet de décret afin de préciser que seules les autorités judiciaires et administratives donneuses d’ordre peuvent recevoir communication des données anonymisées issues de l’application ESCORTE.
Sur l’exercice des droits des personnes
La Commission prend acte que les droits d’accès et de rectification s’exercent auprès de la Commission conformément aux dispositions des articles 40, 41  et 42 de la loi du 6 janvier 1978 modifiée en août 2004, et que le droit d’opposition ne s’applique pas au présent traitement.
Sur les sécurités
La Commission prend acte que les accès à l’application sont sécurisés et que la politique de droit d’accès définie repose sur neuf profils différents. Elle relève que la procédure de gestion des traces fonctionnelles est fondée sur une séparation des pouvoirs qui permet de garantir l’intégrité et la confidentialité des de ces traces, contenant des données à caractère personnel. Elle prend acte que les traces fonctionnelles sont conservées sur une durée de trois ans à compter de leur création.
La Commission prend acte que le contrôle de l’accès se fait au moyen d’un mot de passe de 8 caractères, elle recommande toutefois qu’une durée de vie des mots de passe soit définie et qu’un blocage de l’accès à un compte après cinq tentatives de connexion infructueuses, soit mis en œuvre.