AgentPublic/cnil huggingface dataset:
Il doit être procédé à cette mise à jour selon les modalités prévues à l'article 2 du règlement d'exécution n° 2016/347 du 10 mars 2016 définissant des normes techniques d'exécution précisant le format des listes d'initiés et les modalités de la mise à jour de ces listes conformément au règlement n° 596/ 2014. La mise à jour doit indiquer les données prévues en annexe de ce règlement d'exécution.
L'article 18.5 du règlement n° 596/2014 relatif aux abus de marché impose la conservation de la liste d'initiés pendant une période minimale de cinq ans après son établissement ou sa mise à jour. Les informations enregistrées devenues caduques sont effacées au terme de la cinquième année suivant la cessation de l'accès à toute information privilégiée ou le changement de motif d'inscription.
En tout état de cause, aux termes de l'article 28 du Règlement n° 596/2014, les données à caractère personnel sont conservées pendant une durée maximale de cinq ans.
Par exception, lorsque les informations se rapportent à un émetteur qui est soumis au contrôle d'une autorité étrangère compétente, homologue de l'Autorité des marchés financiers, à l'égard de laquelle s'applique un délai de conservation des données plus contraignant, elles ne sont effacées dans les mêmes conditions qu'à l'expiration de ce délai.
 
Article 6
Information et droit d'accès.
En plus des informations prévues par l'article 18.2 du règlement n° 596/2014 relatif aux abus de marché, le responsable du traitement informe les personnes inscrites sur la liste d'initiés de la finalité du traitement, des destinataires des informations et des modalités d'exercice des droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée.
Cette information est délivrée par la remise d'un document écrit ou par voie électronique.
Une lettre d'information peut également, dans la mesure du possible, être adressée à la personne concernée au moment de sa radiation de la liste.
Les droits des personnes s'exercent dans les conditions prévues par les articles 32 à 40 de la loi du 6 janvier 1978 modifiée.
La commission prend acte que le responsable de traitement respecte ses obligations vis-à-vis des instances représentatives du personnel, conformément au code du travail.
 
Article 7 
Politique de confidentialité et de sécurités.
Les listes d'initiés doivent être établies dans un format électronique qui respecte les conditions posées par le règlement d'exécution n° 2016/347.
Le responsable de traitement prend, en conséquence, toutes précautions utiles pour préserver l'intégrité, la sécurité et la confidentialité des données saisies, par exemple en mettant en place un système de journalisation et d'horodatage des mises à jour et consultations de la liste pour leur attribuer une date certaine ou, lorsque les motifs d'inscription constituent des informations privilégiées, en utilisant des noms de code ou en conservant les données sous une forme chiffrée.
La liste est soumise par le moyen électronique précisé par l'autorité compétente. Les autorités compétentes publient sur leur site web les moyens électroniques à utiliser. Ces moyens électroniques garantissent que l'exhaustivité, l'intégrité et la confidentialité des informations sont préservées pendant la transmission.
 
Article 8
Recours à un prestataire.
Dans le respect de la réglementation applicable, le responsable du traitement peut avoir recours à un prestataire externe pour l'archivage des listes d'initiés.
La convention signée avec le prestataire décrit les opérations que celui-ci est habilité à effectuer à partir des données à caractère personnel, ainsi que les engagements qu'il prend pour garantir leur sécurité et leur confidentialité, en particulier l'interdiction d'utiliser les données à d'autres fins que celles indiquées par la convention et de les mettre en relation avec d'autres sources de données à caractère personnel, ainsi que l'engagement de procéder à la destruction des fichiers manuels ou informatisés stockant les données personnelles dès l'achèvement du contrat.
Le responsable de traitement doit s'assurer du caractère suffisant des mesures prises en vue d'assurer la sécurité et la confidentialité des données.
 
Article 9
Interconnexion ou mise en relation avec d'autres traitements.
Les listes d'initiés peuvent être constituées pour partie sur la base d'informations issues d'un dispositif automatisé de gestion des missions ou de traçabilité des accès aux applications de gestion de documents, notamment ceux comportant des informations privilégiées ou des bases d'information issues des traitements RH pour les seules données nécessaires à l'établissement des listes d'initiés.
 
Article 10
Effets de la dispense.
Les traitements répondant aux conditions visées aux articles 1 à 9 peuvent être mis en œuvre sans délai et sans déclaration préalable auprès de la CNIL.
La dispense de déclaration préalable auprès de la CNIL n'exonère le responsable de tels traitements d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel. En particulier, la commission rappelle qu'elle se réserve le droit de contrôler le respect des dispositions de la présente délibération.
Ne peuvent prétendre au bénéfice de la dispense de déclaration les traitements automatisés qui sortent du cadre défini par la présente délibération, tels que ceux ayant également pour finalité la recherche des opérations suspectes définies par l'article 16 du règlement (UE) n° 596/2014 relatif aux abus de marché. Ces traitements doivent faire l'objet de formalités déclaratives préalables auprès de la CNIL dans les conditions prévues par la loi du 6 janvier 1978 modifiée.
 
Article 11 
Publication.
La présente délibération abroge la délibération n° 2006-186 du 6 juillet 2006 décidant la dispense de déclaration de certains traitements automatisés de données personnelles ayant pour finalité la tenue, l'utilisation et la communication des listes d'initiés.
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
(Demande d'avis n° AV 16018300)
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret portant création d'un traitement de données à caractère personnel relatif à la mise en mouvement et à l'exercice de l'action publique, dénommé LMP ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment ses articles 31 et 39 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment le 2° du I et le II de l'article 26 ;
Vu la loi n° 2017-242 du 27 février 2017 portant réforme de la prescription en matière pénale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la circulaire du 23 décembre 2015 relative au traitement en temps réel et organisation des parquets ;
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
Après avoir entendu Mme Sylvie ROBERT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministère de la justice d'une demande d'avis concernant un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel relatif à la mise en mouvement et à l'exercice de l'action publique.
Le traitement projeté, dénommé Logiciels Métier du Parquet (LMP) et mis en œuvre au sein des parquets des tribunaux de grande instance (TGI), a vocation à constituer un outil de partage d'informations et d'aide à la décision dans la mise en mouvement et l'exercice de l'action publique par les parquets.
Il a ainsi pour objet la recherche, la constatation et la poursuite des infractions pénales et peut en outre comporter des données relevant de l'article 8 de la loi du 6 janvier 1978. Dès lors, le traitement projeté doit être autorisé par décret en Conseil d'Etat pris après avis motivé et publié de la commission, conformément aux dispositions du II de l'article 26 de la loi du 6 janvier 1978 modifiée.
A titre liminaire, la commission relève que le déploiement de ce traitement a déjà débuté dans certaines juridictions à des fins expérimentales. Elle prend acte qu'un bilan de ces premières mises en œuvre sera dressé et qu'il lui sera communiqué. Au regard de sa position sur les durées de conservation prévues par le présent projet de décret, la commission estime en outre que ce bilan devrait, notamment, aborder cette problématique.
Sur la finalité du traitement :
Les magistrats du parquet, dans la limite de leur arrondissement judiciaire, mettent en œuvre et exercent l'action publique, dirigent la police judiciaire et encadrent les services d'enquête. Ainsi, les enquêtes de flagrance et les enquêtes préliminaires sont menées sous le contrôle du procureur de la République, dans les conditions fixées par le code de procédure pénale (CPP).
Dans ce cadre, les parquets ont notamment accès au traitement dénommé Cassiopée, dont les modalités de mise en œuvre sont prévues aux articles 48-1 et R. 15-33-66-4 à R. 15-33-66-13. Toutefois, le ministère a précisé que les informations enregistrées dans ce traitement portent sur les actes de procédure et non sur leur contenu. Dès lors, pour l'exercice des prérogatives précitées, il a souhaité doter les parquets d'outils informatiques dédiés de partage d'informations et d'aide à la décision.
Le traitement projeté est composé de deux modules qui ont respectivement pour finalité, en application de l'article 1er du projet de décret, la retranscription des échanges entre les magistrats du parquet et les services d'enquête et le suivi calendaire des enquêtes pénales par les magistrats du parquet.
Le premier module, dénommé Veille Informatisée de Gestion des Infractions et des Evènements (ci-après VIGIE), est destiné à la permanence des parquets, quelle qu'en soit l'organisation (section spécialisée dite traitement temps réel (TTR), contentieux déterminé, etc.). Ces permanences visent à apporter une réponse pénale dans les meilleurs délais aux enquêteurs qui sollicitent le parquet, le plus souvent pour des procédures caractérisées par l'urgence ou la gravité des faits. Ces échanges se font principalement par voie téléphonique et, dans une moindre mesure, électronique. Le module VIGIE a pour objet de retranscrire ces échanges avec les services d'enquête, à partir de modèles.
Les magistrats du parquet disposeront ainsi de comptes-rendus uniformisés, comportant les informations nécessaires à la mise en mouvement et à l'exercice de l'action publique, accessibles, en application du principe d'indivisibilité du parquet, à l'ensemble des membres du parquet d'un même TGI.
Le second module Bureau Informatisé des Enquêtes (BIE) a été conçu pour le suivi des enquêtes préliminaires relevant des bureaux des enquêtes, le ministère ayant précisé qu'il pourra toutefois être utilisé de manière plus générale par l'ensemble des services du parquet ayant besoin d'effectuer un suivi calendaires de ces enquêtes.
Ce mode d'investigation est très largement utilisé, pour des enquêtes de plus en plus complexes et qui nécessitent des investigations longues à réaliser. Les pouvoirs des enquêteurs dans ce type d'enquête sont en effet régulièrement étendus, rendant ce type d'investigations particulièrement efficaces.
Or, le CPP prévoit, d'une part, qu'un délai est fixé par le procureur de la République pour les enquêtes préliminaires qu'il ordonne et d'autre part, que les enquêteurs lui rendent compte des enquêtes menées d'office commencées depuis plus de six mois.
En outre, plusieurs mesures ne peuvent être mises en œuvre que pendant une certaine durée, fixée par le CPP (infiltration, interceptions de communication, etc.).
Il convient dès lors d'assurer un suivi calendaire effectif de ce type d'enquêtes par les parquets, dans le cadre de leurs prérogatives en matière d'enquêtes préliminaires et conformément aux instructions qui figurent dans la circulaire du 23 décembre 2015 susvisée. Ce module doit dès lors permettre au procureur de la République de suivre plus précisément certaines enquêtes, par l'intermédiaire d'une fonctionnalité de suivi calendaire, en fonction des priorités de politique pénale qu'il a définies.
Ce module BIE doit enfin permettre de générer des statistiques.
La commission prend acte que les deux modules sont indépendants, en ce sens que les parquets peuvent en utiliser un seul ou les deux, et étanches. Toutefois, il sera possible d'importer dans le module BIE des comptes-rendus enregistrés dans VIGIE, en fonction des priorités de politique pénales définies par le procureur de la République et de l'appréciation des magistrats du parquet.
Au regard de ces éléments, la commission considère que les finalités assignées aux modules sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les personnes concernées et la nature des données traitées :
Les articles 2 et 3 du projet du décret précisent les personnes concernées et listent les données collectées, en fonction du module concerné.
Des données relatives aux personnes mises en cause ou liées au faits signalés et aux personnes référentes du dossier pourront être enregistrées dans le traitement projeté. Les personnes liées aux faits signalés sont les témoins, les victimes, les proches de la personne mise en cause ou de la victime. Les personnes référentes sont les enquêteurs et les magistrats du parquet.
La commission prend acte que si les données relatives aux avocats ne feront pas l'objet d'un champ spécifique, de telles données pourront néanmoins être enregistrées dans les champs libres. Elle estime dès lors que les avocats devraient être mentionnés au titre des personnes concernées par le traitement.
Le projet de décret liste, pour chaque catégorie de personnes concernées, les données traitées. La commission relève que de nombreuses données pourront être collectées concernant les personnes mises en cause ou liées au faits signalés et rappelle que l'ensemble des données listées ne devront pas être systématiquement collectées, seules les données nécessaires à la mise en mouvement et à l'exercice de l'action publique devant être, conformément aux finalités assignées au traitement LMP, enregistrées dans le traitement.
Des données relatives aux faits signalés au parquet (circonstances, service d'enquêteur appelant et service d'enquête saisi), aux infractions et à l'enquête (service du parquet saisi, qualification de l'infraction, orientation décidée par le parquet) et aux condamnations ou mesures de sûreté (antécédents, mesure de garde à vue) pourront être enregistrées dans le traitement, ce qui n'appelle pas d'observation particulière de la part de la commission.
L'article 2 du projet de décret prévoit que des données relevant de l'article 8 de la loi du 6 janvier 1978 modifiée pourront être collectées dans la stricte mesure où ces données résultent de la nature ou des circonstances des faits signalés . De telles données pourront être enregistrées en raison des faits signalés au parquet par les enquêteurs ainsi que lors de la qualification des faits par le parquet, mais également dans le cadre du signalement des personnes concernées.
Aussi, si elle prend acte de l'engagement du ministère de la justice de remplacer, à l'article 3 du projet de décret, le terme signalement par signes physiques particuliers, objectifs et permanents , elle estime que l'article 2 dudit projet, relatif aux données relevant de l'article 8 de la loi du 6 janvier 1978, devrait également être modifié afin d'indiquer que de telles données pourront être enregistrées lorsqu'elles résultent des éléments de signalement des personnes concernées.
Les autres catégories de données à caractère personnel, et notamment les données spécifiques au module BIE concernant le suivi calendaire des actes réalisés au cours des enquêtes préliminaires concernées, n'appellent pas d'observation particulière de la part de la commission.
Sous réserve des précédentes observations, la commission estime que les données collectées sont pertinentes et non excessives au regard des finalités assignées au traitement projeté.
Sur la durée de conservation des données :
L'article 4 du projet de décret fixe les durées de conservation des données en fonction du module dans lequel elles sont enregistrées.
Ainsi, les données enregistrées dans le module VIGIE sont conservées un an à compter de la retranscription des échanges entre les magistrats du parquet et les services d'enquête.
Le ministère a indiqué que le traitement LMP et le traitement Cassiopée n'étant pas interconnectés, un effacement automatique des données une fois qu'elles sont enregistrées dans Cassiopée n'est pas envisageable.
La commission estime toutefois que, en application des dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée, les données ne devraient être conservées que jusqu'à la décision du procureur intervenue sur l'action publique puis être versées, si cela était jugé nécessaire par le ministère de la justice, dans une base d'archive intermédiaire.
Le projet de décret prévoit en outre que les données conservées dans le module BIE seront conservées cinq ans à compter de l'enregistrement relatif au dernier acte d'enquête. Le ministère a précisé avoir appliqué à la durée de conservation des données les principes de la prescription de l'action publique.
En application des dispositions des articles 7, 8 et 9 CPP, la prescription de l'action publique est interrompue par tout acte d'instruction ou de poursuite, c'est-à-dire par tout acte tendant à la mise en mouvement de l'action publique par le parquet, ainsi que tout acte d'investigation et de constatation des infractions accompli au cours de l'enquête préliminaire ou de flagrante par des officiers ou agents de police judiciaire compétents.
La commission relève que le point de départ de la durée de conservation des données enregistrées dans le module BIE est glissant et similaire à celui de la prescription de l'action publique, puisqu'il s'agit de l'enregistrement relatif au dernier acte d'enquête. En revanche, elle relève que ce délai de cinq ans ne correspond à aucune des durées de prescription de l'action publique prévues par le CPP, lesquelles ont en outre été allongées par la loi susvisée du 27 février 2017.
Par ailleurs, la commission estime que les principes applicables à l'action publique ne doivent pas définir la durée de conservation des données enregistrées dans le traitement projeté. C'est en effet au regard de la finalité de suivi calendaire des enquêtes pénales par les magistrats du parquet que doit être définie la durée de conservation. Or, les éléments fournis par le ministère de la justice ne permettent pas d'établir la nécessité de conserver les données relatives aux actes d'enquêtes (nom de l'acte et date de sa réalisation) pendant cinq ans à compter du dernier acte d'enquête, d'autant plus que l'enquête a pu, entre-temps, être clôturée.
Aussi, la commission estime que la durée de conservation ainsi définie n'est pas conforme aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Les articles 5 et 6 du projet de décret listent les destinataires, en distinguant les personnels habilités à accéder directement aux données enregistrées dans le traitement projeté de ceux habilités à recevoir communication de ces données.
S'agissant des premiers, il s'agit des magistrats du parquet près les tribunaux de grande instance et des agents du greffe et des personnels habilités à les assister. Conformément au principe d'indivisibilité du parquet, l'ensemble des magistrats du ministère public près leur juridiction d'affectation pourra avoir accès aux données enregistrées dans le traitement projeté.
Si cet accès des parquets est légitime au regard des finalités assignées au traitement, la commission estime en revanche que LMP ne devrait pas pouvoir être consulté à des fins de recherche d'antécédents. Les recherches sur des enquêtes antérieures ne devraient porter que sur la retranscription des échanges ou le suivi calendaire d'une enquête, et en aucun cas intervenir afin de rechercher les éventuelles procédures passées et les suites données concernant une personne déterminée ou ses proches.
Les personnels habilités à recevoir communication des données, sans accès direct au traitement, sont les services d'enquête, c'est-à-dire les services de la police et de la gendarmerie nationales et de la douane judiciaire, ainsi que les procureurs généraux auprès des cours d'appel.
La transmission d'information aux services d'enquête s'inscrit précisément dans le cadre des finalités assignées au traitement projeté, de sorte que cela n'appelle pas d'observation particulière de la part de la commission.
Enfin, en application des dispositions du CPP, le procureur général près la cour d'appel anime et coordonne l'action des procureurs de la République et précise et adapte les instructions générales du ministre de la justice au contexte propre au ressort. Il a en outre autorité sur tous les officiers du ministère public du ressort de la cour d'appel et peut déclencher et faire exercer l'action publique ou être tenu informé de l'activité judiciaire. La commission estime dès lors que les procureurs généraux ont un intérêt légitime, au regard des finalités du traitement, à connaître des données enregistrées dans ce dernier.
Sur les droits des personnes :
En application de l'article 32-VI de la loi du 6 janvier 1978 modifiée, le droit d'information ne s'applique pas au traitement projeté. La commission relève toutefois qu'une information générale sera délivrée, par voie d'affichage, aux personnels habilités à accéder directement aux données enregistrées dans les deux modules. En outre, une information générale figure dans les juridictions concernant la mise en œuvre, par le ministère de la justice, de traitements de données à caractère personnel.
Il est prévu par le projet de décret que le droit d'opposition ne s'applique pas au traitement projeté, et que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent de manière directe auprès du procureur de la République près le tribunal de grande instance concerné, ce qui n'appelle pas d'observation particulière de la part de la commission.
Sur la sécurité des données et la traçabilité des actions :
Les échanges de données entre les magistrats des parquets et les services enquêteurs sont réalisés en dehors des deux modules du traitement LMP : ces échanges d'information interviendront en effet par l'intermédiaire d'une plateforme d'échanges de fichiers dénommée PLINE, qui a fait l'objet d'une déclaration à la commission.
La commission relève que la connexion entre le traitement LMP et la plateforme s'effectue conformément à l'obligation de sécurité prévue à l'article 34 de la loi du 6 janvier 1978 modifiée. L'accès à cette plateforme est en effet sécurisé au moyen du protocole TLS. Concernant le recours à ce protocole, la commission rappelle qu'elle recommande d'utiliser la version la plus à jour possible et des algorithmes conformes à l'annexe B1 du Référentiel général de sécurité (RGS).