AgentPublic/cnil huggingface dataset:
équivalents. A cet égard, la commission relève que le législateur européen a prévu la collecte et l'enregistrement, dans le système Eurodac, des empreintes des dix doigts des demandeurs d'asile en vue d'une application efficace du règlement (UE) n° 604/2013 du Parlement européen et du Conseil du 26 juin 2013, dit  règlement Dublin III . De même, le législateur national a permis la collecte et l'enregistrement, dans le traitement AGDREF 2, des empreintes digitales et de la photographie des ressortissants étrangers afin de garantir le droit au séjour des personnes en situation régulière et de lutter contre l'entrée et le séjour irrégulier des étrangers en France. Dans ces conditions, et au regard du faible nombre de personnes concernées par cette évolution du dispositif, la commission estime qu'une telle collecte est adéquate au regard de l'objectif poursuivi. Néanmoins, elle rappelle que le traitement mis en œuvre doit être entouré de strictes garanties du point de vue de la protection des données personnelles. La collecte projetée concerne les seules demandes d'asile formulées auprès des collectivités d'outre-mer, à l'exclusion de celles effectuées sur le territoire européen de la France, lesquelles sont soumises au système Dublin. Il en résulte que l'accès aux données biométriques concernant les étrangers ayant formulé une demande d'asile auprès d'une collectivité d'outre-mer doit être réservé aux seuls agents chargés, au sein des préfectures d'outre-mer, de l'instruction
des demandes d'asile. La commission prend dès lors acte de l'engagement du ministère de l'intérieur de limiter l'accès aux données biométriques concernant les étrangers ayant présenté une demande d'asile dans une collectivité d'outre-mer aux seuls agents des services préfectoraux des collectivités d'outre-mer chargés de l'instruction des demandes d'asile. Elle prend également acte que cet accès ne pourra intervenir qu'au moyen de la carte  agent  ministérielle sécurisée et que les mesures de traçabilité prévues pour le traitement AGDREF 2 par l'article R. 611-7-1 du CESEDA s'appliquent. La commission relève que la durée de conservation des données est de cinq ans à compter de l'enregistrement, conformément aux dispositions de l'article R. 611-7-1 du CESEDA et sous réserve des exceptions prévues au même article. En conséquence, la commission considère que le recueil et la conservation de la photographie numérisée ainsi que des empreintes des dix doigts du demandeur d'asile sont adéquats, pertinents et non excessifs au regard de la finalité poursuivie. Sur les autres données intégrées dans AGDREF 2 . L'article 41 du projet de décret prévoit quant à lui l'ajout de nouvelles données dans l'annexe 6-4 mentionnée à l'article R. 611-3 du CESEDA, qui liste les autres catégories de données personnelles des étrangers susceptibles d'être collectées par l'autorité administrative dans le cadre de l'instruction des demandes de délivrance ou de renouvellement de titres de séjour. En
premier lieu, il envisage de permettre la collecte de l'état civil et de la filiation de l'enfant mineur français dont un parent étranger sollicite un titre de séjour en qualité de parent d'enfant français en vertu des dispositions du 6° de l'article L. 313-11 du CESEDA. L'objectif de cette collecte est d'offrir aux services opérationnels un moyen supplémentaire pour identifier les auteurs de reconnaissance frauduleuse de paternité (fait constitutif du délit prévu à l'article L. 623-1 du CESEDA), pratique qui consiste, pour un ressortissant français, à reconnaître frauduleusement un mineur étranger comme étant son enfant pour lui transmettre la nationalité française ce qui permet ensuite à l'autre parent de cet enfant, le plus souvent sa mère, d'obtenir un titre de séjour. A cet égard, la commission prend acte que seules seront collectées les données relatives à l'état civil et la filiation du ou des enfants français mineurs des demandeurs d'un titre de séjour en qualité de parent d'enfant français, et non de l'ensemble des enfants, mineurs ou majeurs, français ou non français, de tous les ressortissants étrangers. A sa demande, le projet de décret a été modifié sur ce point. En deuxième lieu, la loi du 29 juillet 2015 relative à la réforme du droit d'asile permet aux autorités administratives de décider du maintien en rétention de l'étranger placé en rétention qui présente une demande d'asile. En conséquence, l'article 41 du projet de décret prévoit, en complément des date
et heure de l'enregistrement de la demande d'asile, de la convocation par l'OFPRA le cas échéant, de la décision de l'office et de la date de notification de la décision, la collecte des date et heure de la décision de maintien en rétention. En dernier lieu, la loi du 7 mars 2016 relative au droit des étrangers en France ouvre la possibilité à l'autorité administrative d'assortir l'obligation de quitter le territoire français, faite à un étranger en situation irrégulière, d'une mesure d'interdiction de circulation sur le territoire français d'une durée maximale de trois ans. Pour tenir compte de cette nouvelle mesure, l'article 41 du projet de décret prévoit la collecte de la date de la décision d'interdiction de circulation sur le territoire, des dates de début et de fin de la période d'interdiction et, le cas échéant, de la date de la demande d'abrogation, de la date d'abrogation ainsi que de la date d'annulation contentieuse. La commission considère que ces nouvelles données apparaissent adéquates, pertinentes et non excessives au regard des finalités du traitement AGDREF 2. Sur les modalités d'exercice du droit de communication prévu à l'article L. 611-12 du CESEDA . La loi du 7 mars 2016 relative au droit des étrangers en France a institué un droit de communication au bénéfice de l'autorité administrative chargée de procéder à l'instruction des demandes de délivrance ou de renouvellement de titres de séjour, ainsi qu'aux vérifications utiles pour s'assurer du maintien
du droit au séjour des étrangers. Ce droit de communication doit permettre à l'administration de recueillir les documents et informations nécessaires concernant la situation des étrangers afin de contrôler la sincérité et l'exactitude des déclarations souscrites ou l'authenticité des pièces produites en vue de l'attribution d'un droit au séjour ou de sa vérification. L'article L. 611-12 du CESEDA, qui énonce le principe général concernant ce droit de communication, précise la liste des autorités et personnes privées auprès desquelles ce droit est susceptible de s'exercer et prévoit qu'un décret en Conseil d'Etat, pris après avis de la CNIL, définit la nature des documents et des informations susceptibles d'être communiquées par chacune d'elles. La commission relève que le législateur a assorti l'exercice de ce droit de communication de plusieurs garanties. Ainsi, il a rappelé que ce droit s'exerce ponctuellement et à l'initiative de l'administration, que la personne concernée doit être informée de l'origine et de la teneur des informations et documents transmis sur ce fondement avant qu'intervienne la décision de retrait de sa carte de séjour, de manière à lui permettre d'obtenir une copie de ces éléments, et enfin que la personne concernée dispose d'un droit de rectification et de suppression de ses données. L'article 34 du projet de décret prévoit l'ajout dans la partie réglementaire du CESEDA d'un article R. 611-41-2 qui précise, pour chacune des autorités et personnes
privées concernées, la nature des informations et documents qu'elle est susceptible de communiquer à l'autorité administrative. Il précise que les demandes d'informations et de documents s'effectuent par tout moyen de nature à permettre l'identification du représentant de l'autorité administrative demandeuse, garantissant ainsi que les données ne soient pas transmises à des tiers non autorisés. La commission estime que les informations et documents listés apparaissent pertinents pour permettre d'instruire les demandes de délivrance ou de renouvellement de titre de séjour et de procéder aux vérifications utiles afin de s'assurer du maintien du droit au séjour des étrangers, sous réserve du type de titre de séjour concerné et des critères qui conditionnent son obtention. Toutefois, elle rappelle que l'article 34 du projet de décret a pour objet de définir de manière exhaustive les documents et informations communicables afin d'éviter toute transmission excessive de renseignements susceptible de porter atteinte à la vie privée des personnes concernées et que, dans le cadre du droit de communication notamment, les autorités administratives ne doivent pouvoir accéder qu'aux seules données dont elles ont besoin de connaître pour remplir leurs missions. A cet égard, elle prend acte de l'engagement du ministère de l'intérieur de supprimer le terme  notamment  au 2° du projet d'article R. 611-41-2 du CESEDA concernant les informations et documents susceptibles d'être communiqués par
les administrations chargées du travail et de l'emploi. De manière générale, le ministère précise que le droit de communication qui est ouvert à l'article L. 611-12 du CESEDA n'aura ni pour objet ni pour effet de conduire à la transmission de fichiers ou de sous-ensembles de fichiers ou à des interconnexions., Il s'engage à diffuser, via la direction générale des étrangers en France (DGEF), une doctrine d'emploi à l'attention des préfets afin de préciser que le droit de communication devra conduire à des demandes au cas par cas, essentiellement au titre de levée de doutes, les réponses attendues des organismes interrogés prenant la forme de courriers et de courriels. A cet égard, la commission rappelle qu'il convient que, lors de sa demande, l'autorité administrative précise le fondement légal sur lequel elle s'appuie pour exercer ce droit de communication ainsi que l'identité de la personne concernée. Enfin, la commission prend note du fait que les informations obtenues dans le cadre du droit de communication ne seront pas enregistrées dans le traitement AGDREF 2. Compte tenu de l'ensemble de ces éléments, la commission estime que le droit de communication des autorités administratives, tel qu'il est encadré, doit permettre de garantir le caractère ponctuel, motivé et objectif des demandes de ces administrations en limitant au strict nécessaire les atteintes qui seraient portées à la vie privée des personnes dont les données à caractère personnel seraient ainsi traitées.
La Commission nationale de l'informatique et des libertés, Saisie par le ministre des finances et des comptes publics d'une  demande d'avis concernant un projet d'arrêté relatif à la mise en  service à la direction générale des finances publiques, à l'association  pour la gestion de la sécurité sociale des auteurs et à la maison des  artistes d'une procédure automatisée de transfert des données fiscales ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  code général des impôts ; Vu le  livre des procédures fiscales, notamment ses articles L. 152, L. 288, R. 152-1, R. 287 et R. 288-1 et suivants ; Vu Je  code de la sécurité sociale ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ; Vu le  décret n° 99-1047 du 14 décembre 1999  pris pour l'application de l'article 107 de la loi de finances pour  1999 (n° 98-1266 du 30 décembre 1998) relatif à l'utilisation du numéro  d'inscription au répertoire national d'identification des personnes  physiques par la direction générale des impôts, la direction générale de  la comptabilité publique et la direction générale des douanes et droits
indirects ; Vu le  décret n° 2000-8 du 4 janvier 2000 modifié pris pour l'application de l' article L. 288 du livre des procédures fiscales ; Vu le  décret n° 2002-771 du 3 mai 2002 modifié portant création d'une procédure de transfert de données fiscales ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 01-055 du 25 octobre 2001 relative à la  création d'une procédure de transfert de données fiscales pour le compte  de l'Etat et des organismes de protection sociale visés à l' article L. 152 du livre des procédures fiscales ; Vu le dossier et ses compléments ; Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir  entendu les observations de M. Jean-Alexandre SILVY, commissaire du  Gouvernement,
Emet l'avis suivant : La Commission nationale de l'informatique et des libertés a été  saisie pour avis par le ministre des finances et des comptes publics  d'un projet d'arrêté relatif à la mise en service, à la direction  générale des finances publiques (DGFiP), d'une procédure automatisée de  transfert des données fiscales au bénéfice de l'Association pour la  gestion de la securite sociale des auteurs (AGESSA) et de la Maison des  artistes (MDA). La procédure de transfert de données fiscales (dite TDF ) a été créée par le  décret n° 2002-771 du 3 mai 2002 susvisé,  pris après l'avis de la commission en date du 25 octobre 2001, afin de  permettre aux agents des administrations fiscales de communiquer aux  organismes et services chargés de la gestion d'un régime obligatoire de  sécurité sociale ou d'un régime de retraite complémentaire obligatoire,  sur support informatique, les informations fiscales nécessaires à  l'exécution des finalités mentionnées à l' article L. 152 du livre des procédures fiscales  (LPF). Ces finalités concernent, à titre général, le contrôle des  déclarations des allocataires aux fins d'ouverture, de maintien et de  calcul des droits. Ce même article précise que le numéro d'inscription au répertoire  national d'identification des personnes physiques (NIR) peut être  utilisé pour les demandes, échanges et traitements nécessaires à la  communication des informations qui y sont mentionnées, lorsqu'elles  concernent des personnes physiques. La
procédure TDF est mise en œuvre dans le cadre d'un centre de  services informatiques unique, hébergé par la DGFiP et dénommé Centre  national de transfert de donnees fiscales (CNTDF). Celui-ci reçoit les  demandes des organismes sociaux qui fournissent un  fichier d'appels   concernant certains de leurs assurés, les transmet à la DGFiP et adresse  les réponses reçues de cette dernière ( fichiers de restitutions ).  Cette procédure permet ainsi de communiquer uniquement les données des  personnes concernées par la demande adressée par ces organismes et à  transmettre les seules informations qui leur sont nécessaires. L' article 2 du décret n° 99-1047 du 14 décembre 1999 susvisé  prévoit expressément que des arrêtés ministériels pris après avis de la  Commission nationale de l'informatique et des libertés fixent  la  liste des informations pouvant être obtenues  par les organismes de  sécurité sociale et  les règles auxquelles doivent satisfaire les  traitements opérés pour le recueil et l'exploitation de ces informations  . C'est dès lors sur le fondement de ce décret qu'un projet d'arrêté  est soumis pour avis à la commission, lequel vise à faire bénéficier  deux nouveaux organismes, l'AGESSA et la MDA, de la procédure TDF. L'AGESSA et la MDA sont deux organismes de sécurité sociale  participant au régime des artistes auteurs, intégré au régime général de  sécurité sociale. Ces deux organismes sont directement placés sous la  double tutelle du ministère du travail, de
l'emploi et de la santé  (direction de la sécurité sociale) et du ministère de la culture et de  la communication. L'article 2 du projet d'arrêté énonce les finalités pour lesquelles  les informations transmises à l'AGESSA et la MDA peuvent être utilisées. Il s'agit de permettre le contrôle de cohérence des éléments de  revenu pour la détermination du montant des cotisation sociales dues au  titre des revenus artistiques de leurs affiliés et, le cas échéant, les  nouvelles liquidations en vue d'un rappel de cotisations sociales. La commission considère que la mise en œuvre de la procédure de  transfert de données fiscales pour ces nouveaux organismes est conforme  aux dispositions de l'article L. 152 du LPF. Elle rappelle néanmoins que  seules les informations fiscales nécessaires à l'exécution des  finalités décrites dans ces dispositions pourront être traitées. L'article 3 du projet d'arrêté énumère les informations contenues  dans le  fichier d'appels  transmis par l'AGESSA et la MDA au CNTDF,  lorsqu'elles demandent à avoir communication d'informations fiscales  issues de la déclaration de revenus concernant certains de leurs  assurés. La commission relève que la constitution d'un  fichier d'appels   s'effectue sous le contrôle de l'organisme demandeur. Tout  fichier  d'appels  est ainsi accompagné des noms et coordonnés du correspondant  CNTDF de l'organisme pour le compte duquel il est présenté. Conformément aux dispositions de l'article R. 152-1 du LPF, le NIR  peut
être communiqué par l'AGESSA et la MDA quand elles en ont  connaissance. La commission rappelle que les NIR transmis par ces  organismes sont exclusivement conservés au CNTDF dans des fichiers  informatisés dédiés, dénommés  tables de correspondance NIR/ITIP-SPI ,  permettant d'établir un lien entre le NIR complété des quatre premiers  caractères du nom de famille, d'une part, et l'identifiant technique du  système d'information de la DGFiP (n° ITIP) et l'identifant fiscal  national individuel utilisé par les administrations fiscales dans leurs  traitements internes et dans leurs relations avec les contribuables (n°  SPI), d'autre part. L'article 4 du projet d'arrêté énumère les informations restituées  par le traitement TDF en ce qui concerne la situation fiscale des  assurés, qui n'appellent pas d'observation particulière. Au regard de ces éléments, la commission considère que les données  traitées sont adéquates, pertinentes et non excessives au regard des  finalités pour lesquelles elles sont collectées, conformément à  l'article 6 (3°) de la loi du 6 janvier 1978 modifiée. Les informations contenues dans les fichiers d'appels  ou de  restitutions  sont conservées au CNTDF deux ans au maximum à compter de  la réception des fichiers, comme le prévoit expressément l'article 3 du  projet d'arrêté. Cette durée correspond à l'année en cours et à l'année précédente et  permet dès lors de traiter des requêtes adressées par les organismes et  leurs réponses. Les informations
présentes dans les  fichiers de restitutions   sont conservées par l'AGESSA et la MDA le temps de la prescription, soit  trois années plus l'année en cours, conformément à l' article L. 244-3 du code de la sécurité sociale. Les destinataires des  fichiers de restitutions  sont les agents habilités de l'AGESSA et la MDA. S'agissant des modalités d'information des personnes, la commission  observe qu'une mention figure dans la notice de déclaration de revenus,  sous l'intitulé  données fiscales : accès et transmission , visant à  informer l'ensemble des usagers de l'existence de la procédure de  transfert de données fiscales. Il est prévu qu'une information similaire soit délivrée sur le  portail internet commun de l'ADESSA et de la MDA. A cet égard, la  commission estime que, pour permettre l'information de l'ensemble des  assurés concernés, un courrier spécifique leur serait utilement adressé  concernant la mise en œuvre de la procédure TDF. Les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent :
- auprès du centre des finances publiques du domicile fiscal du  requérant, pour les informations issues de traitements relevant de la  DGFiP ; - auprès du correspondant à la protection à la protection des  données à caractère personnel au sens de la loi Informatique et Libertés  (CIL) de l'AGESSA, par courrier postal ou par courriel, pour les  données traitées par l'AGESSA ; - auprès du CIL de la MDA, par courrier postal ou par courriel, en  ce qui concerne les données traitées par ce responsable de traitement.
La commission relève que le droit d'opposition, prévu par l'article  38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas au traitement  projeté. S'agissant des mesures de sécurité, le CNTDF est situé au sein de  l'Etablissement de services informatiques (ESI) de Nevers, lequel répond  aux conditions de sécurité particulières exigées par le  décret n° 2000-8 du 4 janvier 2000 susvisé. Les transmissions des données sont effectuées sous forme chiffrée  dans le cadre du réseau privé et sécurisé de la DGFiP ou  exceptionnellement par CD-ROM. Une copie de la  table de correspondance NIR/ITIP  est constituée  par l'ESI de Clermont-Ferrand puis transmise sous forme chiffrée au  CNTDF par le réseau sécurisé. Cette table est conservée dans des  fichiers dédiés sur des supports informatiques distincts permettant leur  destruction physique. En cas de nécessité, un dispositif informatique  permet de déclencher à distance l'effacement de la table de  correspondance. Une politique de gestion des habilitations est mise en œuvre. Le  contrôle d'accès logique s'effectue par mot de passe. La commission  prend acte que le ministère s'engage à respecter ses recommandations  concernant la gestion des mots de passe. Une traçabilité des actions des utilisateurs, individuellement  habilités, est également assurée (identifiant, horodatage de  connexion/déconnexion, commandes lancées). Il en va de même pour les  accès à la  table de correspondance NIR/ITIP  qui font également  l'objet d'une
journalisation. L'ensemble des données de journalisation  est conservé un an. La DGFIP respecte les recommandations de la commission concernant la durée de conservation des données de journalisation. La commission considère que les mesures de sécurité mises en place  sont conformes à l'exigence de sécurité prévue à l'article 34 de la loi  du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation  nécessite la mise à jour des mesures de sécurité au regard de la  réévaluation régulière des risques.
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ , Président, de M. Alexandre LINDEN, Vice-président, Mme Dominique CASTERA, M. Philippe GOSSELIN et Mme Marie-Hélène MITJVAVILLE, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2016-147C du 27 mai 2016 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder une mission de vérification de tous traitements relatifs au site […] ;
Vu la décision de la Présidente de la Commission portant désignation d’un rapporteur, en date du 23 juin 2016 ;
Vu les procès-verbaux de constatations en ligne n° 2016-147/1 du 27 mai 2016 et de contrôle sur place n° 2016-147/2 du 15 juin 2016 ;