AgentPublic/cnil huggingface dataset:
Article 6. Sur la sécurité des traitementsLe responsable de traitement prend les mesures nécessaires pour assurer la sécurité et la confidentialité des données qu'il détient et pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.Des mesures de sécurité complémentaires sont mises en place pour éviter le téléchargement massif ou répété d'archives contenant des données à caractère personnel de personnes toujours vivantes ou dont la divulgation du contenu constituerait une atteinte à la vie privée de leurs ayants-droit. Toute réutilisation d'informations publiques contenues dans ces traitements et contenant des données personnelles ne peut intervenir que dans les conditions prévues, d'une part, par la loi du 6 janvier 1978 et, d'autre part, par la loi du 17 juillet 1978. Les obligations légales pesant sur le réutilisateur sont précisées dans les conditions générales de réutilisation fixées par le service d'Archives et acceptées par le réutilisateur lors de la communication des documents demandés.
En cas de recours à un prestataire de service, le responsable du traitement doit imposer à ce prestataire, par voie contractuelle, de n'utiliser les données qu'aux fins prévues, de s'assurer de leur confidentialité et de procéder à la destruction ou à la restitution de tous les supports manuels ou informatisés de données à caractère personnel au terme de sa prestation.
Article 7. Sur les droits des personnes concernéesLe responsable de traitement doit procéder à une information générale, claire et complète sur les sites internet proposant la consultation de documents d'archives. Cette information indique que toute personne vivante dont des données figureraient dans des traitements de publication, diffusion, ou indexation d'archives publiques a le droit d'obtenir sans condition le retrait de cette publication en ligne.Ce droit de retrait est reconnu aux ayants-droit dès lors que leur demande est justifiée par la préservation de la mémoire de leurs ancêtres ou la protection de leur propre vie privée.Le responsable de traitement informe également les personnes consultant les documents mis en ligne que :• les mentions marginales des actes de naissance publiés sur son site sont occultées jusqu'à l'expiration du délai de 100 ans après la clôture du registre des actes de naissance ;• les données sensibles, telles qu'elles résultent de l'article 8 de la loi n° 78-17 du 6 janvier 1978 modifiée, sont occultées dans tous les documents d'archives publiées en ligne sans restriction, jusqu'à 150 ans à compter de la date du document, sauf dispositions législatives ou réglementaires contraires ;• l'accès aux documents sans occultation est soumis aux conditions définies par la présente autorisation et aux conditions générales d'utilisation telles que définies par les lois du 6 janvier 1978 et 17 juillet 1978 susvisées.
Article 8. Sur les modalités de publicationLa présente délibération sera publiée au Journal officiel de la République française.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le Ministère de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé  traitement de procédures judiciaires  (TPJ) ;
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le Code de procédure pénale, notamment ses articles 230-6 et suivants ;
Vu la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, notamment son article 26 ;
Vu la loi n°95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité, notamment son article 17-1 ;
Vu le décret n°2001-583 du 5 juillet 2001 pris pour l'application des dispositions du troisième alinéa de l'article 31 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et portant création du système de traitement des infractions constatées (STIC) ;
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n°2006-1411 du 20 novembre 2006 portant création du système judiciaire de documentation et d'exploitation dénommé  JUDEX  ;
Vu la délibération n°00-064 du 19 décembre 2000 relative à un projet de décret en Conseil d'Etat portant création du  système de traitement des infractions constatées (STIC)  et application des dispositions du troisième alinéa de l'article 31 de la loi du 6 janvier 1978 ;
Vu la délibération n°2005-187 du 8 septembre 2005 portant avis sur le projet de décret en Conseil d'Etat pris pour l'application de l'article 21 de la loi n°2003-239 du 18 mars 2003 et modifiant le décret n°2001-583 du 5 juillet 2001 pris pour l'application des dispositions du troisième alinéa de l'article 31 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et portant création du système de traitement des infractions constatées ;
Vu la délibération n°2005-188 du 8 septembre 2005 portant avis sur le projet de décret en Conseil d'Etat pris pour l'application de l'article 26-II de la loi du 6 janvier 1978 modifiée et portant du système d'information judiciaire  JUDEX  ;
Vu la délibération n°2009-200 du 16 avril 2009 portant avis sur sept articles du projet de loi d'orientation et de programmation pour la performance de la sécurité intérieure ;
Après avoir entendu Monsieur Jean-Marie COTTERET, commissaire, en son rapport, et Madame Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission a été saisie par le Ministère de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé  traitement de procédures judiciaires  (TPJ). 
Ce  traitement de procédures judiciaires , initialement développé sous l'acronyme ARIANE (Application de Rapprochement, d'Identification et d'ANalyse pour les Enquêteurs), sera un fichier d'antécédents au sens des articles 230-6 et suivants du Code de procédure pénale, dispositions introduites par la loi du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure.
Conformément à l'objectif défini par cette loi d'optimisation de l'action des forces de sécurité intérieure par leur rapprochement, le traitement TPJ aura vocation à devenir le fichier d'antécédents commun à la police et à la gendarmerie nationales. A ce titre, il remplacera, après une période transitoire, les deux fichiers d'antécédents actuellement mis en œuvre par ces services, à savoir le système de traitement des infractions constatées (STIC) de la police nationale, créé par le décret susvisé du 5 juillet 2001, et le système judiciaire de documentation et d'exploitation (JUDEX) de la gendarmerie nationale, créé par le décret du 20 novembre 2006, textes pris après avis de la CNIL.
A titre préliminaire, la Commission souligne que, si le projet de décret qui lui a été soumis présente une rédaction proche de celle des textes régissant les fichiers STIC et JUDEX, le traitement TPJ se distingue de ces fichiers sur plusieurs aspects. D'une part, les conditions de mise à jour du traitement présentent des garanties qui faisaient justement défaut aux traitements STIC et JUDEX. En effet, la conception du traitement TPJ est l'une des réponses apportées par le Ministère aux recommandations formulées par la Commission dans son rapport de 2009 sur le contrôle du fichier STIC. Des contrôles réalisés en 2007 et 2008 avaient alors démontré l'existence de graves dysfonctionnements dans la mise en œuvre de ce traitement, tout particulièrement quant à la mise à jour des données. Le dossier de formalités préalables présenté à la Commission dans le cadre du projet de traitement TPJ atteste d'avancées significatives dans ce domaine, notamment avec la prise en compte de nouvelles exigences issues de la loi n°2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI). D'autre part, le traitement TPJ offrira à ses utilisateurs des fonctionnalités d'identification des personnes (comme la reconnaissance biométrique du visage), ainsi que d'analyse et de rapprochement des données (recherches d'éléments communs dans des procédures différentes) que ne permettent pas les traitements STIC et JUDEX. La Commission sera
particulièrement attentive aux conditions de mise en œuvre de ces nouvelles fonctionnalités.
Sur les finalités du traitement 
Le traitement TPJ est un fichier de police judiciaire. En effet, conformément à l'article 14 du Code de procédure pénale, sa finalité principale sera de faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs. La Commission prend acte que TPJ constituera un fichier d'antécédents au sens des articles 230-6 à 11 du Code de procédure pénale. 
Cependant, le traitement TPJ ne peut être réduit à une base de données recensant les antécédents judiciaires des personnes. En effet, il constitue un véritable outil d'investigation grâce à ses fonctionnalités d'exploitation des données traitées, notamment d'identification, d'analyse et de rapprochement. Ainsi, les modules de recherche proposés par l'application permettent d'interroger la base de données selon de nombreux critères (photographie du visage, signalement des personnes, mode opératoire, mobile, nature de l'infraction, date et lieu des faits), éventuellement sous la forme de requêtes périodiques automatisées générant une alerte en cas de recherche fructueuse. Par ailleurs, l'application offre la possibilité de faire ressortir automatiquement les liens et similitudes entre différentes fiches sélectionnées, notamment quant au mode opératoire.
Or, depuis la loi susvisée du 14 mars 2011, le législateur a redéfini et codifié le régime juridique des traitements automatisés tendant à établir des liens entre les enquêtes judiciaires. Dorénavant, il convient de différencier en ce domaine deux régimes juridiques distincts. Il s'agit, d'une part, du régime des fichiers d'analyse sérielle, prévu par les articles 230-12 et suivants du Code de procédure pénale, qui ne concerne que les crimes et certains délits graves, et, d'autre part, de celui des logiciels de rapprochement judiciaire prévu aux articles 230-20 et suivants du même code, qui s'applique à toutes les infractions quelle que soit leur gravité. Chacun de ces régimes relève d'un cadre juridique précis défini par le législateur et précisé, quant aux logiciels de rapprochement judiciaire, par le Conseil constitutionnel (décision n°2011-625DC du 10 mars 2011).
La Commission observe que TPJ constitue assurément un fichier d'antécédents au sens du Code de procédure pénale. Elle considère en outre, après avoir obtenu des compléments d'information sur ce point, que la mise en œuvre des fonctionnalités de rapprochement et d'analyse offertes par TPJ ne relève pas, en l'état, des cadres juridiques des fichiers d'analyse sérielle et des logiciels de rapprochement judiciaire. Afin de s'assurer de la pérennité de cette conclusion, et sans préjudice des contrôles qu'elle pourra être amenée à effectuer dans les conditions prévues par l'article 44 de la loi du 6 janvier 1978 modifiée, la Commission demande à être informée, à l'occasion de la remise du rapport annuel de fonctionnement prévu par le projet de décret, de l'utilisation faite de ces fonctionnalités ainsi que de leurs éventuelles évolutions techniques. 
Par ailleurs, le traitement TPJ poursuit aussi une finalité administrative. En effet, conformément à l'article 17-1 de la loi susvisée du 21 janvier 1995, le traitement TPJ pourra être consulté dans le cadre des enquêtes administratives préalables à une décision de recrutement, d'autorisation, d'agrément ou d'habilitation concernant certains emplois, à l'occasion de l'instruction des demandes d'acquisition de la nationalité française et de délivrance de titres de séjour ou lors de missions ou interventions des forces de l'ordre comportant un risque d'atteinte à l'ordre public ou à la sécurité des personnes ou des biens.
La Commission rappelle qu'il convient de proscrire tout systématisme quant à cette utilisation administrative des fichiers d'antécédents dès lors que la disposition légale précitée prévoit leur consultation  dans la stricte mesure exigée par la protection de la sécurité des personnes et la défense des intérêts fondamentaux de la nation . Par ailleurs, la Commission souligne à nouveau l'existence de risques graves d'exclusion sociale et d'atteinte aux libertés individuelles, ainsi qu'au respect des droits des personnes que comporte cette utilisation administrative des fichiers de police judiciaire. La Commission rappelle que, conformément à l'article 10 de la loi du 6 janvier 1978 modifiée et aux exigences constitutionnelles encore récemment rappelées (décision n°2011-652DC du 10 mars 2011 renvoyant à la décision n°2003-467DC du 13 mars 2003), la seule inscription dans un fichier d'antécédents ne saurait suffire à fonder une décision administrative. La Commission prend acte que le Ministère partage cette préoccupation comme le montre la circulaire ministérielle du 30 mai 2010 relative à la consultation du fichier STIC pour les besoins d'enquêtes administratives.
Toutefois, dans l'attente de l'interconnexion entre TPJ et le traitement CASSIOPEE du Ministère de la justice, créé par le décret n°2009-528 du 11 mai 2009 pris après avis de la CNIL, qui permettra la mise à jour automatisée des suites judiciaires, la Commission rappelle que des dispositions devront être prévues afin que le résultat de la consultation ne puisse être communiqué à l'autorité compétente qu'après que le responsable du fichier s'est assuré auprès du procureur de la République compétent qu'aucune décision judiciaire n'est intervenue qui appellerait la mise à jour de la fiche de l'intéressé ou encore qu'aucune requalification judiciaire n'est intervenue qui justifierait la rectification des informations figurant sur cette fiche. 
Enfin, sur l'aspect statistique du traitement, la Commission relève que le traitement TPJ alimentera en données les traitements  statistiques 4001  et  statistiques opérationnelles  du Ministère de l'intérieur. En revanche, elle prend acte que les données transmises dans ce cadre seront préalablement anonymisées. 
Sur le cadre de la collecte
Le traitement TPJ étant un fichier d'antécédents, le cadre de la collecte des données est défini par l'article 230-6 du Code de procédure pénale. Ainsi, le traitement portera uniquement sur les données recueillies dans le cadre des procédures judiciaires établies par les personnels de la police nationale et les militaires de la gendarmerie nationale. Par ailleurs, le projet de décret précise que les données issues des procédures judiciaires établies par les agents des douanes habilités à exercer des missions de police judiciaire pourront être traitées lorsqu'un service de police ou une unité de gendarmerie aura été appelé à y participer. 
Les procédures judiciaires dont il est question sont celles prévues par le Code de procédure pénale, à savoir les enquêtes de police judiciaire menées sous le contrôle du procureur de la République (enquêtes préliminaires ou de flagrance, de recherche des causes de la mort, de blessures graves ou d'une disparition) ou les investigations exécutées sur commission rogatoire d'un juge (instruction préparatoire, instruction pour recherche des causes de la mort ou d'une disparition).
Alors que toutes les procédures judiciaires pour crime ou délit établies par ces services ont vocation à alimenter le traitement, tel ne sera pas le cas des procédures de nature contraventionnelle. En effet, les contraventions des quatre premières classes seront exclues du traitement et seules certaines contraventions de cinquième classe visées dans le projet de décret pourront alimenter le traitement. Pour autant, la Commission note que la liste des contraventions visées dans le projet recouvre la majorité des contraventions de cinquième classe prévues par le Code pénal.
La collecte des données s'opérera automatiquement par la mise en relation de TPJ avec les traitements de rédaction des procédures LRPPN de la police nationale (anciennement dénommé ARDOISE) et LRPGN de la gendarmerie nationale (anciennement dénommé ICARE), traitements créés par les décrets n°2011-110 et 111 du 27 janvier 2011 pris après avis de la CNIL. La Commission prend acte que, si les données renseignées dans les logiciels de rédaction des procédures relatives aux faits et aux victimes seront transmises en temps réel à TPJ, celles concernant les personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une infraction ne le seront que lors de la clôture, partielle ou définitive, de la procédure. Ainsi, ce n'est qu'à l'occasion de la validation, dans la police nationale, du compte rendu d'enquête et, dans la gendarmerie nationale, du bordereau d'envoi judiciaire que les données relatives à ces personnes seront transmises au traitement TPJ. La Commission souligne l'opportunité d'une telle transmission différée afin d'éviter que des personnes abusivement mises en cause voient leurs données traitées dans TPJ lorsque l'enquête aura finalement démontré qu'il n'existe pas d'indices graves ou concordants de participation à une infraction. 
Sur les personnes concernées
Conformément à l'article 230-7 du Code de procédure pénale, le traitement ne portera que sur les données relatives aux personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une de ces infractions ainsi que, le cas échéant, aux victimes de ces infractions. La Commission relève que l'utilisation dans le projet de décret de l'expression  personne mise en cause  pour évoquer les personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une infraction est impropre, dès lors qu'une personne peut être mise en cause dans une plainte ou une dénonciation sans pour autant qu'il existe à son encontre les indices graves ou concordants exigés par la loi. La Commission demande donc que le projet de décret soit modifié sur ce point. Par ailleurs, les données relatives aux personnes faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition pourront être traitées. La Commission prend acte que les données relatives aux témoins ou aux auteurs de dénonciations ne seront pas enregistrées dans le traitement.
Comme le prévoit la disposition précitée du Code de procédure pénale, le traitement des données ne sera pas limité eu égard à l'âge des personnes, notamment s'agissant des mineurs. Pour autant, la Commission rappelle que les données traitées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6-3° de la loi du 6 janvier 1978. Or l'appréciation de cette proportionnalité devra notamment se fonder sur l'âge de l'intéressé et la gravité des faits au regard des conséquences importantes et durables attachées à l'inscription d'une personne dans un fichier d'antécédents. 
Sur la nature des données traitées
Le projet de décret renvoie à une annexe déterminant la nature des données traitées. Concernant les personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une infraction, ces données seront l'identité (nom, nom marital, nom d'emprunt officiel, prénom, sexe), les surnoms et alias, les date et lieu de naissance, la situation familiale, la filiation, la nationalité, l'adresse, la profession, l'état de la personne, le signalement et la photographie.
Concernant les victimes et les personnes faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition, les données traitées seront l'identité (nom, nom marital, nom d'emprunt officiel, prénom, sexe), les date et lieu de naissance, la situation familiale, la nationalité, l'adresse, la profession et l'état de la personne. Le signalement et la photographie des victimes ne feront pas l'objet d'un traitement. En revanche, s'agissant spécifiquement des personnes faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition, le signalement et la photographie seront traités.
Par ailleurs, le traitement portera aussi sur des informations relatives aux faits ayant donné lieu aux enquêtes, aux lieux et dates des infractions, aux modes opératoires, aux objets et images des objets. La Commission rappelle que ces informations, dès lors qu'elles sont en lien avec des données directement ou indirectement identifiantes, sont des données à caractère personnel au sens de l'article 2 de la loi du 6 janvier 1978 modifiée. Elle relève par ailleurs que les suites judiciaires réservées aux procédures ainsi que les références de celles-ci ne sont pas mentionnées et invite le Ministère à modifier le projet de décret sur ce point.
Le traitement pourra en outre porter sur des données relevant de l'article 8 de la loi du 6 janvier 1978 modifiée, à savoir celles laissant apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. La Commission prend acte que de telles données ne pourront être traitées que dans les cas où elles résultent de la nature ou des circonstances de l'infraction ou se rapportent à des signes physiques particuliers, objectifs et permanents, en tant qu'élément de signalement des personnes, dès lors que ces éléments sont nécessaires à la recherche et à l'identification des auteurs d'infractions. La Commission invite le Ministère à faire apparaître dans le projet de décret qu'il sera impossible de sélectionner dans le traitement une catégorie particulière de personnes à partir d'une donnée  sensible .
Les données relatives au signalement des personnes seront d'ailleurs encadrées dans des menus déroulants dits  thesaurus  dénommés  type personne ,  dominance latéralité ,  forme générale visage ,  aspect visage ,  couleur des yeux ,  abondance cheveux ,  aspects cheveux ,  longueur cheveux ,  coiffure ,  type pilosité ,  accent ,  défaut prononciation ,  nature signe particulier  et  localisation signe particulier . La Commission note qu'aucun élément de signalement ne résultera d'une analyse automatisée des photographies enregistrées. En outre, la Commission observe que ces données de signalement, si elles laissent apparaître, directement ou indirectement, les origines ethniques ou raciales réelles ou supposées des personnes, ne pourront donner lieu à un traitement spécifique, notamment statistique, conformément à la décision du Conseil constitutionnel du 15 novembre 2007 (DC n°2007-557).