AgentPublic/cnil huggingface dataset:
Le système actuel de gestion des ressources humaines de la préfecture de police de Paris ne répond plus, sur les plans technique, fonctionnel et organisationnel, aux exigences de modernisation de la gestion des carrières et des ressources humaines. 
Il est en effet constitué de deux applications principales, l'une pour la gestion administrative et l'autre pour le traitement de la paie qui n'ont pas suivi une évolution technologique suffisante. De nombreuses applications ont été développées successivement au fil des années afin de pallier les faiblesses fonctionnelles du système central.
Le SIRH de la préfecture de police de Paris est un logiciel standard répondant aux exigences réglementaires, statutaires et aux procédures normalisées d'échanges de données.
Le traitement a pour finalité la gestion administrative, financière et opérationnelle des agents de la préfecture de police relevant du statut des administrations parisiennes, des agents régis par le décret n° 88-145 du 15 février 1988 modifié et, enfin, des collaborateurs occasionnels du service public relevant de la préfecture de police.
À ce titre, le SIRH de la préfecture de police prend en compte les domaines suivants :- Traitement de la paie des agents et du déclaratif associé ;- Gestion administrative ;- Gestion administrative du domaine médical ;- Organisation et suivi du dialogue social, tant individuel que collectif ;- Gestion des pensions des agents ;- Interfaces et échanges de données prioritaires ;- Reporting et pilotage, concernant notamment les effectifs et la masse salariale ;- Journalisation des événements ;- Gestion des échéanciers ;- Systèmes d'alertes permettant la prise de connaissance de manière collaborative ;- Production et gestion des arrêtés ;- Production de statistiques.
La Commission estime que la finalité poursuivie par le responsable de traitement est déterminée, explicite et légitime.
Sur la nature des données traitées :
L'article 2 du projet de décret soumis à la Commission renvoie à une annexe qui liste les catégories de données collectées. 
Il s'agit plus précisément de données relatives à :
1. L'identification des personnes :
a. Identification du personnel :
- Nom et prénoms ; - Sexe ;- Date et lieu de naissance ;- Nationalité, mode et date d'acquisition ;- Date et lieu de décès éventuel ;- Adresse privée et professionnelle ;- Adresses électroniques ;- Numéros de téléphone ;- Numéros et dates de validité des pièces d'identité ;- Nom, prénoms, téléphone et qualité de la personne à prévenir en cas d'urgence ;- Pour les seules opérations nécessaires à la gestion financière, numéro d'inscription au répertoire national d'identification des personnes physiques ;
b. Situation familiale :
- Situation matrimoniale ;- Nom et prénoms du conjoint ;- Date de naissance du conjoint ;- Nom, prénoms et qualité du représentant légal ;- Situation familiale des enfants et/ou des autres personnes à charge :o Nom et prénoms ;o Date de naissance ;o Sexe.
2. La vie professionnelle :
a. Formation-diplômes-distinctions
- Etudes poursuivies, diplômes obtenus et date d'obtention ;- Distinctions honorifiques ;- Action de formation continue ;- Situation militaire : durée et date des services militaires ou dans la réserve opérationnelle ou du volontariat international ;
b. Carrière :
- Matricule ;- Corps, grade ;- Échelon, indice de traitement ;- Recrutement ;- Contrats et avenants aux contrats ;- Position administrative ;- Affectations ;- Poste occupés et catégories d'emploi ;- Qualifications, compétences ;- Notation et évaluations ;- Services antérieurs ;- Absences ;- Congés et motifs ;- Ancienneté et avancement ;- Cessation de fonctions ;- Mandat syndical ;
c. Sanctions
- Nature de la sanction ;- Date de début et de fin, durée totale de la sanction, durée du sursis, date de notification et indications de la prise en compte éventuelle pour les calculs d'ancienneté, les médailles ou la paie ;
3. La situation économique et financière :
- Coordonnées bancaires- Éléments de rémunération (traitement, indemnités, primes, remboursement de frais, retenues éventuelles) ;- Droits à prestations familiales et sociales, droit au supplément familiale de traitement et ressources déclarées à cette fin ;
4. La santé :
- Aptitudes médicale et handicap éventuel : type de handicap, date de début, date de fin, taux d'incapacité, taux d'invalidité, adaptation du poste (oui/non) ;- Accidents et maladies professionnelles ;
La Commission estime que les données collectées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie. 
Sur la durée de conservation des données :
L'article 4 du projet de décret prévoit que les données enregistrées dans le traitement SIRH seront conservées jusqu'à la fin de la cinquième année suivant la date à laquelle les agents cessent définitivement leurs fonctions.
Le projet de décret précise que cette durée de conservation de cinq ans ne s'applique pas :- aux données relatives aux absences, qui sont conservées pour une durée n'excédant pas deux ans à compter de la date de reprise de l'agent ;- aux données relatives aux sanctions disciplinaires, qui sont conservées jusqu'à leur effacement du dossier administratif de l'agent.
La Commission rappelle que les informations nécessaires au calcul des droits à retraite peuvent être conservées, à des fins de reconstitution de la carrière, jusqu'à la liquidation des pensions des personnes concernées.
La Commission estime que les durées de conservation mentionnées dans le projet de décret qui lui a été soumis pour avis n'excédent pas celles qui sont nécessaires à l'accomplissement de la finalité poursuivie.
Sur les destinataires des données :
L'article 3 du projet de décret prévoit que peuvent accéder à la totalité ou à une partie des données du traitement SIRH, à raison de leurs attributions, les agents individuellement désignés et spécialement habilités par le préfet de police, des services chargés de la gestion administrative des personnels et de ceux chargés de préparer la liquidation des traitements.
Cet article prévoit également que peuvent être destinataires des données du traitement SIRH :
a. Les agents de la préfecture de police chargés :- de la gestion du personnel, des pensions et des allocations d'invalidité,- des attributions et de la gestion des logements,- de la gestion administrative des dossiers médicaux,- du dialogue social,- de la formation et du recrutement,- de la mise à jour de l'annuaire interne de la préfecture de police ;b. les agents de la direction régionale des finances publiques chargés de la liquidation de la paie des agents de la préfecture de police ;c. les agents chargés du prélèvement pour les mutuelles des cotisations de leurs adhérents relevant du ministère de l'intérieur ;d. les agents des caisses primaires d'assurance maladie ;e. les agents des caisses d'allocations familiales.
La liste de ces destinataires n'appelle pas d'observation de la part de la Commission.
Sur l'information des personnes :
Les personnes concernées seront informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par un courrier joint à leurs premiers bulletins de paie.
La Commission estime que cette modalité d'information des personnes est satisfaisante. 
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d'accès et de rectification s'exercent auprès de la direction des ressources humaines de la préfecture de police.
L'article 6 du projet de décret prévoit que le droit d'opposition ne s'applique pas au traitement SIRH.
Ces dispositions n'appellent pas d'observation de la Commission. 
Sur la sécurité des données et la traçabilité des actions :
Les mesures de sécurité sont prises afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès. L'accès au SIRH se fait par un identifiant et un mot de passe confidentiel et personnel d'un niveau de complexité suffisant. Des mécanismes de gestion des habilitations permettent de limiter le périmètre des données auxquelles les utilisateurs peuvent accéder.
Des mesures de traçabilité des actions effectuées dans le SIRH sont également prises.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
La présente délibération abroge la délibération n° 2012-405 du 15 novembre 2012 de la Commission nationale de l'informatique et des libertés portant avis sur la précédente version du projet de décret.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé  gestion des portefeuilles d'affaires  (GPA) ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-I (2°) et 26-II ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport et M. Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :
La commission a été saisie pour avis par le ministère de l'intérieur d'un projet de décret en Conseil d'Etat portant autorisation d'un traitement automatisé de données à caractère personnel dénommé  gestion des portefeuilles d'affaires  (GPA).Ce traitement est destiné à être mis en œuvre par les brigades de protection des mineurs (BPM) de Paris et des départements des Hauts-de-Seine, de la Seine-Saint-Denis et du Val-de-Marne. La commission prend acte que son extension à d'autres brigades de protection des mineurs du territoire est actuellement étudiée par la direction générale de la police nationale et que celle-ci fera, le cas échéant, l'objet d'une nouvelle saisine.Dans la mesure où ce traitement a pour finalité la prévention, la recherche et la constatation des infractions pénales et qu'il porte sur des données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, il relève des dispositions de l'article 26-II de cette loi et doit donc être autorisé par décret en Conseil d'Etat pris après avis, motivé et publié, de la commission.Sur les finalités :L'article 1er du projet de décret prévoit que le traitement envisagé aura pour finalités d'assurer la  gestion des dossiers judiciaires, le suivi de l'activité procédurale des enquêteurs, la production de statistiques .Les brigades de protection des mineurs sont saisies de nombreux dossiers à caractère pénal de nature et de gravité très différentes, et de nombreuses disparitions. A cet égard, le traitement
envisagé permettra un suivi plus efficace de ces dossiers d'enquête par chaque enquêteur et sa hiérarchie. Plus précisément, il permettra de répondre aux besoins de gestion et d'attribution des dossiers d'affaires, d'effectuer des recherches multicritères dans ces mêmes dossiers et de réaliser des statistiques relatives aux activités des brigades concernées.La commission relève qu'un formulaire de recherche, avec une liste de critères de recherche exhaustive, permettra, d'une part, d'élaborer ces statistiques, qui porteront sur le flux de dossiers et les suites judiciaires ; d'autre part, d'obtenir une vision globale de la charge de travail par enquêteur afin d'ajuster celle-ci entre les membres d'un groupe et de mettre en place une stratégie de travail des dossiers, répondant ainsi à un besoin de pilotage de l'activité. A cet égard, si le traitement a pour finalité le contrôle de l'activité individuelle des enquêteurs, la commission invite le ministère à modifier le projet de décret en ce sens.En outre, la commission relève que les brigades de protection des mineurs sont également saisies de signalements, c'est-à-dire de dossiers de vérification de situations qui ne sont pas transmis à l'autorité judiciaire, faute d'infraction constatée, mais qui seront traités dans le cadre du traitement envisagé. A cet égard, le ministère considère que cette finalité de  sécurité publique  fait relever le traitement envisagé des dispositions de l'article 26-I (1°) de la loi du 6 janvier
1978 modifiée. Or, la commission rappelle que la sécurité publique s'analyse comme l'élément de l'ordre public caractérisé par l'absence de périls pour la vie, la liberté ou le droit de propriété des individus et que le traitement envisagé, au regard de ces éléments, n'intéresse pas la sécurité publique, mais bien, d'une manière générale,  la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté  au sens de l'article 26-I (2°) de la loi du 6 janvier 1978 modifiée.Sur la nature des données traitées :L'article 2 du projet de décret prévoit que les données collectées seront relatives à l'identité du mis en cause et de la victime (nom, prénom, date de naissance, adresse électronique, surnom ou pseudonyme, numéro de téléphone, référence du dossier), aux infractions et conséquences pénales (nature de l'infraction, recours à des mesures de garde à vue, suite procédurales décidées par le parquet ou le juge d'instruction), et à la santé (pathologie, affection, soins, situation ou comportements à risques, état de grossesse).S'agissant des données relatives à l'identité du mis en cause et de la victime, la commission prend acte qu'elles ne seront pas toutes systématiquement traitées, la finalité étant de pouvoir identifier une affaire par un élément autre que celui du numéro de procédure ou d'archive. En outre, elle relève que les données relatives aux titulaires de l'autorité parentale ne
seront traitées que dans l'hypothèse où ils sont les mis en cause réels ou supposés.Selon les indications du ministère, d' autres éléments d'identification  pourront apparaître dans le traitement. La commission prend acte qu'il ne pourra s'agir de signes physiques particuliers en tant qu'élément de signalement, mais seulement de mots-clés permettant l'identification du dossier dans l'hypothèse où aucun autre élément précis ne pourrait être recueilli. Il pourra en outre s'agir de données sensibles au sens de l'article 8 de la loi du 6 janvier 1978, mais uniquement dans l'hypothèse où seuls ces éléments seraient fournis à l'enquêteur. La commission rappelle que ces données amenées à apparaître dans un champ libre ainsi que celles apparaissant dans le champ  observation  relatif au dossier d'affaires et qui permettra à l'enquêteur d'identifier un dossier ou d'apporter une précision doivent être pertinentes, adéquates et non excessives au regard des finalités, aussi bien dans la nature des données que dans la manière de les formuler.S'agissant des données relatives aux infractions et conséquences pénales, la commission relève que les suites procédurales (déféré, convocation par officier de police judiciaire, rappel à la loi, délégué du procureur, transmission de procédure, classement sans suite) sont mentionnées à l'article 2 du projet de décret au titre des données collectées. Elle prend acte de l'engagement du ministère de l'intérieur de modifier le projet de décret afin d'y
faire apparaître également le type de dossier (procédure parquet, commission rogatoire, main courante, ordonnance de placement provisoire/ordonnance de recherche et conduite, fugue, dossiers spéciaux, procédure incidente).Enfin, pourront apparaître dans le traitement des données relatives à la santé, justifiant l'application des dispositions du Il de l'article 26 de la loi du 6 janvier 1978 modifiée. Ces données ne concerneront, le cas échéant, que les mineurs victimes ou en danger potentiel, et uniquement dans l'hypothèse où elles seraient un élément utile pour identifier un dossier comme sensible.Il s'agit plus particulièrement des dossiers dits  spéciaux , relatifs aux fugues et disparitions de mineurs, identifiées comme plus inquiétantes car visant des mineurs plus vulnérables du fait de leur âge ou de fragilité particulière. Ces dossiers ont des règles d'attribution spécifiques et peuvent justifier des mesures urgentes. La commission prend ainsi acte que le traitement des données de santé s'inscrit dans un objectif de protection du mineur, considéré comme plus vulnérable que d'autres et susceptible d'encourir un danger immédiat.Au regard de l'ensemble de ces éléments, la commission considère que les données enregistrées dans ce traitement sont adéquates, pertinentes et non excessives au regard de ses finalités. Elle relève que, en tout état de cause, aucune recherche à partir des données relevant de l'article 8 de la loi du 6 janvier 1978 modifiée ne sera possible.Sur
la durée de conservation des données :L'article 3 du projet de décret prévoit que les données seront conservées un an à compter de la date de clôture de la procédure ou de la transmission à l'autorité judiciaire. A l'issue de cette durée, les données seront anonymisées.La commission considère que la durée de conservation ainsi prévue est proportionnée aux finalités assignées au traitement GPA, conformément à l'article 6-50 de la loi du 6 janvier 1978 modifiée.Néanmoins, la commission regrette que le ministère n'ait pas apporté plus de précisions sur le procédé d'anonymisation des données au-delà de cette durée de conservation, de même que sur la mise en place ou non d'un mécanisme d'effacement automatique, seul à même de garantir le respect de cette durée de conservation.Sur les destinataires des données :L'article 5 du projet de décret prévoit que les personnes qui auront accès aux données seront, en fonction de leurs attributions légales et du besoin d'en connaître, les agents des brigades de protection des mineurs de Paris et des départements des Hauts-de-Seine, de la Seine-Saint-Denis et du Val-de-Marne.La commission relève que différents profils ont été créés en fonction du besoin d'en connaître.Sur les droits des personnes :Les dispositions de l'article 32-VI permettraient d'écarter le droit d'information des personnes dont les données sont enregistrées dans le traitement GPA. Toutefois, la commission relève que le ministère entend mettre en place un droit
d'information par voie d'affichage dans les locaux accessibles au public au sein des brigades de protection des mineurs et souligne l'opportunité de cette mesure d'information, notamment à l'égard des mineurs victimes.L'article 6 du projet de décret soumis à la commission prévoit un droit d'accès indirect, en application de l'article 41 de la loi du 6 janvier 1978 modifiée. Toutefois, la commission prend acte de l'engagement du ministère de l'intérieur de prévoir pour les victimes un droit d'accès direct dans le cadre de procédures judiciairement closes, en application du dernier alinéa de l'article 41 de la loi du 6 janvier 1978 modifiée, et de modifier le projet de décret en ce sens.En revanche, dans le cadre d'une procédure judiciaire en cours, ces droits s'exerceront de manière indirecte auprès de la commission en application des dispositions de l'article 42 de la loi du 6 janvier 1978 modifiée.Enfin, le droit d'opposition ne s'applique pas au traitement projeté.Sur les mesures de sécurité et de traçabilité :Le traitement consiste en une application web, accessible uniquement depuis le réseau interne du ministère et déployée sur des serveurs hébergés dans des locaux aux accès sécurisés.Afin d'accéder à cette application, les utilisateurs sont authentifiés via le portail CHEOPS. A cet égard, la commission rappelle que la complexité des mots de passe reste très insuffisante au regard de ses recommandations en la matière.L'article 3 du projet de décret prévoit que les
opérations seront tracées, les traces étant conservées trois ans. En pratique, la traçabilité est dévolue à CHEOPS et prévoit une conservation des traces des accès ainsi que des fonctions mises en œuvre. Ces traces sont consultables depuis le traitement, ce qui en facilite l'exploitation.
La Commission nationale de l'informatique et des libertés, Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 16 juin 2009 portant création d'un système dénommé  PHAROS  (plate-forme d'harmonisation, d'analyse, de recoupement et d'orientation des signalements) ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-1 (2°) et 30 ;Vu la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, notamment son article 6 ;Vu la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure, notamment son article 4 ;Vu le décret n° 2000-405 du 15 mai 2000 portant création d'un office central de lutte contre la criminalité liée aux technologies de l'information et de la communication ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 16 juin 2009 portant création d'un système
dénommé  PHAROS  (plate-forme d'harmonisation, d'analyse, de recoupement et d'orientation des signalements) ;Après avoir entendu Mme Claire DAVAL, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :
La commission a été saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 16 juin 2009 portant création d'un système dénommé  PHAROS  (plate-forme d'harmonisation, d'analyse, de recoupement et d'orientation des signalements).Ce projet d'arrêté vise à modifier les dispositions réglementaires relatives au traitement PHAROS, mis en œuvre par l'office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC). Ce système, mis à la disposition des internautes et fournisseurs d'accès, est un portail permettant de signaler des contenus illicites sur internet. Il est composé d'un site internet, permettant aux internautes d'effectuer ces signalements à l'OCLCTIC, et d'un traitement automatisé de données à caractère personnel mis en œuvre par l'OCLCTIC et destiné à traiter ces signalements.Ce traitement a pour finalités de recueillir, de manière centralisée, l'ensemble des signalements, d'effectuer des rapprochements entre eux et de les orienter vers les services enquêteurs compétents en vue de leur exploitation. En application de l'article 26-1 (2°) de la loi du 6 janvier 1978 modifiée, sa mise en œuvre a donc été autorisée par arrêté du ministère de l'intérieur.Les modifications envisagées visent à permettre à de nouveaux personnels d'accéder au traitement et à ajouter de nouveaux destinataires. Les modifications de cet arrêté doivent dès lors, en application des