AgentPublic/cnil huggingface dataset:
Elle rappelle les valeurs humanistes qui, aux termes de l'article 1er de la loi  Informatique et Libertés , doivent guider l'innovation technologique : le respect de l'identité humaine, des droits de l'Homme et des libertés. La prise en compte de la dimension éthique est inhérente aux missions de la CNIL et, comme l'y invite la loi, elle continuera à impulser, en concertation avec les acteurs concernés, la réflexion sur l'éthique du numérique, gage de confiance dans cet univers. 
La Commission estime que le décret fixant les conditions de mise en œuvre de cette mission devrait lui être soumis pour avis. Ce décret devrait notamment préciser les modalités administratives et financières selon lesquelles elle peut mobiliser des personnalités qualifiées. En tout état de cause, les conditions d'organisation du débat public doivent être fixées de manière à préserver une certaine souplesse de fonctionnement et l'indépendance de la Commission.
L'article 26 du projet de loi prévoit que, conformément à ses missions, tout responsable de traitement ou sous-traitant peut demander à la CNIL à bénéficier d'un accompagnement à la conformité des traitements à la loi du 6 janvier 1978 modifiée.
La Commission se félicite que la démarche d'accompagnement des acteurs puisse être confortée dans le texte de la loi du 6 janvier 1978 modifiée. En effet cet accompagnement des responsables de traitement et des sous-traitants constitue la voie choisie par la Commission depuis plusieurs années pour assurer la conformité des traitements à la loi et le meilleur respect de leurs obligations par les responsables de traitements. 
L'accompagnement est d'autant plus nécessaire que le projet de règlement va renforcer la responsabilité du responsable de traitement, qui sera tenu de rendre compte de la conformité de ses traitements à l'égard des personnes comme des autorités. Les responsabilités des sous-traitants seront par ailleurs précisées. 
La confirmation, par la loi, de l'orientation retenue par la Commission depuis plusieurs années pour assurer la transition vers le nouveau droit européen unifié et pour garantir une meilleure application de la législation constitue une avancée aussi bien qu'un encouragement pour les responsables de traitements à préparer l'arrivée du règlement en instaurant un dialogue avec la Commission.
L'article 26 prévoit également la possibilité pour la CNIL de certifier des processus, notamment d'anonymisation. La Commission accueille favorablement l'idée de la vérification préalable des processus d'anonymisation, comme elle l'a indiqué précédemment, sous réserve d'une mise en cohérence avec les dispositions du projet de loi relatif à la santé.
La Commission estime enfin qu'elle dispose déjà d'outils adaptés au cadre général de vérification de la conformité, sous réserve de dispositifs permettant d'homologuer la conformité à la loi de méthodologies ou processus d'anonymisation, envisagés par le présent projet. 
Dans tous les cas, la Commission rappelle que, dès lors qu'elle a, au titre de sa mission de conseil, délivré une information ou une recommandation à un responsable de traitement ou à un sous-traitant, cette démarche est prise en compte par l'ensemble des services et formations de la Commission. L'alinéa final de l'article 26 traduit donc légalement un état de fait préexistant.
L'article 29 du projet de loi pour une République numérique prévoit la modification de l'article 45 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. 
Il ressort de l'examen de la disposition envisagée que celle-ci permet une meilleure réactivité et efficacité des organes compétents de la Commission nationale de l'informatique et des libertés.
Ainsi les pouvoirs propres du président de la Commission ne lui permettent actuellement d'exiger la cessation d'un manquement par la voie de la mise en demeure que dans un délai qui ne peut être inférieur à cinq jours. Ce délai de cinq jours constitue par ailleurs un délai d'urgence.
La Commission considère que ce délai de cinq jours ne peut plus être considéré comme pertinent au regard de l'immédiateté des conséquences pour les personnes des manquements, notamment lorsque ces manquements affectent des services fournis par voie électronique. 
La possibilité de mener des contrôles en ligne permet à la Commission d'adapter partiellement sa réponse au numérique mais la constatation des faits et manquements ne peut produire sa pleine efficacité que si les organes compétents de la Commission peuvent eux-mêmes agir dans un temps cohérent et propre à éviter les conséquences préjudiciables aux personnes.
Pour ces raisons, la Commission accueille favorablement la possibilité d'une réduction du délai d'urgence de la mise en demeure de cinq jours à 24 heures. Elle considère également que la possibilité de pouvoir prononcer une sanction pécuniaire indépendamment du recours à la procédure de mise en demeure est de nature à permettre une meilleure adaptation de la sanction à la situation propre à chaque responsable de traitement, concourant ainsi à une meilleure personnalisation de la sanction.
Toutefois, la Commission constate que le II de l'article 45 de la loi du 6 janvier 1978 modifiée ne fait pas l'objet de modification dans le projet de loi. Elle estime que le raccourcissement du délai d'urgence en matière de mise en demeure constitue une avancée et, de façon symétrique, elle estime que la procédure d'urgence mise en œuvre par la formation restreinte ne permet pas de répondre de façon satisfaisante aux nécessités d'une action rapide et respectueuse des droits des responsables de traitements. 
A ce titre, elle constate que la rédaction du texte fait peser sur la formation restreinte la charge d'engager la procédure d'urgence ce qui pourrait laisser supposer une forme de pré-jugement, alors que la CEDH exige une séparation des fonctions d'instruction et de jugement. Il conviendrait donc de prévoir la saisine de la formation restreinte par le président.
Ensuite, la formulation actuelle, qui prévoit que la formation peut  après une procédure contradictoire, engager une procédure d'urgence  laisse supposer que la formation restreinte devrait suivre une procédure contradictoire, en urgence, à la fois avant d'engager une procédure de sanction puis dans le cadre de celle-ci, avant le prononcé de la décision. La procédure d'urgence serait ainsi plus longue et plus complexe que la procédure ordinaire.
Enfin, la Commission estime que la procédure d'urgence, limitée à la violation des droits et libertés mentionnés à l'article 1er de la loi, fait largement obstacle au recours à cette procédure et interdit son emploi dans des cas où, même en l'absence de violation des droits et libertés fondamentaux, il serait utile que la formation restreinte puisse intervenir.
C'est pourquoi la Commission recommande que l'article 45-II de la loi du 6 janvier 1978 puisse être également modifié. Elle propose la rédaction suivante :
 II. - Lorsque la mise en œuvre d'un traitement ou l'exploitation des données traitées entraîne une violation des droits et libertés mentionnés à l'article 1er, la formation restreinte, saisie par le président de la Commission, peut, après une procédure contradictoire, prononcer, dans le cadre d'une procédure d'urgence définie par décret en Conseil d'Etat :
1° L'interruption de la mise en œuvre du traitement, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés aux I et II de l'article 26 ou de ceux mentionnés à l'article 27 mis en œuvre par l'Etat ;
2° Un avertissement visé au premier alinéa du I ;
3° Le verrouillage de certaines des données à caractère personnel traitées, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés aux I et II de l'article 26 ;
4° L'information du Premier ministre pour qu'il prenne, le cas échéant, les mesures permettant de faire cesser la violation constatée, si le traitement en cause est au nombre de ceux qui sont mentionnés aux mêmes I et II de l'article 26 ; le Premier ministre fait alors connaître à la formation restreinte les suites qu'il a données à cette information au plus tard quinze jours après l'avoir reçue. 
Enfin, la Commission souhaite attirer l'attention sur le faible niveau des sanctions pécuniaires qui peuvent être prononcées par la formation restreinte de la Commission. 
Le projet de règlement à venir prévoit une augmentation substantielle du niveau de sanction (5% du chiffre d'affaires mondial dans la limite de cent millions d'euros dans la version de compromis adoptée par le Parlement européen), mais il n'entrera pas en vigueur, en tout état de cause, avant deux ans et demi. 
La Commission estime qu'il est nécessaire de modifier le montant des sanctions dès à présent. Un tel montant pourrait utilement être exprimé en valeur absolue et en pourcentage du chiffre d'affaires mondial, ce double plafond étant de nature à couvrir les hypothèses où il n'y a pas de chiffre d'affaires (associations, par exemple) et à garantir, dans les autres cas, la proportionnalité du dispositif par rapport à la capacité financière de l'entité sanctionnée. 
III. Sur les autres propositions d'évolution de la loi  Informatique et Libertés  dans le cadre du projet de loi pour une République numérique
Si le projet de loi soumis pour avis à la Commission n'est pas le seul vecteur juridique permettant de faire évoluer la loi  Informatique et Libertés , la Commission estime utile de rappeler une de ses propositions non reprises.
Actuellement, la reconnaissance d'une éventuelle coresponsabilité, si elle est admise par la directive 95/46, n'a jamais été transposée explicitement en droit interne. Ainsi, la loi française ne prévoit pas expressément que la responsabilité d'un traitement puisse s'attacher conjointement à plusieurs personnes, physiques ou morales, autorités, services ou organismes. 
En pratique, la Commission attribue généralement la responsabilité d'un traitement à une seule et même entité, indépendamment de sa forme juridique et de son degré d'implication réelle dans la définition des caractéristiques techniques du traitement. Tel est le cas, par exemple, quant à la mise en œuvre de traitements développés et/ou configurés par des prestataires de services chez leurs clients (ex : mise en place de traitements RH, de vote électronique, de dispositifs de géolocalisation, de dispositifs biométriques, etc.). Dans son acception classique, la qualification de  responsable de traitement  est alors attachée à ces clients - le  prestataire  étant en ce cas considéré comme un  sous-traitant , entité réputée agir sous l'autorité du responsable de traitement.
En effet, le client ayant fait le choix de recourir au service offert est réputé endosser l'intégralité de la responsabilité en découlant, quand bien même il n'aurait pas la main sur la définition des caractéristiques du dispositif utilisé. De ce fait, il lui incombe d'appliquer, seul, l'ensemble des dispositions de la loi  Informatique et Libertés , dont celles lui imposant de recourir à un sous-traitant présentant des  garanties suffisantes  pour assurer la mise en œuvre de mesures de sécurité et de confidentialité satisfaisantes. 
Ainsi, des clients ont pu faire l'objet de procédures répressives de la part de la Commission (mises en demeure, sanctions) pour avoir mis en œuvre des traitements dans des conditions jugées non conformes à la loi, quand bien même celles-ci avaient été en pratique exclusivement définies par leurs prestataires. 
Dans de telles circonstances, et dans la logique du projet de règlement, la consécration d'un statut de co-responsabilité permettrait de mieux refléter la réalité de l'implication de différents organismes dans la mise en œuvre d'un traitement  en chaîne : conception, réalisation et commercialisation d'un dispositif permettant la mise en œuvre de traitements de données pour des finalités et selon des moyens prédéterminés, d'une part ; décision d'avoir recours à ce dispositif, d'autre part.
Afin d'introduire cette notion dans la loi, il conviendrait de modifier le I de l'article 3 de la loi du 6 janvier 1978 comme suit :
Le responsable d'un traitement de données à caractère personnel est, sauf désignation expresse par les dispositions législatives ou réglementaires relatives à ce traitement, la personne, l'autorité publique, le service ou l'organisme qui, seul ou conjointement avec d'autres, détermine ses finalités et ses moyens .
La Commission rappelle qu'elle avait rendu publiques le 13 janvier 2015 ses propositions de modifications de la loi du 6 janvier 1978 modifiée. Elle note avec satisfaction qu'un certain nombre de celles-ci ont été reprises au moins partiellement dans le projet de loi pour une République numérique (en particulier, la possibilité de saisir la Commission sur les propositions de loi, le renforcement des droits des mineurs, le renforcement des pouvoirs de sanction). Elle suivra avec attention la suite des débats autour de ce projet de loi pour une République numérique.
 
 
 
La PrésidenteIsabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret relatif à la mise en œuvre de systèmes de traitement de données captées ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code pénal ;Vu le code de procédure pénale, notamment ses articles 706-102-1 à 706-102-9 ;Vu le code de la sécurité intérieure, notamment son article L. 235-1 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 26-IV ;Vu la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure ;Vu la loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme, notamment son article 21 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu la délibération n° 2009-200 du 16 avril 2009 portant avis sur sept articles du projet de loi d'orientation et de programmation pour la performance de la
sécurité intérieure ;Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à la mise en œuvre de systèmes de traitement des données captées (STDC).Les articles 706-102-1 à 706-102-9 du code de procédure pénale (CPP), créés par la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure (dite  LOPPSI II ), permettent la captation de données informatiques dans le cadre des informations judiciaires relatives à des infractions de délinquance et de criminalité organisées. Ils permettent d'appréhender des données informatiques telles qu'elles s'affichent à l'écran pour l'utilisateur (copies écran) ou telles qu'elles sont saisies sur le clavier (frappes clavier). La commission s'est prononcée sur ces dispositions par délibération du 16 avril 2009 susvisée.La loi du 13 novembre 2014 susvisée a modifié l'article 706-102-1 du CPP afin de permettre également la captation de données  reçues et émises par des périphériques audiovisuels . Cette modification a pour objet de permettre la captation, outre des frappes de caractères et des données s'affichant à l'écran, du son et de l'image reçus et émis lors de l'utilisation d'un service
audiovisuel en ligne, jusque-là exclus des dispositions du CPP.Ces dispositions du CPP permettent la collecte de très nombreuses données, à l'insu des personnes concernées. Au regard du caractère particulièrement intrusif de ces dispositifs, le législateur a prévu les garanties nécessaires à la préservation des droits et libertés fondamentaux.Le présent projet de décret vise à permettre l'application de ces dispositions législatives en autorisant la mise en œuvre de ces dispositifs de captation de données informatiques, qui suppose la création de traitements de données à caractère personnel.Les traitements projetés ont dès lors pour objet la recherche et la constatation d'infractions pénales et pourront porter sur des données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée. Il en résulte qu'ils doivent être autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la commission, conformément aux dispositions de l'article 26-II de cette même loi.Il est enfin prévu que ce projet de décret constitue un acte réglementaire unique, au sens du IV du même article, permettant ainsi la déclaration de plusieurs traitements, par la direction générale de la police nationale (DGPN), la direction générale de la gendarmerie nationale (DGGN), la direction générale de la sécurité intérieure (DGSI), la préfecture de police de Paris et la direction générale des douanes et des droits indirects (DGDDI).En vertu de ces dispositions, les traitements qui
répondent à une même finalité, portent sur des catégories de données identiques et ont les mêmes destinataires peuvent être autorisés par un acte réglementaire unique. Chacun de ces traitements doit être mis en œuvre conformément à la description qui figure dans ce texte et doit faire l'objet d'un engagement de conformité préalablement adressé à la commission.A cet égard, l'article 7 du projet de décret précise que cet engagement s'accompagne d'un dossier technique de présentation du logiciel. La commission rappelle que ce dossier technique permet à la commission de mieux apprécier la conformité du traitement envisagé à l'acte réglementaire. Dès lors, si les services mentionnés à l'article 1er du projet de décret utilisent le même logiciel, il ne semble pas nécessaire d'accompagner les différents engagements de conformité d'un dossier identique de présentation de ce logiciel.En revanche, en cas de mise en œuvre d'un nouveau logiciel présentant des fonctionnalités nouvelles, sa déclaration devrait être accompagnée d'un dossier de présentation technique, conformément aux dispositions de l'article 30 de la loi du 6 janvier 1978 modifiée et sans qu'il soit nécessaire de le préciser dans le projet de décret. De même, la commission relève qu'à ce jour le dispositif ne permet pas encore la captation de données émises ou reçues par des périphériques audiovisuels. Elle prend acte que lorsqu'un nouveau dispositif aura été développé dans cette perspective, des informations
complémentaires seront portées à sa connaissance.Sur la finalité des traitements :Cette technique de captation de données informatiques doit permettre de  faciliter la constatation des infractions [de criminalité et de délinquance organisées], le rassemblement des preuves de ces infractions et l'identification de leurs auteurs . Le CPP dote en effet les services compétents en matière de criminalité organisée de plusieurs techniques spéciales d'enquêtes (surveillance, infiltration, sonorisation et fixation d'images, captation de données informatiques, etc.) et prévoit également une procédure spécifique, adaptées aux nouvelles formes de criminalité.L'article 1er du projet de décret prévoit que les traitements envisagés permettent  la collecte, l'enregistrement et la conservation des données informatiques captées en temps réel en application des articles 706-102-1 et suivants  du CPP.Les dispositifs de captation (enregistrement des frappes clavier, copies d'écran, enregistrement des données émises ou reçues depuis un périphérique audiovisuel) ont été déterminés par le législateur, tout comme les modalités d'exploitation des données recueillies ainsi que les garanties procédurales et techniques qui doivent entourer la mise en œuvre de ces dispositifs.Le code de procédure pénale prévoit en effet les modalités d'autorisation de mise en œuvre de ces dispositifs par l'autorité judiciaire, la durée de la mise en œuvre des dispositifs de captation ainsi que les conditions de leur
éventuelle prolongation, les modalités d'installation des dispositifs techniques, les modalités d'exploitation des données ainsi captées ainsi que les modalités de destruction des enregistrements des données informatiques. Au-delà de ces garanties procédurales, il convient de relever que les articles 706-102-1 à 706-102-9 du CPP ne permettent pas de prendre connaissance de l'ensemble du contenu du système exploité, de prendre le contrôle d'un système d'information ou d'accéder à toutes les données présentes sur celui-ci.Au regard de ces éléments, la commission considère que les finalités assignées aux traitements envisagés sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.Sur la nature des données traitées :Il est par définition difficile d'établir une liste exhaustive des données qui pourront être collectées, dans la mesure où sont concernées, dans un premier temps, toutes les données telles que l'utilisateur les saisira sur son clavier, les visualisera sur son écran ou, à terme, les prononcera ou les entendra via le périphérique audiovisuel, de manière indifférenciée. Ce n'est qu'au moment de l'exploitation des données que les enquêteurs analyseront l'ensemble des informations captées et procéderont à la transcription dans un procès-verbal des seules données utiles à la manifestation de la vérité, conformément à l'article 706-102-8 du CPP.L'article 29 de la loi  Informatique et libertés
prévoit néanmoins l'obligation de mentionner, dans l'acte réglementaire portant création d'un traitement relevant de l'article 26 de la même loi, les catégories de données à caractère personnel enregistrées dans un tel traitement et le projet de décret a dès lors été modifié à la demande de la commission.S'agissant des personnes concernées, la commission relève tout d'abord que ces dispositifs permettront de collecter des données relatives à d'autres personnes que l'utilisateur du système de traitement automatisé de données, telles que, par exemple, l'identité des personnes en relation avec l'utilisateur du système d'information surveillé. Si le projet de décret mentionne que pourront être captées  l'ensemble des données à caractère personnel rendues disponibles par l'utilisateur , il n'est pas expressément indiqué que pourront être collectées des données tant relatives à l'utilisateur du système d'information qu'aux personnes en relation avec lui. Dès lors, elle prend acte de l'engagement du ministère de modifier le projet de décret en ce sens.En outre, ces dispositifs peuvent être installés sur un système qui n'appartient pas ou n'est pas utilisé par la personne mise en cause. En effet, l'ordonnance du magistrat peut viser  la localisation exacte ou la description détaillée des systèmes de traitement automatisé de données , de sorte que les dispositifs peuvent concerner l'ensemble des systèmes d'information se trouvant dans un lieu déterminé, privé ou public. A cet égard,