AgentPublic/cnil huggingface dataset:
La Commission prend note qu’en cas de nécessité, par exemple à des fins de collaboration avec des partenaires externes au CHU de Nantes, les données peuvent faire l’objet d’une anonymisation afin d’être communiquées. La Commission rappelle qu’il conviendra de démontrer la conformité de la solution et des techniques d'anonymisation mises en œuvre, aux trois critères définis par l'avis du G29 n° 05/2014, et de la transmettre à la Commission. À défaut, si ces trois critères ne pouvaient être réunis, une étude des risques de ré-identification devrait être menée. Cette étude consiste à démontrer que les risques, liés à la publication du jeu de données, n’ont pas d’impact sur la vie privée et les libertés des personnes concernées.
Les actions des utilisateurs accédant à l’entrepôt font l’objet de mesures de traçabilité. En particulier, sont tracées les connexions à l’entrepôt (identifiants, date et heure) et les requêtes et opérations réalisées. La Commission recommande de réaliser un contrôle des traces de manière automatique, afin de détecter les comportements anormaux et de générer des alertes le cas échéant.
La Commission observe que l’entrepôt est accessible uniquement sur le réseau interne du CHU de Nantes à partir d’un navigateur web. L’accès est sécurisé au moyen du protocole HTTPS. Celui-ci utilise des canaux de communication chiffrés et assure l’authentification de la source et du destinataire. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible.
Des mesures sont prévues pour assurer le cloisonnement du traitement. Le réseau de l’entreprise fait l’objet de mesures de filtrage ayant pour but de restreindre l’émission et la réception des flux réseau aux machines identifiées et autorisées. Enfin, un système de prévention d’intrusion est mis en place et des tests sont régulièrement réalisés.
La Commission note que les mises à jour des logiciels sont installées de manière régulière. Des mesures spécifiques sont prévues pour garantir la disponibilité des données et services. Une politique de lutte contre les maliciels est définie et des logiciels antivirus sont installés et régulièrement mis à jour sur tous les matériels prenant part au traitement.
Enfin, une politique de maintenance des environnements informatiques est définie, assurant que des mesures appropriées relatives à la sécurité des données sont mises en œuvre.
La Commission prend note que le CHU de Nantes est hébergeur agréé de données de santé dans les conditions du décret n°2006-6 du 4 janvier 2006. Une politique de sauvegarde est mise en œuvre. Les sauvegardes sont testées régulièrement afin de vérifier leur intégrité. Le transfert des sauvegardes est sécurisé. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. De plus, lors de la mise au rebut, le matériel remisé est nettoyé de toute donnée à caractère personnel. Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement.
L'accès aux locaux hébergeant les équipements prenant part au traitement est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel. Des mesures de détection et de protection contre les risques d'incendie, de dégâts des eaux et de perte d'alimentation électrique sont proposées. Enfin, un plan de continuité de l’activité est prévu, permettant de reprendre l’activité en réduisant le plus possible l’impact d’un sinistre.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par les articles 5-1-f et 32 du RGPD.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les autres caractéristiques du traitement
Le CHU de Nantes souhaite conserver les données contenues dans l’entrepôt pendant la durée prévue par les dispositions légales et réglementaires applicables en matière de conservation des dossiers médicaux de 20 ans.
Concernant les recherches, l’accès aux données de l’entrepôt par les demandeurs est limité à ce qui est nécessaire à l’étude ou l’analyse.
Le CHU de Nantes a précisé que les extractions réalisées pour des recherches impliquant la personne humaine seraient détruites au bout de 15 ans d’archivage.
La commission considère que ces durées de conservation des données n’excèdent pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément aux dispositions de l’article 5-1-e du RGPD.
Autorise, conformément à la présente délibération, le CHU de Nantes à mettre en œuvre le traitement susmentionné.
Pour la Présidente
Le Vice-Président délégué
 
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 13 octobre 2004 portant création du système de contrôle automatisé ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code de la route, notamment ses articles L. 121-3, L. 130-9, L. 225-1 à L. 225-9, L 330-2 à L. 330-5, R. 121-6, R. 130-8, R. 130-11 et R. 330-1 à R. 330-5 ;
Vu le code de procédure pénale, notamment ses articles 537 et 529 à 530-3 ;
Vu la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 70-3 et son chapitre XIII ;
Vu le décret n° 2016-1955 du 28 décembre 2016 portant application des dispositions des articles L. 121-3 et L. 130-9 du code de la route ;
Vu le décret n° 2011-348 du 29 mars 2011 modifié portant création de l’Agence nationale de traitement automatisé des infractions ;
Vu l’arrêté du 13 octobre 2004 modifié portant création du système de contrôle automatisé ;
Vu la délibération n°2013-215 du 11 juillet 2013 de la Commission nationale de l’informatique et des libertés portant avis sur un projet d’arrêté modifiant l’arrêté du 13 octobre 2004 portant création du système de contrôle automatisé ;
Vu la délibération n° 04-076 du 5 octobre 2004 portant avis sur un projet d’arrêté interministériel portant création d’un dispositif dénommé système contrôle automatisé visant à automatiser la constatation, la gestion et la répression de certaines infractions routières ;
Sur la proposition de Monsieur Jean-François CARREZ, commissaire, et après avoir entendu les observations de Madame Nacima BELKACEM, commissaire du Gouvernement,
 
Emet l’avis suivant :
La Commission a été saisie par le ministre de l’intérieur d’une demande d’avis relative à un projet d’arrêté modifiant l’arrêté du 13 octobre 2004 portant création du système de contrôle automatisé.
Le dispositif permet de constater au moyen d’appareils de contrôle automatique homologués, certaines infractions au code de la route, d’identifier le titulaire du certificat d’immatriculation du véhicule concerné et de gérer les opérations relatives aux avis de contravention correspondants. Ce traitement est mis en œuvre par le Centre national de traitement (CNT), géré par l’Agence nationale de traitement automatisé des infractions (ANTAI) et a par ailleurs été examiné à plusieurs reprises par la Commission.
A titre liminaire, la Commission observe que le projet d’arrêté vise à prendre en compte les modifications du code de la route et du code de procédure pénale, introduites par la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle, visant à améliorer la répression de certaines infractions routières.
Le projet d’arrêté élargit, d’une part, le périmètre du traitement existant en modifiant les catégories de données collectées afin de permettre l’enregistrement des données relatives à la filiation du titulaire du permis de conduire et prévoit, d’autre part, que le traitement visé fera l’objet de nouvelles interconnexions, mises en relation ou rapprochements avec d’autres traitements.
Dans la mesure où le traitement a pour finalité la constatation ou la poursuite d’infractions pénales, celui-ci doit dès lors faire l’objet d’un arrêté, pris après avis motivé et publié de la Commission conformément aux dispositions de l’article 70-3 de la loi du 6 janvier 1978 modifiée.
Sur les finalités du traitement 
L’article 1er du projet d’arrêté énonce les finalités poursuivies par le traitement, à savoir : 
constater, au moyen d’appareils de contrôle automatique homologués, les infractions, prévues à l’article R. 130-11 du code de la route ;
procéder à l’enregistrement et à la conservation des données recueillies par l’agent verbalisateur au moyen d’appareils électroniques à l’occasion de la constatation des contraventions et délits relatifs à la circulation routière ;
gérer les opérations relatives à l’identification des conducteurs de véhicule, auteurs d’infractions visées au 1° et au 2° ;
gérer les opérations nécessaires au traitement des infractions visées au 1° et au 2° en vue de la notification des avis de contravention et des avis d’amende forfaitaire délictuelle ;
gérer les réponses des personnes destinataires d’un avis de contravention ou d'un avis d’amende forfaitaire délictuelle qui leur est notifié ;
faciliter la gestion du paiement des consignations, le recouvrement des amendes et le remboursement des consignations par les services compétents ;
faciliter l’établissement des retraits de points par le service chargé de la gestion du système national des permis de conduire ;
assurer la transmission des dossiers relatifs aux infractions visées au 1° et au 2° aux tribunaux et autorités judiciaires compétents ;
gérer le parc des appareils électroniques d’enregistrement.
La Commission relève que les modifications projetées, sans modifier de manière substantielle les dispositions issues de l’article 1er de l’arrêté du 13 octobre 2004 susvisé, visent à tenir compte de l’élargissement des infractions pouvant être constatées au moyen du contrôle automatisé. En pratique, le périmètre de ces infractions est celui prévu à l’article R. 130-11 du code de la route, créé par le décret n° 2016-1955 du 28 décembre 2016 portant application des dispositions des articles L. 121-3 et L. 130-9 du code de la route. 
Les modifications projetées visent également à prendre en compte l’application de la procédure d’amende forfaitaire pour les délits de défaut de permis de conduire et de défaut d’assurance, constatés par un procès-verbal électronique et introduite par l’article 36 de la loi du 18 novembre 2016 précitée.
La Commission estime que ces modifications n’appellent pas d’observation et que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données collectées
Les articles 2 et 3 du projet d’arrêté modifient les données pouvant être collectées et traitées au sein du système de contrôle automatisé.
La Commission relève que le projet d’arrêté prévoit la collecte de données relatives à la filiation du conducteur du véhicule, soit les nom et prénom des parents du conducteur. Il précise que ces données seront communiquées sur une base déclarative par le conducteur, lors des contrôles réalisés par les agents ou officiers de police judiciaire.
Le ministère justifie de la collecte de telle données, d’une part, afin de permettre d'écarter tout risque d'homonymie, lors de la consultation du TAJ par les agents ou officiers de police judicaire lors des contrôles. Il indique, d’autre part, que les données de filiation doivent permettre de répondre aux besoins des juridictions dans le cas d'une contestation qui serait jugée recevable. L’enregistrement des données de filiation dans le dossier transmis au parquet par le CNT doit ainsi permettre aux mis en cause étrangers, en cas de saisine du tribunal correctionnel, ou nés à l'étranger, de demander un extrait de casier judiciaire, sans qu’il ne soit nécessaire de solliciter un service d'enquête pour recueillir ces éléments.
Sans remettre en cause les justifications apportées par le ministère, la Commission considère que la collecte systématique des données relatives à la filiation du conducteur n’est pas nécessaire. Elle prend acte de l’engagement du ministère de modifier le projet d’arrêté afin de préciser que ces données ne seront enregistrées dans le traitement que lorsque ce renseignement est nécessaire à l'identification de la personne, notamment en cas d'homonymie, ou lorsque la personne est née à l'étranger. 
Sur les nouvelles interconnexions, mises en relation ou rapprochements
L’article 5 de l’arrêté du 13 octobre 2004 prévoit que le système de contrôle automatisé peut faire l’objet d’interconnexions, mises en relation ou rapprochements  avec d’autres traitements, à savoir :
le fichier national des immatriculations ; 
le système national des permis de conduire ; 
le traitement automatisé de suivi du recouvrement des amendes et des condamnations pécuniaires ; 
les traitements relatifs à la gestion des contrats de location et des véhicules loués mis en œuvre par les sociétés ayant pour activité la location de véhicules ; 
les traitements relatifs à la gestion du parc automobile mis en œuvre par les sociétés ou établissements mettant des véhicules à disposition de leurs collaborateurs ou clients ; 
les systèmes de télépaiement des amendes mis en œuvre par les services compétents de la direction générale des finances publiques ;
le traitement automatisé relatif au traitement des ordonnances et jugements devant les tribunaux de police dénommé Minos ;
l’application de gestion centrale ; 
le système d’immatriculation des véhicules ; 
la base satellite des véhicules volés ;
le fichier de traitement automatique des plis non distribués de la Poste, dénommé Alliage .
L’article 4 du projet d’arrêté prévoit de nouvelles interconnexions.
A titre liminaire, la Commission prend acte que le projet d’arrêté modifie le huitième alinéa de l’article 5 de l’arrêté de 2004 susvisé afin qu’il soit fait expressément mention de la dénomination du traitement visé par ces dispositions, soit le traitement MINOS . En tout état de cause, cette interconnexion ne fait pas l’objet de modification et permet, selon le ministère, de faciliter la gestion des dossiers d’infractions pénales par les tribunaux de police par l’envoi d’un dossier numérisé.
En premier lieu, le projet d’arrêté envisage d’interconnecter le système de contrôle automatisé avec le traitement automatisé relatif aux procédures judiciaires au sein des tribunaux de grande instance dénommé Cassiopée , afin de simplifier la transmission des données collectées par le CNT aux juridictions, suite à la constatation d’un délit par procès-verbal électronique. Au regard de l’extension du périmètre des infractions susceptibles d’être constatées à la matière délictuelle, la Commission prend acte que cette interconnexion répond à la nécessité opérationnelle de transmission de ces données.
En pratique, un lien inter-applicatif (via des flux webservices) entre ces deux traitements doit permettre l’envoi sécurisé du CNT vers Cassiopée, des données nécessaires à l’alimentation de la procédure (état civil et adresse du mis en cause, nature, date et lieu de l’infraction et service verbalisateur).
Ces flux permettront en outre de transmettre au parquet compétent, via le traitement Cassiopée, les éléments constitutifs de la procédure (notamment le procès-verbal de constatation, les échanges de courriers entre le service du parquet compétent hébergé au CNT et le mis en cause dans le cadre de l’examen de la recevabilité de la contestation, les pièces éventuellement transmises par le mis en cause au soutien de sa contestation).
Le ministère indique que ces éléments seront également transmis via le CNT, au moyen de flux sécurisés, dans l’application dénommée numérisation des procédures pénales (NPP), dans la mesure où Cassiopée ne traite que de la gestion des procédures, à l’exclusion de toute pièce jointe. La Commission prend acte de l’engagement du ministère de modifier le projet d’arrêté afin que cette mise en relation soit expressément prévue.
La Commission estime que l’interconnexion envisagée par le ministère est justifiée, en ce qu’elle poursuit un objectif de gestion et de transmission plus effective des pièces constitutives de la procédure aux services et juridictions compétents.
En second lieu, une interconnexion entre le système de contrôle automatisé et le traitement d’antécédents judiciaires (TAJ) est projetée, afin de prendre en compte la forfaitisation des délits de défaut de permis de conduire et de défaut d’assurance, introduite par la loi du 18 novembre 2016 précitée.
La Commission relève que l’alinéa 2 de l’article 495-17 du code de procédure pénale précise que 
la procédure de l'amende forfaitaire n'est pas applicable si le délit a été commis par un mineur ou en état de récidive légale ou si plusieurs infractions, dont l'une au moins ne peut donner lieu à une amende forfaitaire, ont été constatées simultanément . Elle prend ainsi acte de ce que l’interconnexion avec le TAJ a pour unique but d’apprécier l’état de récidive du conducteur, pour une même infraction
En pratique, un flux informatique entre ces traitements permettra d’alimenter le TAJ, dès la constatation d’une infraction de nature délictuelle, relevée par procès-verbal électronique. Les données ainsi transmises sont relatives à l’infraction (nature, date, lieu et heure), au mis en cause (données d’état civil), au véhicule concerné par l’infraction, ainsi qu’à l’agent verbalisateur.
La Commission prend acte que cette interconnexion doit contribuer à améliorer le développement opérationnel de l’amende forfaitaire délictuelle. Par ailleurs, elle relève que la consultation du TAJ par les agents et militaires des services et unités habilités à y accéder, dans les limites prévues aux articles 230-10 et R. 40-28 du code de procédure pénale (CPP), doit permettre d’orienter l’issue des procédures de contrôle, dans le cadre des finalités listées à l’article 1er de l’arrêté du 13 octobre 2004, à l’aune des antécédents des conducteurs des véhicules en déterminant, notamment, si ces derniers ont déjà été mise en cause pour un délit identique. Elle soulève que la consultation du TAJ par ces personnes intervient indépendamment de l’utilisation, par ces mêmes personnes, du système de contrôle automatisé.
Au regard de ces éléments, la Commission considère que le ministère a justifié de cette mise en relation.
Enfin, elle rappelle qu’il revient au ministère de s’assurer, le cas échéant, de la mise à jour des formalités déclaratives applicables aux traitements concernés par les interconnexions précitées. 
 
Sur les droits des personnes concernées 
L’article 5 du projet d’arrêté prévoit que les droits d’information, d’accès, de rectification et d’effacement prévus aux articles 70-18 à 70-20 de la loi du 6 janvier 1978, s’exercent directement auprès du CNT.
La Commission prend acte que les personnes seront informées au moyen de mentions figurant dans les avis de contravention et les avis d’amende forfaitaire délictuelle, ainsi que sur les écrans de signature des terminaux de procès-verbaux électroniques, utilisés par les agents et officiers de police judiciaire.
Elle prend par ailleurs acte qu’en cas de rectification ou d’effacement des données préalablement transmises aux traitements mis en relation avec le système de contrôle automatisé, une mise à jour automatique, et à défaut par courrier ou messagerie, est mise en œuvre.
Enfin, le projet de décret précise qu’en application de l’article 38 de la loi du 6 janvier 1978 modifiée, le droit d’opposition n’a pas vocation à s’appliquer au traitement projeté.
La Commission rappelle que, si les dispositions de la directive 2016/680 du 27 avril 2016 susvisée telles que transposées en droit interne, ne mentionnent pas la possibilité pour les personnes concernées de s’opposer au traitement mis en œuvre, les Etats membres conservent, en tout état de cause, la possibilité de prévoir des garanties plus étendues que celles établies dans ladite directive pour la protection des droits et des libertés des personnes concernées à l’égard du traitement des données à caractère personnel par les autorités compétentes.
Dans ce contexte, elle considère que l’article 38 précité, qui n’a pas été abrogé par la loi relative à la protection des données personnelles et dont l’application aux traitements relevant de la directive précitée n’est pas davantage exclue par les dispositions des articles 70-1 et suivants de la loi Informatique et Libertés , a également vocation à s’appliquer aux traitements relevant du champ d’application de cette directive. Elle relève à cet égard que cet article 38 prévoit la possibilité d’écarter le droit d’opposition lorsque le traitement répond à une obligation légale ou lorsqu’une disposition expresse de l’acte réglementaire autorisant le traitement l’exclut.
En l’espèce, la Commission considère que l’exclusion du droit d’opposition telle que prévue par l’article 7 du projet de décret est proportionnée au regard de la finalité poursuivie par le traitement projeté, à savoir la constatation d’infractions. Compte tenu de ce qui précède, elle estime que la limitation apportée à l’exercice du droit d’opposition s’inscrit dans le cadre des dispositions du droit national relatives à la protection des données à caractère personnel et n’est pas de nature à porter une atteinte excessive aux droits et libertés des personnes concernées.
Sur les autres caractéristiques du traitement
La Commission relève que le projet d’arrêté introduit un article 7-1 à l’arrêté de 2004 susvisé, lequel prévoit que les opérations de collecte, de modification, de consultation, de communication et d'effacement des données à caractère personnel et informations font l'objet d'un enregistrement comprenant l'identifiant de l'auteur, la date, l'heure et la nature de l'opération. Ces informations sont conservées pendant un an . Elle considère que la conservation de ces données pour une durée d’un an, n’appelle pas d’observation particulière.
La Commission rappelle que les autres modalités de mise en œuvre du système de contrôle automatisé (catégories de données traitées et destinataires) demeurent inchangées.
Sur les mesures de sécurité
S’agissant des mesures existantes ou prévues, l'infrastructure du système de contrôle automatisé a été analysée par la Commission à diverses reprises.
La Commission relève qu’actuellement, l’ensemble des flux est chiffré de bout en bout , en utilisant des mécanismes cryptographiques conformes à l’annexe B1 du RGS. L’ensemble des opérations liées à ces flux est tracé au niveau base de données et au niveau métier sur une année glissante. Il en est de même des traces techniques. Les données sont ensuite déchiffrées et stockées en base, de façon à ce que les données personnelles associées à un dossier ne soient affichées qu’aux personnes ayant droit d’en connaître.
Par ailleurs, la Commission prend acte que l’authentification des utilisateurs sur leurs postes de travail est réalisée via une authentification forte par carte à puce.
Elle relève également que les transmissions des données dans le cadre des interconnexions projetées sont sécurisées au moyen du protocole HTTPS, ou un protocole sécurisé équivalent, avec authentification mutuelle client-serveur basée sur des certificats qualifiés RGS.
Ces mesures de sécurité sont de nature à garantir un risque limité d’atteinte aux données.