AgentPublic/cnil huggingface dataset:
un nouveau contrôle.Les contestations et recours éventuels sont mentionnés dans l'outil.Des statistiques agrégées sont réceptionnées par la CNAMTS puis transmises à la direction de la sécurité sociale et à la direction générale de l'administration et des fonctions publiques responsables du suivi de l'expérimentation.Les catégories de données traitées sont relatives à l'identité du fonctionnaire, son adresse, son NIR, au régime de l'arrêt de travail, au prescripteur de l'arrêt de travail, aux informations permettant le suivi et le contrôle des arrêts ainsi qu'à l'évaluation du dispositif, au service dans lequel est affecté l'agent, à la date et à la nature du contrôle opéré, au résultat du contrôle, à la date et à la mesure prise par l'administration à la suite du contrôle, de la contestation ou du recours.Les données sont conservées pendant toute la durée de l'expérimentation et l'année qui suit la fin de l'expérimentation. En cas de contentieux, les informations sont conservées jusqu'à une décision de justice devenue définitive.Les mises à jour et les consultations ainsi que les traces de ces opérations sont conservées pendant un an à compter de ces opérations.Les destinataires des données sont les agents individuellement habilités par les autorités compétentes des collectivités territoriales et les établissements concernés, par les caisses et les services du contrôle médical.Les agents habilités par les employeurs sont ceux chargés de la gestion des ressources humaines et
pour les caisses et les services du contrôle médical les agents sont chargés du suivi des dossiers.S'agissant des mesures de sécurité mises en œuvre, la commission note que l'application est hébergée au centre d'exploitation national de Valenciennes. L'accès à l'outil est tracé et s'effectue avec une carte à puce pour les agents de l'assurance maladie et avec un identifiant et un mot de passe d'au moins 8 caractères pour les agents habilités par les employeurs.Au sein de l'assurance maladie, les agents se connectent à un réseau privé interne. Les échanges d'informations avec les organismes extérieurs sont chiffrés ainsi que les sauvegardes des données.L'information des personnes se fera par diffusion, à l'initiative de l'employeur, d'une note à l'ensemble des agents titulaires et stagiaires. Lorsqu'un agent envoie à son employeur un troisième arrêt maladie en douze mois, l'administration lui envoie un courrier l'informant d'un contrôle dans l'hypothèse d'un quatrième arrêt de travail.Les droits d'accès et de rectification s'exercent auprès du service gestionnaire du fonctionnaire.
La Commission nationale de l'informatique et des libertés, 
Saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration, d'une demande d'avis concernant un projet d'arrêté autorisant la création de traitements de données à caractère personnel relatifs aux procédures d'appel à témoins ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-I-2° et 26-IV ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Madame Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Émet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre de l'intérieur, de l'outre-mer, des collectivités locales et de l'immigration d'un projet d'arrêté autorisant la création de traitements de données à caractère personnel relatifs aux procédures d'appel à témoins.
Il y a lieu de faire application des dispositions de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée qui soumet à une autorisation par arrêté ministériel pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et intéressant notamment la prévention, la recherche, la constatation ou la poursuite des infractions pénales.
En outre, et conformément aux dispositions de l'article 26-IV de la loi du 6 janvier 1978 modifiée, le projet d'arrêté a vocation à constituer un acte réglementaire unique, auquel devront se référer les engagements de conformité adressés à la Commission. 
Il s'agit en effet de traitements mis en œuvre, pour leur majorité, au niveau local (commissariats et unités territoriales de gendarmerie) et sous format papier, qui font actuellement l'objet d'une démarche de régularisation et d'informatisation par le ministère de l'intérieur. 
Sur la finalité des traitements
L'article 1er du projet d'arrêté autorise le directeur général de la police nationale, le directeur général de la gendarmerie nationale ainsi que le préfet de police à mettre en œuvre des traitements dont la finalité est l'enregistrement et l'exploitation des communications reçues dans le cadre de procédures d'appels à témoins ouvertes par les services de la police et les unités de la gendarmerie nationales . 
Ces appels à témoins visent à susciter des témoignages afin d'orienter une enquête judiciaire en cours. La notion d'appel à témoin recoupe trois procédures différentes (appel à témoins, alerte enlèvement, alerte attentat).
Les appels à témoins classiques consistent, à la demande des services enquêteurs et dans le cadre d'une procédure judiciaire, à susciter des témoignages afin d'accélérer la résolution d'une enquête ou d'une information. La procédure alerte enlèvement est inspirée du dispositif américain Amber Alert . Il convient de noter que certains critères, strictement définis et précisés dans une convention élaborée par le ministère de la justice, doivent être réunis afin qu'un tel appel à témoin puisse être déclenché. Cette procédure autorise la communication au public, via les médias, des éléments relatifs à la victime d'un enlèvement en vue de susciter des témoignages et favoriser ainsi la localisation et la libération de la victime. Enfin, la procédure alerte attentat a pour objet de collecter des renseignements lorsque des attentats terroristes ont été commis sur le territoire national.
Enfin, la Commission prend acte que ces traitements n'ont aucune finalité statistique.
Sur les données à caractère personnel traitées 
Les services de police et les unités de gendarmerie mettent à la disposition du public, par le biais de différents vecteurs médiatiques (presse, radio, télévision, internet, etc.), un numéro de téléphone et une adresse électronique qui permettent de centraliser les témoignages. 
La Commission observe que les données seront donc collectées directement auprès des personnes concernées, sur la base d'une démarche volontaire.
L'article 2 du projet d'arrêté prévoit de traiter deux catégories de données, l'une relative à l'identité de la personne répondant à l'appel à témoin, l'autre relative à l'enregistrement des informations et données transmises, par tout support, aux services de la police et aux unités de la gendarmerie nationales. 
S'agissant des informations relatives à l'identité des personnes, la Commission prend acte que le ministère entend compléter l'acte réglementaire afin d'ajouter aux informations déjà mentionnées (nom, prénom, coordonnées téléphoniques), l'adresse, la date et lieu de naissance ainsi que l'adresse électronique. 
La Commission observe que l'enregistrement des informations et données transmises, par tout support, aux services de la police et aux unités de gendarmerie recouvre à la fois le contenu de l'enregistrement, ainsi que l'enregistrement lui-même, que le témoignage soit réalisé par courrier traditionnel, électronique ou par téléphone.
En outre, la Commission relève que seuls ces témoignages sont enregistrés, et non pas les éventuels procès-verbaux des déclarations des témoins réalisés à l'occasion de leurs auditions ultérieurs.
Sur la durée de conservation des données
Dans le projet d'arrêté soumis à l'examen de la Commission, il est prévu que les données et informations mentionnées à l'article 2 [soient] conservées au maximum 1 an à compter de leur enregistrement sans préjudice de leur conservation pour les besoins d'une procédure pénale . Le ministère a néanmoins considéré que cette rédaction était ambigüe ; aussi, la Commission prend acte qu'il entend reformuler la rédaction de cet article de la manière suivante : Les données à caractère personnel et informations mentionnées à l'article 2 sont conservées jusqu'à la clôture de l'enquête ou au plus tard jusqu'à la prescription de l'action publique ou l'extinction des voies de recours . 
Dans la mesure où ces traitements locaux prendront majoritairement la forme de registres papier, la Commission relève qu'il n'est pas prévu d'effacement automatique. En revanche, s'agissant des traitements informatisés, elle demande qu'une telle procédure soit mise en place.
Sur les destinataires des traitements
L'article 4 du projet d'arrêté prévoit que seuls les agents des services de la police nationale et les militaires et de la gendarmerie nationale, individuellement désignés et spécialement habilités, affectés dans les services ou unités mettant en œuvre ces traitements peuvent accéder aux informations qui y sont enregistrées, en fonction de leurs attributions et dans la limite du besoin d'en connaître. 
Ces dispositions n'appellent pas de remarque particulière de la part de la Commission.
Sur les droits des personnes concernées
La Commission prend acte que le ministère entend écarter le droit d'information, en application des dispositions de l'article 32-VI de la loi du 6 janvier 1978 modifiée. Elle souligne toutefois que lors d'un témoignage téléphonique, les personnes appelant les services de police ou de gendarmerie seront informées de l'enregistrement de la conversation téléphonique.
En ce qui concerne les droits d'accès et de rectification, la Commission prend acte qu'ils s'exerceront de manière indirecte auprès de la Commission s'agissant de la procédure d' appel attentat . En revanche, pour les autres procédures d'appel à témoins, ces droits s'exerceront directement auprès du service ou de l'unité mettant en œuvre le traitement, conformément à l'alinéa 4 de l'article 41 de la loi du 6 janvier 1978 modifiée. 
La Commission relève par ailleurs que le ministère entend écarter le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée. 
Sur la procédure d'engagement de conformité 
En application de l'article 26-IV de la loi du 6 janvier 1978 modifiée, l'article 6 du projet d'arrêté prévoit que la mise en œuvre des traitements relatifs aux procédures d'appel à témoins par le directeur général de la police nationale (DGPN), le directeur général de la gendarmerie nationale (DGGN) ou le Préfet de police est subordonnée à l'envoi à la Commission d'un engagement de conformité faisant référence à l'arrêté.
La Commission prend acte de l'engagement du ministère de lui communiquer un état précis des traitements mis en œuvre à l'occasion de la transmission de ces engagements de conformités.
Sur l'architecture et les mesures de sécurité 
La Commission observe que ces traitements locaux prennent majoritairement la forme de registres papier et ne donnent pas lieu à un traitement informatique. Selon les indications du ministère, seule la Préfecture de police dispose à ce jour d'un outil élaboré, et l'architecture technique et les mesures de sécurité qui ont été portées à la connaissance de la Commission ne concernent donc que les traitements mis en œuvre par la Préfecture de police. Il est cependant prévu que les traitements relatifs aux procédures d'appel à témoins soient progressivement informatisés. 
Les traitements autorisés en vertu d'un acte réglementaire unique peuvent varier dans leur architecture technique et dans les mesures de sécurité précisément mises en œuvre, sous réserve que tous ces traitements bénéficient d'un niveau adéquat de sécurité.
A cet égard, la Commission relève que pour tous les traitements automatisés, des mesures suffisantes de traçabilité seront mises en œuvre. L'article 5 du projet d'arrêté prévoit en effet que les consultations effectuées font l'objet d'un enregistrement comprenant l'identifiant du consultant, les dates et l'heures de la consultation. Ces données sont conservées trois ans .
Elle prend également acte de l'engagement du ministère de transmettre, à l'occasion de l'envoi des engagements de conformité relatifs aux traitements de la DGPN et de la DGGN, une présentation des sécurités techniques de ces traitements, informatisés ou non.
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration, d'une demande d'avis concernant un projet d'arrêté autorisant la création de traitements de données à caractère personnel dénommés  assignation à résidence  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile ;
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-I-2° et 26-IV ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-638 du 8 juin 2011 relatif à l'application de gestion des dossiers des ressortissants étrangers en France et aux titres de séjour et aux titres de voyage des étrangers ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Madame Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Émet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre de l'intérieur, de l'outre-mer, des collectivités locales et de l'immigration d'un projet d'arrêté autorisant la création de traitements de données à caractère personnel dénommés  assignation à résidence .
Il y a lieu de faire application des dispositions de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée qui soumet à une autorisation par arrêté ministériel pris après avis motivé et publié de la Commission les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et qui ont pour objet l'exécution des mesures de sûreté.
En outre, et conformément aux dispositions de l'article 26-IV de la loi du 6 janvier 1978 modifiée, le projet d'arrêté a vocation à constituer un acte réglementaire unique, auquel devront se référer les engagements de conformité adressés à la Commission. 
Il s'agit en effet de traitements mis en œuvre, pour leur majorité, au niveau local (commissariats et unités territoriales de gendarmerie) et sous format papier, qui font actuellement l'objet d'une démarche de régularisation et d'informatisation par le ministère de l'intérieur. 
Sur les finalités des traitements
L'article 1er du projet d'arrêté autorise le directeur général de la police nationale, le directeur général de la gendarmerie nationale ainsi que le préfet de police à mettre en œuvre localement des traitements de données à caractère personnel dénommés  assignation à résidence  dont la finalité est, d'une part,  d'assurer le suivi des dossiers des personnes qui, dans le cadre d'une mesure d'assignation à résidence prononce par ordonnance du juge des libertés et de la détention ou par arrêté préfectoral, doivent se présenter périodiquement aux autorités responsables du traitement  ; et de  vérifier, pour les besoins des enquêtes pénales dont sont saisis les services de la police et des unités de la gendarmerie nationales, les modalités d'exécution de ces mesures , d'autre part. La Commission souligne que seules les mesures d'assignation à résidence prévues par les dispositions du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) sont concernées par ces traitements.
Elle estime que la finalité de suivi des dossiers relatifs aux personnes qui, assignées à résidence en application des dispositions du CESEDA, doivent se présenter périodiquement aux forces de l'ordre, n'appelle pas d'observation particulière.
La Commission s'est en revanche interrogée sur l'utilité de la seconde finalité mentionnée dans le projet d'arrêté. En effet, les dispositions du code de procédure pénale relatives aux réquisitions judiciaires et le II de l'article 3 de la loi du 6 janvier 1978 modifiée permettent déjà à l'autorité judiciaire d'avoir communication, à des fins d'enquête dans le cadre d'une procédure judiciaire, des données issues de tout traitement de données à caractère personnel, sans qu'il soit nécessaire de lui assigner une telle finalité.
En outre, les informations relatives aux mesures d'assignation à résidence décidées en application des dispositions du CESEDA sont enregistrées dans d'autres traitements, comme par exemple le traitement AGDREF 2 créé par le décret n° 2011-638 susvisé, et sont donc à la disposition des services enquêteurs sur simple réquisition.
Dans ces conditions, la Commission a sollicité des précisions auprès du ministère de l'intérieur. Celui-ci a indiqué que cette finalité est nécessaire à l'utilisation des données enregistrées dans les traitements dans le cadre de procédures judiciaires. A défaut, ces informations ne pourraient être conservées au-delà de la période d'exécution de l'assignation à résidence, rendant ainsi sans effet toute réquisition judiciaire. En outre, le ministère a indiqué qu'il convient de permettre aux services enquêteurs de vérifier ultérieurement les modalités d'exécution de ces mesures et d'accéder rapidement à ces informations dans le cadre de leur mission de police judiciaire.
La Commission considère que la justification avancée par le ministère n'est pas suffisamment convaincante. En tout état de cause, elle estime que si cette seconde finalité devait être maintenue, le ministère devrait mettre en place des garanties complémentaires, notamment en termes de durée de conservation des données et de sécurité. Ainsi, les consultations devront faire l'objet d'une traçabilité effective pour permettre à la Commission, dans le cadre de ses missions de contrôle diligentées en application de l'article 44 de la loi du 6 janvier 1978 modifiée, d'assurer le nécessaire contrôle de l'utilisation des fichiers concernés à des fins de police judiciaire.
Enfin, la Commission prend acte que ces traitements locaux n'ont aucune finalité statistique.
Sur les données à caractère personnel traitées
L'article 2 du projet d'arrêté prévoit que les données à caractère personnel pouvant être enregistrées dans les traitements  assignation à résidence  sont les suivantes :
- quant à l'identité de la personne assignée à résidence : nom, prénom, alias, date et lieu de naissance, nationalité, adresses, profession, numéros de téléphone, lieu de travail ; 
- quant à l'identité de la personne assurant l'hébergement : nom, prénom, date et lieu de naissance, nationalité, adresses, lieu de travail ;
- quant aux informations en rapport avec la décision d'assignation : indication de l'autorité ayant prononcé la mesure d'assignation, motif de l'assignation, modalités de l'assignation à résidence. 
La Commission relève que les références du passeport ou du document justifiant l'identité de la personne assignée à résidence seront enregistrées dans le traitement si de tels documents sont remis par l'intéressé. Elle prend acte que le projet d'acte réglementaire sera modifié en ce sens.
S'agissant des informations en rapport avec la décision d'assignation, la Commission prend acte que les traitements ont vocation à traiter de l'ensemble des mesures d'assignation prévues par le code de l'entrée et du séjour des étrangers et du droit d'asile.
Sur la durée de conservation des données
L'article 3 du projet d'arrêté prévoit que les données sont conservées dix ans à compter de la date de fin de l'assignation à résidence, mais qu'à compter de la fin de la mesure, elles ne peuvent être consultées que dans le cadre d'une procédure judiciaire. 
La Commission observe que la durée de conservation de dix ans est prévue au regard de la finalité d'aide à l'enquête judiciaire assignée aux traitements. Or, elle considère que cette durée de conservation doit être proportionnée à la finalité principale des traitements concernés, à savoir le suivi des personnes assignées à résidence en application des dispositions du CESEDA par les services de police ou de gendarmerie. La Commission estime que les informations devraient donc être supprimées au terme d'un délai raisonnable à compter de l'exécution de la mesure, par exemple dans un délai de deux ans.
En outre, elle observe que, compte tenu du caractère non automatisé de la plupart de ces traitements, aucun dispositif technique de restriction des accès ne peut être mis en place. Elle prend cependant acte de l'engagement du ministère d'adresser des directives aux personnels pour rappeler l'interdiction d'accéder à ces données en dehors de tout cadre judiciaire passée la période d'exécution de la mesure.
Enfin, dans la mesure où ces traitements locaux prendront majoritairement la forme de registres papier, la Commission observe qu'aucun mécanisme d'effacement automatique des informations ne peut être mis en œuvre. Elle demande qu'une telle procédure soit mise en place s'agissant des traitements informatisés.
Sur les destinataires des traitements
L'article 4 du projet d'arrêté distingue les personnels bénéficiant d'un accès direct aux données des personnels à qui ces informations peuvent être communiquées. 
En ce qui concerne les premiers, il s'agit des agents des services de la police nationale et les militaires et de la gendarmerie nationale, individuellement désignés et spécialement habilités, affectés dans les services ou unités mettant en œuvre ces traitements, en fonction de leurs attributions et dans la limite du besoin d'en connaître. 
Les personnels auxquels les informations peuvent être communiquées sont les agents des préfectures en charge de l'application de la législation relative aux étrangers. La Commission relève que le ministère n'a pas entendu faire figurer à cet article les magistrats et fonctionnaires du ministère de la justice ayant à connaître du déroulement de l'exécution de la mesure, alors même qu'ils constituent bien des destinataires au sens de l'article 3-II de la loi du 6 janvier 1978 modifiée, lesquels doivent figurer dans l'acte réglementaire en application de l'article 29 de cette même loi. 
Sur les droits des personnes concernées