AgentPublic/cnil huggingface dataset:
Lorsqu'une procédure disciplinaire ou des poursuites judiciaires sont engagées à l'encontre de la personne mise en cause ou de l'auteur d'une alerte abusive, les données relatives à l'alerte sont conservées par l'organisation chargée de la gestion des alertes jusqu'au terme de la procédure.
Les données faisant l'objet de mesures d'archivage sont conservées, dans le cadre d'un système d'information distinct à accès restreint, pour une durée n'excédant pas les délais de procédures contentieuses.
 
Article 7
Mesures de sécurité
Le responsable des traitements prend toutes précautions utiles pour préserver la sécurité des données tant à l'occasion de leur recueil que de leur communication ou de leur conservation.
En particulier, les accès aux traitements de données s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification. Ces accès sont enregistrés et leur régularité est contrôlée.
L'identité de l'émetteur d'une alerte et des personnes visées par l'alerte ainsi que les informations recueillies par l'ensemble des destinataires du signalement sont traitées de façon confidentielle.
 
Article 8 En savoir plus sur cet article...
Information des utilisateurs potentiels du dispositif
Une information claire et complète de l'ensemble des utilisateurs potentiels du dispositif d'alerte est réalisée. Ainsi, cette information est délivrée aux membres du personnel de l'organisme mais également aux collaborateurs extérieurs et occasionnels ayant vocation à utiliser le dispositif.
Au-delà de l'information collective et individuelle prévue par le Code du travail, et conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, cette information précise notamment l'identification de l'entité responsable du dispositif, les objectifs poursuivis et les domaines concernés par les alertes, le caractère facultatif du dispositif, l'absence de conséquence à l'égard des employés de la non-utilisation de ce dispositif, les éventuels transferts de données à caractère personnel à destination d'un Etat non membre de la Communauté européenne, ainsi que l'existence d'un droit d'accès, de rectification et d'opposition au bénéfice des personnes identifiées dans le cadre de ce dispositif.
L'information précise également les étapes de la procédure de recueil des signalements et notamment les destinataires et les conditions auxquelles l'alerte peut leur être adressée, conformément aux dispositions de l'article 8 de la loi n° 2016-1691 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique.
Il est clairement indiqué que l'utilisation abusive du dispositif peut exposer son auteur à d'éventuelles sanctions ou poursuites mais qu'à l'inverse, l'utilisation de bonne foi du dispositif, même si les faits s'avèrent par la suite inexacts ou ne donnent lieu à aucune suite, n'exposera son auteur à aucune sanction disciplinaire.
 
Article 9
Information de la personne faisant l'objet d'une alerte professionnelle
La personne qui fait l'objet d'une alerte est, conformément aux articles 6 et 32 de loi du 6 janvier 1978, informée par le responsable du dispositif dès l'enregistrement, informatisé ou non, de données la concernant afin de lui permettre de s'opposer au traitement de ces données.
Lorsque des mesures conservatoires sont nécessaires, notamment pour prévenir la destruction de preuves relatives à l'alerte, l'information de cette personne intervient après l'adoption de ces mesures.
Cette information, qui est réalisée selon des modalités permettant de s'assurer de sa bonne délivrance à la personne concernée, précise notamment l'entité responsable du dispositif, les faits qui sont reprochés, les services éventuellement destinataires de l'alerte ainsi que les modalités d'exercice de ses droits d'accès et de rectification. Si elle n'en a pas bénéficié auparavant, la personne reçoit également une information conforme à l'article 8 de la présente décision.
 
Article 10
Respect des droits d'accès et de rectification
Conformément aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, le responsable du dispositif d'alerte garantit à toute personne identifiée dans le dispositif d'alerte professionnelle le droit d'accéder aux données la concernant et d'en demander, si elles sont inexactes, incomplètes, équivoques ou périmées, la rectification ou la suppression.
La personne qui fait l'objet d'une alerte ne peut en aucun cas obtenir communication du responsable du traitement, sur le fondement de son droit d'accès, des informations concernant l'identité de l'émetteur de l'alerte.
 
Article 11
Tout dispositif d'alerte professionnelle prévoyant la mise en œuvre de traitement de données à caractère personnel ne répondant pas aux dispositions précédentes doit faire l'objet d'une demande d'autorisation auprès de la Commission dans les formes prescrites par les articles 25-I 3° 25-I-4° et 30 de la loi du 6 janvier 1978 modifiée.
 
La présente délibération abroge et remplace la délibération n° 2005-305 du 8 décembre 2005 modifiée en dernier lieu le 30 janvier 2014 et sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
a Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté portant autorisation d'un traitement de données à caractère personnel relatif à l'instruction et au suivi des interdictions de sortie du territoire ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité intérieure, notamment ses articles L. 224-1 et R. 224-1 à R. 224-6 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-1 (1°) ;
Vu le décret n° 55-1397 du 22 octobre 1955 modifié instituant la carte nationale d'identité ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports ;
Vu le décret n° 2010-569 du 28 mai 2010 modifié relatif au fichier des personnes recherchées, notamment ses articles 2, 4 et 5 ;
Vu le décret n° 2016-1460 du 28 octobre 2016 autorisant la création d'un traitement de données à caractère personnel relatif aux passeports et aux cartes nationales d'identité ;
 
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis relative à un projet d'arrêté portant autorisation d'un traitement de données à caractère personnel relatif à l'instruction des propositions d'interdiction de sortie du territoire (IST) et au suivi des décisions d'IST, prévues aux articles L. 224-1 et R. 224-1 à R. 224-6 du code de la sécurité intérieure (CSI).
Ce traitement doit être autorisé par un arrêté pris après avis motivé et publié de la commission, conformément à l'article 26-1-1° de la loi du 6 janvier 1978 modifiée.
Sur les finalités du traitement :
Le traitement envisagé, qui doit être mis en œuvre par la direction des libertés publiques et des affaires juridiques du ministère de l'intérieur, a pour finalités, aux termes de l'article 1er du projet d'arrêté, de permettre l'instruction et le suivi des décisions d'IST prévues à l'article L. 224-1 du CSI.
Cet article, issu de la loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme, permet au ministre de l'intérieur d'adopter une mesure d'IST à l'encontre de tout Français lorsqu'il existe des raisons sérieuses de penser qu'il projette soit des déplacements à l'étranger ayant pour objet la participation à des activités terroristes, soit des déplacements à l'étranger sur un théâtre d'opérations de groupements terroristes dans des conditions susceptibles de le conduire à porter atteinte à la sécurité publique lors de son retour sur le territoire français.
La mesure d'IST ne peut être prononcée que pour une durée maximale de six mois, mais peut être renouvelée. Outre l'inscription dans le Fichier des personnes recherchées dont la mise en œuvre est autorisée par le décret n° 2010-569 susvisé, l'IST entraîne l'invalidation du passeport et de la carte nationale d'identité de l'intéressé, notamment dans la base de données TES, créée par le décret n° 2016-1460 du 28 octobre 2016 susvisé. Un récépissé valant justification de son identité est donc remis à la personne concernée par le préfet du département dans lequel se situe le domicile, la résidence ou la commune de rattachement de l'intéressé ou par le préfet de police.
Dans un contexte marqué par l'aggravation de la menace terrorisme, le recours à des mesures d'IST est de plus en plus fréquent.
Pour faire face à une telle évolution, le ministère souhaite disposer d'un outil facilitant la conservation et le suivi des données et informations relatives à la procédure d'IST, de la date de saisine par le service demandeur jusqu'au prononcé effectif de la mesure ainsi que des données relatives aux suites afférentes à la mesure, notamment la restitution des titres, la remise d'un récépissé ou l'inscription de l'intéressé dans d'autres fichiers.
La mise en œuvre d'un traitement automatisé doit en outre faciliter l'instruction et le suivi des décisions d'IST en autorisant plusieurs utilisateurs à consulter les données de manière simultanée et en permettant la création d'alertes pour mieux gérer les procédures, notamment pour leur renouvellement.
Enfin, le traitement projeté doit permettre de générer automatiquement des tableaux de bord, facilitant ainsi la réalisation de statistiques.
Dans ces conditions, la commission considère que les finalités poursuivies par le traitement envisagé sont déterminées, explicites et légitimes, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les données traitées et leur durée de conservation :
Plusieurs catégories de données ou informations seront enregistrées dans le traitement.
Seront d'abord enregistrées des données à caractère personnel relatives à la personne faisant l'objet de l'IST ou pour laquelle une telle mesure est envisagée, telles que les données d'état civil, la qualité de mineur ou majeure et, le cas échéant, la mention de son incarcération.
Seront également enregistrées des données relatives à l'instruction de la mesure d'IST et à la mise en œuvre de cette mesure, notamment la date de saisine par les services compétents d'une proposition d'IST, la date de signature d'une telle mesure et sa durée ou la mention des signalements informatiques effectués.
La commission considère que ces données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Elle prend acte, en outre, que le traitement ne fera l'objet d'aucune interconnexion ni d'aucune mise en relation.
Elle relève, en outre, que le projet d'arrêté fixe une durée de conservation des données différente selon que la procédure d'instruction ait abouti ou non à une décision d'IST.
En cas de décision d'IST, l'article 3 du projet d'arrêté prévoit une durée de conservation de trois ans à compter de la date de la décision. Une telle durée de conservation, compte tenu notamment de la nécessité de pouvoir disposer de l'historique des mesures précédemment adoptées en cas de nouvelle proposition d'IST, n'apparaît pas excessive à la commission au regard des finalités pour lesquelles les données sont collectées et traitées.
N'apparaît pas non plus excessive la durée de conservation d'un an à compter de la date de la proposition, prévue à l'article 3 du projet d'arrêté dans l'hypothèse où une telle proposition ne donnerait pas lieu à une décision d'IST.
La commission prend acte, par ailleurs, que malgré le renouvellement possible de la durée de conservation à chaque nouvelle mesure d'IST, la durée de conservation des données ne pourra excéder, en toute hypothèse, vingt ans.
Enfin, elle relève que le projet d'arrêté prévoit la conservation, au-delà des durées précitées, de certaines informations aux seules fins de suivi statistique des mesures d'IST, ce qui n'appelle pas d'observation de la part de la commission dans la mesure où seront supprimées les données nominatives relatives aux personnes faisant l'objet de la mesure, leur taille, leur adresse personnelle, leur signalement informatique et leur numéro de récépissé.
Sur les destinataires :
Le projet d'arrêté distingue les personnes ayant accès à tout ou partie des données à caractère personnel et informations mentionnées dans le traitement et les personnes pouvant être destinataires de données à caractère personnel dans le cadre de leurs attributions.
S'agissant des premiers, le projet d'arrêté mentionne les agents de la direction des libertés publiques et des affaires juridiques du ministère de l'intérieur. Dans la mesure où cet accès est réservé aux agents chargés de la procédure d'interdiction de sortie du territoire, individuellement désignés et habilités, il apparaît justifié au regard des finalités du traitement.
S'agissant des personnes pouvant être destinataires de données et informations contenues dans le traitement, le projet d'arrêté mentionne :
- les agents chargés de la mise en œuvre des décisions d'interdiction de sortie du territoire ou de la délivrance des cartes nationales d'identité et des passeports au sein des services déconcentrés du ministère de l'intérieur ;
- les agents chargés de la délivrance des cartes nationales d'identité et des passeports au sein du ministère des affaires étrangères ou du réseau consulaire ; les agents des services de la police nationale, de la gendarmerie nationale et des douanes chargés des missions de recherche et de contrôle de l'identité des personnes, de la validité et de l'authenticité des titres d'identité et de voyage ;
- les agents des services de la police nationale et les militaires des unités de la gendarmerie nationale chargés des missions de prévention et de répression des atteintes aux intérêts fondamentaux de la nation et des actes de terrorisme ;
- les agents du service spécialisé de renseignement mentionné à l' article R. 811-1 du code de la sécurité intérieure relevant du ministère de l'intérieur, pour les seuls besoins de la prévention des atteintes aux intérêts fondamentaux de la nation et des actes de terrorisme.
La communication d'informations à ces catégories de destinataires, qui ne pourra intervenir que dans le cadre de leurs attributions et dans la limite du besoin d'en connaître, n'appelle pas d'observation de la part de la commission.
Sur l'information et les droits des personnes concernées :
Le projet d'arrêté prévoit que l'obligation d'information prévue à l'article 32 de la loi du 6 janvier 1978 modifiée, de même que le droit d'opposition prévu à l'article 38 de la même loi ne s'appliquent pas au traitement, ce qui n'appelle pas d'observation de la part de la commission.
Il en va de même des dispositions prévoyant que le droit d'accès s'exerce de manière indirecte auprès de la Commission nationale de l'informatique et des libertés, dans les conditions prévues à l'article 41 de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions :
Concernant l'authentification des personnes habilitées à accéder au traitement, la commission rappelle, conformément aux recommandations formulées dans sa délibération n° 2017-012 du 19 janvier 2017, que le ministère est invité à mettre en place un mécanisme de restriction de l'accès au compte, qui doit prendre une ou plusieurs des formes suivantes :
- une temporisation d'accès au compte après plusieurs échecs, dont la durée augmente exponentiellement dans le temps, étant rappelé que la commission recommande que cette durée soit supérieure à 1 minute après 5 tentatives échouées et permette de réaliser au maximum 25 tentatives par 24 heures ; et/ou
- un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives (p. ex. : captcha ) ; et/ou
- un blocage du compte après un nombre d'authentifications échouées consécutives au plus égal à 10.
A défaut de mise en place d'un tel mécanisme de restriction de l'accès au compte, la taille des mots de passe des utilisateurs devra être portée à 12 caractères, et ceux-ci devront comprendre obligatoirement des majuscules, des minuscules, des chiffres et des caractères spéciaux.
Concernant les profils d'habilitation de l'application, la commission prend acte de l'existence de trois profils différents, adaptés aux missions des différents agents ayant à intervenir sur l'application.
Concernant le chiffrement des échanges de données entre le serveur et les postes clients, la commission prend acte du fait que les données seront chiffrées via le protocole TLS, utilisé dans les versions 1.1 et 1.2. La commission rappelle toutefois que l'ANSSI tolère l'utilisation de la version 1.1 de TLS uniquement avec prise en charge de TLS_FALLBACKSCSV.
Concernant les mesures de traçabilité des accès à l'application et aux données, la commission prend acte que l'ensemble des consultations et interventions dans la base seront tracées pendant une durée d'un an. La commission rappelle au ministère que ces traces doivent inclure l'identifiant de l'utilisateur à l'origine de l'opération ainsi que l'identifiant du dossier concerné par la consultation ou la modification.
La commission prend acte de la réalisation par le ministère d'une analyse de sécurité permettant de déterminer les objectifs de sécurité du traitement mis en œuvre, conformément au guide sécurité des systèmes d'information (GISSIP) de l'agence nationale de sécurité des systèmes d'information (ANSSI). La commission regrette toutefois que cette analyse ne prenne pas en compte les risques pour les personnes concernées par le traitement, et suggère que cet axe d'analyse soit intégré aux analyse de sécurité réalisées par le ministère.
La commission prend également acte de l'acceptation formelle des risques résiduels présentés par l'application par la commission d'homologation du ministère, conformément à la politique de sécurité des systèmes d'information de l'Etat et de la politique de sécurité des systèmes d'information du ministère de l'intérieur.
Les autres mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Vu le code monétaire et financier ;
Vu le code civil ;
Vu le code général des impôts ;
Vu le code pénal ;
Vu le code de la consommation ;
Vu le code de commerce ;
Vu le code des postes et des communications électroniques ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) n° 575/2013 du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement et modifiant le règlement n° 648/2012 ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-I (4° et 5°) et 25-II ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 20 février 2007 relatif aux exigences de fonds propres applicables aux établissements de crédit et aux entreprises d'investissement ;
Vu l'arrêté du 23 décembre 2013 relatif au régime prudentiel des sociétés de financement ;
Vu l'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement soumises au contrôle de l'Autorité de contrôle prudentiel et de résolution ;
Vu le règlement général de l'Autorité des marchés financiers ;
Vu la délibération n° 2016-005 du 14 janvier 2016 portant autorisation unique de traitements de données à caractère personnel mis en œuvre par les organismes publics et privés pour la préparation, l'exercice et le suivi de leurs contentieux ainsi que l'exécution des décisions rendues (AU-046) ;
 
Après avoir entendu M. Jean-Luc VIVET, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La lutte contre la fraude constitue, pour les organismes bancaires et financiers, intermédiaires et groupes, une priorité avec les principaux objectifs qui la sous-tendent en termes de protection des clients, de dissuasion et de maîtrise des risques.
La présente autorisation unique vise à couvrir les seuls traitements mis en œuvre par les organismes relevant du secteur bancaire et financier à des fins de détection et de qualification des anomalies et de gestion des opérations qualifiées de fraude externe au sens de l'article 324 du règlement (UE) n° 575/2013 du 26 juin 2013 concernant les exigences prudentielles applicables aux établissements de crédit et aux entreprises d'investissement. L'accès aux traitements de lutte contre la fraude est limité aux seules personnes spécifiquement habilitées et soumises à des obligations de déontologie et de confidentialité appropriées prenant part au processus du contrôle interne ou en charge de la gestion de la fraude.
Aux termes de l'arrêté du 3 novembre 2014 relatif au contrôle interne des entreprises du secteur de la banque, des services de paiement et des services d'investissement soumises au contrôle de l'Autorité de contrôle prudentiel et de résolution (ACPR), les établissements de crédit, les sociétés de financement, les entreprises d'investissement (autres que les sociétés de gestion de portefeuille), les établissements de paiement et les établissements de monnaie électronique ont l'obligation de se doter d'un dispositif de gouvernance solide, comprenant notamment un dispositif adéquat de contrôle interne.
Le contrôle interne comprend notamment des systèmes de surveillance et de maîtrise des risques. Le risque opérationnel en fait partie. Il s'agit des risques de pertes découlant d'une inadéquation ou d'une défaillance des processus, du personnel et des systèmes internes ou d'événements extérieurs, y compris le risque juridique. Le risque opérationnel inclut notamment les risques liés à des événements de faible probabilité d'occurrence mais à fort impact, les risques de fraude externe définis à l'article 324 du règlement (UE) n° 575/2013 susvisé, et les risques liés au modèle.
Outre l'obligation prévue à l'article L. 511-41-1-B du code monétaire et financier (CMF) pour les établissements de crédit et les sociétés de financement, les entités doivent mettre en place, au titre de l'article L. 511-41-1-B du CMF et de l'article 4 de l'arrêté du 3 novembre 2014, des dispositifs, stratégies et procédures, permettant de détecter, de mesurer et de gérer leurs risques opérationnels sur une base consolidée. Les dispositifs de lutte contre la fraude doivent être adaptés en fonction de leurs activités, de la nature, de l'échelle, de la complexité des risques inhérents à leur modèle d'entreprise et à leur organisation.