AgentPublic/cnil huggingface dataset:
L'article 1er du projet de décret, qui prévoit la création d'un  article R. 241-1 au sein du CSI, rappelle dans des termes identiques les  finalités de ces traitements de données personnelles. Or, la commission relève que le projet de décret semble également  prévoir l'utilisation des enregistrements dans le cadre de procédures  administratives ou disciplinaires. Cette possibilité est évoquée tant  dans les dispositions législatives précitées, s'agissant de la durée de  conservation des données, que dans les dispositions réglementaires  projetées, notamment en ce qui concerne les destinataires et les  personnes habilitées à accéder aux données et informations collectées. Si la commission ne voit pas d'objection à l'utilisation  d'enregistrements issus de tels dispositifs dans le cadre d'une  procédure administrative ou disciplinaire engagée à l'encontre d'un  agent à l'origine d'un incident au cours de l'exécution d'une mission de  sécurité publique, elle considère que le projet de décret devrait faire  expressément mention de cette finalité, conformément aux dispositions  de l'article 29 de la loi du 6 janvier 1978 modifiée. L'article L. 241-1 du CSI fait expressément apparaître l'utilisation  des enregistrements à des fins pédagogiques et de formation au titre  des finalités des dispositifs. Le projet de décret précise que les  enregistrements utilisés à cet effet sont anonymisés. A cet égard, la  commission rappelle que l'anonymisation implique d'empêcher toute
réidentification individuelle des agents concernés par les  enregistrements et qu'elle devra donc porter sur les éléments visuels et  sonores de ces enregistrements. En ce qui concerne le périmètre de mise en œuvre des dispositifs de  caméras individuelles, le projet de décret n'autorise expressément que  les caméras qui sont fournies aux agents de la police nationale et aux  militaires de la gendarmerie nationale au titre de l'équipement des  personnels, ce qui exclut le recours à tout autre dispositif permettant  la captation d'images, et notamment à des caméras personnelles. En revanche, il reste silencieux sur les situations dans lesquelles  les agents et militaires sont autorisés à activer ces caméras. Si  l'article L. 241-1 du CSI dispose que les caméras individuelles peuvent  être utilisées  lorsque se produit ou est susceptible de se produire un  incident, eu égard aux circonstances de l'intervention ou au  comportement des personnes concernées , la commission considère que le  ministère devrait définir plus précisément les conditions d'utilisation  de ces caméras afin d'éviter toute collecte disproportionnée de données à  caractère personnel. A cet égard, elle prend acte que le ministère entend élaborer une  doctrine d'emploi de ces caméras. Elle estime néanmoins que le projet de  décret d'application desdites dispositions doit comporter des  précisions à cet égard et doit en particulier prévoir des critères  objectifs commandant l'utilisation de ces dispositifs, à
défaut pour le  ministère de pouvoir dresser une liste exhaustive des circonstances de  nature à justifier le déclenchement de ces caméras. Concernant la possibilité de procéder à des enregistrements dans le  domicile de particuliers, la commission observe que le législateur a  autorisé la mise en œuvre des caméras mobiles  en tous lieux . Elle  considère néanmoins que le ministère devrait prévoir des règles  spécifiques lorsque celles-ci sont utilisées au sein de lieux  d'habitation, comme restreindre la possibilité de le faire à certaines  circonstances et garantir une information individuelle systématique de  la personne concernée, le cas échéant, à l'issue de l'intervention. Elle  demande que les critères de nature à définir ces circonstances soient  également indiqués dans le présent décret et estime que l'ensemble de  ces éléments pourraient être précisés dans la doctrine d'emploi  précitée. Sur la nature des données traitées : A titre liminaire, la commission relève que ces dispositifs offrent  la possibilité de capter des données sensibles ainsi que des  conversations privées. Ils appellent dès lors la mise en œuvre de  garanties strictes. L'article 1er du projet de décret énumère les catégories de données à  caractère personnel et informations enregistrées dans les traitements  mis en œuvre. Il s'agit des images et des sons captés par les caméras mobiles, du  jour et des plages horaires d'enregistrement, de l'identification de  l'agent porteur de la caméra lors de
l'enregistrement des données, ainsi  que du lieu où sont collectées les données. Si l'utilisation de dispositifs d'enregistrement sonore couplés avec  des dispositifs vidéo peut poser des difficultés au regard de  l'exigence de proportionnalité résultant de la loi du 6 janvier 1978  modifiée, la commission reconnaît la pertinence de recourir à de tels  dispositifs en l'espèce, compte tenu des finalités poursuivies. Les dispositifs projetés pourront, par la captation des images et  des enregistrements sonores, enregistrer de manière incidente des  données sensibles au sens de l'article 8 de la loi précitée, ce que le  projet de décret prévoit expressément. La commission prend acte que ce  dernier interdit de sélectionner dans le traitement une catégorie  particulière de personnes à partir de ces seules données. La commission considère que les données collectées sont adéquates,  pertinentes et non excessives au regard des finalités pour lesquelles  elles sont collectées, conformément aux dispositions de l'article 6-3°  de la loi  informatique et libertés . Sur la durée de conservation des données : Le projet de décret prévoit la création d'un article R. 241-4 au  sein du CSI, lequel dispose que les données sont  conservées pendant un  délai de six mois à compter du jour de leur enregistrement. Au terme de  ce délai, les enregistrements qui ne sont pas utilisés dans le cadre  d'une procédure judiciaire, administrative ou disciplinaire sont effacés  automatiquement.  A cet
égard, la commission relève qu'il a été tenu compte de ses  observations tendant à préciser le point de départ du délai de  conservation, que la durée de conservation est une durée fixe et non une  durée maximale et que les enregistrements font l'objet d'une purge  automatique. La durée de conservation de six mois, qui constitue une durée  supérieure aux durées retenues dans le cadre de la mise en œuvre des  dispositifs de vidéoprotection (article L. 252-5 du CSI) et de la  plupart des dispositifs de vidéosurveillance doit permettre de tenir  compte des délais moyens de traitement des procédures judiciaire,  administrative ou disciplinaire. Sous réserve que cette dernière finalité soit expressément  mentionnée dans le projet de décret, la commission considère que les  données collectées sont conservées pendant une durée qui n'excède pas la  durée nécessaire aux finalités pour lesquelles elles sont collectées et  traitées, conformément à l'article 6-5° de la loi précitée. Sur les destinataires des données : L'article L. 241-1 CSI prévoit expressément que les personnels  auxquels les caméras individuelles sont fournies ne peuvent avoir accès  directement aux enregistrements auxquels ils procèdent, ce qui constitue  une garantie essentielle. A cet égard, l'article 1er du projet de décret précise que les  enregistrements sont transférés sur un support informatique sécurisé dès  le retour des agents de la police nationale ou des militaires de la  gendarmerie nationale. Il prévoit
que les enregistrements ne doivent  être consultés qu'à l'issue de l'intervention et après leur transfert  sur le support informatique sécurisé. Néanmoins, la commission estime que cette interdiction de principe  doit être accompagnée de mesures techniques de nature à garantir cette  absence de consultation par les agents et militaires des enregistrements  à l'issue de l'intervention. En outre, il pourrait être envisagé des  mesures opérationnelles garantissant que les enregistrements, une fois  transférés sur un serveur dédié, ne soient visionnés que dans un cadre  légal précis (procédure judiciaire, disciplinaire ou administrative  ouverte). L'article 1er du projet de décret énumère les personnels qui ont un  accès direct aux données et informations enregistrées au moyen de  caméras individuelles, ainsi que les catégories de destinataires de ces  données. Ainsi, sont habilités à accéder aux données, dans la limite de leurs  attributions respectives, le chef du service ou le commandant de  l'unité, d'une part, et les agents ou militaires individuellement  désignés et habilités par le chef du service ou le commandant de  l'unité, d'autre part. Seules ces mêmes personnes sont habilitées à  procéder à des extractions de données, dans un cadre légal précis  (procédure judiciaire, disciplinaire ou administrative ouverte) ou pour  les besoins d'une action de formation ou de pédagogie des agents. Peuvent être destinataires de tout ou partie des données  enregistrées dans le
traitement les enquêteurs intervenant dans le cadre  d'une procédure judiciaire, administrative ou disciplinaire, ainsi que  les agents et militaires chargés de la formation des personnels, chacun  dans la limite de leurs attributions respectives et sous réserve du  besoin d'en connaître. La commission relève que le projet de décret ne fait pas mention de  l'hypothèse dans laquelle l'exploitation des vidéos donnerait lieu à la  constatation d'une infraction autre que celle pour laquelle il procède à  des investigations. Néanmoins, elle rappelle à cet égard que les  données collectées ne doivent pas être traitées ultérieurement de  manière incompatible avec les finalités poursuivies par les traitements  projetés, conformément à l'article 6-2° de la loi du 6 janvier 1978  modifiée. La liste des personnes habilitées et destinataires n'appelle pas d'observation de la part de la commission. Sur les droits des personnes concernées : S'agissant de l'information des personnes concernées, l'article L.  241-1 du CSI prévoit que les caméras sont portées de façon apparente par  les agents et militaires et qu'un signal visuel spécifique indique si  la caméra enregistre. Il prévoit également que le déclenchement de  l'enregistrement fait l'objet d'une information des personnes filmées,   sauf si les circonstances l'interdisent . A cet égard, le ministère  avait indiqué lors de précédents échanges qu'une délivrance systématique  était en pratique difficilement envisageable au regard des
conditions  dans lesquelles se déroulent certaines interventions. Cependant, la commission demande que le ministère limite  expressément les hypothèses dans lesquelles l'enregistrement est réalisé  à l'insu de la personne concernée aux seuls cas strictement  nécessaires. Elle considère que le décret devrait comporter des critères  en ce sens, ainsi que des dispositions spécifiques concernant  l'information des particuliers dont le domicile est filmé, qui  pourraient être ensuite précisés dans la doctrine d'emploi élaborée par  le ministère de l'intérieur. L'article susmentionné prévoit également une information générale du  public sur l'emploi des caméras individuelles, organisée par le  ministre de l'intérieur. Le projet de décret précise que cette  information est délivrée sur les sites internet de la direction générale  de la police nationale et de la direction générale de la gendarmerie  nationale. Dans la mesure où des services rattachés à la préfecture de  police sont également susceptibles d'utiliser des caméras individuelles,  la commission estime que le projet de décret devrait également prévoir  la délivrance de cette information sur le site internet de celle-ci. En  outre, cette information pourrait également être dispensée sur le site  du ministère de l'intérieur. S'agissant du droit d'opposition des personnes filmées, le ministère  entend l'exclure, conformément aux dispositions du dernier alinéa de  l'article 38 de la loi du 6 janvier 1978 modifiée, ce qui
n'appelle pas  d'observation particulière de la part de la commission. En ce qui concerne le droit d'accès aux données, le ministère  considère qu'il y a lieu d'appliquer le régime juridique prévu aux  articles 41 et 42 de la loi du 6 janvier 1978 modifiée (droit d'accès  indirect). Il a en effet indiqué que la mise en œuvre d'un droit d'accès  direct poserait des difficultés techniques au regard du respect du  droit des tiers, car les services gestionnaires du traitement ne  disposent pas des outils techniques nécessaires à l'anonymisation  partielle des enregistrements, rendant ainsi chronophages pour ces  services ces opérations d'anonymisation. A cet égard, la commission estime que les éléments avancés par le  ministère ne sont pas de nature à fonder la mise en place d'un droit  d'accès indirect, lequel n'apparaît en outre pas nécessaire au regard  des finalités du traitement, puisqu'il a en principe pour fondement le  caractère non communicable des informations concernées. En outre, elle souligne que, au vu de la durée de conservation des  données (six mois sauf engagement d'une procédure judiciaire,  administrative ou disciplinaire) et du caractère non centralisé de ces  traitements, l'effectivité réelle du droit d'accès aux données ne  pourrait être garantie pour toutes les personnes susceptibles d'être  concernées par les traitements en cause (personnes filmées, personnes  tierces à l'intervention mais susceptibles d'apparaître dans les  enregistrements et agents
publics). Enfin, elle considère qu'une telle modalité d'accès aux données va à  l'encontre de l'esprit de l'article L. 241-1 du CSI, qui a pour objet  de renforcer les liens de la population avec des forces de l'ordre en  s'assurant notamment du respect par ces dernières des règles de  déontologie qui leur incombent dans le cadre de leurs missions. Dans ce  contexte, cette modalité n'est pas de nature à faciliter l'accès aux  données enregistrées dans les traitements projetés, ce qui semble  pourtant un préalable à tout déclenchement de procédure afin d'en  apprécier l'opportunité. La commission estime dès lors qu'un droit d'accès direct devrait  être prévu et que le projet de décret devrait ainsi prévoir  l'application des dispositions de droit commun prévues aux articles 39  et 40 de cette même loi, conformément à la rédaction retenue dans  d'autres actes réglementaires autorisant la mise en œuvre de traitements  relatifs à la vidéo. Sur la sécurité des données et la traçabilité des actions : Le projet de décret prévoit que chaque opération de consultation et  d'extraction de données fait l'objet d'un enregistrement dans le  traitement ou, à défaut, d'une consignation dans un registre  spécialement ouvert à cet effet qui comporte les matricule, nom, prénom  et grade de l'agent ou du militaire procédant à l'opération, la date et  l'heure de l'opération, ainsi que le motif judiciaire, administratif,  disciplinaire ou pédagogique, le service ou l'unité destinataire des
données et l'identification des enregistrements audiovisuels extraits et  de la caméras dont ils sont issues. Ces données et informations sont  conservées trois ans. En revanche, le ministère de l'intérieur n'a fourni ni étude de  risques globale ni politique de sécurité encadrant les traitements,  contrairement à ce que la commission avait pu recommander. En l'absence  de précisions concernant les mesures de sécurité envisagées, la  commission n'est dès lors pas en mesure de s'assurer du respect des  dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée, alors  même que certaines des garanties essentielles évoquées ci-dessus  reposent sur la mise en œuvre de mesures de sécurité. C'est pourquoi elle demande que le projet de décret soit complété de  certaines mesures élémentaires de sécurité applicables à l'ensemble des  traitements concernés. Il pourrait également être prévu que le décret  renvoie à un référentiel de sécurité pris par arrêté après avis de la  CNIL. En tout état de cause, et sans que cela soit limitatif, les  mesures de sécurité suivantes devraient être prévues par le pouvoir  réglementaire et mises en œuvre et réévaluées régulièrement :
La Commission nationale de 1'informatique et des libertés, Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret modifiant le  décret n° 2014-1162 du 9 octobre 2014 relatif à la création de la  plate­ forme nationale des interceptions judiciaires  ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  code de procédure pénale, notamment ses articles 230-45, R. 40-42 à R. 40-56 ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 30 ; Vu la  loi n° 2016-731 du 3 juin 2016  renforçant la lutte contre le crime organisé, le terrorisme et leur  financement, et améliorant l'efficacité et les garanties de la procédure  pénale, notamment son article 88 ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2007-115 du 30 juillet 2007 modifié portant création  d'un traitement automatisé de données à caractère personnel dénommé   Système de transmission d'interceptions judiciaires  ; Vu la
délibération n° 2015-358 du 15 octobre 2015 portant avis sur un projet de décret en Conseil d'Etat modifiant le  décret n° 2014-1162 du 9 octobre 2014  portant création d un traitement automatisé de données à caractère  personnel dénommé  Plate-forme nationale des interceptions judiciaires   ; Après avoir entendu M. Gaëtan GORCE, commissaire, en son rapport, et  Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations, Emet l'avis suivant : La Commission a été saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret modifiant le  décret n° 2014-1162 du 9 octobre 2014  portant création d'un traitement automatisé de données à caractère  personnel dénommé  Plate-forme nationale des interceptions judiciaires   (PNIJ), pris après avis de la Commission en date du 16 janvier 2014. L'article 1er dudit décret, relatif aux modalités de mise en œuvre du traitement PNIJ, a été codifié aux  articles R. 40-42 à R. 40-56 du code de procédure pénale  (CPP). L'article 4 du même décret prévoit l'abrogation du décret du 30  juillet 2007 susvisé relatif au  Système de transmission  d'interceptions judiciaires  (STIJ), auquel la PNIJ a vocation à  succéder. Il était initialement prévu que le STIJ soit supprimé six mois après  la mise en œuvre de la plate-forme nationale des interceptions  judiciaires, constatée par arrêté du garde des sceaux, ministre de la  justice, et au plus tard le 31 décembre 2015. Au cours de l'année 2015, le ministère a
souhaité reporter la date  de suppression du STI.J, en raison de la complexité du déploiement de la  PNIJ, au 31 décembre 2016. La Commission s'était prononcée sur cette  modification dans son avis susvisé en date du 15 octobre 2015. Le présent projet de décret vise à reporter une nouvelle fois la  date de suppression de ce traitement. Il prévoit ainsi que le décret du  30 juillet 2007 précité devra être abrogé au plus tard le 31 décembre  2017. En application des dispositions des articles 26-II et 30 de la loi  du 6 janvier 1978 modifiée, cette modification doit faire l'objet d'un  décret en Conseil d'Etat pris après avis motivé et publié de la  Commission. Le présent projet de décret appelle dans ce cadre les  observations suivantes. Le ministère a indiqué que le déploiement des interceptions a posé  des difficultés techniques, notamment en raison du nombre très important  d'interceptions effectuées de manière simultanée. La Commission prend dès lors acte de la nécessité, au regard des  dysfonctionnements de la PNIJ, de décaler le calendrier de sa montée en  charge en matière d'interception et estime que cette modification ne  soulève pas de difficulté particulière. En revanche, elle estime que la suppression du STIJ devra  s'accompagner de l'effacement de l'ensemble des données qui y sont  enregistrées et, concernant les données provenant dudit traitement et  qui ont vocation à être transférées sur les postes de travail des  enquêteurs, de la mise en œuvre de mesures
permettant de garantir  qu'elles sont traitées conformément aux dispositions des articles R.  40-42 à R. 40-56 du CPP. La Commission rappelle que ces observations avaient déjà été  formulées dans son avis en date du 15 octobre 2015 précité et relève  qu'elle n'a pas été tenue informée, comme elle le demandait, des mesures  prises ou envisagées par les ministères de l'intérieur et de la  justice, ni en 2015 ni dans le cadre de la présente saisine. A cet  égard, elle prend acte que, à sa demande, ces éléments lui seront  communiqués au plus tard dans le cadre de la saisine à venir concernant  les modifications des dispositions réglementaires du CPP relatives à la  PNIJ suite à l'adoption de la loi du 3 juin susvisée. Ladite loi a en effet modifié le cadre réglementant la PNIJ à  plusieurs égards, en introduisant un nouvel article 230-45 au CPP qui  entrera en vigueur le 1er janvier 2017. Le deuxième alinéa de l'article 230-45 du CPP prévoit ainsi que  l'ensemble des  réquisitions et demandes  adressées à des fins  d'obtention des données de connexions, de géolocalisation ou des  interceptions devront désormais,  sauf impossibilité technique ,  obligatoirement être formulées par l'intermédiaire de la PNIJ, qui en  organisera la centralisation et l'exécution. Le placement sous scellé  des données relatives aux interceptions judiciaires et aux mesures de  géolocalisation en temps réel, ainsi que l'établissement d'un  procès-verbal de destruction des enregistrements de ces
données, sont en  outre exclus. Enfin, l'article 230-45 du CPP prévoit que des données de  connexion, des interceptions ou des données de géolocalisation  recueillies dans de nouveaux cadres devront être traitées par  l'intermédiaire de la PNIJ. La Commission relève qu'un décret, pris après son avis motivé et  publié, devra modifier les articles R. 40-42 et suivants du même code  pour la bonne application de ces nouvelles dispositions. Elle considère que ces dispositions devront notamment permettre de  s'assurer de l'étanchéité des données collectées dans des cadres  différents et préciser les modalités d'accès des agents de  l'administration pénitentiaire à la PNIJ ainsi que les mesures de  sécurité entourant le traitement des données en cas d'indisponibilité  technique de la plate-forme. Enfin, le ministère s'était engagé à communiquer à la Commission le  rapport annuel établi par la personnalité qualifiée en charge du  contrôle de la PNIJ prévu à l'articleR. 40-53 du CPP, ce dont elle avait  pris acte dans son avis en date du 15 octobre 2015 précité. A cet  égard, le ministère a indiqué que ce rapport sera rendu au garde des  sceaux au début de l'année 2017, soit un an après le début effectif de  la mission de contrôle de la personnalité qualifiée et qu'il sera  communiqué à la Commission, ce dont elle prend acte.