AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 30 novembre 2011 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé pré-plainte en ligne ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal, notamment ses articles 225-1 et suivants ;
Vu le code de procédure pénale, notamment son article 15-3 ;
Vu la loi du 29 juillet 1881 modifiée sur la liberté de la presse, notamment ses articles 24, 32 et 33 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment le I et le II de son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-110 du 27 janvier 2011 autorisant la création d'un traitement automatisé de données à caractère personnel dénommé Logiciel de rédaction des procédures de la police nationale (LRPPN) ;
Vu le décret n° 2011-111 du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l'intérieur (direction générale de la gendarmerie nationale) d'un traitement automatisé de données à caractère personnel d'aide à la rédaction des procédures (LRPGN) ;
Vu l'arrêté du 30 novembre 2011 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé pré-plainte en ligne ;
Vu la délibération n° 2011-333 du 25 octobre 2011 portant avis sur un projet d'arrêté portant autorisation d'un traitement automatisé de données à caractère personnel dénommé pré-plainte en ligne ;
 
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis relative à un projet d'arrêté modifiant l'arrêté du 30 novembre 2011 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé pré-plainte en ligne (PPEL).
Ce traitement, qui est qualifié de téléservice par l'article 1er de l'arrêté du 30 novembre 2011 précité, permet à la victime ou à son représentant légal, d'une part, d'effectuer une déclaration en ligne pour des faits constitutifs d'atteintes aux biens contre auteur inconnu et, d'autre part, d'obtenir un rendez-vous auprès d'un service de la police nationale ou d'une unité de la gendarmerie nationale de son choix pour déposer et signer sa plainte.
L'arrêté du 30 novembre 2011 précité a été pris sur le fondement de l'article 26-l-2° de la loi du 6 janvier 1978 modifiée. après l'avis de la CNIL susvisé en date du 25 octobre 2011. C'est sur ce même fondement que la commission est aujourd'hui saisie d'un projet d'arrêté visant à modifier certaines des conditions de mise en œuvre de ce traitement.
Sur l'extension de la liste des faits susceptibles de faire l'objet d'une déclaration en ligne :
Le traitement PPEL, mis en œuvre par le directeur de la police nationale, le directeur général de la gendarmerie nationale et le préfet de police, permet actuellement à des victimes ou leur représentant de déclarer en ligne des faits constitutifs d'atteintes aux biens et de prendre rendez-vous dans un service de la police nationale ou d'une unité de la gendarmerie pour procéder au dépôt formel d'une plainte.
L'objet du projet soumis à la commission est tout d'abord de compléter la liste des faits susceptibles de faire l'objet d'une déclaration en ligne par le biais de ce téléservice. En effet, il est prévu de redéfinir les finalités du traitement pour étendre, à titre expérimental, la possibilité d'utiliser le téléservice pour déclarer des faits constitutifs des infractions suivantes :
- délits de provocation à la discrimination, à la haine ou à la violence à l'égard d'une personne à raison de son origine ou de son appartenance ou de sa non-appartenance à une ethnie, une nation, une race ou une religion ou à raison de son sexe, de son orientation sexuelle, de son identité de genre ou de son handicap, prévus par l'article 24 de la loi du 29 juillet 1881 sur la liberté de la presse ;
- délits de diffamation ou d'injure à l'égard d'une personne à raison de son origine ou de son appartenance ou de sa non-appartenance à une ethnie, une nation, une race, une religion ou à raison de son sexe, de son orientation sexuelle, de son identité de genre ou de son handicap, prévus aux articles 32 et 33 de la loi du 29 juillet 1881sur la liberté de la presse ;
- discriminations dont la sanction est prévue par les articles 225-1 et suivants du code pénal.
Cette extension doit faciliter les démarches des victimes de telles infractions, mais également l'établissement formalisé du procès-verbal de plainte lors de la réception de l'usager au commissariat de police ou à la brigade de gendarmerie, puisque les données déclarées par le biais du téléservice sont transmises aux logiciels de rédaction des procédures de la police nationale (LRPPN) et de la gendarmerie nationale (LRPGN), autorisés par les décrets du 27 janvier 2011 susvisés.
La commission prend acte, en outre, que l'expérimentation envisagée, d'une durée de six mois, doit être suivie d'une évaluation et de l'élaboration d'un rapport communiqué à la commission.
Dans ces conditions, la commission considère que l'expérimentation d'un dispositif de pré-plainte en ligne pour les infractions précitées poursuit des finalités déterminées, explicites et légitimes, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
La commission relève toutefois que l'évolution envisagée des conditions de mise en œuvre du téléservice suppose que les victimes décrivent notamment, dans un champ libre et de la manière la plus précise possible, des faits constitutifs d'infractions liées à leur origine, leur appartenance à une ethnie ou une supposée race, leur religion, leur orientation sexuelle, ou encore leur handicap. Une telle description peut impliquer, pour le responsable de traitement, la collecte de données sensibles mentionnées au I de l'article 8 de la loi du 6 janvier 1978 modifiée. Ces données seront, en outre, relatives à des personnes identifiées, à savoir les usagers du téléservice.
Le ministère de l'intérieur fait valoir que le traitement comporterait de telles données sans porter sur ces mêmes données au sens de l'article 26-II de la loi du 6 janvier 1978 modifiée, dans la mesure où le traitement n'a vocation qu'à assurer la transmission d'informations aux services compétents de la police et de la gendarmerie nationales.
La commission souligne toutefois qu'une telle interprétation n'est pas compatible avec la définition large retenue par la loi elle-même pour la notion de traitement. En effet, aux termes du troisième alinéa de l'article 2 de la loi du 6 janvier 1978 modifiée, constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé , ce qui couvre notamment les opérations de communication par transmission . La loi du 6 janvier 1978 modifiée ne soumet à aucun régime spécifique les traitements qui auraient pour unique objet la transmission de données à caractère personnel qui peuvent, par eux-mêmes, soulever des enjeux substantiels du point de vue de la protection des données. Au regard de l'ensemble de ces éléments, la mise en œuvre d'un dispositif de pré-plainte en ligne portant notamment sur des faits discriminatoires doit être autorisé par un décret en Conseil d'Etat, conformément aux dispositions de l'article 26-II de la loi du 6 janvier 1978 modifiée.
De manière plus subsidiaire, la commission relève que l'expérimentation envisagée par le ministère doit conduire à une modification de la page du formulaire de pré-plainte en ligne relative à la description des faits en offrant aux usagers uniquement un choix entre deux options, atteinte aux biens ou fait discriminatoire , alors qu'une partie des faits auxquels le téléservice doit être étendu à titre expérimental n'entre pas dans la catégorie juridique des discriminations. Dans la mesure où le choix entre les deux options, qui conditionnera l'accès à la suite du formulaire, sera obligatoire pour les usagers et pour prévenir toute confusion sur la qualification des faits susceptible d'être effectivement retenue par la suite, la commission recommande, soit de substituer à l'expression fait discriminatoire une expression plus générique, soit de compléter les choix proposés.
Sur la mise en œuvre de la communication électronique :
Le projet d'arrêté soumis à la commission prévoit également de modifier l'article 1er de l'arrêté du 30 novembre 2011 pour permettre la mise en œuvre de la communication électronique en matière pénale prévue par l'article 803-1 du CPP et faciliter ainsi la communication entre les autorités judiciaires et les justiciables. Le II de l'article 803-1 du CPP prévoit en effet que lorsque des avis, convocations ou documents sont adressés à une personne par l'autorité judiciaire par tout moyen, par lettre simple, par lettre recommandée ou par lettre recommandée avec demande d'avis de réception, l'envoi peut être effectué par voie électronique .
Le projet d'arrêté prévoit dès lors de compléter les finalités du traitement pour prévoir que le téléservice peut être utilisé par la victime pour être informée par les autorités compétentes des suites réservées à sa plainte .
Une telle modification, qui doit contribuer à la simplification et à la modernisation des modes d'information des justiciables, apparaît légitime à la commission.
Elle rappelle toutefois que des envois ne peuvent être réalisés par voie électronique en application de l'article 803-1 du CPP qu' à la condition que la personne y ait préalablement consenti par une déclaration expresse recueillie au cours de la procédure , étant précisé que cet accord précise le mode de communication électronique accepté par la personne , à savoir l'envoi de messages écrits au numéro de téléphone indiqué ou l'envoi de courriels à une adresse de messagerie électronique. La commission relève qu'une telle procédure n'implique pas la collecte de nouvelles catégories de données, le numéro de téléphone mobile et l'adresse de électronique des usagers étant déjà mentionnés par l'annexe à l'arrêté du 30 novembre 2011, mais invite néanmoins le ministère à adopter l'ensemble des mesures requises pour que soit systématiquement recueilli, conformément aux exigences de l'article 803-1 du CPP, le consentement de la personne concernée.
Sur la clarification des durées de conservation des données :
Le projet d'arrêté soumis à la commission a en outre pour objet de définir plus précisément la durée de conservation des données enregistrées dans le traitement. La rédaction actuelle de l'article 4 de l'arrêté du 30 novembre 2011 ne couvre en effet que deux hypothèses, celle dans laquelle la victime a signé sa plainte, auquel cas les informations sont supprimées dès cette signature, et celle dans laquelle la victime ne se rend pas au rendez-vous fixé, les données étant alors effacées trente jours après la réception de la déclaration. Ainsi, l'article 4 précité ne couvre pas les hypothèses dans lesquelles la victime s'est rendue à son rendez-vous mais n'a pas signé sa plainte, ce qui peut être le cas si les faits ne sont pas pénalement caractérisés, s'ils sont requalifiés en une infraction n'entrant pas dans le champ de la pré-plainte en ligne ou encore si les faits donnent lieu à une main courante. Pour que l'arrêté du 30 novembre 2011 définisse également la durée de conservation devant être respectée dans de telles hypothèses, le projet d'arrêté prévoit de modifier la rédaction de son article 4 en indiquant, de manière générale, que lorsque la victime n'a pas signé sa plainte, les données à caractère personnel sont effacées trente jours après la réception de la déclaration.
Une telle clarification apparaît opportune à la commission, qui estime en outre que la durée de conservation de trente jours n'excède pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément à l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Les autres modifications envisagées de l'arrêté du 30 novembre 2011 et tendant, d'une part, à prévoir la collecte d'une nouvelle catégorie de données relatives à la prise de connaissance par le déclarant des conditions générales d'utilisation du site internet et, d'autre part, à ajouter les commandants de gendarmerie dans les départements, collectivités et territoires d'outre-mer et en Nouvelle-Calédonie parmi les autorités pouvant habiliter des personnes à accéder au traitement, n'appellent pas d'observations de la part de la commission.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 11 avril 2013 portant création d'un traitement de données à caractère personnel dénommé SETRADER ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces donnée ;
Vu la directive 2004/82/CE du Conseil du 29 avril concernant l'obligation pour les transporteurs de communiquer les données relatives aux passagers ;
Vu le code de la sécurité intérieure, notamment ses articles L. 231-1 à L. 232-6 ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile ;
Vu le code de procédure pénale, notamment son article 28-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26.1 ;
Vu la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2014-445 du 30 avril 2014 relatif aux missions et à l'organisation de la direction générale de la sécurité intérieure ;
Vu le décret n° 2013-728 du 12 août 2013 portant organisation de l'administration centrale du ministère de l'intérieur et du ministère des outre-mer ;
Vu l'arrêté du 11 avril 2013 portant autorisation du traitement automatisé de données à caractère personnel dénommé SETRADER ;
Vu la délibération n° 2013-016 du 17 janvier 2013 portant avis sur un projet d'arrêté relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé SETRADER ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 11 avril 2013 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Système européen de traitement des données d'enregistrement et de réservation (SETRADER) .
Les articles L. 232-1 à L. 232-6 du code de la sécurité intérieure (CSI) prévoient la mise en œuvre de traitements automatisés de données à caractère personnel recueillies à l'occasion des déplacements internationaux, lesquels sont soumis aux dispositions de la loi du 6 janvier 1978 modifiée. Le traitement SETRADER intéresse la sûreté de l'Etat et la sécurité publique et a également pour objet la prévention, la recherche et la constatation d'infractions pénales. Il relève dès lors des dispositions de l'article 26-I de la loi du 6 du janvier 1978 modifiée et a ainsi été autorisé par l'arrêté du 11 avril 2013 susvisé, pris après l'avis de la commission en date du 17 janvier 2013. Les modifications apportées audit arrêté nécessitent un avis motivé et publié de la commission.
Rappel sur le traitement SETRADER et présentation des modifications envisagées :
Le traitement SETRADER est mis en œuvre par la direction centrale de la police aux frontières. Il doit permettre l'amélioration du contrôle aux frontières, la prévention et la répression de l'immigration clandestine, d'une part, et la prévention et la répression du terrorisme, d'autre part. Ce traitement doit permettre de disposer d'un outil de traitement des données dites API ( Advance Passenger Information ), soit les données d'enregistrement et d'embarquement des passagers aériens prévues dans la directive 2004/82/CE susvisée.
L'article 1er du projet d'arrêté vise uniquement à tenir compte de la modification de l'article L. 232-3 du code de sécurité intérieure résultant de la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale. Au terme de cette modification, le traitement SETRADER peut également être mis en œuvre à des fins de prévention et de répression des atteintes aux intérêts fondamentaux de la Nation. La commission considère que cette modification n'appelle pas d'observation particulière.
L'article 2 du projet d'arrêté prévoit une modification plus substantielle quant aux durées de consultation des données contenues dans le traitement SETRADER.
L'article 3 du projet d'arrêté prévoit une modification des destinataires des données contenues dans le traitement SETRADER.
Sur l'allongement des durées de consultation des données enregistrées dans le traitement :
Au préalable, la commission rappelle que les données contenues dans le traitement SETRADER sont conservées cinq ans à compter de leur inscription, conformément à l'alinéa 1 de l'article 4 de l'arrêté du 11 avril 2013 susvisé. Ce même article prévoit néanmoins que dans le cadre de la prévention et de la répression de l'immigration clandestine et du contrôle aux frontières, les données contenues dans le traitement SETRADER ne peuvent être consultées que dans les vingt-quatre heures qui suivent leur transmission, conformément aux dispositions de la directive 2004/82/CE précitée.
L'article 2 du projet d'arrêté vise à permettre la consultation de ces données, à compter de leur transmission, pendant des durées modifiées : douze jours dans le cadre du contrôle aux frontières extérieures et six mois en matière de prévention et de répression de l'immigration clandestine.
En matière de contrôle aux frontières :
L'article 2 du projet d'arrêté prévoit une durée de consultation de douze jours des données API dans le cadre du contrôle aux frontières.
Le ministère a indiqué que ce délai de douze jours correspondait à la première période de maintien en zone d'attente de quatre jours augmentée de la durée de huit jours pouvant être prononcée par le juge des libertés et de la détention prévue par le code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA).
La commission relève que les dispositions de la directive précitée prévoient que les autorités concernées effacent les données dans les vingt-quatre heures qui suivent la transmission. Des dérogations sont néanmoins prévues lorsque ces données sont nécessaires ultérieurement pour permettre aux autorités chargées d'effectuer les contrôles sur les personnes aux frontières extérieures d'exercer leurs pouvoirs réglementaires conformément au droit national .
Il résulte de ce qui précède que, par principe, la durée de consultation des données enregistrées dans le traitement SETRADER par les autorités chargées du contrôle aux frontières extérieures est limitée à vingt-quatre heures. Or, l'article 2 du projet d'arrêté prévoit que dans le cadre du contrôle aux frontières extérieures, ces données peuvent être consultées pendant une durée de douze jours à compter de leur transmission .
Dès lors la commission estime que la rédaction projetée devrait être modifiée et faire expressément apparaître le principe d'une durée de consultation de vingt-quatre heures dans ce cadre, qui peut néanmoins, par exception, être portée à douze jours lorsque les circonstances de l'espèce le justifient.
La commission rappelle en outre que les dérogations dont il est question, d'interprétation stricte, doivent être conformes aux dispositions en matière de protection des données à caractère personnel, comme le prévoit expressément la directive 2004/82/CE.
Enfin, la commission considère que la consultation au-delà du délai de vingt-quatre heures doit être limitée aux seuls cas de stricte nécessité (notamment vols retardés, présentation à l'entrée du territoire après un certain délai, maintien en zone d'attente, usage de billets découplés) et ne doit porter que sur les seules données des personnes concernées par un de ces cas, et non sur les données relatives aux personnes ayant fait l'objet d'un contrôle aux frontières dans des conditions classiques.
Sous réserve que le projet d'arrêté soit modifié sur ces points, la commission estime qu'une durée de consultation maximale de douze jours est proportionnée et conforme aux dispositions de la directive 2004/82/CE.
En matière de prévention et de répression de l'immigration clandestine :
S'agissant de la consultation des données dans le cadre de la prévention et de la répression de l'immigration clandestine, le ministère a indiqué qu'un délai de consultation des données pendant six mois permettrait aux enquêteurs de les exploiter plus efficacement.
La commission relève, s'agissant plus précisément de la répression de l'immigration clandestine, que le traitement SETRADER devrait permettre aux services d'enquête de rechercher des liens entre des voyageurs et, par exemple d'établir qu'un ressortissant étranger et la personne qui favorise l'immigration clandestine ( le passeur ) ont voyagé sous le même numéro de réservation. Ces investigations peuvent durer plusieurs mois afin de prouver le caractère récurrent de l'activité du passeur .
La commission estime dès lors qu'un allongement de la durée de consultation à six mois n'excède pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées.
La commission rappelle néanmoins, afin de prévenir toute utilisation abusive, que cette dérogation ne saurait justifier un accès général, permanent et indifférencié à l'ensemble des données contenues dans le traitement SETRADER. Elle appelle dès lors l'attention du ministère sur la nécessité de s'assurer du respect effectif du besoin d'en connaître. Ainsi, la possibilité de consulter, dans ce cadre, ces données pendant une durée de six mois, à compter de leur transmission, ne doit intervenir qu'en cas de besoin dument justifié par les agents compétents en la matière, ce qui exclut nécessairement les agents chargés du seul contrôle aux frontières, et ne doit porter que sur les seules données pertinentes au regard des finalités spécifiques poursuivies.
Sur les destinataires :