AgentPublic/cnil huggingface dataset:
Dans la mesure où le traitement THESEE est mis en œuvre à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière, la Commission considère que le traitement relève du champ d'application de la directive (UE) 2016/680 du 27 avril 2016 susvisée et doit être examiné au regard des dispositions des articles 87 et suivants de la loi du 6 janvier 1978 modifiée. Elle observe toutefois que ce traitement devra permettre la réalisation de statistiques relatives aux e-escroqueries en ligne, afin d'orienter la stratégie de lutte contre ces infractions. Dans ce contexte, la Commission rappelle d'emblée qu'il reviendra au service statistique ministériel de la sécurité intérieure (SSMSI), en sa qualité de responsable de traitement dans ce cadre, de s'assurer de la conformité à la réglementation applicable de ses opérations de traitement de données.
Dans la mesure où le traitement projeté est susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques, le ministère de l'intérieur a réalisé une analyse d'impact relative à la protection des données à caractère personnel (AIPD), laquelle a été adressée à la Commission avec la demande d'avis conformément à l'article 90 de la loi 6 janvier 1978 modifiée.
Sur les conditions générales de mise en œuvre du dispositif et les finalités du traitement :
La Commission relève tout d'abord que le traitement THESEE a pour finalité de permettre à une victime d'effectuer une plainte ou un signalement uniquement depuis un téléservice mis à sa disposition sur le site web service-public.fr pour des faits commis sur internet et relevant du champ infractionnel de l'escroquerie, du chantage ou de l'extorsion. En pratique, elle prend acte des précisions apportées par le ministère selon lequel les modes opératoires spécifiquement et exclusivement visés par ce traitement sont les suivants :
 - escroquerie aux sentiments sur internet ;
- escroquerie à la petite annonce sur internet ;
- escroquerie aux faux sites de vente en ligne ;
- escroquerie connexe à une atteinte aux systèmes de traitement automatisé de données (utilisation de données volées, utilisation d'une boîte mél piratée, etc.) ;
- chantage sur internet ;
- extorsion connexe à une atteinte aux systèmes de traitement automatisé de données (piratage d'un ordinateur ou de tout autre système d'information accompagné d'une demande de rançon à travers un rançongiciel) .
L'article 1er du projet d'arrêté précise à ce titre que seuls sont concernés par le dispositif les plaintes et signalements déposés par des victimes majeures et capables et dirigés contre un auteur inconnu.
Elle prend acte que l'accès aux formulaires de plainte, après un premier questionnaire d'orientation permettant de s'assurer que les conditions pour recourir au dispositif THESEE sont bien remplies, sera conditionné par l'identification et l'authentification de l'usager via le dispositif FranceConnect, sur lequel la Commission s'est prononcée à plusieurs reprises.
En ce qui concerne la possibilité de réaliser un signalement, la Commission prend acte que l'usager bénéficiera de trois possibilités : procéder à un signalement de manière anonyme, déclarer son identité ou s'authentifier via la solution FranceConnect.
Elle rappelle enfin que la victime disposera toujours de la possibilité de se déplacer au commissariat de police ou à la brigade de gendarmerie pour y déposer plainte. Dans cette hypothèse, le procès-verbal est signé électroniquement et des données issues de ce procès-verbal pourront par la suite être transmises à la cellule THESEE afin de permettre l'analyse et le recoupement de ces données avec celles enregistrées dans le traitement.
La Commission relève que la phase de validation des plaintes et signalements par des agents de l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC) doit permettre d'écarter de l'outil d'analyse les données issues de formulaires remplis de manière incorrecte, de plaintes ou signalements ne comportant pas les éléments constitutifs d'une infraction pénale éligible au dispositif THESEE ou d'une déclaration déjà effectuée par l'usager.
Elle relève également que le traitement projeté doit permettre :
- de centraliser sur une plateforme nationale l'ensemble des plaintes concernant les infractions précitées, qu'elles aient été déposées en ligne au moyen du téléservice, ou auprès des services territoriaux de police ou de gendarmerie, ainsi que les signalements réalisés par le biais du téléservice avant de conduire à leur exploitation et à un recoupement des données ainsi collectées par les enquêteurs spécialisés de l'OCLCTIC ;
- aux autorités judiciaires compétentes d'informer les victimes des suites réservées à leur plainte dans le cadre de la communication électronique en matière pénale prévue à l'article 803-1 du CPP, contribuant ainsi à simplifier les relations entre les usagers et les autorités judiciaires ;
- de disposer de données statistiques relatives aux e-escroqueries permettant d'orienter la stratégie de lutte contre ces infractions.
Compte tenu de ces éléments, la Commission considère que les finalités poursuivies par le traitement sont déterminées, explicites et légitimes, conformément à l'article 4-2° de la loi du 6 janvier 1978 modifiée.
Sur les données collectées :
En premier lieu, s'agissant des faits susceptibles d'orienter l'enquête, la Commission prend acte que seules les données transmises par les victimes dans le cadre de leur plainte ou de leur signalement seront enregistrées dans le traitement THESEE et que, par conséquent, aucune donnée issue des investigations des enquêteurs n'alimentera ce dernier.
La Commission relève que l'article 2 du projet d'arrêté prévoit, parmi les données collectées relatives à la personne mise en cause, ou relatives à une personne en contact avec cette dernière, l'enregistrement de données telles que les noms, prénoms, pseudonymes, adresses électroniques, adresse postale, numéros de téléphone, nom des profils sur les réseaux sociaux. Dans la mesure où la finalité première du traitement THESEE est de permettre des recoupements de plaintes et de signalements contre des auteurs inconnus, afin de faciliter l'identification de ces derniers, elle rappelle l'importance de s'assurer que les enquêteurs amenés à intervenir au stade de la validation des informations transmises par les victimes ne procèderont aucunement à l'enregistrement, dans THESEE, de données relatives à un auteur d'infraction précisément identifié.
En second lieu, la Commission relève que le recueil des catégories d'informations et données mentionnées par le projet d'arrêté sera réalisé au moyen de questionnaires comportant des champs libres. Elle relève à cet égard qu'aucun dispositif de filtre n'est prévu pour empêcher la transmission ou supprimer les éventuelles données non pertinentes ou sensibles qu'une victime présumée aurait mentionnées dans ces champs ou aurait communiquées par le biais d'autres éléments recueillis via le téléservice, tels que les images de discussions ou d'échanges électroniques.
La Commission observe tout d'abord que les données ainsi recueillies sont susceptibles de concerner tant les personnes mises en cause que les victimes effectuant une plainte ou un signalement et prend acte de l'engagement du ministère de faire figurer une mention spécifique dans le questionnaire proposé afin d'inviter la personne à ne pas inscrire de données sensibles dans le champ libre.
Si elle prend par ailleurs acte des justifications apportées selon lesquelles l'absence de filtre doit permettre de ne pas dénaturer, modifier ou supprimer les déclarations qu'une victime potentielle souhaiterait porter à la connaissance de la justice, la Commission souligne qu'au regard du dispositif projeté, il n'est pas possible d'exclure que des données sensibles au sens de l'article 6 de la loi du 6 janvier 1978 modifiée soient collectées. Elle rappelle que dans une telle hypothèse, il conviendrait de faire application des dispositions des articles 31 et 88 de cette même loi qui subordonnent la mise en œuvre des traitements portant sur ces données spécifiques à une autorisation par décret en Conseil d'Etat pris après avis de la Commission, et cela uniquement en cas de nécessité absolue et sous réserve des garanties appropriées pour les droits et libertés de la personne concernée.
Compte tenu de ce qui précède et à défaut de modification de la nature de l'acte réglementaire, la Commission rappelle que le ministère devra mettre en place des procédures de filtrage permettant de prévenir efficacement l'enregistrement de telles données.
Sous ces réserves, la Commission considère que les catégories de données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur les durées de conservation des données :
L'article 3 du projet d'arrêté précise que les données et informations enregistrées dans le traitement sont conservées pendant six ans à compter de leur enregistrement.
La Commission prend acte des justifications apportées par le ministère selon lequel cette durée doit permettre de couvrir les investigations menées pendant toute la durée de prescription de l'action publique en matière correctionnelle, qui est également de six ans en vertu de l'article L. 8 du CPP.
Elle relève que si les plaintes ou les signalements effectués, soit via le téléservice, soit, s'agissant des plaintes, auprès des services de police ou de gendarmerie, n'entrent pas dans le champ d'application du dispositif, les données ne seront pas enregistrées dans l'outil d'analyse du traitement THESEE et le signalant ou plaignant sera avisé du motif de ce rejet.
La Commission relève que les données et informations relatives à la plainte ou au signalement rejeté seront néanmoins conservées dans les logiciels de rédaction de procédures (LRP) et prend acte, à cet égard, des précisions apportées par le ministère selon lequel la conservation de telles données et informations doit permettre de pouvoir justifier si nécessaire le rejet effectué. Dans la mesure où la conservation de ces données a pour seule finalité de permettre de justifier du rejet d'une plainte ou d'un signalement, elle rappelle que la durée de conservation de ces données doit être fixée de manière proportionnée à cette finalité.
En ce qui concerne la durée de conservation des données dans les LRP, le ministère a indiqué que celle-ci est fixée par l'acte réglementaire autorisant la création de chaque traitement concerné. S'agissant du LRPPN, l'article 3 du décret n° 2011-110 du 27 janvier 2011 susvisé fixe la durée de conservation des données à cinq ans, à compter de la date de la transmission de la procédure à l'autorité judiciaire ou administrative compétente. S'agissant du logiciel de rédaction des procédures de la gendarmerie nationale (LRPGN), l'article 3 du décret n° 2011-111 du 27 janvier 2011 susvisé précise que les données sont conservées jusqu'à la clôture de la procédure et sa transmission à l'autorité judiciaire ou administrative compétente. La Commission rappelle l'importance de s'assurer que les données ainsi recueillies ne seront pas conservées au-delà de la durée prévue par les dispositions encadrant les LRP.
L'article 5 du projet d'arrêté prévoit également que les traces relatives aux créations, consultations, mises à jour et suppressions de données sont associées à l'identifiant de l'auteur de l'action ainsi que la date, heure et objet de l'objet de l'opération. Ces données sont également conservées pendant une durée de six ans.
Si, compte tenu de ce qui précède, la durée de conservation des données dans le traitement THESEE n'appelle pas d'observations particulières, la Commission rappelle qu'en ce qui concerne la durée de conservation des données de journalisation, la collecte de ces données a pour seule finalité la détection et/ou la prévention d'opérations illégitimes sur les données. La durée de stockage de ces traces doit ainsi être fixée de manière proportionnée à cette unique finalité, ces données de traçabilité ne devant par ailleurs en aucun cas permettre d'avoir des informations sur des données dont la durée de conservation est dépassée.
Sur les autres conditions de mise en œuvre du traitement :
Sur les interconnexions mises en œuvre
La Commission rappelle que la validation d'une plainte constitue le point de départ de la procédure, ce qui se traduit par la rédaction d'un procès-verbal de réception de plainte sur les LRP de la police et de la gendarmerie nationales autorisés par les arrêtés du 27 janvier 2011 susvisés. La rédaction du procès-verbal de réception de plainte requiert l'interconnexion avec les logiciels susmentionnés.
Elle relève que l'interconnexion du traitement THESEE avec les traitements LRP permettra la transmission à la cellule THESEE des procès-verbaux de plainte rédigés par les services territoriaux, lorsque les plaignants se sont déplacés pour déposer plainte. Dans ce contexte, la Commission rappelle que les responsables des traitements interconnectés à THESEE devront faire évoluer les traitements et leur documentation en conséquence.
Sur les transferts de données vers des Etats n'appartenant pas à l'Union européenne ou vers des destinataires établis dans des Etats n'appartenant pas à l'Union européenne
Il résulte de l'AIPD transmise que des transferts de données vers des Etats n'appartenant pas à l'Union européenne ou vers des destinataires établis dans des Etats n'appartenant pas à l'Union européenne pourront être réalisés, de manière non automatisée, dans le cadre de la coopération internationale en matière de police judiciaire, en application de l'article L. 235-1 du code de sécurité intérieure. La Commission rappelle à ce titre que les transferts de données vers ces Etats ne pourront être opérés que sous réserve du respect des dispositions énoncées aux articles 112 à 114 de la loi du 6 janvier 1978 modifiée.
Sur les accédants et les destinataires
L'article 4 du projet d'arrêté détaille la liste des accédants et des destinataires du traitement THESEE.
La Commission relève que pourront accéder aux données :
- les agents de l'OCLCTIC ;
- les magistrats du ministère public du lieu de traitement automatisé des informations nominatives pour les recherches relatives aux infractions concernées et les agents des services judiciaires agissant sous leur autorité.
Elle relève que figurent parmi les destinataires les personnes suivantes :
- les agents des services de la police nationale et les militaires de la gendarmerie nationale exerçant des missions de police judiciaire ;
- les magistrats du ministère public autres que ceux ayant accès au traitement, les magistrats chargés de l'instruction et les agents des services judiciaires agissant sous leur autorité pour les recherches relatives aux infractions et procédures dont ils sont saisis ;
- les organismes de coopération internationale en matière de police judiciaire et les services de police étrangers ;
- le service statistique ministériel de la sécurité intérieure.
Ces catégories de personnes habilitées à accéder aux données et ces destinataires n'appellent pas d'observations particulières de la Commission au regard de la finalité poursuivie par le traitement projeté.
Sur les droits des personnes
La Commission relève que les informations figurant au I ainsi qu'aux 1°, 2° et 3° du II de l'article 104 de loi du 6 janvier 1978 modifiée seront mises à la disposition de la personne concernée via un affichage sur le portail de déclaration du site web service-public.fr , ainsi que par un courrier électronique envoyé à l'issue de la plainte ou du signalement.
L'article 6 du projet d'arrêté prévoit par ailleurs que le droit d'accès prévu à l'article 105 de la loi du 6 janvier 1978 modifiée s'exerce auprès de la direction centrale de la police judiciaire (DCPJ).
En ce qui concerne les droits de rectification, d'effacement et à la limitation des données prévus à l'article 106 de la loi du 6 janvier 1978 modifiée, le gestionnaire du traitement se réserve le droit de ne pas informer le demandeur de son refus de rectifier, d'effacer ou de limiter les données le concernant afin d'éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires, ou encore d'éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière, ou à l'exécution de sanctions pénales, motifs prévus au 1° et 2° de l'article 107 de la loi du 6 janvier 1978.
L'article 6 du projet d'arrêté prévoit enfin que le droit d'opposition ne s'applique pas au traitement, dans les conditions prévues à l'article 110 de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données :
La Commission observe que les échanges entre l'usager et le site web service-public.fr bénéficieront de la sécurité apportée par le site web précité, notamment s'agissant du chiffrement entre le poste de l'usager et le site, ainsi que de l'authentification du responsable de traitement. Les échanges entre le site, mis en œuvre par la direction de l'information légale et administrative (DILA) et les serveurs de l'OCLCTIC s'effectueront par le biais du réseau interministériel de l'Etat (RIE) et bénéficieront de la sécurité apportée par ce dernier.
Elle rappelle que le téléservice envisagé est soumis aux prescriptions prévues par l'ordonnance n° 2005-1516 du 8 décembre 2005, qui crée le référentiel général de sécurité (RGS), ainsi que par le décret n° 2010-112 du 2 février 2010.
Les autres mesures de sécurité n'appellent pas d'observations particulières.
La présidente,
Marie-Laure Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre des solidarités et de la santé d'une demande d'avis concernant un projet d'arrêté pris pour l'application de l'article 67 de loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de la santé publique ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 67 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 67 ;
Vu le décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques ou nécessitant la consultation de ce répertoire, notamment son article 2 B (10°) ;
Après avoir entendu Mme Valérie PEUGEOT, commissaire en son rapport, Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Les dispositions de l'article 67 de la loi Informatique et Libertés prévoient que les traitements mis en œuvre par certains responsables de traitement - les organismes ou les services chargés d'une mission de service public listés dans le projet d'arrêté -, et ayant pour seule finalité de répondre, en cas de situation d'urgence, à une alerte sanitaire et d'en gérer les suites, sont soumis aux seules dispositions de la section 3 du chapitre IV du règlement (UE) 2016/679 du 27 avril 2016 (RGPD). Les dispositions de la section 3 du chapitre III du titre II de la loi Informatique et Libertés relatives aux formalités préalables auprès de la CNIL ne leur sont donc pas applicables, par dérogation à son article 66.
Le projet d'arrêté a également pour effet de permettre aux organismes et aux services chargés d'une mission de service public portant sur la gestion et du suivi des alertes sanitaires de traiter le numéro d'inscription au répertoire national d'identification des personnes physiques, en application de l'article 2 B (10°) du décret n° 2019-341 du 19 avril 2019 relatif à la mise en œuvre de traitements comportant l'usage du numéro d'inscription au répertoire national d'identification des personnes physiques (NIR) ou nécessitant la consultation de ce répertoire.
La Commission souligne que le régime dérogatoire prévu par l'article 67 de la loi Informatique et Libertés , qui a vocation à s'appliquer à chaque alerte sanitaire et non à la seule gestion de la crise sanitaire liée à la covid-19, doit faire l'objet d'une interprétation stricte.
Elle rappelle, par ailleurs, l'obligation pour les responsables de traitement concernés de s'assurer du respect, d'une part, des règles de fond posées par la section 3 du chapitre III du titre II de la loi (conditions d'information et droits des personnes, etc.) et, d'autre part, des principes posés par le code de la santé publique, notamment son article L. 1110-4.
Sur les responsables de traitement qui pourraient bénéficier de cette dérogation
Le projet d'arrêté a vocation à fixer la liste des responsables de traitement pouvant bénéficier du dispositif évoqué à l'article 67 de la loi.
La Commission considère, en premier lieu, que les organismes ou les services chargés d'une mission de service public agissant en tant que sous-traitant ou en tant que destinataire au sens de l'article 4 du RGPD n'ont pas vocation à figurer dans le projet d'arrêté.
Elle estime ainsi, compte tenu, d'une part, des missions attribuées à certains acteurs par les textes législatifs et réglementaires et, d'autre part, des informations transmises par le ministère, que certains organismes tels que les observatoires régionaux de santé ou encore les organismes et services chargés de la remontée des informations ou de la mise en œuvre des traitements de données (Agence du numérique en santé, Plateforme des données de santé, Agence technique de l'information sur l'hospitalisation) ne semblent pas agir en qualité de responsable de traitement. Ils ne devraient, dès lors, pas figurer dans l'arrêté.
En deuxième lieu, et au surplus, ne devraient figurer sur la liste que des organismes investis, en application d'un texte législatif ou réglementaire ou dans le respect des missions confiées par les autorités compétentes, de la mission de répondre à une alerte sanitaire ou d'en gérer les suites en cas d'urgence.
A ce titre, la Commission s'interroge sur les hypothèses dans lesquelles certains organismes figurant dans le projet pourraient être amenés à mettre en œuvre, en qualité de responsable de traitement, des traitements ayant pour seule finalité de répondre, en cas de situation d'urgence, à une alerte sanitaire et d'en gérer les suites, s'agissant :
- des observatoires régionaux de santé ;
- des organismes et services ayant pour objet la recherche dans le domaine de la santé ou contribuant à de telles recherches ;