AgentPublic/cnil huggingface dataset:
Par ailleurs, la consultation automatique du FIJAIS permettra d'accéder à des informations ne figurant pas dans le casier judiciaire. Il s'agit notamment :- des informations concernant certaines catégories de personnes qui ne sont pas inscrites dans le casier judiciaire (personnes placées sous contrôle judiciaire, mineurs, ressortissants français condamnés par une juridiction étrangère) ;- des informations concernant des condamnations non définitives (procédures en cours, inscription des condamnations dès leur prononcé et avant expiration des délais d'appel ou en cas d'ouverture d'un recours) ;- des informations conservées plus longtemps dans le FIJAIS (de 20 à 30 ans) que dans le casier judiciaire (relatives à la prévention de la récidive).
Sur les interconnexions, les rapprochements ou toute forme de mise en relation du traitement SIAM avec le casier judiciaire national automatisé et le fichier national automatisé des auteurs d'infractions sexuelles ou violentes :
La commission rappelle que, conformément à l'article 777-3 du code de procédure pénale (CPP),  aucune interconnexion au sens du 3° du I de l'article 30 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ne peut être effectuée entre le casier judiciaire national automatisé et tout autre fichier ou traitement de données à caractère personnel détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice .
De même, l'article 706-53-11 du CPP, alinéa 1, dispose qu' aucun rapprochement ni aucune connexion au sens de l'article 30 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ne peuvent être effectués entre le [fichier national automatisé des auteurs d'infractions sexuelles ou violentes] et tout autre fichier ou recueil de données nominatives détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice, à l'exception du fichier des personnes recherchées pour l'exercice des diligences prévues au présent chapitre .
L'article 30-1 (3°) de la loi n° 78-17 du 6 janvier 1978 modifiée, mentionné dans ces articles du CPP, concerne  les interconnexions, les rapprochements ou toutes autres formes de mise en relation avec d'autres traitements .
Ainsi, conformément aux dispositions précitées du code de procédure pénale, la mise en relation du traitement SIAM avec :- le casier judiciaire national automatisé (casier judiciaire) ne devra pas constituer une interconnexion au sens de l'article 30 de la loi du 6 janvier 1978 modifiée ;- le fichier national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAIS) ne devra constituer ni un rapprochement ni une interconnexion au sens de l'article 30 de la loi du 6 janvier 1978 modifiée.
La commission rappelle que l'interconnexion de fichiers est la mise en œuvre de moyens techniques permettant la mise en relation automatisée d'informations provenant de fichiers qui étaient au préalable distincts soit d'un point de vue technique, soit d'un point de vue organisationnel.
Le rapprochement de fichiers correspond à une mise en relation d'informations par un mécanisme de comparaison qui peut être manuel ou automatisé. Ainsi, à la différence d'une interconnexion, un rapprochement ne suppose pas nécessairement la mise en œuvre de moyens automatisés, et peut être effectué manuellement.
Sur la mise en relation du traitement SIAM et du casier judiciaire :La commission prend acte que l'administration centrale réalisera l'extraction quotidienne d'une liste des identités à interroger via le module  interface B2 .
La transmission aux agents habilités des services déconcentrés concernés des extraits du B2 qui ne sont pas vierges sera effectuée par courrier.
Cette transmission ne donnant lieu à la saisie d'aucune information dans le traitement SIAM, la commission estime que cet échange d'informations ne constitue pas une interconnexion au sens de l'article 30 de la loi du 6 janvier 1978 modifiée.Dans l'hypothèse où les mentions inscrites dans le B2 le justifieraient, les agents habilités de la direction départementale compétente procéderont à une enquête administrative. Après enquête et après avis de la commission départementale compétente en matière de jeunesse et de sport, le préfet mettra en œuvre les mesures de police administrative prévues par l'article L. 227-10 du CASF. Il pourra également notifier de plein droit l'incapacité d'exercer.
Toute mesure d'interdiction ou de suspension prononcée par le préfet en application de l'article L. 227-10 du CASF fera l'objet d'un enregistrement dans le fichier national des cadres interdits d'exercice dans les centres de vacances (CADINT).
Sur la mise en relation du traitement SIAM et du FIJAIS :La commission prend acte que le préfet et les administrations de l'Etat peuvent procéder à une consultation directe du FIJAIS à partir de la seule identité d'une personne, dans le cadre des décisions administratives de recrutement, d'affectation, d'autorisation, d'agrément ou d'habilitation la concernant pour des activités ou professions impliquant un contact avec des mineurs (art. 706-53-7 du CASF).
Pour procéder à cette consultation, l'administration centrale réalisera l'extraction quotidienne d'une liste des identités à interroger (composée de l'identité des nouveaux intervenants et de l'identité modifiée d'un intervenant en poste). L'interrogation du FIJAIS sera effectuée quotidiennement, pour l'ensemble des identités saisies au cours d'une journée sur l'ensemble du territoire (soit en général entre 800 et 2 000) et par paquet de 200 identifiants.
Cette extraction sera effectuée de manière dématérialisée via le module  interface FIJAIS  à partir d'un numéro non signifiant, du nom, du prénom, du lieu et de la date de naissance ainsi que du sexe de l'intéressé.
Les flux de réponse ne contiendront pas l'identité de la personne, mais le code identifiant non signifiant, complété d'un code retour. Il existe 4 codes retour correspondant respectivement à une identité non inscrite au FIJAIS, à une identité dite  non applicable  (erreur de saisie formelle du nom, du prénom, de la date ou du lieu de naissance et du sexe de la personne), à une identité à vérifier parce que positive ou sur laquelle il existe un doute et à l'existence d'une anomalie technique.
La commission prend acte que toute réponse relative à une  identité à vérifier parce que positive ou sur laquelle il existe un doute  sera reçue en administration centrale, au bureau DJEPVA A3, sur un poste informatique déterminé, utilisé par le référent informatique FIJAIS du MENJVA et une autre personne habilitée. Ceux-ci établiront un lien entre l'identifiant transmis par la justice et l'identité de la personne concernée. Ils effectueront alors une vérification, au cas par cas, afin de confirmer que l'identité de la personne concernée correspond effectivement à l'identité ou à l'une des identités identifiées dans le FIJAIS (vérification de l'exactitude des identités saisies, homonymies).
Les données seront conservées pendant un mois en administration centrale, notamment afin de contacter la personne habilitée à consulter le FIJAIS dans le service départemental concerné par téléphone ou par courriel. L'agent habilité au niveau départemental procédera à une consultation individuelle du FIJAIS et une enquête administrative sera diligentée par la direction départementale compétente.
Le cas échéant, le préfet mettra en œuvre les mesures de police administrative prévues par l'article L. 227-10 du CASF. Toute mesure d'interdiction définitive ou temporaire prononcée par le préfet en application de l'article L. 227-10 du CASF fera l'objet d'un enregistrement dans CADINT.
La commission relève :- que cette mise en relation sera opérée manuellement (en cas d'erreur de saisie sur l'identité de l'intervenant, de sa présence au FIJAIS ou du prononcé d'une mesure d'interdiction ou de suspension - excluant ainsi toute qualification en interconnexion) ;- que le traitement SIAM ne sera pas enrichi par des données contenues dans le FIJAIS (seules la mention d'une erreur sur l'identité, d'une  identité à vérifier parce que positive ou sur laquelle il existe un doute  et la mesure d'interdiction ou de suspension prise après enquête administrative seront inscrites dans SIAM) ;- que cette information sera obtenue au moyen de la requête systématique et non signifiante du FIJAIS (les nom, prénoms, date, lieu de naissance et sexe des intervenants concernés étant remplacés par un numéro non signifiant - excluant ainsi toute qualification en rapprochement) ;- que cette information fera l'objet d'une confirmation (la mention  identité à vérifier parce que positive ou sur laquelle il existe un doute  sera conservée un mois au maximum et les services départementaux concernés procéderont à une enquête administrative avant l'enregistrement d'une mesure d'interdiction ou de suspension qui ne serait pas prise en application de l'article L. 133-6 du CASF) ;
- que les agents du ministère et des services déconcentrés compétents seront habilités à consulter le FIJAIS pour les stricts besoins de l'accomplissement d'une mission légale (dans le cadre de la mission de protection des mineurs accueillis, seront habilités le référent FIJAIS, une autre personne au niveau central et un nombre limité d'agents compétents au sein des services déconcentrés départementaux).
Par conséquent, la commission considère que la mise en relation du traitement SIAM avec le FIJAIS ne constitue ni un rapprochement ni une interconnexion au sens de l'article 30 de la loi du 6 janvier 1978 modifiée.Elle considère de ce fait que le traitement envisagé est conforme aux articles 777-3 et 706-53 du code de procédure pénale.
Sur les données traitées :Les catégories de données à caractère personnel enregistrées dans le traitement SIAM mentionnées à l'article 3 du projet d'arrêté n'appellent pas d'observation particulière de la part de la commission.
La commission prend acte que les seules informations saisies dans SIAM résultant directement de la consultation du FIJAIS seront les mentions  aucune identité applicable  en cas d'erreur de saisie formelle de l'identité de la personne concernée (erreur sur le nom, le prénom, la date, le lieu de naissance ou le sexe) et  identité à vérifier parce que positive ou sur laquelle il existe un doute  pour les identités à vérifier parce que présentes au FIJAIS.
Les informations relatives à la mesure d'interdiction définitive ou temporaire d'exercer saisie dans CADINT résulteront soit d'une application de l'article L. 133-6 du CASF, soit d'une décision du préfet, prise après enquête administrative et avis de la commission départementale compétente en matière de jeunesse et de sport.
Seules les mesures prises en application de l'article L. 227-10 du code de l'action sociale et des familles (CASF) et dans les conditions prévues par cet article feront l'objet d'un enregistrement dans le fichier des cadres interdits (CADINT). Les incapacités juridiques prévues à l'article L. 133-6 du CASF ne seront pas inscrites dans CADINT et aucune donnée relative à ces incapacités ne sera conservée sous quelque forme que ce soit dans SIAM.
Sur les destinataires :Concernant les catégories de destinataires mentionnées à l'article 5 du projet d'arrêté, la commission prend acte que les services déconcentrés de l'Etat reçoivent les informations traitées dans SIAM, à l'exclusion de toute information contenue dans le FIJAIS, et que les partenaires du MENJVA accèdent aux informations relatives à l'organisateur, au lieu du déroulement de l'accueil et à l'effectif des participants, à l'exclusion des informations relatives aux intervenants.
Sur la durée de conservation des données à caractère personnel :Les durées de conservation identifiées dans l'article 4 du projet d'arrêté n'appellent aucune observation de la commission.
Sur l'architecture du traitement, les sécurités et la traçabilité :Concernant la transmission de l'identité d'un intervenant présent au FIJAIS par les agents habilités au niveau central aux agents des services déconcentrés habilités à consulter le FIJAIS, la Commission insiste sur la nécessité de communiquer l'identité de l'intervenant concerné (nom, prénom, date et lieu de naissance, sexe) au moyen d'un support de communication sécurisé. C'est pourquoi elle recommande que cette transmission soit effectuée uniquement au moyen d'un courriel faisant l'objet d'un chiffrement. Ce courriel devra faire l'objet d'une destruction définitive dans un délai strictement limité à l'exploitation de cette information.
Elle recommande également que la suppression de l'information  identité à vérifier parce que positive ou sur laquelle il existe un doute  saisie dans SIAM fasse l'objet d'une proposition de suppression automatisée à l'issue d'un délai d'un mois. Une suppression pourrait être proposée de manière automatique et faire l'objet d'une validation manuelle.
S'agissant de la traçabilité, la commission recommande que la durée de conservation des traces d'événement et des traces de connexion soit de douze mois.
S'agissant de la gestion des mots de passe (composés de 8 caractères), la commission recommande qu'un renouvellement de ceux-ci soit prévu de même qu'un blocage du compte après un certain nombre d'authentifications invalides.
Sur les droits des personnes concernées :La commission prend acte que, conformément à l'article 32-V de la loi du 6 janvier 1978 modifiée et en application de l'article 5 de l'arrêté du 22 février 1995, les personnes concernées seront informées, lorsqu'elles feront l'objet de mesures d'interdiction temporaire ou permanente d'exercer, de leurs droits d'accès et de rectification.
Si la consultation du FIJAIS fait apparaître qu'une personne de l'équipe d'encadrement d'un accueil collectif de mineurs a fait l'objet d'une condamnation entraînant une incapacité d'exercer au sens de l'article L. 133-6 du CASF, cette personne pourra être informée de différentes manières. Dans le cas d'une condamnation devenue définitive avec condamnation supérieure ou égale à deux mois d'emprisonnement ferme, pour l'une des infractions entrant dans le champ de l'article L. 133-6 du CASF, l'intéressé recevra notification de son incapacité d'exercer.
L'employeur recevra également une notification de cette incapacité. Elle précisera que le bulletin comporte une ou plusieurs condamnations et ne permet pas à l'intéressé de continuer à exercer ses fonctions.Dans le cas de condamnations d'une durée inférieure à deux mois, le préfet devra informer la personne concernée qu'il met en œuvre une procédure d'enquête administrative, diligentée par la direction départementale compétente afin d'établir l'imputabilité de ce manquement au mis en cause.
Dans le cas d'une condamnation non définitive, d'une décision non définitive prononcée en application de certains articles de l'ordonnance n° 45-174 du 2 février 1945 ou d'une mise en examen assortie d'un placement sous contrôle judiciaire ou sous assignation à résidence avec surveillance électronique, une mesure de suspension sera prononcée par les directions départementales interministérielles concernées (art. L. 227-10, al. 2, du CASF).
Cette mesure de suspension donnera lieu à notification de l'intéressé et de son employeur. Elle restera valable jusqu'à ce qu'une décision de justice définitive nécessite la levée de la suspension ou justifie le prononcé d'une interdiction définitive.Conformément aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, les droits d'accès de modification, de rectification et de suppression pourront être exercés auprès de la direction de la jeunesse, de l'éducation populaire et de la vie associative (DJEPVA A3).Conformément au troisième alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée, le droit d'opposition ne s'applique pas au présent traitement.
En conclusion, la commission :- considère que la mise en œuvre de requêtes du FIJAIS par liste constitue une procédure adéquate pour connaître toutes les identités sur lesquelles il existe un doute et  à vérifier  tout en réduisant le nombre de consultations individuelles du FIJAIS ;- demande que l'article 2 du projet d'arrêté soit modifié afin de faire apparaître le caractère systématique de la consultation du casier judiciaire et du FIJAIS ;- recommande que le référent national FIJAIS du MENJVA transmette à l'agent habilité à consulter le FIJAIS au sein de la direction départementale concernée l'identité de l'intervenant devant faire l'objet d'une enquête administrative au moyen de courriels faisant l'objet d'un chiffrement ;- recommande que la procédure de suppression de l'information saisie dans SIAM  identité à vérifier parce que positive ou sur laquelle il existe un doute , à l'issue d'un délai d'un mois, soit automatisée (la suppression proposée de manière automatique pourra faire l'objet d'une validation manuelle) ;- demande un renouvellement des mots de passe permettant d'accéder à SIAM et un blocage des comptes après plusieurs tentatives erronées.
Elle insiste sur la nécessité d'informer les agents habilités à accéder au FIJAIS des mesures de contrôle d'accès mises en œuvre et des sanctions pénales dont ils sont passibles en cas de consultation abusive.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la justice et des libertés d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement de données à caractère personnel dénommé  bureau d'ordre de l'action publique et des victimes  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I-2° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2008-689 du 9 juillet 2008 relatif à l'organisation du ministère de la justice ;
Vu l'arrêté du 9 juillet 2008 fixant l'organisation en bureaux de la direction des affaires criminelles et des grâces ; 
Vu l'arrêté du 9 juillet 2008 fixant l'organisation en sous-directions de la direction des affaires criminelles et des grâces ;
Après avoir entendu Madame Claire DAVAL, commissaire, en son rapport, et Madame Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant
La Commission a été saisie par le ministère de la justice et des libertés d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement de données à caractère personnel dénommé  bureau d'ordre de l'action publique et des victimes .
L'informatisation du bureau d'ordre de l'action publique et des victimes de la direction des affaires criminelles et des grâces (ci-après  DACG ) est intervenue en février 1994. Cette application n'a néanmoins fait l'objet d'aucune formalité préalable auprès de la Commission. Cette dernière regrette que cette mise en conformité ait été aussi tardive.
Ce traitement a pour objet l'enregistrement et la conservation des informations relatives aux affaires signalées à la direction par les procureurs généraux, et contribue à la définition de l'action publique du ministère de la justice. Il convient donc de faire application de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée, qui prévoit que les traitements mis en œuvre pour le compte de l'Etat et qui ont pour objet  la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté  sont autorisés par arrêté ministériel pris après avis de la Commission
Sur les finalités du traitement
L'article 1er du projet d'arrêté détermine les finalités assignées au traitement. Il s'agit de permettre de  gérer l'enregistrement et de conserver des informations relatives aux dossiers transmis par les procureurs généraux ,  de définir des orientations et instructions pour l'action des magistrats du ministère public chargés de l'exercice des poursuites pénales et de l'exécution des peines ,  de contrôler la mise en œuvre de ces orientations  et  d'assister les procureurs généraux dans la mise en œuvre de leurs prérogatives propres .
Les  dossiers transmis par les procureurs généraux  désignent en pratique les  affaires signalées . Les procureurs généraux près les cours d'appel signalent en effet certains dossiers à la DACG en fonction de leur gravité, de la nature de l'infraction concernée, de la personnalité des protagonistes ou encore des antécédents judiciaires du mis en cause. 
La Commission relève que ces finalités correspondent aux missions dévolues à la DACG en matière d'action publique, en application de l'article 5 du décret du 9 juillet 2008 susvisé. En effet, la DACG  prépare les instructions générales d'action publique, coordonne et évalue leur mise en application  et  contrôle l'exercice de l'action publique par les parquets généraux et les parquets .
Elle estime néanmoins que ces finalités devraient être plus strictement définies dans le respect des compétences dévolues au garde des Sceaux en matière de suivi de l'action publique.
Elle souligne en outre que seules les données relatives aux affaires pénales seront enregistrées dans le traitement, les affaires civiles ou commerciales gérées par les parquets en étant exclues.
Enfin, la Commission relève que le traitement pourra être utilisé pour réaliser des statistiques liées à l'activité de la direction. En revanche, il ne sera pas utilisé aux fins de suivi statistique de l'activité des juridictions et parquets, et ces statistiques ne devront pas permettre d'identifier directement ou indirectement les personnes.
Sur les données collectées
L'article 2 du projet d'arrêté prévoit de collecter des informations relatives aux personnes parties à une procédure judiciaire, aux auteurs des correspondances adressées à la direction des affaires criminelles et des grâces, et aux magistrats et fonctionnaires de cette même direction.
La Commission relève qu'il est notamment prévu, pour les personnes parties à une procédure judiciaire et les auteurs de correspondances, de collecter les  mandats électifs . Elle prend acte que seuls les mandats électifs publics sont concernés. En outre, elle rappelle que sous peine de faire entrer le traitement BOAPV dans le champ d'application matériel de l'article 8 de la loi du 6 janvier 1978 modifiée, le traitement ne pourra faire apparaître les opinions politiques des personnes concernées et que seuls la nature du mandat et le siège de son exercice pourront être enregistrés dans le traitement.
Par ailleurs, elle prend acte de l'argumentaire du ministère, selon lequel le fait que l'application puisse comporter indirectement des données dites  sensibles  au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, par un recoupement d'informations entre les données relatives aux personnes concernées par la procédure judiciaire et la nature de la qualification pénale des faits, ne permet pas de considérer que le traitement BOAPV porte sur des données dites  sensibles  au sens de l'article 26-II de cette même loi. 
La Commission relève qu'à sa demande, les informations relatives à la procédure judiciaire, seront ajoutées par le ministère à la liste des informations collectées, puisque de telles données apparaîtront, à l'évidence, dans le traitement. 
Enfin, elle observe qu'un champ  commentaire  sera mis en œuvre, permettant de préciser par exemple les éventuels liens avec d'autres dossiers, avec une problématique générale ou encore de faire ressortir le dossier à une date précise. La Commission rappelle que les données à caractère personnel qui seront éventuellement mentionnées dans ce champ doivent être pertinentes, adéquates et non excessives au regard des finalités poursuivies. Par ailleurs, elles devront être communiquées à l'intéressé, à sa demande, conformément à l'article 39 de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation