AgentPublic/cnil huggingface dataset:
services. Pour autant, les autorités judiciaires pourront avoir accès à ces données dont, cependant, la conservation devra s'effectuer selon le régime de droit commun de la protection des données à caractère personnel et non dans le cadre dérogatoire du décret pris en application de l'article 29 de la loi relative à la sécurité quotidienne.   Si la conservation de certaines de ces données peut être incontestablement utile dans le cadre de la facturation comme dans celui de la recherche, de la constatation et de la poursuite des infractions pénales, le régime applicable aux conditions dans lesquelles elles doivent être conservées ne relève manifestement pas de l'objet du présent décret.
Sur la détermination et la définition des catégories de données visées par le décret,   Les catégories de données visées aux articles R. 9-1-1 et R. 9-1-2 nouveaux du code des postes et télécommunications doivent être conservées en dérogation au principe général d'effacement ou d'anonymisation posé par l'article L. 32-3-1 du code des postes et télécommunications. A ce titre, l'emploi du terme "notamment" par le projet de décret dans la définition de ces données introduit un élément d'incertitude qui peut conduire les opérateurs à ne pas mesurer précisément l'obligation qui leur est faite. En conséquence, il appartient au décret de fixer très précisément les catégories de données que les opérateurs doivent conserver en dérogation à ce principe d'effacement.   Les informations visées par le projet de décret sont susceptibles de concerner aussi bien une communication adressée à une personne physique, l'envoi d'un courrier électronique par exemple, que la connexion à un serveur distant (accès à un site web, par exemple). Pour autant, la loi a limité l'application du décret aux données portant exclusivement, d'une part, sur l'identification des personnes utilisatrices des services fournis par les opérateurs de télécommunications et, d'autre part, sur les caractéristiques techniques des communications assurées par ces derniers.   En conséquence, il convient de définir de manière restrictive certaines catégories de données visées par le projet de décret afin que le contenu de
celles-ci se limitent aux objectifs précis d'identification de la personne utilisatrice et d'apporter des éléments sur les caractéristiques techniques des communications passées. Ainsi faudrait-il que le décret définisse plus précisément les termes de "services complémentaires demandés ou utilisés" ou "données relatives aux en-têtes de message de courrier électronique permettant d'identifier l'ensemble des destinataires" afin que les données conservées à ces titres ne concernent que l'identification des personnes et les éléments sur les caractéristiques techniques des communications qu'elles auront passées.
Sur l'application de la loi "informatique et libertés" aux données visées par le décret,   Le législateur n'a pas entendu instaurer un régime d'exception sur les conditions de traitement des données techniques relatives à une communication puisque l'article L. 32-3-1 du code des postes et télécommunications prévoit que "la conservation et le traitement de ces données s'effectuent dans le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés".   A ce titre, la Commission souligne deux conséquences qui s'attachent à l'application de la loi "informatique et libertés" au projet de décret qui lui est soumis.   En premier lieu, le principe de finalité interdit qu'une donnée conservée dans le cadre d'une finalité précise visée par le projet de décret ne soit utilisée dans le cadre d'une autre finalité. Ainsi, une donnée conservée au titre de la sécurité des réseaux des opérateurs de télécommunications ne pourra être utilisée pour justifier d'une facturation, alors même que l'opérateur dispose de cette donnée au titre de la première finalité.   En second lieu, il convient de rappeler que les autorités de police ne pourront avoir accès aux informations visées dans le projet de décret que si elles agissent en flagrant délit ou sur commission rogatoire d'un juge d'instruction. Dans ces deux cas, en effet, les prérogatives particulières qu'elles tiennent du code de procédure pénale leur confèrent, ainsi que les
administrations fiscales et douanières et les enquêteurs de l'Autorité des marchés financiers pour l'exercice de leurs missions de contrôle, la qualité de "tiers autorisés" au regard de la loi "informatique et libertés".   C'est donc à la lumière des principes généraux relatifs à la protection des données personnelles - notamment les principes relatifs à la finalité et à la proportionnalité des données - que la Commission doit examiner le projet de décret, quand bien même certaines d'entre elles (les données conservées aux fins exclusives de permettre la recherche, la constatation et la poursuite des infractions pénales) seraient conservées sur la base d'un régime dérogatoire à ces principes.
Sur les catégories de données conservées pour les besoins de la facturation et du paiement des prestations de télécommunications,   En application du III de l'article L. 32-3-1 du code des postes et télécommunications, l'article 2 du projet de décret introduit un article R. 9-1-1 dans le code des postes et télécommunications dont les 1°, 2° et 3° traitent des catégories de données techniques qui peuvent être conservées par les opérateurs de télécommunications pour les besoins de la facturation et du paiement des prestations de télécommunications.
1. Le législateur a choisi de renvoyer à un décret le soin de fixer la liste limitative des catégories de données qui peuvent être conservées par les opérateurs en exception au principe général d'effacement ou d'anonymisation des données relatives à une communication. La Commission relève, dès lors, que ce choix a pour conséquence d'empêcher les opérateurs de conserver - notamment à des fins de preuve en matière de contestation de la facturation ou du paiement des prestations - une donnée qui ne serait pas à l'origine prévue par le décret mais dont la conservation pourrait être rendue nécessaire par l'évolution technique de leurs services. Cette possibilité d'évolution d'ailleurs est implicitement prévue par la directive du 12 juillet 2002 qui, à la différence de la directive du 15 décembre 1997 (10) qu'elle abroge et remplace (11), ne précise plus limitativement les données pouvant être conservées au titre des données de connexion, dites "données relatives au trafic", mais se contente de les définir de manière générique en tant que "données traitées en vue de l'acheminement d'une communication par un réseau de communication par un réseau de communications électroniques ou de sa facturation" (12).   Une évolution législative modifiant ce schéma pourrait prévoir, par dérogation au principe d'anonymisation et d'effacement, un mécanisme de déclaration préalable soumis au contrôle de la CNIL pour les données nécessaires à la facturation. A défaut, la Commission recommande aux
pouvoirs publics de porter une attention toute particulière aux futurs besoins des opérateurs afin de permettre, le cas échéant, une adaptation du décret.   Les données visées par le décret qui peuvent être conservées par les opérateurs tendent à permettre aux opérateurs de télécommunications de justifier la facturation de la communication passée ou des services rendus dans le cadre de cette communication.   La Commission relève que la donnée relative au numéro appelé et aux services complémentaires qui peuvent affecter un appel (renvoi, transfert ou réacheminement) ne sont pas prévus dans le cadre de l'article R. 9-1-1. Il conviendrait, dès lors, que ces informations indispensables, par exemple, lorsqu'un opérateur téléphonique doit justifier le montant d'une facture - soient présentes au titre des données qui peuvent être traitées par les opérateurs.   De la même façon, les informations relatives à l'heure du début et de fin de la session de connexion à Internet doivent pouvoir être conservées par les fournisseurs d'accès afin que ceux-ci puissent utiliser ces informations dans le cadre de la facturation.   (10) Article 6 paragraphe 2 de la directive 97/66/CE du Parlement européen et de Conseil du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications.   (11) La directive du 15 décembre 1997 n'a donc plus lieu d'être visée dans les visas du décret.   (12) Article 2 de la directive
du 12 juillet 2002 du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques.
2. La loi précise que ces données ne peuvent être utilisées et conservées que jusqu'à la fin de la période au cours de laquelle la facture peut être légalement contestée ou des poursuites engagées pour en obtenir le paiement, à savoir un an à compter du jour du paiement. Cette disposition, qui s'applique à l'ensemble des opérateurs de télécommunications, écarte les règles applicables en matière de prescription commerciale (10 ans) ou fiscale (de 3 à 6 ans).
   Sur les catégories de données conservées en vue d'assurer la sécurité des réseaux des opérateurs de télécommunications et sur leur durée de conservation,   En application du III de l'article L. 32-3-1 du code des postes et télécommunications, l'article 2 du projet de décret introduit un article R. 9-1-1 dans le code des postes et télécommunications dont le 4° traite des catégories de données techniques qui peuvent être conservées par les opérateurs de télécommunications au titre de la sécurité de leurs réseaux et installations.   1. Les données visées par le projet de décret n'appellent pas d'observation de la part de la Commission.   2. La durée de conservation fixée à trois mois par le décret paraît proportionnée à la finalité de sécurité des réseaux des opérateurs de télécommunications.
Sur les catégories de données conservées pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales et sur leur durée de conservation,   En application du II de l'article L. 32-3-1 du code des postes et télécommunications, l'article 2 du projet de décret introduit un article R. 9-1-2 dans le code des postes et télécommunications qui traite des catégories de données techniques qui doivent être conservées par les opérateurs de télécommunications pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales, ainsi que de leur durée de conservation, de l'évaluation et de la compensation des surcoûts issus de cette obligation.   1. La Commission rappelle que le décret doit indiquer de manière précise les catégories de données que les opérateurs doivent conserver pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales puisque cette conservation se fait en dérogation au principe général d'effacement ou d'anonymisation de ces données, la responsabilité pénale des opérateurs ou de leurs agents pouvant, à double titre, être engagée.   Certaines des données qui doivent être conservées par les opérateurs de télécommunications au titre de l'article R. 9-1-2 du code des postes et télécommunications appellent les observations suivantes.   En premier lieu, le décret précise que les données relatives aux en-têtes de message des courriers électroniques doivent permettre
"d'identifier l'ensemble des destinataires". La Commission souhaite que soit précisée la portée de cette disposition. En effet, la conservation du nom de domaine du serveur de l'ensemble des messages électroniques qu'une personne aura écrits (par exemple, de nombreux messages adressés à des personnes titulaires d'une adresse électronique du type nom.prénomsyndicat.fr) peut être de nature à dévoiler des informations exclues par le champ d'application du décret. En tout état de cause, les dispositions législatives interdisent que soient conservées les informations relatives au contenu ou au titre du courrier électronique.   En second lieu, l'obligation faite aux opérateurs de télécommunications de conserver la donnée relative à l'adresse IP du terminal de l'usager exclut, pour ceux d'entre eux qui utiliseraient des serveurs "proxies", de conserver les informations relatives aux pages Internet consultées par leurs clients. La conservation de telles données serait, en effet, contraire à l'article L. 32-3-1 du code des postes et télécommunications. En conséquence, les fournisseurs d'accès auront l'obligation de scinder les données éventuellement enregistrées dans leurs serveurs "proxies" afin de ne conserver que les données relatives aux adresses IP de leurs clients, à l'exclusion de toute autre donnée qui pourrait en être issue.
2. L'article L. 32-3-1 introduit par la loi sur la sécurité quotidienne pose le principe d'une durée maximale d'un an pour la conservation par les opérateurs de télécommunications des données nécessaires à la recherche, la constatation et la poursuite d'infractions pénales. La durée précise de conservation est fixée par le projet de décret au maximum légal possible, à savoir un an.   Dans son avis relatif au projet de loi sur la société de l'information, la Commission avait estimé, qu'eu égard au caractère exceptionnel et dérogatoire du dispositif retenu, "un délai de conservation de trois mois serait parfaitement proportionné et adapté aux intérêts en cause".   La Commission avait justifié sa position par le caractère largement dérogatoire aux principes généraux relatifs à la protection des données à caractère personnel d'une disposition qui oblige les opérateurs à conserver des données se rapportant à l'ensemble des personnes utilisant leurs services et qui ne présentent aucune utilité pour eux. Elle avait considéré, faisant application du principe de finalité, qu'une durée de trois mois serait adaptée aux objectifs d'intérêts publics poursuivis par le dispositif visé. Il y a lieu, dès lors, de s'interroger sur les circonstances de droit ou de fait qui seraient de nature à modifier cette position.   Il est incontestable que les infractions commises à l'aide des technologies de l'information ou directement liées à ces technologies ont fortement progressé lors de ces
dernières années. De même, l'internationalisation de plus en plus fréquente de ces infractions impose sans aucun doute que les autorités judiciaires disposent des moyens adaptés à l'évolution de la criminalité. La Commission relève que la coopération internationale se renforce dans ce domaine afin de faciliter le rapprochement d'informations nécessaires aux enquêtes judiciaires. Pour autant, elle rappelle que l'objectif de lutte contre la criminalité et le terrorisme doit s'inscrire dans le respect des principes relatifs à la protection des données à caractère personnel.   A ce titre, la Commission estime qu'une durée de conservation limitée à trois mois par les opérateurs de télécommunications serait de nature à réduire les risques induits par un dispositif qui déroge aux règles applicables à la protection des données à caractère personnel, tout en permettant aux autorités judiciaires d'exercer leurs activités dans des conditions acceptables, étant entendu qu'elles peuvent toujours, dans le cadre d'une enquête, obtenir la préservation de certaines données.   Le Président, Michel GENTOT.
La Commission Nationale de l'Informatique et des Libertés,   Saisie pour avis par le Député-maire de Levallois-Perret, en application de l'article 15 de la loi du 6 janvier 1978, d'un projet d'arrêté portant création d'un traitement de gestion des accès au "roller-parc";   Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;   Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application de la loi du 6 janvier 1978 susvisée ;   Après avoir entendu M. Maurice BENASSAYAG, commissaire en son rapport et Mme Charlotte-Marie PITRAT, commissaire du Gouvernement en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :   La Direction des sports de la mairie de Levallois-Perret met en oeuvre un traitement automatisé d'informations nominatives de contrôle de l'accès des abonnés au "roller-parc", recourant à un dispositif de reconnaissance des empreintes digitales.   La mairie fait valoir que l'utilisation d'un procédé biométrique permet d'éviter les difficultés liées à l'utilisation de cartes d'accès, lesquelles sont généralement oubliées, perdues, volées, échangées et ainsi d'assurer la sécurité des équipements récemment installés.   Le système repose sur la création d'une part d'un fichier des abonnés au "roller-parc" comportant les nom, prénom, date de naissance, adresse, numéro de téléphone ainsi qu'un numéro d'ordre chronologique, d'autre part, d'une base de données contenant l'enregistrement des caractéristiques des empreintes d'un doigt de la personne associé au numéro d'ordre chronologique.   Cette base de données biométriques est centralisée à la direction des Sports et reliée, via le réseau téléphonique commuté, à un boîtier de stockage situé à l'entrée du "roller-parc". En pratique, l'abonné désireux d'accéder aux équipements doit poser son doigt sur le lecteur d'empreintes digitales associé au boîtier. La reconnaissance de l'empreinte déclenche l'ouverture du tourniquet à l'entrée.   Les empreintes digitales sont des données biométriques qui "laissent des traces" pouvant ensuite être exploitées à des fins d'identification de personnes. Dès
lors la constitution et l'utilisation de bases de données nominatives associées à des empreintes digitales, même limitée à la comparaison des empreintes aux seules fins de contrôle d'accès à des locaux ou à des services, comportent un risque d'atteinte aux libertés individuelles dans la mesure où elle est susceptible d'être utilisée à des fins étrangères à la finalité initialement poursuivie.   La Commission estime en conséquence que la constitution de bases de données d'empreintes digitales, compte tenu des caractéristiques de l'élément d'identification physique retenu et des usages possibles de ces bases de données, ne peut être admise que dans certaines circonstances particulières où l'exigence de sécurité et d'identification des personnes est impérieuse.   Or, en l'espèce, l'objectif invoqué par la mairie de se doter d'un dispositif évitant la manipulation de cartes pour gérer les accès ne justifie pas la conservation dans une base de données des empreintes digitales des personnes fréquentant le "roller-parc". En conséquence, le traitement pris dans son ensemble n'apparaît ni adapté ni proportionné à l'objectif poursuivi.
EMET UN AVIS DEFAVORABLE au projet d'arrêté présenté par la mairie de Levallois-Perret.   Le Président, Michel GENTOT.
La Commission nationale de l'informatique et des libertés ;   Saisie pour avis par le ministre des Affaires étrangère d'un projet de décret relatif à l'inscription au registre des Français établis hors de France ;   Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données ;   Vu la convention de Vienne du 24 avril 1963 sur les relations consulaires ;   Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;   Vu le Code civil, notamment ses articles 30, 103, 104 et 105 ;   Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés :   Vu la loi n° 78-753 du 17 juillet 1978 modifiée portant diverses mesures d'améliorations des relations entre l'administration et le public et diverses dispositions d'ordre administratif, social et fiscal ;   Vu le décret n° 55-1397 du 22 octobre 1955 modifié instituant la carte nationale d'identité ;   Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application des chapitres Ier à IV et VII de la loi du 6 janvier 1978 précitée ;   Vu le décret n° 79-433 du 1er juin 1979 relatif aux pouvoirs des ambassadeurs et à l'organisation des services de l'Etat à l'étranger, notamment son article 1er ;   Vu le décret
n° 99-176 du 9 mars 1999 relatif à l'immatriculation consulaire dans les postes diplomatiques et consulaires ;   Vu le décret n° 2000-1277 du 26 décembre 2000 portant simplification de formalités administratives et suppression de la fiche d'état civil ;   Vu le décret n° 2001-185 du 26 février 2001 relatif aux conditions de délivrance et de renouvellement des passeports ;   Vu le décret n° 2002-701 du 29 avril 2002 relatif à la protection des citoyens de l'Union européenne par les représentations diplomatiques et consulaires de la France ;   Vu le projet de décret du ministre des Affaires étrangères ;   Après avoir entendu Monsieur François GIQUEL, commissaire, en son rapport et Madame Charlotte-Marie PITRAT, commissaire du gouvernement, en ses observations ;
FORMULE LES OBSERVATIONS SUIVANTES :   Le ministre des Affaires étrangères a saisi la Commission d'un projet de décret relatif à l'inscription au registre des Français établis hors de France. Ce projet de décret abroge le décret du 9 mars 1999 relatif à l'immatriculation consulaire dans les postes diplomatiques et consulaires.   Conformément à l'article 2 du projet de décret, cette procédure est destinée à améliorer la connaissance que le chef de poste consulaire a de la communauté de ressortissants français installés dans sa circonscription, à faciliter l'exercice de la protection consulaire et à permettre l'établissement et la mise à jour du plan de sécurité propre au poste.   Pour l'intéressé, la nouvelle procédure a pour objet de faciliter l'accomplissement de formalités administratives, de lui permettre d'accéder à certaines procédures ou prestations liées à sa résidence à l'étranger et, enfin, de recevoir des informations d'ordre général du poste consulaire dont il dépend.
La réforme envisagée a pour objet de faciliter et de simplifier l'accomplissement de cette démarche en permettant d'une part, de l'effectuer par différents moyens, et notamment par voie électronique, d'autre part, de l'effectuer, de façon automatique, à l'occasion de l'accomplissement au poste consulaire concerné, d'une autre formalité exigeant la justification de l'état civil, de la nationalité et de la résidence, telle que notamment la délivrance ou le renouvellement d'une carte nationale d'identité ou d'un passeport ou l'inscription sur les listes électorales. Dans un même souci de simplification, l'article 14 du projet de décret prévoit que plusieurs registres peuvent être tenus conjointement par plusieurs chefs de poste consulaire, l'inscription au registre des Français installés hors de France pouvant alors permettre de s'inscrire, le cas échéant, dans un poste consulaire proche de sa résidence.   La Commission relève que l'objectif de simplification des démarches administratives qui est poursuivi est légitime et que les caractéristiques fondamentales de l'inscription consulaire, en particulier son caractère facultatif, ne sont pas modifiées.   Elle observe que le ministère des Affaires étrangères souhaite également, dans le cadre de cette réforme, attribuer à chaque Français inscrit au registre des Français établis hors de France un numéro d'identification personnel unique qui permettrait, à terme, à l'intéressé d'effectuer des formalités administratives à partir