AgentPublic/cnil huggingface dataset:
toutes précautions pour préserver la sécurité des données, et notamment empêcher qu'elles soient déformées, endommagées, ou que des tiers non autorisés y aient accès.Enfin, la Commission considère que des mesures strictes doivent être mises en œuvre concernant les services qui exercent à la fois des missions de renseignement et des missions de police judiciaire, afin que les nouveaux accès prévus par la loi relative au renseignement interviennent conformément aux dispositions du CSI.
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret en Conseil d'Etat modifiant le décret n° 2014-1162 du 9 octobre 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé  Plate-forme nationale des interceptions judiciaires ,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de procédure pénale, notamment ses articles 74-2, 60-2, 77-1-2, 99-4, 80-4,100 à 100-7, 706-95, R. 40-42 à R. 40-56 ;Vu le code des postes et des communications électroniques, notamment ses articles L. 34-1, R. 10-12 à R. 10-14 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 30 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2007-115 du 30 juillet 2007 portant création d'un traitement automatisé de données à caractère personnel dénommé  Système de transmission d'interceptions judiciaires  ;Vu le décret n° 2011-219 du 25
février 2011 relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne, notamment son article 1er ;Vu le décret n° 2014-1162 du 9 octobre 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé  Plate-forme nationale des interceptions judiciaires  ;Vu la délibération n° 2014-009 du 16 janvier 2014 portant avis sur un projet de décret autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel dénommé  Plate-forme nationale des interceptions judiciaires  ;
Après avoir entendu M. Gaétan GORCE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La commission a été saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret modifiant le décret n° 2014-1162 du 9 octobre 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé  Plate-forme nationale des interceptions judiciaires  (PNIJ), pris après avis de la commission en date du 16 janvier 2014.L'article 1er du décret du 9 octobre 2014 susvisé, relatif aux modalités de mise en œuvre du traitement PNIJ, a été codifié aux articles R. 40-42 à R. 40-56 du code de procédure pénale (CPP). L'article 4 dudit décret est quant à lui relatif à l'abrogation du décret n° 2007-1145 du 30 juillet 2007 portant création d'un traitement automatisé de données à caractère personnel dénommé  Système de transmission d'interceptions judiciaires  (STIJ), auquel la PNIJ a vocation à succéder.Sur le report de l'abrogation du décret n° 2007-1145 du 30 juillet 2007 relatif au STIJLa PNIJ a pour objet de centraliser, d'une part, les données de connexion définies aux articles L. 34-1 du code des postes et des communications électroniques (CPCE) et 6-I1 de la loi n° 2004-575 du 21 juin 2004 modifiée (LCEN), obtenues dans le cadre d'une réquisition judiciaire en application des articles 60-2, 77-1-2 et 99-4 du code de procédure pénale (CPP), et, d'autre part, les données
issues des interceptions de correspondances émises par la voie des télécommunications, réalisées sur le fondement des articles 74-2, 80-4,100 à 100-7 et 706-95 du CPP.En effet, avant la mise en œuvre de cette plateforme, les dispositifs d'interception des communications électroniques et les réquisitions de données de connexion reposaient sur un système hétérogène et décentralisé.Ainsi, les réquisitions de données de connexion étaient réalisées directement par l'enquêteur auprès de l'operateur de communications électroniques, du fournisseur d'accès à internet (FAI) ou de l'hébergeur, sans qu'un outil commun soit mis à la disposition des enquêteurs et des opérateurs.S'agissant des interceptions judiciaires, aucun traitement ne permettait la centralisation, au sein d'un dispositif dédié, du contenu de l'ensemble des communications interceptées dans le cadre de procédures judiciaires. Le STIJ, créé par décret du 30 juillet 2007 susvisé, permet néanmoins à l'autorité judiciaire de disposer du contenu des minimessages (SMS ou MMS) émis ou reçus par un numéro de téléphone dont la ligne est interceptée, ainsi que les données de trafic associées, que leur transmettent, sur réquisition judiciaire, les opérateurs de communications électroniques.La PNIJ a ainsi vocation à se substituer au STIJ et à centraliser ces deux types de réquisitions. C'est pourquoi il est prévu, à l'article 4 du décret du 9 octobre 2014 susmentionné, d'abroger le décret n° 2007-1145 du 30 juillet 2007 relatif au
STIJ six mois après la mise en œuvre de la PNIJ et au plus tard le 31 décembre 2015.Néanmoins, le ministère a entendu procéder au déploiement de la plateforme de manière progressive, de sorte qu'il ne sera pas achevé au 31 décembre 2015. La modification envisagée vise dès lors à permettre un report de l'abrogation du décret du 30 juillet 2007 précité au 31 décembre 2016.Plus précisément, le ministère de la justice a limité dans un premier temps les services d'enquêtes participant à la phase pilote. L'ouverture de la PNIJ à l'ensemble des services enquêteurs interviendra, en fonction des zones de défense auxquelles ils appartiennent, entre octobre 2015 et le deuxième semestre 2016.Le ministère de la justice a par ailleurs ouvert progressivement les différentes prestations pouvant être demandées. Ainsi, seules les données de connexion, mentionnées au 3° de l'article R. 40-46 du CPP, ont dans un premier temps été traitées par l'intermédiaire de la PNIJ. Les réquisitions d'interception ont, par la suite, été ouvertes à la PNIJ.La version actuelle de la PNIJ ne permet pas techniquement de traiter les données prévues à l'article R. 40-46-2° du CPP (données liées aux communications électroniques faisant l'objet d'une mesure de géolocalisation en temps réel). De même, la fonction de reconnaissance vocale du locuteur n'est pas disponible. Des développements ultérieurs de la PNIJ permettront progressivement de prendre en compte ces fonctionnalités.Ce déploiement progressif de la PNIJ
permet de tester l'efficacité du dispositif, tant d'un point de vue procédural que de sécurité des données ainsi traitées. La commission prend acte que cela permet ainsi de s'assurer que les données sont traitées conformément aux modalités prévues par les articles R. 40-42 à R. 40-56 du CPP. D'une manière générale, le ministère estime que l'utilisation de la PNIJ dans le cadre de cette phase pilote est satisfaisante, aussi bien en ternies de rapidité de traitement des réquisitions et des réponses des opérateurs que de sécurité des échanges.La commission relève enfin que le décret du 30 juillet 2007 susvisé prévoit une durée de conservation dans le STIJ du contenu des minimessages et des données de connexion limitée à 30 jours, ces données étant ensuite transférées sur le poste de travail de l'enquêteur qui en conserve ainsi la totale disponibilité. Les informations relatives aux destinataires des interceptions judiciaires sont quant à elles conservées dans le STIJ pendant un délai de trois ans à compter de leur enregistrement.Or, la commission a pris acte dans sa délibération du 16 janvier 2014 susvisée qu'aucune donnée du STIJ ne serait reprise dans la PNIJ. L'abrogation du décret relatif au STIJ devra ainsi s'accompagner de l'effacement de l'ensemble des données qui y sont enregistrées. La commission s'interroge dès lors sur le devenir des données provenant du STIJ et transférées sur le poste de travail des enquêteurs.A cet égard, elle rappelle que, dans sa délibération du
16 janvier 2014, elle a estimé que l'enregistrement de données sur les postes informatiques des enquêteurs ne permet pas d'assurer de manière satisfaisante la sécurité et notamment la confidentialité des enregistrements.La commission souhaite dès lors être tenue informée des mesures prises par les ministères de l'intérieur et de la justice pour que les données provenant du STIJ et transférées sur le poste de travail des enquêteurs soient traitées selon des modalités conformes aux dispositions des articles R. 40-42 à R. 40-56 du CPP.Sous cette réserve, la commission estime que le report de l'abrogation du décret relatif au STIJ ne pose pas de difficulté particulière.En revanche, elle relève que si la PNIJ permet également de procéder au transfert de tout ou partie des communications sur le poste de travail de l'enquêteur, la chancellerie a indiqué qu'aucun besoin de transfert de tout ou partie des communications interceptées sur le poste de travail d'un enquêteur n'a été exprimé pendant la phase pilote. Au regard des risques en matière de sécurité liés à cette pratique, la commission appelle l'attention du ministère sur la nécessité de limiter, par des mesures techniques, la mise en œuvre de cette fonctionnalité aux seules situations qui l'exigent.Sur la prise en compte par le ministère de la justice des observations formulées par la commission dans sa précédente délibérationAu-delà de la modification envisagée, la commission rappelle qu'elle avait estimé, au regard de
l'ampleur des données traitées et de la nature des actes d'enquêtes concernés, que des mesures juridiques et techniques adaptées devaient être prévues afin d'assurer un haut niveau de protection des données. Elle avait également indiqué qu'elle se montrerait particulièrement attentive aux conditions réelles de déploiement de la plate-forme.Ainsi, elle prend acte que plusieurs de ses recommandations en matière de sécurité seront mises en œuvre par le ministère de la justice, selon différentes échéances : une réévaluation régulière du niveau des risques sera désormais mise en œuvre, un mécanisme automatique pour détecter les traces dont la durée de conservation est arrivée à échéance et une synthèse régulière de ces traces seront développés dans les prochaines versions de la PNIJ.Par ailleurs, la commission rappelle que des mesures de sécurité adéquates doivent également être mises en œuvre par les opérateurs. A cet égard, l'article R. 15-33-72 du CPP prévoit qu'un protocole passé par le ministre de la justice et, selon les cas, le ministre de l'intérieur ou le ministre chargé du budget, avec les organismes qui mettent à la disposition des enquêteurs des données par voie électronique au cours des enquêtes judiciaires, précise les modalités techniques d'interrogation et de transmission des informations et qu'une copie de chaque protocole signé doit être adressée à la CNIL à l'occasion du dépôt des formalités préalables prévues par la loi du 6 janvier 1978 modifiée.Conformément
à ces dispositions, la commission a été rendue destinataire de cinq protocoles, dont l'examen lui permettra d'assurer un contrôle supplémentaire sur les mesures de sécurité entourant le dispositif.Enfin, s'agissant des modalités de contrôle de la PNIJ, alors que l'article R. 40-53 du CPP ne prévoit pas de rendre la commission destinataire du rapport établi par la personnalité qualifiée en charge du contrôle de la PNIJ, ce qu'elle avait déploré dans sa délibération du 16 janvier 2014, le ministère de la justice a précisé qu'un exemplaire dudit rapport lui serait transmis. La commission prend acte de cet engagement, de nature à permettre un meilleur contrôle de la mise en œuvre de la PN IJ.
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret modifiant le code de procédure pénale et relatif au fichier judiciaire national automatisé des auteurs d'infractions terroristes ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code pénal, notamment ses articles 421-1 à 421-6 ;Vu le code de procédure pénale, notamment ses articles 706-25-3 à 706-25-14 et R. 64 ;Vu le code de la sécurité intérieure, notamment son article L. 224-1 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26 ;Vu la loi n° 2015-912 du 24 juillet 2015 relative au renseignement, notamment son article 19 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2010-569 du 28 mai 2010 modifié relatif au fichier des personnes recherchées ;Vu la délibération n° 2015-119 du 7 avril 2015 portant avis sur un projet de dispositions législatives visant à créer un fichier national des
auteurs d'infractions terroristes (FIJAIT) ;
Après avoir entendu M. Gaétan GORCE, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie, par le ministre de la justice, d'un projet de décret en Conseil d'Etat modifiant le code de procédure pénale et relatif au fichier judiciaire national automatisé des auteurs d'infractions terroristes (FIJAIT).Créé par la loi n° 2015-912 du 24 juillet 2015 susvisée, le FIJAIT a pour objet de permettre la prévention de la récidive des infractions terroristes. Les dispositions législatives visant à créer le FIJAIT, sur lesquelles la commission s'est prononcée dans son avis du 7 avril 2015, ont modifié le code de procédure pénale (CPP).Le législateur a fixé les principales caractéristiques de ce traitement. Les finalités poursuivies par le FIJAIT, les décisions qui peuvent motiver une inscription audit fichier, les obligations qui incombent, à titre de mesure de sûreté, à la charge des personnes inscrites au FIJAIT, les durées de conservation des données, les personnels habilités à accéder directement aux données ou à en recevoir communication, ainsi que les modalités d'exercice des droits de rectification et d'effacement, sont ainsi expressément prévus aux articles 706-25-3 à 706-25-14 du CPP.En application des dispositions de l'article 706-25-14 du CPP, le décret d'application déterminant les conditions de mise en œuvre du FIJAIT doit être pris
après avis de la commission. Ce traitement intéressant la sûreté de l'Etat et la sécurité publique et ayant pour objet la prévention des infractions pénales et l'exécution des mesures de sûreté, il relève également des dispositions prévues à l'article 26-1 de la loi du 6 janvier 1978 modifiée. La commission rappelle dès lors que la présente délibération devra être publiée avec le décret en Conseil d'Etat portant autorisation de la mise en œuvre de ce traitement, conformément auxdites dispositions.Sur les finalités poursuivies par le FIJAIT :L'article 706-25-3 du CPP prévoit que le FIJAIT a pour finalités la prévention du renouvellement des infractions mentionnées à l'article 706-25-4 du même code et l'identification de leurs auteurs. Il s'agit des infractions  matérielles  liées au terrorisme et prévues aux articles 421-1 à 421-6 du code pénal, à l'exception des délits d'apologie et de provocation aux actes de terrorisme prévus à l'article 421-2-5 du code pénal, ainsi que des infractions prévues aux deux derniers alinéas de l'article L. 224-1 du code de la sécurité intérieure (CSI), à savoir le fait de quitter le territoire national en violation d'une décision d'interdiction de sortie en cas de risque de participation à des activités terroristes et le fait de se soustraire à l'obligation de restitution des titres d'identité en cas d'une telle d'interdiction.Plus précisément, le FIJAIT est un fichier d'adresses spécifique aux catégories d'infractions précitées, concernant des
personnes mises en cause ou condamnées pour lesdites infractions, qui doit permettre d'assurer un suivi de ces personnes inscrites au FIJAIT. Ces dernières sont astreintes, à titre de mesure de sûreté, au respect des obligations énumérées à l'article 706-25-7 du CPP, à savoir : justifier de leur adresse régulièrement, déclarer tout changement d'adresse dans un délai de quinze jours, déclarer tout déplacement à l'étranger quinze jours au plus tard avant ledit déplacement et déclarer tout déplacement en France quinze jours au plus tard avant ledit déplacement si la personne réside à l'étranger.La commission relève que, dans tous les cas, ne pourront être inscrites au FIJAIT que les personnes mises en cause ou condamnées pour avoir pris une part active dans une activité terroriste. S'il n'appartient pas à la commission de se prononcer sur les finalités de ce fichier, dans la mesure où elles ont été expressément prévues par le législateur, elle rappelle que, dans le cadre des dispositions qui lui avaient été initialement soumises, la commission avait considéré que le suivi des personnes mises en cause ou condamnées pour de telles infractions constituait, au regard de la particulière gravité de ces dernières, une finalité déterminée, explicite et légitime, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.Sur les données collectées :Le projet d'article R. 50-36 du CPP prévoit, conformément à l'article 706-25-4 du même code, que les informations enregistrées
dans le FIJAIT concernent l'identité et les adresses successives du domicile ou des résidences des personnes ayant fait l'objet des mesures suivantes. Il s'agit des décisions de condamnation, y compris les condamnations par défaut ou les déclarations de culpabilité assorties d'une dispense ou d'un ajournement de peine (1°), ainsi que les décisions prononcées en application des dispositions susvisées de l'ordonnance du 2 février 1945 relative à l'enfance délinquante (2°). Sont également concernées les décisions d'irresponsabilité pénale pour cause de trouble mental (3°), les décisions de même nature que les décisions précitées prononcées par les juridictions étrangères (4°) ou les décisions de mise en examen (5°).Il est également prévu de collecter la filiation des personnes devant être inscrites au fichier, mais uniquement dans l'hypothèse où ces dernières ne figureraient pas déjà au répertoire national d'identification des personnes physiques (RNIPP). La commission estime que l'enregistrement de cette information est justifié dans ce cas précis, dans la mesure où la collecte ainsi réalisée a pour seul but de ne pas inscrire par erreur une personne au FIJAIT, tout comme c'est le cas dans d'autres traitements, comme par exemple le fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAISV), et où cette donnée ne pourra être utilisée comme un critère de recherche dans la base.Des informations concernant la décision ou la mesure justifiant
l'inscription au FIJAIT sont enregistrées, et notamment la date et du lieu des faits commis par l'intéressé. A cet égard, la commission estime que la collecte de cette donnée est justifiée au regard de la finalité de prévention des infractions terroristes. En effet, les officiers de police judiciaire pourront ainsi identifier et localiser plus facilement les auteurs des infractions visées à l'article 706-25-4 du CPP dans le cadre d'une enquête judiciaire relative à des infractions de même nature commises dans un périmètre proche.Enfin, le projet d'article R. 50-36 du CPP prévoit que peuvent également être enregistrées des  informations diverses , parmi lesquelles figurent les  décisions prises en application de l'article 706-25-12  du CPP, c'est-à-dire les rectifications ou les effacements de données effectués sur demande de la personne concernée et les dates et motifs de l'inscription au FPR.Selon le ministère, la conservation de ces dernières données doit permettre de garder un historique complet du dossier, notamment concernant les décisions qui conduisent à rectifier une erreur matérielle ou à effacer un dossier. S'agissant de l'enregistrement des données relatives aux  date et motif de l'inscription au FPR , le ministère a indiqué que de telles données visent à permettre de conserver un historique des actions liées à l'inscription au FPR (date d'inscription au FPR pour les inscriptions d'origine liées à une inscription au FIJAIT, notification en attente ou non-respect
des obligations des personnes inscrites dans ce fichier).Compte tenu de l'ensemble de ces éléments, la commission considère que les données sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément aux dispositions de l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.Sur les modalités d'inscription au FIJAIT :Les projets d'articles R. 50-31 à R. 50-35 du CPP détaillent les différentes modalités d'inscription des personnes au FIJAIT, laquelle est subordonnée au prononcé des décisions judiciaires limitativement énumérées à l'article 706-25-4 du CPP. L'enregistrement est réalisé par le parquet, le juge d'instruction ou son greffier, en fonction des procédures.De manière générale, la commission relève que cette inscription au FIJAIT est subordonnée à une procédure stricte de contrôle, dont il revient au ministère de s'assurer de l'effectivité.Ainsi, des garanties identiques au FIJAISV ont été prévues pour le FIJAIT, notamment le fait qu'il soit placé sous le contrôle du magistrat dirigeant le casier judiciaire national, auquel le projet de décret reconnaît la possibilité de refuser ou d'effacer les enregistrements qui ne respectent pas les exigences légales. Ce contrôle porte notamment sur la vérification de la cohérence et de l'exactitude des informations à enregistrer, ainsi que sur la validité de l'inscription au regard du caractère exprès de la décision judiciaire ordonnant l'inscription au FIJAIT.L'article
4 du projet de décret prévoit que le gestionnaire du FIJAIT procédera, avant d'inscrire effectivement une personne dans ce traitement, à la vérification de son identité dans les conditions prévues par l'article R. 64 du CPP, c'est-à-dire au vu du répertoire national d'identification des personnes physiques (RNIPP). L'article 4 du projet de décret modifie par coordination l'article R. 64 du CPP afin de permettre au service du casier judiciaire d'utiliser l'extrait du RNIPP aux seules fins de vérifier l'identité des personnes inscrites au FIJAIT.Après vérification de l'identité des personnes concernées, l'alimentation du fichier est opérée directement et sans délai par les magistrats, par l'intermédiaire de moyens de télécommunication sécurisés.La commission relève que les différents types de contrôles, exercés sous l'autorité hiérarchique du magistrat dirigeant le casier judiciaire national, ne sont pas prévus par le présent projet de décret. Elle prend acte que, à sa demande, le projet d'article R. 50-37 du CPP sera modifié afin d'indiquer précisément la nature des contrôles effectués.En outre, elle relève que les dispositions réglementaires projetées n'apportent aucune précision quant aux hypothèses où plusieurs décisions seraient rendues à l'encontre d'une même personne. La commission prend acte que, à sa demande, le projet d'article R. 50-64 du CPP sera modifié afin de mentionner que chaque inscription sera gérée de façon indépendante.Sous ces réserves, la commission