AgentPublic/cnil huggingface dataset:
La Chambre d’agriculture des Vosges a saisi la Commission nationale de l’informatique et des libertés d’un projet de traitement automatisé de données à caractère personnel ayant pour finalité la constitution d’un fichier nominatif recensant les incidents de paiement survenus à l'occasion des prestations de services délivrées.Étant confrontée à des impayés, la chambre d’agriculture souhaite constituer une liste noire des personnes en impayés. Il s’agit de celles ayant bénéficié d’une prestation payante et n’ayant pas réglé leur dette malgré plusieurs relances et dont le recouvrement de la créance a été confié à un huissier de justice. Il y a donc lieu, en l’espèce, de faire application de l’article 25-I-4° de la loi du 6 janvier 1978 modifiée qui soumet à autorisation préalable de la CNIL les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d’exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat en l’absence de toute disposition législative ou réglementaire.A défaut de paiement à l’issue de la prestation, la Chambre d’agriculture des Vosges contacte dans un premier temps la personne par téléphone puis lui adresse deux relances par courrier.A la suite de ces relances, si le débiteur ne s’acquitte pas du prix de la prestation, la Chambre d’agriculture des Vosges envoie une mise en demeure par courrier recommandé et l’informe que le non-paiement au terme d’un délai de quinze jours entraînera son
inscription au fichier des incidents de paiement. Cette liste aura notamment pour but d’empêcher que ne soient proposées de nouvelles prestations à un débiteur n’ayant pas régularisé sa situation vis-à-vis de la Chambre d’agriculture.La Commission prend acte que cette inscription sur le fichier des incidents n’aura pas d’incidence sur la délivrance des autres services assurés par la Chambre d’agriculture des Vosges au titre de ses missions de service public. La Commission considère la finalité poursuivie comme déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données contenues dans le fichier sont les suivantes :
identification du débiteur : nom, prénom, adresse ;
n° cheptel (numéro d’éleveur) ;
huissier en charge du dossier ;
montant global de la créance et reste à payer.
La Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
Sur les destinataires
Seules les personnes habilitées de la Chambre d’agriculture des Vosges auront accès à ce fichier à savoir les conseillers en contact direct avec les agriculteurs.Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur l’information et le droit d’accès 
Les personnes sont informées de l’existence du fichier, conformément aux prescriptions de l’article 32 de la loi du 6 janvier 1978 modifiée via le bon de commande.En cas de non paiement, la personne est informée par courrier postal recommandé de son inscription sur la liste des impayés, passé un délai de quinze jours à réception de ce courrier et, le cas échéant, lors de l’inscription effective dans le fichier.La Commission considère que l’information délivrée aux personnes est suffisante.Les droits d’opposition, d’accès et de rectification s’exercent par voie postale auprès de la Chambre d’agriculture des Vosges.
Sur les mesures de sécurité
La Commission rappelle que des mesures de protection physique et logique doivent être mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.En l’espèce, la Chambre d’agriculture des Vosges met en place un système permettant de s’assurer que seuls les destinataires habilités aient accès au fichier des impayés. A ce titre, un dispositif  d’authentification couplant un identifiant et un mot de passe d’une longueur minimale de huit caractères et composés des types de caractères suivants: chiffres, minuscules, majuscule et caractère spéciaux est mis en œuvre.
Sur les autres caractéristiques du traitement
Les données sont supprimées dès régularisation de l’incident de paiement. À défaut de régularisation, les informations sont conservées pendant 15 mois. 
Autorise, conformément à la présente délibération, la Chambre d’agriculture des Vosges à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministre des finances et des comptes publics d'une demande d'avis portant avis sur un projet d'arrêté relatif à la mise en œuvre d'un traitement automatisé de données à caractère personnel permettant la transmission par voie électronique des éléments descriptifs des locaux d'habitation et des locaux servant à l'exercice d'une activité salariée à domicile dénommé  TREVI 2 ,Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;Vu la loi n° 2010-1658 du 29 décembre 2010 de finances rectificative pour 2010, notamment son article 34 ;Vu la loi n° 2013-1279 du 29 décembre 2013 de finances rectificative pour 2013, notamment son article 74 ;Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux
fichiers et aux libertés ;Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;Vu l'arrêté du 18 décembre 2014 fixant la liste des départements d'expérimentation de la révision des valeurs locatives des locaux d'habitation prévue à l'article 74 de la loi n° 2013-1279 du 29 décembre 2013 de finances rectificatives pour 2013 ;Vu la délibération n° 2012-234 du 5 juillet 2012 portant avis sur un projet d'arrêté relatif à la mise en œuvre d'un traitement de données à caractère personnel permettant la transmission par voie électronique des éléments descriptifs des locaux professionnels et commerciaux, et dénommé  TREVI  ;Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie d'une demande d'avis portant sur un projet d'arrêté relatif à la mise en œuvre d'un traitement automatisé de données à caractère personnel permettant la transmission par voie électronique des éléments descriptifs des locaux d'habitation et des locaux servant à l'exercice d'une activité salariée à domicile dénommé  TREVI 2 .Ce traitement est mis en œuvre par la direction générale des finances publiques (DGFiF), à titre expérimental, dans les départements de la Charente-Maritime, du Nord, de l'Orne, de Paris et du Val-de-Marne. Il permet, sur l'année 2015, une expérimentation de la révision des valeurs locatives des locaux d'habitation et des locaux servant à l'exercice d'une activité salariée.Afin de mener à bien cette expérimentation, l'administration fiscale envisage d'adapter le téléservice  TREVI , déjà utilisé dans le cadre de la révision des valeurs locatives des locaux professionnels et commerciaux et sur lequel la commission s'est prononcée par délibération du 5 juillet 2012 susvisée. Elle prend acte des précisions apportées par le ministère selon lesquelles la campagne de collecte des informations relatives aux locaux professionnels et commerciaux étant terminée, le téléservice TREVI n'est plus offert aux propriétaires de ces
locaux et l'arrêté portant création de ce téléservice est donc abrogé. Le traitement projeté relève des dispositions de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par arrêté, pris après avis motivé et publié de la commission.Sur la finalité du traitement :L'article 74 de la loi de finances rectificative du 23 décembre 2013 susvisée prévoit une expérimentation de la révision de la valeur locative des locaux d'habitation et des locaux servant à l'exercice d'une activité salariée à domicile, laquelle est déterminée en fonction des éléments suivants : l'état du marché locatif, la nature, la situation, la consistance de la propriété concernée ou de la fraction de la propriété considérée.Cette expérimentation a pour objet de permettre la révision des valeurs locatives cadastrales, lesquelles correspondent au rendement théorique brut de la propriété et sont nécessaires à l'établissement de l'assiette des impôts locaux. Elle s'inscrit dans la continuité de la précédente expérimentation menée sur la révision des valeurs locatives applicables aux locaux professionnels et commerciaux, prévue par l'article 34 de la loi du 29 décembre 2010 susvisée.Le traitement projeté doit permettre de retracer, pour les locaux concernés, les conséquences de la révision de la valeur locative cadastrale pour les contribuables, les collectivités territoriales, les établissements publics de coopération intercommunale et l'Etat. Les propriétaires des locaux
concernés situés dans les départements choisis pour l'expérimentation seront sollicités pour déposer une déclaration spécifique décrivant leur bien et mentionnant les éléments nécessaires à la révision de la valeur locative par l'administration fiscale (nature du local, année d'achèvement, etc.).La commission observe que l'article 1er du projet d'arrêté fait référence au caractère expérimental du traitement sans préciser la durée de cette expérimentation. Elle prend acte que le projet d'arrêté sera modifié afin d'indiquer expressément que l'expérimentation envisagée ne concerne que l'année 2015.La commission relève que les résultats de cette expérimentation seront présentés dans un rapport, remis au Parlement avant le 30 septembre 2015. Elle prend également acte de l'engagement du ministère des finances et des comptes publics de lui adresser un bilan du déroulement de l'expérimentation, lequel portera notamment sur le déroulement opérationnel des travaux réalisés et l'usage de la téléprocédure.Au regard de ces éléments, la commission considère que la finalité poursuivie par le traitement projeté est déterminée, explicite et légitime.Sur la nature des données traitées et leur durée de conservation :L'article 3 du projet d'arrêté énumère les données collectées dans le cadre du traitement projeté, à savoir :
- des données dites d'identification (identification, mot de passe, adresse du propriétaire, adresse du local, etc.) ;- des informations relatives au local (nature du local, année d'achèvement, etc.) ;- des données de connexion (adresse IP du télédéclarant et horodatage de la déclaration).
L'article 4 du projet d'arrêté prévoit que les données d'identification, à l'exception de l'adresse électronique et du numéro de téléphone, sont issues du traitement MAJIC 3 (gestion des informations cadastrales), également placé sous la responsabilité de la DGFiP.La commission prend acte des précisions apportées par le ministère, selon lesquelles les informations collectées dans le cadre de cette expérimentation ne seront pas prises en compte dans la documentation cadastrale et seront dès lors sans impact sur les valeurs locatives dans les départements participant à l'expérimentation.La commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.L'article 6 du projet d'arrêté énonce que les données d'identification ainsi que les informations relatives au local concerné sont conservées moins d'un an. Cette formulation correspondant en réalité à une durée de conservation maximale, la commission prend acte qu'à sa demande l'article 6 sera précisé sur ce point afin de faire apparaître le seuil au-delà duquel les données seront effacées, à savoir le 1er février 2016.Sous cette réserve, la commission considère que cette durée de conservation est proportionnée au regard de la finalité poursuivie par le traitement.Sur les destinataires des données :L'article 5 du projet d'arrêté indique que sont destinataires des
informations traitées les agents habilités de la DGFiP. La commission considère que ces destinataires ont un intérêt légitime à accéder aux données du téléservice dénommé  TREVI 2 .Sur les droits des personnes :La commission relève que l'information des personnes concernées par l'expérimentation est satisfaisante (mentions légales sur formulaire, mentions sur le site internet www.gouv.fr, publication de l'acte réglementaire).L'article 7 du projet d'arrêté prévoit que les droits d'accès et de rectification s'exercent auprès du centre des finances publiques du lieu de situation du local.Le droit d'opposition prévu par l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au traitement projeté, ce qui n'appelle pas d'observation particulière.Sur la sécurité des données et la traçabilité des actions :La commission rappelle tout d'abord que le traitement projeté constituant un téléservice de l'administration fiscale, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé. A cet égard, elle prend acte des précisions apportées par le ministère selon lesquelles l'analyse de sécurité qui a été réalisée n'a pas fait apparaître de risques résiduels notables.Par ailleurs, la commission relève que des mesures de sécurité logique et physique sont mises en œuvre afin de s'assurer notamment que des tiers non autorisés n'aient pas accès aux données contenues dans le traitement projeté.En premier lieu, chaque
utilisateur dispose d'un identifiant qui lui est propre afin de se connecter à l'application  TREVI 2 . Les mots de passe sont déterminés par le système à partir d'une liste de caractères alphanumériques. Toutefois, la commission demande que le responsable de traitement mette en place une politique de gestion des mots de passe qui exige que ceux-ci aient une longueur minimale de huit caractères et qu'ils contiennent au moins un chiffre, une minuscule et un caractère spécial. Les mots de passe devront être conservés hachés avec un sel aléatoire en base de données.Des profils d'habilitation sont également prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d'accès sont supprimées pour tout utilisateur n'étant plus habilité.Le réseau fait l'objet de mesures de filtrage ayant pour but de restreindre l'émission et la réception des flux réseaux aux machines identifiées et autorisées et les services web sont sécurisés au moyen du protocole TLS.Une journalisation des opérations de consultation, création et modification du traitement est réalisée. Les utilisateurs sont informés que leurs actions font l'objet d'une journalisation. Les données de connexion sont conservées sept jours.En deuxième lieu, l'accès aux locaux est restreint au moyen de portes verrouillées contrôlées par un moyen d'authentification personnel.Des sauvegardes quotidiennes sont réalisées et stockées dans un lieu garantissant leur sécurité et leur disponibilité.Sous réserve des
précédentes observations, la commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La Commission nationale de l'informatique et des libertés,Saisie par le Secrétaire Général du Gouvernement, pour le compte du Premier ministre, d'une demande d'avis concernant un projet de dispositions législatives visant à créer un fichier national des auteurs d'infractions terroristes (FIJAIT) ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code pénal, notamment ses articles 421-1 à 421-6 ; Vu le code de procédure pénale, notamment ses articles 74-2, 706-16, 706-53-1 à 706-53-12 et R. 53-8-1 à R. 53-8-39 ; Vu le code de la sécurité intérieure, notamment son article L. 224-1 ; Vu l'ordonnance n° 45-174 du 2 février 1945 relative à l'enfance délinquante, notamment ses articles 8, 15, 15-1, 16, 16 bis et 28 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11-4°-a) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Gaëtan GORCE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses
Émet l'avis suivant :
Le Secrétaire Général du Gouvernement a saisi, le 19 mars 2015, pour le compte du Premier ministre, la Commission nationale de l'informatique et des libertés d'un projet de dispositions législatives visant à modifier le code de procédure pénale (CPP). Ces dispositions visent à insérer une section  relative au fichier national automatisé des auteurs d'infractions terroristes (FIJAIT) aux articles 706-25-3 à 706-25-12 du CPP. 
Dans la mesure où ces dispositions intéressent directement la protection des personnes à l'égard des traitements automatisés, l'avis de la Commission a été sollicité sur le fondement de l'article 11-4°-a) de la loi du 6 janvier 1978 modifiée. 
La Commission relève qu'il est expressément prévu que les modalités et conditions d'application de ces nouvelles dispositions, déterminées par décret en Conseil d'État, lui soient également soumises. En tout état de cause, le traitement projeté relève de l'article 26 de cette même loi et doit dès lors être autorisé par acte réglementaire pris après avis motivé et publié de la Commission. Conformément à l'ensemble de ces dispositions, la Commission devra donc être saisie du décret d'application qui sera nécessaire à la mise en œuvre du FIJAIT.
À titre liminaire, la Commission relève que le traitement envisagé est proche du fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (ci-après FIJAIS), dont les conditions de mise en œuvre sont prévues aux articles 706-53-1 à 706-53-12 du CPP et sur lequel elle s'est prononcée à plusieurs reprises. Elle rappelle par ailleurs que ce dernier fichier a fait l'objet d'un examen tant par le Conseil Constitutionnel que par la Cour européenne des droits de l'homme.
Ainsi, des garanties identiques au FIJAIS ont été prévues pour le FIJAIT, notamment le fait qu'il soit tenu par le service du casier judiciaire national sous l'autorité du ministre de la justice et le contrôle d'un magistrat. À cet égard, la Commission prend acte que le décret d'application apportera toute précision sur les modalités d'intervention de ce magistrat, qui devront permettre d'assurer l'effectivité de ce contrôle.
En outre, il est prévu que l'inscription des personnes dans ce fichier soit subordonnée au prononcé de décisions judiciaires limitativement énumérées, un effacement des données en cas de suites favorables, une modulation des durées de conservation selon plusieurs critères, des modalités de consultation différentes selon les destinataires. Enfin, pour éviter toute erreur susceptible de nuire à une personne ne figurant pas dans le FIJAIT, la consultation des informations relatives aux personnes figurant dans ce fichier n'est possible qu'après vérification de leur identité au vu du répertoire national d'identification des personnes physiques. 
La Commission considère que ces garanties sont a priori de nature à assurer un équilibre entre le respect de la vie privée et la sauvegarde de l'ordre public. S'il n'appartient pas à la Commission de se prononcer sur l'opportunité de la création du FIJAIT, il lui revient de s'assurer, de manière effective, qu'il n'est pas porté une atteinte excessive au respect des droits et libertés fondamentaux, notamment au regard des dysfonctionnements constatés dans des situations analogues et des décisions susmentionnées du Conseil constitutionnel et de la Cour européenne des droits de l'homme. 
Sur les finalités poursuivies par le FIJAIT
Le traitement projeté a pour finalités de prévenir  le renouvellement des infractions mentionnées aux articles 421-1 à 421-6 du code pénal et de faciliter l'identification de leur auteurs . En substance, il a pour objet la prévention de la récidive des infractions de terrorisme. 
La Commission relève qu'il s'agit d'un fichier d'adresses, spécifique à une catégorie particulière d'infractions (liées au terrorisme), qui permet d'assurer un suivi des personnes qui y sont inscrites au travers de différentes obligations. 
Les personnes inscrites dans le FIJAIT sont en effet astreintes à plusieurs obligations : celles de justifier de leur adresse régulièrement, de déclarer tout changement d'adresse dans un délai de quinze jours, de déclarer tout déplacement à l'étranger quinze jours au plus tard avant ledit déplacement et de déclarer tout déplacement en France quinze jours au plus tard avant ledit déplacement si la personne réside à l'étranger.
Le FIJAIT concerne uniquement les infractions  matérielles  liées au terrorisme prévues aux articles 421-1 à 421-6 du code pénal. Ainsi, les délits d'apologie et de provocation aux actes de terrorisme prévus à l'article 421-2-5 du code pénal ne peuvent justifier une inscription au FIJAIT. En revanche, les infractions prévues aux deux derniers alinéas de l'article L. 224-1 du code de la sécurité intérieure (le fait de quitter le territoire national en violation d'une décision d'interdiction de sortie en cas de risque de participation à des activités terroristes et le fait de se soustraire à l'obligation de restitution des titres d'identité en cas d'une telle interdiction) peuvent donner lieu à une inscription au FIJAIT. Dans tous les cas, ne pourront être inscrites au FIJAIT que les personnes soupçonnées ou condamnées pour avoir pris une part active dans une activité terroriste.
Au regard de la particulière gravité de ces infractions, la Commission estime que le suivi des personnes mises en cause ou condamnées pour celles-ci constitue une finalité déterminée, explicite et légitime, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée. 
Sur les personnes concernées et les données collectées