AgentPublic/cnil huggingface dataset:
du projet de publication du décret peuvent être enregistrés. Si la commission prend acte qu'une circulaire uniformisera les pratiques des juridictions sur les critères justifiant l'enregistrement dans le REDEX, elle appelle l'attention du ministère sur la vigilance avec laquelle devra être constitué ce stock. Sur la durée de conservation des données : Le législateur a prévu que la durée de conservation des données et documents  ne peut excéder une période de trente ans . Le projet d'article R. 53-21-19 du CPP prévoit une durée de conservation de trente ans à compter du jour où a été réalisé l'examen ainsi que l'effacement des données au décès de l'intéressé, à l'expiration de ce délai ou si les conditions légales de leur conservation ne sont plus remplies. Cette durée de conservation est conforme aux dispositions de l'article 706-56-2 du CPP. La commission relève qu'il ne s'agit pas d'une durée de conservation  glissante  à compter de la dernière expertise enregistrée, comme initialement envisagé par le ministère, ce qui aurait eu pour conséquence d'allonger la durée de conservation. Elle prend dès lors acte de la rédaction du projet de décret sur ce point. Il n'est pas prévu de durée de conservation spécifique pour les données relatives aux personnes mineures. Le ministère a en effet indiqué, par comparaison, que les condamnations prononcées à l'encontre des personnes mineures sont conservées au casier judiciaire national pour une durée qui est identique aux personnes
majeures. La commission ayant toujours considéré que le traitement de données relatives aux mineurs appelle l'adoption de garanties renforcées et des modalités de traitement particulières, elle appelle l'attention du ministère sur la vigilance avec laquelle ces données devront être traitées. Elle demande que ce point soit dès lors abordé dans le bilan d'expérimentation qui lui sera adressé, ce que le ministère s'est engagé à faire, et que le magistrat en charge du contrôle de ce traitement soit particulièrement sensibilisé à ce sujet. Il était initialement prévu que, à l'issue de ce délai de trente ans, le dossier ne soit plus accessible aux utilisateurs mais le reste néanmoins, pendant un délai de trois ans supplémentaires, au gestionnaire du traitement, avant d'être enfin supprimé physiquement. Selon le ministère, cet accès serait justifié par la nécessité d'une exploitation effective des traces, notamment en cas d'utilisation frauduleuse du REDEX, et devait donc être autorisé pour la durée de prescription de l'action publique en matière délictuelle. Toutefois, la commission estime que cela conduisait indirectement à allonger la durée de conservation des données fixée par le législateur. Dès lors, elle prend acte de l'engagement du ministère de la justice de renoncer à cette durée de conservation supplémentaire. Le projet d'article R. 53-21-20 du CPP tel que prévu par le projet de décret prévoit un effacement anticipé des données en cas de classement sans suite, hormis les
cas où cette décision est fondée sur le  premier alinéa de l'article 122-1 du code pénal, et en cas de décision définitive de non-lieu, de relaxe ou d'acquittement, conformément aux dispositions de l'article 706-56-2 du CPP. Cet effacement sera réalisé par le procureur de la République, le procureur général ou la juridiction d'instruction, en fonction de la décision. La commission appelle l'attention du ministère sur la nécessité de mettre en place des mesures techniques permettant de garantir l'effacement effectif des données et d'éviter tout maintien erroné dans le REDEX. La commission considère que cette durée de conservation est conforme aux dispositions de l'article 6(5°) de la loi du 6 janvier 1978 modifiée. Sur les destinataires des données : L'article 706-56-2 du CPP prévoit la liste limitative des autorités habilitées à accéder aux données enregistrées dans le REDEX, ainsi que les personnels habilités à recevoir communication, par l'intermédiaire de l'autorité judiciaire et pour l'exercice de leurs missions, des informations contenues dans le répertoire. Les articles R. 53-21-7 à R. 53-21-9 du CPP tels que prévus par le projet de décret reprennent l'ensemble de ces destinataires, en distinguant ces deux catégories. S'agissant des premiers, il s'agit des autorités judiciaires, qui pourront interroger le REDEX à partir de l'identité de la personne concernée ou du numéro de procédure. La commission relève que, à sa demande, cette consultation ne pourra intervenir que
pour les seules procédures dont elles ont la charge, excluant toute consultation sans motif déterminé. Cet accès se fera par l'intermédiaire d'un haut niveau d'authentification et des mesures de traçabilité seront mises en œuvre. S'agissant des personnels habilités à recevoir communication de données et documents enregistrés dans le REDEX, il s'agit tout d'abord des experts désignés pour réaliser une expertise ou une évaluation, qui disposeront ainsi d'éléments plus complets concernant le passé de la personne pour laquelle l'expertise est requise. Il s'agit en outre des membres de la commission pluridisciplinaire des mesures de sûreté auxquels seront mis à disposition les informations et documents enregistrés par l'intermédiaire des services des greffes, selon les procédures habituellement suivies en matière pénale, impliquant notamment un envoi par courrier ou une mise à disposition pour consultation au greffe. La commission relève qu'une dématérialisation de ces échanges, initialement envisagée par le ministère, permettrait d'améliorer la sécurité et la confidentialité de ces échanges d'informations. Enfin, le deuxième alinéa de l'article R. 53-21-6 du CPP tel que prévu par le projet de décret dispose que le magistrat dirigeant le service du casier judiciaire national, en charge du contrôle du traitement projeté, ainsi que le service gestionnaire disposent, dans le cadre de leurs missions, d'un accès direct et permanent au traitement. La commission estime que ces
destinataires ont un intérêt légitime à connaître des données collectées. Sur les droits des personnes : Le projet d'article R. 53-21-23 du CPP prévoit que le droit d'opposition et le droit d'information ne s'appliquent pas, sauf, concernant ce dernier, pour les personnels habilités à enregistrer les données et à consulter directement le répertoire. Les articles R. 53-21-10 à R. 53-21-17 nouveaux du même code prévoient les modalités d'exercice des droits d'accès, de rectification et d'effacement. Il est ainsi prévu un droit d'accès direct aux données enregistrées dans le REDEX, sur demande adressée au procureur de la République. La commission relève toutefois que l'exercice de ce droit ne permettra que l'accès au relevé intégral des références concernant le demandeur et en aucun cas aux expertises dont il a fait l'objet, conformément aux dispositions du CPP en la matière. Le projet de décret prévoit que toute personne peut demander au procureur de la République de rectifier ou d'ordonner l'effacement des informations la concernant si les informations ne sont pas exactes ou  si les conditions légales de leur conservation ne sont plus remplies . Cette dernière formulation couvre les hypothèses d'un recours en révision et d'une demande en réexamen, qui peuvent entraîner l'annulation d'une condamnation, ainsi que les suites judiciaires favorables, c'est-à-dire les décisions de classement sans suite, hormis les cas où elles sont fondées sur le  premier alinéa de l'article 122-1
du code pénal, ainsi que les décisions définitives de non-lieu, de relaxe ou d'acquittement, qui entraînent l'effacement immédiat des données, conformément à l'article 706-56-2 du CPP. La commission estime que les données relatives à la personne concernée par l'annulation de la condamnation devraient automatiquement être effacées du REDEX par le ministère public, sans que la personne concernée ait besoin d'en faire la demande, comme cela est le cas pour le casier judiciaire en application de l'article 624-7 du CPP. Cet effacement serait d'autant plus tacite à mettre en œuvre qu'en pratique, un seul service devrait être avisé par la cour de révision ou de réexamen de l'annulation de la condamnation, à savoir le service du casier judiciaire national, en charge aussi bien du casier judiciaire que du REDEX, et qui pourrait dès lors procéder à la mise à jour de ces deux fichiers. Elle demande dès lors que le projet de décret soit modifié sur ce point. S'agissant de l'effacement en cas de suites judiciaires favorables, la commission rappelle que le législateur a mis à la charge du ministère de la justice une mise à jour immédiate, sans que la personne concernée n'ait à le demander, comme le rappellent d'ailleurs les articles 706-56-2 et R. 53-21-20 nouveau du CPP. Enfin, en ce qui concerne le droit de rectification, la commission relève que celui-ci ne portera que sur les données à caractère personnel proprement dites et non sur les expertises. En effet, les expertises constituent
des pièces de procédures que la personne concernée ne peut demander à faire modifier ou rectifier. S'agissant enfin des modalités d'exercice de ces droits, elles sont similaires à ce qui existe par exemple pour le FIJAIS. Ainsi, la personne concernée doit effectuer une demande auprès du procureur de la République, avec possibilité par la suite de contester sa réponse auprès du juge des libertés et de la détention (JLD) puis du président de la chambre de l'instruction. Elles n'appellent pas d'observation complémentaire de la part de la commission. Sur la sécurité des données et la traçabilité des actions : La commission relève que, si la centralisation de tous ces documents, sensibles par nature, peut faire peser des risques quant à l'intégrité et à la confidentialité des données recueillies, d'importantes mesures de sécurité et de traçabilité ont été prévues, permettant de garantir la sécurité des conditions de conservation et d'accès aux données. Le traitement REDEX consiste en une application web déployée chez un prestataire technique du ministère et accessible depuis le réseau privé virtuel justice (RPVJ), lequel dépend du réseau IP du prestataire internet du ministère. Les documents enregistrés dans le traitement sont chiffrés et leur intégrité est garantie par le calcul d'une clé de contrôle, ces deux mécanismes étant basés sur des algorithmes cryptographiques conformes à l'état de l'art. Ces mesures visent à assurer la confidentialité des données. Toutefois, une étude
eBios réalisée en 2010 a relevé que plusieurs mesures de sécurité supplémentaires seraient susceptibles d'améliorer notablement la sécurité du traitement, par exemple en sécurisant davantage le mode d'adressage mis en œuvre sur le RPVJ et en durcissant les logiciels utilisés. La commission invite le ministère à mettre en œuvre ces mesures dans les meilleurs délais si tel n'est pas le cas à ce jour. Les modalités d'accès au traitement résultent d'un mécanisme d'authentification forte mettant en œuvre une carte à puce basée sur une infrastructure de gestion de clés (IGC) du ministère de la justice, ainsi que de profils d'accès. Cette authentification est de nature à garantir la traçabilité des actions des agents, tant que cette carte n'est pas compromise (vol ou prêt de la carte et du code PIN associé). Pour les agents ne possédant pas de carte, l'authentification peut s'effectuer au moyen d'un identifiant et d'un mot de passe dont la politique répond aux recommandations de la commission en la matière. En outre, quatre profils d'accès sont définis au sein de l'application afin de restreindre les accès aux données en tant que de besoin. Plusieurs mesures de traçabilité ont été prévues par le ministère de la justice. L'article R. 53-21-18 du CPP tel que prévu par le projet de décret dispose que  le répertoire conserve pendant une durée supplémentaire de trois ans, au-delà des durées définies à l'article R. 53-21-19,  les traces des actions (enregistrements, suppressions et
interrogations) des utilisateurs. Suite à ses observations, la commission prend acte de l'engagement du ministère de modifier l'article R. 53-21-18 du CPP tel que prévu par le projet de décret, afin de prévoir une durée de conservation des traces qui s'inscrit dans la limite des durées définies à l'article R. 53-21-19 du CPP. En outre, un système d'alerte sera mis en œuvre afin de signaler au gestionnaire un nombre excessif de consultations du traitement. La commission prend acte le ministère met en œuvre cette fonctionnalité qui permet d'exploiter au mieux les traces et de mieux détecter les utilisations anormales du traitement. Enfin, les documents édités mentionneront les nom et prénom du magistrat qui a téléchargé ou imprimé lesdits documents, ainsi que la date et l'heure d'édition en pied de page, permettant de mieux identifier et tracer leur origine. Au regard de la nouveauté de ces deux derniers types de traçabilité, la commission estime que ces dispositifs devraient faire l'objet, dans le cadre de l'expérimentation, d'un examen particulier et apparaître dans le bilan qui lui sera communiqué. Elle prend acte de l'engagement du ministère sur ce point. La commission prend acte qu'une fonction de correction et d'effacement est prévue afin de prendre en compte les demandes de droit de rectification par les personnes. S'agissant plus particulièrement de l'effacement des données en cas de suite judiciaire  favorable , la commission prend acte que le ministère s'engage à
faire évoluer l'application CASSIOPÉE pour mettre en place une fonction d'alerte. Enfin, le projet d'article R. 53-21-21 du CPP prévoit expressément que le REDEX ne pourra faire l'objet d'aucune interconnexion, aucun rapprochement ni aucune mise en relation avec tout autre fichier ou recueil de données nominatives détenues par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice. Dans ces conditions, la commission estime que les mesures de sécurité mises en œuvre sont satisfaisantes au regard des obligations de l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite une réévaluation régulière des risques et la mise à jour des mesures de sécurité en tant que de besoin.
La Commission nationale de l'informatique et des libertés, Saisie par le ministère de l'agriculture, de l'agroalimentaire et de la forêt d'une demande d'avis concernant un projet d'arrêté relatif à la création d'un téléservice internet de déclaration annuelle de détention et d'emplacement de ruches dénommé  Déclarer des ruches , Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ; Vu la  loi n° 2000-321 du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec les administrations ; Vu la  loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ; Vu la  loi n° 2009-967 du 3 août 2009 de programmation relative à la mise en œuvre du Grenelle de l'environnement, notamment son article 33 ; Vu la  loi n°2013-1005 du 12 novembre 2013 habilitant le Gouvernement à simplifier les relations entre l'administration et les citoyens ; Vu les articles  L. 201-9,  L. 201-13 et  L. 221-1 du code rural et de la pêche maritime ;  Vu l' ordonnance n° 2005-1516 du 8 décembre 2005 modifiée relative aux
échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le  décret n° 2010-112 du 2 février 2010 pris pour l'application des articles  9,  10 et  12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ; Vu le  décret n° 2012-842 du 30 juin 2012 relatif à la reconnaissance des organismes à vocation sanitaires, des organisations vétérinaires à vocation technique, des associations sanitaires régionales ainsi qu'aux conditions de délégations de missions liées aux contrôles sanitaires ; Vu l'arrêté ministériel du 11 août 1980 modifié relatif au dispositif sanitaire de lutte contre les maladies des abeilles ; Vu l'arrêté du 23 décembre 2009 établissant les mesures de police sanitaire applicables aux maladies contagieuses des abeilles ; Vu le dossier et ses compléments ; Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Emet l'avis suivant : La commission a été saisie par le ministère de l'agriculture, de l'agroalimentaire et de la forêt (MAAF) d'une demande d'avis portant sur un projet d'arrêté relatif à la création d'un téléservice
internet de déclaration annuelle de détention et d'emplacement de ruches dénommé  Déclarer des ruches . L' article 33 de la loi n° 2009-967 du 3 août 2009 de programmation relative à la mise en œuvre du Grenelle de l'environnement prévoit que  La déclaration annuelle de ruches est rendue obligatoire dès la première ruche à compter du 1er janvier 2010.  L'arrêté du 11 août 1980 modifié relatif au dispositif sanitaire de lutte contre les maladies des abeilles précise quant à lui que  Tout apiculteur est tenu de déclarer son activité d'élevage, en précisant notamment le nombre de ruches dont il est propriétaire ou détenteur et leurs emplacements, auprès du directeur départemental des services vétérinaires du département de son domicile.  Sur la finalité du traitement : L'article 1er du projet d'arrêté précise que le traitement  Déclarer des ruches  a pour objet de mettre à disposition des usagers du MAAF un téléservice leur permettant de déclarer annuellement en ligne les données relatives au nombre de leurs ruches et leur emplacement et de recevoir un récépissé de leur déclaration. La commission considère la finalité poursuivie comme déterminée, explicite et légitime. Dans ce contexte, elle estime qu'il y a lieu de faire application des dispositions de l'article 27-II (4°) qui prévoit que sont autorisés par arrêté pris après avis de la commission les traitements mis en œuvre  aux fins de mettre à la disposition des usagers de l'administration un ou plusieurs téléservices de
l'administration électronique, si ces traitements portent sur des données parmi lesquelles figurent le numéro d'inscription des personnes au répertoire national d'identification ou tout autre identifiant des personnes physiques . Sur la nature des données traitées : L'article 2 du projet d'arrêté prévoit que les données enregistrées sont relatives :
- à l'état civil : nom, prénom, adresse postale, adresse mél, numéro de téléphone ; - à la vie professionnelle : numéro SIRET, raison sociale, adresse postale, adresse mél, numéro de téléphone ; - à l'activité : emplacement des ruchers (adresse), nombre de colonies détenues, numéro d'apiculteur (NAPI) : - à la localisation : géolocalisation des ruchers.
La commission considère que ces données sont pertinentes au regard de la finalité poursuivie. Sur la durée de conservation des données : Les données sont conservées trois ans après la dernière déclaration de l'apiculteur. Cette durée de conservation permet de prendre en compte les divers aléas pouvant affecter la vie d'une ruche (épisodes de mortalité des ruches, problème de santé des abeilles…) et empêcher l'apiculteur de remplir son obligation déclarative. Au-delà de cette durée et en l'absence de déclaration de la part de l'apiculteur, celui-ci est considéré comme n'ayant plus d'activité apicole. Au regard de ces éléments, la commission considère que la durée de conservation retenue n'excède pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées. Sur les destinataires des données : L'article 3 du projet d'arrêté précise que sont destinataires des données du traitement les personnes habilitées suivantes :
- les usagers eux-mêmes pour les données les concernant et qui sont reprises dans le récépissé de déclaration : - les agents des services déconcentrés du MAAF après authentification de l'annuaire des agents du MAAF ou de l'administration centrale en fonction des habilitations mises en place ; - les agents des organismes à vocation sanitaire (OVS) dans le domaine animal et des organismes vétérinaires à vocation technique (OVVT), dans le cadre d'une convention entre ces entités sanitaires et le MAAF. Le  code rural et de la pêche maritime prévoit (articles L. 201-9 et L. 201-13) que l'Etat peut confier des missions ou déléguer certaines activités de contrôles à des organismes reconnus présentant des garanties de compétence, d'indépendance et d'impartialité conformément au  décret n° 2012-842 du 30 juin 2012 relatif à la reconnaissance des organismes à vocation sanitaires, des organisations vétérinaires à vocation technique, des associations sanitaires régionales ainsi qu'aux conditions de délégations de missions liées aux contrôles sanitaires, notamment les organismes à vocation sanitaires (OVS) et les organisations vétérinaires à vocation technique (OVVT).
La commission estime que ces destinataires ont un intérêt légitime à connaître des données collectées. Sur l'information, les droits d'accès, de rectification et d'opposition des personnes : Conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, les usagers du téléservice  Déclarer des ruches  sont informés de l'existence de ce traitement ainsi que des modalités d'exercice de leurs droits d'accès et de rectification par une mention d'information qui figure sur le formulaire de collecte et sur le site internet. L'article 4 du projet d'arrêté prévoit que les droits d'accès et de rectification visés aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent auprès de la direction générale de l'alimentation du MAAF, 251, rue de Vaugirard, 75732 Paris Cedex 15. Par ailleurs, l'article 6 du projet d'arrêté exclut le droit d'opposition. Sur la sécurité des données et la traçabilité des actions : Le traitement s'appuie sur une base de données, indépendante des autres bases de données du MAAF, permettant de stocker les courriels et les informations relatives aux ruches des apiculteurs. Les mesures de sécurité prévues par le responsable de traitement sont identiques à celles organisées dans le cadre du  traitement automatisé de données à caractère personnel permettant la réalisation de procédures au moyen d'un téléservice  mis en œuvre par le MAAF et ayant fait l'objet d'un avis de la commission et de la  délibération n° 2015-392 du 5 novembre
2015. Le responsable de traitement précise que le présent traitement qui est un téléservice respecte bien le référentiel général de sécurité, prévu par le  décret n° 2010-112 du 2 février 2010 susvisé. Les mesures de sécurité décrites par le ministère sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.