AgentPublic/cnil huggingface dataset:
En premier lieu, la formation restreinte relève que les données personnelles ont été transmises par le rectorat à Madame Y dans des conditions non sécurisées, à savoir par l’envoi d’un fichier Excel en pièce jointe non chiffrée d’un courriel. Ces modalités de transmission de données personnelles ne permettent pas de se prémunir contre leur interception par un tiers et, dès lors, présentent un risque d’atteinte à leur intégrité. A cet égard, la formation restreinte rappelle que la CNIL recommande, comme précaution élémentaire de sécurité, le chiffrement des données personnelles avant leur enregistrement sur un support physique, ou leur transmission par messagerie électronique, et d’assurer la confidentialité du mot de passe de déchiffrement en le transmettant par un autre canal que celui par lequel les données personnelles sont communiquées, par exemple par téléphone lorsque les données sont envoyées par courriel.
En deuxième lieu, la formation restreinte considère que les conditions dans lesquelles la transmission des données personnelles a eu lieu en l’espèce traduisent une certaine négligence de la part du rectorat dans l’analyse et le traitement de la demande qui lui était adressée par la députée.
La formation restreinte rappelle à cet égard, d’une part, que la légalité de la demande présentée par la députée n’a pas fait l’objet d’une analyse par les services du rectorat de l’académie - ni n’a été transmise au délégué à la protection des données pour avis - et que, d’autre part, le traitement illicite des données personnelles issues de la base de données OCEAN est caractérisé pour la deuxième année consécutive - puisque le rectorat a reconnu avoir déjà transmis en 2018 les données de l’ensemble des lauréats du département titulaire d’une mention Très bien à Madame Y.
La formation restreinte relève en outre que les services du rectorat ont transmis à la députée un fichier global comportant les données de l’ensemble des lauréats du département, dépassant ainsi le champ territorial de […] pour lequel Madame Y exerce ses fonctions de représentation. Il en résulte que le rectorat a transmis à la députée plus de données personnelles que cette dernière n’en avait demandé et, en tout état de cause, plus que ce que les dispositions de l’arrêté du 22 avril 2013 prévoient au profit des agents habilités des collectivités territoriales participant au service public de l’éducation.
Enfin, la formation restreinte relève que la transmission des données personnelles est intervenue sans aucune forme de contrôle a priori et sans autre forme de contrôle a posteriori, quant à l’utilisation et la suppression des données personnelles par les équipes de la députée, que la demande de production d’une attestation sur l’honneur de destruction du fichier.
En troisième lieu, la formation restreinte note que le traitement illicite intervenu concerne un nombre important de personnes, puisque les données de 11 856 lycéens ont ainsi été transmises hors du cadre légal prévu par l’arrêté du 22 avril 2013.
La formation restreinte observe enfin le caractère sensible du public affecté, dès lors qu’une partie des personnes concernées par le traitement illicite des données à caractère personnel étaient mineures au moment des faits.
III.Sur les mesures correctrices et leur publicité
Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée :
Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes :
1° Un rappel à l'ordre ; […] 
En premier lieu, s’agissant de la mesure proposée par la rapporteure, la formation restreinte considère que le manquement précité justifie que soit prononcé un rappel à l’ordre à l’encontre du rectorat de X, qui s’est substitué au rectorat de Z à compter du 1er janvier 2020, pour les motifs suivants.
La formation restreinte relève d’abord que le manquement à l’article 5-1-a) est caractérisé par la transmission des données à caractère personnel à une personne qui, aux termes de l’article 3 de l’arrêté du 22 avril 2013, ne figure pas parmi les destinataires habilités à recevoir communication des données issues du traitement OCEAN .
Elle observe ensuite que les données ont été transmises par le rectorat à Madame Y pour la deuxième année consécutive, que ces données ont été transmises dans des conditions non sécurisées (fichier Excel en pièce jointe non chiffrée d’un courriel), que la légalité de la demande présentée par la députée n’a pas fait l’objet d’une analyse par les services du rectorat de l’académie, ni n’a été transmis au délégué à la protection des données pour avis, que les données transmises par le rectorat excédaient celles visées par la demande de la députée et que le rectorat n’a procédé à aucun contrôle effectif de la destruction du fichier de données.
En second lieu, concernant la publicité de sa décision, la formation restreinte considère que compte tenu de la sensibilité du public concerné et du nombre de personnes concernées par le traitement illicite des données, la publicité de la décision de rappel à l’ordre pour une durée d’un an apparaît justifiée.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
prononcer à l’encontre du rectorat de X un rappel à l’ordre, pour sa méconnaissance de l’article 5-1-a) du règlement no 2016/679 du 27 avril 2016 relatif à la protection des données ;
rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément le rectorat de X à l’expiration d’un délai d’un an à compter de sa publication.
 Le président
 Alexandre LINDEN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret relatif au bracelet anti-rapprochement ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code civil, notamment ses articles 515-11 et 515-11-1 ;
Vu le code pénal, notamment ses articles 132-45 et 132-45-1 ;
Vu le code de procédure pénale, notamment ses article 138 et 138-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment 32 et 89-II ;
Vu la loi n° 2010-769 du 9 juillet 2010 relative aux violences faites spécifiquement aux femmes, aux violences au sein du couple et aux incidences de ces dernières sur les enfants ;
Vu la loi n° 2019-1480 du 28 décembre 2019 visant à agir contre les violences au sein de la famille ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2012-029 du 2 février 2012 portant avis sur un projet de décret en Conseil d'Etat relatif à l'expérimentation d'un dispositif électronique destiné à assurer l'efficacité de l'interdiction faite à une personne condamnée ou mise en examen de rencontrer une personne protégée (DEPAR) ;
Après avoir entendu Mme Christine MAUGÜE, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
Après avoir entendu Mme Christine MAUGÜE, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le projet de décret soumis pour avis à la commission a pour objet d'appliquer les dispositions relatives au bracelet anti-rapprochement ( BAR ) résultant de la loi n° 2019-1480 du 28 décembre 2019 visant à agir contre les violences au sein de la famille.
La commission relève qu'elle a déjà eu à se prononcer sur un dispositif proche dans sa délibération n° 2012-029 du 2 février 2012 relative au dispositif électronique anti-rapprochement ( DEPAR ) qui avait été créé, à titre expérimental, par la loi n° 2010-769 du 9 juillet 2010 relative aux violences faites spécifiquement aux femmes, aux violences au sein du couple et aux incidences de ces dernières sur les enfants.
Il est prévu par la loi n° 2019-1480 précitée que les conditions et les modalités de mise en œuvre du dispositif électronique mobile anti-rapprochement soient précisées par décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés. La commission observe, par ailleurs, que ladite loi élargit également les conditions d'octroi d'un téléphone grave danger (TGD) et que les deux dispositifs ont ainsi vocation à coexister.
Le traitement projeté, mis en œuvre par la direction de l'administration pénitentiaire (DAP), a pour finalité d'assurer le contrôle à distance des personnes placées sous dispositif mobile anti-rapprochement en exécution d'une décision prise en application des articles 138 et 138-3 du code de procédure pénale (CPP), des articles 132-45 et 132-45-1 du code pénal ou des articles 515-11 et 515-11-1 du code civil.
Le BAR peut ainsi être prononcé à titre d'obligation particulière :
- dans le cadre pénal, à titre pré-sentenciel, dans le cadre du contrôle judiciaire et, à titre post-sentenciel, dans le cadre du sursis probatoire et des aménagements de peine ;
- dans le cadre civil, le juge aux affaires familiales pouvant ordonner le BAR à l'encontre du défendeur dans le cadre de l'ordonnance civile de protection, après recueil par le juge du consentement préalable des deux parties et si l'interdiction de rencontrer la personne protégée est prononcée.
Sur les conditions générales de mise en œuvre du dispositif
En premier lieu, la commission relève que le BAR doit permettre de déterminer en temps réel la position du porteur du bracelet par rapport à celle de la personne protégée, à l'aide de dispositifs de géolocalisation remis à chaque partie. Lorsque le porteur du bracelet s'approchera à une distance déterminée de la personne protégée, le système générera un signal à destination du téléopérateur, qui pourra alors déclencher une injonction au porteur du bracelet de s'éloigner de la personne protégée voire, en cas de refus, une demande d'intervention des forces de l'ordre et, si nécessaire, une prise de contact avec la personne protégée afin d'assurer sa mise en sécurité.
Le projet de décret crée les articles R. 18-2-5 du CPP et 1136-17 du code de procédure civile (CPC) qui prévoient que : La zone d'alerte ne peut être inférieure à un kilomètre, ni supérieure à dix kilomètres. La détermination de cette zone ne peut aller en deçà d'un niveau de précision de l'ordre du kilomètre. La zone de pré-alerte correspond au double de la zone d'alerte .
La commission relève, par conséquent, que la décision en matière pénale et en matière civile prévoyant le BAR ne pourra pas déterminer une distance en deçà de laquelle il est fait interdiction à la personne porteuse du bracelet de s'approcher de la personne protégée, correspondant à la zone d'alerte, inférieure au kilomètre au regard de la précision des outils de géolocalisation et de rapidité d'intervention des forces de l'ordre. Dans l'hypothèse où la personne à protéger et celle qui porterait le bracelet résideraient à moins d'un kilomètre, elle observe que l'article 132-45-2° du code pénal permet à la juridiction de condamnation ou le juge de l'application des peines d'imposer au condamné d'établir sa résidence en un lieu déterminé qui pourrait ainsi être différent de celui initialement envisagé.
En deuxième lieu, la commission relève que des garanties sont prévues dans le projet de décret afin de contrôler la mise en œuvre effective du dispositif BAR et notamment sa conformité en matière de protection des données à caractère personnel.
D'une part, le nouvel article R. 61-43 du CPP prévoit que le traitement est placé sous le contrôle du magistrat mentionné à l'article R. 61-12 du CPP et dans les conditions prévues à l'article R. 61-13. La commission prend acte qu'il s'agira du même magistrat en charge du contrôle du traitement automatisé de données relatives au contrôle des personnes faisant l'objet d'un placement sous surveillance électronique mobile (PSEM) et du traitement automatisé relatif au contrôle des personnes placées sous surveillance électronique (PSE). Elle relève que ce magistrat pourra procéder à toute vérification sur place et obtenir de l'autorité qui est responsable du traitement projeté tout renseignement relatif au fonctionnement de celui-ci, sans préjudice de ses possibilités d'accès aux informations enregistrées.
La commission relève que ce magistrat adressera un rapport annuel au garde des sceaux portant sur le fonctionnement du traitement. Elle prend acte de l'engagement du ministère de lui adresser également ce rapport et recommande que celui-ci inclue une réflexion sur les évènements advenus pendant l'année afin d'évaluer la pertinence d'une mise à jour de l'analyse d'impact relative à la protection des données (AIPD) ou de ses mesures. Le cas pourrait se produire, par exemple, si des événements graves non couverts dans l'AIPD ont eu lieu ou si les mesures de sécurité n'ont manifestement pas été suffisantes.
D'autre part, le nouvel article R. 61-52 du CPP indique que les personnes privées habilitées chargées du contrôle à distance du dispositif mobile anti-rapprochement sont placées sous la supervision d'un agent de l'administration pénitentiaire . A cet égard, la commission relève que cette supervision réalisée par l'administration pénitentiaire permettra notamment de contrôler la conformité des données à caractère personnel collectées avec les finalités du traitement ainsi que le respect des exigences en matière de durées de conservation des données et d'archivage. A cet égard, la commission appelle l'attention du ministère sur l'importance de mettre en œuvre des garanties afin que seules les données à caractère personnel nécessaires au regard des finalités du traitement soient collectées et la nécessité de gérer avec la plus grande vigilance les habilitations des personnels concernés, afin de limiter au strict nécessaire les personnes qui pourront avoir directement accès aux données.
En troisième lieu, la commission observe que l'article 1136-19 du CPC créé par le décret prévoit que, en cas de difficultés dans l'exécution de la mesure de port du dispositif électronique mobile anti-rapprochement visée à l'article 515-11-1 du code civil, le juge aux affaires familiales est saisi dans les conditions de l'article 515-12 du code civil, afin que soit modifiées (sic) tout ou partie des mesures énoncées dans l'ordonnance de protection . Elle prend acte que de telles difficultés peuvent être, par exemple, liées à l'apparition d'inconvénients pour la santé de la personne concernée.
Elle relève que, pour le cadre pénal du dispositif, les articles 139 et 140 du CPP ainsi que les articles 712-8, 723-11, 732, 739, 763-3, 723-34 du CPP prévoient notamment la possibilité, pour le juge et la juridiction de l'application des peines chargée du suivi de la mesure, de modifier les mesures auxquelles la personne placée sous contrôle judiciaire ou condamnée est soumise. L'absence de précision, dans la partie du décret modifiant le CPP, analogue à celle figurant dans la partie modifiant le CPC, est donc sans incidence sur l'existence de la faculté dont dispose également le juge dans le cadre pénal du dispositif.
En quatrième lieu, la commission relève, s'agissant du cadre civil du dispositif, qu'il est prévu à l'article 515-11-1 du code civil que le juge pourra ordonner le port du BAR après avoir recueilli le consentement des deux parties. Elle prend acte de ce que ce consentement des deux parties porte sur la mesure en elle-même mais ne constitue pas la base légale du traitement de leurs données.
Elle prend également acte que si la personne protégée ne souhaite plus bénéficier de la mesure de protection ou si le porteur du bracelet revient sur son consentement, ils pourront et ce, à n'importe quel moment, saisir le juge aux affaires familiales sur le fondement de l'article 515-12 du code civil afin d'obtenir la modification de l'ordonnance de protection qui a été prononcée.
En cinquième lieu, la commission relève qu'il n'est pas exclu que des données relatives à des personnes mineures soient enregistrées dans le traitement BAR, notamment au regard des articles 515-11 et 515-11-1 du code civil. Elle estime que des mesures particulières devraient être mises en œuvre par le ministère afin de s'assurer que le traitement de données relatives à des personnes mineures, qui peuvent être des données sensibles, fait l'objet de garanties appropriées pour les droits et libertés de ces dernières, conformément aux dispositions de l'article 88 de la loi du 6 janvier 1978 modifiée.
Sur le régime juridique applicable et les finalités du traitement
Le traitement a pour finalité d'assurer le contrôle des personnes placées sous dispositif mobile anti-rapprochement et permet de garantir l'effectivité de l'interdiction faite à la personne porteuse d'un bracelet anti-rapprochement de rencontrer une personne protégée, victime d'une infraction commise au sein du couple.
Le traitement projeté permet ainsi :
- d'alerter les personnels habilités chargés du contrôle à distance du dispositif électronique mobile anti-rapprochement de ce que la personne porteuse du bracelet s'approche de la personne protégée à moins d'une certaine distance fixée par la décision de justice ainsi qu'en cas d'altération du fonctionnement du dispositif technique ;
- de localiser la personne protégée et la personne porteuse du bracelet, afin de prendre, lorsqu'une alerte est émise, les mesures de protection appropriées.
Le traitement poursuit également une finalité statistique. La commission relève que ces statistiques seront réalisées par le bureau de la donnée de la direction de l'administration pénitentiaire (DAP) afin notamment de produire des statistiques visant à la définition de politiques publiques internes à la DAP ou au ministère de la justice, à servir pour des publications telles que des analyses socioéconomiques ou des travaux de recherche internes à la DAP.
La commission estime que les finalités projetées sont déterminées, explicites et légitimes conformément à l'article 4-2° de la loi du 6 janvier 1978 modifiée.
S'agissant du régime juridique applicable au traitement BAR, la commission prend acte des éléments transmis par le ministère selon lesquels le traitement projeté relève des dispositions de la directive Police-justice et que dans le cadre civil, la finalité du traitement ne diffère pas de celle du cadre pénal puisqu'il est aussi recherché la prévention des infractions pénales relatives aux violences conjugales.
La commission estime que la détermination du régime juridique applicable au traitement BAR est rendue complexe par le fait qu'il présente la particularité de pouvoir être prononcé à titre d'obligation en matière pénale mais aussi en matière civile dès lors que les deux parties y consentent. S'agissant plus particulièrement de la question du régime juridique applicable au cadre civil du traitement projeté, elle relève qu'il pourrait être considéré que celui-ci est soumis au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel (le RGPD ) dans la mesure où l'ordonnance de protection ne s'inscrit pas directement dans une finalité de prévention des infractions pénales, puisqu'elle vise à protéger la victime et qu'elle peut d'ailleurs être prononcée par le juge aux affaires familiales en l'absence de toute poursuite pénale. La commission relève toutefois que le dispositif projeté est encadré par des dispositions de nature pénale, les articles R. 61-43 à R. 61-50 du CPP, et qu'il présente une finalité commune, qu'il soit prononcé dans un cadre pénal ou civil, à savoir prévenir la commission d'infractions liées à des violences au sein de la famille.
Dans la mesure où le traitement BAR est mis en œuvre aux fins d'assurer le contrôle à distance des personnes placées sous dispositif électronique mobile anti-rapprochement et de prévenir la commission d'infractions, la commission considère qu'il relève du champ d'application de la directive (UE) 2016/680 du 27 avril 2016 susvisée (ci-après la directive ) et doit être examiné au regard des dispositions des articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
Sur les données collectées
L'article 6 du projet de décret liste les données à caractère personnel qui peuvent être collectées selon les catégories de personnes concernées :
- la personne porteuse du bracelet anti-rapprochement ;
- la personne protégée ;
- les personnels habilités des services centraux et déconcentrés de l'administration pénitentiaire ;
- les personnels habilités chargés du contrôle à distance du dispositif électronique mobile anti-rapprochement ;
- l'autorité judiciaire en charge du suivi de la décision ordonnant un dispositif mobile anti-rapprochement ;
- les personnes, autres que le porteur du bracelet et la personne protégée, mentionnées dans la décision ordonnant un dispositif électronique mobile anti-rapprochement et toute décision modificative.
A titre liminaire, la commission relève que les données enregistrées dans le traitement sont susceptibles de faire apparaître des données sensibles au sens du I de l'article 6 de la loi du 6 janvier 1978 modifiée mais qu'il est interdit de sélectionner dans le traitement une catégorie particulière de personnes à partir de ces seules données. Elle rappelle que, conformément à l'article 88 de ladite loi, le traitement de telles données n'est possible qu'en cas de nécessité absolue, sous réserve des garanties appropriées pour les droits et libertés de la personne concernée . Elle relève la garantie apportée s'agissant de la photographie de la personne porteuse du bracelet, puisque le projet de décret précise que celle-ci ne permet pas une utilisation à des fins de contrôles biométriques.
En premier lieu, la commission relève qu'il ressort des éléments transmis par le ministère dans le cadre de l'analyse d'impact relative à la protection des données (AIPD) que, au titre des autres personnes mentionnées dans la décision ordonnant le dispositif électronique anti-rapprochement, pourront être collectées des données sur le cercle proche des personnes protégées , à savoir des données d'identité et des données relatives aux coordonnées de contact. Elle prend acte que ces données permettront de contacter la personne protégée si elle ne répond pas aux appels du centre de téléassistance et pourraient aussi être nécessaires en cas d'intervention des forces de l'ordre.