AgentPublic/cnil huggingface dataset:
Aux termes de l’article 706-56 du CPP, l’officier de police judiciaire peut « procéder ou faire procéder sous son contrôle » à un prélèvement biologique destiné à permettre l’identification des personnes visées aux alinéas 1 à 3 de l’article 706-54 du même code. Il peut requérir « toute personne habilitée » pour réaliser cette tâche. Ces réquisitions peuvent également être faites par le procureur de la République ou le juge d'instruction. L’article 158 du CPP, relatif aux expertises que toute juridiction d'instruction ou de jugement, dans le cas où se pose une question d'ordre technique, peut ordonner, prévoit quant à lui que la décision qui ordonne l'expertise mentionne la mission confiée à l’expert, en l’espèce l’analyse d’un prélèvement biologique destiné à permettre l'analyse d'identification des empreintes génétiques, sans pour autant préciser les finalités et les moyens du traitement de données à caractère personnel de gestion administrative et technique devant être mis en œuvre pour accomplir cette mission. Les articles 60 et 77-1 du même code confèrent des pouvoirs similaires au procureur de la République et à l’officier de police judiciaire dans le cadre des enquêtes préliminaires ou de flagrance.
Par conséquent, seul le laboratoire détermine les finalités et les moyens de traitement nécessaires pour accomplir sa mission. La Commission considère dès lors que le laboratoire TOXGEN est le responsable du traitement au sens de l’article 3-I de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement :
Le traitement envisagé a pour finalité, d’une part, d’assurer la gestion administrative des réquisitions judiciaires aux fins d’analyses d’identification par empreintes génétiques, la gestion des données réceptionnées par l’intermédiaire du dossier judiciaire, l’enregistrement, la conservation et le suivi des renseignements administratifs et des actes techniques réalisés. Il permettra la conservation des informations relatives aux analyses réalisées en prévision d’un éventuel recours en responsabilité à l’encontre du laboratoire, laquelle est de droit commun en application de l’article 2224 du code civil. 
D’autre part, le traitement mis en œuvre par le laboratoire TOXGEN permet de réduire les risques d’erreur d’identification en faisant des recherches de contamination. Lors des manipulations techniques d’un échantillon biologique en cours d’analyse réalisées par le personnel du laboratoire, un risque de contamination de cet échantillon est en effet envisageable. Il en résulte que l’identification de la personne mise en cause ou dont l’échantillon biologique a été prélevé sur une scène d’infraction pourrait être perturbée ou entraîner un résultat erroné.
Cette finalité de recherche de contamination nécessite la conservation des empreintes génétiques ainsi que les données d’identité des salariés du laboratoire TOXGEN et des personnes susceptibles d’être en contact avec les échantillons dans le laboratoire (visiteurs, etc.). Le résultat des analyses effectuées est ainsi comparé avec ces données afin de vérifier que le résultat n’est pas erroné. 
Enfin, la Commission prend acte que la transmission dématérialisée des résultats d’analyse génétique par les laboratoires, prévue par l’article 706-56 alinéa 3 du  CPP, n’est pas au nombre des finalités poursuivies par le traitement mis en œuvre par le laboratoire TOXGEN. Le traitement permet de gérer exclusivement les aspects administratifs et techniques aboutissant à l’enregistrement des résultats de l’analyse.
La Commission considère que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données collectées et enregistrées dans le traitement sont issues de la réquisition ou de l’ordonnance de mission par l’intermédiaire du dossier judiciaire. Il s’agit, en cas de prélèvement sur une personne identifiée, de l’état-civil de la personne concernée (nom, prénoms, date et lieu de naissance) mais aussi des données génétiques et des données relatives à des infractions.
Le laboratoire, agissant en tant qu’expert judiciaire, c’est-à-dire en tant qu’auxiliaire de justice et pour les stricts besoins de l’exercice des missions qui lui sont confiées par la loi, est habilité en application des dispositions de l’article 9-2° de la loi du 6 janvier 1978 modifiée à traiter des données d’infractions (qualification et nature de l’infraction, numéros d’instruction et de procès-verbal, numéro attribué par le parquet et code barre du scellé). La Commission relève que les données relatives à la qualification et à la nature de l’infraction sont nécessaires à la procédure d’analyse des empreintes génétiques dans le cadre d’une réquisition judiciaire, afin de cibler les actes d’analyse à effectuer et de restituer les résultats à l’autorité requérante. 
L’état civil ainsi que les données génétiques des victimes peuvent également être collectées, afin de pouvoir les différencier des autres profils. 
A la suite de l’analyse d’identification du prélèvement biologique, le profil génétique de l’individu, permettant d’individualiser chaque personne, est inscrit dans le traitement du laboratoire et le résultat est envoyé ensuite au Fichier National Automatisé des Empreintes Génétiques (FNAEG) pour inscription ou comparaison.
Les empreintes génétiques et les données d’identité des agents employés dans le laboratoire TOXGEN ainsi que des autres personnes dont la présence dans le laboratoire est susceptible de contaminer les échantillons d'ADN seront collectées, à des fins de recherche de contamination.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le traitement envisagé. 
Sur la durée de conservation des données :
Afin d’entourer le traitement des données génétiques de garanties suffisantes, il importe que les garanties prévues par le CPP pour le FNAEG soient apportées au traitement des mêmes données par le laboratoire, notamment s’agissant des données relatives aux infractions, des scellés ou des données relatives à l’identité des personnes concernée par l’analyse.
Ainsi, à titre liminaire, la Commission rappelle que les scellés répondant aux conditions de l’article R. 53-20 du code de procédure pénale ne doivent pas être conservés par le laboratoire TOXGEN, la mission de conservation de ces scellés étant réservée au service central de préservation des prélèvements biologiques (SCPPB).
Elle estime en outre que certaines données devront être supprimées à l’issue de l’analyse et de la transmission des résultats à l’autorité judiciaire.
D’une part, les données relatives à la nature et à la qualification de l’infraction doivent être effacées à l’issue de l’analyse et de la transmission des résultats au FNAEG et du rapport d’expertise à l’autorité requérante. En effet, si ces données, en tant que circonstances dans lesquelles la trace ADN à analyser a été produite, sont utiles pour l’établissement d’un profil à partir de traces, leur conservation une fois les analyses faites n’apparaît plus nécessaire. Elles n’apparaissent pas davantage nécessaire à des fins contentieuses ou si une contre-expertise doit être réalisée, dans la mesure où ces informations seront accessibles si besoin via le dossier de procédure.
D’autre part, en cas d’analyse sur une personne identifiée, l’état-civil de la personne concernée (nom, prénoms, date et lieu de naissance) sera également effacé à l’issue de l’analyse. En cas de contestation du profil établi par le laboratoire TOXGEN, la contre-expertise pourra être réalisée à partir d’un nouveau prélèvement. Il en résulte que ces données ne sont pas nécessaires au-delà de la réalisation de l’analyse au vue des finalités assignées au traitement. 
En revanche, certaines données pourront être conservées à l’issue de l’analyse et de la transmission des résultats au FNAEG et du rapport d’expertise à l’autorité requérante, pour une durée de cinq ans, conformément à l’article 2224 du code civil relatif au délai de prescription de l’action civile.
Il s’agit, d’une part, des identifiants de la procédure (numéros d’instruction et de procès-verbal, numéro attribué par le parquet, code barre du prélèvement génétique) et des données relatives au traitement de la réquisition (dates de réception, date de traitement, date de rédaction et de transmission du rapport et des scellés). Il  s’agit, d’autre part, du profil génétique, dès lors que les données se rapportant à la personne concernée ont préalablement été effacées. Le laboratoire peut le conserver à titre de gestion de la preuve, en cas d’erreur ou de dysfonctionnement dans la transmission du profil au FNAEG ou dans l’enregistrement par celui-ci. Le profil génétique initialement établi pourra par ailleurs être identifié par la seule référence au code barre.
La conservation de ces données pendant cinq ans à l’issue des opérations réalisées pour l’identification par empreintes génétiques permettra au laboratoire d’assurer un suivi financier, technique et administratif des affaires traitées et, si besoin, d’identifier les réquisitions traitées à une période donnée en vue de vérifier l’hypothèse d’une éventuelle contamination en cas de contestation du résultat d’une analyse.
À des fins de recherche d’une éventuelle contamination des échantillons analysés, les données des salariés et des visiteurs sont quant à elles conservées deux ans après le départ du salarié ou après la constitution du profil pour les visiteurs.
Afin de s’assurer que les données ne seront pas utilisées à d’autres fins que celles prévues, la Commission rappelle qu’une séparation doit être effectuée sur le serveur de stockage du laboratoire entre les dossiers en cours et ceux conservés aux fins probatoires dans une éventuelle procédure contentieuse. Ainsi, les dossiers en cours doivent être accessibles tout le temps de la procédure et les dossiers archivés doivent être conservés sur un serveur sécurisé indépendant, dont l’accès n’est ouvert qu’en cas de contentieux pour retrouver les données de l’opération en cause et, si besoin, d’identifier les réquisitions et ordonnances de commission d’expert traitées à une période donnée, qu’aux seules personnes spécifiquement habilitées.
La Commission considère que ces durées de conservation sont conformes aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée. 
Sur les destinataires des données :
Les personnes habilitées à accéder aux données enregistrées dans le traitement sont des salariés du laboratoire TOXGEN ayant suivi une période de formation et faisant l’objet d’une habilitation technique spécifique. Afin de se conformer aux exigences de l’article 34 de la loi du 6 janvier 1978 modifiée, les accès à l’application doivent être protégés par des profils d’habilitation et par un mot de passe renouvelé tous les six mois. Celui-ci doit être d’une longueur minimale de huit caractères et contenir des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Les autres destinataires des données collectées et conservées dans le traitement mis en œuvre par le laboratoire TOXGEN sont les magistrats, les juges et les procureurs de la République ainsi que les officiers de police judiciaire ayant formulé la réquisition ou l’ordonnance de commission d’expert, conformément aux articles 60, 77-1, 156 et suivants et à l’article 706-56 du Code de procédure pénale. 
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur les droits des personnes :
Le traitement est mis en œuvre dans le cadre d’une procédure judiciaire, soumis au secret de l’instruction prévu par l’article 11 du code de procédure pénale. Dès lors, l’information des personnes concernées par une procédure judiciaire s’avère impossible, au titre du secret de l’instruction, au sens de l’article 32-III de la loi du 6 janvier 1978 modifiée, ce qui exonère le laboratoire TOXGEN de son obligation d’information. 
En revanche, les personnels du laboratoire ainsi que les visiteurs devront être informés des modalités d’exercice de leurs droits d’accès et de rectification.
S’agissant du recueil du consentement des salariés du laboratoire TOXGEN, la Commission rappelle que celui-ci n’est pas nécessaire dans la mesure où le laboratoire, en tant qu’auxiliaire de justice, participe à la mission de service public de la justice. La Commission estime que le laboratoire devrait toutefois obtenir, dans une démarche positive, le plein accord des personnes concernées. 
En outre, les droits d’opposition pour motifs légitimes, d’accès et de rectification, prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée, s’exercent directement auprès du laboratoire TOXGEN, sous réserve qu’ils ne portent pas atteinte au bon déroulement des procédures en cours.
Sur la sécurité des données et la traçabilité des actions :
Au sein du laboratoire, environ dix personnes sont habilitées à accéder aux données collectées et traitées. Seules deux personnes sont habilitées à l’administration de ces données et à la gestion des habilitations d’accès (le responsable informatique et la personne nommément habilitée à l’expertise génétique judiciaire). 
Pour les modalités de contrôle d’accès logique, le laboratoire s’engage à respecter les recommandations de la Commission sur la gestion des mots de passe. 
La Commission recommande la mise en œuvre de trois niveaux d’habilitation distincts pour :
- l’accès à la base de données active contenant les dossiers en cours d’expertise et les données utiles pour la recherche de contamination ;
- l’accès à une base de données intermédiaire distincte contenant les dossiers clos dans lesquels les analyses ont été effectuées et dont des informations peuvent être demandées ultérieurement ;
- l’accès aux données archivées sur support externe conservé dans un coffre sécurisé.
Elle rappelle en outre la nécessité d’apporter des mesures de sécurité renforcées concernant les résultats des analyses génétiques. Afin de se conformer à cette exigence, elle recommande au laboratoire TOXGEN d’appliquer une mesure de chiffrement sur ces données ou toute autre mesure équivalente, à l’état de l’art et dont les risques de sécurité sont régulièrement réévalués.
Enfin, la Commission relève que l’absence de journalisation des accès et des actions sur les données est liée à une incapacité de l’outil logiciel utilisé. Elle prend acte de l’engagement du laboratoire TOXGEN à faire évoluer les outils utilisés dans les meilleurs délais afin d’être en capacité d’effectuer une telle journalisation.
Au regard des mesures relevées et des engagements du laboratoire TOXGEN, les mesures de sécurité mises en place sont donc conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le laboratoire TOXGEN à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des données administratives et techniques relatives à l’établissement d’empreintes génétiques dans le cadre des expertises judiciaires.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1753518)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association APEI du Grand Montpellier d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’accompagnement des personnes suivies;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1° et 25-I-7°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Il s’agit de l’Association des Parents et Amis de Personnes Handicapées Mentales de Montpellier dénommée APEI du Grand Montpellier située au 1572, rue de Saint Priest à  Montpellier (34090) , régie par la loi de 1901 et affiliée à l’Union nationale des associations de parents et amis de personnes handicapées mentales (UNAPEI). Cette association gère des établissements sociaux et médico-sociaux au sens de l’article L. 312-1 du Code de l’action sociale et des familles.
Sur la finalité
La gestion de l’accompagnement des personnes présentant un  handicap mental permet de poursuivre les finalités suivantes : 
Recenser les besoins des personnes ; 
Améliorer l’évaluation des besoins, la prise en charge sanitaire et médico-sociale, ainsi que le suivi des personnes présentant un handicap, en permettant le partage sécurisé entre les acteurs médicaux, para-médicaux et sociaux de l’association, des informations nécessaires à une prise en charge coordonnée et adaptée aux besoins des personnes ;
Améliorer la qualité, la coordination et la continuité de la prise en charge entre tous ces intervenants, en fonction des besoins des personnes handicapées, identifiés comme prioritaires ;
Favoriser l’autonomie des personnes, par un accompagnement médico-social adapté ;
Le traitement peut faire apparaître, directement ou indirectement, des données relatives à la santé qui sont collectées, après le recueil du consentement exprès des personnes concernées ou de leurs représentants légaux.
Il peut également comporter des données relatives à la vie affective et sexuelle des personnes.  Concernant ces dernières, la Commission relève que seuls sont enregistrés les codes associés à un comportement. Dès lors, il y a lieu de faire application des articles 8-IV et 25-I-1° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation de la Commission, les traitements, automatisés ou non, portant sur de telles données.
La Commission estime qu’il y a également lieu de faire application des dispositions de l’article 25-I-7° de la loi du 6 janvier 1978 modifiée, qui soumettent à autorisation les traitements comportant des appréciations sur les difficultés sociales des personnes.
La Commission considère la finalité poursuivie comme déterminée, explicite et légitime.
Sur les données traitées
Les catégories de données collectées concernant les usagers sont relatives :
à leur identité (nom, prénom, adresse, date et lieu de naissance, civilité, nationalité) ;
à leur  vie personnelle (situation familiale) ;
à leur vie professionnelle (situation professionnelle, scolarité, formation) ;
à leur situation économique et financière (revenus) ;
à leur santé, et celles relatives à leur vie affective et sexuelle ;
à des appréciations sur leurs difficultés sociales.
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales prévues sur le formulaire de prise en charge ainsi que dans les courriers personnalisés.La Commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état. Les droits d’accès et de rectification s’exercent auprès de l’Association APEI du Grand Montpellier par courrier, fax ou courriel. La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité
Les données à caractère personnel enregistrées dans le présent traitement sont conservées pendant la période d’accueil ou d’accompagnement de l’usager et pendant une durée complémentaire de deux ans à compter du dernier contact avec ce dernier. Au terme de cette durée, les données sont supprimées, sauf dispositions législatives ou réglementaires  contraires.La Commission considère que cette durée de conservation n’excède pas celle qui est nécessaire à l’accomplissement de la finalité poursuivie.
Autorise, conformément à la présente délibération, l’association APEI du Grand Montpellier, à mettre en œuvre le traitement susmentionné.
La Présidente
I. FALQUE-PIERROTIN
(Demande d’autorisation n° 1753496)
La Commission nationale de l'informatique et des libertés,
Saisie par l’association APEI Centre Manche d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion de l’accompagnement des personnes suivies ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’action sociale et des familles, notamment son article L. 312-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-1° et 25-I-7°;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de Mme Laurence DUMONT, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Formule les observations suivantes :
Responsable du traitement
Il s’agit de l’Association Parentale pour l’Education et l’Insertion des personnes déficientes du Centre Manche dénommée APEI Centre Manche située au 10, rue de la Cavée à Agneaux (50180), régie par la loi de 1901 et affiliée à l’Union nationale des associations de parents et amis de personnes handicapées mentales (UNAPEI). Cette association gère des établissements sociaux et médico-sociaux au sens de l’article L. 312-1 du Code de l’action sociale et des familles.
Sur la finalité
La gestion de l’accompagnement des personnes présentant un  handicap mental permet de poursuivre les finalités suivantes : 
Recenser les besoins des personnes ; 
Améliorer l’évaluation des besoins, la prise en charge sanitaire et médico-sociale, ainsi que le suivi des personnes présentant un handicap, en permettant le partage sécurisé entre les acteurs médicaux, para-médicaux et sociaux de l’association, des informations nécessaires à une prise en charge coordonnée et adaptée aux besoins des personnes ;
Améliorer la qualité, la coordination et la continuité de la prise en charge entre tous ces intervenants, en fonction des besoins des personnes handicapées, identifiés comme prioritaires ;
Favoriser l’autonomie des personnes, par un accompagnement médico-social adapté ;
Les personnes concernées sont informées, conformément à l’article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales prévues sur le formulaire de prise en charge ainsi que dans les courriers personnalisés.La commission considère que ces modalités d’information des personnes sont satisfaisantes. Elle rappelle que cette information doit être fournie selon des modalités adaptées à leur état. Les droits d’accès et de rectification s’exercent auprès de l’Association APEI Centre Manche par courrier, fax ou courriel. La Commission considère que ces modalités d’exercice des droits des personnes sont satisfaisantes.
Sur les mesures de sécurité