AgentPublic/cnil huggingface dataset:
décision n° 2004-499 DC du 29 juillet 2004 du Conseil constitutionnel, à traiter de telles données en qualité de victime d'une infraction. Par une réserve d'interprétation, le Conseil a en effet estimé que la déclaration d'inconstitutionnalité du 3° de l'article 9 de la loi du 6 janvier 1978 modifiée ne saurait être interprétée comme privant d'effectivité le droit d'exercer un recours juridictionnel dont dispose toute personne physique ou morale, s'agissant des infractions dont elle a été victime.En application des dispositions du II de l'article 25 de la loi du 6 janvier 1978 modifiée, la commission peut autoriser par une décision unique une catégorie de traitements qui répondent aux mêmes finalités, portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires.Les traitements automatisés de données à caractère personnel mis en œuvre par les personnes physiques et les personnes morales à des fins de préparation et de gestion de contentieux sont de ceux qui peuvent, sous certaines conditions, relever de cette définition.Les responsables de traitement qui adressent à la Commission une déclaration comportant un engagement de conformité pour les traitements de données à caractère personnel répondant aux conditions fixées par la présente décision unique sont autorisés à les mettre en œuvre.Tout traitement de données à caractère personnel qui excède le cadre ou les exigences définis par la présente autorisation unique doit en
revanche faire l'objet d'une demande d'autorisation spécifique.
Article 1
Finalité du traitement.Seuls peuvent faire l'objet d'un engagement de conformité en référence à la présente autorisation unique les traitements, automatisés ou non automatisés, impliquant notamment le traitement de données relatives à des infractions ou condamnations pénales ou à des mesures de sûreté et mis en œuvre par une personne morale de droit privé ou de droit public, ou par une personne physique, aux fins de préparer, d'exercer et de suivre une action disciplinaire ou un recours en justice et, le cas échéant, de faire exécuter la décision rendue.
Article 2
Données collectées et traitées.A titre liminaire, la commission rappelle que des données à caractère personnel ne peuvent être collectées que si elles sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.Le responsable de traitement doit dès lors être en mesure de justifier du caractère nécessaire des données à caractère personnel effectivement collectées.Sous cette réserve, pour préparer et gérer un contentieux, une personne physique ou une personne morale peut collecter et traiter des données relatives à :
- l'identification des personnes mises en cause, des victimes, des témoins et des auxiliaires de justices mandatés dans la procédure (nom ; nom d'usage ; prénoms ; sexe ; date et lieu de naissance ; nationalité ; adresse, numéros de téléphone et de fax ; adresse électronique) ;- des infractions, condamnations ou mesure de sûreté, en particulier :- les faits litigieux à l'origine de la procédure ;- les informations, documents et pièces recueillis tendant à établir des faits susceptibles d'être reprochés : constat ; témoignage ; attestation ; mise en demeure ; compte rendu d'une enquête consécutive à une alerte professionnelle ; images extraites d'un dispositif de vidéosurveillance ;  logs  extraits d'un outil de sécurisation des ressources informatiques ; fiche de constat des faits ; dépôt de plainte ; certificat médical ;- les caractéristiques du contentieux : date de début et de clôture du litige, juridiction saisie, date de l'assignation, date d'audience, état de la procédure, nature et objet des demandes, griefs, argumentations, observations et avis des représentants légaux, date du jugement ;- la date, la nature, les motifs, les montants et les éventuels échelonnements des condamnations ;- les commentaires relatifs à la description et au suivi de la procédure.
La commission précise qu'il est possible, pour établir des faits susceptibles d'être reprochés, de traiter des données relatives à la vie professionnelle, à la vie personnelle, à des informations économiques et financières ou à la santé, sous réserve que les données en question soient indispensables pour atteindre l'une des finalités prévues à l'article 1er de la présente délibération.
Article 3 En savoir plus sur cet article...
Durée de conservation des données.La commission rappelle que des données à caractère personnel ne peuvent être conservées, conformément à l'article 6-5° de la loi du 6 janvier 1978 modifiée, que le temps strictement nécessaire à l'accomplissement de la finalité pour laquelle elles ont été collectées.Les données collectées et traitées dans le cadre de la gestion d'un précontentieux doivent ainsi être supprimées dès le règlement amiable du litige ou, à défaut, dès la prescription de l'action en justice correspondante.Les données collectées et traitées dans le cadre d'un contentieux doivent quant à elles être supprimées lorsque les voies de recours ordinaires et extraordinaires ne sont plus possibles contre la décision rendue.A l'expiration de ces périodes, les données sont supprimées de manière sécurisée ou, le cas échéant, archivées dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public pour les organismes soumis à ces dispositions, d'une part, ou conformément aux dispositions de la délibération de la commission n° 2005-213 du 11 octobre 2005 portant adoption d'une recommandation concernant les modalités d'archivage électronique de données à caractère personnel pour les organismes relevant du secteur privé, d'autre part.A cet égard, la commission estime que les décisions prononcées peuvent être conservées par le responsable de traitement à titre d'archive définitive en
raison d'un intérêt historique.
Article 4
Destinataires et personnes pouvant accéder aux données.La commission rappelle, à toutes fins utiles, que le responsable d'un traitement de données à caractère personnel est tenu, en application de l'article 34 de la loi du 6 janvier 1978 modifiée, de prendre toutes les garanties utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.A ce titre, le responsable d'un traitement de données à caractère personnel doit, avant de transmettre des données à un tiers, opérer un tri parmi ces dernières pour s'assurer que ce dernier accède aux seules données adéquates, pertinentes et non excessives au regard de la justification de la communication.Dans les limites de leurs attributions respectives, et chacun pour ce qui le concerne, peuvent accéder aux données visées par la présente décision unique :
- les employés du responsable de traitement habilités à préparer et gérer des contentieux dans le cadre de leurs fonctions ;- les autres personnes chargées de traiter les données en raison de leurs fonctions ;- les sous-traitants du responsable de traitement ;- les auxiliaires de justice et officiers ministériels ;- l'autorité saisie d'un litige.
La commission rappelle, par ailleurs, que les autorités légalement habilitées sont susceptibles, dans le cadre d'une mission particulière ou de l'exercice d'un droit de communication, de demander au responsable de traitement la communication de données à caractère personnel dans les conditions prévues par le texte fondant leur demande.
Article 5
Information des personnes.Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, à l'information des personnes concernées par un traitement mis en œuvre en référence à la présente autorisation unique au moyen d'un affichage, de l'envoi ou de la remise d'un document, ou par tout autre moyen équivalent, en précisant notamment à cette occasion l'identité du responsable de traitement ou de son représentant, la finalité poursuivie, les destinataires ou catégories de destinataires des données et les modalités d'exercice des droits des personnes (droits d'accès, de rectification et d'opposition pour motif légitime).Lorsque des mesures conservatoires sont rendues nécessaires pour éviter la dissimulation ou la destruction de preuves, cette information peut être délivrée après l'adoption des mesures conservatoires indispensables.A toutes fins utiles, la commission rappelle qu'un responsable de traitement, le cas échéant, doit également informer les personnes concernées de l'existence des traitements permettant de mettre en lumière des comportements susceptibles d'être reprochés ou de contrôler l'activité de son personnel, conformément aux dispositions de l'article 32 précité, tels que par exemple les dispositifs de vidéosurveillance ou les outils de sécurisation des ressources informatiques.
Article 6
Droits d'accès, de rectification et d'opposition pour motif légitime.Les droits d'accès, de rectification et d'opposition définis au chapitre V de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du ou des services que le responsable de traitement doit impérativement désigner.Lorsque des règles spéciales régissent la communication de pièces dans une procédure, l'exercice du droit d'accès prévu par l'article 39 de la loi du 6 janvier 1978 modifiée doit intervenir conformément aux règles spéciales en vigueur.
Article 7
Sécurité des données et traçabilité des actions.Le responsable de traitement doit prendre toutes les précautions utiles au regard des risques présentés par le traitement pour préserver la sécurité des données. Il doit, notamment au moment de leur collecte, durant leur transmission et leur conservation, empêcher que les données soient déformées, endommagées ou que des tiers non autorisés y aient accès.A cet égard, le responsable de traitement doit notamment s'assurer :
- que les utilisateurs s'authentifient avec un identifiant et un mot de passe respectant les recommandations de la CNIL, ou par tout autre moyen d'authentification apportant au moins le même niveau de sécurité ;- qu'un mécanisme de gestion des habilitations régulièrement mis à jour permet de garantir que seules les personnes habilitées peuvent accéder aux données nécessaires à la réalisation de leurs missions ;- que les mesures techniques adéquates garantissent la sécurité des données stockées ou échangées, en particulier lors d'échanges sur internet ;- de la mise en place d'un mécanisme de journalisation des accès à l'application et des opérations effectuées et de la conservation des données de journalisation pendant une durée de six mois glissants.
Le responsable de traitement définit une politique de sécurité adaptée aux risques présentés par les traitements et à la taille de l'organisme. Cette politique devra décrire les objectifs de sécurité, et les mesures de sécurité physique, logique et organisationnelle permettant de les atteindre.Le responsable de traitement prend les mesures nécessaires pour assurer la maintenance du matériel. Ainsi, les interventions de maintenance doivent faire l'objet d'une traçabilité et le matériel remisé ne devra plus contenir de données à caractère personnel.La commission rappelle que l'usage d'outils ou de logiciels développés par des tiers dans le cadre de la mise en œuvre d'un traitement de données à caractère personnel reste sous la responsabilité du responsable de traitement, qui doit notamment vérifier que ces outils ou logiciels respectent l'ensemble des obligations que la loi du 6 janvier 1978 modifiée met à sa charge.Elle rappelle également qu'un responsable de traitement conserve la responsabilité des données à caractère personnel communiquées ou gérées par ses sous-traitants et, le cas échéant, que le contrat établi entre les parties doit mentionner les objectifs de sécurité qu'un sous-traitant doit respecter.La commission rappelle enfin que l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Article 8
Transfert de données.Un transfert de données à caractère personnel à destination d'un pays tiers à l'Union européenne et non membre de l'Espace économique européen peut être effectué lorsque l'une des conditions suivantes est réunie :
- le transfert s'effectue à destination d'un pays reconnu par une décision de la Commission européenne comme assurant un niveau de protection suffisant ;- le traitement garantit un niveau suffisant de protection de la vie privée, ainsi que les droits et libertés fondamentaux des personnes, par la mise en œuvre de clauses contractuelles rédigées sur les modèles de clauses élaborés par la Commission européenne relatives aux transferts de données, d'une part, ou par l'adoption de règles internes d'entreprise ( Binding Corporate Rules  ou BCR) adoptées par le responsable de traitement et reconnues par la commission nationale de l'informatique et des libertés et les autorités de protection des données personnelles compétentes comme offrant un cadre juridique satisfaisant pour effectuer des transferts de données en dehors de l'Union européenne, d'autre part ;- le transfert est justifié par l'exception prévue par le 3° de l'article 69 de la loi du 6 janvier 1978 modifiée, à savoir le respect d'obligations permettant d'assurer la constatation, l'exercice ou la défense d'un droit en justice.
La commission rappelle que le recours aux exceptions prévues par l'article 69 de la loi du 6 janvier 1978 modifiée n'est possible que pour les transferts dont le champ d'application est limité à des cas ponctuels et exceptionnels. Les transferts répétitifs, massifs ou structurels de données doivent quant à eux faire l'objet d'un encadrement juridique spécifique, par l'intermédiaire de BCR ou de clauses contractuelles types.Le responsable de traitement s'engage, sur simple demande d'une personne concernée, à apporter une information complète sur la finalité du transfert, les données transférées, les destinataires exacts des informations et les moyens mis en œuvre pour encadrer ce transfert.
Article 9
Publication.La présente délibération sera publiée au Journal officiel de la République française.
 
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés, Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret relatif au fichier des interdits d'acquisition et de détention d'armes Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ; Vu le code pénal ; Vu le code de procédure pénale, notamment ses articles 11, 48-1 et R. 15-33-66-4 à R. 15-33-66-13 ; Vu le code de la sécurité intérieure, notamment ses articles L. 312-1 à L. 312-17 et R. 312-77 à R. 312-83 ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-I et 30-II ; Vu la loi n° 2012-304 du 6 mars 2012 modifiée relative à l'établissement d'un contrôle des armes moderne, simplifié et préventif, notamment son article 30 ; Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le décret n° 2011-374 du 5 avril 2011 modifié portant création du Fichier national des personnes interdites d'acquisition et de détention d'armes (FINIADA) ; Vu le décret n° 2014-445 du 30 avril
2014 relatif aux missions et à l'organisation de la direction générale de la sécurité intérieure ; Vu l'arrêté du 15 novembre 2007 modifié relatif à l'application de gestion du répertoire informatisé des propriétaires et possesseurs d'armes ; Vu la délibération n° 2010-455 du 9 décembre 2010 portant avis sur un projet de décret en Conseil d'Etat portant création d'un traitement automatisé de données à caractère personnel dénommé  Fichier national des interdits d'acquisition et de détention d'armes  ; Vu le dossier et ses compléments ; Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement, Emet l'avis suivant : La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre de l'intérieur d'un projet de décret en Conseil d'Etat relatif au fichier des interdits d'acquisition et de détention d'armes (FINIADA). Le FINIADA a pour objet de permettre la mise en œuvre et le suivi au niveau national des interdictions d'acquisition et de détention d'armes, en application de l' article L. 312-16 du code de la sécurité intérieure (CSI). Il relève dès lors de l'article 26-I de la loi du 6 janvier 1978 modifiée. L'article L. 312-16 du CSI prévoit en outre que la nature des informations enregistrées dans le FINIADA, la durée de leur conservation ainsi que les autorités et les personnes qui y ont accès, sont déterminées par décret en Conseil d'Etat pris
après avis de la Commission nationale de l'informatique et des libertés. Le FINIADA a donc été autorisé par le décret du 5 avril 2011 susvisé, pris après l'avis de la commission en date du 9 décembre 2010. A titre liminaire, la commission relève qu'elle a eu l'occasion de se prononcer très récemment sur des modifications apportées à ce traitement. Une nouvelle demande d'avis lui est néanmoins soumise, laquelle vise principalement à tenir compte des évolutions résultant de la loi n° 2012-304 du 6 mars 2012 susvisée quant à la finalité poursuivie par le FINIADA et aux données qui peuvent y être enregistrées. Sur les modifications proposées : L'article 2 du projet de décret vise à modifier les dispositions de l'alinéa 2 de l'article R. 312-77 du CSI afin de permettre la mise en œuvre et le suivi, au niveau national, des interdictions de port d'armes ainsi que des condamnations à la confiscation d'une ou plusieurs armes au titre de la finalité poursuivie par le FINIADA. La commission relève qu'en application de l'article R. 312-77 du CSI actuellement en vigueur, le FINIADA a pour finalité  la mise en œuvre et le suivi, au niveau national, des interdictions d'acquisition et de détention des armes en application de l'article L. 312-16 . Or, elle observe que l'article L. 312-16 du CSI, tel qu'il résulte de la codification de l' article L. 2336-6 du code de la défense modifié par l' article 30 de la loi n° 2012-304 du 6 mars 2012 susvisée, prévoit expressément que le FINIADA recense
les personnes  condamnées à une peine d'interdiction de détenir ou de porter une arme soumise à autorisation ou condamnées à la confiscation d'une ou de plusieurs armes dont elles sont propriétaires ou dont elles ont la libre disposition en application des articles du code pénal et du présent code qui les prévoient . Dans ces conditions, la commission considère que la mise en œuvre et le suivi, au niveau national, des interdictions de port d'armes ainsi que des condamnations à la confiscation d'une ou plusieurs armes constituent une finalité déterminée, explicite et légitime, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée. Une telle finalité nécessite une modification des catégories de données à caractère personnel enregistrées dans ce traitement. L'article 3 du projet de décret modifie ainsi l'article R. 312-78 du CSI afin de permettre l'enregistrement des données suivantes :
- la catégorie ou le type d'arme dont la détention ou le port sont interdits ou la confiscation prononcée ; - la date de l'interdiction de détention et de port ou de la confiscation ; - la date de levée de la confiscation.
Ce même article vise également à supprimer la référence aux articles L. 312-7 et L. 312-11 du CSI comme seul fondement juridique des interdictions afin de faire désormais référence au  fondement juridique de l'interdiction et/ou de la confiscation . Au regard de la finalité poursuivie par le FINIADA, la commission considère que ces données n'appellent pas d'observations particulières. En ce qui concerne le dispositif technique d'enregistrement de ces données dans le FINIADA, le ministère a indiqué qu'elles seront saisies par les agents des préfectures de département à partir de l'édition papier de l'extrait de décision pénale générée par l'application CASSIOPEE qui leur sera adressé, par voie de soit-transmis, par les greffes des tribunaux. A cet égard, elle relève que le code de procédure pénale (CPP) prévoit, en son article R. 15-33-66-9, que sont destinataires, dans les conditions fixées par cet article, de tout ou partie des informations et données à caractère personnel enregistrées dans le traitement CASSIOPEE :
- les avocats ; - les personnes concourant à la procédure au sens de l'article 11 du même code ; - les administrations et les personnes qui, dans le cadre d'une mission confiée par l'autorité judiciaire, participent à l'instruction des dossiers, à la signification, à la notification et à l'exécution des décisions judiciaires ; - les membres de certaines associations d'aide aux victimes.
La commission observe que les agents des services préfectoraux chargés de l'application de la réglementation relative aux armes, éléments d'armes et munitions, ne figurent pas parmi les destinataires du traitement CASSIOPEE. Par ailleurs, elle relève que, sauf lorsqu'il s'agit de données non nominatives exploitées à des fins statistiques ou d'informations relevant de l'article 11-1 du CPP, les informations figurant dans CASSIOPEE ne sont accessibles qu'aux autorités judiciaires, conformément aux dispositions de l'article 48-1 du même code. Au regard de ce qui précède, la commission considère que les agents des préfectures ne peuvent pas, en l'état actuel des textes, être rendus destinataires des informations et données à caractère personnel enregistrées dans CASSIOPEE. En tout état de cause, elle observe que si les dispositions relatives au traitement CASSIOPEE venaient à évoluer sur ce point, seuls les agents des services préfectoraux chargés de l'application de la réglementation relative aux armes, éléments d'arme et munitions, individuellement désignés et spécialement habilités par le préfet, pourraient accéder aux données à caractère personnel enregistrées dans le FINIADA, conformément aux dispositions de l'article R. 312-79 du CSI. L'article 3 du projet de décret vise à aligner, à des fins de cohérence, la durée de conservation des données relatives aux interdictions de détention et de port d'armes, ainsi qu'aux condamnations à la confiscation d'une ou plusieurs armes,
sur la durée de conservation des données relatives aux interdictions d'acquisition et de détention, à savoir vingt ans, ce qui n'appelle pas d'observation particulière de la part de la commission. Il en est de même de l'article 4 du projet de décret, qui vise à permettre l'applicabilité en Polynésie française et en Nouvelle-Calédonie de l'ensemble des nouvelles modifications relatives au FINIADA. La commission relève enfin que les autres conditions de mise en œuvre du traitement FINIADA demeurent inchangées.
La présidente, 
I. Falque-Pierrotin