AgentPublic/cnil huggingface dataset:
considère que les différentes vérifications opérées lors de la procédure d'inscription des personnes au FIJAIT sont a priori de nature à garantir la fiabilité de l'identité de la personne dont les données sont enregistrées et les motifs de cette inscription. Si la commission estime que les données ne devraient pouvoir être consultées par les différents destinataires qu'une fois l'ensemble de ces contrôles mis en œuvre, elle prend acte des précisions du ministère selon lesquelles les données relatives à la personne enregistrées dans le FIJAIT ne seront visibles qu'une fois les contrôles de cohérence effectués et qu'une mention  en cours de vérification  apparaîtra sur les dossiers dont le caractère exprès de l'inscription n'aura pas encore été vérifié.Sur la durée de conservation des données :L'article 706-25-6 du CPP prévoit que les informations enregistrées dans le FIJAIT sont retirées du fichier au décès de l'intéressé ou à l'expiration, à compter du prononcé de la décision ayant entraîné l'inscription au FIJAIT, d'un délai de vingt ans s'il s'agit d'un majeur ou d'un délai de dix ans s'il s'agit d'un mineur. Lorsqu'elles sont relatives à une infraction mentionnée à l'article L. 224-1 du CSI, ces délais sont portés à cinq ans s'il s'agit d'un majeur ou à trois ans s'il s'agit d'un mineur.La commission relève que ces dispositions diffèrent à cet égard de celles qui lui avaient été soumises, lesquelles prévoyaient des délais plus longs, aussi bien concernant les durées de
conservation des données que les durées des obligations incombant aux personnes inscrites au FIJAIT. En outre, en ce qui concerne les infractions prévues à l'article L. 224-1 du CSI, les durées de conservation des données sont identiques à celles pendant lesquelles les personnes enregistrées dans le FIJAIT sont assujetties aux obligations prévues à l'article 706-25-7 du CPP. En revanche, les durées de conservation des données concernant les infractions de terrorisme prévus aux articles 421-1 à 421-6 du code pénal, à l'exclusion de celles mentionnées à l'article 421-2-5 du même code, ne sont pas similaires aux durées pendant lesquelles les personnes inscrites au FIJAIT sont astreintes à ces obligations.Dans son avis précité du 7 avril 2015, la commission avait relevé que le fait de prévoir des durées de conservation plus longues que les durées pendant lesquelles les personnes devront justifier de leur adresse, de leur déménagement ou de leur déplacement à l'étranger, était susceptible d'entraîner un défaut de mise à jour des données enregistrées dans le FIJAIT. Si le projet de décret ne comporte aucune disposition spécifique relative aux durées de conservation, elle rappelle que les dispositions de l'article 6 (4°) de la loi du 6 janvier 1978 modifiée trouvent en tout état de cause à s'appliquer. Elle estime dès lors qu'il appartient au ministère de la justice de prendre toutes mesures utiles pour que les données inexactes ou incomplètes soient rectifiées ou effacées,
conformément à l'article 6 (4°) de la loi  Informatique et libertés .Par ailleurs, le projet de décret semble permettre la conservation de l'ensemble des données enregistrées dans le FIJAIT pendant une durée supplémentaire de trois ans au-delà des délais prévus par l'article 706-25-6 du CPP. Si elle n'entend pas remettre en cause les justifications opérationnelles apportées par le ministère, la commission estime qu'une telle possibilité dérogerait aux durées de conservation expressément prévues par le législateur. Elle considère dès lors que cette durée supplémentaire de trois ans méconnaît les dispositions de l'article 706-25-7 du CPP qui fixe les durées de conservation des données enregistrées dans le FIJAIT.S'agissant des mesures de traçabilité qui doivent être mises en œuvre, la commission rappelle, conformément à l'article 706-25-14 du CPP, que les conditions dans lesquelles le FIJAIT conserve la trace des interrogations et des consultations dont il fait l'objet doivent figurer dans le projet de décret. Elle prend dès lors acte que, à sa demande, une section propre aux modalités de conservation des traces sera rétablie dans le présent projet de décret.Enfin, le projet d'article R. 50-64 du CPP prévoit les modalités d'effacement des données inscrites dans le fichier, lesquelles n'appellent pas d'observation particulière de la part de la commission.Sur les destinataires des données :La liste des personnels habilités à accéder directement aux données enregistrées dans le
FIJAIT est fixée par l'article 706-25-9 du CPP. Il s'agit des autorités judiciaires, des officiers de police judiciaire, des représentants et administrations de l'Etat, des agents des greffes pénitentiaires, des services de renseignement ainsi que des agents du ministère des affaires étrangères. Ce même article prévoit également que peuvent être destinataires de ces données les maires et les présidents des collectivités territoriales et des groupements de collectivités territoriales.Le projet d'article R. 50-51 du CPP prévoit expressément que les autorités judiciaires ainsi que les officiers de police judiciaire habilités ne peuvent interroger le FIJAIT que dans le cadre de procédures concernant une des infractions prévues aux articles 421-1 à 421-6 du code pénal ou à l'article L. 224-1 du CSI et pour le seul exercice des diligences prévues aux articles 706-25-7, 706-25-8 et 706-25-10 du CPP. Il énumère en outre, de manière exhaustive, les critères de consultation pour ces destinataires.L'article 706-25-9 du CPP prévoit que les OPJ peuvent, dans certains cas, consulter le fichier dans le cadre d'une enquête judiciaire, quand bien même cette mesure ne porte pas sur un acte de terrorisme et hors les nécessités de consultation liées aux obligations de justification d'adresse ou aux conséquences de leur non-respect. Or, la commission relève que le projet d'article R. 50-51 du CPP ne prévoit aucune garantie permettant de s'assurer que les officiers de police judiciaire ne
puissent pas consulter le FIJAIT pour toutes les procédures judiciaires. Au regard du caractère extrêmement sensible et spécialisé du FIJAIT, elle considère, afin de s'assurer que seules les personnes qui participent à la réalisation des finalités poursuivies par le FIJAIT accèdent aux données qu'il contient, que le présent projet de décret devrait donc être complété sur ce point. La commission appelle l'attention du ministère sur la nécessité de définir les critères permettant une telle consultation ainsi que les justifications à apporter afin d'y procéder.S'agissant des services spécialisés de renseignement, l'article 706-25-9 du CPP limite cette consultation au seul cadre de l'exercice des missions qui leur sont confiées en matière de prévention du terrorisme. La commission rappelle dès lors qu'il revient au ministère de s'assurer effectivement que la consultation envisagée est limitée à cette seule mission.En application de l'article 706-25-9 du CPP, les représentants de l'Etat dans le département et les administrations de l'Etat pourront consulter le FIJAIT pour les décisions administratives de recrutement, d'affectation, d'autorisation, d'agrément ou d'habilitation. Il résulte du projet d'article R. 50-52 du CPP que sont ainsi concernés les professions exercées dans les domaines de  la sécurité, de l'enseignement, de l'éducation, des transports  ainsi que  tout emploi auprès d'un opérateur d'importance vitale, tout emploi sur une installation classée pour la protection
de l'environnement dite SEVESO ou tout emploi dans la fonction publique ainsi que pour le contrôle de l'exercice de ces activités et professions .Le ministère a précisé que cette consultation, laissée à l'appréciation de chaque administration, pourra avoir lieu au stade du recrutement ainsi que tout au long de la carrière des personnes concernées. La commission relève qu'aux termes de l'article 706-25-9 du CPP, cette consultation doit être strictement limitée aux  décisions administratives de recrutement, d'affectation, d'autorisation, d'agrément ou d'habilitation . Elle considère dès lors qu'il convient de mettre en œuvre, au-delà de l'enregistrement du motif de consultation, un contrôle effectif afin de s'assurer que cette consultation ne pourra intervenir que dans le périmètre strictement défini par le législateur et éviter ainsi toute consultation abusive.En tout état de cause, la commission rappelle que l'article 10 de la loi du 6 janvier 1978 modifiée dispose qu'aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité.Sur les droits des personnes :En application des dispositions de l'article 706-25-8 du CPP, toute personne dont l'identité est enregistrée dans le fichier en est informée par l'autorité judiciaire ou son représentant. Les projets d'articles R. 50-38 à R. 50-42 du CPP
précisent les modalités de délivrance de cette information.L'article R. 50-38 énonce qu'un document établi par le ministère de la justice servira de support à l'information délivrée aux personnes concernées.De manière générale, la commission rappelle que cette information doit être claire, complète et pédagogique, dans la mesure où elle conditionne par ailleurs le respect des obligations mises à la charge des personnes enregistrées dans le FIJAIT.Elle relève par ailleurs que le projet de décret sera modifié afin de prévoir que les décisions de retrait et de désinscription du FIJAIT seront également portées à la connaissance de la personne concernée pour tenir compte de l'évolution de la situation des personnes inscrites dans le FIJAIT.L'article 706-25-6 du CPP prévoit expressément que l'amnistie, la réhabilitation et l'effacement de la condamnation au casier judiciaire n'entraînent pas automatiquement l'effacement des données dans le FIJAIT. Tout comme dans son avis sur le projet de dispositions législatives visant à créer le FIJAIT, la commission rappelle qu'un tel élément devrait néanmoins être pris en compte en cas de demande d'effacement, par la personne concernée, des données enregistrées dans le FIJAIT. Elle relève néanmoins que le projet de décret ne contient aucune précision sur ce point et considère qu'il devrait être complété.Les modalités d'exercice des droits de rectification et d'effacement telles que prévues par le présent projet de décret n'appellent pas
d'observation particulière.Enfin, les intéressés exerceront leur droit d'accès aux informations les concernant selon la même procédure que pour l'accès aux informations enregistrées au casier judiciaire national automatisé, à savoir la communication orale par un magistrat de l'ensemble des informations les concernant, sans pouvoir en obtenir une copie, conformément à l'article 777-2 du code de procédure pénale.Sur la sécurité des données et la traçabilité des actions :Le traitement FIJAIT est une application web adossée à une base de données. Il est hébergé au sein du site du casier judiciaire national.L'infrastructure technique sous-jacente a recours à une architecture réseau destinée à prévenir un accès direct aux serveurs hébergeant l'application, en définissant différentes zones et en filtrant les échanges entre ces zones au moyen d'équipements pare-feux.Les échanges liés au traitement interviennent sur le réseau privé du ministère de la justice et le réseau interministériel AdeR, selon les utilisateurs. Ces échanges sont de surcroît cloisonnés vis-à-vis d'autres traitements utilisant ces réseaux d'accès. La transmission entre tout poste client et les serveurs frontaux est sécurisée au moyen du protocole HTTPS.La traçabilité est garantie au moyen d'un dispositif actif à même de remonter des alertes en cas de consultation excessive d'un utilisateur ou d'un dossier particulier. En outre, une infrastructure en cours de généralisation permettra de tracer les opérations des
administrateurs système.S'agissant de l'authentification, la politique de gestion des mots de passe est conforme aux recommandations en la matière. Un verrouillage automatique des sessions est en outre prévu. La commission appelle l'attention du service gestionnaire du FIJAIT sur la nécessité d'exercer un contrôle strict sur la délivrance de ces habilitations, au regard des finalités assignées audit traitement.Différents profils d'accès ont été définis au sein de l'application afin de restreindre l'accès aux données en fonction des métiers.Enfin, si un prestataire a besoin de données pour des raisons de qualification logicielle, les données sont  anonymisées . Les exploitants sont par ailleurs habilités  confidentiel défense .Compte tenu de ces éléments, la commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.Sur les autres dispositions du projet de décret :Le législateur a prévu l'inscription au FIJAIT des auteurs d'infractions commises avant la date d'entrée en vigueur de la loi du 24 juillet 2015 susvisée mais ayant fait l'objet, après cette date, d'une des décisions prévues à l'article 706-25-4 du même code, ainsi que des personnes exécutant, à la date d'entrée en vigueur de la présente loi,
une peine privative de liberté pour une des mêmes infractions, sur décision du procureur de la République.L'article 3 du projet de décret prévoit qu'à cette fin le gestionnaire du FIJAIT est autorisé à obtenir la liste des personnes qui exécutent une telle peine privative de liberté par consultation du fichier national des personnes incarcérées (FNPI). A cet égard, la commission relève que le FNPI a été remplacé par le fichier national des détenus (FND) qui, à terme, a vocation à être remplacé par le traitement de données à caractère personnel relatif à la gestion nationale des personnes détenues en établissement pénitentiaire dénommé GENESIS. La commission prend acte que, à sa demande et à des fins de cohérence, le projet de décret ne fera référence qu'au  traitement de données à caractère personnel relatif à la gestion nationale des personnes détenues en établissement pénitentiaire .S'agissant des personnes condamnées mais ayant purgé leur peine, il est prévu que les services de la police ou de la gendarmerie nationales procèdent, à la demande du magistrat contrôlant le fichier, aux recherches nécessaires pour déterminer l'adresse de ces personnes.A cet égard, l'article 706-25-13 du CPP, à l'instar de ce qui est prévu pour le casier judiciaire national automatisé ou le FIJAIS, limite les rapprochements et les interconnexions dont le FIJAIT peut faire l'objet aux fichiers ou recueils de données nominatives dépendant du ministère de la justice, à l'exception du FPR, et érige
en infraction le fait, pour les personnes ou organismes ne dépendant pas de ce ministère, de mentionner les informations figurant au FIJAIT, hors les cas et dans les conditions prévus par la loi.La commission rappelle néanmoins que les dispositions transitoires de la loi du 24 juillet 2015 susvisée prévoient expressément que les recherches prévues peuvent se faire au moyen de traitements automatisés rapprochant l'identité de ces personnes avec les informations figurant dans les fichiers des organismes chargés de la gestion d'un régime obligatoire de sécurité sociale, dans le fichier des comptes bancaires de l'administration fiscale ou dans les fichiers de police judiciaire. Si ces rapprochements ne sont autorisés que pendant une période limitée, elle relève qu'ils n'en constituent pas moins des traitements automatisés de données à caractère personnel au sens de la loi du 6 janvier 1978 modifiée, qui devront dès lors, préalablement à leur mise en œuvre, être autorisés par la commission.L'article 5 modifie quant à lui les dispositions du décret n° 2010-569 du 28 mai 2010 susvisé afin de permettre aux agents du service gestionnaire du FIJAIT d'être destinataires des données à caractère personnel et informations enregistrées dans le FPR aux fins de consultation des seules fiches concernant des personnes inscrites au FIJAIT et de mise à jour de ces mêmes données. A cet égard, le CPP prévoit que l'inscription au FIJAIT entraînera automatiquement l'inscription au fichier des
personnes recherchées (FPR) pendant toute la durée des obligations de la personne concernée et non pas pendant toute la durée de son inscription, comme cela était initialement envisagé.
La Commission nationale de l'informatique et des libertés,Saisie par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social et par le ministère des affaires sociales, de la santé et des droits des femmes d'une demande d'avis relative à un projet de décret autorisant la création de traitements de données à caractère personnel destinés à la mise en œuvre de la prime d'activité et portant diverses mesures réglementaires et impliquant, notamment, la collecte et le traitement de numéros d'inscription des personnes au répertoire national d'identification des personnes physiques ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de la sécurité sociale, notamment le titre IV de son livre VIII ;Vu le code de l'action sociale et des familles ;Vu le code du travail ;Vu la loi n° 2015-994 du 17 août 2015 relative au dialogue social et à l'emploi ;Vu la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques, notamment son article 7 bis ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment les dispositions du 1°
du I et du 4° du II de son article 27 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu les décrets nos XXX pris pour l'application de la loi n° 2015-994 du 17 août 2015 instaurant la prime d'activité ;Vu le dossier et ses compléments ;
Après avoir entendu Mme Laurence DUMONT, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie par le ministère du travail, de l'emploi, de la formation professionnelle et du dialogue social et par le ministère des affaires sociales, de la santé et des droits des femmes d'une demande d'avis relative à un projet de décret autorisant la création de traitements de données à caractère personnel destinés à la mise en œuvre de la prime d'activité et portant diverses mesures réglementaires.L'article 1er du projet de décret précise que :  la Caisse nationale des allocations familiales (CNAF) et la Caisse centrale de la mutualité sociale agricole (CCMSA) sont autorisées à créer des traitements de données à caractère personnel qu'elles, ainsi que les caisses d'allocations familiales (CAF) et les caisses de la mutualité sociale agricole (caisses de la MSA), mettent en œuvre pour la gestion et le versement de la prestation sociale dénommée "prime d'activité" prévue par l'article L. 841-1 du code de la sécurité sociale .Introduite par les articles 57 à 62 de la loi n° 2015-994 du 17 août 2015 relative au dialogue social et à l'emploi, la prime d'activité consiste à réformer le revenu de solidarité active (RSA) dans sa composante  activité , venant en complément des bas salaires, et la prime pour l'emploi (PPE), consistant en un crédit d'impôt.La
prime d'activité remplacera, à compter du 1er janvier 2016, ces deux prestations jugées peu efficaces par les organismes débiteurs de prestations sociales. Elle sera, de même que les autres prestations, versée à terme échu le 5 de chaque mois. Les premiers versements interviendront le 5 février 2016.Cette nouvelle prestation est codifiée aux articles L. 841-1 et suivants du code de l'action sociale et des familles et a pour objet d'inciter les travailleurs aux ressources modestes, qu'ils soient salariés ou non salariés, à l'exercice ou à la reprise d'une activité professionnelle et à soutenir leur pouvoir d'achat.Son attribution est subordonnée à une condition d'âge, à savoir 18 ans. Les jeunes actifs sont éligibles à la prime d'activité en application des règles de droit commun, exception faite des étudiants salariés et des apprentis, pour lesquels l'éligibilité est subordonnée à des règles spécifiques, à savoir pouvoir justifier d'un montant minimal (de rémunération).D'après les simulations réalisées par la CNAF, et selon les taux de recours retenus, le nombre de foyers bénéficiaires de la prime d'activité au cours d'une année serait de 4 millions, parmi lesquels 700 000 à 1 million de jeunes âgés de 18 à 25 ans.Dans la mesure où ces traitements automatisés ont vocation à être mis en œuvre par des personnes morales de droit public et portent sur des données parmi lesquelles figurent des numéros d'inscription des personnes au répertoire national d'identification des
personnes physiques, il y a lieu de faire application des dispositions prévues au 1° du I de l'article 27 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, qui prévoient que la création du traitement doit intervenir par décret en Conseil d'Etat pris après avis motivé et publié de la commission.La mise en œuvre de la prime d'activité impliquant la création de plusieurs téléservices, il y a également lieu de faire application des dispositions prévues au 4° du II de l'article 27 de la loi du 6 janvier 1978 modifiée susvisée.Le décret projeté a en outre vocation à constituer un acte réglementaire unique au sens du III de l'article 27 de la loi du 6 janvier 1978 modifiée. En conséquence, des engagements de conformité devront être adressés à la commission par chaque responsable de traitement, préalablement à leur mise en œuvre.La création de la prime d'activité implique des adaptations de l'ensemble des traitements mis en œuvre par la CNAF, la CCMSA et les organismes de leurs réseaux respectifs, ainsi que des échanges d'informations avec leurs partenaires. La commission note qu'elle sera informée des modifications des traitements existants et, le cas échéant, saisie de demandes d'avis relatives à des projets d'actes réglementaires modificatifs des traitements nécessitant des adaptations.La commission relève que l'examen de la présente demande d'avis s'inscrit en relation avec les décrets nos XXX pris pour l'application de la loi