AgentPublic/cnil huggingface dataset:
L’inscription au FPR intervient pour des motifs judiciaires ou administratifs. Les informations qui y sont enregistrées sont l’identité de la personne recherchée, son signalement et sa photographie, le motif de la recherche et la conduite à tenir si elle est retrouvée. Ce fichier est divisé en vingt et un sous-fichiers regroupant les personnes recherchées en fonction du fondement juridique de la recherche.
Le droit d’accès au FPR s’exerce, soit directement auprès du ministère de l’Intérieur ou du ministère de la Défense pour les fiches qui n’intéressent pas la sûreté de l’Etat, la défense ou la sécurité publique, soit pour les autres fiches, indirectement conformément à l’article 41 de la loi du 6 janvier 1978.
Les modifications apportées par ce projet d’arrêté portent sur deux points :  d’une part, l’ajout de motifs d’inscriptions au FPR et d’autre part, la suppression de la référence à l’ordonnance n° 45-2659 du 2 novembre 1945 relative aux conditions d’entrée et de séjour en France des étrangers, pour la remplacer par les articles adéquats du code de l’entrée et du séjour des étrangers et du droit d’asile, ce dernier point n’appelant pas d’observation particulière.
Sur le premier point, l’article 2 du projet d’arrêté vise à compléter le FPR, au titre des décisions judiciaires, par les nouveaux motifs d’inscription prévus par les 6°, 12°, 13° et 14° de l’article 131-6 du code pénal, en application de l’article 23 de la loi du 18 mars 2003 pour la sécurité intérieure (LSI) modifié par la loi du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers.
Ces nouveaux motifs d’inscriptions sont : « l’interdiction de détenir ou de porter, pour une durée de cinq ans au plus, une arme soumise à autorisation » (article 131-6-6° du code pénal), « l’interdiction, pour une durée de trois ans au plus, de paraître dans certains lieux ou catégories de lieux déterminés par la juridiction et dans lesquels l'infraction a été commise » (article 131-6-12° du code pénal), « l’interdiction, pour une durée de trois ans au plus, de fréquenter certains condamnés spécialement désignés par la juridiction, notamment les auteurs ou complices de l'infraction » (article 131-6-13° du code pénal) et « l’interdiction, pour une durée de trois ans au plus, d'entrer en relation avec certaines personnes spécialement désignées par la juridiction, notamment la victime de l'infraction » (article 131-6-14° du code pénal).
Les dispositions de l’article 23-I-6° de la LSI, introduites par l’article 10 de la loi du 23 janvier 2006 relative à la lutte contre le terrorisme, prévoyant expressément que « les interdictions prononcées en application des dispositions des articles 1°, 2°, 3°, 6°, 11°, 12°, 13° et 14° de l’article 131-6 du code pénal relatif aux peines alternatives à l’emprisonnement » sont inscrites dans le FPR au titre des décisions judiciaires, la  modification de l’arrêté du 15 mai 1996 proposée n’appelle pas d’observation de la Commission.  
En même temps qu’elle était saisie de ce projet d’arrêté modificatif, la Commission a été informée par le ministère de l’Intérieur que des données relatives aux personnes faisant l’objet d’une mesure administrative d’interdiction de stade seraient aussi enregistrées dans le FPR au titre des « recherches des personnes pour prévenir les menaces pour la sécurité publique » (dernier alinéa du II-3° de l’article 2 de l’arrêté modifié du 15 mai 1996).
La Commission estime que ce nouveau motif d’inscription devrait figurer explicitement dans le projet d’arrêté au même titre que les autres mesures administratives énumérées par l’article 2, II-3°. En effet, en application de l’article 31 de la loi du 23 janvier 2006 relative à la lutte contre le terrorisme, il appartient au préfet de prononcer par arrêté motivé les mesures d’interdiction de stade, dès lors qu’une « personne constitue une menace pour l’ordre public » à l’occasion des manifestations sportives. Cette disposition donne un fondement juridique à l’inscription des mesures d’interdiction dans le fichier des personnes recherchées.
En conséquence, dans la mesure où le ministère de l’Intérieur estime devoir disposer de la faculté d’inscrire au FPR les personnes faisant l’objet d’une mesure administrative d’interdiction de stade, la Commission demande que l’article 2, II-3° de l’arrêté du 15 mai 1996 modifié, aujourd’hui soumis à son examen, soit complété de sorte que l’enregistrement des données relatives aux personnes concernées soit expressément prévu et identifié.
En tout état de cause, la durée de l’inscription sera limitée à la durée de l’interdiction prononcée par le préfet (trois mois).
Le président
Alex TURK
(avis n° 1393868 v 0)
La Commission nationale de l’informatique et des libertés, 
Saisie pour avis par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales, d’une demande d’avis portant sur un projet de décret modifiant le décret n° 87-249 du 8 avril 1987 relatif au fichier automatisé des empreintes digitales ;
Vu le traité sur le fonctionnement de l’Union européenne, notamment son titre V ; 
Vu le traité relatif à l’approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme, la criminalité transfrontalière et la migration illégale, signé à Prüm le 27 mai 2005 ; 
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu les décisions 2008/615/JAI du Conseil du 23 juin 2008 relative à l’approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité organisée et 2008/616/JAI du Conseil du 23 juin 2008 concernant la mise en œuvre de la Décision 2008/615/JAI relative à l’approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité organisée ; 
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004, et notamment son article 26 ; 
Vu la loi n° 2003-289 du 18 mars 2003 modifiée pour la sécurité intérieure, notamment son article 24 ;   
Vu le décret n° 87-249 du 8 avril 1987 relatif au fichier automatisé des empreintes digitales ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-401 du 25 mars 2007 ;
Vu le décret n° 2009-785 du 23 juin 2009 relatif à l’accès d’organisations internationales et d’Etats étrangers au fichier national automatisé des empreintes génétiques ; 
Vu la délibération n° 2008-113 du 14 mai 2008 portant avis sur un projet de décret en Conseil d’Etat modifiant le code de procédure pénale (deuxième partie : décrets en Conseil d’Etat) et relatif au fichier national des empreintes génétiques ; 
Après avoir entendu Monsieur Jean-Marie COTTERET, commissaire, en son rapport et Madame Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant
La Commission a été saisie par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales, d’une demande d’avis portant sur un projet de décret en Conseil d’Etat modifiant le décret n° 87-249 du 8 avril 1987 relatif au fichier automatisé des empreintes digitales (FAED).
Le décret du 8 avril 1987, pris après avis favorable de la CNIL en date du 14 octobre 1986, a autorisé la création du FAED, qui a pour finalité de faciliter la recherche et l’identification, par les services de police judiciaire, des auteurs de crimes et de délits et de faciliter la poursuite, l’instruction et le jugement des affaires dont l’autorité judiciaire est saisie. Plus précisément, le FAED a pour objet d’identifier les auteurs de crime ou de délit par comparaison des traces relevées sur des lieux d’infractions, et de s’assurer de la véritable identité des personnes mises en cause dans une procédure pénale ou condamnées à une peine privative de liberté, afin d’éviter les erreurs judiciaires et de détecter les fausses identités et les cas de récidive. 
Les modifications envisagées visent à intégrer les agents du service national de douane judiciaire dans le dispositif d’une part, et à permettre l’application des engagements internationaux ratifiés par la France qui prévoient des échanges d’information en matière d’empreintes dactyloscopiques d’autre part. 
Sur l’alimentation et la consultation du FAED par les agents de la douane judiciaire
La Commission relève que l’article 28-1 du code de procédure pénale prévoit la faculté pour les agents des douanes procédant à des enquêtes judiciaires de recourir aux opérations de signalisation en vue de l’alimentation et de la consultation du FAED, telles que prévues à l’article 55-1 dudit code.
Afin de permettre l’application de ces dispositions, le ministère de l’intérieur envisage de modifier l’article 1er du décret du 8 avril 1987 afin d’ajouter les services des douanes exerçant des missions de police judiciaire à la liste des services pouvant recourir au traitement, aux côtés des services de police et de gendarmerie nationales. Il projette également de modifier l’article 8 dudit décret afin de mentionner les agents du service national de douane judiciaire à la liste des destinataires des données enregistrées dans le FAED.
A cet égard, la Commission prend acte de ce que ces agents pourront alimenter le traitement via des bornes installées à cet effet dans leurs locaux, et de ce qu’ils pourront également avoir accès au FAED par ces mêmes bornes, mais uniquement en consultation. Ainsi, les agents des douanes ne pourront effectuer eux-mêmes de rapprochements directs dans l’application, ceux-ci étant toujours exclusivement effectués par les services d’identité judiciaire de la police nationale ou par les unités de recherches de la gendarmerie nationale.
La rédaction projetée de l’article 8 du décret du 8 avril 1987 modifié prévoit ainsi que seuls les fonctionnaires des services d’identité judiciaire de la police nationale et des unités de recherches de la gendarmerie peuvent procéder aux opérations d’identification, à la demande de l’autorité judiciaire, des officiers de police judiciaire ou des agents des douanes habilités à effectuer des enquêtes judiciaires. Ledit article prévoit également que les agents des services de la police et de la gendarmerie nationales, ainsi que du service national de douane judiciaire, sont destinataires des données enregistrées dans le FAED dans le cadre de leurs attributions légales. Dans la mesure où le terme de destinataires ne figure pas dans le décret en vigueur, la Commission prend acte de cette modification rédactionnelle, qui apparaît plus conforme aux dispositions de l’article 29 de la loi du 6 janvier 1978 modifiée.
Elle prend enfin acte de ce que le nouvel article 8 du décret du 8 avril 1987 modifié mentionne expressément une procédure de désignation individuelle et d’habilitation spéciale pour tous ces destinataires, qu’il s’agisse des fonctionnaires des services d’identité judiciaire, des militaires des unités de recherche de la gendarmerie et des agents des services de police et de douane judiciaire. 
Sur la transmission de données vers des Etats étrangers
Afin de permettre l’application des engagements internationaux ratifiés par la France comportant des dispositions relatives aux échanges d’informations en matière d’empreintes dactyloscopiques, le ministère de l’intérieur prévoit de créer deux nouveaux articles 9-1 et 9-2 au décret du 8 avril 1987 modifié, déterminant les conditions dans lesquelles les données enregistrées dans le FAED peuvent être consultées par des organismes de coopération internationale en matière de police judiciaire ou par des services de police ou de justice d’Etats étrangers. 
En effet, en application du traité de Prüm signé par la France le 27 mai 2005, ces organismes et services peuvent bénéficier d’un accès aux données du FAED et recevoir les résultats des opérations d’identification effectuées dans le traitement. Les modalités d’accès des services étrangers au FAED sont similaires à celles qui ont été prévues en matière d’empreintes génétiques par le décret susvisé du 23 juin 2009, pris après avis de la CNIL en date du 14 mai 2008.
A cet égard, la Commission rappelle que chaque Etat signataire du traité dispose d’un accès réciproque, via un point de contact national, aux données des fichiers d’empreintes digitales des autres Etats parties, aux fins de réalisation d’opérations de rapprochement. Elle rappelle également que les consultations ne peuvent être effectuées que de manière ponctuelle, pour une affaire déterminée, et que, en cas de rapprochement positif, l’obtention des données à caractère personnel ou des informations relatives à l’affaire doit ensuite faire l’objet d’une demande spécifique, via les canaux institutionnels de la coopération internationale.
La Commission relève que de strictes mesures de traçabilité des demandes d’accès à la base seront mises en œuvre par le ministère de l’intérieur, conformément aux dispositions de l’article 39 du traité de Prüm. Elle relève également que le projet d’article 9-2 prévoit que les opérations de consultation du FAED par ces services étrangers « sont le fait d’agents spécialement habilités », « font l’objet, de la part de ces agents, de demandes préalables motivées » et « donnent lieu à la mise en place, par le gestionnaire du traitement, d’un dispositif permettant de retracer, par enregistrement informatique, la consultation du fichier ».
Si la Commission prend donc acte de ces nouveaux destinataires des données enregistrées dans le FAED, elle relève que le projet de décret revêt un caractère plus général en permettant la consultation du traitement par les agents des services de police ou de justice d’Etats étrangers dans les conditions prévues « par tout acte pris en application du titre V du traité sur le fonctionnement de l’Union européenne et poursuivant des buts analogues, en tout ou partie, à ceux du traité mentionné au 1° [traité de Prüm] » ainsi que « par tout engagement liant la France à des organismes internationaux ou à des Etats étrangers, aux fins et dans les conditions définies à l’article 24 de la loi n° 2003-239 du 18 mars 2003 sur la sécurité intérieure ». 
S’agissant tout d’abord des actes européens, la Commission relève que le ministère de l’intérieur n’a apporté aucune précision sur des projets d’actes permettant l’échange de données dactyloscopiques entre les autorités répressives des Etats membres. Dès lors, elle s’interroge sur l’opportunité de ces dispositions, dont la rédaction apparaît par ailleurs très imprécise.
En second lieu, concernant les futurs engagements liant la France à des organismes internationaux ou à des Etats étrangers, elle relève que la rédaction retenue ne fait pas mention des articles 68 à 70 de la loi du 6 janvier 1978 modifiée, qui constituent pourtant le régime général applicable aux transferts de données vers des Etats n’assurant pas un niveau de protection des données suffisant. La Commission estime à cet égard que le ministère de l’intérieur devrait reprendre la formulation du décret du 23 juin 2009 relatif au FNAEG, qui mentionne expressément la nécessité, pour les organismes et Etats concernés, d’assurer « à la vie privée, aux libertés et aux droits fondamentaux des personnes à l’égard des traitements de données, un niveau de protection suffisant au sens de l’article 68 de la loi n°  78-17 du 6 janvier 1978 ».
La Commission relève en outre que la rédaction projetée par le ministère de l’intérieur aurait pour conséquence de ne plus avoir à modifier le texte réglementaire relatif au FAED en cas d’adoption de nouveaux actes européens, ou de signature de nouveaux accords bilatéraux ou multilatéraux, permettant l’échange de données dactyloscopiques, sauf si les Etats étrangers n’assurent pas un niveau de protection des données suffisant. Dès lors, la Commission sera simplement tenue informée de tout changement affectant les destinataires du traitement et les transferts de données à caractère personnel envisagés, conformément aux dispositions combinées du II de l’article 30 de la loi du 6 janvier 1978 modifiée et de l’article 101 du décret du 20 octobre 2005 modifié. 
Dans la mesure où elle n’a connaissance ni du contenu de ces accords ni des pays concernés, et eu égard à la sensibilité des informations susceptibles d’être transmises et aux garanties spécifiques qui doivent être prises pour assurer la protection des données biométriques, et des empreintes digitales en particulier, la Commission émet donc de sérieuses réserves quant à la possibilité qui pourrait ainsi être donnée d’élargir la liste des destinataires du FAED en conséquence de l’entrée en vigueur de nouveaux engagements internationaux.
En toute hypothèse, la Commission demande à être associée à la préparation et à la définition de la position française dans les négociations internationales susceptibles d’avoir une incidence sur la liste des destinataires du FAED, en application des dispositions de l’article 11-4-d) de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004, et à être consultée sur les éventuels projets de loi de ratification des traités conclus à la suite desdites négociations, conformément aux dispositions de  l’article 11-4-a) de la même loi. 
Elle relève qu’elle a déjà formulé ces demandes, notamment dans le cadre du décret relatif à l’accès d’Etats étrangers au FNAEG, et qu’elle n’a pas été suivie par le Gouvernement. Cependant, dans la mesure où la rédaction projetée du décret relatif au FAED aurait pour conséquence de priver la Commission de l’exercice de certains de ses pouvoirs de contrôle a priori sur la mise en œuvre de nouveaux transferts de données, qui ne seraient pas soumis à l’avis de la CNIL, elle estime qu’il convient que le ministère de l’intérieur prenne les mesures nécessaires afin de garantir que ces nouveaux transferts respectent pleinement les droits des personnes à l’égard des traitements automatisés de données à caractère personnel. 
Le Président
Alex TURK
La Commission nationale de l'informatique et des libertés,
Vu la convention n°108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et notamment ses considérants n° 49 à 52 et ses articles 18, 19 et 21; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 24-II, 69-6° et 69 alinéa 8 ; 
Vu la délibération n°2004-096 du 9 décembre 2004 décidant la dispense de déclaration des traitements de gestion des rémunérations mis en œuvre par l'Etat, les collectivités locales, les établissements publics et les personnes morales de droit privé gérant un service public (Dispense n°1) ;
Vu la délibération n°2004-097 du 9 décembre 2004 décidant la dispense de déclaration des traitements de gestion des rémunérations mis en œuvre par les personnes morales de droit privé autres que celles gérant un service public (Dispense n°2) ;
Vu la délibération n°2005-002 du 13 janvier 2005 portant adoption d'une norme destinée à simplifier l'obligation de déclaration des traitements mis en œuvre par les organismes publics et privés pour la gestion de leurs personnels (Norme Simplifiée n°46) ;
Vu la délibération n°2005-112 du 7 juin 2005 portant création d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel relatifs à la gestion des fichiers de clients et de prospects (Norme simplifiée n°48) ;
Après avoir entendu M. Didier Gasse, commissaire, en son rapport et Mme Elizabeth Rolin, commissaire du Gouvernement, en ses observations ;
Formule les observations suivantes :
La Commission constate que des entreprises et organismes, établis en dehors de l’Union européenne, font réaliser par des prestataires situés en France des traitements automatisés concernant la gestion de leurs employés ou leurs fichiers de clients et prospects. Les données personnelles relatives à leurs employés et leurs clients sont collectées hors de l'Union européenne. Ces entreprises, qui sont responsables de traitement au sens de l’article 3 de la loi du 6 janvier 1978, recourent à des moyens de traitement situés sur le territoire français et sont soumises à ce titre aux dispositions de la loi informatique et libertés, aux termes de son article 5.
Dans le cadre des prestations réalisées, le responsable de traitement transfère des données à caractère personnel vers son prestataire en France puis ce prestataire, après traitement, retransmet ces données personnelles au responsable de traitement.  
Les traitements effectués en France par le prestataire concernent des données personnelles collectées hors de l'Union européenne sous l’autorité du responsable de traitement établi hors de l’Union européenne. Enfin, le transfert après traitement de ces données du prestataire vers le responsable de traitement hors de l'Union européenne présente un risque limité pour la vie privée des personnes concernées, puisqu'il s'agit d'un transfert en retour vers le pays d'origine.
Compte tenu de ces éléments, la Commission estime qu'il y a lieu de faire application des dispositions de l'article 24-II de la loi du 6 janvier 1978 modifiée et de dispenser ces traitements de toute formalité déclarative préalable. Elle considère, en outre, que le transfert « en retour » des données vers le pays d'origine relève des exceptions prévues aux articles 69-5° et 69-6° de la loi précitée. Le transfert est en effet considéré comme nécessaire : 
- à l’exécution d’un contrat entre le responsable du traitement et l’intéressé, ou de mesures précontractuelles prises à la demande de celui-ci ; ou
- à la conclusion ou à l’exécution d’un contrat conclu ou à conclure, dans l’intérêt de la personne concernée, entre le responsable du traitement et un tiers.
Décide :
Article premier
Sont dispensés de déclaration les traitements de données à caractère personnel qui répondent aux conditions suivantes.
Article 2 : Finalités des traitements
Les traitements ont pour finalités :
a) la gestion des rémunérations telle que prévue par les dispenses de déclaration n° 1 et 2;
b) la gestion des employés telle que prévue par la norme simplifiée n° 46 ;
c) la gestion des fichiers de clients et de prospects telle que prévue par la norme simplifiée n°48.
Article 3 : Données traitées
Les données collectées hors de l'Union européenne et susceptibles d'être traitées pour la réalisation d'une des trois finalités énoncées à l'article 2 sont limitées respectivement :
a) pour la gestion des rémunérations, aux données mentionnées à l’article 3 des dispenses de déclaration n° 1 et 2, sous réserve des adaptations résultant de l'application de la législation du pays dans lequel le responsable de traitement est établi ;
b) pour la gestion des employés, aux données mentionnées à l’article 3 de la norme simplifiée n° 46, sous réserve des adaptations résultant de l'application de la législation du pays dans lequel le responsable de traitement est établi ;
c) pour la gestion des fichiers de clients et de prospects, aux données mentionnées à l’article 3 de la norme simplifiée n°48, sous réserve des adaptations résultant de l'application de la législation du pays dans lequel le responsable de traitement est établi.
Article 4 : Durée de conservation des données