AgentPublic/cnil huggingface dataset:
La commission rappelle tout d'abord que le dispositif, dans sa première version, prévoit que les données sont conservées dans l'outil de conversation instantanée le temps strictement nécessaire au signalement, soit une durée qui ne peut excéder quatre heures après la clôture d'une conversation, et à l'issue de laquelle les données sont supprimées après transmission aux logiciels de rédaction des procédures.
L'article 4 du projet de décret prévoit que dans une étape ultérieure, les données à caractère personnel et informations mentionnées à l'article 2 sont conservées pendant un délai de six ans à compter de leur enregistrement .
Le ministère a indiqué à ce titre qu'une telle durée apparaît justifiée, dans la mesure où elle correspond au délai de prescription de l'action publique en matière délictuelle. Il a également précisé que la conservation de ces données au sein de la plateforme a pour objectif de permettre aux opérateurs d'accéder à l'historique des signalements d'une personne, dans l'hypothèse où celle-ci n'aurait pas communiqué suffisamment d'éléments permettant l'ouverture d'une procédure judiciaire et sur lesquels elle souhaiterait apporter un complément d'information.
La commission relève que, lorsque les signalements auront fait l'objet de l'ouverture d'une procédure judiciaire, la conservation des données aux seules fins de permettre de compléter un premier signalement est dépourvue de toute justification, la procédure judiciaire ayant précisément pour objet de recueillir toutes les informations nécessaires. Dès lors, ces données devraient être supprimées dès leur transmission aux logiciels de rédaction des procédures de la police et de la gendarmerie, lors du développement du dispositif pérenne.
S'agissant des signalements n'ayant pas permis de transmettre des éléments suffisamment précis pour justifier l'engagement d'une procédure, la conservation des données relatives aux faits signalés peut être justifiée pour permettre au signalant de compléter sa première description.
Enfin, la commission rappelle que l'adresse IP ainsi que le port source seront également conservés pour une durée de six ans. Compte tenu des finalités invoquées par le ministère afin de justifier de la collecte et de la conservation de ces données, elle estime qu'une telle durée est disproportionnée.
Au regard de l'ensemble de ces éléments, et sans remettre en cause les besoins opérationnels exprimés par les services, la commission estime que la conservation des données, pour une durée de six ans, est manifestement excessive.
Elle l'est d'autant plus que, si des informations générales sur l'existence et les caractéristiques du traitement seront accessibles au public sur le site web du ministère et dans les conditions générales d'utilisation de la plateforme, les personnes ayant, comme auteur ou témoin, fait l'objet de ces signalements n'en seront pas informées. Si cette absence d'information se justifie par l'objet du traitement qui est la recherche et la poursuite d'infractions pénales, la conservation pendant une longue durée, à l'insu des intéressés, de signalements portant sur des incriminations très sensibles est susceptible, en cas de diffusion accidentelle ou délibérée, de causer des préjudices graves aux personnes concernées, ce qui renforce la nécessité d'une limitation de la durée de conservation.
Sur les destinataires
L'article 5 du projet de décret prévoit que seuls ont accès, à raison de leurs attributions et dans la limite du besoin d'en connaître, à la totalité ou à une partie des données à caractère personnel et informations enregistrées dans le traitement, les personnels de la police nationale et les militaires de la gendarmerie nationale chargés du recueil des signalements, individuellement désignés et habilités par les chefs des services territoriaux de la police nationale ou par les commandants d'unité de la gendarmerie nationale.
La commission prend acte de ce que les personnels visés par le projet de décret sont préalablement formés afin d'être notamment en mesure d'orienter efficacement la personne concernée et ne conserver que les données nécessaires et en lien avec le champ de la plateforme.
Le ministère a par ailleurs proposé de modifier le projet de décret pour préciser que les personnes habilitées ne pourront accéder au traitement que dans des conditions strictement délimitées, une fois le signalement transmis aux services compétents (traitement des signalements, opérations menées dans le cadre de procédures judiciaires ou de missions d'inspection relevant de ce ministère). Il en est pris acte.
Au regard de ces éléments, elle estime que l'accès de ces personnes aux données enregistrées dans le traitement est justifié.
Par ailleurs, l'article 5 du projet de décret prévoit que d'autres catégories de personnes peuvent être destinataires des données enregistrées dans le traitement.
En premier lieu, il est prévu que les personnels de la police et les militaires de la gendarmerie nationales chargés du traitement du signalement puissent être destinataires des données du traitement, à raison de leurs attributions et dans la limite du besoin d'en connaître. Ces catégories de personnes n'appellent pas d'observations particulières de la part de la commission.
En deuxième lieu, ce même article précise que les magistrats peuvent être destinataires de ces mêmes données. A cet égard, la commission considère que la seule mention de l'expression magistrats ne permet pas de déterminer avec une précision suffisante les personnes visées ainsi que les circonstances dans lesquelles les données sont effectivement transmises à ces dernières. A cet égard, elle prend acte de ce que le projet de décret sera modifié afin que soient visés les magistrats du parquet ou chargés de l'instruction pour les faits dont ils sont saisis . Dans ces conditions, elle considère qu'il est justifié que ces personnes soient destinataires des données enregistrées dans le traitement.
En troisième lieu, les partenaires associés par les personnels de la police nationale et de la gendarmerie nationale chargés du recueil des signalements et relevant du dispositif d'aide aux victimes peuvent être destinataires des données enregistrées dans le traitement dans les conditions de l'article 5 du projet de décret. Cette catégorie vise plus particulièrement les psychologues et intervenants sociaux en commissariats ou unités de gendarmerie, dont les missions portent notamment sur l'amélioration de la qualité de l'accueil des victimes et des relations avec la population. A ce titre, ils ont vocation à être destinataires notamment des données relatives à l'identité de la personne concernée et des faits signalés afin de permettre une prise de contact et une éventuelle prise en charge de la personne qui le désirerait.
Au regard des missions qui leur sont confiées, la commission considère qu'il est justifié que ces personnels soient destinataires des données enregistrées dans le traitement.
Elle prend par ailleurs acte de l'engagement du ministère de préciser la rédaction de l'article 5-II (3°) du projet de décret permettant de délimiter plus précisément ces personnels et ainsi viser les personnels relevant du dispositif d'aide aux victimes assistant les forces de l'ordre chargés du recueil des signalements employés par une association ou un organisme ayant signé une convention de mise à disposition et de partenariat avec l'Etat dans le cadre de l'exercice de missions d'aide aux victimes .
Sur les droits des personnes concernées
La commission prend acte qu'une information générale sera délivrée au public via les conditions générales d'utilisation , accessibles sur la plateforme. En outre, une information sur le traitement sera délivrée sur le site internet du ministère. La commission prend acte de ce que le lien vers les conditions générales d'utilisation, qui s'affiche automatiquement dans le premier champ de saisie de la messagerie instantanée, reste visible à l'écran pendant toute la durée de la conversation du déclarant avec l'opérateur.
Toutefois, et compte tenu de l'objet même du traitement, les personnes mentionnées par le signalant comme auteur ou témoin n'auront pas d'informations sur le fait qu'ils font l'objet d'un signalement, ni sur le déclarant qui les met en cause, ni sur les faits susceptibles de leur être imputés, ni sur la conservation de ces éléments pendant une durée actuellement fixée à six (6) ans.
Les personnes concernées peuvent exercer leurs droits d'accès, de rectification et d'effacement directement auprès de la direction générale de la police nationale et de la direction générale de la gendarmerie nationale. Il est toutefois prévu que des restrictions soient possibles et ce, dans les conditions du I et du 2° et 3° du II de l'article 70-21 de la loi du 6 janvier 1978 modifiée.
Dans cette hypothèse, ces droits s'exercent de manière indirecte auprès de la Commission nationale de l'informatique et des libertés dans les conditions prévues à l'article 70-22 de la loi précitée.
La commission relève que l'exercice des droits d'accès, de rectification et d'effacement des personnes mentionnées en tant qu'auteur ou témoin par le signalant dans le traitement, sera en pratique fortement limité dans la mesure où elles n'auront, par principe, pas vocation à avoir connaissance du signalement à leur encontre.
Enfin, le projet de décret précise qu'en application de l'article 38 de la loi du 6 janvier 1978 modifiée, le droit d'opposition n'a pas vocation à s'appliquer au traitement projeté.
La commission rappelle que, si les dispositions de la directive 2016/680 du 27 avril 2016 susvisée telles que transposées en droit interne, ne mentionnent pas la possibilité pour les personnes concernées de s'opposer au traitement mis en œuvre, les Etats membres conservent, en tout état de cause, la possibilité de prévoir des garanties plus étendues que celles établies dans ladite directive pour la protection des droits et des libertés des personnes concernées à l'égard du traitement des données à caractère personnel par les autorités compétentes.
Dans ce contexte, elle considère que l'article 38 précité, qui n'a pas été abrogé par la loi relative à la protection des données personnelles et dont l'application aux traitements relevant de la directive précitée n'est pas davantage exclue par les dispositions des articles 70-1 et suivants de la loi Informatique et Libertés , a également vocation à s'appliquer aux traitements relevant du champ d'application de cette directive. Elle relève à cet égard que cet article 38 prévoit la possibilité d'écarter le droit d'opposition lorsque le traitement répond à une obligation légale ou lorsqu'une disposition expresse de l'acte réglementaire autorisant le traitement l'exclut.
En l'espèce, la commission considère que l'exclusion du droit d'opposition telle que prévue par l'article 7 du projet de décret est proportionnée au regard de la finalité poursuivie par le traitement projeté, à savoir le recueil des signalements des violences à caractère sexuel et sexiste et leur transmission aux services d'enquête territorialement compétents. Compte tenu de ce qui précède, elle estime que la limitation apportée à l'exercice du droit d'opposition s'inscrit dans le cadre des dispositions du droit national relatives à la protection des données à caractère personnel et n'est pas de nature à porter une atteinte excessive aux droits et libertés des personnes concernées.
Sur les mesures de sécurité
La commission relève tout d'abord que l'accès au téléservice se fera via le protocole HTTPS, et rappelle sa recommandation d'utiliser pour cela la ou les versions de TLS les plus à jour possibles. Dans ce contexte, la commission rappelle qu'il revient au ministère d'attester formellement de l'acceptation du niveau de sécurité du téléservice au travers d'une homologation référentiel général de sécurité (RGS) comme prévu par le décret n° 2010-112 du 2 février 2010 et d'en publier l'attestation d'homologation sur son site.
Des profils d'habilitation sont par ailleurs prévus afin de gérer les accès aux données en tant que besoin. La commission prend acte de l'engagement du ministère à faire respecter, notamment par son prestataire, la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe modifiée par la délibération n° 2017-190 du 22 juin 2017, et cela notamment en ce qui concerne le stockage des mots de passe.
Une journalisation des opérations de création, modification, consultation, communication, transferts et suppression des données est mise en place. La commission rappelle que sauf justification particulière, la durée de conservation qu'elle préconise est de six (6) mois. Si elle prend acte des éléments apportés par le ministère, elle estime qu'une durée inférieure à six (6) ans aurait pu être retenue s'agissant de la conservation de ces journaux. En tout état de cause, et afin de limiter les risques de non-détection d'une utilisation anormale du dispositif, la commission recommande de réaliser un contrôle des traces de manière automatique, générant des alertes le cas échéant, ainsi qu'une revue régulière des habilitations et des contrôles de leur utilisation.
La commission considère que la solution temporaire implique un stockage des données chez un prestataire qui ne permet pas d'assurer le niveau de garantie habituellement souhaité pour ce type de traitement. Elle relève qu'afin de limiter les risques générés par cette architecture, les données seront chiffrées sur le serveur et supprimées dans un délai de quatre heures. La commission prend par ailleurs acte de l'engagement du ministère de choisir, pour la solution pérenne, un dispositif permettant de garantir un haut niveau de sécurité comme exigé par la nature du traitement.
Enfin, la commission relève que le ministère a mis en œuvre plusieurs mesures pour limiter le risque pour la victime d'une découverte de son utilisation de la plateforme par un tiers.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement pour la solution temporaire sont conformes à l'exigence de sécurité prévue par l'article 70-13 de la loi du 6 janvier 1978 modifiée. La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. A cet égard, elle rappelle en particulier qu'il conviendra d'apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour impérative de l'analyse d'impact.
La présidente,
I. Falque-Pierrotin
La Présidente
X
Paris, le
PAR PORTEUR
Références à rappeler dans toute correspondance : 
N/Réf. : CTX 2018-031
Monsieur le Président,
 
Je fais suite à la décision n° 2018-023 que j’ai prise le 25 juin 2018 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
 
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2017-212C.
 
En effet, je considère que les modèles de bannières communiqués permettent de recueillir un consentement libre, spécifique et éclairé des personnes à des fins de publicité géolocalisée, conformément au Règlement général sur la protection des données (RGPD).
 
En outre, je prends acte de votre engagement à ce que la liste présentant les responsables de traitement regroupe ces derniers par finalité, au sein des bannières.
 
Par ailleurs, j’attire votre attention sur le fait qu’au titre de la transparence prévue aux articles 12 et 13 du RGPD, l’information des personnes relative à leurs droits est une information de premier niveau devant être priorisée. Afin qu’une telle information soit conforme à ces dispositions, la CNIL recommande qu’une information englobant tous les droits des personnes soit fournie. Il est ainsi par exemple proposé d’avoir recours à ce type de formulation :  
Pour exercer vos droits Informatique et Libertés, notamment votre droit d’opposition, d’accès… .
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet www.legifrance.gouv.fr et sur celui de la CNIL.
 
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
 
De même, le présent courrier de clôture, dont le périmètre correspond à celui de la mise en demeure initiale, ne préjuge pas de la conformité des conditions de recueil du consentement pour les autres finalités ( stockage et accès aux données , personnalisation , sélection de contenu, affichage et analyse , sélection de publicité, affichage et analyse , mesure d’audience ) dont il vous revient de vous assurer.
Je vous indique que le RGPD, entré en application le 25 mai 2018, s’inscrit dans la continuité de la Loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
 
Les services de la Commission [...] ) se tiennent à votre disposition pour tout renseignement complémentaire.
 
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées 
 
Isabelle FALQUE-PIERROTIN
La Présidente
X
Paris, le
PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : CTX 2018-042
Monsieur le Président,
Je fais suite à la décision n° 2018-043 que j’ai prise le 8 octobre 2018 mettant en demeure la société x, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2018-118C.
En effet, je considère que les modèles de fenêtre contextuelle communiqués permettent de recueillir un consentement informé, spécifique et univoque des personnes à des fins de publicité géolocalisée, conformément au règlement général sur la protection des données (RGPD).
Vous avez en outre démontré que les durées de conservation des données que vous collectez sont désormais conformes au RGPD.
Vous avez enfin justifié de mesures de sécurité mises en œuvre pour protéger lesdites données concernant, d’une part, les mots de passe utilisés pour accéder à vos bases de données et, d’autre part, l’utilisation de données anonymisées pour vos bases de développement.
J’attire néanmoins votre attention sur l’impossibilité pour l’utilisateur, au moment du recueil de son consentement, de choisir spécifiquement les responsables de traitement qui pourront être destinataires de ses données personnelles. Une interface laissant ce choix à l’utilisateur et lui offrant une plus grande maîtrise de ses données est préconisée par notre Commission.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet https://www.legifrance.gouv.fr/ et sur celui de la CNIL.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
De même, le présent courrier de clôture, dont le périmètre correspond à celui de la mise en demeure initiale, ne préjuge pas de la conformité des conditions de recueil du consentement pour les autres finalités ( stockage et accès aux données , personnalisation , sélection de contenu, affichage et analyse , sélection de publicité, affichage et analyse , mesure d’audience ) dont il vous revient de vous assurer.
Je vous indique que le règlement général sur la protection des données, entré en application le 25 mai 2018, s’inscrit dans la continuité de la loi Informatique et Libertés et participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. Aussi, j’attire votre attention sur la nécessité de veiller au respect de ses dispositions.
Les services de la Commission se tiennent à votre disposition pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
 
 
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la transition écologique et le ministère des transports d’une demande d’avis concernant un projet de loi d’orientation des mobilités ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code général des collectivités territoriales, notamment son article L. 2213-6-1 ;
Vu le code général des impôts, notamment son article 1609 quater A ;
Vu le code de la route, notamment son article L.130-9 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4°-a) ;
Vu la loi n° 2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes, notamment son article 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Après avoir entendu Monsieur Eric PERES, commissaire, en son rapport, et Madame Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie d’une demande d’avis portant sur les articles 16 bis, 22 bis et 22 ter du projet de loi d’orientation des mobilités, sur le fondement de l’article 11. 4°. a) de la loi du 6 janvier 1978 modifiée. Conformément à l’article 22 de la loi du 20 janvier 2017 susvisée, cet avis sera rendu public.
Le projet de loi d’orientation des mobilités, et notamment les trois articles soumis pour avis à la Commission, vise à réformer le cadre général des politiques de mobilité et d’infrastructure en s’inscrivant dans une finalité de protection de l’environnement et de prise en compte des enjeux climatiques, dont la légitimité ne saurait être contestée.