AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'environnement, de l'énergie et de la mer d'une demande d'avis concernant un projet d'arrêté relatif à la mise en œuvre d'un traitement de données à caractère personnel ayant pour finalité la mise en œuvre d'un téléservice pour les exploitants des plus gros élevages intensifs de porcs et de volailles ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive n° 2010/75/UE du Parlement européen et du Conseil du 24 novembre 2010 relative aux émissions industrielles (prévention et réduction intégrées de la pollution) ;
Vu la décision d'exécution 2017/302/UE de la commission du 15 février 2017 établissant les conclusions sur les meilleures techniques disponibles (MTD), au titre de la directive 2010/75/UE du Parlement européen et du Conseil, pour l'élevage intensif de volailles ou de porcs ;
Vu le code de l'environnement, notamment ses articles L. 515-28 et R. 515-62 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (4°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
 
Après avoir entendu M. Loïc Hervé, commissaire, en son rapport et Mme Nacima Belkacem, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La directive 2010/75/UE du Parlement européen et du Conseil du 24 novembre 2010 relative aux émissions industrielles (prévention et réduction intégrées de la pollution) prévoit que les Etats membres prennent les mesures nécessaires pour que les autorités compétentes réexaminent périodiquement toutes les conditions d'autorisation des exploitations de porcs et de volailles afin de s'assurer du respect des valeurs limites d'émissions industrielles.
Dans sa décision d'exécution 2017/302/UE du 15 février 2017 établissant les conclusions sur les meilleures techniques disponibles (MTD), au titre de la directive 2010/75/UE du Parlement européen et du Conseil pour l'élevage intensif de volailles ou de porcs, la Commission européenne a présenté les conclusions sur les MTD et a fixé un cadre de référence des conditions d'autorisation des installations de porcs et de volailles, et notamment les valeurs limites d'émissions industrielles par les autorités compétentes.
Un arrêté ministériel du 23 mars 2017 prévoit les modalités de mise en œuvre des MTD adoptées le 21 février 2017 au niveau européen.
Le ministère de l'environnement, de l'énergie et de la mer a donc développé un téléservice afin de permettre aux éleveurs de porcs et de volailles de s'acquitter de leurs obligations déclaratives aux fins du réexamen des conditions d'autorisation de leurs exploitations conformément à la directive 2010/75/UE et à sa décision d'exécution 2017/302/UE.
Le ministère susvisé a saisi la Commission nationale de l'informatique et des libertés, sur le fondement de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée en août 2004 d'une demande d'avis concernant le projet d'arrêté portant création d'un téléservice dénommé Réexamen élevage IED à l'égard des éleveurs de porcs et de volailles.
Sur les finalités et le fonctionnement du traitement :
L'article 1er du projet d'arrêté prévoit que le traitement a pour finalité de mettre à la disposition des éleveurs de porcs et de volailles soumis aux dispositions de la directive du 24 novembre 2010 susvisée un téléservice leur permettant de s'acquitter de leurs obligations déclaratives aux fins du réexamen des conditions d'autorisation de leurs exploitations .
Plus précisément, ce dispositif permettra aux éleveurs de porcs et de volailles d'effectuer des démarches administratives dématérialisées par une simple activation de leurs comptes sur le site du téléservice.
La commission prend note que les comptes seront créés préalablement par le ministère de l'environnement, de l'énergie et de la mer, à partir d'une extraction de la base de données S3IC (base dédiée aux inspecteurs de l'environnement).
Une fois la saisine effectuée, les usagers recevront un courriel de confirmation de la transmission de leur dossier aux services compétents du ministère susvisé.
La commission prend note qu'un courrier postal sera adressé aux éleveurs de porcs et/ou de volailles par le préfet du département lorsque le dossier de réexamen de l'autorisation sera validé à l'issue de l'instruction du dossier par les services compétents.
La commission recommande de supprimer la mention suivante de l'article 1er du projet d'arrêté : ce téléservice est mis en œuvre conformément aux dispositions du décret du 27 mai 2016 susvisé emportant acte réglementaire unique (ARU-052) au sens du IV de l'article 26 et du III de l'article 27 de la loi du 6 janvier 1978 susvisée dans la mesure où le traitement mis en œuvre ne rentre pas dans le cadre de référence de l'acte règlementaire unique n° 52 autorisant les téléservices tendant à la mise en œuvre du droit des usagers de saisir l'administration par voie électronique.
La commission considère les finalités poursuivies comme déterminées, explicites et légitimes conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée en août 2004.
Sur les données à caractère personnel traitées :
L'article 2 du projet d'arrêté liste les données collectées, celles-ci portant sur les informations relatives au représentant de l'exploitant, à l'établissement ainsi qu'aux meilleures techniques disponibles (MTD) mises en œuvre par l'exploitant.
La commission estime que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées.
Sur les destinataires des données :
L'article 4 du projet d'arrêté prévoit que les services en charge des installations classées pour la protection de l'environnement des directions départementales de la protection des populations, ainsi que ceux en charge des biotechnologies et de l'agriculture du ministère de l'environnement, de l'énergie et de la mer ont accès à l'ensemble des données mentionnées à l'article 2 du projet d'arrêté, à raison de leurs attributions respectives et dans la limite du besoin d'en connaître.
La commission estime que ces personnes présentent un intérêt légitime à connaître de ces données.
Sur la durée de conservation :
L'article 3 du projet d'arrêté prévoit que les données à caractère personnel sont conservées quatre ans à compter de la publication de la décision 2017/302/UE du 15 février 2017 au Journal officiel de l'Union européenne, conformément à l'article 21, alinéa 3, de la directive 2010/75/UE du 24 novembre 2010.
Cette durée n'appelle pas d'observation de la part de la commission.
Sur l'information et les droits des personnes concernées :
A titre liminaire, constatant l'essor des téléprocédures, la commission souhaite insister sur l'importance de prendre en considération les difficultés auxquelles peuvent être confrontés les usagers soumis à l'accomplissement de formalités dématérialisées (difficulté d'accès à internet ou encore insuffisance des connaissances dans le domaine du numérique). C'est pourquoi elle estime nécessaire d'accompagner les usagers, en les informant notamment des dispositifs leur permettant d'être assistés dans leurs démarches, tels que les espaces publics numériques (EPN). A cet égard, la commission recommande que cette information soit portée à la connaissance des éleveurs de porcs et de volailles, en renvoyant notamment vers le répertoire des lieux d'accès publics (http://www.netpublic.fr/net-public/espaces-publics-numeriques/repertoire-national/).
La commission prend note que les usagers sont informés conformément aux dispositions de l'article 32 de la loi informatique et libertés du 6 janvier 1978 modifiée en août 2004 par des mentions sur le site internet du téléservice.
L'article 5 du projet d'arrêté prévoit que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée en août 2004 s'exercent auprès de la direction générale de la prévention des risques du ministère chargé de l'environnement.
La commission considère que les modalités d'information et d'exercice des droits des personnes sont satisfaisantes.
La commission prend note que le droit d'opposition prévu à l'article 38 de la loi informatique et libertés du 6 janvier 1978 modifiée en août 2004 est expressément exclu par le projet d'arrêté.
Sur les mesures de sécurité :
La commission rappelle tout d'abord que le traitement étant un téléservice d'une autorité administrative au sens de l' ordonnance n° 2005-1516 du 8 décembre 2005 susvisée, il doit être conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010 susvisé. Elle rappelle qu'il revient au responsable de traitement d'attester formellement de la sécurité de celui-ci au travers d'une homologation RGS et d'en publier l'attestation d'homologation sur le site du téléservice.
L'accès au téléservice est sécurisé au moyen du protocole https. Concernant le recours à ce protocole, la commission note avec satisfaction qu'il n'est prévu d'utiliser que les versions de TLS les plus à jour possibles. La commission rappelle la nécessité de mettre régulièrement à jour la liste des algorithmes autorisés. Elle relève ainsi que la politique en la matière élaborée par le ministère nécessite une mise à jour afin de maintenir sa conformité au référentiel général de sécurité.
Concernant la sécurité des téléservices, la commission recommande de mettre en œuvre les recommandations techniques relatives à la sécurité des sites internet publiées par l'Agence nationale de la sécurité des systèmes d'information (ANSSI) dans une note technique recommandations pour la sécurisation des sites web .
La commission prend note que le ministère met en œuvre un contrôle d'accès des utilisateurs que ce soit pour les agents ou pour les déclarants par le biais du portail Cerbère . A cet égard, la commission a élaboré une délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Elle relève ainsi que la politique de mots de passe mise en œuvre pour le portail Cerbère pourrait nécessiter une mise à jour afin de maintenir sa conformité aux recommandations de la CNIL.
Afin de pouvoir détecter, analyser et solutionner une utilisation non conforme des droits accordés aux utilisateurs que ce soit par les utilisateurs eux-mêmes ou suite à une usurpation de leurs moyens d'authentification, la commission recommande de mettre en œuvre une journalisation des opérations. Au minimum, il s'agirait de journaliser les opérations de consultation, modification et suppression du traitement. Ces journaux ne devraient pas être conservés plus de six mois et devraient faire l'objet d'une analyse régulière. Les utilisateurs devraient être informés que leurs actions font l'objet d'une journalisation.
Des sauvegardes régulières sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité. Le transfert des sauvegardes est sécurisé. La continuité d'activité est testée régulièrement.
Enfin, une clause spécifique couvre les interventions des sous-traitants en matière d'accès aux données personnelles.
Sous réserve des précédentes observations, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté relatif à la mise en œuvre de traitements de données à caractère personnel dénommés Fichiers des objectifs judiciaires (FOJ) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code pénal ;
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment les I et IV de son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 11 juillet 2012 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé Fichier national des objectifs en matière de stupéfiants (FNOS) ;
Vu la délibération n° 2012-084 du 22 mars 2012 portant avis sur un projet d'arrêté autorisant la création d'un traitement automatisé de données à caractère personnel dénommé Fichier national des objectifs en matière de stupéfiants (FNOS) ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis portant sur un projet d'arrêté autorisant le directeur général de la police nationale, le directeur général de la gendarmerie nationale et le préfet de police à mettre en œuvre des traitements dénommés Fichiers des objectifs judiciaires (FOJ).
Afin d'améliorer la coordination des services de la police nationale, de la gendarmerie nationale et de la préfecture de police, ces fichiers doivent permettre d'identifier les personnes faisant déjà l'objet d'investigations dans le cadre d'une enquête judiciaire. Mis en œuvre pour le compte de l'Etat, ils ont ainsi pour objet la prévention, la recherche, la constatation et la poursuite des infractions pénales. Ils relèvent dès lors des dispositions de l'article 26-1-2° de la loi du 6 janvier 1978 modifiée et doivent être autorisés par un arrêté ministériel pris après avis motivé et publié de la commission.
L'arrêté projeté a en outre vocation à constituer un acte réglementaire unique au sens de l'article 26-IV de cette même loi. L'article 7 du projet d'arrêté prévoit que des engagements de conformité devront être adressés à la commission par le directeur général de la police nationale, le directeur général de la gendarmerie nationale ou le préfet de police, préalablement à la mise en œuvre de ces systèmes. Un dossier technique mentionnant expressément les services et la liste des infractions concernés devra accompagner l'engagement de conformité.
A titre d'illustration, un FOJ a vocation à être mis en œuvre dans les territoires français des Antilles et de la Guyane (dénommé FOJAG). Ce fichier concernera toutes les personnes à l'encontre desquelles il existe une ou plusieurs raisons de soupçonner qu'elles ont commis ou tenté de commettre, un crime ou un délit puni d'au moins cinq ans d'emprisonnement, un délit à caractère économique et financier ou un des délits du code de l'entrée et du séjour des étrangers et du droit d'asile et faisant dès lors l'objet d'une enquête judiciaire sur les territoires précités.
Ce fichier, dont les périmètres infractionnel et géographique peuvent différer d'autres FOJ, fera l'objet d'un engagement conjoint de conformité à l'acte réglementaire unique créé par le présent projet d'arrêté par la direction générale de la police nationale (DGPN) et la direction générale de la gendarmerie (DGGN). La préfecture de police n'étant pas compétente sur les territoires français des Antilles et de Guyane, elle ne sera pas concernée par ce traitement.
Sur les finalités et le fonctionnement des traitements :
L'article 1er du projet d'arrêté prévoit que les fichiers d'objectifs judiciaires ont pour finalité de coordonner l'action des services concourant à la répression des infractions pénales (crimes et délits) en répertoriant les personnes faisant l'objet d'investigations dans le cadre d'une enquête judiciaire pour ces mêmes infractions .
Les objectifs judiciaires sont les personnes qui, dans le cadre d'une enquête judiciaire, font l'objet d'investigations dès lors qu'il existe à leur encontre une ou plusieurs raisons de soupçonner qu'elles ont commis ou tenté de commettre une infraction. Les fichiers d'objectifs judiciaires doivent ainsi permettre aux différents services exerçant une mission de police judiciaire, impliqués dans la lutte contre la criminalité et la délinquance, d'améliorer leurs actions en facilitant l'échange d'informations entre ces services et leur coordination. Ils sont notamment destinés à éviter que plusieurs services enquêtent, de manière redondante, sur une même personne. Le ministère a également précisé que de tels traitements ont vocation à sécuriser le travail des enquêteurs en évitant que les personnes inscrites [dans le FOJ] soient interpellées dans le cadre d'enquêtes distinctes diligentées par d'autres services .
Ainsi, à l'image du Fichier national des objectifs judiciaires en matière de stupéfiants (FNOS), traitement créé par l'arrêté du 11 juillet 2012, pris après avis de la commission, et visant à coordonner l'action des services de police et de gendarmerie nationales en matière de trafic de stupéfiants, les FOJ visent à répertorier les personnes faisant l'objet d'une enquête judiciaire afin de mieux coordonner l'action des services de police judiciaire. Toutefois, à la différence du FNOS, traitement national circonscrit à un type précis d'infraction, le champ infractionnel et le périmètre géographique des FOJ pourront varier.
En effet, ii appartient aux services de la police nationale, de la gendarmerie nationale et de la préfecture de police de décider des périmètres géographiques ou infractionnels pertinents pour leur activité, tous les crimes et délits, à l'exception du trafic de stupéfiants, pouvant être concernés.
A cet égard, la commission relève que la mise en œuvre de différents traitements adaptés aux besoins locaux et opérationnels peut être opportune. Elle rappelle néanmoins que cette possibilité ne doit pas conduire à la création de traitements dont la proportionnalité ne serait pas établie, comme par exemple un fichier au périmètre géographique très étendu et ne concernant que des délits mineurs. La commission se montrera dès lors attentive aux champs d'application des traitements FOJ envisagés dans les dossiers techniques devant accompagner l'engagement de conformité.
En pratique, le fonctionnement des FOJ s'articule autour de la saisie et la validation de fiches relatives aux personnes faisant l'objet d'une enquête judiciaire, ainsi que d'un outil générant automatiquement des alertes en cas de détection d'éléments communs entre une fiche nouvellement créée et les fiches déjà existantes, au sein du même traitement.
Lorsqu'une concordance entre des fiches est identifiée, un message d'alerte est envoyé aux différents enquêteurs ayant créé et validé lesdites fiches. Ce message indique entre autres les coordonnées des services d'enquête concernés par la concordance, afin que ceux-ci puissent se mettre en contact.
La commission prend acte que les FOJ ne permettent pas aux utilisateurs de procéder à une recherche sur une personne identifiée et visent uniquement à générer une alerte lorsque deux fiches, renseignées par des services différents, comportent un certain nombre d'éléments communs.
Elle prend acte que les différents FOJ ne seront pas mis en relation entre eux ni avec aucun autre fichier.
L'article 1er du projet d'arrêté prévoit que les FOJ ont également pour finalité d'exploiter les données traitées à des fins statistiques afin de recenser le nombre d'objectifs entrés, le nombre d'objectifs supprimés, le nombre de correspondances établies.
Au regard de ces éléments, la commission considère que les finalités des traitements FOJ sont déterminées, explicites et légitimes, conformément à l'article 6-2° de la loi du 6 janvier 1978, modifiée.
Sur la nature des données traitées :
L'article 2 du projet d'arrêté prévoit que les données relatives aux objectifs judiciaires sont les nom(s), prénom(s), surnom(s), alias, sexe, date et lieu de naissance, adresses postales et électroniques, numéros de téléphone, numéro d'identification du ou des téléphones portables (numéro MEI), marque et immatriculation des moyens de transport, numéro identifiant de l'objectif (identifiant technique généré automatiquement lors de la création d'une fiche relative à une personne faisant l'objet d'une enquête judiciaire).
Une alerte se produit lorsqu'une similitude entre deux fiches (ou plus) est détectée sur l'un ou l'autre des champs suivants : le numéro de téléphone, l'adresse électronique, l'adresse postale complète, le numéro d'immatriculation du véhicule, et le numéro IMEI du téléphone portable. Une alerte peut également se produire si au moins deux des trois informations suivantes sont identiques : nom, prénom, date et lieu de naissance.
Ces données relatives à l'identité, aux coordonnées et au mode de transport des personnes faisant l'objet d'une enquête judiciaire permettent une identification rapide et efficiente de celles-ci. Dès lors, elles sont pertinentes pour mettre en évidence l'existence d'investigations sur un même suspect par des services différents.
Sont en outre enregistrées dans les FOJ des données et informations relatives aux enquêteurs (identité, services, coordonnées), aux magistrats (identité, tribunal de grande instance d'appartenance), à la procédure (numéro de la procédure et nature des infractions) et au cadre juridique de l'enquête (enquête de flagrance, enquête préliminaire, instruction).
Les données relatives aux enquêteurs sont nécessaires pour générer une alerte et permettre la mise en relation avec les services concernés par une concordance entre des fiches. Les informations relatives à la procédure doivent permettre, notamment aux supérieurs hiérarchiques de l'agent créant une fiche, de s'assurer que la création de celle-ci fiche respecte bien la finalité du traitement et le champ infractionnel qui aura été défini par les services utilisateurs.
Au regard de ces éléments, la commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par les FOJ, conformément à l'article 6-3° de la loi Informatique et Libertés .
Sur la durée de conservation des données :
Le projet d'arrêté prévoit que les données et informations traitées dans les FOJ sont conservées deux ans à compter de leur enregistrement .
Plus précisément, la durée de conservation des données enregistrées dans chaque fiche est d'un an à compter de la validation de cette dernière. Si la fiche est modifiée, un nouveau délai d'un an court à compter d'une telle modification, sans toutefois que le délai total de conservation d'une fiche ne puisse excéder deux ans à compter de sa validation initiale.