AgentPublic/cnil huggingface dataset:
Conformément aux dispositions des articles 39 et 40 de la loi du 6 janvier 1978 modifiée, les droits d'information, d'accès et de rectification s'exercent, pour les opérateurs de fruits et de légumes, auprès du service dont l'adresse est accessible depuis la page d'accueil de la téléprocédure et, pour les agents habilités, auprès des responsables hiérarchiques locaux. Le droit d'opposition des personnes concernées ne s'applique pas au traitement projeté, conformément aux dispositions de l'article 38 de la loi du 6 janvier 1978 modifiée. 
Sur la sécurité des données et la traçabilité des actions 
La Commission rappelle que ce dispositif étant un téléservice de l'administration, il appartient au Ministère qui en a la charge d'attester de sa conformité au décret n°2010-112 susvisé (référentiel général de sécurité) et de le mentionner sur le site.
L'attribution des profils (affectation ou retrait) se fait après sélection d'un ou des agents d'une unité (affectation administrative) par l'administrateur local. Seuls les agents fruits et légumes et les personnels de la DGCCRF individuellement désignés et dûment habilités en fonction de leurs attributions respectives et du besoin d'en connaitre sont affichés.
L'accès sécurisé aux services est assuré par mot de passe concernant les opérateurs de fruits et légumes adhérents à la téléprocédure et par une clé USB à chiffrement avec saisie d'un code PIN (type clé PKI) concernant les agents habilités de l'administration  FELIM . Les mots de passe concernant les opérateurs sont transmis par courriel et devront être modifiés par les usagers dès leur première connexion au service. 
La Commission observe en outre que les agents habilités disposent d'un certificat de signature agent présent dans leur clé USB à chiffrement lorsqu'ils doivent émettre des certificats administratifs signés électroniquement.Une journalisation des accès est réalisée et l'article 3 du projet d'arrêté prévoit que les journaux applicatifs sont conservés pendant une durée maximale d'un an à compter de leur enregistrement.
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative d'une demande d'avis concernant la mise en œuvre du profil biologique des sportifs ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code du sport, notamment ses articles L. 212-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 7 août 1997 relatif à la gestion par le ministère de la jeunesse et des sports d'un fichier des activités physiques et sportives concernant les éducateurs et les établissements ;
Après avoir entendu Monsieur Dominique RICHARD, commissaire, en son rapport, et Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Sur le fondement de l'article 27-II-4° de la loi du 6 janvier 1978 modifiée, la Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative d'un projet d'arrêté relatif à la création d'une téléprocédure de déclaration de l'activité d'éducateur sportif dénommée EAPS.
Sur la finalité du traitement :
Les articles L. 212-1 et L 212-11 du code du sport imposent aux personnes exerçant contre rémunération l'enseignement, l'animation ou l'encadrement d'une activité physique ou sportive, à titre d'occupation principale ou secondaire, de façon habituelle, saisonnière ou occasionnelle, de déclarer leur activité à l'administration en vue de l'obtention d'une carte professionnelle. Le non respect de cette obligation déclarative est passible d'un an d'emprisonnement et de 15.000 euros d'amende en application de l'article L. 212-12 du même code. 
L'article 1er du projet d'arrêté mentionne que le traitement examiné par la Commission a pour objet  de permettre aux éducateurs sportifs de procéder en ligne et de manière dématérialisée à la déclaration prévue à l'article L. 212-11 du code du sport .
La mise en œuvre d'une procédure de télédéclaration a pour objectif de simplifier les démarches des demandeurs, ainsi que d'alléger la charge de travail des services déconcentrés de l'Etat chargés d'instruire les demandes.
La Commission considère que la finalité du traitement EAPS est légitime, déterminée et explicite.
Elle relève, par ailleurs, que les personnes souhaitant enseigner, animer ou encadrer une activité physique ou sportive peuvent déclarer cette activité de façon non dématérialisée, en lieu et place de la procédure de télédéclaration créée par le projet d'arrêté, en ayant recours au formulaire CERFA prévu à cet effet. 
Sur la vérification du respect des obligations de qualification et d'honorabilité des déclarants :
Le deuxième alinéa de l'article 1er du projet d'arrêté soumis à la Commission précise que  les informations et pièces jointes communiquées par les éducateurs sportifs font l'objet de vérifications permettant d'assurer le respect des obligations de qualification et d'honorabilité telles que définies aux articles L. 212-1, L. 212-9 et L. 212-13 du code du sport . 
S'agissant de l'interrogation automatisée du fichier judiciaire automatisé des auteurs d'infractions sexuelles ou violentes (FIJAIS) et du casier judiciaire national :
L'article 2 du projet d'arrêté prévoit que  le casier judiciaire du déclarant (bulletin numéro 2) et le fichier judiciaire automatisé des auteurs d'infractions sexuelles sont interrogés de manière automatisée afin de vérifier que le déclarant n'a fait l'objet d'aucune condamnation mentionnée à l'article L. 212-9 du code du sport .
L'article L. 212-9 du code du sport prévoit, en effet, que nul ne peut exercer des fonctions d'enseignement, d'animation ou d'encadrement d'une activité physique ou sportive s'il a fait l'objet d'une condamnation pour un crime ou pour l'un des délits listés par cet article. La délivrance d'une carte professionnelle d'éducateur sportif est ainsi subordonnée à la vérification du respect des incapacités prévues par cet article.
L'alinéa 1er de l'article 706-53-11 du code de procédure pénale (CPP) prévoit qu'  aucun rapprochement ni aucune connexion au sens de l'article 30 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ne peuvent être effectués entre le fichier national automatisé des auteurs d'infractions sexuelles ou violentes et tout autre fichier ou recueil de données nominatives détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice, à l'exception du fichier des personnes recherchées pour l'exercice des diligences prévues au présent chapitre .
L'article 777-3 du CPP mentionne, quant à lui, qu'  aucune interconnexion au sens du 3° du I de l'article 30 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ne peut être effectuée entre le casier judiciaire national automatisé et tout autre fichier ou traitement de données à caractère personnel détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice .
Au regard des conditions de réalisation des interrogations automatisées du FIJAIS et du casier judiciaire prévues dans le cadre du traitement EAPS, identiques à celles mises en œuvre dans le cadre du traitement  Système d'Information relatif aux Accueils des Mineurs  (SIAM) objet de la délibération n° 2012-031 de la Commission :
- la mise en relation du traitement EAPS avec le FIJAIS n'est pas un rapprochement ou une interconnexion au sens de l'article 30 de la loi du 6 janvier 1978 modifiée, les informations étant obtenues au moyen de requêtes non signifiantes, l'application EAPS n'étant pas enrichie automatiquement par des données issues du FIJAIS, et ce dernier, le cas échéant, étant consulté manuellement par un agent habilité ;- la mise en relation du traitement EAPS avec le casier judicaire n'est pas une interconnexion au sens de l'article 30 de la loi du 6 janvier 1978 modifiée, le traitement EAPS n'étant pas enrichi automatiquement par des données issues du casier judiciaire et les réponses positives étant transmises uniquement par voie postale aux fins de vérification administrative par un agent habilité ;
La Commission estime, dès lors, que le traitement EAPS est conforme aux articles 706-53-11 et 777-3 du code de procédure pénale.
S'agissant de l'interrogation du fichier des encadrants interdits dans le domaine du sport et du fichier des personnes titulaires d'un diplôme délivré par le ministère chargé de la jeunesse et des sports :
L'article 3 du projet d'arrêté examiné par la Commission prévoit que le fichier des encadrants interdits dans le domaine du sport est interrogé pour vérifier qu'un déclarant n'a pas fait l'objet d'une interdiction d'exercice prévue à l'article L. 212-13 du code du sport.
L'article 4 de ce projet d'arrêté prévoit, quant à lui, que le fichier des personnes titulaires d'un diplôme délivré par le ministère chargé de la jeunesse et des sports est interrogé pour vérifier que les titres et diplômes professionnels déclarés par les utilisateurs du téléservice répondent à l'obligation de qualification mentionnée à l'article L. 212-1 du code du sport.
La Commission considère que ces interrogations automatisées sont pertinentes et proportionnées au regard de la finalité du traitement EAPS. 
Sur la nature des données traitées :
L'article 5 du projet d'arrêté examiné par la Commission précise que les données à caractère personnel collectées dans le cadre du traitement ESAPS sont celles mentionnées à l'article 2 de l'arrêté 7 août 1997, portant création du fichier des éducateurs sportifs et établissements d'activités physiques et sportives.
Au regard de l'article 9 du projet d'arrêté, qui modifie les dispositions de l'article 2 de l'arrêté du 7 août 1997 précité, il s'agit de données :
- d'identification ;- relatives à la vie professionnelle ;- de connexion.
La Commission considère que la collecte de ces données est pertinente, adéquate et non excessive au regard des finalités poursuivies.
Sur la durée de conservation des données :
L'article 5 du projet d'arrêté précise que les données à caractère personnel collectées sont conservées  durant la durée de validité de la déclaration et un an après le non renouvellement de la déclaration .
La Commission relève que les données du traitement EAPS ne peuvent être conservées au-delà de cinq ans en base active, soit la durée de validité d'une déclaration, et archivées pendant un an conformément à l'instruction n° 09-147 du 24 décembre 2009 du ministre de la santé et des sports. 
La Commission considère que ces durées de conservation n'excèdent pas celles qui sont nécessaires à l'accomplissement des finalités poursuivies.
Sur les destinataires des données :
S'agissant de la liste des destinataires des données du traitement EAPS, l'article 5 du projet d'arrêté renvoi à l'article 3 de l'arrêté du 7 août 1997 modifié par l'article 10 du projet d'arrêté soumis à l'examen de la Commission.
Au regard des dispositions de ce dernier article, sont destinataires des données du traitement EAPS :
- l'administration centrale du ministère chargé des sports ; - les services déconcentrés interministériels en charge du contrôle des éducateurs et établissements sportifs ; - les autres services de l'Etat en charge du contrôle des éducateurs et établissements sportifs ;- les établissements du ministère chargé des sports ;- les associations et organismes professionnels, ainsi que les organisations syndicales concernées, destinataires uniquement des nom, prénom, adresse, disciplines et activités encadrées et adresse du lieu d'exercice de l'éducateur sportif, et ce, aux fins de réalisation de statistiques et d'enquêtes relatives à la profession d'éducateur sportif.
La Commission considère que ces destinataires présentent un intérêt légitime à connaitre des données qui leur sont communiquées. 
Sur l'information des personnes :
La demande d'avis présentée par le ministère des sports, de la jeunesse, de l'éducation populaire et de la vie associative précise que les personnes concernées par le traitement EAPS sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par des mentions légales sur formulaire le cas échéant, et une mention sur le site internet utilisé pour télédéclarer une activité d'éducateur sportif. 
La Commission considère que les mesures prévues au titre de l'information des personnes sont satisfaisantes.
Sur les droits d'accès, de rectification et d'opposition des personnes :
Les droits d'accès et de rectification des personnes concernées par le traitement EAPS s'exercent auprès du bureau de la protection du public, de la promotion de la santé et de la prévention du dopage du ministère chargé des sports, de la jeunesse, de l'éducation populaire et de la vie associative.
La Commission relève que le projet d'arrêté écarte expressément l'application du droit d'opposition pour motif légitime prévu par l'article 38 de la loi du 6 janvier 1978 modifiée.
Les dispositions du projet d'arrêté relatives aux droits d'accès, de rectification et d'opposition pour motif légitime n'appellent pas d'observation de la part de la Commission. 
Sur la sécurité des données et la traçabilité des actions :
La Commission relève que l'authentification des utilisateurs est assurée au moyen de mots de passe et qu'un compte utilisateur est bloqué au bout de cinq tentatives d'accès invalides. Par ailleurs, elle observe que les sessions d'accès expirent après une période d'inactivité de trente minutes.
La Commission rappelle, à ce titre, que des mots de passe doivent comporter au minimum huit caractères et comprendre au moins une lettre, un chiffre et un caractère spécial, d'une part, et que les mots de passe des administrateurs doivent compter au minimum dix caractères, d'autre part. 
Des profils d'habilitation définissant les fonctions ou les types d'informations accessibles à un utilisateur ont été définis dans le cadre du présent traitement.
La Commission relève également qu'une fonctionnalité de journalisation des opérations de consultation, création, mise à jour et suppression a été définie, étant précisé que les données journalisées sont supprimées au bout de six mois. 
La Commission observe enfin que les échanges de données sont réalisés au moyen de canaux sécurisés et, notamment, que les données transmises sont chiffrées.
La Commission rappelle que l'ensemble des préconisations techniques applicables au traitement  Système d'Information relatif aux Accueils des Mineurs , objet de la délibération de la Commission n° 2012-031, s'appliquent au traitement EAPS, en particulier la suppression automatisée à l'issue d'un délai d'un mois de l'information  identité à vérifier parce que positive ou sur laquelle il existe un doute .
Sous réserve des observations de la Commission, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La PrésidenteIsabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté portant autorisation, à titre expérimental, d'un traitement automatisé de données à caractère personnel dénommé  fichier des objets et des véhicules signalés  (FOVeS) ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de procédure pénale ; 
Vu le code des douanes ;
Vu le code de la sécurité intérieure ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I ;Vu le décret n° 95-577 du 6 mai 1995 relatif au système informatique national du système d'information Schengen dénommé N-SIS ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2012-2 du 2 janvier 2012 relatif aux conventions types de coordination en matière de police municipale ;Vu l'arrêté du 15 mai 1996 relatif au fichier des véhicules volés géré par le ministère de l'intérieur ;Vu la délibération n° 2010-299 du 15 juillet 2010 portant avis sur un projet d'arrêté du ministère de l'intérieur, de l'outre-mer et des collectivités territoriales modifiant l'arrêté du 15 mai 1996 modifié relatif au fichier des véhicules volés (FVV) ;Après avoir entendu M. Jean-Marie COTTERET commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Émet l'avis suivant :La Commission a été saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté portant autorisation, à titre expérimental, d'un traitement de données à caractère personnel dénommé  Fichier des Objets et des Véhicules signalés  (FOVeS).
Le FOVeS se substituera à la partie  objets  du STIC de la police nationale et au fichier des objets signalés (FOS/JUDEX) de la gendarmerie nationale. Le STIC et le JUDEX doivent être tous les deux abrogés prochainement, conformément au décret n° 2012-652 du 4 mai 2012 relatif au traitement d'antécédents judiciaires. A terme, le FOVeS remplacera le Fichier des Véhicules Volés (FVV). Commun à la police et à la gendarmerie, ce traitement s'inscrit dans le cadre de la modernisation et de la rationalisation des fichiers de la police et de la gendarmerie nationales.
L'article 9 du projet d'arrêté prévoit que l'expérimentation est autorisée pour une durée de deux ans, et qu'il sera procédé à son évaluation. La Commission prend acte qu'un rapport lui sera transmis. A cet égard, elle estime que ce rapport devra mentionner a minima:
- une description des conditions de mise en œuvre technique et opérationnelle des différents lots, - des éléments chiffrés sur le contenu de la base, sur le nombre de consultations, sur les conditions de mises à jour des données et sur les demandes de droits d'accès indirect ;- une description précise des différentes interconnexions du FOVeS avec d'autres traitements, et des modalités d'échanges avec ces autres traitements, certaines d'entre elles n'étant pas encore finalisées ; - des éléments de conclusion généraux relatifs au fonctionnement du traitement, aux éventuelles difficultés rencontrées, aussi bien juridiques que techniques ; - si, au regard de ces conclusions, une fonctionnalité d'archivage sera mise en œuvre lors de la généralisation, et le cas échant, ces modalités précises.
Un prolongement de l'expérimentation ou une pérennisation de ce traitement devra entraîner de nouvelles formalités préalables de la part du ministère de l'intérieur. Sur la formalité préalable :Le traitement envisagé comporte des zones de texte libre, ainsi qu'un champ libre prévu pour l'inscription des surveillances. La Commission prend acte que dans le cadre de ces champs libres, aucune donnée relevant de l'article 8 de la loi du 6 janvier 1978 modifiée ne sera traitée.
Dès lors, conformément à l'article 26-I de la loi du 6 janvier 1978, ce traitement doit être autorisé par arrêté pris après avis motivé et publié de la CNIL.Sur la finalité du traitement :Le FOVeS aura pour objet de constituer une base unique et homogène des signalements, qu'il s'agisse des véhicules ou objets volés, placés sous surveillance ou perdus, mais également d'offrir aux enquêteurs une interface ergonomique unique de contrôle de l'état d'un objet identifiable (volé, surveillé, perdu), que le signalement provienne d'une autorité française ou d'un Etat partie aux accords de Schengen. Il permettra enfin d'alimenter d'autres systèmes d'information.
Aussi, l'article 1er du projet d'arrêté assigne au traitement projeté la finalité de  faciliter les recherches (...) pour - la découverte et la restitution des véhiculés volés,- la surveillance des véhicules et objets signalés dans le cadre de missions répressives ou préventives,- la découverte et la restitution des objets perdus ou volés .
La Commission relève que le FOVeS reprend logiquement certaines des finalités assignées au FVV, telles que prévues par l'arrêté du 15 mai 1996 susvisé, et sur lesquelles la Commission s'est déjà prononcée.
Ont en outre été ajoutées la découverte et la restitution des objets perdus ou volés ainsi que la surveillance des objets signalés. Ces finalités s'inscrivent logiquement dans certaines des finalités assignées aux différents traitements que le FOVeS aura vocation à remplacer ( STIC objet  et le FOS).
Même si  l'identité de la personne susceptible d'utiliser le véhicule ou l'objet  sera collectée s'agissant des véhicules et objets volés et ceux qui sont sous surveillance, la Commission prend acte que, contrairement au FVV, le FOVeS n'a pas pour finalité  la recherche et la surveillance des personnes susceptibles d'utiliser un véhicule volé ou signalé  ; en effet, l'organisation des recherches sur les personnes susceptibles d'utiliser le véhicule ou l'objet seront prises en charge exclusivement par le fichier des personnes recherchées (FPR). A ce égard, le FOVeS ne permettra d'ailleurs pas de faire une recherche à partir du nom ou d'un identifiant d'une personne.
La Commission considère que les finalités assignées au traitement aux termes de l'article 1er du projet d'arrêté sont déterminées, explicites et légitimes.
Le dossier laisse enfin apparaître que le FOVeS sera mis en relation avec plusieurs traitements relatifs aux procédures judiciaires (LRP, TAJ), des traitements relatifs à la coopération internationale (N-SIS et deux fichiers gérés par Interpol) et avec divers traitements du ministère de l'intérieur (FAETON, AGRIPPA, SIV, LAPI, SCA, etc.). La Commission considère que s'il s'agit de l'un des objectifs du traitement, le projet d'arrêté devrait être modifié afin que cette finalité apparaisse explicitement. Sur le cadre de la collecte et la nature des données traitées :
L'article 2 du projet d'arrêté détaille les procédures à l'occasion desquelles les données sont recueillies. Il s'agit des procédures judiciaires diligentées pour des faits de vols établis par les services de la police ou les unités de la gendarmerie nationale, les mesures de surveillances exécutées dans le cadre de leurs missions répressives ou préventives ainsi que celles exécutées par les agents des douanes, les déclarations de perte, ainsi que les données à caractère personnel issues des traitements gérés par les organismes de coopération internationale.