AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret relatif à l'accès des agents du Conseil national des activités privées de sécurité au traitement des antécédents judiciaires et au fichier des personnes recherchées ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu le code de procédure pénale, notamment ses articles R. 40-23 à R. 40-34 ;Vu le code de la sécurité intérieure, notamment ses articles L. 114-1 et L. 234-1 à 3 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 30 ;Vu la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité, notamment son article 17-1 ;Vu la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2010-569 du 28 mai 2010 relatif au fichier des personnes recherchées ;Vu le
décret n° 2011-1919 du 22 décembre 2011 relatif au Conseil national des activités privées de sécurité et modifiant certains décrets portant application de la loi n° 83-629 du 12 juillet 1983 ;Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et M Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :La commission a été saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret relatif à l'accès des agents du Conseil national des activités privées de sécurité (CNAPS) au traitement des antécédents judiciaires (TAJ) et au fichier des personnes recherchées (FPR).Les modifications envisagées concernent tout d'abord les dispositions de l'article R. 40-29 du code de procédure pénale. La première modification est de nature légistique et a pour seul objet de rectifier l'absence de prise en compte de la codification, dans le code de la sécurité intérieure, d'alinéas de l'article 17-1 de la loi du 21 janvier 1995 modifiée. La seconde vise à supprimer la dernière phrase du second alinéa de cet article, permettant ainsi aux  personnels investis de missions de police administrative individuellement désignés et spécialement habilités par le représentant de l'Etat , dont font partie les agents du CNAPS, d'avoir désormais accès au TAJ sous un profil administratif  étendu . En outre, sera ajouté un nouvel article R. 40-29-1 portant obligation pour ces personnels de demander, préalablement à la prise d'une décision défavorable, un complément d'informations auprès des services de police et de gendarmerie nationales dans le cas où cette consultation révélerait l'enregistrement de l'identité de la personne concernée dans le TAJ en tant que mis en cause.Enfin, le projet de décret ajoute à l'article 5 du décret n° 2010-569 du 28 mai 2010
relatif au fichier des personnes recherchées un nouvel alinéa permettant aux agents du CNAPS d'avoir accès à ce traitement.En application des dispositions des articles 26-Il et 30 de la loi du 6 janvier 1978 modifiée, ces modifications nécessitent un décret en Conseil d'Etat pris après motivé et publié de la commission.Sur les modifications du premier alinéa de l'article R. 40-29 du code de procédure pénaleL'article R. 40-29 du code de procédure pénale, relatif à la consultation du TAJ dans le cadre des enquêtes administratives, vise uniquement les  missions, enquêtes ou interventions prévues à l'article 17-1 de la loi du 21 janvier 1995 . Or, certaines dispositions de cette loi ont été codifiées aux articles L. 114-1 et L. 234-1 à 3 du code de la sécurité intérieure, de sorte que cette rédaction ne permet plus que la consultation des fichiers d'antécédents pour l'instruction des demandes d'acquisition de la nationalité française, de délivrance et de renouvellement des titres relatifs à l'entrée et au séjour des étrangers, ainsi que pour la nomination et la promotion dans les ordres nationaux.La modification envisagée vise dès lors à ajouter, au premier alinéa de cet article R. 40-29, la mention des articles L. 114-1 et L. 234-1 à L. 234-3 du code de la sécurité intérieure, afin de permettre la consultation du TAJ pour les autres enquêtes administratives initialement mentionnées à l'article 17-1 de la loi du 21 janvier 1995 ( décisions administratives de recrutement,
d'affectation, d'autorisation, d'agrément ou d'habilitation, prévues par des dispositions législatives ou réglementaires,concernant soit les emplois publics participant à l'exercice des missions de souveraineté de l'Etat, soit les emplois publics ou privés relevant du domaine de la sécurité ou de la défense, soit les emplois privés ou activités privées réglementées relevant des domaines des jeux, paris et courses, soit l'accès à des zones protégées en raison de l'activité qui s'y exerce, soit l'utilisation de matériels ou produits présentant un caractère dangereux ).Cette modification n'appelle pas d'observation particulière de la part de la commission.Sur l'accès des agents du CNAPS au traitement des antécédents judiciaires (TAJ)Le CNAPS, créé par la loi du 14 mars 2011 susvisée, est un établissement public administratif placé sous tutelle du ministère de l'intérieur, qui est notamment chargé des missions de police administrative anciennement dévolues aux préfets s'agissant de la délivrance des autorisations et agréments préalables à l'exercice de certaines professions dans le secteur de la sécurité privée.Le CNAPS a vocation à utiliser les données qui sont issues des fichiers d'antécédents, obtenues à l'occasion d'enquêtes administratives, pour fonder ses décisions concernant la délivrance d'une autorisation ou d'un agrément. Actuellement, les agents du CNAPS disposent d'un profil administratif restreint, leur permettant uniquement de déterminer si une personne est  connue
ou  inconnue  du fichier. L'article R. 40-29 du code de procédure pénale prévoit en effet qu'en matière de police administrative,  l'accès à l'information est alors limité à la seule connaissance de l'enregistrement de l'identité de la personne concernée, dans le traitement en tant que mis en cause .C'est précisément cette disposition que le deuxième alinéa de l'article 1er du projet de décret a vocation à supprimer, afin de permettre aux  personnels investis de missions de police administrative individuellement désignés et spécialement habilités par le représentant de l'Etat  d'avoir désormais accès au TAJ grâce à un profil administratif étendu. Ce nouveau profil permettra aux agents du CNAPS, désignés par le directeur du CNAPS et habilités par le préfet, de connaître désormais les faits pour lesquels une personne est inscrite dans le fichier, à l'exception des cas où sont intervenues des mesures ou décisions de classement sans suite, de non-lieu, de relaxe ou d'acquittement devenues définitives.La commission prend acte de la justification apportée par le ministère de l'intérieur, à savoir que la seule information de l'existence de la personne concernée en tant que mis en cause dans le traitement est insuffisante pour déterminer si une enquête administrative complémentaire est pertinente et réellement utile. Les agents du CNAPS peuvent en effet prendre une décision ou un avis favorable sur les demandes de personnes enregistrées dans le traitement. L'élargissement de
l'accès de ces agents au fichier d'antécédents doit dès lors permettre la prise d'une décision ou d'un avis favorable dans des délais resserrés, dans la mesure où il ne leur sera pas nécessaire de solliciter des informations supplémentaires auprès des services de police et de gendarmerie.Cet accès élargi permettra ainsi au CNAPS de prendre une décision favorable aux intéressés, en tenant compte, par exemple, de l'âge de la personne concernée au moment de l'infraction, de l'ancienneté ou de la gravité des faits. Il permettra également, grâce à la photographie, de s'assurer qu'il n'y a pas eu usurpation d'identité.La commission prend acte que l'accès des agents du CNAPS au TAJ interviendra via CHEOPS NG, avec un identifiant et un mot de passe, conformément à la procédure d'authentification mise en oeuvre au sein des services de police. En outre, elle relève que des travaux sont en cours de réalisation afin de déterminer si l'authentification par carte agent et mot de passe peut être étendue aux agents du CNAPS. Cette nouvelle procédure, déjà opérationnelle au sein des brigades de gendarmerie, doit permettre une authentification et une sécurité plus fortes.En revanche, la commission appelle l'attention du ministère sur le fait que la modification envisagée des dispositions de l'article R. 40-29 du code de procédure pénale ne concerne pas seulement les agents du CNAPS, mais également l'ensemble des agents des préfectures investis de mission de police administrative. Des enquêtes
administratives sont en effet réalisées par les agents des préfectures pour l'instruction des demandes d'acquisition de la nationalité française et de délivrance et de renouvellement des titres relatifs à l'entrée et au séjour des étrangers, pour la nomination et la promotion dans les ordres nationaux, ainsi que pour l'accès aux zones de sûreté à accès réglementé en matière de sûreté aéroportuaire ou portuaire ou à un point d'importance vitale. Elle relève qu'une telle modification tend à augmenter considérablement le nombre des personnes ayant accès à un profil administratif étendu.Le ministère précise qu'il s'agit ainsi d'assurer une cohérence entre les agents préfectoraux et les agents du CNAPS, de doter ces acteurs d'un même outil pour l'exercice de leurs missions régaliennes, tout en permettant de réduire les délais de traitement des dossiers nécessitant une enquête administrative.Au regard des dysfonctionnements qui ont été constatés par la CNIL lors de ses récents contrôles concernant les enquêtes administratives effectuées par les agents des préfectures, du nombre important d'agents préfectoraux concernés par cette modification et du défaut de formation de ces agents concernant les fichiers d'antécédents, la CNIL ne peut que manifester ses inquiétudes sur cette extension.Sur l'obligation pour les agents du CNAPS, préalablement à un avis ou une décision défavorable, de demander un complément d'informations auprès des services de police ou de gendarmerie nationales en
cas d'inscription de la personne concernée en tant que mis en causeL'article 2 du projet de décret prévoit d'introduire un nouvel article R. 40-29-1 au code de procédure pénale, aux termes duquel, dès lors que la consultation du TAJ révèle l'enregistrement de la personne concernée dans le traitement en tant que mis en cause, aucun avis ou décision défavorable ne peut être pris sans la saisine préalable, pour complément d'informations, des services de police ou de gendarmerie nationales compétents.Cette obligation pèsera aussi bien sur les agents du CNAPS que sur les agents des préfectures investis d'une mission de police administrative.La commission considère ainsi qu'il s'agit d'une garantie importante. En effet, si des décisions favorables pourront être fondées sur une consultation du TAJ laissant apparaître des antécédents sans enquête de police complémentaire, cette enquête sera en revanche toujours nécessaire dans les cas où une décision défavorable est envisagée.La commission relève qu'il s'agit principalement de recueillir les suites judiciaires aux affaires ayant donné lieu à inscription dans le fichier. En effet, en l'absence de l'interconnexion entre TAJ et Cassiopée et au vu des obstacles que rencontrent actuellement les juridictions dans l'application concrète des obligations légales de mise à jour des fichiers d'antécédents, de très nombreuses affaires ayant fait l'objet d'une décision favorable à la personne concernée restent consultables dans les fichiers
d'antécédents lors des enquêtes administratives, contrairement aux dispositions législatives du code de procédure pénale. Que ce soit en 2009, ou plus récemment en 2013, la commission a plusieurs fois alerté le Gouvernement sur les conséquences préjudiciables, pour les personnes concernées, de cette situation.A cet égard, la commission a, dans ses conclusions du contrôle des fichiers d'antécédents du ministère de l'intérieur rendues publiques en juin 2013, formulé une recommandation susceptible de résoudre, au moins partiellement, ce dysfonctionnement. Elle recommande en effet de rendre obligatoires les demandes de suites judiciaires au procureur de la République compétent lorsque l'enquête administrative laisse apparaître un antécédent antérieur à la mise en oeuvre de l'interconnexion TAJ-Cassiopée. Si la modification envisagée par l'article R. 40-29-1 participera de cette recommandation, ce dont la commission ne peut que se féliciter, elle demeure néanmoins insuffisante pour connaître avec certitude le résultat des suites judiciaires, en l'absence d'une saisine obligatoire des parquets.Elle relève qu'en tout état de cause, cette modification est conforme à l'article 10 de la loi du 6 janvier 1978 modifiée, puisqu'aucune décision défavorable à la personne concernée ne peut être prise sur le seul fondement des informations enregistrées dans le TAJ.Sur l'accès des agents du CNAPS au fichier des personnes recherchées (FPR)L'article L. 114-1 du code de la sécurité intérieure
prévoit que les enquêtes administratives sont  destinées à vérifier que le comportement des personnes physiques ou morales intéressées n'est pas incompatible avec l'exercice des fonctions ou des missions envisagées .L'article 3 du projet de décret prévoit d'ajouter les agents du CNAPS à la liste des organismes pouvant avoir accès aux données à caractère personnel et informations enregistrées dans le fichier des personnes recherchées (FPR), en sus de leur accès au TAJ, comme le prévoient d'ailleurs les dispositions des articles L. 612-20 et L. 622-19 du code de la sécurité intérieure.La commission relève que plusieurs garanties ont été prévues par le ministère de l'intérieur concernant le mode de consultation du fichier. D'une part, les agents du CNAPS ont l'obligation de prévenir le service inscripteur de toute réponse positive.D'autre part, afin de restreindre l'accès des agents du CNAPS aux seules données qui peuvent être pertinentes pour leurs enquêtes administratives, leur profil d'accès au FPR a été établi à partir du profil des agents préfectoraux. Les agents du CNAPS auront donc accès aux motifs d'inscription de la plupart des fiches visibles sous le profil  préfecture , à l'exception des fiches non pertinentes au regard de leur missions ainsi qu'à certaines fiches nécessaires à l'exercice de ces dernières.Par ailleurs, l'accès des agents du CNAPS se fera par l'intermédiaire de CHEOPS NG, avec un identifiant et un mot de passe. Conformément à l'article 8 du décret n°
2010-569 du 28 mai 2010 relatif au fichier des personnes recherchées, une traçabilité de ces consultations devra être assurée.L'accès des agents du CNAPS a ainsi été créé à partir du profil d'accès le plus restreint, tout en l'adaptant au regard des missions assignées au CNAPS. La commission considère que les agents du CNAPS n'auront donc accès qu'aux données utiles et pertinentes dans le cadre des enquêtes administratives réalisées.
La Commission nationale de l'informatique et des libertés,Vu  la convention n° 108 du Conseil de l'Europe pour la protection des  personnes à l'égard du traitement automatisé des données à caractère  personnel ;Vu la directive 95/46/CE du Parlement européen et du  Conseil du 24 octobre 1995 relative à la protection des personnes  physiques à l'égard du traitement des données à caractère personnel et à  la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 25-II et 69 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 101 et 103 ;
Après avoir entendu Mme Marie-Hélène MITJAVILE, commissaire,  en son rapport, et Mme Catherine POZZO di BORGO, commissaire adjoint du  Gouvernement, en ses observations,Formule les observations suivantes :En  vertu de l'article 68 de la loi 6 janvier 1978 modifiée, les transferts  de données à caractère personnel à destination de pays qui ne sont  membres ni de l'Union européenne, ni de l'Espace économique européen et  qui par conséquent n'ont pas transposé dans leur législation les  dispositions de la directive n° 95/46/CE du 24 octobre 1995 relative à  la protection des personnes physiques à l'égard du traitement des  données à caractère personnel et à la libre circulation de ces données  sont interdits.Néanmoins, il peut être fait exception à cette  interdiction par application de l'article 69 de la loi précitée,  notamment par décision de la Commission nationale de l'informatique et  des libertés lorsqu'un niveau de protection suffisant est apporté aux  données transférées par l'intermédiaire de règles internes d'entreprise  (règles contraignantes d'entreprise ou  binding corporate rules  (BCR)  constituant un code de conduite interne s'imposant à toutes les entités  d'un groupe).Au terme d'une procédure de coopération européenne, la  Commission nationale de l'informatique et des libertés et les autorités  de protection des données compétentes ont reconnu la conformité de ces  BCR  responsable de traitement  aux exigences posées par les documents  de référence adoptés
par le Groupe de travail de l'article 29. A ce  titre, les BCR  responsable de traitement  du groupe Schneider  Electric sont réputées apporter un niveau de protection suffisant aux  données personnelles transférées au sein du groupe Schneider Electric.Par  conséquent, les organismes mentionnés à l'article 1er ci-dessous, qui  souhaiteront se référer à la présente autorisation unique n° BCR-003 et  adresseront à cette fin à la commission un engagement de conformité pour  leurs transferts qui répondent strictement aux conditions définies dans  la présente décision d'autorisation unique, seront autorisés à mettre  en œuvre ces transferts.Tout transfert ne peut être autorisé que dans la mesure où :(i)  la formalité relative au traitement auquel ce transfert se rattache,  lorsque cela est requis, a été dûment accomplie auprès de la Commission  nationale de l'informatique et des libertés, et(ii) le transfert est réalisé dans le strict respect du cadre défini par ladite formalité.Par  ailleurs, tout transfert de données à caractère personnel qui  excèderait le cadre ou les exigences définis par la présente  autorisation unique doit faire l'objet d'une décision d'autorisation  spécifique.
Article 1
Sur les responsables de traitement/champ d'application.Peuvent  seules adresser un engagement de conformité à la présente autorisation  unique les entités du groupe Schneider Electric, agissant en qualité de  responsable de traitement, étant juridiquement liées par les BCR   responsable de traitement  du groupe Schneider Electric et ayant mis en  œuvre les engagements pris au titre des BCR.
Article 2
Sur les finalités des transferts.Conformément au champ  matériel et à la description des transferts couverts par les BCR   responsable de traitement  du groupe Schneider Electric et à leurs  annexes, sont autorisés les seuls transferts de données à caractère  personnel ayant pour finalités :
- le pilotage et la gestion des processus commerciaux (nécessitant le traitement de données relatives aux clients) :Les  processus commerciaux sont des activités de conduite des opérations  économiques de Schneider Electric. Elles incluent notamment la création  d'offres, le marketing, les ventes, les processus-clients, la  relation-client, la mise en œuvre de projets clients, les achats.-  la gestion des ressources humaines et la gestion du personnel  (nécessitant le traitement de données relatives aux employés, stagiaires  et candidats) :Les processus ressources humaines sont des activités  visant le maintien de la main d'œuvre de Schneider Electric. Ils  incluent par exemple les activités d'attraction et de recrutement de  nouveaux employés, la paie, la gestion de la performance des employés,  la formation, la gestion des avantages sociaux et les actions de  communication vers les employés et leurs représentants.- la santé et la sécurité (nécessitant le traitement de données relatives aux employés, clients, visiteurs et prestataires) :Les  processus santé-sécurité couvrent les activités visant à assurer la  protection de la santé et de la sécurité et des employés, des ressources  et des communautés de Schneider Electric. Ils incluent par exemple, la  protection de la santé au travail et la sûreté, ainsi que les processus  d'authentification visant à autoriser les accès aux sites et aux  ressources de Schneider Electric.
Article 3
Sur les catégories de données personnelles transférées.Conformément  au champ matériel et à la description des transferts couverts par les  BCR  responsable de traitement  du groupe Schneider Electric et à  leurs annexes, peuvent être transférées, dans le cadre des finalités  décrites ci-dessus, les catégories de données à caractère personnel  suivantes :Pour les transferts relatifs aux employés :
- état civil/identité/données d'identification ;- vie professionnelle ;- vie personnelle ;- données de connexion ;- données de localisation ;- numéro de sécurité sociale (uniquement dans le cadre de la gestion de la paie) ;- informations d'ordre économique et financier.
Pour les transferts relatifs aux candidats :
- état civil/identité/données d'identification ;- vie professionnelle ;- vie personnelle.
Pour les transferts relatifs aux clients et aux visiteurs :
- état civil/identité/données d'identification ;- vie professionnelle ;- données de connexion ;- données de localisation ;- informations d'ordre économique et financier.
Pour les transferts relatifs aux prestataires :
- état civil/identité/données d'identification ;- vie professionnelle.
Article 4
Sur les catégories de personnes concernées par les transferts.Conformément  au champ matériel et à la description des transferts couverts par les  BCR  responsable de traitement  du groupe Schneider Electric et à  leurs annexes, peuvent être transférées, dans le cadre des finalités  décrites ci-dessus, les données à caractère personnel relatives aux  catégories de personnes suivantes :
- salariés et futurs salariés potentiels (candidats) ;- étudiants/élèves (stagiaires) ;- clients (actuels ou potentiels) ;- visiteurs ;- prestataires et consultants.
Article 5
Sur les destinataires habilités à accéder aux données transférées.Peuvent  seules être habilitées à accéder aux données les entités du groupe  Schneider Electric juridiquement liées aux BCR  responsable de  traitement  du groupe Schneider Electric et ayant mis en œuvre les  engagements pris au titre de ces BCR, dont la liste à jour a été fournie  à la Commission nationale de l'informatique et des libertés, et ce  conformément aux BCR  responsable de traitement  du groupe Schneider  Electric et à leurs annexes.
Article 6