AgentPublic/cnil huggingface dataset:
interne, elle  assure la gestion des biens saisis, procède à l'aliénation ou à la  destruction des biens saisis ou confisqués et procède à la répartition  du produit de la vente en exécution de toute demande d'entraide ou de  coopération émanant d'une autorité judiciaire étrangère. L'article 706-161 du CPP prévoit que l' Agence met en œuvre un  traitement de données à caractère personnel qui centralise les décisions  de saisie et de confiscation dont elle est saisie quelle que soit la  nature des biens, ainsi que toutes les informations utiles relatives aux  biens visés, à leur localisation et à leurs propriétaires ou détenteurs  . Ce traitement, dénommé AGRASC, a été créé par l'arrêté du 20 janvier  2012 susvisé, pris après l'avis de la commission en date du 11 novembre  2011. Le présent projet d'arrêté vise à modifier les finalités de ce  traitement, les données qui y sont enregistrées et leur durée de  conservation, les destinataires de ces données ainsi que les modalités  d'exercice des droits des personnes. En application des dispositions des  articles 26-l et 30 de la loi du 6 janvier 1978 modifiée, ces  modifications doivent faire l'objet d'un arrêté ministériel pris après  avis motivé et publié de la commission. Sur la nouvelle finalité : L'article 1er du projet d'arrêté vise à ajouter une finalité au  traitement AGRASC, en prévoyant qu'il aura désormais pour finalité  supplémentaire  le suivi comptable des opérations enregistrées dans la  base . L'Agence est en
effet soumise à la comptabilité budgétaire définie par le  décret du 7 novembre 2012 susvisé  relatif à la gestion budgétaire et comptable publique. Les modalités  d'exercice du contrôle budgétaire de I'AGRASC sont prévues par l'arrêté  du 11 mai 2015. A ce titre, elle est soumise au contrôle de la Cour des  comptes, qui, en application des  dispositions de l'article L. 111-3 du code des juridictions financières,  a récemment procédé à son contrôle afin d'apprécier la gestion de cet  établissement public et, à travers elle, le potentiel du dispositif de  confiscation des avoirs criminels. L'AGRASC est ainsi dotée d'une agence comptable, dont le comptable  public est chargé de la gestion des différents comptes, ouverts au  Trésor Public ou à la Caisse des dépôts et consignations (CDC), du  contrôle des dossiers de restitution et de versement aux parties  civiles, ainsi que des états de versement à la mission  interministérielle de lutte contre les drogues et les conduites  addictives (MILDECA) et au budget général de l'État, ainsi que le  paiement de ces versements. Elle reçoit, contrôle et exécute les  oppositions des créanciers publics et sociaux visant à appréhender les  sommes que l'Agence est chargée de leur restituer. Le traitement AGRASC, en permettant l'enregistrement de données  relatives à la gestion par l'Agence des biens saisis ou confisqués ainsi  qu'à leur devenir (vente, affectation des sommes, destruction, etc.),  doit désormais permettre au comptable public
d'exercer ses missions et  de contrôler la régularité des différentes opérations engagées, dans le  respect des normes comptables applicables aux établissements publics. Le traitement AGRASC permettra ainsi à l'Agence de répondre aux  exigences de traçabilité et de transparence vis-à-vis du juge des  comptes. La commission estime dès lors que cette nouvelle finalité est  déterminée, explicite et légitime, conformément aux dispositions de  l'article 6-2° de la loi du 6 janvier 1978 modifiée. Sur l'ajout de nouvelles données : L'article 2 du projet d'arrêté vise à modifier l'article 2-111-c de  l'arrêté susvisé du 20 janvier 2012, afin de permettre la collecte et  l'enregistrement de nouvelles données relatives aux biens saisis ou  confisqués : il s'agit des données relatives aux locataires ou aux  occupants des immeubles (noms, prénoms, références bancaires, références  de leur dossier à la caisse d'allocations familiales). L'Agence est amenée à gérer les biens, notamment immeubles, des  personnes condamnées dans le cadre d'une procédure judiciaire, après la  confiscation définitive de ces biens. A compter de la date de cette  confiscation, I'AGRASC représente alors l'État, propriétaire du bien, et  se substitue au bailleur pour réaliser l'ensemble des actes nécessaires  à la gestion de ce dernier (actes d'entretien, perception des loyers,  réalisation de la vente). Dès lors, en cas de présence de locataires dans l'immeuble  confisqué, I'AGRASC recueille auprès d'eux les
informations nécessaires à  la gestion des biens et les enregistre dans le traitement qu'elle met  en œuvre, ce dernier ayant été enrichi de fonctionnalités permettant un  suivi de la gestion des loyers ou, si le locataire bénéficie d'une aide  personnalisée au logement, le paiement des allocations. La commission estime que ces données sont adéquates, pertinentes et  non excessives au regard des finalités poursuivies par le traitement. Sur les nouveaux destinataires des données : L'article 4 de l'arrêté du 20 janvier 2012 susvisé énumère les  personnels habilités à recevoir communication de données enregistrées  dans le traitement. L'article 3 du projet d'arrêté vise à modifier cet  article afin d'ajouter de nouveaux destinataires. il s'agit :
- des commissaires-priseurs judiciaires, des huissiers de justice  ainsi que des courtiers assermentés dans le cadre des procédures de  ventes de biens meubles ; - des notaires dans le cadre des procédures de ventes d'immeubles confisqués suite à une décision définitive de justice ; - des mandataires et administrateurs judiciaires.
L'AGRASC étant un établissement public de taille modeste, le  ministère a indiqué qu'il lui est nécessaire, dans l'exercice de ses  missions, d'avoir recours à ces professions réglementées pour procéder à  la vente des biens confisqués. D'une part, ces professionnels sont  répartis sur le territoire national, ce qui permet à I'AGRASC de gérer  de manière plus efficace les biens saisis. D'autre part, le ministère  précise que ce sont des professionnels assermentés, garantissant à  l'Agence qu'elle s'entoure de garanties sérieuses concernant la  confidentialité des données ainsi échangées. La commission prend acte que seules les données relatives aux  caractéristiques des biens à administrer pourront être communiquées à  ces nouveaux destinataires, conformément aux finalités du traitement. Le  traitement AGRASC est en effet une base de données qui porte à titre  principal sur les biens qui relèvent de la compétence de I'AGRASC et non  sur les personnes propriétaires ou locataires desdits biens : s'il est  nécessaire de détenir des informations à caractère personnel sur ces  derniers et sur les infractions pour lesquelles elles sont poursuivies  ou condamnées, c'est uniquement à des fins de gestion ou d'affectation  de ces biens. La commission prend dès lors acte qu'aucune donnée  relative aux personnes mises en cause et condamnées ou à la décision de  justice à l'origine de la confiscation ne sera communiquée à ces  professionnels. La transmission de ces données à ces derniers
interviendra par  courriers ou courriels. La commission rappelle que des mesures de  sécurité adéquates doivent être mises en œuvre afin de permettre un  échange sécurisé des données entre l'Agence et ces nouveaux partenaires.
Sur la modification de la durée de conservation des données : L'article 5 de l'arrêté du 20 janvier 2012 susvisé prévoit que les  données sont conservées trois ans à compter de la date à laquelle la  gestion des biens confiés à l'agence est clôturée par l'affectation des  sommes produites par sa gestion. L'article 4 du projet d'arrêté vise à  modifier cette durée de conservation, en la portant à six ans. L'augmentation de la durée de conservation est la conséquence de  l'assignation au traitement AGRASC d'une finalité de suivi comptable. Le  ministère de la Justice justifie ainsi cette modification par les  obligations qui pèsent sur le comptable public, notamment dans le cadre  des justifications qu'il doit apporter à la Cour des comptes. Le décret  précité du 7 novembre 2012  susvisé  prévoit en effet que les  comptables publics sont personnellement et  pécuniairement responsables des actes et contrôles qui leur incombent  (…) en application des dispositions des articles 18, 19 et 20, dans les  conditions fixées par l'article 60 de la foi du 23 février 1963 . Or, l' article 60 de la loi no 63-156 du 23 février 1963  de finances pour 1963 modifiée, relatif à la responsabilité pécuniaire  des comptables publics, prévoit que  le premier acte de la mise en jeu  de la responsabilité ne peut plus intervenir au-delà du 31 décembre de  la cinquième année suivant celle au cours de laquelle le comptable a  produit ses comptes au juge des comptes ou, lorsqu'il n'est pas tenu à  cette
obligation, celle au cours de laquelle il a produit les  justifications de ses opérations. Dès lors qu'aucune charge n'a été notifiée dans ce délai à son  encontre, le comptable est déchargé de sa gestion au titre de l'exercice  concerné. Dans le cas où Je comptable est sorti de fonction au cours de  cet exercice et si aucune charge n'existe ou ne subsiste à son encontre  pour l'ensemble de sa gestion, il est quitte de cette gestion . Ainsi, les données liées à l'ensemble des opérations comptables  doivent être à la disposition du comptable public pendant six ans, sa  responsabilité pouvant être engagée devant le juge des comptes pour  toute opération effectuée durant les six années précédentes. Le point de départ de cette durée de conservation reste la date à  laquelle la gestion des biens confiés à l'Agence est clôturée par  l'affectation des sommes produites par sa gestion. La durée de  conservation reste dès lors spécifique à chaque bien, et non à chaque  affaire, qui peut porter sur plusieurs biens. La commission estime que cette nouvelle durée de conservation est  non excessive au regard de la nouvelle finalité de suivi comptable  assignée au traitement AGRASC par le présent projet d'arrêté. En  revanche, elle considère que des garanties complémentaires doivent être  mises en œuvre concernant les modalités de conservation des données. En effet, dans la mesure où l'allongement de la durée de  conservation est uniquement justifié par la nouvelle finalité de suivi
comptable des opérations, il devrait être envisagé de ne conserver, à  l'expiration de la durée initiale de trois ans et pour une durée  supplémentaire de trois ans, que les seules données nécessaires à cette  finalité de suivi comptable. Si toutefois l'identification précise de ces données s'avérait  difficile, il devrait être envisagé, une fois le délai initial de trois  ans écoulé, de transférer l'ensemble des données, pour trois ans  supplémentaires, sur une base inactive à laquelle n'aurait accès que le  comptable à des fins de suivi comptable des opérations. En tout état de cause, la commission invite le ministère à prévoir  des modalités de conservation des données conformes aux dispositions de  l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les modalités d'exercice des droits des personnes : L'article 7 de l'arrêté du 20 janvier 2012 précité prévoit que, pour  l'ensemble des personnes concernées (personnes physiques et morales  mises en cause dans la procédure judiciaire, personnes concourant à la  procédure de saisie et de confiscation, parties civiles ou créanciers  publics), les droits d'accès et de rectification s'exercent de manière  directe. L'article 5 du projet d'arrêté visait initialement à modifier cette  disposition afin d'instituer un droit d'accès mixte, c'est-à-dire un  droit d'accès direct pour les personnes concourant à la procédure de  saisie et de confiscation et un droit d'accès indirect pour les  personnes mises en cause, les victimes, les parties civiles et les  personnels des administrations partenaires de l'Agence. Toutefois, interrogé sur ces modifications, le ministère de la  justice a finalement indiqué que les droits d'accès et de rectification  s'exerceront de manière directe pour l'ensemble des personnes concernées  par le traitement. La commission prend dès lors acte que les  dispositions de l'article 7 de l'arrêté du 20 janvier 2012 ne sont pas  modifiées. Le ministère a enfin précisé que les informations relatives aux  tiers seront occultées dans le cadre de l'exercice de ces droits. La  commission rappelle que cette limitation est conforme aux dispositions  des articles 39-1-4o et 40 de la loi  Informatique et Libertés ,  lesquelles prévoient que seules les données
concernant la personne qui  en fait la demande peuvent lui être communiquées ou être rectifiées.
La commission prend acte que les modalités d'exercice des droits  d'opposition et d'information, prévues à l'article 7 de l'arrêté du 20  janvier 2012 précité ne seront pas non plus modifiées. En revanche, elle relève que le traitement pourra concerner une  nouvelle catégorie de personnes (locataires des immeubles géré par  l'Agence après la confiscation définitive de ceux-ci). Elle invite dès  lors le ministère de la justice à compléter l'article 7 de l'arrêté du  20 janvier 2012 afin de mentionner expressément les modalités d'exercice  de leurs droits, en indiquant qu'ils seront informés du traitement de  leurs données et qu'ils pourront exercer de manière directe leurs droits  d'accès et de rectification. 
Sur l'architecture, les mesures de sécurité et de traçabilité : Le traitement dénommé AGRASC évolue vers une application web couplée  à une base de données. Elle sera déployée au sein du réseau privé  virtuel justice (RPVJ) du ministère et hébergée sur des serveurs de  celui-ci. La transmission des données entre le poste client et le serveur est  sécurisée au moyen du protocole TLS, qui est le protocole de référence  en matière d'échanges sécurisés sur Internet.
Chaque fichier conservé en base est chiffré individuellement. Le  secret est au séquestre au niveau du responsable de la sécurité des  systèmes d'information (RSSI) de la Sous-direction de l'informatique et  des télécommunications (SOIT) du ministère de la justice. Le contrôle d'accès logique se fait au moyen de certificats  logiciels  clients  installés dans une  carte agent . Des profils  d'habilitation définissent pour chaque utilisateur les fonctions  autorisées ou les catégories d'informations accessibles. Les données sont répliquées entre deux sites distants via une  connexion sécurisée. Ces sauvegardes sont également conservées quelques  semaines sur des cartouches, stockées dans un coffre. Une traçabilité est mise en œuvre via une journalisation des données  de connexion, de l'identifiant du poste de travail, de l'identifiant de  l'utilisateur ainsi que de la référence des données accédées. L'article  6 de l'arrêté du 20 janvier 2012 prévoit que ces traces sont conservées  trois ans. 
La commission prend acte que le rapport concernant l'analyse de  risque est mis à sa disposition pour consultation dans les locaux du  ministère. Elle estime que les mesures de sécurité décrites par le responsable  de traitement sont conformes à l'exigence de sécurité prévue par  l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle  toutefois que cette obligation nécessite la mise à jour des mesures de  sécurité au regard de la réévaluation régulière des risques.
La Commission nationale de l'informatique et des libertés, Saisie par le ministère de la culture et de la communication d'une  demande d'avis concernant un projet de décret relatif aux modalités de  compensation des surcoûts identifiables et spécifiques des prestations  assurées par les opérateurs de  communications électroniques à la demande de la Haute Autorité pour la  diffusion des œuvres et la protection des droits sur internet ; Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ; Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ; Vu le  III de l'article L. 34-1 du code des postes et des communications électroniques ; Vu le  code de la propriété intellectuelle, notamment ses articles L. 331-12 et suivants ; Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 11 (4°) ; Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu le  décret n° 2010-236 du 5 mars 2010 relatif au traitement automatisé de données à caractère personnel autorisé par l' article L. 331-29 du code de la propriété intellectuelle
dénommé  Système de gestion des mesures pour la protection des œuvres sur internet  ; Vu l'avis de la Commission nationale de l'informatique et des libertés en date du 14 janvier 2010 ; Vu le dossier et ses compléments ; Sur la proposition de Mme Joëlle FARCHY, commissaire, et après avoir  entendu les observations de Mme Nacima BELKACEM, commissaire du  Gouvernement, Emet l'avis suivant : La Commission nationale de l'informatique et des libertés (CNIL) a  été saisie pour avis par le ministère de la culture et de la  communication d'un projet de décret relatif aux modalités de  compensation des surcoûts identifiables et spécifiques des prestations  assurées par les opérateurs de  communications électroniques à la demande de la Haute Autorité pour la  diffusion des œuvres et la protection des droits sur internet (HADOPI), L'article L. 34.1-II du  code des postes et des communications électroniques (CPCE) impose aux opérateurs  de communications électroniques, et notamment aux personnes dont  l'activité est d'offrir un accès à des services de communication au  public en ligne d'effacer ou de rendre anonyme les données relatives au  trafic de leurs utilisateurs  sous réserve des dispositions des III,  IV, V et VI  du même article. Il résulte ainsi du III de l'article L. 34-1 du CPCE que  pour les  besoins de la recherche, de la constatation et de la poursuite des  infractions pénales ou d'un manquement à l'obligation définie à l' article L. 336-3 du code de la propriété
intellectuelle  […] et dans le seul but de permettre, en tant que de besoin, la mise à  disposition de l'autorité judiciaire ou de la haute autorité mentionnée à  l' article L. 331-12 du code de la propriété intellectuelle  […] il peut être différé pour une durée maximale d'un an aux opérations  tendant à effacer ou à rendre anonymes certaines catégories de données  techniques. Un décret en Conseil d'Etat, pris après avis de la  Commission nationale de l'informatique et des libertés, détermine, dans  les limites fixées par le VI, ces catégories de données et la durée de  leur conservation, selon l'activité des opérateurs  et la nature des communications ainsi que les modalités de  compensation, le cas échéant, des surcoûts identifiables et spécifiques  des prestations assurées à ce titre, à la demande de l'Etat, par les opérateurs . Dans le cadre de la procédure dite de  réponse graduée  prévue aux  articles L. 331-25 et suivants du code de la propriété intellectuelle, la HADOPI peut donc transmettre des demandes d'identifications des titulaires d'abonnement aux opérateurs susvisés. Le projet de décret soumis au présent avis porte sur les modalités de compensation des surcoûts supportés par les opérateurs de communications électroniques, visés par l'article L. 34-1 du CPCE. A titre liminaire, la commission rappelle qu'elle a déjà eu à se prononcer sur le  décret n° 2010-236 du 5 mars 2010 relatif au traitement automatisé de données à caractère personnel autorisé par l'
article L. 331-29 du code de la propriété intellectuelle  dénommé  Système de gestion des mesures pour la protection des œuvres  sur internet  et ce, par un avis en date du 14 janvier 2010. Le projet de décret objet du présent avis complète l'article R.  331-37 du CPI pour formaliser les modalités de compensation financière  des opérateurs, au titre de la procédure de  réponse graduée  gérée par la HADOPI. A l'aune de ces différentes considérations, le projet de décret  objet du présent avis n'appelle aucune remarque de la commission.
La Présidente
[…]
 
 Paris, le […]
 
PAR PORTEUR
Références à rappeler dans toute correspondance :
N/Réf. : […]
 
Madame la Présidente,
Je fais suite à la décision n° 2016-079 que j’ai prise le 26 septembre 2016 mettant en demeure la société […] ainsi qu’aux échanges qui ont suivi. 
Au regard des éléments de réponse apportés ainsi que de la fermeture de l’application […], je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier ainsi qu’à la procédure de contrôle n° 2016-122C.
Je vous informe, par ailleurs, que si était constatée à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée.
Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
En tout état de cause, j’attire votre attention sur la nécessité de veiller au respect au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne. À cette fin, je vous informe de l’application prochaine du règlement européen 2016/679 sur la protection des données (mai 2018).
[…]
Je vous prie d’agréer, Madame la Présidente, l’expression de mes salutations distinguées.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des affaires sociales et de la santé d'une demande d'avis sur un projet de décret portant création d'un traitement de données à caractère personnel dénommé portail numérique des droits sociaux ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité sociale et notamment son article L. 114-12 ; Vu le code du travail et notamment son article L. 6323-8 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-I (1°) ;
Vu la loi n° 2014-440 du 20 janvier 2014 garantissant l'avenir et la justice du système de retraite ;
Vu la loi n° 2016-1088 du 8 août 2016 relative au travail, à la modernisation du dialogue social et à la sécurisation des parcours professionnels, notamment son article 39 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;