AgentPublic/cnil huggingface dataset:
répondre à la finalité mentionnée au 5° de l'article 1er, à savoir l'utilisation des informations nécessaires à la mise en œuvre des actions de prévention et de lutte contre les fautes, abus et fraudes, les données peuvent être conservées, et liées à un numéro d'anonymat, dans un environnement logique séparé, distinct du traitement permettant la gestion de la prime d'activité.La commission observe que le dossier présenté en complément de la demande d'avis indique que la CCMSA conserve les données injectées dans le système pendant cinq ans, conformément aux dispositions de l'article 2224 du code civil, lequel dispose que :  les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d'un droit a connu ou aurait dû connaître les faits lui permettant de l'exercer .Si le projet de décret identifie uniquement les durées de conservation maximales, la commission estime néanmoins que la précision de cette durée de conservation des données injectées dans le système de la CCMSA pendant une durée de cinq ans dans le projet de décret, serait de nature à améliorer l'information des usagers.Elle rappelle que des données à caractère personnel, en application des dispositions du 5° de l'article 6 de la loi du 6 janvier 1978 modifiée ne peuvent être conservées sous une forme permettant l'identification des personnes concernées que pour une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et
traitées.Dès lors, les organismes débiteurs de la prime d'activité devront impérativement veiller à ce que les données à caractère personnel collectées et traitées par l'intermédiaire du traitement en cause ne soient pas conservées au-delà des durées nécessaires à l'accomplissement des finalités mentionnées à l'article 1er du projet de décret.Par ailleurs, dans le cadre des téléservices de l'administration, les informations reçues à distance ne peuvent être stockées que le temps nécessaire à la transmission vers le service concerné sans donner lieu à la constitution d'une nouvelle base de données. Dès lors, elle invite les organismes débiteurs de la prime d'activité à ne conserver les données que le temps nécessaire à la transmission des données vers les applicatifs métiers.A toutes fins utiles, la commission précise que les données concernées, à l'expiration de ces périodes, doivent être supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.Sur l'information et les droits d'accès, de rectification et d'opposition des personnes :L'article 6 du projet de décret indique que les personnes concernées par le traitement examiné par la commission sont informées, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, par tout moyen adapté, de la finalité poursuivie par le traitement, de l'identité de son
responsable et des catégories de destinataires des données. Elles sont également informées du fait qu'en cas de refus de leur part de communiquer leurs données personnelles nécessaires au traitement, leur droit à la prime d'activité ne peut être instruit et qu'elles ne peuvent alors prétendre à son bénéfice.Les personnes auxquelles les données mentionnées à l'article 2 se rapportent sont informées des modalités d'exercice de leurs droits d'accès et de rectification des données les concernant par une information figurant sur les sites internet respectifs de la CNAF et de la MSA, ainsi que dans le formulaire CERFA et le téléservice de demande de prime d'activité.Le dossier apporté en complément de la demande d'avis indique également qu'une diffusion de l'information aura lieu au moyen des notifications adressées aux personnes par leur CAF de rattachement, à l'ouverture et à la fin du droit.Les demandeurs et bénéficiaires de la prime d'activité peuvent exercer leurs droits d'accès et de rectification des données, prévus aux articles 39 et 40 de la loi n° 78-17 du 6 janvier 1978 modifiée susvisée, auprès du directeur de l'organisme chargé de servir la prime d'activité auquel ils sont rattachés.Les agents des organismes chargés de servir la prime d'activité sont informés des modalités d'exercice de leur droit d'accès aux données les concernant par leur employeur.Enfin, la commission prend acte de ce que le projet de décret exclut l'exercice du droit d'opposition pour des motifs
légitimes en application des dispositions de l'article 38, alinéa 3, de la roi du 6 janvier 1978 modifiée qui dispose que ce droit ne s'applique pas  lorsque le traitement répond à une obligation légale ou lorsque l'application de ces dispositions a été écartée par une disposition expresse de l'acte autorisant le traitement .La commission considère que ces modalités d'information et d'exercice des droits d'accès et de rectification des personnes sont satisfaisantes.S'agissant des modalités d'exercice de ces droits, la commission estime qu'il serait opportun, dans la mesure où les organismes débiteurs de la prime d'activité s'engagent dans un processus de dématérialisation de leurs services, de privilégier la possibilité pour les demandeurs et les bénéficiaires de la prime d'activité, d'exercer leurs droits par voie dématérialisée, en particulier à partir des téléservices proposés.Sur la sécurité des données et la traçabilité des actions :Le serveur hébergeant les fichiers de données à caractère personnel est implanté dans un local sécurisé dont les accès sont contrôlés. De plus, les locaux techniques sont accessibles au seul personnel habilité du Centre informatique national, par zones de sécurité, en fonction des droits dont il dispose. La sécurité de ces zones est assurée par lecture de badges magnétiques.Les architectures réseaux sont pourvues d'équipements classiques de type firewalls et serveurs proxy. Une architecture haute disponibilité a été mise en œuvre pour ces
plates-formes. Ces matériels, y compris les postes de travail, sont dotés d'antivirus mis à jour automatiquement et quotidiennement.L'application n'est pas accessible par internet, ni au moyen d'un extranet. L'application n'utilise pas de messagerie internet.Seules les personnes des organismes ainsi que les membres du département de la gestion centralisée sont directement habilités, par leur directeur, à accéder aux informations.L'accès aux systèmes d'information est strictement réservé aux utilisateurs internes au travers d'un réseau privé d'entreprise. L'accès à chaque serveur et aux applications hébergées est soumis obligatoirement à un mécanisme d'authentification s'appuyant sur le couple  identifiant/mot de passe  avec des règles de renouvellement et de structure strictes.Les responsables d'applications, en relation avec l'administrateur, associent des profils d'habilitations à des groupes d'utilisateurs identifiés. Par plate-forme, un administrateur central de sécurité effectue lui-même le paramétrage de ces habilitations, ou délègue ces tâches aux administrateurs régionaux selon la hiérarchie des contrôles d'habilitation demandée. Cet administrateur central dispose de moyens d'audit et de contrôle pour vérifier la bonne qualité de l'ensemble de ces informations. Des garde-fous existent pour se prémunir d'une erreur de manipulation dans l'attribution des profils.Les mesures de sécurité décrites par les responsables de traitement sont conformes à l'exigence de sécurité
prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.La commission rappelle par ailleurs que, conformément aux dispositions du décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, les téléservices envisagés doivent se conformer aux exigences prévues dans le référentiel général de sécurité (RGS).Sur les dispositions modifiant le code de l'action sociale et des familles et le code du travail :La commission relève que les dispositions modifiant le code de l'action sociale et des familles et le code du travail introduites à l'article 8 du projet de décret n'appellent pas d'observation particulière de sa part, dès lors qu'il ne s'agit que de modifications rédactionnelles mineures.
La Commission nationale de l'informatique et des libertés, saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret relatif aux dispositions concernant le contenu et la délivrance des extraits de casier judiciaire ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de procédure pénale, notamment ses articles 768 à 781 et R. 62 à R. 90 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26 et 30Vu la loi n° 2014-640 du 20 juin 2014 relative à la réforme des procédures de révision et de réexamen d'une condamnation pénale définitive ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la foi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Gaétan GORCE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La Commission a été saisie par le ministre de la justice d'une demande d'avis portant sur un projet de décret relatif aux dispositions concernant le contenu et la délivrance des extraits de casier judicaire.Les modifications projetées concernent le casier judiciaire national (ci-après  CJN ), dont les conditions de mise en œuvre sont prévues aux articles 768 à 781 et R. 62 à R. 90 du code de procédure pénale (CPP). Plus précisément, ces modifications portent sur les hypothèses d'effacement des fiches du casier judiciaire national (article 2 du projet de décret), sur la délivrance du bulletin n° 2 du casier judiciaire (article 3 du projet de décret), ainsi que sur la délivrance du bulletin n° 3 du casier judiciaire (articles 4 et 5).La modification principale, qui porte sur la délivrance du bulletin n° 2 (ci-après B2) aux administrations dans le cadre du contrôle de l'exercice de certains emplois, intervient dans un contexte où ont été constatés des dysfonctionnements dans le contrôle des professions impliquant un contact avec des mineurs. Le ministère de la justice a souhaité dès lors renforcer le contrôle de l'exercice de certaines professions impliquant un contact habituel avec les mineurs.Conformément aux dispositions de l'article 779 du CPP et des articles 26 et 30 de la loi du 6 janvier 1978 modifiée, ce
décret doit être pris après avis motivé et publié de la Commission.Sur l'effacement des fiches du casier judiciaire :L'article R. 70 du CPP énumère les cas dans lesquels les fiches du casier judiciaire national automatisé sont effacées. Le 4° de cet article en prévoit l'effacement  lorsque le condamné fait opposition ou lorsque la Cour de cassation annule la décision par application des articles 620 ou 625 , ce dernier article étant relatif au traitement des demandes en révision.Or, la loi susvisée du 20 juin 2014 a modifié de façon substantielle la procédure de révision et de réexamen d'une condamnation pénale définitive. La modification envisagée, qui vise à tenir compte de ces évolutions et a pour unique objet de remplacer la référence à l'article 625 par celle de l'article 624-7, n'appelle pas d'observation particulière de la part de la Commission.Sur la délivrance du bulletin n° 2 aux administrations pour le contrôle de l'exercice d'emplois impliquant un contact habituel avec des mineurs :La Commission rappelle que la délivrance du 132 du casier judiciaire constitue la principale vérification préalable réalisée dans le cadre de l'accès à certains emplois. L'accès à la fonction publique, ainsi qu'a de nombreuses professions régies par des textes spéciaux, est en effet soumis à une demande de B2 par l'employeur.S'agissant plus précisément des emplois publics, l'article 776-1° du CPP prévoit que le B2 peut être délivré aux  préfets et aux administrations publiques de
l'Etat saisis de demandes d'emplois publics , tandis que le 3° de ce même article permet ta délivrance de ce même B2  aux administrations et personnes morales , sans autre précision sur les services concernés et les motifs pour lesquels le B2 peut être demandé.Afin de s'assurer que les administrations concernées puissent prendre une décision éclairée, le législateur s'est assuré que certaines infractions apparaissent bien au 62, notamment dans le cadre d'emplois en contact avec des mineurs. Ainsi, la procédure prévue par l'article 775-1 du CPP, qui permet à la juridiction de jugement d'exclure la mention d'une condamnation au B2, ne s'applique pas aux infractions de nature sexuelle sur un mineur mentionnées aux articles 706-47 du CPP.Néanmoins, la procédure prévue à l'article 775-1 du CPP illustre également la volonté du législateur de marquer le principe du droit â l'oubli et de ne pas faire du casier judiciaire un obstacle à la réinsertion professionnelle. En effet, la possibilité d'exclure certaines condamnations du B2 a pour objet de permettre à toute personne condamnée, sous le contrôle du juge, d'exercer des activités ou d'occuper des emplois pour lesquels l'absence de toute mention au bulletin n° 2 du casier judiciaire est exigée.En outre, la Commission rappelle que le bulletin n° 2 peut comporter des infractions sans lien avec l'emploi exercé ou visé par la personne concernée, ainsi que des condamnations très anciennes, dont la prise de connaissance par
l'administration concernée peut ne pas s'avérer utile. Enfin, elle rappelle que l'extrait du casier judiciaire a, par définition, une durée de validité réduite, compte tenu du fait qu'il fait état du casier judiciaire de la personne à un instant donné.Au regard de ces éléments, et sans remettre en cause la nécessité évidente d'assurer une protection effective des mineurs, la Commission estime que la délivrance du B2 à des fins de contrôle de l'exercice de certains emplois publics doit intervenir dans des conditions et selon des modalités strictement définies, de nature à assurer un juste équilibre entre les intérêts publics en cause et la protection de la vie privée et des données personnelles.Dans ce cadre, la modification envisagée vise à permettre la délivrance du bulletin n° 2 du casier judiciaire  aux administrations de l'Etat, aux collectivités territoriales et à leurs établissements publics, ainsi qu'aux établissements de santé, sociaux et médico-sociaux mentionnés à l'article 2 de la loi n° 86-33 du 9 janvier 1986 (...) pour le contrôle de l'exercice d'emplois dans leurs services impliquant un contact habituel avec des mineurs .Il est prévu de modifier l'article R. 79 du CPP, qui liste les  administrations et personnes morales  habilitées, en application de l'article 776-3° du CPP, à se voir délivrer le B2.La Commission relève que le fondement législatif de la modification envisagée est donc l'article 776-3° dudit code et non le 1° de ce même article, qui concerne
pourtant au premier chef le contrôle des emplois publics.Elle observe néanmoins que, si le législateur a défini le cadre générai de la transmission du B2, il a laissé au pouvoir réglementaire le soin de déterminer plus précisément, par décret en Conseil d'Etat, non seulement les organismes appartenant aux  administrations et personnes morales  pouvant solliciter le B2, mais aussi les fins auxquelles le B2 peut être demandé par lesdits organismes.Si la modification envisagée peut dès lors trouver une base légale dans les dispositions de l'article 776 du code de procédure pénale, la Commission estime néanmoins que des garanties appropriées doivent être mises en œuvre, aussi bien concernant la délimitation des professionnels concernés que sur les conséquences pour les personnes dont le casier sera consulté.A cet égard, la Commission relève que les professionnels visés par la modification envisagée sont définis sur la base de trois critères.Seront ainsi concernés les agents publics titulaires (fonctionnaires et autres catégories) et non titulaires (auxiliaires, agents contractuels et vacataires de droit public ou privé) de l'administration de l'Etat, des collectivités territoriales et des établissements de santé.Le B2 ne pourra être demandé qu'a des fins de contrôle de l'exercice de certains emplois. Ainsi, cette délivrance du 82 est indépendante des éventuels contrôles déjà mis en œuvre pour le recrutement des fonctionnaires, puisqu'elle interviendra au cours de la carrière des
agents publics et non uniquement lors de leur recrutement.Enfin, seuls les emplois impliquant un  contact habituel  avec les mineurs pourront justifier la délivrance du B2. La Commission relève que cette terminologie est plus restrictive que celle employée. par exemple, pour la consultation du Fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAIS), qui concerne, aux termes de l'article 706-53-7 du CPP, les activités ou professions  impliquant un contact avec des mineurs . Elle estime dès lors que ce critère doit permettre de mieux circonscrire le champ des professions concernées.S'il est difficile d'établir une liste exhaustive des professions concernées, qui ne semblent pas pouvoir être réduites aux seuls professionnels exerçant une mission éducative, les administrations devront ainsi nécessairement tenir compte du caractère  habituel  des contacts avec les mineurs qu'implique chaque profession. La Commission appelle donc l'attention du Gouvernement sur la nécessité de définir limitativement les professions qui pourront donner lieu à la consultation du casier judiciaire.En outre, elle estime nécessaire que soient définies des modalités précises d'appréciation, par les administrations demanderesses, des données mentionnées aux B2 de leurs agents. Des critères conformes à la jurisprudence administrative en la matière et concernant, par exemple, les condamnations incompatibles avec l'exercice des professions concernées ou l'ancienneté
des condamnations à prendre en compte, doivent ainsi être fixés. La formalisation de telles règles constitue en effet, pour la Commission, une condition essentielle de nature à garantir le droit à l'oubli et la réinsertion des personnes condamnées pour d'autres infractions que celles commises à l'encontre de mineurs, conformément à l'un des objectifs du casier judiciaire.De même, la Commission rappelle que, si l'administration envisage de prendre à l'encontre de la personne concernée une décision produisant des effets juridiques en se fondant sur le 82, il lui appartient de mettre en œuvre une procédure garantissant le respect des dispositions de l'article 10 de la loi du 6 janvier 1978 modifiée.En outre, conformément aux dispositions des 3° et 4° de l'article 6 de la loi du 6 janvier 1978 modifiée, la Commission rappelle que les B2 qui ne donneraient pas lieu à une procédure, soit parce qu'ils ne comportent aucune condamnation, soit parce que les condamnations ne sont pas jugées incompatibles avec la profession exercée, ne doivent pas être conservés par l'administration. Les bulletins qui seraient utilisés dans le cadre d'une procédure disciplinaire ne doivent quant à eux être conservés que pour les nécessités et la durée de ladite procédure.Si ces exigences ne relèvent pas directement de la compétence du ministère de la Justice, la Commission estime toutefois que le service du casier judiciaire pourrait utilement les rappeler dans le cadre des outils qu'il met à la
disposition des administrations pour solliciter le B2.S'agissant enfin des modalités de délivrance du B2, la Commission relève qu'il sera demandé par les administrations concernées par l'intermédiaire des dispositifs déjà existants, le dispositif de  transfert de fichier , qui permet à l'administration demanderesse d'interroger le casier par listes d'identités, ou l'application dénommée WebB2D, qui permet à l'administration ou à la collectivité territoriale habilitée de prendre connaissance du B2 de manière dématérialisée.Ces dispositifs ne nécessitent qu'une authentification des services demandeurs par le service du casier judiciaire et non une authentification individuelle, chaque administration étant par la suite responsable de la délivrance, au sein de ses services, de ces habilitations individuelles.La Commission appelle dès lors l'attention de ce service sur la nécessité d'exercer un contrôle strict sur la délivrance de ces habilitations, au regard des finalités assignées à ce nouveau motif de consultation du casier judiciaire.Sur les autres administrations et personnes morales habilitées à se voir délivrer le B2 :Le projet de décret procède â d'autres modifications de l'article R. 79 du CPP.En premier lieu, il prévoit d'ajouter, au titre des  administrations publiques de l'Etat chargées de la police des étrangers  habilitées à se voir délivrer le B2, l'Office français de protection des réfugiés et apatrides (OFPRA) ainsi que la Cour nationale du droit d'asile
(CNDA).Le code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) prévoit en effet certaines restrictions s'agissant des conditions d'octroi de l'asile. Ainsi, le statut de réfugié et la protection subsidiaire peuvent être refuses au demandeur s'il constitue une menace ou s'il a commis des infractions d'une particulière gravité (articles L. 711-6 et L. 712-2).Le B2 étant, en pratique, déjà délivré à ces organismes, le ministère a souhaité faire apparaître expressément cette possibilité à l'article R. 79, ce dont la Commission prend acte.En second lieu, le projet de décret procède à des ajustements rédactionnels s'agissant des organismes mentionnés au 8' de l'article R. 79 et supprime deux catégories de destinataires, ce qui n'appelle pas d'observation particulière de la part de la Commission.Sur les modifications des conditions de délivrance du bulletin n° 3 du casier judiciaire :L'article 4 du projet de décret vise à modifier l'article R. 83 du CPP, qui prévoit que  la vérification d'identité prévue par l'article R. 77 doit être effectuée avant l'établissement du bulletin n0 3 des personnes nées en France. Si le résultat de cet examen s'avère négatif, le service du casier judiciaire national automatisé ne délivrera le bulletin n° 3 qu'au vu d'une fiche d'état civil .Or, la fiche individuelle d'état civil et de nationalité française et la fiche familiale d'état civil ont été supprimées par le décret n° 2000-1277 du 26 décembre 2000 portant simplification des