AgentPublic/cnil huggingface dataset:
Cette liste vient compléter et préciser les lignes directrices adoptées par la commission le 11 octobre 2018.
Si la présence d'une opération de traitement sur la présente liste dispense de réaliser une analyse d'impact, le responsable de traitement reste soumis à l'ensemble des autres obligations qui lui incombent en application du RGPD et de la loi du 6 janvier 1978. Notamment, le fait qu'une activité de traitement relève de cette liste ne signifie pas qu'un responsable de traitement est exempté des obligations énoncées à l'article 32 du RGPD en matière de sécurité du traitement.
La présente délibération sera publiée au Journal officiel de la République française.
Annexe
	ANNEXE
	LISTE DES TYPES D'OPÉRATIONS DE TRAITEMENT POUR LESQUELLES UNE ANALYSE D'IMPACT RELATIVE À LA PROTECTION DES DONNÉES N'EST PAS REQUISE
				Types d'opérations de traitement
				Traitements, mis en œuvre uniquement à des fins de ressources humaines et dans les conditions prévues par les textes applicables, pour la seule gestion du personnel des organismes qui emploient moins de 250 personnes, à l'exception du recours au profilage.
				Traitements de gestion de la relation fournisseurs.
				Traitements mis en œuvre dans les conditions prévues par les textes relatifs à la gestion du fichier électoral des communes.
				Traitements destinés à la gestion des activités des Comités d'entreprise et d'établissement.
Traitements mis en œuvre par une association, une fondation ou toute autre institution sans but lucratif pour la gestion de ses membres et de ses donateurs dans le cadre de ses activités habituelles dès lors que les données ne sont pas sensibles.
				Traitements de données de santé nécessaires à la prise en charge d'un patient par un professionnel de santé exerçant à titre individuel au sein d'un cabinet médical, d'une officine de pharmacie ou d'un laboratoire de biologie médicale.
				Traitements mis en œuvre par les avocats dans le cadre de l'exercice de leur profession à titre individuel.
				Traitements mis en œuvre par les greffiers des tribunaux de commerce aux fins d'exercice de leur activité.
				Traitements mis en œuvre par les notaires aux fins d'exercice de leur activité notariale et de rédaction des documents des offices notariaux.
				Traitements mis en œuvre par les collectivités territoriales et les personnes morales de droit public et de droit privé aux fins de gérer les services en matière d'affaires scolaires, périscolaires et de la petite enfance.
				Traitements mis en œuvre aux seules fins de gestion des contrôles d'accès physiques et des horaires pour le calcul du temps de travail, en dehors de tout dispositif biométrique.
				A l'exclusion des traitements des données qui révèlent des données sensibles ou à caractère hautement personnel.
Traitements relatifs aux éthylotests, strictement encadrés par un texte et mis en œuvre dans le cadre d'activités de transport aux seules fins d'empêcher les conducteurs de conduire un véhicule sous l'influence de l'alcool ou de stupéfiants.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret modifiant le décret n° 2017-1224 du 3 août 2017 portant création d’un traitement automatisé de données à caractère personnel dénommé Automatisation de la consultation centralisée de renseignements et de données (ACCReD) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 31-II et 33 ;
Vu la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité et notamment son article 17-1 ;
Vu la loi
 n° 2018-778 du 10 septembre 2018 pour une immigration maîtrisée, un droit d'asile effectif et une intégration réussie et notamment son article 5 ;
Vu le décret n° 2017-588 du 20 avril 2017 modifié portant création d’un service à compétence nationale dénommé Commandement spécialisé pour la sécurité nationale ;
Vu le décret n° 2017-668 du 27 avril 2017 modifié portant création d’un service à compétence nationale dénommé service national des enquêtes administratives de sécurité ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78- 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-152 du 18 mai 2017 portant avis sur un projet de décret portant création d’un traitement automatisé de données à caractère personnel dénommé ACCRED ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie pour avis par le ministre de l’intérieur d’un projet de décret modifiant le décret n° 2017-1224 du 3 août 2017 portant création d’un traitement automatisé de données à caractère personnel dénommé Automatisation de la consultation centralisée de renseignements et de données (ACCReD).
Ce traitement, sur lequel la Commission s’est déjà prononcée dans son avis
n° 2017-152 du 18 mai 2017 susvisé, a pour objet de faciliter la réalisation d’enquêtes administratives en permettant la consultation automatique de traitements de données à caractère personnel relevant du titre III de la loi du 6 janvier 1978 modifiée transposant la directive (UE) 2016/680 du 27 avril 2016 susvisée (ci-après la directive ), ainsi que l’interrogation de traitements intéressant la sûreté de l’Etat et relevant, dès lors, de l’article 31 de cette même loi. Il doit également permettre la centralisation des informations recueillies dans le cadre de ces enquêtes.
La Commission relève que le traitement ACCReD , mis en œuvre à des fins de protection et de prévention contre les menaces pour la sécurité publique au sens de la directive précitée, intéresse également en partie la sûreté de l’Etat. Elle rappelle qu’il résulte de l’évolution du cadre juridique relatif à la protection des données à caractère personnel que les dispositions applicables au traitement des données figurant au sein de ce dispositif et intéressant la sûreté de l’Etat, sont exclues du champ d’application de la directive 2016/680 et relèvent spécifiquement des articles 1 à 41 et 115 à 124 de la loi du 6 janvier 1978 modifiée. Enfin, dans la mesure où des données mentionnées au I de l’article 6 de cette même loi sont susceptibles d’être enregistrées, la modification du traitement ACCReD doit faire l’objet d’un décret en Conseil d’Etat, pris après avis motivé et publié de la Commission conformément à ses articles 31-II et 89.
Rappel sur le traitement ACCReD et présentation des principales modifications envisagées
De manière générale, la Commission observe que ces dernières années ont été marquées par la mise en œuvre successive de nouveaux dispositifs d’enquêtes administratives témoignant d’un élargissement significatif du champ d’intervention de ces dernières. Elle rappelle qu’une vigilance particulière s’impose s’agissant de ces dispositifs qui visent à renforcer les contrôles opérés notamment pour prévenir la réalisation d’attentats terroristes ou d’actes susceptibles de porter atteinte à la sûreté de l’Etat. La Commission estime en effet que la réalisation d’enquêtes administratives doit s’accompagner de garanties fortes pour s’assurer que les enquêtes ainsi réalisées, qui conduisent au traitement de données particulièrement sensibles sur un nombre de plus en plus important de personnes, ne portent pas d’atteintes excessives au droit au respect de la vie privée des intéressés.
Dans ce contexte, la Commission rappelle que la création du traitement ACCReD , qui constitue un outil d’aide à la réalisation d’enquêtes administratives, s’inscrit dans le cadre de l’adoption de nouveaux dispositifs législatifs imposant la réalisation de ces enquêtes afin de conditionner par exemple l’accès à certains emplois ou sites sensibles.
Ce dispositif, qui s’inscrit dans un contexte plus général de facilitation et d’accélération du traitement de la volumétrie croissante des enquêtes administratives, est mis en œuvre par la direction générale de la police nationale (DGPN) et la direction générale de la gendarmerie nationale (DGGN) du ministère de l’intérieur, auxquelles sont rattachés le Service national des enquêtes administratives de sécurité (SNEAS), créé par le décret n° 2017-668 du 27 avril 2017 susvisé et le Commandement spécialisé pour la sécurité nucléaire (CoSSeN), créé par le décret
n° 2017-588 du 20 avril 2017 susvisé, qui sont les services à compétence nationale en charge de la réalisation de certaines de ces enquêtes.
La Commission relève que la présente saisine vise principalement à tenir compte de l’évolution des missions confiées au SNEAS qui, au regard des précisions apportées par le ministère, a vocation à devenir le service interministériel chargé de la réalisation de certaines enquêtes administratives, dans un objectif de simplification, de rationalisation et d’homogénéisation des procédures. Dans ce contexte, elle observe que le périmètre des enquêtes ayant vocation à relever du traitement ACCReD est élargi, notamment aux fins d’ajout de l'instruction des demandes d'acquisition de la nationalité française, ainsi que pour la délivrance et le renouvellement des titres relatifs à l'entrée et au séjour des étrangers. Outre cette évolution, le projet de décret soumis à la Commission vise à étendre les catégories de données pouvant être collectées et prévoir la possibilité de consultation et d’interrogation de nouveaux traitements de données à caractère personnel.
Ces éléments généraux rappelés, le projet de décret appelle les observations suivantes.
Sur les finalités et le périmètre du traitement 
En premier lieu, la Commission rappelle qu’aux termes de l’article premier du décret n° 2017-1224 du 3 août 2017, le traitement ACCReD a pour finalité de faciliter la réalisation d'enquêtes administratives en application des articles 
L. 114-1, L. 114-2 et L. 211-11-1 du code de la sécurité intérieure et d'exploiter les informations recueillies dans ce cadre 
.
A titre liminaire, la Commission relève que l’article 5 de la loi n° 2018-778 du 10 septembre 2018 susvisée, a modifié l’article L. 114-1 du code de la sécurité intérieure (CSI), afin de prévoir qu’il peut être procédé à des enquêtes administratives dans les conditions prévues au second alinéa du I du présent article pour la délivrance, le renouvellement ou le retrait d'un titre ou d'une autorisation de séjour sur le fondement des articles L. 121-4, L. 122-1, L. 311-12, L. 313-3, L. 314-3 et L. 316-1-1 du code de l'entrée et du séjour des étrangers et du droit d'asile [CESEDA] ou des stipulations équivalentes des conventions internationales ainsi que pour l'application des articles L. 411-6, L. 711-6, L. 712-2 et L. 712-3 du même code . Les dispositions du CESEDA précitées visent notamment, dans certains cas, à conditionner la délivrance ou le renouvellement d’un titre à l’absence de menace pour l’ordre public, justifiant la possibilité de procéder à des enquêtes administratives dans ce cadre. Elle relève qu’il résulte de cette modification un élargissement du périmètre du traitement ACCReD, lequel porte notamment sur les enquêtes administratives visées à l’article L. 114-1 du CSI précité.
La Commission souligne par ailleurs que les missions du SNEAS telles que mentionnées au sein du décret n° 2017-668 du 27 avril 2017 susvisé ont été modifiées par le décret n° 2017-1594 du 10 septembre 2018. Il est désormais prévu que le SNEAS puisse réaliser les enquêtes administratives visant à estimer si 
le comportement de personnes physiques ou morales n'est pas incompatible avec (…) l'utilisation de matériels ou produits présentant un caractère dangereux 
. Il en résulte que le SNEAS, initialement compétent pour les enquêtes administratives uniquement fondées sur les articles L. 114-2 et L. 211-11-1 du code de la sécurité intérieure (CSI), a désormais la charge de certaines enquêtes administratives visées à l’article L. 114-1 du CSI, jusqu’alors diligentées par les services de police ou de gendarmerie nationales territorialement compétents, sous réserve des compétences du CoSSeN pour les enquêtes relatives au secteur du nucléaire.
Sans se prononcer sur les raisons ayant conduit à de telles évolutions, la Commission estime indispensable que le périmètre du dispositif soit strictement encadré. Elle rappelle en effet que les enquêtes visées à l’article L. 114-1 du CSI conditionnent l’adoption de décisions administratives nombreuses, très diverses et ne présentant pas toutes le même degré de sensibilité. La Commission rappelle également que la consultation de traitements particulièrement sensibles intéressant la sûreté de l’Etat doit être réservée aux enquêtes préalables à certaines décisions, compte tenu de leur objet spécifique.
Dans ce contexte, et compte tenu de l’extension constante du périmètre des enquêtes administratives, et par voie de conséquence du traitement ACCReD , la Commission souligne que si le décret du 3 aout 2017 précité fait effectivement référence aux enquêtes prévues aux articles L. 114-1, L. 114-2 et L. 211-11-1 du CSI, aucune précision quant au champ du dispositif n’est apportée par le présent projet de décret, s’agissant en particulier des enquêtes précisément visées dans ce cadre.
Elle relève par ailleurs qu’il résulte des précisions apportées par le ministère qu’en qualité de service à compétence nationale, le SNEAS pourrait être investi - à terme - de la réalisation d’autres enquêtes administratives relevant de l’article L. 114-1 du CSI, sans qu’aucune limitation de ce périmètre ne soit précisément définie.
Dans ces conditions, la Commission estime indispensable que des précisions soient apportées sur le périmètre de mise en œuvre du traitement ACCReD et ce, notamment afin d’assurer la transparence du dispositif mis en œuvre. Elle demande dès lors que le projet de décret soit précisé en ce sens.
En second lieu, la Commission relève que l’article 1er du projet de décret prévoit d’ajouter au périmètre du dispositif ACCReD , les enquêtes visées à l’article 17-1 de la loi du 21 janvier 1995 susvisée.
Cette disposition précise qu’il peut être 
procédé à la consultation prévue à 
l'article L. 234-1 du code de la sécurité intérieure pour l'instruction des demandes d'acquisition de la nationalité française et de délivrance et de renouvellement des titres relatifs à l'entrée et au séjour des étrangers ainsi que pour la nomination et la promotion dans les ordres nationaux
 .
La Commission relève que la réalisation de ces enquêtes, qui sera confiée au SNEAS (à l’exception de la nomination et de la promotion dans les ordres nationaux), est actuellement partagée entre les services préfectoraux et les services de la police et de la gendarmerie nationales. Elle relève également que l’article 2 du décret n° 2017- 668 susvisé, qui fixe le champ de compétence du SNEAS, prévoit que les enquêtes administratives qu’il est amené à réaliser sont destinées à vérifier
que le comportement de personnes physiques ou morales n'est pas incompatible avec l'autorisation d'accès à des sites sensibles ou l'exercice de missions ou fonctions sensibles dont elles sont titulaires ou auxquelles elles prétendent, ou avec l'utilisation de matériels ou produits présentant un caractère dangereux
 .
La Commission observe dès lors que le SNEAS n’a actuellement pas pour mission de réaliser des enquêtes administratives relatives à l’instruction des demandes d’acquisition de la nationalité française ainsi qu’à la délivrance et au renouvellement des titres relatifs au droit de séjour des étrangers d’une part ainsi qu’aux demandes d’asile et à la protection subsidiaire d’autre part.
Sans remettre en cause la légitimité pour ce service de réaliser des enquêtes administratives dans ce cadre, elle estime- en tout état de cause - que les dispositions du décret du 27 avril 2017 précité devraient être modifiées afin de prévoir expressément de confier ces missions au SNEAS, et ce, avant de permettre à ce service spécialisé de diligenter les enquêtes ainsi visées. A cet égard, la Commission prend acte de l’engagement du ministère de modifier le décret précité avant la mise en œuvre effective d’une telle possibilité.
Sur les données collectées 
L’article 2 du projet de décret prévoit que pourra faire l’objet d’un enregistrement dans le traitement ACCReD , le document de synthèse des éléments pertinents issus de l’enquête .
A cet égard, la Commission prend acte des précisions apportées par le ministère selon lesquelles ce document a vocation à contenir les éléments pertinents issus de l’analyse opérée par le SNEAS et le CoSSeN suite à l’interrogation des fichiers et aux vérifications complémentaires diligentées sans qu’ils n’indiquent leur avis . Elle relève qu’outre les enquêtes administratives pour lesquelles ces deux services demeurent compétents pour rendre un avis ou une décision, le SNEAS et le CoSSeN pourront contribuer aux enquêtes administratives conduites par d’autres services. C’est dans ce contexte qu’un document de synthèse produit par ces deux services spécialisés pourra être réalisé, au profit de services tiers chargés de la réalisation de leurs propres enquêtes administratives. La Commission prend acte que ce document, comprenant les éléments pertinents issus de l’analyse opérée par le SNEAS et le CoSSeN suite à l’interrogation des fichiers ainsi qu’aux vérifications complémentaires diligentées, permet aux services tiers de rendre formellement un avis ou une décision.
Si la production d’un tel document n’appelle pas d’observation particulière au regard des finalités poursuivies par le traitement, la Commission est particulièrement réservée quant à sa communication à des agents autres que ceux appartenant aux deux services spécialisés précités, compte tenu des données qu’il est susceptible de contenir, a fortiori pour les besoins d’enquêtes administratives qui ne relèveraient pas de leur compétence. Elle rappelle en conséquence la nécessité de s’assurer que seules les données strictement nécessaires à l’appréciation objective de la situation de la personne concernée soient transmises et ce, dans la limite du besoin d’en connaitre de ces tiers. 
Sur les mises en relation projetées 
La Commission relève que l’article 5 du projet de décret prévoit que le système informatique national N-SIS II pourra être consulté de manière automatique par le traitement ACCReD afin de vérifier si l’identité de la personne concernée y est enregistrée. Il est également prévu que le traitement SIREX ainsi que le fichier de la DGSE soient mis en relation et interrogés par les personnes pouvant accéder au traitement ACCReD , conformément à l’article 5 du décret n° 2017-1224 susvisé.
A titre liminaire, en ce qui concerne les mises en relation avec d’autres traitements de données à caractère personnel, la Commission rappelle – de manière générale – qu’il importe de s’assurer que seuls les traitements comportant des données pertinentes, adéquates et nécessaires au regard de l’objet et des enjeux spécifiques de l’enquête administrative réalisée soient consultés. De la même manière, elle estime qu’une attention particulière doit être portée aux traitements pouvant faire l’objet d’une consultation automatisée systématique. 
S’agissant des traitements N-SIS II et du fichier de la DGSE , la Commission prend acte des précisions du ministère selon lesquelles la consultation de ces traitements doit permettre d’obtenir des informations sur les personnes de nationalité étrangère et susceptibles de constituer dans leur pays une menace pour la sécurité publique ou la sûreté de l’Etat , notamment dans le cadre des enquêtes relatives aux autorisations d’accès à un lieu protégé.
En ce qui concerne le fichier SIREX , la consultation envisagée présente, selon le ministère, un intérêt s’agissant d’anciens militaires dont le comportement a été considéré comme incompatible avec leurs missions au sein du ministère des armées et qui sont susceptibles de postuler à des emplois de policier, gendarme, policier municipal ou agent de l’administration pénitentiaire.
Sans remettre en cause la nécessité de consulter ou d’interroger les traitements ainsi visés, la Commission rappelle que, compte tenu du caractère particulièrement sensible de certains de ces traitements et des enjeux importants pour les personnes concernées résultant de cette interrogation, des garanties particulières devront être mises en œuvre pour que l’automatisation de ces consultations ne conduise pas à ce que des avis ou des décisions résultent de la seule inscription d’une personne dans un traitement de données à caractère personnel. A cet égard, elle prend acte que des vérifications complémentaires seront réalisées par les services d’enquête en cas de réponse positive ( hit ) et que la consultation des fichiers intéressant la sûreté de l’Etat visés par le projet de décret sera limitée à certains types d’enquêtes administratives. Par exemple, le fichier de la DGSE pourra être interrogé uniquement dans le cadre des demandes d’asile ou de protection subsidiaire, des demandes d’acquisition de la nationalité française émanant de demandeurs ressortissants de pays à risque formulées auprès de l’Office français de protection des réfugiés et apatrides ainsi que des enquêtes réalisées par le CoSSeN pour le compte du ministère des armées.
Si la Commission regrette vivement que le ministère n’entende pas modifier les actes réglementaires encadrant ces fichiers afin de mentionner explicitement qu’ils peuvent faire l’objet d’une interrogation par le traitement ACCReD , elle prend acte que le ministère des armées, en sa qualité de responsable des traitements SIREX et du fichier de la DGSE procèdera à une modification des actes les encadrant afin de rendre le SNEAS et le CoSSeN destinataires des informations qui y sont enregistrées. La Commission rappelle toutefois que dans l’attente de la modification des actes réglementaires relatifs à ces deux traitements, qui devra faire l’objet d’un avis préalable de la CNIL, une telle consultation ne pourra être mise en œuvre.
Enfin, la Commission relève que le ministère a précisé que le traitement ACCReD fait l’objet d’une mise en relation avec le système de traitement informatisé des titres de circulation et des habilitations (STITCH) ayant pour finalité l’instruction des demandes et la gestion des habilitations, nationales et individuelles permettant aux personnels d’accéder aux zones aéroportuaires sensibles ainsi qu’avec l’application de gestion du répertoire informatisé des propriétaires et possesseurs d'armes (AGRIPPA). Si elle prend acte des précisions selon lesquelles seule une liste d’identités des personnes devant faire l’objet d’une enquête est transmise au traitement ACCReD dans ce cadre et qu’aucune consultation en retour de STITCH ou d’AGRIPPA n’est réalisée, la Commission estime - à des fins de transparence – que de telles mises en relation doivent être mentionnées dans le présent projet de décret. Elle relève également à terme, il est envisagé d’interconnecter le traitement ACCReD avec les deux traitements précités.
De manière générale, la Commission rappelle qu’elle devra être saisie de toute modification relative aux caractéristiques essentielles des traitements concernés, qui résulterait des évolutions apportées au dispositif ACCReD , dans les conditions prévues à l’article 33 de la loi du 6 janvier 1978 modifiée.
Sur les destinataires