AgentPublic/cnil huggingface dataset:
En outre, la Commission souligne que, à sa demande, le projet de décret sera modifié afin de prévoir expressément que les missions du magistrat référent s'exercent sans préjudice des compétences exercées par la CNIL en application des articles 41 et 44 de la loi du 6 janvier 1978 modifiée. Le ministère de l'intérieur a en effet insisté sur ce point et la Commission en prend dès lors acte. 
Cependant, ces précisions n'apparaissent pas de nature à répondre à toutes les interrogations de la Commission s'agissant de l'articulation exacte des missions du magistrat référent avec celles des procureurs de la République d'une part, et de la CNIL d'autre part. 
Dès lors, elle souligne la nécessité de mieux préciser le rôle confié au magistrat référent prévu à l'article 230-9 du code de procédure pénale et se tient à la disposition du Gouvernement pour participer à ce travail de définition.
En tout état de cause, dans la mesure où les activités de contrôle et de suivi de la mise à jour des traitements concernés concernent directement la protection des données des personnes concernées par ces fichiers, la Commission demande que l'article du projet de décret soit modifié afin de prévoir que le rapport annuel établi par le magistrat référent lui soit également communiqué.
Enfin, elle relève que le ministère de l'intérieur a ajouté au projet de décret, à la suite des demandes de précisions de la Commission, un article relatif au magistrat référent prévu à l'article 230-24 du code de procédure pénale, chargé de contrôler la mise en œuvre des logiciels de rapprochement judiciaire. Dans la mesure où les missions de ce dernier sont identiques à celles prévues pour le magistrat référent en matière de fichiers d'antécédents et d'analyse sérielle, la Commission estime que les observations relatives à celui-ci, en particulier la nécessité de mieux préciser son rôle et l'articulation de ses missions avec celles de la CNIL, valent également pour le magistrat référent en matière de logiciels de rapprochement judiciaire. 
Sur l'autorisation de mise en œuvre des logiciels de rapprochement judiciaire
Le projet de décret concerne enfin les modalités d'autorisation de mise en œuvre des logiciels de rapprochement judiciaire mentionnés aux articles 230-20 à 230-27 du code de procédure pénale. La Commission rappelle que la définition de ces modalités d'autorisation a en effet été rendue nécessaire par la décision du Conseil constitutionnel du 10 mars 2011 relative à la LOPPSI, qui précise notamment que  ces logiciels ne pourront conduire qu'à la mise en œuvre, autorisée par ces autorités judiciaires [le procureur de la République ou la juridiction d'instruction compétente], de traitements de données à caractère personnel particuliers, dans le cadre d'une enquête ou d'une procédure déterminée portant sur une série de faits et pour les seuls besoins de ces investigations .
Le dernier article contenu dans le projet de décret prévoit ainsi que la mise en œuvre de ces logiciels est autorisée par le magistrat saisi de l'enquête ou le magistrat chargé de l'instruction, conformément à la décision précitée du Conseil constitutionnel. Il est en outre prévu que l'autorisation du procureur de la République  peut résulter des instructions générales permanentes qu'il adresse aux services de police judiciaire, en application de l'article 12 du code de procédure pénale, aux fins de mettre en œuvre ces traitements pour les seuls besoins des procédures concernant les infractions dont ils sont saisis . Enfin, il dispose que le recours à un logiciel de rapprochement judiciaire fait l'objet d'une mention en procédure et que l'exploitation et le rapprochement d'informations ainsi opérés donneront lieu à l'établissement d'un rapport joint à la procédure.
La Commission prend acte des engagements du ministère de l'intérieur quant à l'effectivité du contrôle exercé par les autorités judiciaires concernant le recours à des logiciels de rapprochement judiciaire, conformément à la réserve d'interprétation du Conseil constitutionnel. Le ministère a notamment précisé que les instructions générales permanentes données par les procureurs de la République seront nécessairement détaillées s'agissant par exemple des infractions concernées, du niveau de préjudice de la victime ou de la localisation géographique des faits, et régulièrement renouvelées. Il a également indiqué que la mention en procédure du recours à un tel logiciel, l'établissement du rapport présentant les résultats des rapprochements effectués ainsi que la possibilité pour le magistrat compétent d'obtenir la copie informatique des données et informations exploitées, permettront aux magistrats du parquet ou de la juridiction d'instruction d'exercer un contrôle effectif, a priori et a posteriori, de l'utilisation des logiciels de rapprochement judiciaire. 
 
La Présidente
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés, 
Saisie le 29 novembre 2010 par la direction générale de la modernisation de l'État d'une demande d'avis sur un projet d'arrêté modifiant l'arrêté du 18 juin 2009 portant création d'un téléservice dénommé  mon.Service-Public.fr  ; 
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 27-II-4° ;
Vu l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives, notamment son article 7 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu le décret n° 2009-730 du 18 juin 2009 relatif à l'espace de stockage accessible en ligne pris en application de l'article 7 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu l'arrêté du 12 avril 2006 portant création d'un traitement automatisé de données à caractère personnel expérimental dénommé  portail mon.Service-Public  ;
Vu l'arrêté du 18 juin 2009 portant création par la direction générale de la modernisation de l'État d'un téléservice dénommé  mon.service-public.fr  ;
Vu la délibération n° 2005-280 du 22 novembre 2005 portant avis sur le projet d'ordonnance relatif aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;
Vu la délibération n° 2005-304 du 8 décembre 2005 portant avis sur le projet d'arrêté présenté par l'Agence pour le développement de l'administration électronique et créant le téléservice  monservicepublic.fr  ;
Vu la délibération n° 2008-577 du 18 décembre 2008 portant avis sur un projet de décret en Conseil d'État pris en application de l'article 7 de l'ordonnance du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives ;
Vu la délibération n° 2008-578 du 18 décembre 2008 portant avis sur un projet d'arrêté relatif à la création d'un téléservice dénommé  mon.Service-Public.fr  ;
Sur le rapport de Madame Isabelle FALQUE-PIERROTIN, Vice présidente, et les observations de Madame Elisabeth ROLIN, commissaire du Gouvernement ;
Émet l'avis suivant :
La Direction générale de la modernisation de l'État (DGME) a saisi la Commission nationale de l'informatique et des libertés le 29 novembre 2010 d'une demande d'avis sur un projet d'arrêté modifiant l'arrêté du 18 juin 2009 portant création d'un téléservice dénommé  mon.Service-Public.fr  (MSP).
Les modifications apportées par cet arrêté portent sur la finalité du portail  mon.Service-Public.fr , sur les catégories de données susceptibles d'être traitées et sur les destinataires de ces données, ceci afin de permettre l'accès à de nouveaux téléservices de l'administration électronique.
Sur les finalités du traitement 
Le développement de l'offre de services en ligne proposés par les administrations ces dernières années a permis de faciliter de nombreuses démarches administratives pour l'usager. En contrepartie, l'augmentation des services à disposition rend leur gestion de plus en plus complexe pour l'usager : multiplication des comptes et des mots de passe associés, diversité des sites Internet offrant ces services, etc.
Dans un souci de simplification du paysage de l'administration en ligne,  mon.Service-Public.fr  mis en place par l'arrêté du 18 juin 2009, se présente comme le cadre de référence permettant aux usagers d'accéder via un portail unique à un ensemble de téléservices et d'accomplir des démarches en ligne. 
Le projet d'arrêté soumis à la Commission modifie l'article 2 de l'arrêté du 18 juin 2009 relatif aux finalités du traitement  mon.Service-Public.fr  et ajoute une nouvelle finalité :  Mettre à disposition des usagers un ensemble de téléservices leur permettant d'accomplir leurs démarches administratives en ligne auprès des autorités compétentes (...) .L'ajout de cette nouvelle finalité permet de mettre à la disposition des usagers plusieurs téléservices (accessibles via des sites différents) et qui seront désormais raccordés à la plate-forme  mon.Service.Public.fr  (utilisation de cette seule adresse pour accéder à l'ensemble des téléservices). Ainsi, le téléservice  serveur de formulaires  mis en œuvre par la DGME et ayant pour finalité de permettre l'accomplissement par les usagers de démarches administratives en ligne et d'assurer leur transmission électronique aux services administratifs (arrêté du 22 juillet 2007) sera désormais intégré à  mon-Service-Public.fr . Il en est de même pour les téléservices  changement d'adresse en ligne  (arrêté du 16 mai 2005) et  demande de subvention  (arrêté du 9 novembre 2007) également mis en œuvre par la DGME.
La Commission considère que l'ajout de cette nouvelle finalité est légitime. Elle relève cependant que le projet d'arrêté qui lui est soumis fait référence à un  ensemble de téléservices  sans en donner une liste précise et prend acte que cette liste sera accessible sur  mon.Service-Public.fr .
Enfin, la Commission rappelle que les conditions d'accès et d'utilisation des services par les usagers et l'administration demeurent inchangées. Elles sont définies par l'article 2 de l'arrêté du 18 juin 2009 pris après avis de la Commission (Délibération n° 2008-578 du 18 décembre 2008). 
Sur les données traitées
Le projet d'arrêté soumis à la Commission insère un nouvel alinéa à l'article 3 de l'arrêté du 18 juin 2009 relatif à l'accomplissement des démarches administratives.
En premier lieu, cet alinéa prévoit que les catégories de données à caractère personnel enregistrées par  mon.Service-Public.fr  sont les suivantes :  les informations ou catégories d'informations à caractère personnel nécessaire à l'accomplissement des démarches administratives mentionnées à l'article 3 et prévues par un texte légal ou réglementaire . 
La Commission considère qu'il serait préférable de parler de  données ou de catégories de données  à caractère personnel plutôt que  d'informations .
Par ailleurs, si le projet d'arrêté n'énumère pas de façon exhaustive les données à caractère personnel enregistrées, il prévoit une double condition ces données devant à la fois être  nécessaires à l'accomplissement des démarches administratives  et  prévues par un texte légal ou réglementaire . En outre, il est prévu qu'une liste de ces données soit accessible via le site  mon.Service-Public.fr . 
En second lieu, le projet d'arrêté prévoit que  lorsque le traitement de données sensibles au sens de l'article 8 de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, est nécessaire à l'accomplissement d'une démarche administrative en ligne, la confidentialité de ces données est particulièrement renforcée par des mesures techniques de sécurité supplémentaires .
En effet, la Commission avait appelé l'attention de la DGME sur la question de l'éventuel traitement de données sensibles, notamment relatives à la santé des personnes dans le cadre de l'accomplissement des démarches administratives. Parmi les démarches qui pourraient à terme être réalisés en ligne, figure par exemple la demande d'obtention ou de renouvellement de la carte de personne handicapée auprès des maisons départementales des personnes handicapées (MDPH), à l'occasion desquelles un certificat comportant des informations médicales détaillées, est demandé à titre de pièce justificative.
La DGME a indiqué à la Commission que s'agissant des informations relevant de l'article 8 de la loi du 6 janvier 1978 modifiée, il n'était pas prévu de les exclure a priori, dans la mesure où elles peuvent être demandées dans le cadre de services offerts aux personnes, notamment handicapées.
Sur les destinataires des données
En 2009, les partenaires de  mon.Service-Public.fr  étaient principalement issus de la sphère sociale (Caisse des dépôts et consignations, direction des retraites ; Caisse des dépôts et consignations, direction du développement du territoire ; Caisse nationale d'assurance vieillesse des travailleurs salariés ; Caisse centrale de la mutualité sociale agricole ; la Caisse nationale d'allocations familiales ; la Caisse nationale de l'assurance maladie des travailleurs salariés ; l'Agence centrale des organismes de sécurité sociale ; Pôle emploi).
La DGME a souhaité désormais élargir sont réseau de partenaires à toutes les administrations (ministères, organismes sociaux, collectivités territoriales, etc.) qui proposent des services en ligne nécessitant une authentification de l'usager et qui ont donc vocation à rejoindre mon.service-public.fr.
Ainsi, le projet d'arrêté soumis à la Commission modifie l'article 4 de l'arrêté du 18 juin 2009 portant création du téléservice  mon.Service-Public.fr  qui prévoit que  les destinataires ou catégories de destinataires des informations enregistrées par le traitement sont les seules autorités légalement ou réglementairement habilitées à traiter les démarches administratives des usagers du téléservice .
La Commission relève que l'article 2 de l'arrêté précité prévoit que les partenaires ne peuvent se voir communiquer que les informations et documents dont ils ont à connaître en vertu d'un texte législatif ou réglementaire. 
En outre, s'agissant de certains services comme le changement d'adresse, elle rappelle que le choix des destinataires ayant communication des données doit rester sous le contrôle exclusif de l'utilisateur.
Sur l'adhésion au téléservice  mon.Service-Public.fr 
Afin de simplifier les démarches que les autorités administratives doivent accomplir en vue de leur raccordement au portail, la Commission avait préconisé dans sa délibération n° 2008-578 du 18 décembre 2008 que l'arrêté portant création du téléservice  mon.Service-Public.fr  constitue un acte réglementaire unique au sens de l'article 27-III de la loi du 6 janvier 1978 modifiée.
L'adhésion au téléservice  mon.Service-Public.fr  par les autorités administratives est ainsi subordonné à l'envoi préalable à la CNIL d'une déclaration faisant référence à l'arrêté du 18 juin 2009 modifié. Cette déclaration dite  de conformité à un acte réglementaire unique  s'effectue par téléprocédure sur le site internet de la CNIL.
La Commission rappelle que l'arrêté du 18 juin 2009 ne couvre pas la mise en œuvre de traitements de données à caractère personnel propres à chaque autorité, qui restent soumis à l'accomplissement de formalités préalables prévues au chapitre IV de la loi du 6 janvier 1978 modifiée. 
En outre l'adhésion au téléservice  mon.Service-Public.fr  par des autorités autres qu'administratives est également soumise à l'accomplissement de formalités préalables auprès de la Commission. 
Sur la sécurité et la confidentialité des données
Le projet d'arrêté soumis à la Commission et le dossier technique associé ne modifient pas les mesures de sécurités qui avaient été décrites par la DGME lors de l'examen du projet d'arrêté portant création du téléservice  mon.Service-Public.fr . La Commission renvoie par conséquent aux observations qu'elle avait formulées dans sa délibération n° 2008-578 du 18 décembre 2008.
Par ailleurs, la Commission prend acte du fait que la DGME travaille en étroite collaboration avec l'Agence Nationale de la Sécurité des Systèmes d'Information (ANSSI) afin d'atteindre les niveaux de sécurité optimum préconisés par le référentiel général de sécurité (RGS).
Toutefois, en raison du risque d'utilisation à des fins frauduleuses de l'espace de stockage par des usagers peu scrupuleux se prévalant d'une garantie de l'administration sur les données stockées et en raison du nombre croissant d'usurpations d'identité, la Commission souhaite appeler l'attention de la DGME sur les mesures à prendre afin que les données stockées dans cet espace (pièces d'identité notamment) ne puissent être considérées comme ayant été vérifiées par l'administration. 
Sur la durée de conservation des informations
Le projet d'arrêté soumis à la Commission ajoute un nouvel alinéa à l'article 6 de l'arrêté du 18 juin 2009. Cet alinéa prévoit que les données personnelles saisies par l'usager lors de démarches administratives et transmises aux destinataires concernés sont conservées pendant une durée maximale de 30 jours et sont détruites à expiration de ce délai.
Cette durée n'apparaît pas excessive et n'appelle pas d'observations de la part de la Commission. 
Sur les droits des personnes
La Commission constate, au vu des éléments du dossier, que les mentions d'information prévues par la loi du 6 janvier 1978 modifiée ont été intégrées sur le portail  mon.service-public.fr  dans les pages relatives aux conditions générales d'utilisation et aux questions fréquemment posées (FAQ). 
Enfin, elle appelle l'attention de la DGME sur l'obligation de faire figurer les mentions d'information prévues à l'article 32 de la loi du 6 janvier 1978 modifiée sur chacune des pages contenant des formulaires de collecte de données à caractère personnel, notamment celles relatives à l'inscription au service ou à l'enregistrement d'informations personnelles dans l'espace de stockage.
Le président
 
Alex TÜRK
La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de la justice et des libertés, le 8 avril 2001, d'un projet de décret en Conseil d'Etat renforçant l'efficacité et la sécurité du bureau d'ordre national automatisé des procédures judiciaire dénommé  Cassiopée  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 26 ;
Vu la loi n°2004-204 du 9 mars 2004 portant adaptation de la justice aux évolutions de la criminalité ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2009-528 du 11 mai 2009 autorisant la mise en œuvre d'un traitement automatisé dénommé  Cassiopée  ;
Vu le code de procédure pénale, notamment les articles 48-1 et R15-33-66-4 à R15-33-66-11 ;
Vu la délibération n°2009-170 du 26 mars 2009 portant avis sur un projet de décret en Conseil d'Etat relatif au bureau d'ordre national automatisé des procédures judiciaires et au traitement dénommé  Cassiopée  ;
Vu la délibération n°2011-204 du 7 juillet 2011 portant avis sur un projet de décret en Conseil d'Etat relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé  traitement de procédures judiciaires  (TPJ) ;
Après avoir entendu Madame Claire DAVAL, commissaire, en son rapport, et Madame Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant
La Commission a été saisie pour avis le 8 avril 2011 par le ministère de la justice d'un projet de décret en Conseil d'Etat renforçant l'efficacité et la sécurité de ce traitement  Cassiopée .
L'article 48-1 du code de procédure pénale, issu de la loi du 9 mars 2004 dite  loi Perben II , a prévu la création du bureau d'ordre dénommé  Cassiopée , fichier dans lequel sont enregistrées les informations nominatives relatives aux plaintes et dénonciations reçues par les procureurs de la République ou les juges d'instruction, ainsi que les suites qui leur ont été réservées. Le décret n° 2009-528 du 11 mai 2009, pris après avis de la Commission, a déterminé les modalités d'application de cet article 48-1 du code de procédure pénale, dorénavant codifiées aux articles R15-33-66-4 et suivants de ce même code.
L'un des objectifs de ce traitement est de constituer une chaîne pénale complète avec des échanges inter-applicatifs permettant, à terme, une alimentation en amont de Cassiopée par les services enquêteurs et, en aval, une alimentation par Cassiopée des fichiers d'antécédents judiciaires, et notamment du traitement TPJ du ministère de l'intérieur. Cela permettra d'assurer un fonctionnement aussi fluide que possible de cette chaîne. Ces interconnexions ont également vocation à pallier certains des dysfonctionnements constatés par la Commission lors des contrôles du traitement STIC menés en 2007 et 2008.
A titre préliminaire, la Commission souligne toutefois les importantes difficultés rencontrées par le ministère dans le déploiement de cette application, engendrant ainsi des dysfonctionnements au sein des juridictions. Ces derniers ont été relevés à plusieurs reprises par certaines organisations professionnelles, ou encore dans le cadre de rapports parlementaires. 
Au regard de l'ambition de ce projet et des enjeux importants en termes de protection des données à caractère personnel que cette application comporte, la Commission demande donc à être informée régulièrement des évolutions de ce déploiement et des différentes mesures prises par le ministère pour pallier les problèmes rencontrés en particulier par les juridictions. 
Sur l'extension des destinataires
Les articles 2, 3 et 4 du projet de décret visent à élargir la liste des personnes habilitées à accéder directement au traitement, ainsi que la liste des autres destinataires.
Sur l'accès à Cassiopée par les délégués du Procureur
L'article 2 du projet de décret vise à permettre aux délégués du procureur d'accéder au traitement. La mission de ces délégués, en application de l'article 41-1 du code de procédure pénale, est de mettre en œuvre, à la demande et sous le contrôle du procureur, des mesures alternatives aux poursuites décidées par ce dernier pour les infractions de faible gravité. Cet accès leur permettra ainsi de consulter les antécédents des auteurs dans les affaires qui leur sont confiées, et de saisir les données correspondantes aux actes qu'ils réalisent dans le cadre de leur mandat. 
La Commission prend acte que cet accès à Cassiopée ne concerne que les délégués du procureur, et non les médiateurs du procureur de la République, qui en application de l'article 41-1 du code de procédure pénale, peuvent également mettre en œuvre des mesures alternatives aux poursuites.
Les délégués du procureur seront uniquement habilités de manière à ce qu'ils puissent initier un dossier et traiter informatiquement la diligence correspondant à leur intervention. Le ministère a en effet précisé qu'ils n'auront pas besoin de procéder à d'autres consultations, et notamment du bureau d'ordre pénal national.