AgentPublic/cnil huggingface dataset:
Constatant que le fonctionnement complet du dispositif prévu reste subordonné à homologation, il est préconisé, dans le souci qu’il réponde entièrement à la finalité recherchée, de prévoir une expérimentation pendant un an : au terme de cette période, un rapport serait établi dont communication sera faite à la CNIL, en vue d’une mise en œuvre adéquate.
Sur les données enregistrées
Les données collectées, énumérées à l’article 2 du projet d’arrêté portant création du traitement projeté, sont relatives pour tous les véhicules de transport routier, au poids total, par essieu et par groupe d’essieux, à la vitesse instantanée et moyenne, aux date et heure de passage et à la catégorie du véhicule. Par ailleurs, pour les seuls véhicules de transport routiers présumés en infraction de plus de 3,5 tonnes ou de plus de 9 places les données enregistrées concernent également, en plus des données précitées les nom, prénom et adresse des propriétaires et, le cas échéant, la raison sociale, la photographie du véhicule et de sa plaque d’immatriculation.
La Commission estime qu’il y aurait lieu de prévoir au I de l’article 2 que sont enregistrées les photographies du véhicule, « à l’exclusion des passagers ».
Sur les destinataires du traitement
Il s’agit uniquement des contrôleurs des transports terrestres du Ministère des transports, de l’équipement, du tourisme et de la mer, individuellement désignés et spécialement habilités. 
Sur les durées de conservation
Les informations sont stockées sur l’EPM pendant une journée, cette durée pouvant être allongée à une semaine en cas de problèmes techniques sur l’EPM et sur le serveur de la Direction générale de la Mer et des Transport du Ministère des transports, de l’équipement, du tourisme et de la mer pendant trois mois maximum, le temps nécessaire pour la réalisation d’un contrôle en entreprise. 
Sur les sécurités du traitement
La Commission considère que les éléments qui lui ont été communiqués sur la sécurité globale du dispositif répondent aux impératifs de sécurité en la matière et sont satisfaisants au regard de la finalité du traitement mis en oeuvre.
S’agissant plus précisément des connexions entre l’EPM et le MRPS et les centres d’études techniques de l’équipement, le Ministère utilise un protocole sécurisé de type https. 
Il est également prévu un cryptage des images et données à l’aide d’un algorithme à clés privées symétriques de 128 bits, l’authenticité des images étant garantie par un mécanisme de signature électronique du fichier.
Sur l’information et le droit d’accès des personnes
Dans un premier temps, il était prévu que les personnes seraient informées des modalités d’exercice de leur droit d’accès par une affiche dans les locaux des services de contrôle des directions régionales de l’équipement. Dans un deuxième temps, le Ministère de l’écologie, du développement et de l’aménagement durable invoquant les dispositions prévues au VI de l’article 32 de la loi du 6 janvier 1978 modifiée a précisé qu’il n’entendait pas mettre en œuvre le droit à « l’information des personnes qui ont potentiellement commis des infractions » .
Les dispositions visées s’appliquant aux traitements de données, la Commission considère que, en l’espèce, il devra tout de même être procédé à la diffusion d’une information générale auprès de la profession.
Le Président 
Alex TURK
Dossier n° 1 240 407
La Commission nationale de l’informatique et des libertés,
Saisie par le ministère de l’intérieur d’une demande d’avis portant sur le projet d’arrêté créant le fichier national des interdits de stade (FNIS) ;
Vu la convention n°108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code du sport ; notamment ses articles L. 322-11 et L. 332-16 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel ;
Vu la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2006-288 du 15 mars 2006 fixant les modalités d’application de l’article 42-12 de la loi n° 84-610 du 16 juillet 1984 relative à l’organisation et à la promotion des activités physiques et sportives ;
Vu le décret n° 2006-1549 du 8 décembre 2006 pris pour l’application de l’article 3 de la loi n° 2006-784 du 5 juillet 2006 relative à la prévention des violences lors des manifestations sportives ;
Après avoir entendu M. François GIQUEL, commissaire, en son rapport, et Mme Catherine POZZO di BORGO, commissaire adjointe du gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie par le ministère de l’intérieur d’une demande d’avis relative au projet d’arrêté créant le traitement automatisé de données à caractère personnel relatif aux personnes interdites de stade (FNIS).
La Commission considère que ce traitement relève de l’article 26 de la loi du 6 janvier 1978 modifiée dans la mesure où il intéresse la sécurité publique et qu’il a pour objet la prévention, la recherche et l’exécution de condamnations pénales.
Sur la finalité du traitement
La Commission prend acte des indications du commissaire du gouvernement selon lesquelles l’article 1er du projet d’arrêté précisant que la finalité du traitement est de « prévenir et lutter contre les violences lors des manifestations sportives, notamment en garantissant la pleine exécution des mesures d’interdictions administratives et judiciaires de stade, en facilitant les contrôles aux abords et dans les enceintes sportives et en réalisant des statistiques » sera complété des termes suivants : « en facilitant le suivi et la surveillance des supporteurs à risque ayant déjà fait l'objet d'une mesure interdiction, en permettant à l'autorité préfectorale, le cas échéant, de mieux apprécier le comportement d'ensemble adopté par les intéressés à l'occasion de différentes manifestations sportives et en réalisation des statistiques ».
Elle relève que les informations du FNIS, à ces fins, sont extraites des fiches individuelles du fichier des personnes recherchées (FPR). 
Elle considère qu’au regard des précisions ajoutées, la finalité du traitement est légitime. 
Sur les données enregistrées dans le traitement
Les données enregistrées sont relatives à la personne (identité, date et lieu de naissance, nationalité, adresse, photographie) et à la mesure d’interdiction (nature administrative ou judiciaire, date, durée, champ géographique, type de manifestations concernées, obligation de pointage, lieu du pointage…).
Parmi les données, figure également l’enregistrement du club de football, du championnat ou de l’association de supporters fréquentés par la personne. La Commission considère qu’il convient de préciser l’origine et le statut de cette information et d’ajouter, en conséquence, un 2° à l’article 2 du projet d’arrêté, rédigé comme suit : « 2° Données relatives au club de football, au championnat ou à l’association de supporters fréquentés par la personne, telles qu’elles ressortent des déclarations de l’intéressé ou de la procédure ».
La Commission prend acte, s’agissant de la photographie, que le dernier alinéa du 1° de l’article 2 du projet d’arrêté précise qu’il n’y aura pas de dispositif de reconnaissance faciale à partir de l’image numérisée de la photographie.
Sur l’origine des données
Les données sont extraites du FPR, qui, depuis l’arrêté modificatif du 2 septembre 2005, enregistre les photographies des personnes concernées. 
Toutefois, le projet d’arrêté créant le FNIS prévoit aussi l’enregistrement « des photographies extraites des moyens de vidéosurveillance implantés dans les enceintes sportives ».
Si le III de l’article 10 de la loi du 21 janvier 1995 permet effectivement un accès des services de police et de gendarmerie aux systèmes de vidéosurveillance dans le cadre de leurs missions, l’alimentation définitive du fichier à partir d’images consultées sur la bande vidéo et qui en seraient extraites pour être affectées à un nom dans le fichier constituerait une opération nouvelle et d’une nature différente.
La Commission constate que les modalités de prise en compte de ces photographies et de leur rattachement à une personne nommément inscrite dans le FNIS ne sont pas précisées, s’agissant en particulier des mesures prises pour garantir l’authentification de la personne.
Dans ces conditions, la Commission estime qu’il y a lieu en l’état de disjoindre le second alinéa de l’article 4 du projet d’arrêté. Elle prend acte, conformément aux engagements du commissaire du gouvernement, qu’une circulaire, sur laquelle la CNIL sera préalablement consultée, définira les modalités d’utilisation des photos extraites des moyens de vidéosurveillance.
Par ailleurs, l’article 3 du projet d’arrêté dispose que « dans le cadre des engagements internationaux, le fichier est également constitué des données à caractère personnel issues des traitements gérés par des organismes de coopération internationale en matière de police judiciaire ou des services de police étranger qui présentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux ».
Les données du traitement auront, notamment, pour origine les pays signataires du traité de Prüm (visé par l’arrêté, bien qu’il ne soit pas encore ratifié par la France) c’est à dire l’Allemagne, l’Espagne, la France, le Luxembourg, les Pays-Bas et l’Autriche mais aussi tout autre pays dans le cadre de conventions particulières. L’article 14 de ce traité prévoit que les Parties contractantes se transmettent mutuellement des données relatives à des personnes, lorsque des condamnations définitives ou d’autres faits justifient la présomption que ces personnes vont commettre des infractions pénales dans le cadre de manifestations de grande envergure transfrontalière, en particulier dans le domaine sportif, ou présentent un danger pour l’ordre ou la sécurité publics. La Commission a demandé, dans son avis du 28 septembre 2006 sur le projet de loi de ratification du traité de Prüm, que les catégories de personnes concernées soient précisées.
S’il est légitime que les autorités françaises aient connaissance des personnes faisant l’objet d’une mesure d’interdiction prise par l’autorité compétente d’un Etat étranger, compte tenu de la mobilité et du caractère international des manifestations sportives, il serait cependant utile que le ministère précise l’usage exact de ces données, quel que soit le cadre conventionnel qui en constitue la base, car ces mesures ne sont applicables a priori que sur le territoire de l’Etat qui a prononcé l’interdiction.
La Commission estime donc que l’article 3 du projet d’arrêté devrait être précisé afin qu’il indique les catégories de personnes concernées par ces transferts ainsi que les usages exacts qui seront faits des données. 
Sur la durée de conservation
La Commission constate que la durée de conservation fixée par l’article 5 du projet d’arrêté est de 5 ans « à compter de l’expiration de la dernière mesure prononcée », alors que dans le FPR la durée de conservation est toujours limitée à la durée de l’interdiction.
Le ministère de l’intérieur a précisé que les services de police doivent pouvoir disposer de toutes les informations sur les mesures administratives et judiciaires d’interdiction de stade prononcées à l’égard d’une personne, en cours ou antérieures, afin de permettre à l’autorité judiciaire ou préfectorale d’éclairer sa décision sur le comportement passé de l’intéressé en la matière et d’adapter en conséquence les nouvelles mesures . Ainsi il est prévu de conserver dans la base de données les informations à l’issue de la durée de validité de la mesure. Le ministère considère que cette durée est nécessaire et proportionnée au comportement de certains supporters.
La Commission considère, que compte tenu  des précisions apportées à l’article 1er du projet d’arrêté, la durée de conservation des informations enregistrées de cinq ans peut être admise.
Sur les destinataires
Le I de l’article 6 du projet d’arrêté mentionne comme destinataires, tout d’abord, les agents qui accèdent directement au FNIS, c’est-à-dire les fonctionnaires de la sécurité publique et des renseignements généraux individuellement désignés et dûment habilités, qui constituent les « référents hooligan » de sécurité.
En deuxième lieu, le II de l’article 6 du projet d’arrêté précise que « peuvent également accéder à la totalité, ou, à raison de leurs attributions ou de leur droit à en connaître pour l’exercice de leur mission, à une partie des données mentionnées aux articles 2 et 3 (…) » les autres autorités (préfectures, justice) ou partenaires institutionnels de sécurité (autres services de police, gendarmerie).
La Commission considère qu’il est nécessaire de modifier la rédaction de l’article 6 du projet d’arrêté afin d’indiquer avec précision les données auxquelles accèdent les destinataires précédemment énumérés ainsi que le caractère indirect et ponctuel de cette communication, comme le prévoient les annexes du dossier.
En ce qui concerne les fédérations sportives, qui figurent aux termes du II de l’article 6 du projet d’arrêté dans la liste des destinataires qui « peuvent accéder à la totalité ou (..) à une partie des données » du fichier, la Commission rappelle que le décret n° 2006-1549 du 8 décembre 2006, pris pour l’application de l’article 3 de la loi du 5 juillet 2006, encadre la possibilité donnée aux préfets de « communiquer » aux fédérations sportives et aux associations de supporters agréées un certain nombre d’informations limitativement énumérées concernant les personnes faisant l’objet d’une interdiction administrative, ce qui semble exclure un accès, même limité, de ces fédérations au FNIS lui-même.
Le projet d’arrêté prévoit également que les organismes de coopération internationale peuvent être destinataires d’une partie des données à caractère personnel, dans les conditions énoncées à l’article 24 de la loi du 18 mars 2003 pour la sécurité intérieure (c’est-à-dire à des organismes présentant, pour la protection des données personnelles, des garanties équivalentes à celles du droit interne), « sans préjudice des dispositions conventionnelles particulières ». La Commission demande que cette formulation du projet d’arrêté soit précisée.
Sur l’information des personnes
La Commission prend acte que le droit d’accès aux données à caractère personnel s’exercera indirectement, dans les conditions prévues par l’article 41 de la loi du 6 janvier 1978.
Elle demande que les personnes faisant l’objet d’un arrêté préfectoral ou d’un jugement qui doit leur être notifié au terme d’une procédure contradictoire soient informées de l’enregistrement de leurs données dans le FNIS et des autres informations concernant le traitement.
Sur les sécurités
La Commission prend acte qu’il est prévu la mise en place d’un protocole https pour les accès à l’application. Elle demande que cette modification soit réalisée dans les plus brefs délais afin de renforcer les sécurités du système.
Le président
Alex TURK
La Commission nationale de l'informatique et des libertés,
Saisie le 4 mai 2007 par le ministère de l’Education nationale, de l’enseignement supérieur et de la recherche d’un projet de décret en Conseil d’Etat, pris en application de l’article 12 de la loi na 2007-297 du 5 mars 2007 relative à la prévention de la délinquance ; 
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’éducation , notamment son article L. 131-6 ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel ;
Vu la loi na 2007-297 du 5 mars 2007 relative à la prévention de la délinquance ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu Monsieur Jean-Marie COTTERET, commissaire en son rapport et Madame Catherine POZZO di BORGO, commissaire adjointe du Gouvernement en ses observations ;
Emet l’avis suivant :
Le Ministère de l’Education nationale a saisi pour avis la Commission nationale de l'informatique et des libertés d’un projet de décret en Conseil d’Etat, pris pour l’application de l’article L.131-6 du code de l’éducation et portant sur le traitement automatisé de données à caractère personnel relatif au recensement des enfants soumis à l’obligation scolaire et à l’amélioration du suivi de l’obligation d’assiduité scolaire. 
Les dispositions nouvelles de cet article ont été introduites par l’article 12 de la loi na 2007-297 du 5 mars 2007 relative à la prévention de la délinquance.
Au terme de cet article, est prévue la possibilité pour le maire de mettre en œuvre un traitement automatisé de données à caractère personnel où sont enregistrées les données à caractère personnel relatives aux enfants en âge scolaire domiciliés dans la commune, qui lui sont transmises par les organismes chargés du versement des prestations familiales ainsi que par l'inspecteur d'académie en application de l'article L. 131-8 et par le directeur ou la directrice de l'établissement d'enseignement en application du même article ainsi qu'en cas d'exclusion temporaire ou définitive de l'établissement ou lorsqu'un élève inscrit dans un établissement le quitte en cours ou en fin d'année.
Sur les finalités du traitement
Le traitement a pour objet de permettre au maire de procéder au recensement des enfants de sa commune soumis à l’obligation scolaire et d’être informé des situations se rapportant à l’inscription et à l’absentéisme scolaires de ces enfants, afin de prendre des mesures à caractère social ou éducatif dans le cadre des compétences qui lui sont conférées par le code de l’action sociale et des familles. Ces mesures peuvent relever directement du ressort du maire, ou consister en la saisine d’une autre autorité par le maire, en particulier le président du Conseil général. 
La Commission prend acte de ce que les modalités de mise en œuvre de ces mesures à caractère social ou éducatif ne relèvent pas du présent projet de décret, et de ce que les informations y afférentes ne sont pas intégrées dans le fichier tenu par le maire.
Sur l’origine des données
Le deuxième alinéa de l’article L. 131-6 du code de l’éducation susvisé précise que les données enregistrées dans le fichier tenu par le maire lui sont « transmises par les organismes chargés du versement des prestations familiales ainsi que par l'inspecteur d'académie en application de l'article L. 131-8 et par le directeur ou la directrice de l'établissement d'enseignement en application du même article ainsi qu'en cas d'exclusion temporaire ou définitive de l'établissement ou lorsqu'un élève inscrit dans un établissement le quitte en cours ou en fin d'année. »
En application de cette disposition, l’article 3 du projet de décret précise la nature des données transmises, à sa demande, aux maires. 
Compte tenu de la sensibilité des données transmises, la Commission estime que le projet de décret devrait préciser qu’en cas de transmission par voie électronique, celle-ci devrait être sécurisée. 
Sur la nature des données à caractère personnel traitées 
L’article 2 du projet de décret énumère les catégories de données qui sont enregistrées dans le traitement. Celles-ci sont relatives à l’identification de l’enfant, de ses responsables légaux et de son établissement scolaire. Elles portent également sur l’absentéisme et les mesures à caractère disciplinaire (avertissement, exclusion temporaire ou définitive) prises. 
La Commission prend acte qu’aucune donnée relative au suivi des mesures à caractère social ou éducatif n’a vocation à figurer dans le traitement. 
Elle prend acte également de ce que le maire n’a pas connaissance des motifs d’absentéisme, ni de ceux pour lesquels des mesures à caractère disciplinaire (avertissement, exclusion temporaire ou définitive) ont été prises. 
Sur l’accès au traitement et les destinataires des informations 
La Commission prend acte que seuls les élus ayant reçu délégation du maire pour les affaires scolaires ou sociales et les agents dûment habilités de la mairie pourront accéder au traitement, dans la mesure où cet accès sera nécessaire à l’exercice de leurs missions.
En outre, seuls les agents du centre communal d’action sociale et les agents de la caisse des écoles, l’inspecteur d’académie, le président du conseil général ou son ou ses représentants et les agents des services départementaux chargés de l’aide et de l’action sociale dûment habilités, le coordonnateur prévu à l’article L.121-6-2 du code de l’action sociale et des famille seront habilités à recevoir communication des données enregistrées, dans la mesure où cette communication sera nécessaire à l’exercice de leur missions dans le cadre de la mise en œuvre de mesures à caractère social ou éducatif. 
Sur la durée de conservation des données 
L’article 4 du projet de décret prévoit que les données figurant aux 1°, 2°, 3° et 4° de l’article 2, à savoir celles relatives à l’identification de l’enfant, de ses responsables légaux et de son établissement scolaire, ne seront pas conservées au-delà de l’année scolaire au cours de laquelle l’enfant atteint l’âge de seize ans. 
Concernant les informations relatives à l’absentéisme et aux sanctions et mesures à caractère disciplinaire (avertissement, exclusion temporaire ou définitive) figurant aux 5°, 6° et 7° de l’article 2 du projet de décret, elles ne seront pas conservées au delà de la fin de l’année scolaire au cours de laquelle elles ont fait l’objet du traitement automatisé.
Ces dispositions n’appellent pas d’observations particulières de la Commission.
La CNIL prend acte également que les données seront effacées lorsque l’enfant ne réside plus dans la commune. 
A cet égard, la Commission demande que le projet de décret rappelle les dispositions prévues à l’article R.131-3 du code de l’éducation selon lesquelles les directeurs d’école et les chefs d’établissements adressent au maire l’état des mutations des enfants fréquentant leur établissement à la fin de chaque mois. 
Sur l’information des personnes
La Commission relève que l’article 6 du projet de décret prévoit que le droit d’accès et de rectification s’exerce auprès du maire. L’ article 7 précise également que le droit d’opposition prévu à l’article 38 de la loi du 6 janvier 1978 susvisée ne s’applique pas au présent traitement.
La Commission observe que d’autres acteurs que le maire sont concernés par ce dispositif, à savoir, les établissements d’enseignement, les inspections académiques et les organismes chargés du versement des prestations familiales. 
En conséquence, la Commission appelle l’attention des différents ministres chargés de l’exécution du présent décret sur la nécessité, pour les différents acteurs, d’informer les personnes auprès desquelles sont collectées des données de ce que ces dernières peuvent être communiquées au maire à des fins de contrôle de l’obligation scolaire et de suivi de l’absentéisme.
Sur les formalités préalables applicables