AgentPublic/cnil huggingface dataset:
Les droits des personnes s’exercent auprès du service vigilances du service des affaires réglementaires de la société COMPTOIR NOUVEAU DE LA PARFUMERIE.
 
La Commission estime que ces modalités d’information et d’exercice des droits sont satisfaisantes.
 
Sur les mesures de sécurité
Chaque utilisateur dispose d'un identifiant qui lui est propre, toutefois, le responsable de traitement ne précise pas si des profils d’habilitation définissant les fonctions ou les types d’informations accessibles à un utilisateur sont mis en place. La commission recommande de mettre en place ces habilitations.
 
Le responsable de traitement doit mettre en place une politique de mot de passe conforme aux recommandations de la Commission (utilisation d’un mot de passe d’une longueur minimale de huit caractères et composé de trois types de caractères distincts avec mesures de blocage ou de ralentissement en cas d’essais infructueux ou douze caractères en cas d’absence de ces mesures).
 
La confidentialité des données est assurée par la mise en œuvre d’un dispositif de chiffrement. La Commission recommande de chiffrer également les sauvegardes.
 
Les accès à l’application sont tracés.
 
Les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 
Sur les autres caractéristiques du traitement
Les données sont conservées jusqu’à la clôture du cas de cosmétovigilance et pendant une durant maximale de dix ans à compter du retrait du produit concerné sur le marché. A l’expiration de ce délai, les données sont supprimées ou archivées sous une forme anonymisée.
 
La Commission estime que cette durée de conservation est pertinente au regard de la finalité poursuivie par le traitement.
 
Autorise, conformément à la présente délibération, la société COMPTOIR NOUVEAU DE LA PARFUMERIE à mettre en œuvre le traitement décrit ci-dessus.
 
 
Pour la Présidente,
Le Vice-Président Délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant le projet de loi pour une immigration maîtrisée et un droit d’asile effectif ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile, notamment ses articles L. 611-1-1, L. 611-3, L. 711-6, L. 712-2, L. 712-3, L. 713-5 et L. 744-6 ;
Vu le code de procédure pénale, notamment ses articles 78-1 et suivants ;
Vu le code de la sécurité intérieure, notamment son article L. 114-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 11-4-a) ;
Vu la loi n° 2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes, notamment son article 22 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
En application de l’article 11-4-a) de la loi du 6 janvier 1978 modifiée, la Commission a été saisie par le ministère de l’intérieur d’une demande d’avis sur les articles 4, 9 et 16 du projet de loi pour une immigration maîtrisée et un droit d’asile effectif. Conformément à l’article 22 de la loi du 20 janvier 2017 susvisée, cet avis sera rendu public.
Sur l’article 4 du projet de loi
L’article 4 du projet de loi a pour objet de compléter l’article L. 114-1 du code la sécurité intérieure (CSI) afin d’autoriser la réalisation d’enquêtes administratives pour l’application des articles L. 711-6, L. 712-2 et L. 712-3 du code de l’entrée et du séjour des étrangers et du droit d’asile (CESEDA). Ce projet est justifié par le souhait du ministère de renforcer l’effectivité des articles précités du CESEDA en tant qu’ils prévoient la possibilité pour l’Office français de protection des réfugiés et apatrides (OFPRA) d’exclure du bénéfice du statut de réfugié ou de la protection subsidiaire les personnes dont la présence sur le territoire national représente une menace grave pour la sécurité publique, la sûreté de l’Etat ou la société.
A titre liminaire, la Commission rappelle que la réalisation d’enquêtes administratives doit être entourée de garanties fortes permettant d’assurer la stricte proportionnalité du dispositif et de prévenir le risque que des personnes soient écartées de manière injustifiée de la possibilité d’exercer un droit. La prévention de ce risque apparaît d’autant plus importante que les enquêtes administratives envisagées ne viseraient pas des personnes souhaitant accéder à certaines activités professionnelles, à des zones ou à des produits particuliers, mais concerneraient des individus souhaitant faire valoir, compte tenu d’un risque de persécution ou de menace grave sur leur vie, l’exercice d’un droit conventionnel ou constitutionnel dont dépend leur droit au séjour sur le territoire français.
Au regard de ces enjeux, l’article 4 du projet de loi appelle plusieurs observations de la part de la Commission.
En premier lieu, la Commission relève que les nouvelles enquêtes envisagées, fondées sur les dispositions de l’article L. 114-1 du CSI, s’ajouteraient aux échanges d’informations susceptibles d’intervenir avec l’autorité judiciaire sur le fondement des dispositions de l’article L. 713-5 du CESEDA et devant précisément permettre d’apprécier si un demandeur d’asile ou une personne qui s’est vu reconnaître le statut de réfugié ou le bénéfice de la protection subsidiaire relève de l’une des clauses d’exclusion mentionnées aux articles L. 711-3 et L. 712-2 du même code. La Commission souligne que le cumul d’enquêtes administratives portant notamment sur des données d’infraction, avec la communication directe et moins encadrée de données collectées dans le cadre de procédures judiciaires civiles ou pénales, y compris en cas de non-lieu, est susceptible de nuire à la proportionnalité du dispositif de collecte mis en œuvre pour l’exercice par l’OFPRA de ses missions. Elle considère que le projet de loi doit être l’occasion de repenser ce dispositif de manière globale et cohérente pour mieux prévenir le risque d’une collecte excessive.
Aux mêmes fins, la Commission juge indispensable que le projet de loi prévoie l’adoption d’un décret en Conseil d’Etat pour définir les conditions de mise en œuvre des nouvelles enquêtes administratives envisagées. Elle souligne, compte tenu des enjeux particuliers soulevés par ces enquêtes, que la stricte proportionnalité du dispositif ne pourra être garantie sans l’adoption d’un acte réglementaire spécifique adaptant la liste des traitements et des catégories de données susceptibles d’être consultés par le service enquêteur et limitant les catégories de données communicables à l’OFPRA aux informations strictement nécessaires au regard des finalités poursuivies.
En deuxième lieu, dans la mesure où il ressort du dossier transmis par le ministère que seuls certains motifs d’exclusion prévus aux articles L. 712-2 et L. 712-3 du CESEDA sont concernés par les enquêtes administratives envisagées, la Commission juge insuffisamment précise la mention selon laquelle les enquêtes doivent être réalisées pour l’application des articles L. 711-6, L. 712-2 et L. 712-3 du CESEDA. Elle demande que le projet de loi soit précisé sur ce point, en ne renvoyant, s’agissant des demandeurs comme des bénéficiaires de la protection subsidiaire, qu’aux motifs d’exclusion prévus au d) de l’article L. 712-2 précité, afin que les finalités des enquêtes administratives dont l’autorisation est envisagée soient clairement déterminées.
En troisième lieu, la Commission prend acte que le renvoi par l’article 4 du projet de loi aux conditions prévues au second alinéa du I de l’article L. 114-1 du CSI, vise à autoriser la consultation de traitements automatisés de données à caractère personnel relevant de l’article 26 de la loi du 6 janvier 1978 modifiée, à l’exclusion des fichiers d’identification. Elle rappelle toutefois que la liste des traitements susceptibles d’être consultés devra être pertinente au regard de l’objet des enquêtes envisagées et que leur consultation à des fins de transmission d’informations à l’OFPRA ne pourra intervenir que lorsque les actes réglementaires encadrant leur mise en œuvre auront été modifiés pour intégrer l’Office parmi les destinataires, y compris lorsque l’acte réglementaire concerné autorise des consultations dans le cadre des enquêtes administratives prévues à l’article L. 114-1 du CSI.
En tout état cause, la Commission rappelle qu’elle devra être consultée sur l’ensemble des projets d’actes réglementaires visant à permettre l’application du nouveau dispositif d’enquête administrative envisagé et que, dans ce cadre, elle sera particulièrement vigilante sur les mesures prévues pour garantir que, conformément à l’article 10 de la loi du 6 janvier 1978 modifiée, aucune décision ne puisse être prise sur le seul fondement d’un traitement automatisé.
Sur l’article 9 du projet de loi
L’article 9 du projet de loi complète l’article L. 744-6 du CESEDA par une disposition prévoyant que le service intégré d’accueil et d’orientation (SIAO) communique mensuellement à l’Office français de l’immigration et de l’intégration (OFII) la liste des personnes accueillies dans les centres d’hébergement d’urgence ayant présenté une demande d’asile ainsi que des personnes ayant obtenu la qualité de réfugié ou le bénéfice de la protection subsidiaire.
La Commission relève qu’en application de l’article L. 744-3 du CESEDA, l’OFII assure l’orientation des demandeurs d’asile dans les centres d’hébergement qui leurs sont dédiés, appelés centres d’accueil pour les demandeurs d’asile (CADA).
Conformément aux dispositions de l’article L. 349-3 du code de l’action sociale et des familles (CASF), il oriente également les étrangers s’étant vu reconnaître la qualité de réfugiés ou accorder le bénéfice de la protection subsidiaire vers les centres provisoires d’hébergement.
Le ministère a précisé que les échanges d’informations envisagés doivent permettre à l’OFII de disposer d’une meilleure visibilité sur le nombre de demandeurs d’asile hébergés dans le dispositif généraliste afin d’orienter ces derniers ainsi que les bénéficiaires de la protection subsidiaire et les réfugiés vers les dispositifs qui leur sont dédiés et ce, dans le but de désengorger le dispositif d’urgence de droit commun.
Il doit également permettre d’éviter que le montant additionnel journalier de l’allocation pour demandeur d’asile (ADA) soit versé à tort à des demandeurs d’asile hébergés dans le dispositif généraliste, conformément à l’article D. 744-17 du CESEDA.
La Commission estime qu’au regard des missions de l’OFII en matière d’hébergement, l’échange d’informations envisagé est utile à la bonne gestion des dispositifs d'hébergement visant différentes catégories de personnes.
Elle relève néanmoins qu’en application de l’article L. 345-2-2 du CASF, l’accès aux dispositifs d’hébergement d’urgence n’est subordonné à aucune condition, notamment de séjour. Elle rappelle ainsi que l’échange d’information envisagé ne doit pas conduire à ce que le SIAO exclue du dispositif d’hébergement d’urgence, des personnes pouvant en bénéficier.
A cet égard, elle recommande que le projet de loi précise clairement l’objectif de cet échange tel que présenté par le ministère.
Enfin, au vu de la sensibilité des informations transmises, la Commission rappelle que les échanges envisagés devraient être entourés de mesures sécurité adéquates.
Sur l’article 16 du projet de loi
L’article 16 du projet de loi modifie le douzième alinéa de l’article L. 611-1-1 du CESEDA, relatif au relevé des empreintes digitales et de la photographie des ressortissants étrangers retenus pour vérification de leur droit au séjour ou de circulation, en supprimant la condition selon laquelle ce relevé ne doit intervenir que s’il constitue l’unique moyen d’établir le droit de circulation ou au séjour.
La retenue pour vérification du droit au séjour doit permettre aux forces de l’ordre de conduire et de maintenir au poste de police un ressortissant étranger qui, à l’occasion d’un contrôle d’identité ou de titre de séjour, n’a pas été en mesure de présenter le titre lui permettant de circuler ou de séjourner en France, alors que l’article L. 611-1 du CESEDA lui impose de toujours être en mesure de présenter les pièces ou documents sous le couvert desquels il est autorisé à circuler ou à séjourner en France. Cette mesure a donc pour objet de permettre la lutte contre le séjour irrégulier sur le territoire national.
L’article L. 611-1-1 du CESEDA prévoit actuellement que la personne retenue pour vérification doit pouvoir fournir par tout moyen les pièces ou documents pouvant justifier de sa situation. En l’absence d’éléments permettant d’établir la régularité du séjour ou de la circulation de la personne retenue, il peut être procédé, après information du procureur de la République, à une prise d’empreintes digitales ou de photographie.
Cette mesure permet aux agents habilités de consulter différents fichiers contenant les empreintes digitales et les photographies des ressortissants étrangers tels que, par exemple, le fichier automatisé des empreintes digitales (FAED) ou l’application de gestion des dossiers des ressortissants étrangers en France (AGDREF 2), afin de les comparer avec celles relevées dans le cadre de la retenue.
Le ministère justifie la modification projetée par le fait qu’un ressortissant étranger retenu pour vérification de son droit au séjour n’est pas dans la même situation qu’une personne retenue pour la vérification de son identité, en application des articles 78-2 et suivants du code de procédure pénale. En effet, conformément à l’article 78-3 du code de procédure pénale, la preuve de l’identité peut être faite par tous moyens – les ressortissants français n’ayant pas, contrairement aux ressortissants étrangers, l’obligation de circuler avec leurs papiers d’identité.
En premier lieu, sans remettre en cause l’intérêt légitime que constitue la lutte contre le séjour irrégulier, la Commission estime que cette simple différence de situation entre une personne retenue pour vérification d’identité et celle retenue pour vérification du droit au séjour ne permet pas, à elle seule, de justifier que la prise d’empreintes digitales, données présentant une particulière sensibilité, devienne un moyen d’établir la régularité du séjour parmi d’autres.
Elle considère en effet que la modification projetée risque d’entraîner une collecte massive et systématique de données biométriques. Elle considère que la proportionnalité de cette collecte n’est pas établie.
En deuxième lieu, la Commission relève que des mesures de vérification de la régularité du séjour ou du droit de circulation moins intrusives pour les personnes concernées peuvent être mises en œuvre telles que la consultation des données d’AGDREF 2 aux fins de vérifier la régularité du séjour d’un ressortissant étranger retenu, conformément à l’article R. 611-5 du CESEDA.
En troisième lieu, la Commission constate que cette collecte va conduire à un enregistrement des empreintes digitales et de la photographie, dans un traitement automatisé de données à caractère personnel.
L’article 16 du projet de loi prévoit en effet d’ajouter, à l’article L. 611-1-1 du CESEDA, la mention suivante : les empreintes digitales et photographies peuvent être mémorisées et faire l’objet d’un traitement automatisé en application du deuxième alinéa de l’article L. 611-3 [du CESEDA] sauf s’il apparaît, à l’issue de la retenue, que l’étranger dispose d’un droit de circulation ou de séjour .
Le projet de loi insère également au deuxième alinéa dudit article L. 611-3 la précision selon laquelle les empreintes digitales et la photographie des étrangers retenus mentionnés au douzième alinéa du I de l’article L. 611-1-1 du CESEDA peuvent faire l’objet d’un traitement automatisé de données à caractère personnel.
Le ministère justifie ces modifications par le fait que, dans la majorité des cas, ces données pourront, après la retenue, être enregistrées dans un traitement automatisé, si elles ne l’ont pas déjà été auparavant.
La Commission relève toutefois que les modifications projetées pourraient avoir pour effet de permettre l’enregistrement, dans un nouveau traitement automatisé, des empreintes digitales et des photographies de l’ensemble des ressortissants étrangers en situation irrégulière, ayant fait l’objet d’une retenue pour vérification, alors même que des dispositions du CESEDA prévoient déjà l’enregistrement de ces catégories de données pour ces mêmes personnes, dans différents traitements automatisés.
Elle prend acte de l’engagement du ministère de n’enregistrer les empreintes digitales et la photographie des ressortissants étrangers en situation irrégulière collectées lors d’une retenue pour vérification que dans AGDREF 2.
En tout état de cause, elle rappelle que le traitement de ces données doit s’accompagner de strictes garanties du point de vue de la protection des données personnelles, dont la Commission devra être saisie.
La Présidente
La Commission nationale de l’informatique et des libertés,
 
Saisie pour avis par la Caisse Nationale d’Assurance Vieillesse (CNAV) d’un projet d’Acte réglementaire relatif à l’accès aux services offerts par la CNAV sur l’Espace des Organismes Partenaires de la Protection Sociale (EOPPS) ;
 
Vu la Convention n°108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
 
Vu la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiées par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 27-II-2° ;
 
Vu le décret n°2005-1309 du 20 octobre 2005 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
 
Vu la loi n°2007-1786 du 19 décembre 2007 de financement de la sécurité sociale pour 2008, et notamment son article 109 (créant l’article L.224-13 du Code de la Sécurité sociale) ;
 
Vu le décret n°2009-1577 du 16 décembre 2009, et notamment son article 1er (créant l’article R.114-26 du Code de la sécurité sociale) ;
Vu la délibération n°2009-211 du 30 avril 2009 portant avis sur un projet de décret en Conseil d’État relatif au Répertoire National Commun de la Protection Sociale (RNCPS) ;
 
Vu la délibération n°2009-562 du 24 septembre 2009 portant avis sur un projet de décret en Conseil d’État portant création d’un traitement de données à caractère personnel dénommé échanges inter-régimes de retraite (EIRR) ;
 
Après avoir entendu M. Philippe GOSSELIN, Commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
 
Émet l’avis suivant :
 
En application des dispositions de l’article 27-II-2° de la loi du 6 janvier 1978 modifiée, la Commission a été saisie pour avis par la Caisse Nationale d’Assurance Vieillesse (CNAV) d’un projet d’acte réglementaire relatif à l’Espace des Organismes Partenaires de la Protection Sociale (EOPPS), créé sur le fondement de l’article L.224-14 du Code de la sécurité sociale.
 
L’article L.224-14 du Code de la sécurité sociale dispose que les caisses nationales mentionnées aux articles L. 221-2, L. 222-4 et L. 223-2 mettent en œuvre ou coordonnent des actions de contrôle sur le service des prestations afin de détecter les fraudes et les comportements abusifs. Elles peuvent à ce titre utiliser des traitements automatisés des données relatives au service des prestations .
Pour répondre à cette nouvelle finalité de lutte contre la fraude, le portail intranet PARN, qui avait pour objet de mettre à disposition des partenaires de la sphère sociale, des informations utiles pour la gestion des retraites et l’identification des personnes , devient l’Espace des Organismes Partenaires de la Protection Sociale (EOPPS).
 
Le portail EOPPS permet aux partenaires de la CNAV dûment habilités d’accéder en consultation aux systèmes nationaux gérés par la Direction du Système d’Information National des Données Sociales de la CNAV aux traitements et services suivants :
 
- la consultation du RNIAM (Répertoire National Inter-régimes des Bénéficiaires de l’Assurance Maladie) ;
- le DNA Web, qui correspond à la saisie, au contrôle et à la transmission à la CNAV des Déclarations Nominatives Annuelles ;
- l’Identification Assuré, assurant la consultation du SNGI (Système National de Gestion des Identifiants) de la CNAV ;
- l’e-learning Identification, permettant la formation à l’utilisation du SNGI ;
- la Consultation
 Compte
 Assuré, assurant la Consultation du SNGC (Système National de Gestion des Carrières) de la CNAV ;
- le RNCPS qui fournit un service de consultation du Répertoire National Commun de la Protection Sociale (délibération n°2009-211 du 30 avril 2009) ;
- le RFO, qui fournit un service de consultation du référentiel des organismes à partir du RNCPS ;
- l’EIRR, qui fournit un service de consultation du répertoire des Echanges Inter-Régimes de Retraite à partir de CCA (délibération n°2009-562 du 24 septembre 2009) ;
- l’Inscription déléguée, qui correspond à la gestion déléguée aux partenaires des habilitations d’accès de leurs personnels aux services offerts par EOPPS.
La Commission
 prend acte qu’EOPPS sera un portail intranet permettant d’accéder, d’une part, aux traitements de données accessibles depuis 2005 via le portail PARN, et, d’autre part, au RNCPS et à l’EIRR.
Comme indiqué dans la délibération de la Commission relative au RNCPS (délibération n°2009-211 du 30 avril 2009), la Commission prend acte que le portail EOPPS se substituera au portail PARN par l’intermédiaire duquel l’accès au RNCPS sera garanti.
En outre, elle relève que le portail intranet EOPPS sera utilisé par l’ensemble des partenaires lorsque ceux-ci souhaitent, au cas par cas, confirmer l’identité d’un bénéficiaire, l’étendue de ses droits ou s’assurer de l’absence de toute fraude. 
A cet égard, elle souligne que le portail EOPPS ne permet que la consultation des données, et qu’aucune interconnexion des données, ni aucune extraction ne seront possibles. 
Sur les finalités