AgentPublic/cnil huggingface dataset:
Dans le cadre du mécanisme de surveillance unique, le Règlement (UE) n°468/2014 de la Banque Centrale Européenne du 16 Avril 2014 établissant le cadre de la coopération au sein du mécanisme de surveillance unique entre la Banque centrale européenne, les autorités compétentes nationales, il est prévu de procéder à l’échange des alertes lorsque ces alertes concernent des établissements dont la surveillance prudentielle est assurée par la BCE ou par les autorités nationales. A cet égard, la BCE assure l’examen des signalements des entités importantes soumises à sa surveillance alors que l’ACPR est compétent pour les entités moins importantes soumises à la surveillance prudentielle de l’autorité française.
Sur la finalité
Le traitement dont est saisie la Commission a pour finalité la mise en œuvre d’un dispositif de recueil et de traitement des signalements des manquements et infractions potentiels constatés par les salariés des organismes soumis au contrôle de l’ACPR.
Le traitement est défini par la loi quant à sa finalité et ses modalités. Le code monétaire et financier prévoit à l’article L. 511-33 II que le personnel des établissements de crédit, des sociétés de financement, des compagnies financières holding, des compagnies financières holding mixtes et des entreprises mères de société de financement soumis au contrôle de l'Autorité de contrôle prudentiel et de résolution, ainsi que le personnel des prestataires externes de ces personnes, peuvent signaler à l'Autorité les manquements et infractions potentiels ou avérés au règlement (UE) n°575/2013 du Parlement européen et du Conseil du 26 juin 2013, aux dispositions du présent titre et du titre III du présent livre ou d'un règlement pris pour leur application ou de toute autre disposition législative ou réglementaire dont la méconnaissance entraîne celle des dispositions précitées. Les signalements sont faits sous forme écrite et accompagnés de tout élément de nature à établir la réalité des faits signalés .
Les signalements peuvent être adressés par voie postale ou au moyen d’un formulaire de saisie en ligne accessible sur le site institutionnel de l’ACPR.
L’ACPR recueille les signalements dans des conditions qui garantissent la protection des personnes signalant les manquements, notamment en ce qui concerne leur identité, et la protection des données à caractère personnel relatives aux personnes concernées par les signalements.
Le traitement porte sur des manquements ou infractions dans le domaine bancaire et financier, spécifiquement les signalements ne concernent que les manquements ou infractions au règlement (UE) n°575/2013, aux dispositions des titres I et III du livre V du CMF ou d'un règlement pris pour leur application ou de toute autre disposition législative ou réglementaire dont la méconnaissance entraîne celle des dispositions précitées.
La Commission considère que cette finalité est déterminée, explicite et légitime.
Sur les données traitées
Les données collectées par l’intermédiaire du dispositif examiné par la Commission sont les suivantes :
•identité, fonction et coordonnées de l'émetteur du signalement ;
•identité, fonction et coordonnées des personnes faisant l'objet d'un signalement ;
•informations d’ordre financier relatives aux faits signalés ;
La Commission considère que ces données sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie.
La Commission rappelle que l’identification de l’auteur du signalement est nécessaire pour limiter les risques de mises en cause abusives ou disproportionnées. A cet égard, elle note que les textes applicables garantissent que l’ACPR recueille les signalements dans des conditions qui garantissent la protection des personnes signalant les manquements, notamment en ce qui concerne leur identité, et la protection des données à caractère personnel relatives aux personnes concernées par les signalements.
Les alertes anonymes sont prises en considération sous réserve que la gravité des faits mentionnés est établie et que les éléments factuels sont suffisamment détaillés. Le traitement de cette alerte devra s'entourer de précautions particulières, telles qu'un examen préalable et une vérification de la nécessité de sa diffusion dans le cadre du dispositif.
Sur les destinataires
Le destinataire de tout ou partie des données à caractère personnel du présent traitement est le personnel de la direction des affaires juridique en charge de la réception des signalements.
Les signalements sont uniquement accessibles aux personnes habilitées à cet effet dans la limite de leurs attributions.
Toutefois, pour les besoins du traitement des signalements, certaines données concernant le signalement pourront être rendues disponibles pour les services compétents de l’ACPR dans le respect de la confidentialité de l’identité de l’auteur du signalement.
La Commission prend note que le responsable de traitement a organisé la centralisation de la réception des signalements et a limité le nombre de personnes habilitées à connaitre l’identité des auteurs de signalements. Elle note également que des mesures organisationnelles ont été adoptées pour protéger la confidentialité de l’identité des auteurs de signalements.
Lorsque les signalements relèveront de la compétence de la BCE en application du MSU, celle-ci sera rendue destinataire des données à l’exception de l’identité de l’auteur de l’alerte, sauf si celui-ci a donné son consentement.
Dans le cas où les signalements relèveraient de la compétence d’autres autorités nationales, celles-ci seront rendues destinataires des signalements dans les limites prévues par les textes organisant la coopération entre l’ACPR et les autres autorités.
Sur l’information et le droit d’accès
Les personnes concernées sont informées par une rubrique dédiée du site internet de l’ACPR et les auteurs de signalements par courrier postal avec accusé de réception et via l’insertion d’une mention d’information sur le formulaire accessible en ligne.
La Commission prend note que les personnes physiques qui seraient mises en cause par un signalement ne sont pas informées du fait qu’elles font l’objet d’un signalement.
Le droit d’accès s’exerce auprès de la direction des affaires juridiques de l’ACPR, 61 rue Taitbout, 75436 Paris Cedex 9
Sur les mesures de sécurité
Des mesures de sécurité sont prises par le responsable de traitement afin de préserver la sécurité des données et, notamment, empêcher que des tiers non autorisés y aient accès.
Des mesures physiques et logiques sont mises en œuvre. A ce titre, l’accès aux locaux est contrôlé par des gardiens et un système de badges.
Les terminaux, au nombre de 13, sont connectés au réseau interne qui fait l’objet de mesures de protection contre les intrusions.
Conformément aux recommandations de la Commission, l’authentification des utilisateurs du traitement sera assurée par l’utilisation de mots de passe, renouvelés à intervalles réguliers, constitués d’au moins huit caractères et contenant une combinaison d’au moins trois types de caractères différents.
Les échanges de données avec la BCE transiteront par une messagerie sécurisée.
Les formulaires permettant de recueillir les signalements en ligne ne devraient être accessibles que via le protocole https. Les informations recueillies au moyen du formulaire seront adressées à l’ACPR via un canal sécurisé (passerelle de messagerie électronique sécurisée, protocole SMTPS) reliant l’hébergeur et le système d’information de l’ACPR. L’ensemble des échanges se feront en utilisant le protocole https.
Ces mesures de sécurité n’appellent pas d’observation de la Commission au regard de l’article 34 de la loi du 6 janvier 1978 modifiée.
Sur les autres caractéristiques du traitement
La Commission relève que les données sont archivées pour 5 ans suivant la clôture du dossier pour les signalements jugés pertinents.
Les données portant sur des signalements jugés non pertinents à l’issue de la période d’instruction sont archivées pendant une année.
La Commission considère que ces durées de conservation n’excèdent pas celles qui sont nécessaires à l’accomplissement de la finalité poursuivie par le responsable de traitement.
Autorise, conformément à la présente délibération, l’Autorité de contrôle prudentiel et de résolution à mettre en œuvre le traitement susmentionné.
Pour la Présidente Le Vice-Président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret pris pour l'application de l' article L. 211-11-1 du code de la sécurité intérieure et relatif à l'accès aux établissement et installations accueillant des grands événements exposés, par leur ampleur ou leurs circonstances particulières, à un risque exceptionnel de menace terroriste ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article 230-6 ;
Vu le code de la sécurité intérieure, notamment son article L. 211-11-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-914 du 15 mai 2007 modifié pris pour l'application du I de l'article 30 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-569 du 28 mai 2010 modifié relatif au fichier des personnes recherchées ;
Vu l'arrêté du 17 mars 2014 modifié portant autorisation à titre expérimental d'un traitement automatisé de données à caractère personnel dénommé Fichier des objets et des véhicules signalés (FOVeS) ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis, par le ministre de l'intérieur, d'un projet de décret pris pour l'application de l' article L. 211-11-1 du code de la sécurité intérieure (CSI), introduit dans le CSI par l' article 53 de la loi n° 2016-731 du 3 juin 2016 susvisée.
L'article L. 211-11-1 du CSI a pour objet d'imposer aux organisateurs de certains grands événements de demander l'avis de l'autorité administrative compétente avant d'autoriser l'accès à un établissement ou une installation accueillant ces événements. Cet avis doit être rendu à la suite d'une enquête administrative sur la personne concernée, qui peut donner lieu à la consultation de certains traitements automatisés de données à caractère personnel relevant de l'article 26 de la loi du 6 janvier 1978 modifiée.
L'objectif de ce criblage est, selon les termes de l'article L. 211-11-1 repris par le projet de décret, de vérifier que le comportement ou les agissements de la personne ne sont pas de nature à porter atteinte à la sécurité des personnes, à la sécurité publique ou à la sûreté de l'Etat .
Si un tel objectif apparaît légitime à la commission, elle regrette qu'un dispositif législatif nouveau conduisant à la consultation de fichiers sensibles dans des conditions différentes de celles jusqu'à présent requises pour la réalisation d'enquêtes administratives, ne lui ait pas été soumis pour consultation.
Le législateur a toutefois prévu que les conditions d'application du dispositif, en particulier la liste des fichiers susceptibles d'être consultés, les catégories de personnes concernées et les garanties d'information qui leur sont ouvertes, sont définies par un décret en Conseil d'Etat pris après avis de la commission. Cet avis, en application de l'article 11 (4°, a) de la loi du 6 janvier 1978 modifiée, devra être publié.
Sur le champ d'application du dispositif et la définition des autorités compétentes pour rendre l'avis prévu à l'article L. 211-11-1 du CSI :
Le dispositif prévu par le législateur vise à renforcer la sécurité des grands événements en permettant à l'administration de réaliser une enquête administrative sur l'ensemble des personnes susceptibles d'accéder aux établissements et installations les accueillant, à l'exception des visiteurs et des participants.
L'article L. 211-11-1 du CSI prévoit la désignation, par décret, des grands événements concernés, des établissements et installations qui les accueillent ainsi que de leur organisateur. C'est à l'organisateur ainsi désigné qu'il revient de solliciter l'avis de l'autorité administrative compétente avant d'autoriser tout accès aux établissements et installations accueillant le grand événement concerné, étant précisé que le respect de cette procédure est requis pendant toute la durée de l'événement mais également pendant sa préparation.
Le projet de décret prévoit que sont notamment concernées les catégories de personnes suivantes :
- les fournisseurs ;
- les techniciens chargés de la mise en œuvre et de la logistique de l'événement ;
- les personnels effectuant la maintenance ou l'entretien des établissements ou installations ;
- les prestataires de services ;
- les personnels exerçant une activité commerciale dans les établissements ou installations ;
- les personnels chargés de la relation avec la presse et de la communication ;
- les sponsors ;
- les volontaires et bénévoles ;
- les journalistes accédant à des zones non accessibles au public.
Il découle ainsi des termes de l'article L. 211-11-1 du CSI comme de la liste non limitative prévue par le projet de décret que, à l'exception des visiteurs et des participants, l'intégralité des personnes accédant aux établissements et installations concernés, quels que soient leur statut et leurs fonctions, devront faire l'objet d'une enquête administrative.
Le champ d'application du dispositif apparaît d'autant plus large que les événements susceptibles d'être désignés ne sont pas uniquement ceux que leur ampleur expose à un risque exceptionnel de menace terroriste, mais également ceux qui subissent ce risque en raison de circonstances particulières .
Dès lors, au regard de l'étendue du criblage envisagé et de la sensibilité des fichiers susceptibles d'être consultés, la commission considère que les conditions de mise en œuvre du dispositif doivent être précisément définies par les textes et que des garanties particulières doivent être apportées pour assurer le respect des droits des intéressés.
Dans ces conditions, la commission juge nécessaire la définition d'une liste limitative des autorités administratives compétentes pour rendre un avis sur les demandes transmises par les organisateurs de grands événements, ainsi que des services prenant en charge la réalisation de l'enquête administrative sous leur contrôle.
Sur ce point, elle prend acte que le ministère de l'intérieur s'engage à modifier le projet de décret pour préciser que l'autorité administrative compétente qui sera désignée pour chaque grand événement sera soit le ministre de l'intérieur, soit le préfet. Elle prend également acte que les enquêtes administratives envisagées seront réalisées par un nouveau service à compétence nationale, dont la création est en cours, et qui sera rattaché à la direction générale de la police nationale. Ce service sera spécifiquement chargé de la réalisation des enquêtes prévues aux articles L. 211-11-1 et L. 114-2 du CSI. Le ministère a toutefois précisé que, pour certains événements locaux, les agents des services de la police nationale et de la gendarmerie nationale pourraient être chargés de leur réalisation.
Sur la liste des fichiers susceptibles d'être consultés :
L'article L. 211-11-1 du CSI prévoit que l'enquête administrative peut donner lieu à la consultation de certains traitements automatisés de données à caractère personnel relevant de l'article 26 de la loi du 6 janvier 1978 modifiée, à l'exception des fichiers d'identification.
Le projet de décret précise qu'il s'agit des traitements suivants :
- les traitements automatisés de données à caractère personnel dénommés CRISTINA et FSPRT, mentionnés aux 1 et 12 de l'article 1er du décret n° 2007-914 du 15 mai 2007 susvisé ;
- le traitement d'antécédents judiciaires (TAJ), mentionné aux articles R. 40-23 et suivants du code de procédure pénale ;
- le traitement automatisé de données à caractère personnel dénommé Enquêtes administratives liées à la sécurité publique (EASP), mentionné aux articles R. 236-1 et suivants du code de la sécurité intérieure ;
- le traitement automatisé de données à caractère personnel dénommé prévention des atteintes à la sécurité publique (PASP), mentionné aux articles R. 236-11 et suivants du code de la sécurité intérieure ;
- le traitement automatisé de données à caractère personnel dénommé gestion de l'information et prévention des atteintes à la sécurité publique (GIPASP), mentionné aux articles R. 236-21 et suivants du code de la sécurité intérieure ;
- le fichier des personnes recherchées (FPR) prévu par le décret n° 2010-569 du 28 mai 2010 susvisé ;
- le fichier des objets et des véhicules signalés (FOVeS) créé par l'arrêté du 17 mars 2014 susvisé.
La commission prend acte que, conformément aux dispositions de l'article L. 211-11-1 du CSI, la liste ainsi définie ne comporte pas de fichiers d'identification et ne comprend que des traitements liés à la prévention et à la sanction des atteintes à la sécurité publique.
Néanmoins, au regard du nombre et de la diversité des fichiers mentionnés, du point de vue tant des catégories de personnes ciblées que de la nature des informations enregistrées, la commission considère que doivent être exclues des consultations effectuées dans ce cadre les catégories de données à caractère personnel qui ne sont pas pertinentes au regard des finalités poursuivies.
La commission considère en particulier, s'agissant du FPR, qui est divisé en sous-fichiers regroupant les personnes inscrites en fonction du fondement juridique de la recherche et qui comporte des données à caractère personnel dont l'enregistrement résulte de motifs judiciaires et administratifs très divers, que la consultation effectuée doit être limitée aux sous-fichiers susceptibles de contenir des informations pertinentes au regard de l'objectif de prévention des atteintes à la sécurité des personnes, à la sécurité publique ou à la sureté de l'Etat.
Elle prend acte que le ministère s'engage à prévoir une telle restriction et à informer la commission sur ses modalités de mise en œuvre, dès que les études préalables nécessaires auront été réalisées.
S'agissant du FOVeS, le ministère a précisé que le traitement ne sera consulté que pour déterminer, d'une part, si le titre d'identité présenté à l'organisateur par la personne sollicitant l'accès aux installations et établissements concernés n'est pas déclaré volé, usurpé, invalidé ou ne fait pas l'objet d'une surveillance particulière et, d'autre part, si le véhicule utilisé pour accéder aux établissements et installations concernés n'a pas été volé ou ne fait pas l'objet d'une surveillance.
La commission en prend acte, mais rappelle que la mise en œuvre du FOVeS n'a été autorisée par l'arrêté du 17 mars 2014 susvisé qu'à titre expérimental, pour une durée de deux ans à compter de la publication de l'arrêté, et que son utilisation suppose l'adoption préalable d'un nouvel acte réglementaire, conformément à l'article 26 de la loi du 6 janvier 1978 modifiée.
En ce qui concerne le TAJ, la commission rappelle que, en application des dispositions de l'article 230-8 du code de procédure pénale, les décisions de relaxe ou d'acquittement devenues définitives, de même que les décisions de non-lieu et les décisions de classement sans suite peuvent faire l'objet d'une mention mais que, dans cette hypothèse, les données relatives à la personne concernée ne peuvent faire l'objet d'une consultation dans le cadre des enquêtes administratives prévues aux articles L. 114-1, L. 234-1 à L. 234-3 du code de la sécurité intérieure et à l' article 17-1 de la loi n° 95-73 du 21 janvier 1995 d'orientation et de programmation relative à la sécurité . Elle estime que la même exclusion doit être prévue pour les enquêtes administratives prévues à l' article L. 211-11-1 du code de la sécurité intérieure et prend acte de l'engagement du ministère de l'intérieur de modifier l' article R. 40-29 du code de procédure pénale à cette fin.
En outre, la commission souligne que la seule inscription d'une personne dans les fichiers précités, a fortiori lorsqu'elle ne découle pas d'un fait avéré attestant de la participation à une action portant atteinte à la sécurité publique ou à la sûreté de l'Etat mais d'informations déclaratives, ne saurait suffire à fonder un avis défavorable à l'accès aux établissement et installations concernés.
Elle considère que les autorités administratives compétentes doivent tenir compte de ce que l'inscription d'une personne dans l'un de ces traitements peut résulter de motifs non pertinents au regard de la lutte anti-terroriste ou d'éléments non probants et rappelle en tout état de cause que, conformément à l'article 10 de la loi du 6 janvier 1978 modifiée, aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données à caractère personnel.
A cet égard, la commission prend acte qu'il est prévu que le service à compétence nationale chargé de la réalisation des enquêtes dispose des compétences et des ressources nécessaires à la vérification et à l'analyse des informations issues des traitements, de sorte qu'aucun avis défavorable ne soit pris sur le seul fondement de l'inscription d'une personne dans un fichier.
Enfin, elle rappelle l'impératif que des procédures de mise à jour, d'apurement et d'effacement des données soient strictement appliquées pour l'ensemble des fichiers précités, de manière à prévenir tout risque d'atteinte aux droits et libertés des intéressés du fait d'une décision découlant de la conservation de données inexactes ou caduques. Si cet impératif n'est pas propre aux fichiers concernés par le dispositif, la commission souligne que la sensibilité des informations susceptibles d'être communiquées dans ce cadre et le caractère particulièrement préjudiciable de l'adoption d'un éventuel avis défavorable à l'accès aux établissements et installations accueillant les grands événements imposent la plus grande vigilance.
Sur les conditions de consultation des fichiers et le transfert de données à caractère personnel qui en sont issues :
La consultation des différents fichiers doit être effectuée, en application de l' article L. 211-11-1 du code de la sécurité intérieure, selon les règles propres à chacun d'eux .
La commission souligne que les règles propres à chacun des fichiers mentionnés doivent être modifiées pour autoriser leur consultation par le service à compétence nationale dont la création est projetée. Elle prend acte que les textes procédant aux modifications requises seront prochainement adoptés, après consultation de la commission.