AgentPublic/cnil huggingface dataset:
S'agissant des traitements ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route : 
-	le destinataire des données à caractère personnel précitées est le service indiqué dans l'avis de contravention ;
-	les personnes en charge de la gestion des contraventions au sein des organismes publics ou privés ayant pour activité la location ou la mise à disposition de véhicules sont, dans la limite de leurs attributions respectives et pour la poursuite de la finalité visée à l'article 1er de la présente décision unique d'autorisation, destinataires de données à caractère personnel susvisées. Article 4 : Durée de conservation
Les traces des requêtes effectuées par le Centre National de Traitement sur les conducteurs de véhicules ayant commis une infraction au code de la route sont détruites après le retour d'information au Centre National de Traitement.
En aucun cas, les organismes publics ou privés visés à l'article 1er et dont les traitements de gestion du parc automobile, des contrats de location et des véhicules loués sont interconnectés, mis en relation ou rapprochés avec le système de contrôle automatisé ne peuvent garder traces de ces requêtes, les consolider ou les archiver.
S'agissant des traitements ayant pour finalité la gestion du contentieux lié au recouvrement des contraventions au code de la route, les organismes publics ou privés ayant pour activité la location ou la mise à disposition de véhicules  peuvent consulter en ligne les données visées à l'article 2 de la présente décision unique d'autorisation au maximum un mois à compter de la réception de l'avis de contravention. A l'issue de cette période, ces données peuvent être archivées pendant au maximum dix-huit mois.
Article 5 : Mesures de sécurité
Le responsable du traitement prend toutes précautions utiles pour préserver la sécurité et la confidentialité des données traitées et notamment pour empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés puissent en prendre connaissance.
En particulier, les accès aux traitements de données s'effectuent par un identifiant et un mot de passe individuels, régulièrement renouvelés, ou par tout autre moyen d'authentification. Ces accès sont enregistrés et leur régularité est contrôlée.
S'agissant des traitements d'identification des conducteurs mis en œuvre dans le cadre de l'arrêté du 13 octobre 2004 précité, les contraintes techniques d'échange informatique ainsi que les mesures destinées à assurer la sécurité des systèmes d'information des données et des mécanismes d'échange doivent être mises en œuvre dans les conditions prévues par la convention à signer avec le Centre National de Traitement et notamment son Cahier des Clauses Techniques Particulières.
Article 6 : Information des personnes
Le responsable du traitement procède, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée en août 2004, à l'information des personnes susceptibles d'être concernées par la diffusion à chacune d'entre elles d'une note explicative pouvant figurer, le cas échéant, dans le contrat de location ou de prêt du véhicule.
Par ailleurs, les organismes publics ou privés mettant des véhicules à disposition de leurs collaborateurs procèdent également, conformément aux dispositions de l'article L. 432-2-1 du code du travail et à la législation applicable aux trois fonctions publiques, à l'information et à la consultation des instances représentatives du personnel avant la mise en oeuvre des traitements visés à l'article premier.
Article 7 : Exercice des droits d'accès et de rectification
Le droit d'accès défini au chapitre V de la loi du 6 janvier 1978 modifiée s'exerce auprès du ou des services que le responsable de traitement aura désignés.
Article 8
Tout traitement automatisé de données à caractère personnel ayant pour objet l'interconnexion, le rapprochement ou la mise en relation de traitements relatifs à la gestion des contrats de location, des véhicules loués ou du parc automobile avec le système de contrôle automatisé qui n'est pas conforme aux dispositions qui précèdent doit faire l'objet de demandes d'autorisation auprès de la Commission dans les formes prescrites par les articles 25-3°, 25-5° et 30 de la loi du 6 janvier 1978 modifiée.
Article 9 
La présente délibération sera publiée au Journal officiel de la République française.
 
La PrésidenteIsabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Saisie par la ministre de la justice d'une demande d'avis concernant un projet de décret modifiant le code de procédure pénale et relatif au placement sous surveillance électronique et au placement sous surveillance électronique mobile ; Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment son article L. 571-3 ;Vu le code de procédure pénale, notamment ses articles 74, 74-1, 74-2, 763-13 et 763-14, R. 61-12 à R. 61-20 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26 et 27 ;Vu la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 24 juillet 2003 portant création d'un système de gestion informatisée des personnes placées sous surveillance électronique ;
Après avoir entendu M. Gaëtan GORGE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La commission a été saisie par la ministre de la justice d'une demande d'avis portant sur un projet de décret en Conseil d'Etat modifiant le code de procédure pénale et relatif au placement sous surveillance électronique et au placement sous surveillance électronique mobile.Ces mesures décidées par l'autorité judiciaire ou administrative reposent notamment, pour la personne placée sous surveillance électronique, sur le port d'un bracelet électronique. Tandis que le placement sous surveillance électronique fixe (PSE) permet un simple contrôle de présence au lieu d'assignation, le placement sous surveillance électronique mobile (PSEM) permet la localisation précise de la personne concernée.Les conditions de mise en œuvre des traitements relatifs au placement sous surveillance électronique fixe et mobile, sur lesquelles la commission a déjà rendu des avis, sont respectivement prévues par l'arrêté du 24 juillet 2003 susvisé et les articles R. 61-12 à R. 61-20 du code de procédure pénale (CPP).Les conditions générales du prononcé des mesures de surveillance électronique fixe et mobile ont été modifiées à plusieurs reprises. Par ailleurs, de nouvelles fonctionnalités (enregistrements des conversations téléphoniques et mise en œuvre d'un dispositif biométrique de reconnaissance vocale), constatées dans le cadre de la
mise en œuvre du programme annuel des contrôles de la commission pour l'année 2013, seront mises en œuvre. Il est en outre prévu d'étendre les hypothèses dans lesquelles ces traitements peuvent être consultés et, par conséquent, d'habiliter de nouveaux personnels à accéder aux traitements. Enfin, le projet de décret vise également à intégrer dans le CPP les modalités de mise en œuvre du traitement relatif au placement sous surveillance électronique fixe, en créant les articles R. 61-12 à R. 61-20 dudit code.En application des articles 763-14 du CPP et 26 et 27 de la loi du 6 janvier 1978 modifiée, les modifications envisagées de ces deux traitements doivent faire l'objet d'un décret en Conseil d'Etat pris après avis motivé et publié de la commission.Certaines de ces modifications sont similaires pour les traitements relatifs au PSE et au PSEM, accessibles aux personnels habilités via un portail sécurisé dénommé SEQUOIA. La commission fera dès lors part, dans un premier temps, de ses observations sur les modifications communes aux deux traitements, avant d'évoquer dans un second temps les modifications propres au PSEM et au PSE.Sur les observations communes aux traitements relatifs aux placements sous surveillance électronique fixe (PSE) et mobile (PSEM) : Sur les finalités et les fonctionnalités :En premier lieu, au titre des finalités actuelles, les projets d'articles R. 57-30-2 et R. 61-14 du CPP prévoient la mise en œuvre de deux nouvelles fonctionnalités :
l'enregistrement des communications téléphoniques, le récepteur placé au lieu d'assignation comportant également une fonction de téléphonie, et un dispositif de biométrie vocale à des fins de vérification à distance de la présence de la personne concernée.L'article R. 61-22 du CPP en vigueur, relatif à la mise en œuvre du PSEM, prévoit que le dispositif permet une communication entre le centre de surveillance et la personne qui peut faire l'objet d'un enregistrement. Toutefois, cette fonctionnalité n'était pas mise en œuvre et les dispositions réglementaires relatives au traitement PSEM ne prévoyaient pas la collecte des données nécessaires à la mise en œuvre de cette fonctionnalité. L'arrêté du 24 juillet 2003 en vigueur, relatif au PSE, ne prévoit quant à lui pas la possibilité de mettre en œuvre un tel enregistrement des communications.Afin de mettre en œuvre cette fonctionnalité, une modification des dispositions réglementaires relatives à ces deux traitements est donc nécessaire, concernant les articles relatifs aux modalités générales de mise en œuvre de ces dispositifs (articles R. 57-11 et R. 61-22 du CPP) et aux données collectées pour les deux traitements (articles R. 57-30-2 et R. 61-14 du CPP).Les communications téléphoniques permettent, notamment en cas de déclenchement d'une alarme, d'effectuer les premières levées de doute en entendant la personne placée dans ses explications. Les conversations sont ainsi enregistrées à des fins de contrôles complémentaires,
puisqu'elles pourront éventuellement, dans la limite de la durée de conservation prévue, être exploitées en cas d'incident ou d'enquête. Ces enregistrements pourront ainsi faire l'objet d'une transmission, sur réquisition, aux autorités judiciaires. Les services de l'inspection judiciaire ou pénitentiaire pourront également être rendus destinataires de ces enregistrements, dans le cadre de leurs missions.La commission considère que cette nouvelle fonctionnalité ne pose pas de difficulté particulière, le ministère de la justice ayant défini strictement les fins auxquelles les enregistrements peuvent être utilisés ainsi que les personnels habilités à en prendre connaissance.Concernant le dispositif biométrique, aussi bien pour le PSE que pour le PSEM, le ministère de la justice entend mettre en œuvre une authentification des personnes placées sous surveillance électronique par la biométrie vocale. Il s'agit ainsi d'authentifier les personnes placées sous main de justice en comparant les caractéristiques de leur voix en ligne avec celles d'une empreinte vocale enregistrée préalablement, afin de s'assurer que la personne en relation téléphonique avec l'administration pénitentiaire est bien la personne placée sous surveillance électronique.La commission relève que la mise en œuvre d'un tel traitement biométrique, qui permet ainsi de s'assurer du respect par la personne placée sous main de justice des obligations de présence dans un lieu déterminé imposées par l'autorité
judiciaire, répond à un impératif de sécurité. Par ailleurs, elle relève que la procédure d'authentification biométrique ne sera pas systématiquement mise en œuvre : il reviendra à l'agent du pôle centralisateur de déterminer, en cas d'alarme, s'il y a lieu de procéder à l'authentification biométrique. Enfin, ce dispositif sera, avant toute généralisation, expérimenté sur le placement sous surveillance électronique fixe.Dès lors, la commission estime, au regard des finalités des traitements PSE et PSEM, que la mise en œuvre d'un tel dispositif ne pose pas de difficulté de principe. Toutefois, au regard de sa sensibilité et de son caractère innovant, elle considère qu'il convient d'être particulièrement vigilant à l'égard de sa mise en œuvre. Elle prend dès lors acte qu'un bilan sera réalisé à l'issue de cette expérimentation et que les résultats de cette expérimentation lui seront communiqués.En deuxième lieu, le projet de décret vise à assigner de nouvelles finalités aux deux traitements concernés. Il s'agit d'ajouter une finalité d'aide à l'enquête judiciaire à ces traitements, qui constituent des outils de suivi de l'application des peines ou de mesures de sûreté.En ce qui concerne le PSEM, la commission relève que l'article 763-13 du CPP permet la consultation de ce traitement pour des procédures incidentes, dans le seul cadre des recherches relatives à une procédure concernant un crime ou un délit. Le législateur ayant expressément autorisé les officiers de police
judiciaire (OPJ) à consulter les données figurant dans ce traitement dans ces cadres d'enquête, la commission estime que l'ajout de cette nouvelle finalité n'appelle pas d'observation.En revanche, la commission s'interroge sur la possibilité d'étendre la consultation dudit traitement aux recherches menées en application des articles 74 (enquêtes pour mort suspecte et blessures graves), 74-1 (disparitions inquiétantes) et 74-2 (recherche des personnes en fuite) du CPP, en l'absence d'autorisation législative expresse.En ce qui concerne le PSE, la commission relève qu'il n'existe pas de fondement législatif permettant d'assigner cette nouvelle finalité au traitement, à la différence du traitement PSEM.Elle estime en effet que l'article 723-9 du CPP, qui permet uniquement aux services de police ou de gendarmerie de constater l'absence irrégulière du condamné et d'en faire rapport au juge de l'application des peines, ne peut justifier la possibilité de consulter le traitement dans des procédures pour crimes ou délits et que cette disposition ne saurait dès lors fonder l'ajout de cette nouvelle finalité d'aide à l'enquête judiciaire au traitement.En tout état de cause, elle rappelle que le traitement PSE ne constitue pas un outil de police judiciaire mais un traitement mis en œuvre dans le cadre de l'application des peines, permettant de contrôler le déroulement d'une mesure de placement sous surveillance électronique.Dès lors, en l'absence d'un fondement législatif exprès, la
commission est réservée sur l'assignation au traitement PSE, qui ne constitue pas un outil d'aide à l'enquête, de la finalité mentionnée au 4° de l'article R. 57-30-1 du CPP tel que prévu par le projet de décret.Elle rappelle néanmoins qu'en tout état de cause les officiers de police judiciaire ont la possibilité de procéder, à l'occasion de tous les cadres d'enquête précités, aux actes prévus par les articles 56 à 62 du CPP, de sorte qu'ils peuvent avoir communication des données enregistrées dans les traitements PSEM et PSE par l'intermédiaire d'une réquisition judiciaire.Sur les données collectées et les durées de conservation :Le projet de décret procède à des ajustements concernant différents identifiants nécessaires à la mise en œuvre du placement sous surveillance électronique.Ainsi, le numéro d'identifiant de placement sous surveillance électronique fixe et le numéro d'identifiant de placement sous surveillance électronique mobile (articles R. 57-30-2 et R. 61-14 du CPP tels que prévus par le projet de décret) sont des numéros uniques créés lors du premier enregistrement de la fiche nominative de la personne concernée. Ainsi, à chaque personne placée sous surveillance électronique est associé un numéro de ce type, permettant, pour le ministère, de s'assurer que seules les personnels ayant à connaître de l'identité des personnes placées le pourront, les autres n'ayant accès qu'au numéro de placement.Le projet de décret prévoit en outre d'ajouter, au titre des données
collectées dans les deux traitements, le  numéro de dossier généré par le traitement dénommé APP1 créé par l'article R. 57-4-1 . Le traitement APP1, mis en œuvre par le ministère de la justice, constitue l'outil  métier  des services pénitentiaires d'insertion et de probation (SPIP) leur permettant de gérer l'ensemble de leurs missions. L'article R. 57-4-10 du CPP prévoit expressément que ce traitement peut faire l'objet d'une interconnexion avec les traitements automatisés relatifs au PSEM et au PSE. Certaines données sont communes entre ces différents traitements et cette interconnexion permettra ainsi de les fiabiliser et d'éviter les doubles saisies, sources d'erreurs. La commission prend toutefois acte qu'en pratique, cette interconnexion n'est actuellement pas mise en œuvre et que cette donnée est pour l'instant enregistrée de manière manuelle.Il est enfin ajouté aux articles R. 57-30-2 et R. 61-14 du CPP un nouvel alinéa relatif aux données à caractère personnel concernant  les personnes référentes du suivi de la personne assignée  (noms, prénoms, qualités et coordonnées professionnelles).Ces modifications n'appellent pas d'observation particulière de la part de la commission.S'agissant des durées de conservation des données enregistrées dans ces traitements, la commission relève que les durées actuellement définies par l'article 4 de l'arrêté du 24 juillet 2003 susvisé, pour le PSE, et l'article R. 61-15 du CPP, pour le PSEM, ne sont pas modifiées par le présent
projet de décret.En revanche, des durées de conservation spécifiques sont prévues s'agissant des nouvelles catégories de données collectées.Ainsi, il est prévu que les enregistrements de communication soient conservés trois mois après leur enregistrement. Cette durée de conservation a été alignée sur celle prévue à l'article 727-1 du CPP relatif à la conservation des communications téléphoniques émises par les détenus depuis les établissements pénitentiaires.Les données biométriques seront quant à elles conservées jusqu'à la fin de la mesure. Au regard de la finalité pour laquelle elles sont collectées (authentification de la personne placée), la commission estime que cette durée de conservation ainsi définie est proportionnée.Par ailleurs, la commission prend acte qu'une fonctionnalité de purge automatique sera mise en œuvre dans le cadre de ces deux traitements, ce qui constitue une garantie importante permettant de s'assurer du respect des durées de conservation définies par le projet de décret.Sur les destinataires :A titre liminaire, il convient de relever que les futurs articles R. 57-30-4 et R. 61-16 du CPP tels que prévus par le projet de décret prévoient que les personnels des services centraux et déconcentrés de la direction de l'administration pénitentiaire (DAP) et du secrétariat général (SG) du ministère de la justice pourront  enregistrer, conserver, modifier ou traiter  des données.Interrogé sur ce point, le ministère de la justice a précisé qu'il s'agissait
des personnels techniques du ministère (SDIT, DES) devant intervenir sur les traitements en cause en cas de problème technique.La commission rappelle néanmoins que si les  fonctions support  ne nécessitent pas d'accéder aux données à caractère personnel, ces personnels ne devraient pas apparaître au titre des destinataires.Par ailleurs, au regard des précisions apportées par la chancellerie, il apparaît que les personnels mentionnés aux articles R. 57-30-5-1° et R. 61-17-1° du CPP tels que prévus par le projet de décret sont, pour certains, déjà couverts par les articles R. 57-30-4 et R. 61-16 du même code, de sorte que l'articulation entre ces dispositions n'est pas claire.En outre, la commission relève que d'autres personnels (membres de la DAP et de ses services déconcentrés, de la direction des affaires criminelles et des grâces, du cabinet du garde des sceaux et de la protection judiciaire de la jeunesse pour le placement sous surveillance électronique fixe) auront un accès direct aux données enregistrées dans les deux traitements, dans le cadre de l'organisation de permanences. Elle prend acte de l'engagement du ministère de la jhustice, conformément à l'article 29 de la loi du 6 janvier 1978 modifiée, de compléter le projet de décret afin de les mentionner expressément au titre des personnels habilités à recevoir communication de données.Enfin, s'il n'est pas nécessaire de le mentionner dans le décret, il convient de relever qu'un prestataire privé, en charge du
centre de production technique regroupant des équipements informatiques et de télécommunication, participe de la mise en œuvre du dispositif. Les personnels du prestataire de télésurveillance auront accès à certaines données à caractère personnel (identifiant unique du placé dans le cadre de la gestion de la mesure et de la gestion des alarmes par exemple), aussi bien concernant le PSE que le PSEM.Sur les droits des personnes :Le projet de décret ne modifie pas les modalités d'information des personnes placées sous surveillance électronique fixe et mobile. La personne est ainsi informée, lors de la pose du dispositif, des modalités de déroulement de la mesure et du fait que ses données à caractère personnel font l'objet d'un traitement, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée. Une information sera en outre délivrée concernant l'enregistrement des conservations téléphoniques. La commission estime qu'une fois la fonctionnalité de biométrie vocale opérationnelle, les personnes placées sous surveillance électronique devront également en être informées.Les modalités d'exercice des droits d'accès et de rectification des personnes concernées par ces dispositifs, qui s'exercent de manière directe auprès du directeur de l'administration pénitentiaire, ne sont pas modifiées.Enfin, la commission prend acte que le droit d'opposition sera exclu pour les traitements envisagés. Elle rappelle cependant qu'une disposition doit le prévoir expressément, conformément au
dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée.Sur la sécurité des données et la traçabilité des actions :Au regard du caractère particulièrement intrusif des dispositifs de placement sous surveillance électronique, les mesures de sécurité envisagées et le respect des obligations prévues par l'article 34 de la loi du 6 janvier 1978 modifiée revêtent une importance particulière.A cet égard, la commission relève qu'un audit de sécurité a été réalisé dans le cadre de l'homologation du système.Tous les flux de communications entre les dispositifs, les sous-systèmes et le système d'information sont chiffrés. Chaque flux est chiffré avec une clé spécifique et les connexions au réseau sont exclusivement initiées par les dispositifs.Le portail sécurisé nommé SEQUOIA, commun aux deux traitements, est hébergé dans le centre d'hébergement sécurisé du prestataire. Le prestataire ne dispose pas de droit permettant l'accès aux données nominatives. L'application permettant l'enregistrement et la consultation des données dans lesdits traitements est quant à elle hébergée dans les locaux du ministère de la justice.S'agissant de l'accès au système d'information SEQUOIA par les personnels du ministère de la justice, la commission prend acte qu'il se fait au travers d'un portail unique de connexion sécurisé sur la base des autorisations attribuées à chaque utilisateur authentifié à travers les seuls ordinateurs configurés dans les pôles centralisateurs et dans les SPIP.