AgentPublic/cnil huggingface dataset:
relaxées par la suite.Sur les modalités de transmission des données :Le projet de décret examiné par la commission prévoit que le greffe de la juridiction ayant prononcé la condamnation est chargé de transmettre cette dernière, dès qu'elle a acquis un caractère exécutoire, aux services de l'administration centrale du ministère chargé du travail. Il précise que cette transmission, qui peut être assurée par voie dématérialisée, doit intervenir dans des conditions de nature à en assurer l'intégrité et la confidentialité.Dans un premier temps, à savoir pour une période maximale d'un an à compter de la publication du projet de décret au Journal officiel, il est prévu que les greffes transmettent les décisions par télécopie, étant précisé que le terminal de destination devra faire l'objet d'une protection appropriée (local sécurisé).Dans un second temps, la transmission sera opérée par l'intermédiaire de l'application CASSIOPEE lorsqu'elle sera étendue aux juridictions du second degré.La commission prend ainsi acte du fait que les transmissions dématérialisées ne pourront intervenir que dans des conditions de nature à en assurer l'intégrité et la confidentialité.Sur les modalités de diffusion des données sur internet :Le projet de décret soumis à la commission précise que l'autorité responsable du site internet du ministère chargé du travail prend toutes les mesures nécessaires pour assurer la protection des données identifiantes, notamment en empêchant leur indexation par les
moteurs de recherche externes ou leur reproduction sur internet ou sur un autre support électronique.La commission prend ainsi acte du fait que le site intemet du ministère chargé du travail comprendra une page d'avertissement précisant les conditions de consultation et d'utilisation des données, sur laquelle il sera indiqué qu'il est interdit d'extraire, de détenir, de modifier ou de reproduire les condamnations diffusées. Cette page précisera également que l'indexation ou le référencement des pages par les moteurs de recherche ne sont pas autorisés. Chaque internaute, avant de consulter les listes de condamnations, devra accepter ces conditions en cochant une case prévue à cet effet.La commission relève enfin que le responsable de traitement a choisi de recourir à un fichier robot.txt pour empêcher les moteurs de recherche externes de procéder à une indexation des données et, afin de limiter la diffusion des données, d'enregistrer les condamnations au format image.La commission constate ainsi avec satisfaction que les demandes qu'elle a formulées par le passé s'agissant de la non-indexation d'informations directement identifiantes par des moteurs de recherche ont été prises en compte.A cet égard, la commission rappelle que ses recommandations en matière de non-indexation ne visent pas à empêcher la diffusion des données, ce qui serait contraire à l'objectif de transparence du législateur, mais à s'assurer du respect des dispositions des 4° et 5° de l'article 6 de la loi du
6 janvier 1978 modifiée, qui concernent le respect des durées de conservation et la mise à jour des informations rendues publiques, s'agissant des données directement identifiantes.Sur la durée de conservation des données :La durée maximale de deux ans pendant laquelle les informations sont mises à la disposition du public, soit la durée de la peine complémentaire prononcée, n'apparaît pas excessive au regard de la finalité poursuivie.La commission relève, par ailleurs, que le projet de décret indique que les données transmises au responsable de traitement sont conservées pendant cinq ans. Ce délai d'archivage visant à permettre de répondre à une éventuelle contestation quant à une diffusion erronée, d'une part, et à réaliser des bilans ou analyses statistiques dans des conditions d'anonymisation intégrale, d'autre part, n'apparaît pas excessif au regard de la finalité poursuivie.Des mesures de sécurité adaptées, ainsi qu'une traçabilité renforcée, devront toutefois être mises en œuvre par le responsable de traitement pour éviter que les données archivées puissent être consultées sans justification et, le cas échéant, pour détecter et mettre un terme à d'éventuels accès illégitimes.Sur l'information des personnes :Les personnes concernées par la diffusion sur internet d'une condamnation pénale prononcée en matière de travail illégal seront informées, par le greffe compétent, de la transmission de la décision judiciaire au ministère du travail en vue d'une diffusion sur
internet.La commission prend acte que le ministère a également prévu que ces personnes bénéficieront, conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, d'une information délivrée à partir de son site internet.Ces éléments n'appellent pas d'observation de la commission.Sur les droits d'accès, de rectification et d'opposition pour motif légitime :La mise en œuvre du traitement résultant du respect d'une obligation légale incombant au responsable de traitement, le consentement des personnes concernées n'est pas requis, conformément aux dispositions de l'article 7 de la loi du 6 janvier 1978 modifiée. Le projet de décret est ainsi fondé à écarter l'exercice du droit d'opposition prévu par l'article 38 de cette loi.La commission prend acte du fait que le projet de décret prévoit que le responsable de traitement doit prendre les mesures nécessaires pour assurer l'intégrité et la sécurité des données diffusées, d'une part, et mentionne la possibilité pour les personnes concernées d'exercer auprès du ministère un droit de rectification des données erronées ou inexactes, d'autre part.A cet égard, la commission estime que le projet de décret devrait être complété pour mentionner également que les personnes concernées peuvent exercer leur droit d'accès aux données, tel que prévu par les articles 29-2° et 39 de la loi du 6 janvier 1978 modifiée.Sur la sécurité des données et la traçabilité des actions :Les habilitations d'accès au système d'information sont paramétrées
selon les rôles des intervenants, avec des profils définissant les fonctions et les types d'informations accessibles à chaque utilisateur.La commission recommande que la gestion et l'usage des habilitations fasse l'objet de procédures formalisées, validées par le responsable de traitement et portées à la connaissance des utilisateurs.Les transferts de données sont chiffrés et sécurisés par l'utilisation de réseaux isolés (VLAN) et compartimentés (DMZ, Firewall, Reverse Proxy).Les protocoles SSH (avec authentification) et SFTP (avec authentification) sont utilisés pour la mise à jour de l'application. Les mots de passe ont au minimum 6 caractères et sont stockés dans la base de données après avoir été hachés en MD5.La commission recommande en outre d'utiliser la version de TLS la plus à jour, d'avoir recours à des mots de passe d'une longueur minimale de dix caractères, composés de minuscules, majuscules, chiffres et caractères spéciaux, et de les stocker en base avec une fonction de type HMAC / PBKDF ou assimilée, utilisant une clé spécifique pour la base ou un sel par entrée et une fonction de hachage à l'état de l'art (SHA 256 ou SHA3 actuellement).La commission prend acte du fait que la transmission des données par les greffes se fera de manière dématérialisée, tout d'abord par fax vers un terminal de réception situé dans un local sécurisé, puis par l'intermédiaire de l'application CASSIOPEE,La commission rappelle que l'échange de données inter-applicatif entre
l'application CASSIOPEE et le système d'information permettant la diffusion des condamnations devra avoir fait l'objet d'une homologation selon le Référentiel Général de Sécurité (RGS), afin d'attester de la sécurité des échanges de données.Les sauvegardes de données sont effectuées chez un prestataire externe. La commission recommande que les sauvegardes soient chiffrées, ainsi que les flux vers le prestataire de sauvegarde.Les informations nominatives qui sont traitées sont limitées aux images résultant de la numérisation des décisions. Celles-ci sont effacées à l'issue du délai prévu. Parallèlement, des informations statistiques non nominatives concernant les peines sont collectées et saisies dans un fichier bureautique réservé à un usage interne.La limitation de la réutilisation des données publiées sur internet est réalisée à travers le paramétrage d'un fichier interdisant leur indexation par les moteurs de recherche et par leur publication au format image.La commission relève que la direction générale du travail assume le risque résiduel d'une recopie à la main des données ou d'une prise de photographie, étant précisé que la page concernée avertira les visiteurs de l'interdiction de reproduction. La commission considère que cette position est acceptable au vu de l'objectif du traitement.L'hébergement est externalisé. La mise au point du site de publication s'effectue avec des données fictives sur ILI serveur de pré-production accessible par le responsable de
traitement. Le transfert du site vers le serveur de production est effectué par I'hébergeur, sans recopie des données.La mise à jour des données pour publication s'effectue directement sur le serveur de production à l'aide d'un compte utilisateur disposant des droits suffisants. L'architecture choisie est celle d'un site internet dynamique alimenté par une base de données (application de gestion de contenu).Les accès à l'application font l'objet d'une joumalisation répertoriant l'identification de l'utilisateur et l'opération effectuée. La commission recommande d'y ajouter l'horodatage et la référence des données consultées.La commission recommande qu'un contrôle des traces soit effectué de manière automatique, pour détecter les comportements anormaux et assorti d'une levée d'alerte. Elle recommande également que des mesures soient mises en œuvre pour assurer l'intégrité des traces.Afin de protéger l'intégrité et la disponibilité des données publiées contre des attaques en ligne, les droits d'accès des différentes briques techniques du site internet ont été restreints.En complément, considérant la sensibilité particulière des données traitées, la commission recommande à la direction générale du travail d'imposer à son hébergeur un maintien en conditions de sécurité du site internet, en s'assurant notamment que le système de gestion de contenu et ses infrastructures sont dotés de versions récentes et maintenus à jour de leurs correctifs de sécurité.Au-delà de ces mesures, la
commission suggère au responsable de traitement d'utiliser un outil permettant de générer un site de production statique (HTML + images) à partir du système de gestion de contenu. Un site statique est en effet plus simple à sécuriser et sa mise à jour régulière présente l'avantage d'écraser automatiquement toute altération malveillante des données diffusées.Sous réserve de ses observations, la commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité, au regard de la réévaluation régulière des risques et de l'évolution des technologies.
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de l'intérieur d'une demande d'avis relative à un projet de décret portant modification des articles 5 du décret n° 2010-569 du 28 mai 2010 et R. 232-14 et R. 232-15 du code de la sécurité intérieure ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu la directive 2004/82/CE du Conseil du 29 avril 2004 concernant l'obligation pour les transporteurs de communiquer les données relatives aux passagers ;Vu le code de procédure pénale, notamment son article 695-23 ;Vu le code de la sécurité intérieure, notamment ses articles L. 232-7, R. 232-12 à R. 232-18 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2010-569 du 28 mai 2010 modifié relatif au fichier des personnes recherchées ;Vu le décret n° 2013-728 du 12 août 2013 portant organisation de l'administration centrale du ministère de l'intérieur et du ministère
des outre-mer ;Vu le décret n° 2014-1095 du 26 septembre 2014 portant création d'un traitement de données à caractère personnel dénommé  système API-PNR France  pris pour l'application de l' article L. 232-7 du code de la sécurité intérieure ;Vu le décret n° 2014-1566 du 22 décembre 2014 portant création d'un service à compétence nationale dénommé  Unité Information Passagers  (UIP) ;Vu la délibération n° 2014-308 du 17 juillet 2014 portant avis sur un projet de décret relatif à la création d'un traitement de données à caractère personnel dénommé  système API-PNR France  pris pour l'application de l' article L. 232-7 du code de la sécurité intérieure et fixant les modalités de transmission au service à compétence nationale  Unité Information Passagers  des données relatives aux passagers par les transporteurs aériens ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie, le 27 mai 2015, d'une demande d'avis relative à un projet de décret en Conseil d'Etat portant modification des articles 5 du décret du 28 mai 2010 susvisé et R. 232-14 et R. 232-15 du code de la sécurité intérieure (CSI).Ce projet de décret est pris en application de l'article L. 232-7 du CSI qui permet la mise en œuvre d'un traitement automatisé de données à caractère personnel pour les besoins de la prévention et de la constatation des actes de terrorisme, des infractions mentionnées à l' article 695-23 du code de procédure pénale et des atteintes aux intérêts fondamentaux de la Nation, du rassemblement des preuves de ces infractions et de ces atteintes ainsi que de la recherche de leurs auteurs.Cet article prévoit qu'un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, en détermine les modalités d'application. Celle-ci a ainsi été amenée à se prononcer sur le traitement de données à caractère personnel dénommé  système API-PNR France , fixant les modalités de transmission au service à compétence nationale  Unité Information Passagers  des données relatives aux passagers par les transporteurs aériens.Ce traitement, qui relève des dispositions de l'article 26 de la loi du 6 janvier
1978 modifiée, a été autorisé par le décret du 26 septembre 2014 susvisé et codifié aux articles R. 232-12 à R. 232-18 du CSI, pris après avis de la commission en date du 17 juillet 2014. Les modifications apportées au décret du 28 mai 2010 précité et auxdites dispositions réglementaires du CSI nécessitent un avis motivé et publié de la commission.
Rappel sur le traitement  Système API-PNR France
A titre liminaire, la commission rappelle que l'article L. 232-7-Il du CSI autorise le traitement des données d'enregistrement (dites  API  ou  Advance Passenger Information) relatives aux passagers des vols à destination et en provenance du territoire national, à l'exception des vols reliant deux points de la France métropolitaine, ainsi que les données relatives aux passagers enregistrées dans les systèmes de réservation des transporteurs aériens (dites  PNR  ou  Passenger Name Record ), à l'exception de toute donnée sensible au sens de l'article 8 de la loi du 6 janvier 1978 modifiée.Ce traitement est mis en œuvre à titre expérimental jusqu'au 31 décembre 2017. Il doit permettre de répondre aux besoins des services opérationnels des agents de la police nationale, de la gendarmerie nationale et des douanes ainsi que des services de renseignement spécialisés, dans le cadre des finalités limitativement énumérées à l'article L. 232-7 du CSI. En particulier, il s'agit de vérifier si une personne ou, le cas échéant, un objet, n'est pas recherché et, d'autre part, de déterminer si un passager, compte tenu de ses habitudes de voyage, présente un risque particulier au regard de ces mêmes finalités.Les données ainsi collectées sont transmises par les compagnies aériennes à une unité d'information passagers (UIP), qui a vocation à recueillir les données, à les exploiter et à transmettre le résultat des requêtes aux services demandeurs. Ce service, créé par le décret du 22 décembre
2014 susvisé, à caractère interministériel et à compétence nationale, est rattaché au ministre chargé des douanes.Le traitement  API-PNR  permet d'effectuer un rapprochement entre les données collectées et d'autres fichiers de police judiciaire ou administrative, relatifs à des personnes ou des objets recherchés ou surveillés, et d'expérimenter de nouvelles modalités d'exploitation de ces données. En particulier, l'exploitation des données API et PNR permettra le ciblage des individus au travers de différents critères préétablis ainsi que leur classement sur une échelle de risques, grâce à l'utilisation d'un outil de scoring.Le présent projet de décret et les modifications envisagées dans les conditions de mise en oeuvre de ce traitement appellent les observations suivantes.Sur la modification du décret n° 2010-569 du 28 mai 2010 modifié relatif au fichier des personnes recherchéesLe FPR est un traitement mis en oeuvre par le ministre de l'intérieur, dans les conditions fixées par le décret du 28 mai 2010 susvisé, qui a pour finalité de faciliter les recherches et les contrôles effectués, dans le cadre de leurs attributions respectives, par les services de la police nationale, les unités de la gendarmerie nationale et les agents des douanes.L'inscription au FPR intervient pour des motifs judiciaires et administratifs, les personnes recherchées étant enregistrées dans différentes catégories de recherches, chaque catégorie comprenant des motifs de recherches associés à une
conduite à tenir.L'article ler du présent projet de décret vise à modifier l'article 5 du décret relatif au fichier des personnes recherchées, afin de permettre aux agents de l'UIP d'accéder directement au fichier des personnes recherchées.En effet, le système  API-PNR France  doit permettre, à chaque réception des données API et PNR par l'UIP, de les comparer automatiquement et systématiquement avec certains fichiers relatifs à des personnes ou des objets recherchés ou surveillés, dont le FPR. Cette fonctionnalité de  criblage  s'exécute automatiquement lors de l'arrivée de nouveaux flux de données en provenance des compagnies aériennes et doit permettre de déterminer si des personnes ou des objets inscrits dans ces fichiers figurent sur un vol concerné par le traitement.La rédaction projetée de l'article 5 du décret précité doit permettre aux seuls agents individuellement désignés et spécialement habilités par le directeur de l'UIP d'accéder au FPR, dans le cadre des  finalités du système API-PNR France .A cet égard, la commission relève que ces agents sont chargés de répondre aux requêtes formulées par les unités et services mentionnés à l'article R. 232-15 du CSI, dans les conditions fixées aux articles R. 232-13 et suivants du même code.Elle prend en outre acte des précisions du ministère selon lesquelles cet accès doit uniquement permettre aux agents concernés de procéder à l'opération de levée de doute en cas de signalement positif suite aux opérations de criblage
entre le traitement  API-PNR France  et le FPR. A cet égard, la commission rappelle que, au titre des garanties mises en oeuvre dans le cadre du  système API-PNR France , le ministère avait indiqué que les données API et PNR ne seraient pas criblées avec l'ensemble des fiches FPR, mais uniquement avec celles qui correspondent au seuil infractionnel prévu à l'article L. 232-7 du CSI, Il en résulte que les agents de l'UIP ne devraient pas accéder à l'ensemble des fiches contenues dans le FPR.Or, elle relève que la rédaction projetée de l'article 5 du décret relatif au FPR, d'ordre général, renvoie uniquement aux finalités poursuivies par le traitement  API-PNR France  et ne permet pas de définir précisément les finalités pour lesquelles ces agents pourraient accéder directement au FPR, à savoir effectuer l'opération de levée de doute en cas de signalement positif.La commission demande dès lors que l'article 1er du projet de décret soit modifié afin de limiter l'accès au FPR à cette seule mission.Enfin, si elle prend acte des précisions apportées par le ministère selon lesquelles la mise en oeuvre de cette fonctionnalité de  criblage  est actuellement limitée au seul FPR, la commission rappelle qu'elle devra être préalablement saisie si des modifications de même nature étaient envisagées s'agissant des autres fichiers également concernés par cette fonctionnalité.Sur la modification de l'article R. 232-14 du CS1L'article 2 du projet de décret vise à modifier les dispositions de
l'article R. 232-14 du CSI portant sur les données à caractère personnel et informations relatives aux passagers aériens enregistrées dans le traitement  API-PNR France .En premier lieu, la modification vise à permettre l'enregistrement dans ce traitement, pour la seule durée nécessaire aux opérations de vérification des données transmises aux services demandeurs et pour un maximum de 24 heures, de l'intégralité de la fiche résultant de la mise en relation des données mentionnées aux a et b de l'article R. 232-14 du CSI avec le fichier des personnes recherchées, le système d'information Schengen de deuxième génération (SIS II), le fichier des objets et des véhicules signalés, le système informatisé concourant au dispositif de lutte contre les fraudes et le fichier des documents de voyage volés et perdus d'Interpol.La commission rappelle que, lors de l'examen du traitement  API-PNR , elle avait considéré que l'absence de conservation des fiches de recherche ou de surveillance concernées constituait une des garanties permettant d'assurer une meilleure protection des données des personnes concernées par le dispositif. Or, la modification envisagée vise à autoriser la conservation, dans le système  API-PNR , de l'intégralité de la fiche ayant donné lieu à un  hit positif  et non plus seulement de certaines informations figurant dans celle-ci (numéro et type de fiche, conduite à tenir).Si la commission prend acte que cette conservation, dont la durée est strictement limitée, a
uniquement pour objet de permettre aux agents de l'UEP de procéder à l'opération de levée de doute en cas de signalement positif suite aux opérations de rapprochement entre le système  API-PNR France  et ces différents traitements, elle regrette cependant de ne pas avoir été destinataire de davantage d'informations et demande que le bilan de l'expérimentation de ce traitement fasse précisément état des  considérations techniques [qui] imposent de modifier les modalités de criblage .En second lieu, l'article 2 du projet de décret prévoit que : Les fiches du fichier des personnes recherchées sont extraites d'une copie partielle et actualisée du traitement, non accessible aux agents de l'UIP, conservée en permanence au sein de la base technique du traitement API-PNR. La commission prend acte des précisions apportées par le ministère selon lesquelles cette copie partielle de la base du FPR vise à tenir compte de la vétusté de son paramétrage technique, laquelle nécessite qu'une copie du FPR soit effectuée.Néanmoins, elle rappelle que cette copie doit être strictement limitée aux données de rapprochement des signalements FPR conformes au seuil infractionnel prévu à l'article L. 232-7 du CSI. A cet égard, le ministère a indiqué que seules ces données feraient effectivement l'objet d'une extraction régulière, à partir desquelles un fichier au format XML sera produit avec, pour chaque signalement sélectionné, un nombre limité d'informations.Il a également été indiqué que  cette base