AgentPublic/cnil huggingface dataset:
L'article 3 du projet de décret prévoit notamment que les données enregistrées dans le traitement sont conservées pendant une durée de trois mois à compter de la date de leur enregistrement et qu' en cas de modification dans ce délai, la durée de conservation est prorogée de trois mois à compter de la date de la dernière modification. La durée maximale de conservation ne peut excéder un an .
La commission prend acte des précisions apportées par le ministère selon lesquelles la modification du contenu d'une note ne peut intervenir que dans les trois hypothèses suivantes :
- lorsqu'une même personne est concernée par plusieurs interventions successives ;
- lorsque la note est mise à jour ou étayée au regard des éléments obtenus ou par les résultats des opérations menées ;
- lorsqu'un personnel de la gendarmerie ayant accès au traitement corrige ou complète les notes après relecture, celle-ci pouvant intervenir à une date ultérieure à celle de la création de la note.
Elle prend également acte que toute modification d'un des éléments de la note entraîne de manière systématique un report de la durée de conservation de trois mois, dans la limite d'un an, le ministère ayant précisé que cette durée de conservation permet de s'adapter :
- au temps de réalisation des enquêtes qui peut être variable et de tenir compte des périodes d'absence des personnels ;
- aux délais parfois nécessaires pour rassembler certains éléments permettant de juger de l'opportunité d'ouvrir une procédure ;
- au délai de traitement des procédures dans les unités, qui est en moyenne de quatre mois, et pendant lequel certaines informations peuvent être vérifiées ou reprises.
En outre, la commission prend acte que les notes ne sont pas automatiquement supprimées lorsque leur contenu est transféré vers le traitement LRPGN. Celles-ci ne sont en effet automatiquement supprimées, par défaut, qu'à l'issue du délai de conservation fixé, qui peut aller de trois mois jusqu'à un an en cas de modifications successives. Elle relève que l'utilisateur conservera la possibilité, à tout moment, de supprimer la note qu'il a créée par une action manuelle.
La commission relève qu'il ressort de l'article 75-1 du code de procédure pénale que, lorsqu'il donne instruction aux officiers de police judiciaire de procéder à une enquête préliminaire, le procureur de la République fixe le délai dans lequel cette enquête doit être effectuée et peut le proroger. Cette même disposition prévoit que dans le cas où l'enquête est menée d'office, les officiers de police judiciaire rendent compte au procureur de la République de son état d'avancement lorsqu'elle est commencée depuis plus de six mois.
Si la commission prend acte des précisions apportées par le ministère selon lesquelles certaines des informations contenues dans le traitement projeté peuvent être utiles y compris après la clôture d'une enquête, elle recommande que, par principe, les données soient supprimées dès la fin du délai, éventuellement prorogé, fixé par le procureur de la République lorsque celui-ci est différent du délai de conservation initialement déterminé, ou dès lors que l'enquête est achevée et qu'il n'y a plus de nécessité de les conserver et ce, sans attendre la suppression automatique des données à l'issue du délai de conservation maximale d'un an des données.
Dans ces conditions, la commission considère que les données sont conservées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 4-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
L'article 4 du projet de décret liste les accédants et les destinataires à tout ou partie des données et informations enregistrées dans le traitement à raison de leurs attributions et dans la limite du besoin d'en connaître.
A titre liminaire, la commission relève que l'analyse d'impact transmise énumère une liste des données accessibles pour chaque catégorie de destinataires.
En premier lieu, l'article 4 du projet de décret prévoit qu'ont accès à tout ou partie des données et informations enregistrées dans le traitement, à raison de leurs attributions et dans la limite du besoin d'en connaître :
- le militaire de la gendarmerie nationale qui a rédigé la note et les autres militaires de la gendarmerie nationale affectés dans son unité, sauf s'il s'y oppose. Dans ce cas, seuls les militaires individuellement désignés par le rédacteur de la note affectés dans son unité peuvent y accéder ;
- les militaires de la gendarmerie nationale d'une autre unité individuellement désignés par le rédacteur de la note.
Compte tenu des finalités assignées au traitement GendNotes , l'accès au traitement prévu pour ces personnes n'appelle pas d'observations particulières de la part de la commission.
En second lieu, ce même article prévoit par ailleurs que sont destinataires de tout ou partie des données et informations enregistrées dans le traitement, à raison de leurs attributions et dans la limite du besoin d'en connaître :
- les autorités judiciaires ;
- les autorités administratives, à savoir le préfet et le sous-préfet territorialement compétents, le maire de la commune concernée ainsi que le Haut-Commissaire de la République en Nouvelle-Calédonie et en Polynésie française.
De manière générale, la commission estime que la transmission aux destinataires précités de données enregistrées dans le traitement ne saurait conduire à étendre le périmètre des informations dont ils sont susceptibles d'avoir connaissance au moyen de leur accès à d'autres traitements. Elle appelle par conséquent l'attention du ministère sur la nécessité de contrôler de façon stricte les attributions et le besoin d'en connaître de ces destinataires en application des dispositions légales en vigueur.
En outre, la commission prend acte que les autorités judiciaires visées dans le projet de décret sont le procureur de la République territorialement compétent et les autres magistrats de son parquet et qu'elles peuvent seulement être destinataires des catégories de données relatives au message de placement en garde à vue et aux données relatives aux infractions de police de la route.
La commission prend également acte que la transmission des informations enregistrées dans le traitement à des autorités administratives, prévue par le projet de décret, peut concerner l'ensemble des informations enregistrées dans le traitement dans la limite, le cas échéant, de leurs compétences et du besoin d'en connaître. Le ministère a cependant indiqué que la transmission de ces informations ne se fera pas via l'application GendNotes, en raison de l'absence de fonctionnalité dans l'application le permettant. Des informations enregistrées dans le traitement pourront ainsi être transmises en dehors du cadre de l'application, le ministère ayant précisé que cette transmission pourra se faire par oral, par mail ou par écrit.
A cet égard, la commission estime que, en l'absence de fonctionnalité permettant la transmission des informations dans l'application, une telle transmission ne pourra être opérée en dehors de ladite application que si des mesures suffisantes garantissent la confidentialité et la sécurité des données transmises. Compte tenu de la sensibilité de ces données, il conviendrait ainsi qu'elles soient transmises de manière chiffrée et que ces transmissions soient tracées.
Par ailleurs, la commission prend acte que, si des données peuvent être transmises hors de l'Union européenne, ces transferts ne seront pas automatisés et ne pourront être réalisés que dans le cadre de la coopération internationale en matière de police judiciaire et aux services de police étrangers, conformément à l'article L. 235-1 du code de la sécurité intérieure. Ils seront soumis au secret des enquêtes selon les modalités prévues dans le cadre de l'entraide pénale internationale. Si la commission prend également acte que des données pourront ainsi être transférées à des organismes de coopération internationale en matière de police judiciaire , elle regrette que le ministère n'ait pas détaillé la liste de ces organismes.
La commission rappelle que les transferts de données vers des États n'appartenant pas à l'Union européenne ou vers des destinataires établis dans des États n'appartenant pas à l'Union européenne ne pourront être opérés que sous réserve du respect des conditions énoncées à l'article 112 de la loi du 6 janvier 1978 modifiée. Le cas échéant, il conviendra notamment que des garanties appropriées en matière de protection des données à caractère personnel soient fournies par un instrument juridiquement contraignant. En l'absence de décision d'adéquation adoptée par la commission européenne ou de garanties appropriées, et par dérogation à l'article 112 précité, de tels transferts ne pourront alors être réalisés que sous réserve de respecter les conditions énoncées à l'article 113 de la loi du 6 janvier 1978 précitée.
Ces éléments rappelés, la commission considère que la consultation des données par les personnes mentionnées à l'article 4-II du projet de décret apparaît justifiée et proportionnée.
Sur les droits des personnes :
En premier lieu, l'article 5 du projet de décret prévoit que le droit d'opposition prévu à l'article 110 de la loi du 6 janvier 1978 modifiée ne s'applique pas au traitement projeté.
La commission relève à cet égard que cet article 110 prévoit la possibilité d'écarter le droit d'opposition lorsque le traitement répond à une obligation légale ou lorsqu'une disposition expresse de l'acte réglementaire autorisant le traitement l'exclut.
En l'espèce, la commission considère que l'exclusion du droit d'opposition telle que prévue par l'article 5 du projet de décret est strictement proportionnée au regard des finalités poursuivies par le traitement projeté, à savoir la dématérialisation de la prise de notes par les militaires de la gendarmerie nationale, d'une part, et le pré-renseignement d'autre applications utilisées par les militaires de la gendarmerie nationale par des données à caractère personnel et informations saisies lors de la rédaction d'une note, d'autre part. Compte tenu de ce qui précède, elle estime que la limitation portée à l'exercice du droit d'opposition n'est pas de nature à porter une atteinte excessive aux droits et libertés des personnes concernées.
En second lieu, ce même article précise que, conformément aux articles 104 à 106 de la loi du 6 janvier 1978 modifiée, les droits d'information, d'accès, de rectification, d'effacement et à la limitation des données s'exercent auprès de la direction générale de la gendarmerie nationale.
A cet égard, le traitement GendNotes pouvant enregistrer des données relatives à des personnes mineures, la commission rappelle que, selon le considérant 39 de la directive 2016/680 du 27 avril 2016 susmentionnée, afin de permettre aux personnes concernées d'exercer leurs droits, toute information qui leur est communiquée devrait être aisément accessible, y compris sur le site internet du responsable du traitement, et facile à comprendre, et formulée en des termes clairs et simples. Ces informations devraient être adaptées aux besoins des personnes vulnérables telles que les enfants .
L'article 5 du projet de décret indique également que ces droits peuvent faire l'objet de restrictions afin d'éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires ou d'éviter de nuire à la prévention ou à la détection d'infractions pénales, aux enquêtes ou aux poursuites en la matière ou à l'exécution de sanctions pénales, de porter atteinte à la sécurité publique ou à la sécurité nationale conformément aux 2° et 3° du II et du III de l'article 107 de la loi du 6 janvier 1978 modifiée.
Compte tenu de la finalité du traitement, la limitation de ces droits, qui s'exercent dans cette hypothèse auprès de la commission dans les conditions prévues à l'article 108 de la même loi, n'appelle pas d'observations particulières.
Sur la sécurité des données et la traçabilité des actions :
En premier lieu, concernant les modalités d'authentification des personnes, la commission constate que la politique de mots de passe prévue par le ministère n'est pas conforme à sa délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe, en ce qu'elle ne prévoit pas un verrouillage de l'accès au compte individuel après de multiples saisies erronées de mots de passe. La commission invite donc le ministère à revoir sa politique afin d'être en conformité avec sa doctrine et d'authentifier de façon fiable les utilisateurs du traitement.
En deuxième lieu, concernant les mesures de sécurité appliquées aux terminaux mobiles et aux supports de stockage amovibles de ces mêmes terminaux, la commission prend acte de ce qu'une fonctionnalité de verrouillage à distance a été mise en place afin de permettre le blocage du terminal en cas de perte ou de vol. Elle remarque néanmoins que, d'une part, le bon fonctionnement de cette fonctionnalité nécessite que le terminal ait accès à un réseau de communication, ce qui ne sera pas nécessairement le cas en cas de vol, et que, d'autre part, cette fonctionnalité est inopérante sur les supports de stockage amovibles.
De façon générale, la commission regrette fortement que le ministère n'ait pas prévu des mesures de chiffrement des terminaux ainsi que des supports de stockage ; ce type de mesure de sécurité, qui devient de plus en plus commun et facile à mettre en œuvre, apparaît comme étant le seul moyen fiable de garantir la confidentialité des données stockées sur un équipement mobile en cas de perte ou de vol.
En troisième lieu, concernant les mises à jour des logiciels utilisés sur les terminaux mobiles, le ministère a informé la commission de ce que les mises à jour seraient gérées en interne au ministère, et que les services informatiques locaux seront informés de la disponibilité de ces mises à jour afin qu'ils informent leurs utilisateurs, ceux-ci devant lancer eux-mêmes les mises à jour en question.
La commission considère que compte tenu des risques en cas de persistance de failles de sécurité sur les terminaux mobiles, le ministère devrait adopter une démarche plus proactive dans la distribution des mises à jour, et se réserver la possibilité d'imposer l'application d'une mise à jour aux utilisateurs lorsque les risques le justifient.
En quatrième lieu, concernant les échanges de données relatives aux gardes à vue, le ministère indique que ces données seront échangées par courriel en clair via un réseau inter administration partagé avec le ministère de la justice. Compte tenu de la sensibilité de ces données, la commission estime que celles-ci devraient être transmises sous forme chiffrée.
En cinquième lieu, concernant les mesures de journalisation, le ministère indique que les notes feront l'objet de mesures de traçabilité incluant les opérations de création et de suppression. Les opérations de modifications quant à elles ne seront pas tracées. Par ailleurs, une partie de la gestion des traces est déléguée à l'application LRPGN. Enfin, le ministère indique conserver les traces pendant une durée de six ans correspondant à la durée de prescription de l'action publique en matière délictuelle.
La commission considère que les opérations de modification et de consultation devraient également faire l'objet de mesures de traçabilité, et elle s'interroge sur la pertinence de la durée de conservation envisagée par le ministère. En effet, celle-ci étant supérieure à la durée de conservation des données dans le traitement, les éventuelles consultations hors cadre légal ne pourront être poursuivies une fois les données du traitement supprimées, les données de traçabilité devenant inutiles une fois les données du traitement supprimées.
En sixième lieu, concernant l'analyse d'impact sur la protection des données réalisée par le ministère, la commission rappelle que celle-ci vise à évaluer les risques pesant sur les personnes concernées, et non pas sur l'activité du responsable de traitement. A ce titre, les objectifs de sécurité doivent donc se baser sur les conséquences pour les personnes concernées par le traitement.
La commission prend acte de ce que les environnements de développement et de production sont distincts, et que la mise au point des logiciels s'effectue sur des données fictives.
Les autres mesures de sécurité n'appellent pas de remarque particulière de la commission.
La présidente,
M.-L. Denis
La Présidente
 x
 
Paris, le 20 février 2020
LRAR n°[…]
Références à rappeler dans toute correspondance :
N/Réf. : [...]
 Monsieur le Président,
Je fais suite à la décision n° 2019-025 prise le 5 novembre 2019 mettant en demeure la société X, ainsi qu’aux échanges qui ont suivi.
Au regard des éléments de réponse apportés et des mesures prises dans le sens d’une mise en conformité, je vous informe que j’ai décidé de procéder à la clôture partielle de votre dossier correspondant à la première phase de la mise en demeure relative au traitement des images issues du dispositif de vidéosurveillance et des mesures de sécurité relatives à l’accès aux flux vidéo des caméras connectées.
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture partielle fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet " www.legifrance.fr " et sur celui de la CNIL.
Je vous rappelle que la clôture en totalité de la procédure de mise en demeure ne pourra intervenir qu’une fois que vous nous aurez adressé, à l’issue du délai de deux mois et demi qui vous a été accordé, les documents attestant de votre mise en conformité quant à l’obligation de tenir un registre des activités de traitement, de délivrer une information spécifique relative à la vidéosurveillance auprès des salariés et de conclure un contrat avec votre prestataire informatique.
Je vous informe, également, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 20 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
 Les services de la Commission ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
 
 Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 52, 108 et 118 ;
Vu le décret n° 2019-539 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 141 à 143 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération n° 2019-016 du 21 février 2019 portant désignation des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits des personnes concernées prévu aux articles 41, 42 et 70-22 de la loi du 6 janvier 1978 modifiée ;
Après démission de M. Marc DANDELOT de ses fonctions de président du collège des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits ;
Après avoir procédé le 31 janvier 2020 à un vote dans les conditions fixées par l'article 71 du règlement intérieur,
Constate
Article 1
Mme Sophie LAMBREMON, conseiller honoraire à la Cour de cassation, est élue présidente du collège des membres de la Commission nationale de l'informatique et des libertés chargés de l'exercice indirect des droits.
Article 2
La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie, le 7 novembre 2019, par le ministre de la justice d’une demande d’avis concernant un projet de décret portant création d’un traitement automatisé de données à caractère personnel dénommé DataJust ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code de justice administrative, notamment son article L. 10 ;
Vu le code de l’organisation judiciaire, notamment son article L. 111-13 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 6-III ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2019-078 du 13 juin 2019 portant avis sur un projet de décret portant création d’un traitement automatisé de données à caractère personnel dénommé DataJust relatif à l’indemnisation des préjudices corporels et à l’évaluation des régimes de responsabilité civile ;
Vu le dossier et ses compléments ;
Après avoir entendu Mme Christine MAUGÜE, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
Le traitement DataJust vise à développer, pour une durée de deux ans, un dispositif algorithmique permettant de recenser, par type de préjudice, les montants demandés et offerts par les parties à un litige ainsi que les montants alloués aux victimes en indemnisation de leur préjudice corporel dans les décisions de justice rendues en appel par les juridictions administratives et les formations civiles des juridictions judiciaires.
La Commission relève ainsi que le dispositif envisagé reposera tout d’abord sur l’extraction, de manière automatique, des données contenues dans les décisions de justice et leur exploitation. Elle observe, qu’à terme, le traitement Datajust vise également à constituer un outil de restitution et de diffusion de ces montants relatifs à l’indemnisation du préjudice corporel des victimes.
La Commission considère que le traitement projeté, qui a notamment pour finalités le développement d’un traitement algorithmique afin d’élaborer un référentiel indicatif d’indemnisation des préjudices corporels ainsi que la réalisation d’évaluations préalables à la rédaction des normes et d’évaluations rétrospectives des politiques publiques en matière de responsabilité civile, relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après RGPD ). Dans la mesure où des données sensibles sont susceptibles d’être collectées et traitées, il doit faire l’objet d’un décret en Conseil d’Etat, pris après avis motivé et publié de la Commission conformément aux dispositions des articles 6-III et 31-II de la loi du 6 janvier 1978 modifiée.
Elle observe que le présent projet de décret vise à tenir compte d’un certain nombre d’observations formulées dans le cadre de la délibération n° 2019-078 du 13 juin 2019 susvisée, en particulier s’agissant de la nécessité d’encadrer tout d’abord spécifiquement la première phase de développement de l’algorithme utilisé. La Commission relève ainsi qu’en fonction des résultats obtenus lors de cette phase de développement, il est envisagé de mettre en œuvre un second traitement, lequel aura pour finalité la mise à disposition du référentiel indicatif d’indemnisation des préjudices corporels au public.