AgentPublic/cnil huggingface dataset:
Ainsi, le délai de conservation de deux ans prévu par le projet d'arrêté est un délai maximal et une fiche peut être conservée moins longtemps si aucune modification n'intervient. La commission estime que le projet d'arrêté pourrait être précisé sur ce point.
Dans ces deux cas (un an en l'absence de modification ou deux ans à compter de la validation de la fiche), il est prévu un système de purge automatique.
En outre, l'article 3 du projet d'arrêté prévoit que, dès lors que l'enquête judiciaire relative à l'un des objectifs faisant l'objet d'une fiche dans le FOJ prend fin, les données et informations le concernant ainsi que celles relatives à la procédure sont supprimées du traitement. La commission prend acte de l'engagement du ministère à ce que ces données et informations soient manuellement supprimées dans les meilleurs délais.
Compte tenu de ces éléments, la commission estime que ces durées de conservation n'excèdent pas celles nécessaires à la finalité poursuivie, conformément à l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les accédants aux données et informations :
L'article 4 du projet d'arrêté prévoit qu'ont seuls accès aux traitements les officiers de police judiciaire, individuellement désignés et spécialement habilités, affectés :
- à la direction centrale de la police judiciaire (services centraux, directions interrégionales et régionales de la police judiciaire, services régionaux et antennes de police judiciaire) ;
- à la direction centrale de la sécurité publique (brigades de sûreté urbaine, sûretés urbaines des commissariats, sûretés départementales) ;
- en brigade mobile de recherche de la police aux frontières (brigades mobiles de recherche, unités judiciaires, office central) ;
- à la direction et aux services actifs de la préfecture de police (services d'accueil et d'investigation de proximité de la direction de la sécurité de proximité de l'agglomération parisienne (DSPAP), sûreté régionale des transports de la DSPAP, services de sûretés territoriales, districts de police judiciaire et départementaux de la direction régionale de la police judiciaire de Paris et brigades centrales, sous-direction de lutte contre l'immigration irrégulière et le travail illégal des étrangers relevant de la direction du renseignement de la préfecture de police) ;
- dans les unités de la gendarmerie nationale (offices centraux, sections de recherches, brigades départementales de renseignement et d'investigation judiciaire, brigades de recherches et brigades territoriales).
Ainsi, tous les services de police ou de gendarmerie exerçant une mission de police judiciaire peuvent mettre en œuvre un FOJ. Toutefois, l'ensemble de ces traitements d' objectifs judiciaires n'ont pas vocation à être utilisés par chacun de ces services, chaque FOJ étant circonscrit à un périmètre géographique ou infractionnel distinct. Ainsi, seuls les services de la police nationale, de la gendarmerie nationale et de la préfecture de police pour lesquels il existe un besoin effectif de coordonner les actions dans ce cadre géographique et infractionnel donné, accèdent à un FOJ. A cet égard, l'article 7 du projet d'arrêté précise que l'engagement de conformité à l'acte réglementaire unique relatif aux FOJ doit mentionner expressément les différents services concernés par chaque FOJ.
A titre d'illustration, le ministère a indiqué qu'en ce qui concerne les territoires français des Antilles et de la Guyane, la géographie spécifique de ces Territoires d'outre-mer rend nécessaire que tous les services de la police judiciaire, de la sécurité publique, de la police aux frontières et de la gendarmerie nationale, territorialement compétents, puissent utiliser le FOJAG.
Chaque utilisateur dispose d'habilitations individuelles liées à son profil fonctionnel, correspondant à son rôle ainsi qu'à ses missions. Des profils spécifiques sont ainsi créés afin que chaque utilisateur n'ait accès aux données enregistrées dans les FOJ que dans la limite du besoin d'en connaître :
- l' opérateur de saisie , qui peut créer des fiches et recevoir des alertes ;
- le valideur des fiches, qui peut notamment avoir une vision de l'ensemble des fiches soumises à sa validation et recevoir des alertes sur ces fiches ;
- le gestionnaire qui gère les habilitations, en attribuant les profils d' opérateur de saisie ou de valideur . Son niveau hiérarchique élevé au sein du service de police ou de gendarmerie auquel il appartient (police judiciaire, sécurité publique, police aux frontières, gendarmerie nationale, préfecture de police) implique qu'il dispose d'une visibilité renforcée sur l'activité des agents utilisateurs du FOJ.
Selon les services de police et unités de gendarmerie concernés par un FOJ, les fonctions précises de ces trois catégories d'utilisateurs peuvent varier. Toutefois, les opérateurs de saisie sont en principe les enquêteurs en charge des investigations sur un objectif, les valideurs , un des supérieurs hiérarchiques directs de ces enquêteurs et les gestionnaires sont des directeurs ou chefs des services concernés.
Ainsi l'accès direct aux FOJ est subordonné à la désignation et à l'habilitation individuelles de l'agent concerné par voie hiérarchique. La commission rappelle néanmoins que, dans la mesure où les traitements FOJ sont mis en œuvre localement, il demeure indispensable de s'assurer que seuls les agents dûment habilités des services de police nationale ou de gendarmerie nationale, au sein desquels un traitement FOJ est mis en œuvre, accèdent effectivement aux données qu'il contient.
Dans ces conditions, la commission estime que l'accès de ces personnels aux données enregistrées dans les FOJ est justifié au regard des finalités des traitements projetés.
Sur l'information et les droits des personnes :
Le projet d'arrêté prévoit en son article 6-I que les personnes concernées ne sont pas informées de la collecte et de l'enregistrement de données à caractère personnel les concernant, conformément à l'article 32-VI de la loi du 6 janvier 1978 modifiée.
En application de l'article 38 de la loi du 6 janvier 1978 modifiée, le même article précise que les personnes concernées ne disposent pas de la possibilité de s'opposer au traitement de leurs données à caractère personnel.
Enfin, les droits d'accès et de rectification s'exercent dans les conditions prévues à l'article 41 de la loi du 6 janvier 1978 modifiée, en application des dispositions de l'article 42 de la même loi, c'est-à-dire par voie indirecte en adressant une demande auprès de la commission.
Compte tenu de la finalité poursuivie par les FOJ, la commission considère que ces dispositions n'appellent pas d'observation particulière.
Sur la sécurité des données et la traçabilité des actions :
Le ministère a indiqué que l'architecture technique du système d'alerte des FOJ a été conçue sur le même modèle que celui mis en œuvre pour le FNOS. Ce dispositif, centralisé, est identique pour tous les traitements FOJ. Chaque direction centrale des services et unités de la police nationale, de la gendarmerie nationale et de la préfecture de police concernés par ces traitements est responsable d'un module au sein duquel sont enregistrées les fiches des services dont elle a la charge.
En ce qui concerne par exemple le FOJAG, le dispositif se composera de quatre modules :
- celui de la direction centrale de la police judiciaire (DCPJ) ;
- celui de la direction centrale de la sécurité publique (DCSP) celui de la direction centrale de la police aux frontières (DCPAF) ;
- celui de la direction centrale de la direction générale de la gendarmerie nationale (DGGN).
Concernant l'accès aux traitements, celui-ci s'effectue grâce à CHEOPS NG (portail permettant l'accès à des fichiers de police) et PROXIMA (portail permettant l'accès à des fichiers de gendarmerie). Il requiert ainsi une authentification au moyen d'un login et d'un mot de passe.
S'agissant en particulier de l'accès au portail CHEOPS-NG, la commission rappelle qu'il revient au ministère de s'assurer que l'accès aux données via ce portail fait l'objet de mesures de sécurité suffisamment robustes. En particulier, les fonctionnaires de la police nationale doivent se connecter en priorité à ce portail avec leur carte agent et la saisie d'un code PIN de quatre caractères et, à défaut, avec un mot de passe suffisamment robuste, conforme aux recommandations de la commission en la matière.
En outre, l'article 5 du projet d'arrêté dispose que les opérations de création, validation, modification et suppression font l'objet d'un enregistrement. Celui-ci contient, outre la nature de l'opération réalisée, l'identification de l'utilisateur, la date et l'heure. Les informations relatives à la journalisation des opérations de création, validation sont conservées trois ans.
Dans ces conditions, la commission estime que les mesures de sécurité mises en œuvre sont satisfaisantes au regard des obligations de l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite une réévaluation régulière des risques et la mise à jour des mesures de sécurité en tant que de besoin.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Jean-François CARREZ, Président, de M. Alexandre LINDEN, Vice-président, M. Philippe GOSSELIN, M. Maurice RONAI et Mme Marie-Hélène MITJAVILE, membres ;
Vu la Convention n° 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 45 et suivants ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés du 25 mars 2007 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la plainte n°16000224 du 19 novembre 2015;
Vu la décision de la Présidente de la Commission n° 2016-071 du 24 octobre 2016 mettant en demeure le cabinet X ;
Vu la décision de la Présidente de la Commission portant désignation d’un rapporteur devant la formation restreinte, en date du 31 janvier 2017 ;
Vu le rapport de Madame Valérie PEUGEOT, commissaire rapporteur, notifié par huissier de justice au cabinet X le 27 février 2017 ;
Vu les observations écrites du cabinet X reçues le 24 mars 2017, ainsi que les observations orales formulées lors de la séance de la formation restreinte ;
Vu les autres pièces du dossier ;
Etaient présents, lors de la séance de la formation restreinte du 13 avril 2017 :
Mme Valérie PEUGEOT, Commissaire, en son rapport ;
En qualité de représentant du cabinet X : […]
Mme Nacima BELKACEM, Commissaire du Gouvernement, n’ayant pas formulé d’observations ;
La représentante du cabinet X ayant pris la parole en dernier ;
A adopté la décision suivante :
Faits et procédure
X exerce l’activité de chirurgien-dentiste. Constitué en société d’exercice libéral à responsabilité limitée, son cabinet emploie deux salariés.
Le 19 novembre 2015, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie d’une plainte d’un ancien patient du cabinet X concernant l’absence de réponse à sa demande d’accès aux données à caractère personnel contenues dans son dossier médical.
Par courrier du 25 janvier 2016, les services de la Commission ont demandé au cabinet X ses observations sur le dossier et d’être informés de la réponse qu’elle aura apportée au plaignant.
En l’absence de réponse de sa part, les services de la CNIL ont réitéré leur demande par courriers des 1er mars et 14 avril 2016 envoyés en recommandé avec accusé de réception. Ces courriers sont demeurés sans réponse.
Au vu de ce manquement et après vérification effectuée auprès du plaignant le 13 mai 2016, la Présidente de la CNIL a mis en demeure le cabinet X par décision n° 2016-071 du 24 octobre 2016, de définir et mettre en œuvre une procédure effective de droit d’accès et de garantir, dans ce cadre, l’exercice du droit d’accès des personnes aux données à caractère personnel contenues dans leur dossier médical. A ce titre, il lui était enjoint de communiquer au plaignant une copie de ses données.
Cette décision a été notifiée au cabinet le 28 octobre 2016.
En l’absence de réponse dans le délai imparti d’un mois, un courrier de relance lui a été adressé le 16 décembre 2016. Ce courrier a été retourné à la CNIL le 13 janvier 2017 avec la mention pli avisé et non réclamé .
Le cabinet X n’ayant apporté aucune réponse à ces deux courriers, une mise en conformité ne pouvait être constatée. En conséquence, la Présidente de la Commission a désigné Mme Valérie PEUGEOT en qualité de rapporteur, le 31 janvier 2017, sur le fondement de l’article 46 de la loi du 6 janvier 1978 modifiée.
A l’issue de son instruction, le rapporteur a fait notifier à la société le 27 février 2017, par huissier de justice, un rapport détaillant les manquements à la loi qu’il estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer une sanction pécuniaire qui ne saurait être inférieure à 15.000 euros et qui serait rendue publique.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 13 avril 2017 indiquant au cabinet X qu’il disposait d’un délai d’un mois pour communiquer ses observations écrites.
Le 24 mars 2017, le cabinet X a produit des observations écrites sur le rapport, par l’intermédiaire de son conseil, réitérées oralement lors de la séance de la formation restreinte du 13 avril 2017.
Motifs de la décision
Sur le manquement à l’obligation de respecter le droit d’accès
L’article 39 I 4° de la loi du 6 janvier 1978 modifiée prévoit que : toute personne physique justifiant de son identité a le droit d’interroger le responsable d’un traitement de données à caractère personnel en vue d’obtenir la communication, sous une forme accessible, des données à caractère personnel qui la concernent ainsi que de toute information disponible quant à l’origine de celles-ci. (…) Une copie des données à caractère personnel est délivrée à l’intéressé à sa demande .
L’article 43 de la loi susvisée dispose que : Lorsque l’exercice du droit d’accès s’applique à des données de santé à caractère personnel, celles-ci peuvent être communiquées à la personne concernée, selon son choix, directement ou par l’intermédiaire d’un médecin qu’elle désigne à cet effet, dans le respect des dispositions de l’article L. 1111-7 du code de la santé publique .
Le cabinet X a été mis en demeure de mettre en œuvre une procédure effective de droit d’accès et de garantir aux personnes, dans ce cadre, la possibilité d’accéder aux données contenues dans leur dossier médical. En particulier, il lui était enjoint de transmettre au plaignant la copie des données médicales le concernant.
En défense, le cabinet fait principalement valoir qu’il a répondu à la demande du plaignant en lui envoyant son dossier médical par courrier simple en octobre 2016, puis en lui faisant parvenir un second exemplaire de son dossier par courrier recommandé avec accusé de réception le 20 mars 2017.
Il soutient également qu’avant d’envoyer son dossier médical au plaignant, il s’était préalablement renseigné sur ses obligations déontologiques, notamment afin de s’assurer que les données contenues dans son dossier n’étaient pas couvertes par le secret médical.
Il indique par ailleurs qu’en raison du comportement belliqueux du plaignant, une consultation du dossier médical sur place s’est avérée impossible. Il précise à ce titre qu’un contentieux avec le plaignant existe également devant l’ordre des chirurgiens-dentistes et que, dans ce cadre, une audience de tentative de conciliation s’est tenue le 21 février 2017.
La formation restreinte prend acte de la transmission du dossier médical au plaignant postérieurement à la notification du rapport de sanction, par courrier recommandé avec accusé de réception du 20 mars 2017. Elle observe cependant que le cabinet X n’établit pas avoir fait droit à la demande du plaignant au terme du délai qui lui était imparti dans la mise en demeure, le courrier d’octobre 2016 n’étant pas produit.
La formation restreinte considère, par ailleurs, que les obligations déontologiques, notamment celles liées au secret médical, ne peuvent être invoquées au cas d’espèce.
Elle rappelle que l’article L. 1111-7 du code de la santé publique dispose que:  Toute personne peut accéder à ces informations directement ou par l’intermédiaire d’un médecin qu’elle désigne et en obtenir communication .
 
Ce même article prévoit un délai dérogatoire quant à la communication de ces informations : au plus tard dans les huit jours suivant sa demande et au plus tôt après qu'un délai de réflexion de quarante-huit heures aura été observé. Ce délai est porté à deux mois lorsque les informations médicales datent de plus de cinq ans […] .
Ainsi, le secret médical ne saurait s’opposer, en l’espèce, à la communication au patient des données le concernant et contenues dans son dossier médical.
La formation restreinte estime également que le comportement du plaignant est sans incidence sur l’application des articles 39 et 43 de la loi Informatique et Libertés susvisée, qui constituent un droit pour la personne, sauf en cas de demande manifestement abusive, ce qui n’était pas le cas en l’espèce.
En conséquence, la formation restreinte considère que le manquement aux obligations découlant de l’article 39 I 4° de la loi du 6 janvier 1978 modifiée est caractérisé, le cabinet X ne s’étant pas conformé à la décision de la Présidente de la CNIL n° 2016-071 du 24 octobre 2016 dans le délai imparti.
Sur le manquement à l’obligation de répondre aux demandes de la CNIL
L’article 21 de la loi du 6 janvier 1978 modifiée dispose que  
Les ministres, autorités publiques, dirigeants d'entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s'opposer à l'action de la commission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche .
Le rapport de sanction de Mme PEUGEOT relève que le cabinet X n’a apporté aucune réponse aux trois courriers des 25 janvier, 1er mars et 14 avril 2016 qui lui avaient été adressés dans le cadre de l’instruction de la plainte, ni à la mise en demeure de la Présidente de la CNIL du 24 octobre 2016 et au courrier de relance du 16 décembre suivant.
En défense, X indique qu’elle a pris attache auprès de ses confrères concernant la demande du plaignant, notamment eu égard à ses obligations en matière de secret médical.
Elle fait également valoir qu’elle a  facilité sa tâche [celle de la CNIL] en prenant l’initiative de l’envoi du dossier .
La formation restreinte relève que le cabinet X n’a jamais adressé aucune réponse à la CNIL que ce soit dans le cadre de l’instruction de la plainte ou dans les suites de la mise en demeure de la Présidente. Ce sont donc cinq courriers de la CNIL qui sont restés sans réponse entre le 25 janvier 2016 et le 16 décembre 2016. Ce n’est qu’à la suite de la notification du rapport de sanction que le cabinet X a apporté des éléments de réponse à la Commission et a fait droit à la demande d’accès du plaignant.
La formation restreinte considère que ce comportement démontre un défaut manifeste de prise en compte des questions Informatique et Libertés liées au traitement des données à caractère personnel.
La formation restreinte estime, dès lors, que le manquement à l’article 21 de la loi du 6 janvier 1978 modifié est constitué.
Sur la sanction et la publicité
Compte tenu des faits, qui ont notamment privé pendant plusieurs mois le plaignant de la possibilité de transmettre les données relatives à son état de santé dentaire à un nouveau praticien, une sanction d’un montant de 10.000 euros apparaît justifiée à l’encontre du cabinet X.
Par ailleurs, au regard de la persistance dans le temps des manquements formulés à son encontre malgré les nombreuses diligences effectuées à son égard par les services de la CNIL, la formation restreinte décide de rendre publique sa décision. Elle estime nécessaire de sensibiliser les personnes et les responsables de traitement aux droits et obligations issus de la loi Informatique et Libertés , en particulier, à l’importance de répondre aux demandes de la Présidente et de mettre effectivement en œuvre les mesures requises.
 
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
de prononcer à l’encontre de la société d’exercice libéral à responsabilité X une sanction pécuniaire d’un montant de 10.000 € ;
de rendre publique sa délibération de façon anonymisée.
Le Président
Jean-François CARREZ
 
 
 
 
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de deux mois à compter de sa notification.
La Présidente
 [ …]
Par porteur
Références à rappeler dans toute correspondance :
RGL/MDM151019/CTX 2015-017
Paris, le
Monsieur le Directeur général,
Je fais suite à la décision n° 2015-050 que j’ai prise le 24 juin 2015 mettant en demeure la société X.
Au regard des éléments de réponse apportés par vos courriers des 22 octobre 2015, 3 février 2016, 2 mars 2016, 19 octobre 2016 et 24 mars 2017, je vous informe que j’ai décidé de procéder à la clôture en l’état de votre dossier et de la procédure de contrôle n°2014-152C.
Je relève toutefois que s’agissant de l’accès au compte, il reste possible de renseigner un nombre important de fois un mot de passe erroné sans que cela n’entraine une restriction d’accès au compte. J’attire donc votre attention sur la nécessité de bien mettre en œuvre la mesure de blocage que vous avez annoncé.
A toutes fins utiles, je vous indique que les dispositions de l’article 32-I de la loi Informatique et Libertés ont été modifiées par la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique et imposent désormais d’indiquer aux personnes concernées la durée de conservation des catégories de données traitées ainsi que, sur les formulaires de collecte, le droit dont elles disposent de définir des directives relatives au sort de [leurs] données à caractère personnel après [leur] mort .
Je vous indique par ailleurs que si était constatée à l’occasion de vérifications ultérieures la persistance ou la réitération des manquements visés dans la mise en demeure, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
En tout état de cause, j’attire votre attention sur la nécessité de veiller au respect de la loi Informatique et Libertés qui participe à la protection des données à caractère personnel, droit fondamental reconnu à chaque personne.
A cette fin, je vous informe de l’application prochaine du règlement européen 2016/679 sur la protection des données (mai 2018), qui prévoit notamment l'obligation pour de nombreux organismes, sous peine de sanctions, de désigner un délégué à la protection des données.
Dans cette perspective, la désignation d’un correspondant Informatique et Libertés (CIL) contribue à réduire vos risques juridiques tout en bénéficiant de l’accompagnement de la CNIL et vous prépare d’ores et déjà aux obligations envisagées dans ce nouveau cadre de la protection des données personnelles.
Vous trouverez toutes les informations relatives au CIL (appelé à devenir délégué à la protection des données en mai 2018) sur le site de la CNIL (www.cnil.fr) ou en contactant le Service des CIL à l’adresse suivante correspondants@cnil.fr ou par téléphone au 01.53.73.22.22 (de 9h à 12h).
Le service des sanctions se tient à votre disposition pour tout renseignement complémentaire (M. X.)
Je vous prie d’agréer, Monsieur le Directeur général, l’expression de mes salutations distinguées.
Isabelle FALQUE-PIERROTIN