AgentPublic/cnil huggingface dataset:
Concernant la suppression des magistrats comme destinataire, le ministère indique que l'autorité judiciaire constitue un tiers autorisé au sens du II de l'article 3 de la loi du 6 janvier 1978 modifiée et ne figure pas au titre des mentions obligatoires prévues par l'article 29 de la loi du 6 janvier 1978 modifiée. La Commission ne partage pas l'interprétation du ministère, dans la mesure où les magistrats, au regard des finalités assignées au traitement, sont habilitées à recevoir communications des données du fait même de leurs missions. Aussi, elle considère que les magistrats devraient figurer au titre des destinataires, comme le prévoit par ailleurs le décret du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l'intérieur d'un traitement automatisé de données à caractère personnel d'aide à la rédaction des procédures (LRPGN). 
Enfin, le ministère de l'intérieur souhaite étendre la communication des données et informations issues des procédures administratives aux personnes chargées d'une procédure de police judiciaire, pour des raisons liées à leurs missions de police judiciaire et qui n'ont pas accès au traitement. Il n'est néanmoins pas prévu de rendre les agents chargés d'une procédure administrative destinataires des données relatives à une procédure judiciaire. Aussi, pour une meilleure lisibilité et compréhension du texte, la Commission considère qu'il pourrait être utile de le préciser dans le décret. 
Sur les interconnexions
L'objectif est à terme de constituer une chaine pénale complète, afin que les logiciels de rédaction des procédures de la police (LRPPN) et de la gendarmerie (LRPGN) alimentent, en début de procédure, le traitement d'antécédents TAJ ainsi que Cassiopée, et que ce dernier, en fin de procédure, assure la mise à jour de TAJ.
Sur la transmission d'information entre LRPPN 2 et TAJ
Au regard des dysfonctionnements du STIC constatés par la Commission lors de contrôles menés en 2007 et 2008, elle ne peut que souligner l'opportunité de toute mesure permettant de garantir que le traitement  TAJ  ne comporte que des données exactes et mises à jour, conformément à l'article 6-4° de la loi du 6 janvier 1978 modifiée.
Ainsi, elle prend acte que sont transmises au TAJ uniquement les données relatives aux procédures judiciaires rentrant dans son champ d'application, prévu par l'article R. 40-25 du code de procédure pénale. La Commission relève, comme elle avait eu l'occasion de le faire dans la délibération relative au traitement d'antécédents judiciaire  TAJ  du 7 juillet 2011, que contrairement aux données relatives aux faits, victimes et objets, qui alimentent le TAJ en temps réel, les données relatives aux mis en cause sont transmises au TAJ qu'après rédaction du compte rendu d'enquête après identification (CREI). Cette transmission différée permet d'éviter que des personnes abusivement mises en cause voient leurs données traitées dans TAJ lorsque l'enquête aura finalement démontré qu'il n'existe pas d'indices graves ou concordants de participation à une infraction. 
En outre, la Commission relève que la rédaction d'un nouveau procès-verbal dans LRPPN 2 annule et remplace les anciennes données dans TAJ ; elle prend acte que ce dispositif est de nature à permettre ainsi une mise à jour exhaustive des données dans TAJ (par exemple modification du statut de victime, clôture en fait non constitué, requalification entrainant l'effacement dans TAJ des données, etc.).
Sur la transmission d'information entre LRPPN 2 et Cassiopée
Le traitement Cassiopée (Chaîne Applicative Supportant le Système d'Information Orienté Procédure Pénale et Enfants), qui a fait l'objet de plusieurs délibérations de la Commission, est mis en œuvre dans les tribunaux de grande instance et enregistre les informations nominatives relatives aux plaintes et dénonciations reçues par les procureurs de la République ou les juges d'instruction, ainsi que les suites qui leur ont été réservées. 
Cette interconnexion permettra la transmission informatique directe des informations contenues dans les procédures judiciaires. Les travaux menés par le ministère de la justice concernant cette architecture technique n'étant pas encore achevés, la Commission attendra ces spécifiques techniques pour se prononcer en toute connaissance de cause sur cette interconnexion.
Concernant les modalités de transmission des données avec les traitements TAJ et Cassiopée, la Commission regrette que les précisions apportées par le ministère ne soient pas suffisamment précises concernant les mesures permettant de garantir la confidentialité des données échangées. 
Sur la transmission d'information entre LRPPN 2 et le FOVeS
Le dossier laisse apparaître un projet d'interconnexion entre LRPPN 2 et le FOVeS (Fichier des Objets et Véhicules Signalés), destiné à remplacer le Fichier des Véhicules Volés (FVV) et les fichiers d'objets volés (STIC-objets de la police nationale, et Fichier des Objets Signalés de la gendarmerie nationale).
Le traitement FOVeS n'ayant à ce jour pas encore fait l'objet de formalités préalables prévues par la loi du 6 janvier 1978 modifiée, la Commission réserve son avis sur ce point dans l'attente du dossier de formalité relatif à ce traitement. 
Sur les autres interconnexions
L'instruction de la présente demande d'avis a permis de relever que le traitement LRPPN 2 serait interconnecté avec d'autres traitements, tels que, par exemple,  pré-plainte  en ligne ou le fichier des personnes recherchées (FPR). Le ministère a confirmé à la Commission qu'elle serait, le cas échéant, saisie en application de l'article 30 de la loi du 6 janvier 1978 modifiée, lorsque les spécifications techniques concernées seront finalisées. 
Sur les autres mesures de sécurité
Le projet de décret n'apporte pas de modification à l'architecture générale du traitement, qui est un traitement national divisé en bases locales.
La Commission prend acte que ces bases locales sont logiquement séparées, et administrées au niveau national. Elle appelle cependant l'attention du ministère sur la vigilance avec laquelle il habilitera les agents à accéder à plusieurs bases, et souhaite que ces multiples habilitations soient limitées aux cas strictement nécessaires.
Concernant l'authentification des utilisateurs, la Commission considère que les mesures mises en place à ce jour ne permettent pas de considérer que les utilisateurs du traitement sont actuellement authentifiés de façon suffisamment fiable. Au regard de la nécessité de garantir la validité des actes effectués dans le traitement, il serait souhaitable de mettre en place des modalités d'authentification plus fiables. A cet égard, le ministère indique que chaque agent de la police nationale sera prochainement titulaire d'une carte professionnelle comportant ainsi une puce d'authentification. La Commission, qui a eu l'occasion d'examiner ce dispositif, considère qu'il constitue un moyen d'identification fiable. 
La Commission prend acte que l'ensemble des actions feront l'objet de mesures de traçabilité. Elle regrette en revanche que le ministère n'ait pas précisé clairement, malgré sa demande, les conditions d'exploitation de ces traces. 
Les mesures visant à assurer la destruction des supports de stockage usagés apparaissent adaptées et de nature à prévenir toute atteinte à la confidentialité des données.
Les autres mesures de sécurité n'appellent pas de remarque particulière de la Commission.
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la directive 2002/58/CE du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques modifiée par la directive 2009/136/CE du 25 novembre 2009 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 et 32-II ;Vu l'ordonnance n° 2011-1012 du 24 août 2011 relative aux communications électroniques ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Après avoir entendu M. Bernard PEYRAT, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
Le développement considérable des services de communication en ligne pose avec une plus grande acuité la question du traçage des personnes qui y ont recours. En effet, lorsqu'ils naviguent sur le web ou utilisent des applications mobiles, les utilisateurs de ces services sont de plus en plus suivis par différents acteurs (éditeurs de service, régies publicitaires, réseaux sociaux, etc.) qui analysent leur navigation, leurs déplacements et leurs habitudes de consultation ou de consommation, afin notamment de leur proposer des publicités ciblées ou des services personnalisés. Ce traçage est réalisé par l'intermédiaire de différentes technologies, dont la plus répandue est aujourd'hui celle des cookies. En modifiant l'article 5(3) de la directive 2002/58/CE par l'adoption de la directive 2009/136/CE, le législateur européen a posé le principe selon lequel le stockage d'informations sur l'équipement d'un utilisateur ou l'accès à des informations déjà stockées, ne devaient être mises en œuvre qu'avec le consentement préalable de l'utilisateur sauf, si ces actions sont strictement nécessaires au fournisseur pour la délivrance d'un service de la société de l'information expressément demandé par l'abonné ou l'utilisateur.Ainsi, l'article 32-II de la loi du 6 janvier 1978, modifié par l'ordonnance n°2011-1012 du 24 août 2011 qui a transposé la directive 2009/136/CE, dispose désormais que  tout abonné ou utilisateur d'un service de communications électroniques doit être informé de
manière claire et complète, sauf s'il l'a été au préalable, par le responsable du traitement ou son représentant : - de la finalité de toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans son équipement terminal de communications électroniques, ou à inscrire des informations dans cet équipement ;- des moyens dont il dispose pour s'y opposer.Ces accès ou inscriptions ne peuvent avoir lieu qu'à condition que l'abonné ou la personne utilisatrice ait exprimé, après avoir reçu cette information, son accord qui peut résulter de paramètres appropriés de son dispositif de connexion ou de tout autre dispositif placé sous son contrôle. Ces dispositions ne sont pas applicables si l'accès aux informations stockées dans l'équipement terminal de l'utilisateur ou l'inscription d'informations dans l'équipement terminal de l'utilisateur : - soit a pour finalité exclusive de permettre ou faciliter la communication par voie électronique ;- soit est strictement nécessaire à la fourniture d'un service de communication en ligne à la demande expresse de l'utilisateur .
Compte tenu de la diversité des technologies utilisées et du nombre d'acteurs en présence, la CNIL a organisé pendant plusieurs mois une concertation avec les principaux professionnels concernés. A l'issue de ces travaux, elle souhaite, par la présente recommandation, rappeler les principes qu'il conviendrait de respecter pour permettre l'utilisation de ce type de dispositifs dans les conditions fixées par l'article 32-II précité. 
Article 1er - Sur le champ d'application de la recommandation
L'article 32-II de la loi du 6 janvier 1978 modifiée vise toute action tendant à accéder, par voie de transmission électronique, à des informations déjà stockées dans l'équipement terminal d'un abonné ou d'un utilisateur de service de communications électroniques, ou à inscrire des informations dans cet équipement. 
Aussi, la présente recommandation s'applique à toutes les formes d'accès et d'inscriptions visées par l'article 32-II. Elle concerne donc les cookies HTTP, par lesquels ces actions sont le plus souvent réalisées. Mais elle a vocation également à s'appliquer à d'autres technologies (notamment, en l'état des connaissances actuelles, les local shared objects appelés parfois les cookies "flash", les pixels invisibles ou  web bugs , les identifications par calcul d'empreinte du terminal ou encore des identificateurs cachés). Pour l'application de la présente recommandation, le mot  Cookie  désigne l'ensemble des dispositifs visés par l'article 32-II.
Le fait que les informations (stockées et/ou consultées) soient ou non des données à caractère personnel au sens de la directive 95/46/CE n'est pas une condition préalable à l'application de l'article 5, paragraphe 3 de la directive 2002/58/CE. L'article 32-II précité s'applique donc dans les hypothèses où les informations précitées sont des données à caractère personnel et dans celles où elles ne sont pas des données à caractère personnel.
La Commission relève toutefois que ces actions impliquent généralement le traitement de données à caractère personnel, parfois directement identifiantes (par exemple, une adresse électronique), et souvent indirectement identifiantes (par exemple, l'identifiant unique d'un cookie, une adresse IP, un identifiant du terminal ou d'un composant du terminal de l'utilisateur, le résultat du calcul d'empreinte dans le cas du  fingerprinting , ou encore l'identifiant généré par un logiciel ou un système d'exploitation).Ainsi, compte tenu des risques qu'ils entraînent sur la vie privée, les Cookies nécessitant une information et un consentement préalables de l'internaute sont notamment :• les Cookies liés aux opérations relatives à la publicité ciblée ;• les Cookies de mesure d'audience (à l'exclusion de ceux définis à l'article 6 de la présente recommandation) ;• les Cookies traceurs de réseaux sociaux générés par les  boutons de partage de réseaux sociaux . A l'inverse, certains Cookies peuvent être déposés ou lus sans recueillir le consentement des personnes. Ce sont :• les Cookies ayant pour finalité exclusive de permettre, ou faciliter la communication par voie électronique ;• les Cookies strictement nécessaires à la fourniture d'un service expressément demandé par l'utilisateur ;• les Cookies de mesure d'audience définis à l'article 6 de la présente recommandation.La Commission précise enfin que la présente recommandation s'applique aux Cookies déposés et lus, notamment lors de
la consultation d'un site internet, de la lecture d'un courrier électronique, de l'installation ou de l'utilisation d'un logiciel ou d'une application mobile, quel que soit le système d'exploitation, le navigateur ou le terminal utilisés (par exemple un ordinateur, une tablette, un ordiphone ou  Smartphone , une télévision connectée, une console de jeux vidéos connectée au réseau Internet).
Article 2 - Sur l'obligation d'information préalable et les modalités de recueil du consentement
En application de la loi informatique et libertés, les Cookies nécessitant un recueil du consentement ne peuvent être déposés ou lus sur son terminal, tant que la personne n'a pas donné son consentement.
Le terme  accord  visé par l'article 32-II de la loi précitée correspond au  consentement  défini à l'article 2 (h) de la directive 95/46/CE, c'est-à-dire  toute manifestation de volonté, libre, spécifique et informée .
La Commission considère que le consentement ne peut être valable que si la personne concernée est en mesure d'exercer valablement son choix et n'est pas exposée à des conséquences négatives importantes si elle refuse de donner son consentement. Cette interprétation est partagée par le groupe des autorités de protection des données européennes, dit G29, dans son avis 15/2011 du 13 juillet 2011 sur la définition du consentement. 
Elle estime donc justifié que la personne qui refuse un Cookie nécessitant un consentement puisse continuer à bénéficier du service (accès à un site internet par exemple).
La validité du consentement est liée à la qualité de l'information reçue. Celle-ci doit être visible, mise en évidence et complète. La Commission recommande donc que l'information soit rédigée en des termes simples et compréhensibles pour tout utilisateur, et permette aux internautes d'être parfaitement informés des différentes finalités des Cookies déposés et lus. Elle considère que l'utilisation d'une terminologie juridique ou technique trop complexe ne répondrait pas à l'exigence d'une information préalable.
La Commission souligne par ailleurs que le consentement doit se manifester par le biais d'une action positive de la personne préalablement informée des conséquences de son choix et disposant des moyens de l'exercer. Des systèmes adaptés doivent donc être mis en place pour recueillir le consentement selon des modalités pratiques qui permettent aux internautes de bénéficier de solutions conviviales et ergonomiques. La Commission examinera in concreto la conformité à la loi des solutions retenues. Elle considère que l'acceptation de conditions générales d'utilisation ne peut être une modalité valable de recueil du consentement.
Conformément à ces principes, et après concertation avec les professionnels concernés, la Commission recommande une procédure de recueil du consentement en deux étapes :Dans la première étape, l'internaute qui se rend sur le site d'un éditeur (page d'accueil ou page secondaire du site) doit être informé, par l'apparition d'un bandeau : • des finalités précises des Cookies utilisés ;• de la possibilité de s'opposer à ces Cookies et de changer les paramètres en cliquant sur un lien présent dans le bandeau ;• du fait que la poursuite de sa navigation vaut accord au dépôt de Cookies sur son terminal.Dans la mesure où le consentement ne doit pas être ambigu, ce bandeau ne doit pas disparaître tant que la personne n'a pas poursuivi sa navigation, c'est-à-dire tant qu'elle ne s'est pas rendue sur une autre page du site ou n'a pas cliqué sur un élément du site (image, lien, bouton  rechercher ).
Ainsi, sauf consentement préalable de l'internaute, le dépôt et la lecture de Cookies ne doivent pas être effectués : • si l'internaute se rend sur le site (page d'accueil ou directement sur une autre page du site à partir d'un moteur de recherche par exemple) et ne poursuit pas sa navigation : une simple absence d'action ne saurait être en effet assimilée à une manifestation de volonté ; • s'il clique sur le lien présent dans le bandeau lui permettant de paramétrer les Cookies et, le cas échéant, refuse le dépôt de Cookies.Dans la seconde étape, les personnes doivent être informées de manière simple et intelligible des solutions mises à leur disposition pour accepter ou refuser tout ou partie des Cookies nécessitant un recueil du consentement :• pour l'ensemble des technologies visées par l'article 32-II précité ;• par catégories de finalités : notamment la publicité, les boutons des réseaux sociaux et la mesure d'audience. La Commission souligne que la mise en œuvre de ce dispositif, si elle est de nature à répondre aux exigences posées par l'article 32-II de la loi informatique et libertés, n'est pas exclusive d'autres modes plus renforcés de recueil du consentement.
Enfin, les personnes ayant donné leur consentement au dépôt ou la lecture de certains Cookies doivent être en mesure de le retirer à tout moment. Des solutions conviviales doivent donc être mises en œuvre pour que la personne puisse retirer son consentement aussi facilement qu'elle a pu le donner.
Article 3 - Sur les obligations respectives des éditeurs de sites et des émetteurs de Cookies
La Commission estime que lorsque plusieurs acteurs interviennent dans le dépôt et la lecture de cookies (par exemple lorsque les éditeurs facilitent le dépôt de cookies qui sont ensuite lus par des régies publicitaires), chacun d'entre eux doit être considéré comme coresponsable des obligations découlant des dispositions de l'article 32-II précité.
La Commission considère qu'il en est ainsi des éditeurs de sites internet (ou des éditeurs d'application mobile par exemple) et de leurs partenaires (régies publicitaires, réseaux sociaux, éditeurs de solutions de mesure d'audience...). En effet, dans la mesure où les éditeurs de site constituent souvent l'unique point de contact des internautes et que le dépôt de Cookies de tiers est tributaire de la navigation sur leur site, il leur appartient de procéder, seuls ou conjointement avec leurs partenaires, à l'information préalable et au recueil du consentement explicités à l'article 2 de la présente recommandation.
Par ailleurs, leurs partenaires déterminant les finalités du traitement (utiliser les informations collectées sur le comportement de navigation des internautes afin de constituer des profils et prendre des décisions relatives aux publicités qui seront affichées en fonction de ce profil par exemple) et les moyens de ce dernier (utiliser des Cookies, définir des algorithmes permettant de réaliser le profilage, etc.), ils ne peuvent pas être qualifiés de sous-traitants.
A cet égard, les émetteurs de Cookies peuvent également mettre en place des modes d'information particuliers. A titre d'exemple, l'affichage d'icônes sur les bannières publicitaires peut permettre aux personnes de prendre connaissance de l'identité de la régie publicitaire qui traite leurs données et leur permettre d'entrer en contact avec elle pour exercer leurs droits. En cas de clic sur cette icône, les dispositions de l'article 32-II devront être respectées.
Article 4 - Sur les paramètres du navigateur
La Commission rappelle que l'article 32-II précité précise que l'accord peut résulter de paramètres appropriés du dispositif de connexion de la personne ou de tout autre dispositif placé sous son contrôle.
Elle considère que le paramétrage du navigateur ne peut exprimer la manifestation d'un consentement que : • si l'utilisateur a pu être en mesure de modifier les paramètres de son navigateur pour accepter ou refuser les Cookies ;• et, s'il a été informé avant le dépôt ou la lecture de Cookies, de leurs finalités et des moyens de s'y opposer.La Commission souligne que les paramètres du navigateur ne permettent pas, en l'état actuel de la technique, de gérer des technologies autres que les cookies HTTP. Elle considère qu'ils ne pourraient donc être regardés comme satisfaisants en cas d'utilisation d'autres technologies que les cookies HTTP, tels que les pixels invisibles, les cookies flash, ou les techniques de fingerprinting.
Enfin, certains navigateurs proposent également l'option  Do Not Track  (DNT, pouvant être traduit par  ne me tracez pas ). La Commission considère que lorsqu'un internaute décide d'activer une option de type  do not track , aucun profil ne devrait être réalisé sur cet internaute et sur son terminal. Cette position a été reprise par le G29 dans son avis 04/2012 du 7 juin 2012 sur les cookies exemptés de consentement. La Commission recommande donc, en cas d'activation de cette option, qu'aucune information ne soit collectée pour établir un profil de l'internaute et que ce dernier, comme son terminal, ne soient pas tracés.
Article 5 - Sur les durées de vie des Cookies