AgentPublic/cnil huggingface dataset:
La première catégorie de données collectées sont les données dites de réservation (données PNR) fournies par les voyageurs au stade de la réservation commerciale. Il s'agit principalement de données relatives à l'identité des passagers aériens (nationalité, nom, prénom, date de naissance), à l'itinéraire emprunté, au nombre et noms des autres voyageurs figurant dans le dossier passager ainsi que d'autres informations concernant le passager (numéro de siège, informations relatives aux bagages, moyens de paiement, etc.). 
La deuxième catégorie de données collectées sont des données d'enregistrement et d'embarquement (API) présentes dans les systèmes d'information des compagnies aériennes ou des plateformes aéroportuaires. La liste mentionnée au projet d'article R. 232-14 du code de la sécurité intérieure est conforme à celle prévue par l'article 3-2° de la directive 2004/82/CE du 29 avril 2004 susvisée qui établit une liste minimale de données que les transporteurs doivent transmettre aux autorités compétentes.
Il s'agit principalement de données relatives à l'identité des passagers aériens (nationalité, nom, prénom, date de naissance, sexe), au document de voyage utilisé (type, numéro), au vol emprunté (numéro, point de passage frontalier, code de transport, date du vol, heures et point de départ et d'arrivée, point d'embarquement et de débarquement, nombre total de personnes transportées) ainsi que d'autres informations concernant le passager (statut de la personne embarquée, numéro de siège, code repère du dossier passager, nombre, poids et identification des bagages). 
Toutes ces données sont transmises par les compagnies aériennes à une Unité d'Information Passagers (UIP), qui a vocation à recueillir les données, à les exploiter et à les transmettre aux services demandeurs. Ce service, à caractère interministériel et à compétence nationale, sera rattaché au ministre chargé des douanes et fera l'objet d'un décret spécifique.
L'intérêt, pour les services concernés, de collecter un si grand nombre de données est double. Il s'agit, d'une part, de vérifier si une personne, ou le cas échéant un objet, qui s'apprête à être enregistré sur un vol au départ ou à l'arrivée du territoire n'est pas recherché et, d'autre part, de déterminer si un passager, compte tenu de ses habitudes de voyage, présente un risque particulier au regard des finalités énumérées à l'article L. 232-7 du code de la sécurité intérieure.
En premier lieu, le dispositif projeté doit permettre, à chaque réception des données API et PNR par l'Unité, de les comparer automatiquement et systématiquement avec certains fichiers relatifs à des personnes ou des objets recherchés ou surveillés (FPR, FOVeS, SIS II, SILCF, base ASF-SLTD d'Interpol). Cette fonctionnalité, dite  de criblage , s'exécute automatiquement lors de l'arrivée de nouveaux flux de données en provenance des compagnies aériennes. Ces interconnexions ont pour but de déterminer si des personnes ou des objets inscrits dans ces fichiers figurent sur un vol concerné par le traitement.
La Commission relève que différentes garanties ont été prévues quant à cette utilisation des données enregistrées dans le traitement. Le ministère a en effet sélectionné les seules fiches FPR qui doivent être consultées au regard du seuil de gravité infractionnelle, expressément prévu à l'article L. 232-7 du code de la sécurité intérieure, permettant le traitement des données API et PNR. Ainsi, les données API et PNR des passagers ne seront pas criblées avec l'ensemble des fiches FPR, mais uniquement avec celles compatibles avec cette condition. En cas de réponse positive ( hit  positif), la réponse est fournie à la fois au service qui a émis le signalement dans le FPR et au service chargé de la police générale sur la plateforme empruntée par le passager. Cette réponse s'accompagne de la mise à disposition de la copie de la fiche de recherche ou de surveillance concernée. La Commission prend acte que les autres traitements avec lesquels le système API/PNR sera rapproché feront l'objet du même travail d'apurement. En outre, les fiches de ces traitements ne sont pas conservées dans le système  API-PNR , seule l'existence ou non d'un  hit  positif (numéro de fiche, type de fiche et conduite à tenir) aux dates et heures considérées étant enregistrée dans le traitement, ce qui est expressément prévu par le projet de décret.
Enfin, afin d'augmenter la fiabilité du système et de préserver au mieux le respect de la vie privée et le droit à la protection des données personnelles, le ministère met en œuvre un logiciel de gestion des homonymies, assorti d'un outil d'aide à la décision permettant une levée de doute par l'UIP (outil de scoring) qui permet de classer les individus selon le score obtenu et de réduire les risques de faux résultats positifs. Une liste blanche est également constituée à partir de l'identité des personnes contrôlées à tort pour réduire les dysfonctionnements dus aux homonymies et indiquer que cette personne ne fait pas l'objet de recherches complémentaires.
En second lieu, l'exploitation des données API et PNR donnera lieu à la mise en œuvre de différentes techniques de ciblage des individus (ciblage de précision, ciblage personnalisé, ciblage de masse, recherches multicritères, visualisation). Ces modes d'exploitation des données ne seront mis en œuvre que sur demande spécifique d'une autorité compétente, reposeront sur des critères objectifs et ne seront pas tous accessibles à l'ensemble des services mentionnés dans le projet de décret.
Ces fonctionnalités permettent notamment d'établir un niveau de risques, à partir de critères objectifs, puis à l'appliquer à une ou plusieurs personnes afin de détecter un comportement dit  à risque  au vu des finalités prévues par l'article L. 232-7 du code de sécurité intérieure. Elles permettent en outre la mise en attention d'une ou plusieurs personnes ou objets, à partir d'éléments recueillis par les services demandeurs. Enfin, elles permettent, sous certaines conditions, de visualiser directement, pour les seuls agents des directions générales de la sécurité extérieure et intérieure, les données collectées.
Conformément à l'article 10 de la loi du 6 janvier 1978 modifiée, la Commission rappelle qu'aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé. Il convient donc de s'assurer que le profilage résultant de ces outils d'aide à la prise de décision ne mène pas automatiquement à une décision prise à l'encontre des personnes concernées par ce traitement.
À cet égard, la Commission relève que des vérifications humaines et manuelles sont réalisées par l'Unité lorsqu'elle est saisie d'une requête puis par les services destinataires qui décident de la conduite à tenir et peuvent, le cas échéant, effectuer les vérifications complémentaires qu'ils estiment nécessaires. Par ailleurs, les réponses transmises à ces services ne conduiront pas systématiquement à la mise en œuvre d'une action spécifique.
Elle considère dès lors que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :L'article L. 232-7 du code de la sécurité intérieure prévoit que les données ne peuvent être conservées que pour une durée maximale de cinq ans. Le projet de décret s'aligne sur cette durée, qui correspond par ailleurs à celle fixée dans le cadre du projet de directive européenne relative à l'utilisation des données des dossiers passagers.
Ainsi, l'article R. 232-16 du même code, tel que prévu par le projet de décret, prévoit que les données à caractère personnel et les informations enregistrées dans les traitements mis en œuvre sont conservées cinq ans à compter de leur réception dans le système. La Commission rappelle néanmoins que ces données ne pourront en aucun cas être conservées pendant cette durée en l'absence de pérennisation du système projeté et d'une prorogation des dispositions législatives, auquel cas il conviendra de les détruire sans délai. 
Les données susceptibles de révéler l'identité des passagers font quant à elles l'objet d'une garantie supplémentaire, résultant de la mise en œuvre d'un procédé de masquage à l'expiration d'un délai de deux ans à compter de leur collecte. Ainsi, si ces données devaient apparaître dans des résultats suite à des requêtes, elles ne seront visibles ni par l'UIP ni a fortiori par les services ayant formulé ces requêtes. Afin de prendre connaissance de ces données, il sera nécessaire de formuler une demande motivée auprès de l'UIP, dont le directeur autorisera de manière expresse la levée de ce masquage. 
Au regard de ces éléments, la Commission considère que les données collectées sont conservées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées, conformément à l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :L'article R. 232-15 du code de la sécurité intérieure, tel que prévu par le projet de décret, énumère les catégories de personnes habilitées à formuler des requêtes auprès de l'UIP et à être destinataires des réponses. 
Ces destinataires sont catégorisés en fonction des finalités distinctes prévues par l'article L. 232-7 dudit code et comprennent notamment les services spécialisés de renseignement, les services à compétence judiciaire, des services à compétence administrative ainsi que les services ayant des compétences spécialisées en matière aéroportuaire.
En premier lieu, la Commission relève que seuls les personnels affectés au sein de l'UIP auront directement accès aux données à caractère personnel, comme le mentionne expressément le projet de décret. Il en résulte que les personnels ayant directement accès aux données sont peu nombreux. En outre, les vérifications effectuées par cette unité au moment de l'exploitation des données (levée de doute par le biais de vérifications manuelles, délai de réflexion, liste blanche) constituent un filtre important, permettant de réduire le risque d'atteinte portée à la vie privée et à la protection des données personnelles.
Néanmoins, la Commission prend acte que les seuls agents spécialisés des directions générales de la sécurité intérieure et extérieure pourront visualiser les données collectées dans le cadre du système  API-PNR France , uniquement en cas de menace grave, d'urgence avérée et pour les seuls besoins de la prévention des actes de terrorisme et des atteintes aux intérêts fondamentaux de la Nation, comme le prévoit expressément le projet de décret.
En second lieu, en fonction des motifs de la demande, une distinction est réalisée entre les agents des services habilités à formuler des requêtes auprès de l'UIP et à être destinataires des réponses correspondantes et ceux ne pouvant formuler aucune requête mais étant habilités à recevoir communication de certaines données à des fins opérationnelles (intervention sur les plateformes aéroportuaires).
En pratique, les requêtes adressées par les agents des services concernés seront réalisées par l'intermédiaire d'un espace de travail virtuel, après une identification préalable au moyen d'une carte agent. Cet espace de travail contiendra les résultats mis à disposition par l'UIP ainsi qu'un certain nombre d'indicateurs d'activité.
En outre, le type de requête pouvant être formulée est propre à chaque service et conditionne les modalités d'exploitation des données auxquelles ont accès les agents.
À cet égard, la Commission relève que les États-majors de la direction centrale de la police judiciaire et de la direction régionale de la police judiciaire de Paris pourront être amenés à formuler des requêtes au titre de la prévention et de la constatation des actes de terrorisme, du rassemblement des preuves de ces actes et de la recherche de leurs auteurs. Sur ce point, le ministère a précisé que ces requêtes étaient subordonnées à l'existence de circonstances particulières liées à des situations d'urgence ou de crise. La Commission invite le ministère à l'indiquer expressément dans le projet de décret.
Enfin, elle prend acte qu'il n'est pas prévu d'instituer des échanges internationaux spécifiques permettant l'échange des données collectées, qui dérogeraient aux instruments et accords déjà en vigueur en matière de coopération policière et douanière et qu'il ne sera pas procédé à une mise en réseau des UIP des États membres de l'Union européenne. 
La Commission considère que les finalités du traitement mis en œuvre justifient que l'ensemble des destinataires énumérés par le projet de décret puissent avoir accès aux données collectées dans le cadre de leurs missions et habilitations respectives et que les précisions apportées quant à leurs modalités d'accès aux données constituent une garantie supplémentaire au regard du nombre important de destinataires.
Sur l'information des personnes :L'article L. 232-7 du code de la sécurité intérieure impose expressément aux transporteurs aériens d'informer les personnes concernées du traitement envisagé.
Afin de se conformer aux exigences de l'article 6-1° de la loi du 6 janvier 1978 modifiée, relatif à la licéité et à la loyauté de la collecte des données, le ministère doit dès lors s'assurer de la bonne information, par les transporteurs aériens, des personnes concernées. Ainsi, une information effective des passagers sur la collecte et le traitement de leurs données doit être réalisée, dans une langue compréhensible par les personnes intéressées. En outre, la Commission rappelle que cette information doit être claire, complète et pédagogique dans la mesure où elle conditionne l'exercice des droits des personnes concernées par le traitement mis en œuvre.
Par ailleurs, la Commission relève qu'au-delà de la délivrance de cette information par les transporteurs aériens, une information des personnes sera également assurée par le Gouvernement au moyen d'un site Internet grand public. Ainsi, des informations relatives à la transmission des données API et PNR à l'UIP, aux finalités de l'exploitation de ces données, à la durée de conservation ainsi qu'aux modalités d'exercice des droits des personnes seront communiquées.Ces mesures constituent une garantie supplémentaire afin d'assurer, d'une part, la protection des données personnelles des personnes concernées par le traitement  et, d'autre part, la légitimité de la mise en œuvre du système projeté. Compte tenu de l'impérieuse nécessité de s'assurer de l'information des personnes concernées par le traitement, la Commission sera particulièrement attentive aux modalités effectives de délivrance de celle-ci.
Sur les droits d'accès, de rectification et d'opposition des personnes :Le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au traitement projeté. Eu égard aux finalités de ce dernier, ce point n'appelle pas d'observation particulière de la part de la Commission.
Le projet de décret prévoit un droit d'accès mixte aux données enregistrées dans le traitement. Ainsi, ces droits s'exercent de manière indirecte auprès de la Commission nationale de l'informatique et des libertés pour la mention  connu  ou  inconnu  au FPR, SIS II, FOVeS, SILCF et à la base de données d'Interpol, conformément aux dispositions de l'article 41 de la loi du 6 janvier 1978 modifiée.
En application du dernier alinéa du même article, les droits d'accès et de rectification des autres données enregistrées dans le système  API-PNR France  s'exercent directement auprès du directeur de l'UIP ou de son adjoint.
Si la Commission ne peut que se féliciter de cette garantie supplémentaire, elle rappelle néanmoins que tous les éléments mentionnés à l'article 39 de la loi du 6 janvier 1978 modifiée, et notamment à l'article 39-I-5° (informations permettant de connaître la logique qui sous-tend le traitement), devront être communiqués à toute personne en faisant la demande.
Sur la sécurité des données et la traçabilité des actions :Les mesures de sécurité décrites et prévues par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
Le ministère a notamment mis en œuvre des mécanismes de sauvegarde automatique de tout fichier reçu et ajouté en base. Ceux-ci sont signés et horodatés. Un reçu est envoyé à la compagnie aérienne émettrice du fichier. Ce reçu lui permet  de vérifier l'intégrité des informations reçues par le ministère grâce à un outil ergonomique de vérification qu'il lui aura fourni. La confidentialité des sauvegardes est principalement assurée par des mesures de sécurité physique.
Des mécanismes et procédures sont prévus pour la prévention, la détection, l'analyse et la réaction en cas d'incident. 
L'ensemble des flux sont chiffrés et utilisent des mécanismes d'authentification mutuelle, à l'exception d'un moyen de secours permettant aux fournisseurs d'envoyer leurs données.
Des mécanismes de cloisonnement réseau, de droits d'accès par profil métier et de traçabilité systématique et détaillée, y compris de toute action des administrateurs, permettent de limiter le risque d'atteinte au droit d'en connaître. Le système est administré par deux équipes d'administrateurs ayant une hiérarchie distincte, ce qui facilite un contrôle réciproque. La détection d'anomalie donne lieu à une alerte.
L'authentification des destinataires et agents habilités se fait par carte agent, garantissant une authentification forte, tandis que celle des fournisseurs s'effectue, d'une part, par un certificat matériel et, d'autre part, par identifiant et mot de passe envoyés par deux canaux séparés.
Des mécanismes et procédures pour assurer l'absence d'information résiduelle sur les matériels mis au rebus sont mis en œuvre.
Sur la traçabilité, la Commission relève que le futur article R. 232-17 du code de la sécurité intérieure, tel que prévu par le projet de décret, prévoit la mise en œuvre d'une journalisation systématique et détaillée de toutes les opérations (consultation, création et modification)  du traitement ; les traces sont conservées cinq ans. 
Enfin, la Commission rappelle toutefois que l'obligation de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée qui incombe au responsable de traitement, nécessite la mise à jour des mesures de sécurité en fonction d'une réévaluation régulière des risques. La Commission souligne notamment l'importance de réévaluer périodiquement les mesures relatives aux outils utilisés dans le cadre du traitement projeté, qui reposent sur la prise en compte de différents critères amenés à évoluer pour appréhender au mieux les changements des comportements criminels.
La Présidente
I. FALQUE-PIERROTIN
La Commission Nationale de l'Informatique et des Libertés, 
   Vu la Convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
    Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et en particulier ses articles 6, 17, 21 (paragraphe 1), habilitant la Commission Nationale de l'Informatique et des Libertés à édicter, en vertu de son pouvoir réglementaire, des normes simplifiées concernant certains traitements automatisés d'informations nominatives ;
    Considérant que, pour l'application de l'article 17 susvisé il faut entendre par norme simplifiée l'ensemble des conditions que doivent remplir certaines catégories les plus courantes de traitements pour être regardées comme ne comportant manifestement pas de risque d'atteinte à la vie privée et aux libertés et comme pouvant dès lors faire l'objet d'une déclaration simplifiée ;
    Considérant que certains traitements automatisés concernant la constitution de fichiers d'habitants dans les communes de moins de 2.000 habitants pour la gestion de la population, sont de ceux qui peuvent sous certaines conditions relever de l'article 17 susmentionné :
Décide :
Article 1er     Les dispositions de la présente décision concernent les traitements automatisés d'informations nominatives relatifs aux communes dont la population ne dépasse pas 2.000 habitants pour la gestion de leur population.    Pour pouvoir faire l'objet de la procédure de déclaration simplifiée, ces traitements doivent :    Ne porter que sur les données décrites à l'article 3 de la présente délibération aisément contrôlables par les intéressés grâce à l'exercice du droit individuel d'accès, conformément au chapitre V de la loi du 6 janvier 1978 ;    Ne donner lieu à des interconnexions autres que celles nécessaires à l'accomplissement des fonctions énoncées à l'article 2 ci-dessous ;    Comporter des dispositions propres à assurer la sécurité des traitements et des informations et la garantie des secrets protégés par la loi ;    Satisfaire en outre aux conditions énoncées aux articles 2 à 5 ci-dessous ;
   Article 2 
    Finalité du traitement :
     Le traitement ne doit pas avoir d'autres fonctions que :
    1° la délivrance des extraits et copies d'actes d'état civil conformément aux articles 34 à 101 (titre II Livre premier) du Code civil,
    
    3° la gestion et la facturation des consommations de gaz, d'électricité, d'énergie de toute nature et d'eau, des redevances d'assainissement facturables des services publics concédés, affermés, en régie intéressée ou régie directe,
4° la mise en recouvrement de certaines taxes et redevances par les collectivités territoriales et les établissements publics les regroupant,
    5° la gestion et la facturation de différents services offerts par les collectivités territoriales : gestion des transports scolaires, des restaurants scolaires, des centres aérés et des garderies et de l'enseignement musical,    6° la gestion de prêt de livres, de supports audiovisuels et d'oeuvres artistiques,
    7° la gestion, la liquidation et le paiement des rémunérations des personnels des collectivités territoriales et de leurs établissements publics,
    8° l'envoi par la commune de courriers personnalisés aux administrés à des fins d'information sur l'activité et les services offerts par la commune, à l'exclusion de toute cession à des fins commerciales ou politiques.
Article 3
     Catégories d'informations traitées :
     Dès lors qu'ont été respectées les dispositions de l'article 27 de la loi n° 78-17 du 6 janvier 1978 lorsque du recueil des informations et celles de l'article 26 en ce qui concerne l'envoi par la commune de courriers personnalisés aux administrés à des fins d'information sur l'activité et les services offerts par la commune, à l'exclusion de toute cession à des fins commerciales ou politiques, les informations doivent relever seulement des catégories suivantes et être nécessaires à l'exécution des finalités énumérées à l'article 2.
I - POUR LES ADMINISTRES