AgentPublic/cnil huggingface dataset:
administratives et entre les autorités administratives, l'architecture technique du traitement OCEAN a été modifiée pour répondre aux exigences du référentiel général de sécurité (RGS).La commission prend acte qu'une homologation à ce référentiel est actuellement en cours et sera effective avant le mois de mai 2013.Toutefois, le ministère a indiqué que l'analyse de risque porterait exclusivement sur l'application CYCLADES, qui remplacera, à terme, l'application OCEAN.Les mesures techniques apportées étant susceptibles de diverger entre CYCLADES et OCEAN, la commission recommande que l'application OCEAN fasse l'objet d'une analyse de sécurité complète. Elle considère que, pour être en conformité avec les exigences du décret n° 2010-112 du 2 février 2010, la modification en profondeur de l'architecture technique d'OCEAN, qui justifie largement la présente saisine de la CNIL, doit donner lieu à une telle analyse.A ce titre, elle prend acte que, conformément aux recommandations de l'ANSSI, l'analyse de sécurité (analyse de risques, objectifs de sécurité, fonctions de sécurité et niveau de ces fonctions) couvrira la sécurité des données à caractère personnel. La commission recommande que cette analyse envisage non seulement les impacts sur l'organisme mais également les impacts sur les personnes concernées.En outre, l'homologation nationale s'accompagnera d'un engagement formel de sécurisation au niveau local de la part du rectorat ou de l'inspection académique concernée.Sur ce
point, la commission observe que l'article 7 du projet d'arrêté soumis à la commission porte exclusivement sur la traçabilité des accès (identifiant de l'utilisateur, date et heure d'intervention), sans préciser le type d'accès concerné (consultation, création, mise à jour ou suppression).C'est pourquoi la commission insiste sur la nécessité de définir, dans un nouvel article du projet d'arrêté, les conditions de garantie de la sécurité des données ainsi que les exigences minimales que devront s'engager à respecter les rectorats et les inspections d'académie susceptibles de réaliser un engagement de conformité à cet arrêté.Elle propose que le projet d'arrêté soit complété, après l'article 8, par un article supplémentaire indiquant que les rectorats s'engagent à mettre en place les mesures de sécurité recommandées par le MEN dans l'analyse de risque. Celui-ci pourrait être ainsi rédigé :  Les rectorats et les inspections académiques adressant un engagement de conformité au présent arrêté s'engagent également à mettre en œuvre 1'ensemble des mesures de réduction de risques prévues et conseillées par 1'analyse de sécurité réalisée par le ministère de l'éducation nationale .La commission appelle l'attention du ministère sur la nécessité de sensibiliser les rectorats et les inspections d'académie concernés aux obligations résultant de cette analyse de risque et aux mesures qu'il convient d'adopter pour s'y conformer.Sur la durée de conservation :La durée de conservation des
données prévue à l'article 6 du projet d'arrêté n'appelle pas d'observation.Sur les droits des personnes :En application de l'article 32 de la loi du 6 janvier 1978 modifiée, les candidats aux examens et concours scolaires (ou leurs responsables légaux) seront informés de l'enregistrement de données à caractère personnel les concernant dans OCEAN au moyen de mentions sur le site internet du rectorat concerné, mais également individuellement via les mentions portées sur les confirmations d'inscription adressées aux candidats.Conformément aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, l'exercice du droit d'accès et de rectification s'effectuera auprès des services d'examens et concours scolaires des rectorats ou des inspections académiques. La commission propose que l'article 4 du projet d'arrêté mentionne :  et l'article 40  en lieu et place de la mention  et suivants .La commission prend acte que  conformément au troisième alinéa de l'article 38, alinéa 3, de la loi du 6 janvier 1978 modifiée, le droit d'opposition ne s'applique pas au présent traitement. Toutefois, les candidats ont le droit de s'opposer, pour des motifs légitimes, à ce que les données les concernant soient publiées via le téléservice PUBLINET, conformément au premier alinéa de l'article 38  (art. 5 du projet d'arrêté).L'ensemble de ces éléments n'appelle aucune observation de la commission.Autres recommandations de la CNIL :S'agissant du consentement préalable des candidats à toute
transmission de données les concernant, la commission préconise que le consentement préalable et exprès des candidats soit recueilli par deux cases à cocher distinctes (non précochées) concernant, d'une part, les collectivités territoriales qui en feraient la demande, et, d'autre part, les organismes privés ayant signé une licence de réutilisation des informations figurant dans les listes de résultats d'examens.Concernant les candidats qui ne souhaiteraient pas utiliser les téléservices INSCRINET et PUBLINET, ou ne seraient pas en mesure de le faire, le MEN devrait clairement les informer des moyens dont il dispose (procédure postale, équipements informatiques mis à sa disposition dans les établissements) pour s'inscrire à un examen ou à un concours scolaire, ou bien pour consulter ses résultats.Sur la mise en place d'un bilan :La commission demande au MEN de lui adresser, dans un délai de deux ans, un bilan sur la mise en œuvre du traitement OCEAN, concernant :- la procédure d'homologation au RGS actuellement en cours ;- la mise en œuvre des recommandations de sécurité du MEN (analyse des risques, objectifs de sécurité, fonctions de sécurité et niveaux de ces fonctions) visant à se conformer au RGS, par les rectorats ou les inspections académiques ;- les engagements de conformité à l'acte réglementaire unique accomplis par les rectorats et les inspections académiques ;- la procédure de recueil exprès et préalable du consentement des candidats aux examens et concours
scolaires concernant la transmission de données les concernant aux organismes privés ayant signé un contrat de licence avec le MEN et aux collectivités territoriales en ayant fait la demande ;- les téléservices INSCRINET et PUBLINET (tableau statistique récapitulatif).
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet de décret portant modification des décrets portant création d'un traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique et d'un traitement de données à caractère personnel relatif à la gestion de l'information et à la prévention des atteintes à la sécurité publique ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26 et 30 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2009-1249 du 16 octobre 2009 modifié portant création d'un traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique ;Vu le décret n° 2011-340 du 29 mars 2011 portant création d'un traitement de données à caractère personnel
relatif à la gestion de l'information et la prévention des atteintes à la sécurité publique ;Vu la délibération n° 2009-355 du 11 juin 2009 portant avis sur un projet de décret en Conseil d'Etat portant création de l'application relative à la prévention des atteintes à la sécurité publique ;Vu la délibération n° 2010-456 du 9 décembre 2010 portant avis sur un projet de décret en Conseil d'Etat autorisant la création du traitement de données à caractère personnel relatif à la gestion de l'information et la prévention des atteintes à la sécurité publique ;Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre de l'intérieur, de l'outre-mer, des collectivités locales et de l'immigration d'un projet de décret portant modification des décrets portant création d'un traitement de données à caractère personnel relatif à la prévention des atteintes à la sécurité publique et d'un traitement de données à caractère personnel relatif à la gestion de l'information et à la prévention des atteintes à la sécurité publique.Ce projet de décret vise ainsi à modifier les dispositions du décret n° 2009-1249 du 16 octobre 2009 modifié relatif au traitement PASP mis en œuvre par la direction générale de la police nationale et du décret n° 2011-340 du 29 mars 2011, relatif au traitement GIPASP
mis en œuvre par la direction générale de la gendarmerie nationale. La modification envisagée concerne les  origines géographiques  des personnes concernées : il s'agit de mentionner ces données aux articles 2 des deux décrets, relatifs aux données enregistrées dans ces traitements, et non à leurs articles 3 qui concernent plus spécifiquement les données dites sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée.Ces traitements intéressant la sécurité publique ont été créés par décret en Conseil d'Etat pris après avis de la commission, en application des dispositions du II de l'article 26 de la loi du 6 janvier 1978 modifiée. La modification des décrets n° 2009-1249 du 16 octobre 2009 modifié et n° 2011-340 du 29 mars 2011 doit dès lors, en application des dispositions des articles 26 et 30 de la même loi, faire l'objet d'un décret en Conseil d'Etat pris après avis publié et motivé de la commission.
Rappels sur les traitements PASP et GIPASP
La Commission rappelle que la création du traitement PASP est intervenue dans le cadre de la réforme des services de renseignement menée en 2008. En effet, à l'issue du retrait, le 19 novembre 2008, du traitement EDVIGE créé par le décret n° 2008-632 du 27 juin 2008, la commission avait été saisie le 19 septembre 2008 d'un nouveau projet de décret portant création de l'application EDVIRSP. Souhaitant répondre à certaines des réserves et observations de la commission, le ministère a finalement présenté deux projets de décret remplaçant le projet de décret EDVIRSP, relatifs aux traitements PASP et EASP, lesquels ont fait respectivement l'objet des décrets n° 2009-1249 du 16 octobre 2009 et n° 2009-1250 du 16 octobre 2009, pris avec avis de la commission.La finalité du traitement PASP, mis en œuvre par la direction générale de la police nationale, est de recueillir et d'analyser des données à caractère personnel concernant des personnes dont l'activité individuelle ou collective indique qu'elles peuvent porter atteinte à la sécurité publique. Il s'agit ainsi d'un traitement ne comportant qu'une finalité de renseignement, dont les données peuvent en outre être consultées dans le cadre des enquêtes administratives prévues par le premier et le troisième alinéa de l'article 17-1 de la loi du 21 janvier 1995 modifiée.Dans le cadre de sa mission de renseignement, la gendarmerie nationale s'est dotée par la suite d'un traitement similaire à celui mis en œuvre par la police nationale.
Le décret n° 2011-340 du 29 mars 2011 portant création du traitement GIPASP présente ainsi de très fortes similitudes avec le décret concernant le traitement PASP, le ministère de l'intérieur ayant souhaité disposer d'un cadre juridique identique pour ces deux traitements visant à prévenir les atteintes à la sécurité publique, notamment les actions de violence collectives, en particulier en milieu urbain ou à l'occasion de manifestations sportives.Sur les modifications envisagées et la notion d'origine géographique :La commission rappelle que l'interdiction de traiter des données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée s'applique aux traitements PASP et GIPASP, comme le prévoit le premier alinéa de l'article 3 des deux décrets concernés. Ce n'est que par dérogation que la collecte, la conservation et le traitement de certaines de ces données sont autorisés, dans la seule mesure où de telles données sont nécessaires aux finalités de ces traitements et sous certaines conditions. La commission rappelle à cet égard que les données dites sensibles, contrairement aux autres données enregistrées dans les traitements, ne peuvent être utilisées pour sélectionner une catégorie particulière de personnes.Aux termes de l'article 3 des deux décrets concernés, les  activités publiques  politiques, philosophiques, religieuses ou syndicales, et non les opinions des personnes concernées, peuvent être enregistrées dans les traitements PASP et GIPASP. En ce qui
concerne les données susceptibles de laisser apparaître, directement ou indirectement, l'origine raciale ou ethnique, réelle ou supposée, des personnes concernées, elles sont limitées aux seuls  signes physiques particuliers et objectifs comme élément de signalement des personnes  et aux informations relatives à leur  origine géographique .C'est sur ce dernier point que le ministère de l'intérieur envisage de modifier les décrets n° 2009-1249 et n° 2011-340. En effet, le ministère indique que les informations relatives à l'origine géographique se limitent à l'indication de la provenance des personnes concernées, comme leur quartier de résidence ou leur lieu de naissance. Il estime dès lors que ces données ne relèvent pas de l'article 8 de la loi du 6 janvier 1978 modifiée et prévoit donc de mentionner cette catégorie de données à caractère personnel à l'article 2 des décrets concernés, relatif aux données enregistrées dans ces traitements, et non à leur article 3 qui concerne uniquement les données dites sensibles.Dans ses avis concernant la création des traitements PASP et GIPASP, la commission a souhaité que les informations enregistrées au titre de la catégorie  origine géographique  soient précisées. Dans son avis du 11 juin 2009 relatif au traitement PASP relevant que ces informations constituaient une nouvelle catégorie juridique de données, la commission a estimé qu'elles devraient être de nature factuelle et objective, conformément à la jurisprudence du Conseil
constitutionnel, telle qu'elle résulte de la décision n° 2007-557 DC du 15 novembre 2007 (loi relative à la maîtrise de l'immigration, à l'intégration et à l'asile).Le ministère de l'intérieur a donné suite à cette recommandation. Dans une circulaire du 2 novembre 2009 du directeur général de la police nationale relative aux conséquences des décrets du 16 octobre 2009 (création des traitements PASP et EASP), il a ainsi été précisé que l'origine géographique  ne peut être qu'une donnée factuelle et objective, destinée en particulier à qualifier le principe de cohésion d'une bande criminelle (quartier où cette bande est implantée, appartenance ou "territoire" dont elle se réclame) . Dans son avis du 9 décembre 2010 concernant la création du traitement GIPASP, la commission a donc pris acte des données enregistrées au titre de la notion d'origine géographique.Dans ces conditions, la commission considère que l'indication de l'origine géographique des personnes concernées doit se limiter au lieu de naissance, au quartier de résidence et au territoire d'activité de la bande.Elle estime que la modification ainsi entendue, projetée par le ministère de l'intérieur, permettra de préciser davantage le statut des données relatives à l'origine géographique enregistrées dans les traitements PASP et GIPASP. Elle prend acte de la mention aux articles 2 des deux décrets concernés de cette catégorie de données, qui ne sauraient donc faire apparaître, directement ou indirectement, les origines
raciales ou ethniques, réelles ou supposées, des personnes concernées.Sur le contrôle des traitements PASP et GIPASP :Dans ses précédents avis concernant les traitements PASP et GIPASP, la commission a tout particulièrement insisté sur les modalités de contrôle de la mise en œuvre de ces deux traitements. A cet égard, elle relève que les procédures garantissant que les données enregistrées dans ces traitements sont en permanence exactes, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées n'ont pas été définies en partenariat avec la commission, contrairement aux engagements pris par le ministère en 2009 s'agissant du traitement PASP et en 2010 concernant le traitement GIPASP.En outre, la commission souligne que le directeur général de la police nationale ne lui a pas encore présenté le rapport annuel portant sur ses activités de vérification, de mise à jour et d'effacement des données enregistrées dans le traitement PASP, notamment celles relatives aux mineurs, pourtant expressément prévu à l'article 10 du décret n° 2009-1249 du 16 octobre 2009 modifié. Elle rappelle que les mêmes dispositions figurent également (à l'exception de la mention concernant les mineurs) à l'article 10 du décret n° 2009-1250 du 16 octobre 2009 modifié relatif au traitement EASP.La commission demande donc au ministère de l'intérieur de lui présenter dans les meilleurs délais ces rapports annuels, dont l'élaboration apparaît nécessaire, tant pour le ministère
que pour la commission, afin de s'assurer de l'exactitude des informations enregistrées dans ces traitements. Elle rappelle enfin que l'article 10 du décret n° 2011-340 du 29 mars 2011 relatif au traitement GIPASP contient les mêmes dispositions concernant la présentation d'un rapport annuel.
La Commission nationale de l'informatique et des libertés, réunie en sa formation restreinte sous la présidence de Mme Claire DAVAL ; 
Etant aussi présents Madame Marie-Hélène MITJAVILE. MM. Jean-Marie COTTERET, Jean-François CARREZ, et Dominique RICHARD, membres ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la Directive n°95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2011-334 du 29 mars 2011, notamment ses articles 45 et 46 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié, pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; 
Vu la délibération n° 2006-147 du 23 mai 2006 fixant le règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2012-282C du 24 septembre 2012 de la Présidente de la Commission nationale de l'informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société X ;
Vu la plainte n°12024457du 07 août 2012;
Vu le rapport de M. Jean MASSOT, commissaire rapporteur, adressé par porteur à X, le 05 novembre 2012;
Vu les observations écrites versées par X le 08 décembre 2012, par Y les 06 décembre 2012, et 15 janvier 2013 ainsi que leurs observations présentées oralement lors de la séance de la formation restreinte du 17 janvier 2013 ;
Vu les autres pièces du dossier.
Ayant entendu, lors de la réunion de la formation restreinte du 17 janvier 2013:- M. JEAN MASSOT, commissaire, en son rapport ;- Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;- M. Edouard GEFFRAY, Secrétaire général de la CNIL,- M. A, chef d'établissement de la société X, Me B, avocat, son conseil.- M. C, Gérant de la société Y, en qualité d'intervenant volontaire, Me D, avocat, son conseil, Monsieur E, expert informatique agréé par la cour de Cassation et Monsieur F, son collaborateur. 
Ces derniers ayant pris la parole en dernier, 
A adopté la décision suivante :  
FAITS ET PROCÉDURE
La Commission nationale de l'informatique et des libertés (ci-après la "Commission" ou la "CNIL") a été saisie d'une plainte formée par un syndicat de la société X (ci-après "X" ou la "société") le 7 aout 2012. Cette plainte visait l'organisation des élections professionnelles par voie électronique au sein de la société.
Par courrier du 21 août 2012, la Commission a informé la société de la plainte et a demandé des précisions sur les mesures de sécurité entourant les élections par voie électronique. Il lui a été répondu le 6 septembre 2012. Aux termes de la réponse, la Commission a été informée de l'organisation des élections en octobre 2012 et du fait que le système de vote électronique retenu était celui de la société Y (ci-après le "prestataire" ou le "sous-traitant").
Par décision n°2012-282C du 24 septembre 2012, la Présidente de la Commission a chargé le secrétaire général de procéder ou de faire procéder à une mission de vérification auprès de la société.
Au vu des éléments constatés lors des missions diligentées dans les locaux de la société les 25, 27 septembre et 2 octobre 2012, la Présidente de la Commission a désigné, M. Jean MASSOT, Commissaire, membre de la CNIL, sur le fondement de l'article 46 de la loi du 6 janvier 1978 modifiée.
A l'issue de son instruction, considérant que la société avait manqué à plusieurs obligations lui incombant en application de la loi du 6 janvier 1978 modifiée, le rapporteur a fait notifier à la société par porteur, le 05 novembre 2012, un rapport détaillant les manquements à la loi qu'il estimait constitués en l'espèce. Ce rapport proposait à la formation restreinte de la Commission de prononcer à l'encontre de la société un avertissement, dont il sollicitait par ailleurs qu'il soit rendu public.
Etait également jointe au rapport une convocation à la séance de la formation restreinte du 13 décembre 2012 indiquant à la société qu'elle disposait d'un délai d'un mois pour communiquer ses observations écrites. 
La société a fait connaître ses observations par courrier. A sa demande le prestataire a été admis à présenter ses observations en qualité d'intervenant volontaire, son intérêt à intervenir étant établi. Le sous-traitant a adressé ses observations par télécopie et coursier le 06 décembre 2012. Il a par ailleurs introduit devant le Conseil d'Etat une requête en référé par laquelle il sollicitait du juge qu'il ordonne des mesures d'expertise complémentaires. Par ordonnance du 12 décembre 2012, le Conseil d'Etat a rejeté cette demande. Dans le même temps la Présidente de la formation restreinte a ordonné le report de la séance au 17 janvier 2013. Le 15 janvier 2013, le prestataire a complété ses écritures par courrier. La société et le prestataire ont présenté leurs observations orales lors de la séance de la formation restreinte du 17 janvier 2013. 
A l'issue de cette procédure, et après en avoir délibéré, la formation restreinte a adopté la décision dont la teneur suit.
MOTIFS DE LA DÉCISION
1. Sur la qualité de responsable de traitement