AgentPublic/cnil huggingface dataset:
Certaines données enregistrées dans les traitements de la CNCCFP relèvent de l'article 8 de la loi du 6 janvier 1978 modifiée, et notamment la  nuance politique  attribuée aux élus et candidats par le ministère de l'intérieur et dont le traitement est justifié par l'intérêt public. Ce traitement doit dès lors faire l'objet d'une autorisation de la Commission, en application des dispositions de l'article 25-I-1° de la loi du 6 janvier 1978 modifiée.
Sur la finalité des traitements :Les traitements mis en œuvre par la CNCCFP ont pour finalité générale la gestion des missions dont elle a la charge dans le cadre des élections politiques, à savoir : les élections présidentielles, législatives, sénatoriales (depuis la loi du 14 avril 2011 susvisée), européennes, régionales, provinciales, territoriales, départementales (depuis la loi du 17 mai 2013 susvisée) et municipales.
Plus précisément, le dispositif comprend trois applications informatiques, ayant pour finalités respectives :
1°) la gestion et l'authentification des reçus délivrés aux personnes physiques ayant apporté leur soutien financier aux candidats aux élections politiques, ainsi qu'aux partis et groupements politiques. Cette application est dénommée  GARDONS  ;
2°) l'enregistrement des candidats aux élections politiques, des déclarations des mandataires financiers personnes physiques ou des associations de financement électoral, aux fins du suivi des opérations de contrôle des comptes de campagne des candidats. Cette application est dénommée  PERICLES  ;
3°) la vérification du respect, par les partis ou groupements politiques de leurs obligations comptables et financières, la délivrance de l'agrément des associations de financement, le suivi des déclarations des mandataires financiers personnes physiques ainsi que le contrôle des justificatifs des recettes de leur compte. Cette application est dénommée  PARTHENON .
Les deux premières applications ont déjà été autorisées par la Commission par la délibération n° 2007-043 du 8 juin 2007 précitée. Toutefois, une partie des finalités est désormais prise en charge par une troisième application et certaines catégories de données traitées ont été modifiées.
La troisième application est nouvelle. Elle permettra, outre la finalité décrite au 3°) ci-dessus, d'assurer la gestion et le suivi des sollicitations adressées par des personnes souhaitant obtenir des explications s'agissant des modalités de financement de telle candidature ou souhaitant informer la CNCCFP de faits susceptibles de constituer une infraction. Ces personnes sont dites  lanceurs d'alerte . S'agissant de la gestion et du suivi des alertes, la Commission prend acte que cette modification ne résulte pas d'une évolution du cadre juridique actuel, mais vise à encadrer plus strictement des pratiques préexistantes.
La Commission considère que les finalités poursuivies par ces traitements sont déterminées, explicites et légitimes.
Sur la nature des données traitées :Seules des données concernant des personnes physiques sont enregistrées dans les traitements mis en œuvre par la CNCCFP.
Outre les données collectées directement par la CNCCFP lors des dépôts des comptes de campagnes et de financement des acteurs de la vie politique, la CNCCFP est destinataire de certaines données collectées directement par le ministère de l'intérieur auprès des élus et candidats à l'occasion des déclarations de candidatures et du suivi des mandats. Il s'agit des données suivantes : numéro de dépôt de candidature à la préfecture ; civilité, nom, prénom, date de naissance, profession (code CSP) et coordonnées des candidats ; désignation de liste (selon le type de scrutin, nuance politique attribuée par le ministère de l'intérieur), parti politique de rattachement (celui identifié pour l'aide publique aux formations politiques) ; civilité, nom et prénom du suppléant ; nombre de voix obtenues au 1er et 2nd tour, élu (oui ou non).
S'agissant de l'application  GARDONS , les données traitées concernent les personnes physiques ayant apporté leur soutien financier aux candidats, aux partis et groupements politiques.
Pour le soutien financier des candidats, il s'agit des catégories suivantes :
-	les nom, prénom et adresse du donateur ;-	le nom du candidat, du candidat tête de liste et des membres du binôme de candidats bénéficiaires du don ;-	l'identification du mandataire ayant perçu le don ;-	le montant du don ;-	le mode et la date de versement du don.
Pour le soutien financier des partis et groupements politiques, il s'agit des catégories suivantes :
-	les nom, prénom et adresse des donateurs et cotisants ;-	pour les élus, les nom, prénom, adresse et indication du mandat électoral ou de la fonction élective détenue ;-	le parti ou groupement politique bénéficiaire du soutien financier ;-	l'identification du mandataire ayant perçu le don ou la cotisation ;-	le montant du don ou de la cotisation ;-	le mode, la nature et la date de versement de la contribution.
Pour la gestion des  lanceurs d'alerte , il s'agit :
-	des différents documents échangés entre un citoyen et la CNCCFP,-	des suites données à cette dénonciation ou demande d'information.
S'agissant de l'application  PERICLES , les données traitées concernent l'enregistrement des candidats aux élections politiques, des mandataires financiers personnes physiques ou des associations de financement électoral, ainsi que le suivi des opérations de contrôle des comptes de campagne. Il s'agit des catégories de données suivantes :
-	les nom, prénom, date et lieu de naissance, coordonnées postales, téléphoniques et électroniques (courriel et télécopie) des candidats, des candidats tête de liste, des membres du binôme de candidats, des mandataires financiers, des dirigeants d'associations de financement électoral et des  lanceurs d'alerte  ;-	l'étiquette, le parti politique, le groupe parlementaire déclaré du candidat, de la liste ou du binôme ;-	la nuance politique attribuée par le ministère de l'intérieur ;-	les noms et prénoms des colistiers, le cas échéant ;-	les nom, prénom, coordonnées postales, téléphoniques et électroniques (courriel et télécopie) des suppléants ou remplaçants selon les cas.
S'agissant de l'application  PARTHENON , relative au respect des obligations comptables et financières des partis et groupements politiques, des associations de financement et des mandataires financiers, les catégories de données personnelles suivantes sont enregistrées :
-	les nom, prénom, coordonnées postales, téléphoniques et électroniques (courriel et télécopie) des dirigeants des partis ou groupements politiques ;-	les nom, prénom, coordonnées postales, téléphoniques et électroniques (courriel et télécopie) des mandataires financiers et dirigeants d'associations de financement électoral.
La Commission considère ces données comme adéquates, pertinentes et non excessives au regard des finalités poursuivies pour lesquelles elles sont collectées.
Sur la durée de conservation des données :Les données traitées dans l'application GARDONS sont conservées jusqu'à l'expiration de la troisième année qui suit celle au cours de laquelle ont été produits le compte de campagne ou les copies de justificatifs de recette du mandataire du parti ou groupement politique concerné. A l'issue de ce délai, les données nominatives ainsi que les coordonnées sont détruites, à l'exception du code postal, conservé à des fins statistiques.
La Commission prend acte que cette durée est justifiée par la nécessité pour la CNCCFP de pouvoir répondre aux demandes de l'administration fiscale en application de l'article L. 84 A du Livre des procédures fiscales.
Les données traitées dans l'application PERICLES sont conservées jusqu'à l'expiration de la septième année qui suit celle au cours de laquelle a été produit le compte de campagne auquel les données se rattachent. Les coordonnées personnelles sont quant à elles détruites dès lors que les voies de recours contre les décisions de la CNCCFP sont épuisées ou que les décisions du juge de l'élection sont devenues définitives.
Cette durée n'appelle pas d'observation particulière et correspond à la durée maximale d'un mandat (six ans) augmentée d'un an, ce qui permet à la CNCCFP de disposer encore des données de l'élection précédente.
Les données traitées dans l'application PARTHENON sont conservées jusqu'à l'expiration de la septième année qui suit celle à partir de laquelle le parti ou groupement politique a cessé de relever de la loi n° 88-227 du 11 mars 1988 modifiée relative à la transparence de la vie financière de la vie politique. S'agissant des coordonnées, elles sont détruites dès lors que le parti ou groupement politique a cessé de relever de ladite loi et que les voies de recours contre les décisions de la CNCCFP sont épuisées.
Les données issues d'un signalement seront conservées uniquement le temps du traitement de l'alerte. Lorsqu'il n'est donné aucune suite à l'alerte ou que la personne s'est désistée, ces données devront être supprimées sans délai.
La Commission rappelle que la destruction de données personnelles doit intervenir de façon définitive et sécurisée, dans les conditions prévues par les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Sous ces réserves, ces durées n'appellent pas d'observation.
Sur les destinataires des données :Peuvent seuls, dans les limites de leurs attributions respectives, être destinataires des données, les agents habilités à mettre en œuvre le dispositif de la CNCCFP pour les missions de cette dernière.
La Commission rappelle qu'en application de l'article L. 84 A du Livre des procédures fiscales, les services fiscaux sont autorisés à obtenir communication des données figurant dans le traitement relatif à la gestion et l'authentification des reçus délivrés aux personnes physiques.
Sur l'information des personnes :Lors du dépôt de candidature auprès des services préfectoraux, les candidats et élus sont informés de la transmission de leurs données à la CNCCFP par le ministère de l'intérieur.
De plus, l'information prévue par l'article 32 de la loi du 6 janvier 1978 modifiée est portée à la connaissance des intéressés par l'intermédiaire de mention figurant sur les formulaires de dépôt des comptes de campagnes remis par les services préfectoraux.
Une information spécifique est en outre fournie aux lanceurs d'alerte, notamment pour leur permettre de se désister, de les informer sur le traitement de leurs données ainsi que sur la possibilité que leur identité ne soit pas communiquée au cours de l'instruction par la CNCCFP, dans la limite des recours contentieux susceptibles d'être initiés à l'encontre des décisions de la CNCCFP.
La Commission rappelle que l'ensemble des formulaires de la CNCCFP ainsi que les courriers adressés aux personnes concernées doivent comporter les mentions prévues à l'article 32 de la loi du 6 janvier 1978 modifiée.
Sur les droits d'accès, de rectification et d'opposition des personnes :Les droits d'accès et de rectification prévus par les articles 39 et 40 de la loi  Informatique et Libertés  s'exercent auprès du secrétaire général de la Commission nationale des comptes de campagne et des financements politiques.
La Commission rappelle que la  nuance politique  attribuée par le ministère de l'intérieur aux candidats et élus peut faire l'objet de demande de rectification auprès du ministère et des services préfectoraux en charge de gérer les candidatures et le suivi des mandats.
Pour les données issues du dispositif de gestion des élections du ministère de l'intérieur dont la CNCCFP est rendue destinataire, la Commission demande que la CNCCFP soit rendue destinataire, de façon sécurisée, systématique et sans délai, d'une part, de toute rectification de nuance politique attribuée à un élu ou candidat et, d'autre part, de toute modification de données utiles à la CNCCFP qui serait effectuée auprès des services en charge du dispositif de gestion des élections mis en œuvre par le ministère de l'intérieur.
La Commission prend acte que le droit d'opposition des intéressés à figurer dans les traitements ne s'applique pas. Ce traitement répondant à une obligation légale, cette exclusion est conforme à l'article 38 de la loi du 6 janvier 1978 modifiée.
Sur la sécurité des données et la traçabilité des actions :Pour échanger des données à caractère personnel avec les rapporteurs chargés de l'instruction des comptes de campagne, le ministère de l'intérieur et les partis politiques, la CNCCFP précise utiliser une authentification mutuelle par certificat et le protocole SSL/TLS.
La Commission rappelle à cet égardses recommandations en matière de mécanismes cryptographiques, et notamment la nécessité de respecter les règles et recommandations des annexes B1 et B2 du référentiel général de sécurité ( RGS , cf. ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives).
Au regard des éléments communiqués par la CNCCFP, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présente autorisation abroge la délibération n° 2007-043 du 8 mars 2007 de la CNIL autorisant la mise en œuvre de deux traitements de données à caractère personnel de la Commission nationale des comptes de campagne et des financements politiques permettant la gestion des reçus délivrés aux personnes ayant apporté leur soutien financier à un candidat aux élections ou à un parti ou groupement politique, d'une part, et celle de l'examen des comptes de campagne des candidats aux élections et des partis politiques, d'autre part.
Dans ces conditions, la Commission autorise la mise en œuvre, par la Commission nationale des comptes de campagne et des financements politiques [CNCCFP], de traitements automatisés de données à caractère personnel nécessaires à l'exercice de ses missions.
Le Vice-président délégué
Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel dénommé  Plate-forme nationale des interceptions judiciaires  ;Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de procédure pénale, notamment ses articles 20, 28-1 et 28-2, 60-2, 77-1-2, 99-4, 100 à 100-7, 157, 706-95, et R. 15-33-67 à R. 15-33-75 ;Vu le code des postes et des communications électroniques, notamment ses articles L. 34-1, R. 10-12 à R. 10-14 ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-II ;Vu la loi n° 2004-575 du 21 juin 2004 modifiée pour la confiance dans l'économie numérique, notamment  son article 6 ;Vu la loi n° 2010-1 du 4 janvier 2010 relative à la protection du secret des sources des journalistes ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2007-115 du 30 juillet
2007 portant création d'un traitement automatisé de données à caractère personnel dénommé  Système de transmission d'interceptions judiciaires  ; Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;Vu le décret n° 2011-219 du 25 février 2011 relatif à la conservation et à la communication des données permettant d'identifier toute personne ayant contribué à la création d'un contenu mis en ligne, notamment son article 1er ;Vu la délibération n° 2007-028 du 13 février 2007 portant avis sur le projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé  Centre de gestion des interceptions judiciaires - CGIJ  ;Après avoir entendu Mme Claire DAVAL, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Émet l'avis suivant :La Commission a été saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel dénommé  Plate-forme nationale des interceptions judiciaires  (PNIJ).
Certaines données sensibles, au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, sont susceptibles d'être collectées dans le cadre des interceptions de communications électroniques. Ce traitement doit dès lors être créé par décret en Conseil d'État pris après avis motivé et publié de la Commission, conformément à l'article 26-II de la loi du 6 janvier 1978 modifiée. 
Si la Commission est consciente des avantages que peut apporter ce nouveau dispositif, les risques que cette centralisation d'une masse importante de données personnelles soulève sont substantiels. C'est pourquoi, au-delà de la vigilance exercée dans le cadre de l'instruction de cette demande d'avis, la Commission souligne qu'elle se montrera particulièrement attentive aux conditions réelles de déploiement de la plate-forme et ne manquera pas de faire usage, le cas échéant, de ses pouvoirs de contrôle prévus à l'article 44 de la loi du 6 janvier 1978 modifiée.  
Le traitement projeté centralisera les données résultant, d'une part, des interceptions de communications électroniques et, d'autre part, des réquisitions de données de connexion conservées par les operateurs de communications électroniques, les fournisseurs d'accès à Internet (FAI) et les hébergeurs, ordonnées par l'autorité judiciaire, dans le cadre des enquêtes et informations judiciaires prévues par le code de procédure pénale (CPP).
Les dispositifs actuels d'interception des communications électroniques et de réquisitions de données de connexion reposent sur un système hétérogène et décentralisé qui fait appel à plusieurs prestataires privés et présente des inconvénients majeurs. En effet, les fonctions et les outils de réquisition et d'interception sont variables et coûteux, et les mesures de sécurité et de traçabilité mises en œuvre ne sont pas satisfaisantes. 
En ce qui concerne les interceptions de communications, le Système de Transmission d'Interceptions Judiciaires (STIJ), autorisé par le décret n° 2007-1145 du 30 juillet 2007 pris après l'avis de la Commission en date du 13 février 2007, permet aux magistrats et aux officiers de police judiciaire de disposer des données de trafic des correspondances interceptées (numéros de téléphone, date, heure et durée de l'appel, etc.) ainsi que des contenus des mini-messages (SMS ou MMS) émis ou reçus par un numéro de téléphone dont la ligne est surveillée. Le présent projet de décret prévoit, en son article 12, l'abrogation du décret du 30 juillet 2007 six mois après la mise en œuvre de la nouvelle plate-forme, et au plus tard le 31 décembre 2015. La Commission prend acte qu'aucune donnée du STIJ ne sera reprise dans la PNIJ.
Les réquisitions de données de connexion, quant à elles, sont réalisées directement par l'enquêteur auprès de l'operateur de communications électroniques, du FAI ou de l'hébergeur.
La nouvelle plate-forme PNIJ permettra de gérer dans un seul et même espace les deux catégories de demandes applicables aux communications électroniques auprès des opérateurs de communications électroniques, des FAI et des hébergeurs. 
En effet, elle a pour objectif général de centraliser, d'une part, les données de connexion définies aux articles L. 34-1 du code des postes et des communications électroniques (CPCE) et 6-II de la loi n° 2004-575 du 21 juin 2004 modifiée (LCEN), obtenues dans le cadre d'une réquisition judiciaire en application des articles 60-2, 77-1-2 et 99-4 du code de procédure pénale (CPP), et, d'autre part, les données issues des interceptions de correspondances émises par la voie des télécommunications, réalisées sur le fondement des articles 74-2, 80-4,100 à 100-7 et 706-95 du CPP.
Les avantages attendus sont nombreux : il s'agit d'augmenter les capacités d'interception, de réduire les délais de réponse, de renforcer le niveau de sécurité, notamment l'intégrité et la confidentialité des données à caractère personnel, et de réduire les frais de justice. Ainsi, la mise en œuvre de cette plate-forme constitue, pour le ministère de la justice, l'une des mesures prioritaires de modernisation de l'action publique.
À titre liminaire, la Commission observe que la plate-forme projetée constitue une extension du système actuel, le STIJ ne couvrant pas l'ensemble des données qui seront centralisées au sein de la PNIJ. La plate-forme permettra en effet le regroupement au sein d'un même dispositif de deux types d'actes judiciaires, réalisés sur des fondements juridiques distincts. Elle relève néanmoins que cette centralisation ne modifie en rien les cadres juridiques applicables aux réquisitions et interceptions judiciaires et relève à cet égard que la plate-forme est conçue pour cloisonner les deux types de réquisitions.
En outre, le champ de la PNIJ est circonscrit exclusivement aux réquisitions et interceptions judiciaires, prises sur le fondement du code de procédure pénale. Par conséquent, les mesures d'instruction civile relevant, par exemple, des dispositions de l'article 145 du code de procédure civile, ne seront pas traitées dans la PNIJ. De même, les interceptions de sécurité (relatives aux enquêtes administratives et prises sur le fondement des articles L. 241-1 et suivants du code de la sécurité intérieure) ainsi que les réquisitions administratives de données de connexion (sur le fondement des articles L. 34-1-1 du CPCE et 6-II bis de la LCEN, tous deux codifiés à l'article L. 246-1 du code de la sécurité intérieure à compter du 1er janvier 2016) ne seront pas concernées par le dispositif projeté.
Par ailleurs, l'objet de la PNIJ se limite à la gestion des réquisitions, c'est-à-dire la gestion des procédures, des demandes, des réponses (retranscription, désinfection de codes malveillants, traduction, mise au clair), des procès-verbaux et des scellés, ainsi qu'à la gestion financière, aux statistiques et à l'administration technique et fonctionnelle de la plate-forme. Ainsi, la PNIJ ne comprendra ni les autorisations des magistrats, ni les traitements réalisés par les opérateurs, ni le reste de la procédure d'enquête. À cet égard, si la Commission prend acte que les magistrats sont informés régulièrement des réquisitions faites en leur nom, afin de limiter les risques induits par le fait que leurs décisions ne sont pour l'instant pas intégrées dans la PNIJ, elle estime toutefois qu'il serait opportun, à l'avenir, d'intégrer au sein de la PNIJ ces autorisations, afin de faire bénéficier l'ensemble de la procédure de la sécurité juridique et technique offerte par la plate-forme.
Si la sauvegarde de l'ordre public et la poursuite des auteurs d'infraction constituent des objectifs nécessaires à la sauvegarde de droits et de principes de valeur constitutionnelle, la Commission rappelle néanmoins que les conséquences pour les personnes des fichiers utilisés en la matière sont telles que la mise en place de garanties fortes constitue une exigence fondamentale et que le contrôle de la CNIL est à cet égard indispensable.