AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie et des finances d'une demande d'avis concernant un projet d'arrêté modificatif de l'arrêté du 26 octobre 2010 relatif au fichier des incidents de remboursement des crédits aux particuliers (FICP) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le code de la consommation en ses articles L. 751-1 et L. 751-6 et L. 333-4 ;
Vu le code monétaire et financier en son article L. 312-1-3 ;
Après avoir entendu M. Cabourdin, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le projet d'arrêté modificatif du 26 octobre 2010 relatif au fichier des incidents de remboursement des crédits aux particuliers (ci-après désigné FICP ) dont la commission est saisie vise, en premier lieu, à actualiser les références juridiques relatives notamment à la protection des données pour prendre en compte les règles introduites par le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (ci-après désigné RGPD ).
Il tend, en deuxième lieu, à prendre en compte les besoins opérationnels apparus dans le cadre de la mise en œuvre de la procédure relative à la gestion du fichier et notamment la clarification du principe d'unicité dans le temps de l'inscription au FICP, pour prévoir qu'en cas d'incident déclaré sur un crédit, aucune autre déclaration sur ce même crédit ne peut être réalisée.
De même, l'obligation de conservation du résultat de la consultation du FICP par les établissements ou organismes mentionnés au I de l'article 1er a été remplacée par la simple preuve de cette consultation sans mention de son résultat.
Le présent arrêté modificatif précise, en troisième lieu, que la consultation facultative qui peut avoir lieu avant l'attribution de moyens de paiement doit être notamment effectuée en vue d'identifier les personnes en situation de fragilité financière .
En quatrième lieu, le projet d'arrêté modifie et uniformise les moyens de preuve des consultations du FICP produits par les établissements ou organismes, devant les tribunaux, en cas de contentieux. Le projet d'arrêté modificatif donne ainsi la possibilité aux établissements ou organismes mentionnés au I de l'article 1er de se voir délivrer, par la Banque de France, une attestation de consultation du FICP, dans les cas où cette consultation est obligatoire.
1. Sur les finalités du FICP (article 2)
L'arrêté du 26 octobre 2010 fixe des cas de consultations obligatoires et facultatives du FICP pour les établissements ou organismes.
Le projet d'arrêté modificatif apporte, d'une part, des modifications relatives aux cas de consultations obligatoires et, notamment, une mise à jour des références juridiques au code de la consommation, qui n'appellent pas d'observation de la commission.
Le projet d'arrêté modificatif précise, d'autre part, que la consultation facultative qui peut avoir lieu avant l'attribution de moyens de paiement doit être notamment effectuée en vue d'identifier les personnes en situation de fragilité financière , et ce afin d'être en mesure de leur proposer l'offre de services bancaires spécifiques prévue au 2e alinéa de l'article L. 312-1-3 du code monétaire et financier (article 2 [III-2°] du projet d'arrêté). Cet ajout n'appelle pas d'observation de la part de la commission.
La commission observe toutefois que la finalité attribuée à la consultation obligatoire du FICP n'est pas systématiquement rappelée. En effet, l'article 2 (II) du projet d'arrêté prévoit bien que lorsque la consultation obligatoire a lieu avant l'octroi d'un crédit (tel qu'encadré par le chapitre II et III du titre Ier du livre III du code de la consommation), celle-ci doit avoir pour finalité d' éclairer la décision finale de l'établissement ou organisme prêteur (article 2 [II-1° et 3°] de l'arrêté). En revanche, la mention de cette finalité n'apparaît pas pour l'autre cas de consultation obligatoire du FICP, à savoir avant de proposer à un client la reconduction annuelle de son contrat de crédit renouvelable (art. 2 [II-2°] du projet d'arrêté).
De même, le projet d'arrêté ne précise pas la finalité de la consultation facultative préexistante à la modification de l'arrêté et prévue à l'article 2 (III-1°) de l'arrêté, à savoir celle pouvant être effectuée avant l'octroi des crédits autres que ceux prévus par le chapitre II et III du titre Ier du livre III du code de la consommation. Dans un objectif de clarté et pour répondre aux exigences de l'article 5 (1-b) du RGPD, la commission estime que la finalité des consultations du FICP prévue par l'article L. 751-2 du code de la consommation, qui précise que le FICP a pour finalité de fournir (…) un élément d'appréciation de la solvabilité des personnes qui sollicitent un crédit pourrait utilement être rappelée en complément du 1°-III de l'article 2 du projet d'arrêté.
2. Sur les modalités de justification des consultations (article 13)
Le projet d'arrêté modificatif en son article 13 (IV) ajoute la possibilité pour les établissements ou organismes de se faire délivrer par la Banque de France une attestation de consultation du FICP lorsque celle-ci est obligatoire.
Les établissements peuvent demander cette attestation de consultation durant un délai de :
 - 20 ans pour un crédit relevant du chapitre II du titre Ier du livre III du code de la consommation ainsi que pour l'octroi d'une autorisation de découvert remboursable dans un délai supérieur à 1 mois ;
 - 35 ans pour un crédit relevant du chapitre III du titre Ier du livre III du code de la consommation ;
- 5 ans dans le cadre de la reconduction annuelle d'un contrat de crédit renouvelable en application des articles L. 312-57 et suivants du code de la consommation. 
La commission considère que ces durées sont conformes à l'article 5 (1-e) du RGPD imposant que la durée de conservation des données soit limitée à ce qui est nécessaire au regard des finalités poursuivies, pour autant que ces durées correspondent aux délais de prescription des recours contentieux applicables aux contrats de crédits auxquels cet article fait référence.
3. Sur la conservation des données relatives aux résultats des consultations (article 13)
Concernant les données relatives aux résultats des consultations, l'article 13 (III) modifié par le projet d'arrêté modificatif prévoit la possibilité (et non plus l'obligation) pour les établissements et organismes de conserver le résultat de la dernière consultation du FICP et de le rendre accessible uniquement pour l'instruction du dossier de demande de crédit, de reconduction annuelle d'un contrat de crédit renouvelable ou d'attribution de moyens de paiement dans le cadre de laquelle la consultation a été effectuée .
La commission observe que cet article ne pose pas de durée de conservation de ces données, ce qui n'est pas conforme à l'article 5 (1-e) du RGPD.
La commission rappelle qu'il appartient en tout état de cause aux responsables de traitement - établissements ou organismes - de déterminer une durée maximale précise de conservation des résultats des consultations dans le cadre de l'instruction du dossier, et que celle-ci ne doit pas excéder celle nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément à l'article 5 (1-e) du RGPD.
Le projet d'arrêté prévoit enfin en son article 13 (III) que Lorsque le résultat d'une consultation comporte des informations relatives à plusieurs personnes en raison d'une homonymie, toutes ces informations doivent être conservées. 
La commission rappelle que ce traitement doit être respectueux du principe de minimisation posé par l'article 5 (1-c) du RGPD exigeant que les données à caractère personnel doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées. En l'occurrence, les données ne correspondant pas à la personne concernée par la demande ne sauraient être conservées même sous forme d'archives tel que décrit au 3e paragraphe du III. Elles devront être détruites dès que l'établissement aura constaté que l'homonymie établie à partir de la clé Banque de France réduite à la date de naissance et aux cinq premières lettres du nom aura été levée par l'exploitation de la fiche transmise. La commission souhaite que le projet d'arrêté soit précisé en ce sens.
Les autres dispositions du projet n'appellent pas d'observations de la commission.
Pour la présidente :
La vice-présidente déléguée,
S. Lambremon
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis relative à un projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé application mobile de prise de notes (GendNotes) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l'égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code de procédure pénale, notamment ses articles 75-1 et 495-21 ;
Vu le code de la sécurité intérieure, notamment son article L. 235-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 31-II et 89-II ;
Vu le décret n° 2011-111 du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l'intérieur (direction générale de la gendarmerie nationale) d'un traitement automatisé de données à caractère personnel d'aide à la rédaction des procédures (LRPGN) ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2010-119 du 6 mai 2010 portant avis sur un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel relatif à l'aide à la rédaction des procédures et des écrits dénommé ICARE ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire, en son rapport et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis relative à un projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé application mobile de prise de notes (GendNotes).
Elle relève que le traitement projeté vise à dématérialiser la prise de notes par les militaires de la gendarmerie nationale lors de leurs interventions en vue notamment d'alimenter de manière automatisée l'application métier Logiciel de Rédaction des Procédures de la Gendarmerie Nationale dénommée LRPGN (ex-ICARE) et de permettre la transmission de comptes rendus directement par voie électronique au magistrat du parquet territorialement compétent.
La commission observe que le traitement GendNotes, par l'interrogation d'autres traitements de données à caractère personnel et la transmission d'informations au magistrat du parquet compétent, est mis en œuvre dans le cadre des interventions et enquêtes diligentées par les militaires de la gendarmerie nationale notamment à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique. Elle considère qu'il relève dès lors du champ d'application de la directive (UE) 2016/680 du 27 avril 2016 susvisée et qu'il doit être examiné au regard des dispositions des articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
Dans la mesure où le traitement projeté est susceptible de porter sur des données mentionnées au I de l'article 6 de cette même loi, il doit faire l'objet d'un décret en Conseil d'Etat, pris après avis motivé et publié de la commission, conformément aux articles 31-II et 89-II de la loi du 6 janvier 1978 modifiée.
En tout état de cause, la commission rappelle qu'elle devra être tenue informée et saisie, dans les conditions prévues par l'article 33-II de la loi du 6 janvier 1978 modifiée, des modifications apportées à ce traitement. Au même titre, elle rappelle que l'analyse d'impact relative à la protection des données (AIPD) transmise à la commission, dans les conditions prévues par l'article 90 de la loi précitée, devra faire l'objet d'une mise à jour.
Sur la finalité du traitement :
L'article 1er du projet de décret précise que le traitement projeté a pour finalités de permettre la dématérialisation de la prise de notes par les militaires de la gendarmerie nationale, d'une part, et de pré-renseigner d'autres traitements utilisés par les militaires de la gendarmerie nationale par des données à caractère personnel et informations saisies lors de la rédaction d'une note, d'autre part.
La commission prend tout d'abord acte que le traitement GendNotes doit permettre de faciliter le travail en mobilité des militaires de la gendarmerie nationale en permettant la dématérialisation de leur prise de notes, ce qui n'appelle pas d'observations particulières.
En ce qui concerne le pré-renseignement d'autres traitements utilisés par les militaires de la gendarmerie nationale, la commission prend acte que le traitement GendNotes sera interconnecté avec le LRPGN, qu'il permettra d'alimenter de manière automatisée, et qu'il sera également mis en relation avec l'application mobile dénommée Messagerie Tactique . Elle relève que cette application est une interface permettant de faciliter l'interrogation de plusieurs fichiers à partir d'une seule saisie de données relatives à l'état civil de la personne concernée. A cet égard, cette interface doit permettre d'interroger le Fichier des personnes recherchées (FPR), le Système national des permis de conduire (SNPC), l'Application de gestion des dossiers des ressortissants étrangers en France (AGDREF), et le Traitement des antécédents judiciaires (TAJ) dans le cadre de la procédure de l'amende forfaitaire délictuelle.
La commission prend également acte que l'alimentation de la Messagerie Tactique ne concernera que les données d'état civil de la personne concernée et que les réponses à l'interrogation de ces fichiers se feront de manière distincte, par messages indépendants.
Sans remettre en cause la légitimité de l'interrogation de ces différents traitements au regard des précisions apportées par le ministère, la commission considère que cette finalité devrait être davantage précisée dans le projet de décret afin de mentionner explicitement les traitements pouvant être mis en relation ou faisant l'objet d'interconnexions avec le traitement GendNotes , dès lors que ces mises en relation constituent, en elles-mêmes, l'une des finalités assignées au traitement GendNotes.
La commission rappelle que les différents traitements précités devront, le cas échéant, être modifiés afin de prévoir expressément les interconnexions ou mises en relation avec le traitement GendNotes .
Sur les données collectées :
L'article 2 du projet de décret prévoit que peuvent être enregistrées dans le traitement des données et informations concernant l'ensemble des éléments relatifs aux personnes, aux lieux ou aux objets recueillis dans le cadre des interventions des militaires de la gendarmerie nationale ou de l'exécution de leur service ainsi que l'ensemble des éléments de procédure transmis aux magistrats lors de gardes à vue ou lors du traitement de certaines infractions relatives à la police de la route. Les catégories de données collectées sont définies dans l'annexe au projet de décret.
A titre liminaire, la commission relève que peuvent être enregistrées dans le traitement des données et informations relatives aux objets. A ce titre, sont notamment susceptibles d'être collectées des données relatives à l'état civil du propriétaire ou du titulaire ainsi que le numéro de série, l'immatriculation ou un autre numéro d'identification, afin de permettre une identification précise de l'objet concerné.
S'agissant des téléphones portables, la commission prend acte que l'enregistrement du code PIN ou du code PUK pourra être réalisé dans le cadre d'enquêtes afin de déverrouiller l'appareil.
La collecte de ces données relatives aux objets n'appelle pas d'observations particulières de la commission.
L'article 2 du projet de décret permet également la collecte des données suivantes :
- des données et informations relatives aux personnes physiques ;
- des données relatives aux messages de placement en garde à vue à destination d'un magistrat ;
- des données relatives aux infractions de police de la route à destination des magistrats du parquet.
De manière générale, la commission relève que l'application GendNotes permet aux personnels ayant accès au traitement de renseigner des champs libres. Elle rappelle que les données traitées doivent être pertinentes, adéquates et non excessives au regard de la finalité poursuivie. Si la commission prend acte de l'engagement du ministère de pré-renseigner ces champs libres avec une information spécifique relative à la manière dont il convient de les renseigner, elle rappelle qu'un contrôle strict devra être assuré à ce titre.
La commission relève également que des données sensibles mentionnées au I de l'article 6 de la loi du 6 janvier 1978 modifiée pourront être collectées. Elle prend acte des précisions apportées selon lesquelles ces données, qui seront recueillies selon les circonstances de l'intervention ainsi que la nature des faits auxquels est confronté le militaire de la gendarmerie nationale utilisateur se rapportent à des données relatives à la prétendue origine raciale ou ethnique, aux opinions politiques, aux convictions religieuses et/ou philosophiques, à l'appartenance syndicale, à la santé, à la vie sexuelle ou à l'orientation sexuelle.
Si la commission relève qu'il sera interdit de sélectionner une catégorie particulière de personnes à partir de ces seules informations, elle souligne que, conformément à l'article 88 de la loi du 6 janvier 1978 modifiée, le traitement de telles données n'est possible qu'en cas de nécessité absolue, sous réserve des garanties appropriées pour les droits et libertés de la personne concernée . Sur ce point, la commission prend acte des garanties apportées par le ministère, à savoir que les informations enregistrées dans ces champs libres ne pourront pas alimenter d'autres traitements et qu'elles seront uniquement accessibles via l'application.
La commission observe par ailleurs que l'annexe qui énumère les données à caractère personnel et informations enregistrées dans le traitement ne mentionne pas la catégorie de données relative aux données sensibles. Si elle prend acte de l'engagement du ministère de compléter l'article 2 du projet de décret afin de préciser le champ exact des données sensibles concernées, elle recommande que l'annexe soit également complétée sur ce point.
En premier lieu, peuvent être enregistrées dans le traitement des données et informations relatives aux personnes physiques. A ce titre, la commission relève que la photographie de la personne peut être collectée. La commission prend acte des précisions apportées par le ministère selon lesquelles les photographies seront prises avec la tablette ou l'ordiphone utilisé par le gendarme et seront ensuite stockées sur le terminal ou sur la carte SD du téléphone. Elle prend également acte qu'aucun dispositif de reconnaissance faciale ne sera mis en œuvre à partir de la photographie et considère que cette garantie pourrait utilement figurer dans le projet de décret.
En deuxième lieu, peuvent être enregistrées dans le traitement des données relatives au message de placement en garde à vue à destination d'un magistrat. La commission prend acte des précisions apportées selon lesquelles ces données doivent permettre d'assurer un suivi précis de la procédure judiciaire. Elle relève que seules les données suivantes pourront être collectées : l'unité d'enquête, des données d'identité de l'officier de police judiciaire responsable de la garde à vue, du magistrat informé, de l'avocat ainsi que de la personne de la famille informée, la date et le lieu du placement en garde à vue, le cadre d'enquête, le numéro de procédure, la liste des infractions ayant motivé la garde à vue et la notification de droits (droits relatifs à la demande d'un avocat, à la demande d'un médecin, à l'information à la famille, à l'information de l'employeur).
En troisième lieu, des données relatives aux infractions de police de la route à destination des magistrats du parquet peuvent être collectées et enregistrées dans le traitement, à savoir : la date de convocation, les revenus de la personne mise en cause et des informations spécifiques aux infractions relatives au permis de conduire, à la conduite sans assurance et à la conduite sous l'emprise d'un état alcoolique.
Concernant la collecte de données relatives aux revenus de la personne mise en cause, la commission relève que, s'agissant de la procédure d'amende forfaitaire pour certains délits, l'article 495-21 du code de procédure pénale permet au tribunal, par dérogation et à titre exceptionnel, par décision spécialement motivée au regard des charges et des revenus de la personne, de ne pas prononcer d'amende ou de prononcer une amende d'un montant inférieur à ceux prévus.
La commission s'interroge toutefois, au regard des données collectées s'agissant du message de placement en garde à vue à destination d'un magistrat, sur l'absence, dans la catégorie des données relatives aux infractions de police de la route à destination des magistrats du parquet (IV du projet d'annexe), de la collecte de données relatives à l'unité concernée par l'enquête, à l'identité de l'officier de police judiciaire responsable de la procédure et à celle du magistrat du parquet informé ainsi que du type d'infraction concerné. Elle considère que si ces informations ont vocation à être renseignées dans la note et transmises aux magistrats du parquet, il conviendrait que le projet de décret soit modifié afin de les mentionner expressément.
En quatrième lieu, la commission relève que peuvent être collectées des données relatives à la géolocalisation de l'utilisateur du traitement, dans l'hypothèse où les paramètres de géolocalisation sont activés. A cet égard, la commission prend acte des précisions apportées par le ministère selon lesquelles il est laissé à l'utilisateur de GendNotes un choix entre deux options, qui sont cumulables :
- soit l'utilisateur rentre manuellement la localisation de l'intervention (adresse et commune) dans la note ;
- soit l'utilisateur utilise les données GPS de l'équipement mobile en activant cette fonctionnalité afin de renseigner sa localisation dans la note.
La commission estime que, dès lors que les données de localisation constituent des données à caractère personnel, le projet de décret devrait être modifié afin de mentionner la possible collecte des données de géolocalisation de l'utilisateur de l'application, conformément à l'article 35-3° de la loi du 6 janvier 1978 modifiée. Elle prend acte de l'engagement du ministère de compléter le projet de décret en ce sens.
29. Sous ces réserves, la commission considère que la collecte des catégories de données prévues à l'article 2 du projet de décret apparaît justifiée et proportionnée.
Sur la durée de conservation des données :