AgentPublic/cnil huggingface dataset:
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
L’article 25 du projet de loi de finances pour 2020 prévoit la recentralisation du revenu de solidarité active (RSA) à la Réunion et du revenu de solidarité (RSO) à la Réunion et en Guyane.
Il prévoit que la gestion, l’attribution, le contrôle du RSA et du RSO ainsi que l’orientation des bénéficiaires du RSA relèvent désormais de la compétence de l’Etat et sont délégués aux caisses d’allocations familiales de la Réunion et de la Guyane.
La Commission nationale de l’informatique et des libertés est saisie par le ministre des solidarités et de la santé pour avis sur un projet de décret en Conseil d’Etat relatif à la recentralisation du RSA à la Réunion et du RSO à La Réunion et en Guyane, sur le fondement de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée.
Le projet de décret porte sur les modalités de gestion, d’attribution, de contrôle du RSA ainsi que l’orientation des bénéficiaires à la Réunion mais également les modalités de gestion, d’attribution et de contrôle du RSO.
Le RSO a été istitué en 2001 et se distingue du RSA dans la mesure où il s’agit d’une allocation qui s’adresse uniquement aux résidents des départements d’outre-mer, âgés de cinquante-cinq à soixante-quatre ans, qui perçoivent le RSA depuis au moins deux ans sans avoir exercé d’activité professionnelle, et qui s’engagent à quitter définitivement le marché du travail.
La Commission précise qu’elle n’est pas saisie des modalités de gestion, d’attribution, de contrôle du RSA ainsi que de l’orientation des bénéficiaires de cette prestation en Guyane dans la mesure où celles-ci ont déjà été adaptées via le décret du 28 décembre 2018 relatif à la recentralisation du RSA en Guyane et à Mayotte.
La Commission relève que si elle n’avait pas été saisie pour avis sur ce décret, elle l’a néanmoins été s’agissant du décret n° 2019-371 du 26 avril 2019 relatif aux modalités d’échanges de flux pour la mise en œuvre du RSA en Guyane et à Mayotte.
Sur le transfert de compétences relatives à la gestion, l’attribution et le contrôle du RSA à la Réunion et du RSO en Guyane et à la Réunion 
La Commission relève que le présent projet de décret prévoit essentiellement le remplacement de la mention président du conseil départemental par celle de directeur de la caisse d’allocations familiales (CAF) ou de la CAF elle-même.
Ces modifications n’appellent pas d’observation de la part de la Commission.
Sur l’orientation des bénéficiaires du RSA à la Réunion
L’article 1er et l’article 2 du projet de décret prévoient que les CAF disposent désormais de la compétence d’ orienter les demandeurs et non plus seulement de celle de faciliter l’orientation des demandeurs .
Ces modifications n’appellent pas d’observation de la part de la Commission.
Pour La Présidente
La Vice-Présidente déléguée
 
Sophie LAMBREMON
La Commission nationale de l’informatique et des libertés,
Saisie par la ministre du travail d’une demande d’avis portant sur un projet de décret relatif à l’obligation d’information des organismes de formation sur les entrées et les sorties de formation au bénéfice des financeurs de la formation professionnelle ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code du travail, notamment ses articles L. 6121-5 et L. 6353-10 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu le décret n° 2017-772 du 4 mai 2017 relatif à l'organisation de l'échange de données dématérialisées relatives à la formation professionnelle entre les organismes financeurs de la formation professionnelle, les institutions et organismes chargés du conseil en évolution professionnelle et le compte personnel de formation ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-109 du 13 avril 2017 portant avis sur un projet de décret organisant l’échange de données dématérialisées relatives à la formation professionnelle, entre les organismes financeurs de la formation professionnelle, les institutions et organismes chargés du conseil en évolution professionnelle et le compte personnel de formation ; 
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
 
Emet l’avis suivant :
 
La Commission a été saisie, en urgence, par la ministre du travail, sur le fondement de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée, d’une demande d’avis sur un projet de décret relatif à l’obligation d’information des organismes de formation sur les entrées et les sorties de formation au bénéfice des financeurs de la formation professionnelle. 
L’alinéa 1 de l’article L. 6353-10 du code du travail prévoit que les organismes de formation informent les organismes qui financent la formation du début, des interruptions et de l’achèvement des formations suivies par les stagiaires, et leur communiquent les données relatives à l'emploi et au parcours de formation professionnelle dont ils disposent sur ces stagiaires.
La Commission rappelle que le décret n° 2017-772 du 4 mai 2017, sur lequel elle a rendu un avis le 13 avril 2017, organise l’échange de données dématérialisées relatives à la formation professionnelle entre les organismes financeurs de la formation professionnelle, les institutions et organismes chargés du conseil en évolution professionnelle et le compte personnel de formation.
L’article L. 6121-5 du code du travail dispose par ailleurs que les prestataires mentionnés à l’article L. 6351-1 (soit les organismes réalisant des actions de formation, des bilans de compétence, des validations des acquis de l’expérience et des formations d’apprentissage), informent Pôle emploi ainsi que les missions locales et les Cap emploi, de l’entrée effective, de l’interruption et de la sortie effective de formation d’une personne inscrite sur la liste des demandeurs d'emploi ou bénéficiant d'un accompagnement personnalisé au sein desdites structures. 
Les articles L. 6353-10 al.1 et L. 6121-5 renvoient chacun à un décret le soin de déterminer les modalités de délivrance des informations.
C’est dans le cadre de ces deux renvois que la Commission a été saisie pour avis.
En premier lieu, l’alinéa I de l’article 1er du projet de décret prévoit que les prestataires mentionnés à l’article L. 6351-1 du code du travail informent dans les trois jours les organismes qui financent la formation, sous forme dématérialisée, de l'entrée effective en stage de formation, des interruptions et de la sortie effective de leurs stagiaires. 
Il précise également que les organismes de formation s'assurent auprès des organismes financeurs de leur habilitation à accéder au système d'information permettant la transmission dématérialisée de ces événements. A défaut, ces informations doivent être transmises aux organismes financeurs dans les trois jours sous format papier.
Si le délai prévu n’appelle pas d’observation, la Commission rappelle que toute transmission de données à caractère personnel doit assurer la confidentialité et l’intégrité des données transmises. 
Ainsi, dans le cas d’une transmission par voie électronique, les données qui transitent sur des réseaux ouverts au public doivent faire l’objet de mesures de chiffrement et d’authentification de l’émetteur et du destinataire. Dans le cas de transmission par voie papier, des mesures de sécurité physiques doivent être mises en œuvre. 
En second lieu, l’alinéa II de l’article 1er du projet de décret prévoit que la transmission des informations prévues par l’alinéa I permet à ces prestataires de s’acquitter de l’obligation mentionnée à l’article L. 6121-5 du même code.
Sur ce dernier point, la Commission invite le ministère à préciser la rédaction de cette disposition qui peut être comprise soit, comme renvoyant pour l’acquittement de l’obligation de l’article L. 6121-5 du code du travail aux conditions du I, soit, sur le principe du guichet unique, comme signifiant que l’information d’un organisme financeur permettrait de ne pas informer Pôle emploi ainsi que les missions locales et les Cap emploi. 
 
Pour La Présidente
La Vice-Présidente déléguée
 
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre du travail d’une demande d’avis portant sur un projet de décret relatif à la mise en œuvre par France compétences du système d’information national commun aux commissions paritaires interprofessionnelles régionales ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD ) ;
Vu le code du travail, notamment son article L. 6323-17-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Vu la loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel ;
Vu le décret n° 2018-1332 du 28 décembre 2018 relatif à l’utilisation du compte personnel de formation dans le cadre d’un projet de transition professionnelle et aux conditions d’ouverture et de rémunération des projets de transition professionnelle ;
Vu le décret n° 2018-1339 du 28 décembre 2018 relatif aux modalités d’organisation et de fonctionnement des commissions paritaires interprofessionnelles régionales et aux conditions d’ouverture et de rémunération des projets de transition professionnelle ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2014-434 du 23 octobre 2014 portant avis sur un projet de décret relatif à la mise en œuvre d’un traitement de données à caractère personnel dénommé système d’information du compte personnel de formation (SI-CPF) ;
Vu la délibération n° 2019-094 du 11 juillet 2019 portant avis sur un projet de décret modifiant le décret n° 2014-1717 du 30 décembre 2014 portant création du compte personnel de formation ainsi que d’un projet d’arrêté listant les données à caractère personnel collectées et les destinataires des informations enregistrées dans le SI-CPF ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie, en urgence, par la ministre du travail, sur le fondement de l’article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée, d’une demande d’avis sur un projet de décret en Conseil d’Etat relatif à la mise en œuvre par France compétences, du système d’information national commun aux commissions paritaires interprofessionnelles régionales, pris pour application de l’article L. 6323-17-2 du code du travail dans sa rédaction issue de la loi n° 2018-771 du 5 septembre 2018 pour la liberté de choisir son avenir professionnel.
France compétences, créée par l’article 36 de la loi n°2018-771 susvisée, est une institution publique nationale dotée de la personnalité morale et de l'autonomie financière qui a pour mission d’assurer le financement, la régulation, le contrôle et l’évaluation du système de la formation professionnelle et de l’apprentissage.
L’article 1er de la loi n° 2018-771 prévoit la création de commissions paritaires interprofessionnelles régionales, agréées par l’autorité administrative, qui se substituent aux organismes paritaires agréés pour la prise en charge des congés individuels de formation.
Ces commissions paritaires interprofessionnelles régionales ont pour missions, d’une part, de valider, d’accompagner et de prendre en charge financièrement les projets de transition professionnelle des salariés, d’autre part, d’assurer le suivi de la mise en œuvre du conseil en évolution professionnelle sur le territoire régional, et enfin, d’attester du caractère réel et sérieux des projets professionnels des salariés souhaitant démissionner dans le cadre de la procédure mentionnée au 2° du II de l’article L. 5422-1 du code du travail.
L’article L. 6323-17-2 du code du travail prévoit qu’un système d’information national commun à ces commissions paritaires interprofessionnelles régionales (ci-après SI- CPIR ) est mis en œuvre par France compétences, et que ses règles de création et d’alimentation seront précisées par décret en Conseil d’Etat.
C’est dans le cadre de ce projet de décret que la Commission a été saisie.
En premier lieu, la Commission relève que l’article 1er du projet de décret prévoit que France compétences est responsable de la conception et de la mise en œuvre du SI-CPIR, en ce compris le traitement de données à caractère personnel y afférent.
Cet article précise notamment que France compétences détermine les modalités et les actions d’accompagnement nécessaires à son utilisation par les commissions paritaires interprofessionnelles régionales.
Le rôle de France compétences prévu par le projet de décret n’appelle pas d’observation particulière.
En deuxième lieu, ainsi qu’elle l’avait fait dans sa délibération n° 2019-094 du 11 juillet 2019, la Commission rappelle qu’au regard des données qui y seront traitées notamment celles relatives à l'identité et à l'activité professionnelle du titulaire du CPF, la mise en œuvre de ce dispositif doit s’accompagner de mesures de sécurité robustes, de nature notamment à garantir l’intégrité et la confidentialité des données transmises, y compris par des mesures de sécurité physiques dans le cas de transmissions par voie papier. Elle souligne en tout état de cause que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques
La Commission rappelle qu’il revient au responsable de traitement de s’assurer que le système d’information mis en œuvre soit conforme au référentiel général de sécurité (RGS) prévu par le décret n° 2010-112 du 2 février 2010, et de réaliser, à ce titre, une analyse de risques incluant les risques pesant sur les personnes concernées.
En troisième lieu, la Commission rappelle que les agents des commissions paritaires interprofessionnelles régionales ne peuvent accéder ou recevoir communication des informations susvisées que dans les limites de leurs attributions légales, et chacune pour ce qui la concerne.
 
Pour la Présidente
La Vice-Présidente déléguée
Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la justice d’une demande d’avis concernant un projet de décret portant application de l’article 50 de la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2016/680 du 27 avril 2016 du Parlement européen et du Conseil relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008 /977/JAI du Conseil ;
Vu le code de procédure pénale, notamment ses articles 15-4, 63, 63-1, 64, 64-1, 77-2 et D. 15-6 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8.I-4°, a) ;
Vu la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice, notamment son article 50-II ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 9 ;
Vu l’arrêté du 14 avril 2008 fixant les modalités techniques des moyens d'enregistrement audiovisuel des interrogatoires des personnes placées en garde à vue ou mises en examen ;
Sur la proposition de Mme Christine MAUGÜE, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
 
Emet l’avis suivant :
 
La loi n° 2019-222 du 23 mars 2019 susvisée a, en son article 50-II, ouvert la possibilité, à titre expérimental, à compter du 1er janvier 2019 et jusqu’au 1er janvier 2022, dans des services ou unités de police judiciaire désignés conjointement par le ministre de la justice et le ministre de l’intérieur, de procéder à l’enregistrement sonore ou audiovisuel des formalités prévoyant, pour les personnes entendues, arrêtées ou placées en garde à vue, la notification de leurs droits.
Le projet de décret dont la Commission a été saisie a ainsi pour objet de préciser les modalités d’application du II de l’article 50 précité, à savoir la manière dont il pourra être procédé à ces enregistrements, leurs modalités de conservation, de stockage et de destruction ainsi que les modalités de consultation par l’avocat de la personne au cours de la garde à vue ou en cas de poursuites pénales.
Cette même disposition prévoit que les modalités d’application de ce dispositif seront précisées par voie réglementaire. Sans préjudice des conditions de mise en œuvre effective des traitements de données à caractère personnel réalisés dans le cadre de cette expérimentation, le projet de décret appelle les observations suivantes.
Sur le périmètre du dispositif envisagé
A titre liminaire, la Commission relève que, conformément aux dispositions du II de l’article 50 de la loi n° 2019-222 précitée, l’article 1er du projet de décret indique que, à titre expérimental, il pourra être procédé à l’enregistrement sonore ou audiovisuel des formalités prévoyant, pour les personnes placées en garde à vue en application de l’article 63 du code de procédure pénale (CPP), la notification de leurs droits prévue par le 3° de l’article 63-1 du même code.
La Commission relève que l’article 3 du projet de décret prévoit de laisser le choix aux officiers de police judiciaire des services ou unités désignés de déterminer les procédures dans lesquelles il est procédé à cet enregistrement , ce qui n’appelle pas d’observation particulière.
Sur les modalités d’exercice du dispositif envisagé
En premier lieu, quant aux types d’enregistrement pouvant être utilisés, la Commission relève qu’il ressort de l’article 2 du projet de décret qu’il pourra être recouru au dispositif d’enregistrement audiovisuel prévu par les articles 64-1 et
D. 15-6 du CPP pour les auditions de personnes placées en garde à vue pour crime, dont les modalités techniques sont déterminées par l’arrêté du 14 avril 2008 susvisé, ou à tout autre dispositif d’enregistrement sonore ou audiovisuel dont les modalités techniques sont précisées par arrêté conjoint du ministre de la justice et du ministre de l’intérieur .
En second lieu, l’article 4 du projet de décret précise que, lorsqu’il a été procédé à cet enregistrement, les enquêteurs ne sont pas tenus de faire figurer la notification des droits dans le procès-verbal prévu par l’avant-dernier alinéa de l’article 63-1 et par l’article 64 du CPP.
Dans cette hypothèse, il sera indiqué que la notification des droits a fait l’objet d’un enregistrement sonore ou audiovisuel et l’agent ou l’officier de police judiciaire ayant procédé à la notification devra s’identifier lors de l’enregistrement ou sur ce procès-verbal, le cas échéant selon les modalités prévues par l’article 15-4 du CPP, à savoir au moyen de l’identification par un numéro d’immatriculation administrative.
La Commission observe que si le deuxième alinéa de l’article 4 du projet de décret donne certaines informations quant aux modalités d’identification qui pourront être utilisées par l’agent ou l’officier de police judiciaire lorsqu’il procède à la notification des droits en renvoyant à l’article 15-4 du CPP, ces dernières ne permettent pas de déterminer précisément les éventuelles autres modalités qui pourraient être utilisées, notamment lorsque l’agent ou l’officier de police judiciaire ayant procédé à la notification fait le choix de s’identifier lors de l’enregistrement. Elle recommande que le projet de décret soit précisé sur ce point. 
En outre, la Commission considère que le projet de décret devrait prévoir une authentification de l’agent ou de l’officier concerné, afin de garantir la réalité de l’identité de l’agent à l’origine de la procédure. Elle recommande que les modalités de cette authentification soient précisément définies par le ministère afin de garantir l’application d’une procédure homogène et fiable.
Par ailleurs, concernant les enregistrements purement sonores, la Commission s’interroge sur la possibilité effective d’authentifier précisément les personnes enregistrées, ce qui semble susceptible de soulever des problèmes lors de l’utilisation de ce type d’enregistrement.
Au regard de ce qui précède, la Commission considère que le projet de décret devrait ainsi être complété afin de préciser, le cas échéant, si d’autres modalités d’identification peuvent être utilisées par l’agent ou l’officier de police judiciaire ayant procédé à la notification ainsi que les modalités d’authentification définies.
Sur les modalités de consultation des enregistrements
A titre liminaire, la Commission rappelle qu’aux termes du II de l’article 50 de la loi n° 2019-222 précitée, en cas de contestation, cet enregistrement peut être consulté sur simple demande .
A cet égard, l’article 5 du projet de décret précise les modalités de cette consultation en distinguant deux hypothèses :
au cours de la garde à vue, il est prévu que l’avocat de la personne peut, s’il conteste l’existence de la notification des droits, consulter cet enregistrement ;
si la personne fait l’objet de poursuites, il est précisé que cet enregistrement peut être consulté par son avocat, en cas de contestation pouvant donner lieu au dépôt d’une requête en nullité ou lorsqu’il est fait application de l’article 77-2 du CPP, sur simple demande formée par cet avocat auprès du procureur de la République.