AgentPublic/cnil huggingface dataset:
le système national des permis de conduire ; 
le traitement automatisé de suivi du recouvrement des amendes et des condamnations pécuniaires ; 
les traitements relatifs à la gestion des contrats de location et des véhicules loués mis en œuvre par les sociétés ayant pour activité la location de véhicules ; 
les traitements relatifs à la gestion du parc automobile mis en œuvre par les sociétés ou établissements mettant des véhicules à disposition de leurs collaborateurs ou clients ; 
les systèmes de télépaiement des amendes mis en œuvre par les services compétents de la direction générale des finances publiques ; 
le traitement automatisé relatif au traitement des ordonnances et jugements devant les tribunaux de police dénommé Minos ;
le traitement automatisé relatif aux procédures judiciaires au sein des tribunaux de grande instance dénommé Cassiopée ;
l’application de gestion centrale ; 
le système d’immatriculation des véhicules ; 
la base satellite des véhicules volés ;
le traitement dénommé numérisation des procédures pénales ;
le traitement d’antécédents judiciaires.
L’article 1er du projet d’arrêté ajoute à cette liste le fichier des véhicules terrestres à moteur assurés (FVA).
A titre liminaire, la Commission relève que le FVA est un traitement de données à caractère personnel prévu par l’article L.451-1-1 du code des assurance et qu’il est mis en œuvre par l’Association pour la gestion des informations sur le risque en assurance (AGIRA) en tant qu’organisme d’information. Il a pour finalité de tenir à jour la liste des véhicules terrestres à moteur assurés au titre de la responsabilité civile automobile. Il conserve les données relatives aux contrats souscrits par les assurés, à savoir l’immatriculation du véhicule, le nom de l’assureur et le numéro du contrat avec sa période de validité.
Le projet d’arrêté prévoit la mise en relation du système de contrôle automatisé avec le FVA, afin de contrôler le défaut d’assurance du véhicule. Ainsi, lorsqu’un message d’infraction constatée par un appareil de contrôle automatique génère la production d’un avis de contravention (actuellement, uniquement en matière de non-respect des vitesses maximales autorisées ou de franchissement d’un feu de signalisation rouge), le SCA procèdera à une interrogation du FVA aux fins de vérifier si le véhicule figure dans ce traitement. L’interrogation a lieu soixante-douze heures après la constatation de l’infraction. Cette mise en relation permettra d’éditer, à l’attention du titulaire du certificat d’immatriculation, un avis d’amende forfaitaire délictuelle en cas de constatation d’une infraction par un véhicule non assuré.
Sans remettre en cause la nécessité d’interroger un tel fichier, la Commission rappelle que, compte tenu des enjeux importants pour les personnes concernées résultant de cette interrogation, des garanties particulières devront être mises en œuvre afin de limiter les conséquences potentiellement négatives pour les personnes concernées résultant notamment de l’absence de mise à jour du fichier FVA. A ce titre, elle recommande, en vue d’une mise à jour du traitement, que le responsable de traitement prenne les dispositions nécessaires afin de porter à la connaissance de l’AGIRA le cas de tout titulaire du certificat d’immatriculation destinataire d’un avis d’amende ayant rapporté la preuve d’une garantie d’assurance active lors de la constatation de l’infraction.
La Commission estime que la mise en relation envisagée par le ministère est justifiée, en ce qu’elle répond à l’objectif de vérification de l’absence d’assurance garantissant la responsabilité civile des véhicules terrestres à moteur, tel que visé par loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle.
Sur les droits des personnes concernées
Les articles 2 et 3 du projet d’arrêté prévoient l’introduction pour les droits des personnes concernées, du droit à la limitation tel que prévu à l’article 106 de la loi du 6 janvier 1978 et la modification des références à la loi du 6 janvier 1978 en matière d’exercice des droits des personnes concernées par le traitement et ce, compte tenu de l’entrée en vigueur le 1er juin 2019 de l’ordonnance n°2018-1125 du 12 décembre 2018 portant modification de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
De manière générale, la Commission rappelle que les personnes concernées souhaitant exercer leurs droits peuvent justifier de leur identité par tout moyen. Le responsable du traitement doit, dans ce cadre, veiller à ne collecter que des données strictement nécessaires à la vérification de l’identité de la personne concernée. Dans le cas présent, la Commission estime que la transmission d’une copie d’un justificatif d’identité suffit pour satisfaire à cette exigence.
Sur les mesures de sécurité
S’agissant des mesures existantes ou prévues, l'infrastructure du système de contrôle automatisé a été analysée par la Commission à diverses reprises.
La Commission relève que le chiffrement de l’ensemble des données stockées en base est à l’étude de faisabilité et qu’un plan d’action détaillé visant notamment à préciser les méthodes de pseudonymisation et à déterminer la stratégie de mise en œuvre a été proposé tout comme une refonte du système d’archivage afin d’assurer une certification NF42-013.
La Commission estime que les mesures techniques de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 99 de la loi du 6 janvier 1978 modifiée. Elle constate toutefois qu’au regard des risques identifiés par l’analyse d’impact relative au système de contrôle automatisé, les mesures en vigueur ne permettent pas de diminuer la gravité du risque pour toutes les catégories de sources de risque. En tout état de cause, elle rappelle que les obligations prévues à l’article précité nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. À cet égard, la Commission rappelle qu’il conviendra d’apporter une attention spécifique à la réévaluation de ces mesures dans le cadre de la mise à jour de l’analyse d’impact.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet d’arrêté autorisant la création d’un traitement de données à caractère personnel dénommé gestion des contrôles judiciaires (GECOJ) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code de procédure pénale et notamment ses articles 138 et R. 17-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu l’ordonnance n° 45-174 du 2 février 1945 relative à l’enfance délinquante ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 août 2012 autorisant la création de traitements de données à caractère personnel dénommés contrôle judiciaire ;
Vu la délibération n° 2012-059 du 8 mars 2012 portant avis sur un projet d’arrêté autorisant la création de traitements de données à caractère personnel dénommés contrôle judiciaire ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie pour avis par le ministre de l’intérieur d’un projet d’arrêté autorisant la création d’un traitement de données à caractère personnel dénommé gestion des contrôles judiciaires (GECOJ).
Le traitement projeté vise à centraliser au sein d’un dispositif unique, l’ensemble des contrôles judiciaires prononcés en matière de terrorisme impliquant, pour la personne concernée, une obligation de se présenter régulièrement dans un service de police ou de gendarmerie, conformément à l’article 138 du code de procédure pénale. Ce traitement a par ailleurs vocation à centraliser les contrôles judiciaires prononcés par les juridictions parisiennes en matière de droit commun.
La Commission relève qu’elle s’est déjà prononcée sur un projet d’arrêté autorisant la création de traitements de données à caractère personnel dénommés contrôle judiciaire . L’arrêté du 22 août 2012 susvisé, qui encadre la mise en œuvre de ces traitements, constitue par ailleurs un acte réglementaire unique au sens de l’article 31- IV de la loi du 6 janvier 1978 modifiée.
La Commission prend acte qu’à terme, le dispositif GECOJ a vocation à porter sur l’ensemble des mesures de contrôle judiciaire prononcées en matière de droit commun et de terrorisme, et ce, sur l’ensemble du territoire national, se substituant ainsi en partie au dispositif actuellement encadré par l’arrêté du 22 août 2012 précité. Dans cette attente, elle relève que les finalités ainsi que les conditions de mise en œuvre du traitement qui lui est soumis diffèrent de celles prévues au sein de ce même arrêté, ce qui justifie qu’il fasse l’objet d’un acte réglementaire distinct.
Elle relève à cet égard que si, à terme, il est envisagé d’intégrer la totalité de ces mesures dans le traitement GECOJ , les contrôles judiciaires de droit commun n’ont pas vocation à être intégrés au dispositif de supervision nationale, les modalités de gestion de ces mesures restant mises en œuvre à l’échelon territorial. Si le calendrier de développement de cette évolution n’a pas pu être communiqué, la Commission rappelle qu’elle devra être saisie de toute modification relative aux caractéristiques essentielles du traitement qui résulterait des évolutions apportées au dispositif, dans les conditions prévues à l’article 33 de la loi du 6 janvier 1978 modifiée.
Dans la mesure où la Commission estime que le traitement GECOJ est mis en œuvre principalement à des fins de poursuite d’infractions pénales, elle considère qu’il relève du champ d’application de la directive (UE) 2016/680 du 27 avril 2016 susvisée (ci-après la directive ) et qu’il doit être examiné au regard des dispositions des articles 87 et suivants de la loi du 6 janvier 1978 modifiée. Au regard de ces éléments, et dans la mesure où aucune donnée sensible, au sens de l’article 6 de la loi du 6 janvier 1978 modifiée n’a vocation à être collectée dans le traitement, celui-ci doit faire l’objet d’un arrêté pris après avis motivé et publié de la Commission, conformément aux dispositions de l’article 89 de la loi du 6 janvier 1978 précitée.
Sur les finalités du traitement 
L’article 1er du projet d’arrêté prévoit que le traitement GECOJ a pour finalités :
d’assurer la mise en œuvre et le suivi au niveau local et, le cas échéant, au niveau national, du respect par les personnes soumises à un contrôle judiciaire prononcé par un juge d’instruction ou toute autre juridiction de l’obligation de se présenter périodiquement à un service de police nationale ou une unité de gendarmerie nationale prévue au 5° de l’article 138 du code de procédure pénale ;
de vérifier et déterminer les modalités d’exécution de ces mesures, pour les besoins des enquêtes pénales dont sont saisies les services de la police nationale et les unités de gendarmerie nationale ainsi que pour les besoins des missions de prévention du terrorisme et de prévention de la criminalité et de la délinquance organisées dont ils sont chargés.
D’emblée, la Commission relève que le dispositif projeté, contrairement à ce que prévoit actuellement l’acte réglementaire unique encadrant les traitements portant sur les contrôles judiciaires, vise à permettre aux services de renseignement d’être destinataires des données enregistrées dans le traitement aux fins de vérification et de détermination des modalités d’exécution des mesures et ce, pour les besoins de leurs missions.
La Commission estime, au regard des justifications apportées par le ministère, que les missions de ces services peuvent justifier qu’ils aient communication des informations enregistrées dans le traitement GECOJ . Elle demeure toutefois réservée quant à l’ajout d’une telle finalité au regard de la nature du traitement qui constitue un outil de gestion et de suivi des obligations de pointage des personnes soumises à une mesure de contrôle judiciaire.
Cette réserve générale formulée, l’article premier du projet d’arrêté appelle les observations suivantes.
En ce qui concerne la première finalité, la Commission prend acte des précisions apportées par le ministère selon lesquelles il s’agit principalement de renforcer et d’améliorer le suivi des contrôles judiciaires par la supervision des pointages et permettre ainsi aux services concernés de garantir une réactivité opérationnelle en cas de carence d’une part, et d’informer dans les meilleurs délais l’autorité judiciaire de l’exécution de la mesure d’autre part.
S’agissant de la seconde finalité, elle prend acte des justifications apportées selon lesquelles le traitement, a, à ce titre, vocation à mettre à disposition des services de police judiciaire et des services de renseignement les informations relatives aux modalités d’exécution des mesures de contrôle judiciaire, ces données pouvant, par exemple, s’avérer nécessaires à titre probatoire, lorsque la mesure a pris fin. Elle relève par ailleurs que le traitement GECOJ ne pourra en aucun cas être consulté dans le cadre de la réalisation d’enquêtes administratives.
La Commission relève que l’article 1er du projet d’arrêté prévoit que la finalité du traitement est notamment de vérifier ainsi que de déterminer les modalités d’exécution des mesures de contrôle judiciaire. Cette disposition a vocation à concourir à la poursuite d’enquêtes pénales d’une part, et aux missions de prévention du terrorisme d’autre part. Dans la mesure où il n’appartient pas à ces services d’évaluer les conditions de mise en œuvre de ces mesures, compétence qui relève de l’autorité judiciaire, la Commission prend acte qu’à sa demande, l’article 1er du projet de décret sera modifié afin de ne pas faire figurer la détermination des modalités d’exécution des mesures au titre des finalités poursuivies.
Enfin, la Commission relève que les dispositions du code de procédure pénale et de la loi du 6 janvier 1978 modifiée permettent déjà, a minima à l’autorité judiciaire, d’avoir communication des informations enregistrées dans le traitement. Elle rappelle par ailleurs que les données ainsi visées font en outre l’objet d’une collecte au sein d’autres traitements, qui sont tenus à la disposition des enquêteurs sur simple réquisition. Dans ce contexte, elle estime que la finalité de vérification prévue par le projet d’arrêté n’apparait pas suffisamment justifiée.
Sur les données collectées
La Commission rappelle tout d’abord que le dispositif GECOJ ayant vocation à traiter des mesures de contrôles judiciaires relatives aux obligations de pointage uniquement, les mineurs de 13 à 18 ans ne pouvant pas être soumis à ce type de mesures ne seront pas concernés par le dispositif, conformément à l’article 10-2 de l’ordonnance du 2 février 1945 susvisée.
Elle prend par ailleurs acte que les informations enregistrées dans le traitement sont celles qui figurent sur une ordonnance de contrôle judiciaire (directement transmise par le magistrat mandant), ou celles renseignées par la personne concernée. Elle relève que, dans l’hypothèse où une personne refuserait de communiquer aux services compétents les informations complémentaires ne figurant pas dans l’ordonnance, ces données ne seront pas renseignées dans le traitement.
Enfin, elle souligne qu’en cas d’indisponibilité de l’application ou lorsque la personne chargée de recueillir le pointage n’est pas en mesure de l’utiliser, l’enregistrement est différé et une inscription au format papier est réalisée. Dans cette hypothèse, l’identité de la personne, sa signature, ainsi que la date et l’heure de la présentation au service sont consignées au format papier en vue de leur enregistrement dans le traitement GECOJ . Sans remettre en cause les justifications apportées par le ministère, à savoir que l’intégration des données ainsi collectées dans le traitement est effectuée dans les meilleurs délais , la Commission considère que des garanties particulières devront être mises en œuvre afin de limiter les conséquences négatives pour les personnes concernées résultant notamment du retard ou de l’absence d’enregistrement du pointage dans le traitement GECOJ .
Ces éléments généraux rappelés, l’article 2 du projet d’arrêté appelle les observations suivantes.
En premier lieu, l’article 2 du projet d’arrêté énonce que les données collectées relatives à la personne soumise au contrôle judiciaire sont le nom, le prénom, les alias, la date et le lieu de naissance, la nationalité, les adresses (domicile et lieu de travail), la profession, le numéro de téléphone, et l’adresse de courrier électronique. En outre, des données relatives aux personnels chargés du suivi de la mesure pourront être collectées (nom, prénom, qualité, numéro d’immatriculation administrative et service d’affectation).
Si la collecte de ces données n’appelle pas d’observation particulière, la Commission prend toutefois acte que les informations de contact de la personne (numéro de téléphone et adresse électronique) doivent uniquement permettre de la joindre en cas de carence dans l’exécution de la mesure de contrôle judiciaire.
En second lieu, le projet d’arrêté énonce que les catégories de données pouvant être collectées concernant la mesure, sont les suivantes :
le numéro de dossier GECOJ ;
les informations relatives à l’autorité judiciaire mandante (nom, prénom, qualité, juridiction, numéro de parquet ou d’instruction) ;
l’infraction reprochée à la personne poursuivie et/ou code NATINF ;
la date de la décision ordonnant le contrôle judiciaire ;
les dates de début, de maintien et de fin de mesure ;
la date d’audience ;
les modalités d’exécution des obligations dont le contrôle ou la mise en œuvre sont confiées au service de police nationale ou à l’unité de gendarmerie nationale, notamment l’identité et l’adresse de la personne hébergeant la personne soumise au contrôle.
La Commission prend acte que les données relatives à l’autorité judiciaire mandante sont plus précisément relatives au magistrat ayant décidé de la mesure, tel que mentionné dans l’ordonnance de contrôle judiciaire, et que cette collecte a pour seule objet de lui adresser les éléments relatifs au respect de l’obligation à laquelle la personne est soumise.
Elle relève que par modalités d’exécution des obligations le ministère entend viser les informations relatives au lieu et à la périodicité du pointage prescrit. La Commission, qui estime que la collecte de ces données apparait proportionnée au regard des finalités poursuivies par le traitement GECOJ , prend acte de l’engagement du ministère de modifier le projet d’arrêté afin qu’il soit précisé en ce sens.
Enfin, la Commission prend acte que la collecte de l’identité et de l’adresse de la personne hébergeant la personne soumise au contrôle sera uniquement possible dans le cas où l’individu faisant l’objet de la mesure est domicilié chez une personne désignée par le magistrat.
Sous réserve des observations précédemment formulées, la Commission considère que la collecte des données précitées est conforme aux dispositions de l’article 4-3° de la loi du 6 janvier 1978 modifiée.
Sur la mise en relation avec le traitement d’antécédents judiciaires (TAJ) 
L’article 2 du projet d’arrêté prévoit que la photographie de la personne soumise au contrôle judiciaire pourra faire l’objet d’une collecte et précise en outre que le traitement ne comporte pas de dispositif de reconnaissance faciale à partir de l’image numérisée de la photographie .
A ce titre, le ministère entend mettre en relation le traitement GECOJ avec le traitement d’antécédents judiciaires (TAJ) et ce, aux fins d’intégrer la photographie de la personne concernée dans le dispositif projeté.
En premier lieu, la Commission prend acte des précisions apportées selon lesquelles cette alimentation doit permettre de faciliter la vérification humaine effectuée par les agents chargés de valider le pointage, dans un contexte d’accueil du public important au sein des services de police et des unités de gendarmerie concernés. Elle relève qu’aucune donnée issue du traitement GECOJ n’a vocation à être enregistrée dans le TAJ.
Si elle souligne que cette mise en relation aura pour unique objet d’extraire la photographie du TAJ lorsque celle-ci est disponible, dans les seules situations où la photographie de la personne serait nécessaire pour assurer la bonne vérification de l'exécution du contrôle judiciaire et à l’exclusion de toute autre donnée, elle considère toutefois que son enregistrement n’apparaît pas suffisamment justifié par le ministère au regard des finalités du traitement afin d’en apprécier, à ce stade, la proportionnalité.
En second lieu, elle relève que la collecte de la photographie doit se réaliser de manière manuelle, l’agent devant l’extraire du TAJ, l’enregistrer sur son poste de travail, la transmettre au serveur applicatif et l’enregistrer dans le traitement GECOJ afin de l’adjoindre à la fiche de la personne concernée. Il appartient ensuite à l’agent de supprimer la photo de son poste de travail.
La Commission considère que les modalités techniques d’importation de la photographie portées à sa connaissance par le ministère sont susceptibles d’entraîner des risques particuliers liés au traitement manuel de la photographie, des difficultés quant à la mise à jour des données ainsi collectées ou encore quant à la possibilité de leur conservation pour une durée illimitée. Compte tenu de ce qui précède, elle est au demeurant réservée sur les modalités de collecte de la photographie.
En tout état de cause, elle considère que si le ministère entendait toutefois mettre en œuvre une telle mise en relation, il serait hautement souhaitable que le projet d’arrêté soit modifié afin d’en faire expressément mention et que des mesures particulières soient prises afin de limiter les risques et les éventuelles conséquences négatives pour les personnes concernées, résultant notamment de la conservation illégitime de leurs données. A cet égard, elle considère que des mesures permettant l’effacement sécurisé et systématique des fichiers concernés sur les postes des agents réalisant l’extraction, devraient a minima être mises en œuvre.
Sur les durées de conservation 
L’article 3 du projet d’arrêté prévoit que les catégories de données à caractère personnel et informations enregistrées dans le traitement sont conservées deux ans à compter du terme du contrôle judiciaire  et que dans cette hypothèse,  les données ne peuvent être consultées que dans le cadre d’une procédure de police judiciaire .
Si la Commission estime que la durée de conservation prévue par le projet d’arrêté est proportionnée au regard des finalités du traitement, elle recommande que des directives claires soient adressées aux personnels visés à l’article 4, afin de rappeler l’interdiction d’accéder aux données en dehors de tout cadre judiciaire et ce, dès lors que la mesure a pris fin.