AgentPublic/cnil huggingface dataset:
La commission relève qu'il est nécessaire de disposer d'informations quant aux mesures de sécurité projetées afin de pouvoir examiner les  conditions [et durée] de conservation des informations ou documents transmis . A cet égard, elle souligne que le dossier qui lui a été soumis ne contient aucune information technique sur les modalités de mises en œuvre des réquisitions administrative de données de connexion ou d'informations relatives à l'accès de la CNCIS aux traitements automatisés prévus dans le cadre des articles L. 246-1 à L. 246-3 du CSI.
La commission regrette dès lors de ne pouvoir se prononcer au regard des dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée et rappelle que ces informations, s'agissant notamment des mesures de sécurité et de traçabilité, devront impérativement figurer dans le dossier de saisine qui lui sera présenté à l'occasion de la déclaration des deux traitements mentionnés aux articles R. 246-5 et R. 246-6 du CSI tels que prévus par le projet de décret.
La présidente,
I. Falque-Pierrotin
Saisie par la garde des sceaux, ministre de la justice, d'une demande d'avis concernant un projet d'arrêté portant création de traitements de données à caractère personnel relatifs à la vidéoprotection des cellules de protection d'urgence ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à [a libre circulation de ces données ;Vu le code de procédure pénale, notamment ses articles D. 265 et suivants ;Vu le code de la sécurité intérieure, notamment ses articles L. 251-1 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-1-2° ;Vu la loi n° 2009-1436 du 24 novembre 2009 pénitentiaire, notamment ses articles 12 et 44 ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Sébastien HUYGHE, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis par la ministre de la justice d'un projet d'arrêté portant création de traitements de données à caractère personnel relatifs à la vidéoprotection des cellules de protection d'urgence. Il s'agit des cellules spécialement aménagées dans les établissements pénitentiaires, dans lesquelles sont placés les détenus en situation critique pendant une durée maximale de vingt-quatre heures.Ces cellules sont entièrement lisses et situées à proximité de services médicaux en détention. Elles ne disposent d'aucun point d'accroche pour une tentative de suicide par pendaison, ni d'équipements aisément démontables ou dégradables susceptibles de constituer un objet tranchant.Les traitements projetés reposent sur l'utilisation de caméras vidéo installées au sein même de ces cellules, afin d'assurer la sécurité des détenus dont l'état apparaît momentanément incompatible avec leur placement ou leur maintien en cellule ordinaire en raison d'un risque de suicide. De tels dispositifs concourent ainsi à l'exécution des condamnations pénales ou des mesures de sûreté.Il y a dès lors lieu de faire application des dispositions de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée qui soumettent la création de tels traitements à un arrêté ministériel pris après avis motivé et publié de la Commission.
Sur la finalité du traitement :De manière générale, les traitements créés par ce projet d'arrêté ont pour objectif de prévenir le risque de suicide des détenus, lesquels sont placés au sein de cellules de protection d'urgence.Ces cellules ne sauraient constituer une cellule disciplinaire ou une chambre d'isolement mais bien une protection offerte aux détenus dont l'état apparaît momentanément incompatible avec leur placement ou leur maintien en cellule ordinaire.A cet égard, la Commission souligne que ces traitements s'inscrivent dans le cadre de la mission de service public de l'administration pénitentiaire, chargée de garantir la sécurité de l'établissement pénitentiaire et des personnes qui s'y trouvent. Conformément aux articles D. 265 et suivants du code de procédure pénale, tout chef d'établissement pénitentiaire doit veiller au maintien de l'ordre et de la sécurité dans l'établissement pénitentiaire qu'il dirige. Plus particulièrement, il doit s'assurer du respect de l'intégrité physique des détenus. Le placement en cellule de protection d'urgence constitue ainsi un lieu sécurisé dans l'attente d'une prise en charge sanitaire adaptée.Plus précisément, l'article l du projet d'arrêté mentionne les finalités poursuivies par les traitements projetés :
- le contrôle sous vidéoprotection d'une cellule de protection d'urgence dans laquelle sont affectées les personnes placées sous main de justice dont l'état apparaît incompatible avec son placement ou son maintien en cellule ordinaire en raison d'un risque de passage à l'acte suicidaire imminent ou lors d'une crise aiguë ;- la détection d'incidents tels qu'automutilations ou tentatives de suicide ; l'analyse de la vidéo pour l'amélioration des cellules de protection d'urgence.
La Commission relève par ailleurs que les dispositifs vidéo installés dans les cellules de protection d'urgence sont complémentaires aux dispositifs de rondes mis en œuvre dans chaque établissement pénitentiaire ainsi qu'aux différents entretiens réalisés avec la personne placée au sein de ce type de cellule.Elle prend acte que ces systèmes vidéo ne sont mis en œuvre que sur décision de la direction de l'administration pénitentiaire, responsable de traitement au sens de l'article 3-1 de la loi du 6 janvier 1978 modifiée, après étude et évaluation effectuées par la mission de la prévention et de la lutte contre le suicide (MPLS).Compte tenu de ces éléments et de la situation de détresse et d'urgence dans laquelle se trouvent les détenus, de nature à justifier une surveillance continue pendant un temps limité, la Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :L'article 2 du projet d'arrêté se rapporte aux données à caractère personnel enregistrées dans les traitements mis en œuvre, lesquelles se composent uniquement des séquences vidéo provenant des caméras installées au sein des cellules de protection d'urgence spécialement aménagées au sein des établissements pénitentiaires.La Commission prend acte qu'aucun dispositif biométrique n'est couplé avec les caméras vidéo mis en œuvre, qu'aucun dispositif automatique de détection d'événements ou de mouvements anormaux ne sera installé et qu'aucune extraction de photographies issues de ces traitements ne sera réalisée. Par ailleurs, le son ne sera ni capté, ni enregistré par les dispositifs vidéo mis en œuvre dans les cellules de protection d'urgence.La Commission considère dès lors que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur la durée de conservation des données :L'article 3 du projet d'arrêté prévoit que les données à caractère personnel enregistrées sont conservées sur support numérique pendant un délai d'un mois. La Commission considère que cette durée de conservation n'appelle pas d'observation particulière.Les données sont ensuite conservées dans une base d'archives intermédiaires (base inactive) pendant une durée de six mois. Au terme de ce délai, le contenu des enregistrements vidéo qui ne sont suivis d'aucune transmission à l'autorité judiciaire est effacé.
Sur les destinataires des données :L'article 4 du projet d'arrêté prévoit que seuls ont accès aux données à caractère personnel, à raison de leurs fonctions ou pour les besoins du service :
- les personnels de l'administration pénitentiaire désignés pour la surveillance des lieux filmés- les agents de l'administration pénitentiaire individuellement désignés et dûment habilités par le chef d'établissement pénitentiaire où sont mis en œuvre les traitements de vidéoprotection ;- le correspondant local informatique individuellement désigné et dûment habilité par le chef d'établissement pénitentiaire.
La Commission rappelle qu'il incombe au responsable de traitement de prendre toutes précautions utiles afin d'empêcher que des tiers non autorisés n'aient accès aux données collectées.L'article 5 du projet d'arrêté indique en outre que les agents de la Mission de prévention et de lutte contre le suicide en milieu carcéral de l'administration pénitentiaire peuvent, à raison de leurs fonctions, être destinataires des données à caractère personnel mentionnées à l'article 2 dudit projet d'arrêté. A cet égard, la Commission prend acte que la consultation par ces agents s'effectuera sur place, dans la limite des durées de conservation qui ont été définies.La Commission considère que les finalités des traitements mis en œuvre justifient que l'ensemble de ces destinataires puissent avoir accès aux données collectées dans le cadre de leurs missions et habilitations respectives.
Sur les droits des personnes :La Commission prend acte de la modification, à la suite de ses observations, de l'article 7 du projet d'arrêté. Elle relève que, par souci de lisibilité et de transparence, le ministère a fait figurer dans ledit article les modalités d'information des personnes susceptibles d'être filmées par les dispositifs installés dans une cellule de protection d'urgence ainsi que les modalités d'exercice de leurs droits d'accès et de rectification. Cette information est réalisée par voie d'affiche apposée à l'entrée de la cellule de protection d'urgence.Elle relève également que les droits d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée s'exercent directement auprès du chef de l'établissement pénitentiaire où sont mis en œuvre ces traitements.La Commission prend acte que le droit d'opposition prévu à l'article 38 de la loi précitée ne s'applique pas aux traitements autorisés par le projet d'arrêté.
Sur la sécurité des données et la traçabilité des actions :La Commission relève qu'outre les caméras, chaque dispositif vidéo équipant une cellule de protection d'urgence est constitué d'un ordinateur et d'une base de sauvegarde hébergés dans un local sécurisé à proximité de la cellule. Cet ordinateur n'étant relié à aucun réseau, le dispositif présente un risque limité d'atteintes aux données.Elle relève que le ministère a prévu une journalisation des accès à l'application et des extractions des images à partir de ces vidéos. Compte tenu de l'absence d'extraction de photographie à partir des traitements projetés et par souci de cohérence avec l'article 2 du projet d'arrêté, l'article 8 dudit projet devrait être modifié, afin de faire référence aux  séquences vidéo  et non pas aux  images .
La Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Saisie par l'Union des Industries Métallurgiques et Minières d'une demande d'autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des affaires pré contentieuses et contentieuses juridiques et judiciaires pour la défense en justice des intérêts de l'IUMM ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
 
Formule les observations suivantes :
 
Responsable du traitement
L'Union des   Industries Métallurgiques et Minières, ci-dessous dénommée, l'IUMM.
Sur la finalité
La finalité du traitement consiste à   assurer la gestion et le suivi des   affaires pré contentieuses et contentieuses juridiques et judiciaires dans le   cadre de la défense en justice des intérêts de l'IUMM et en particulier de   procédures pénales.
Il s'agit   principalement d'un traitement papier constitué par les dossiers des avocats   dans le cadre des contentieux.
 
La Commission estime que les finalités poursuivies sont déterminées,   explicites et légitimes. 
Par ailleurs, la Commission considère qu'il y a   lieu de faire application de l'article 25-I-3° de la loi du 6 janvier 1978   modifiée qui soumet à autorisation les traitements de données relatives aux   infractions, condamnations et mesures de sûreté. 
Sur les données   traitées
Les données collectées   sont relatives : 
-            à l'identification des personnes : nom,   prénom, adresse, photographie, date et lieu de naissance, éléments figurant   sur un titre d'identité ;
-            à la vie personnelle : situation   familiale ;
-            à la vie professionnelle 
-            aux informations d'ordre économique et   financier : revenus ;
-            aux infractions, condamnations et mesures de   sûreté ;
-            aux incidents constatés : description,   localisation, date et heure ;
-            aux suites données aux incidents :   saisine du Parquet, classement sans suite, poursuites, condamnation.
-            aux informations communiquées par la personne   concernée dans le cadre du contentieux ou pièces jointes à la procédure ;
-            aux données de connexion : identifiants   des terminaux, identifiants de connexions, information d'horodatage.
Dans sa décision du 29 juillet 2004, le Conseil Constitutionnel a   déclaré non conforme à la Constitution l'article 9-3° qui permettait à une   personne morale de droit privé, mandatée par d'autres personnes morales   estimant avoir été victimes ou être susceptibles d'être victimes   d'agissements passibles de sanctions pénales, de rassembler des données   portant sur des infractions, condamnations ou mesures de sûreté, au motif de   son caractère trop général et du manque de précision sur les garanties devant   encadrer ce type de traitement. Pour autant, le Conseil Constitutionnel a   précisé que cette annulation ne saurait être interprétée comme  privant   d'effectivité le droit d'exercer un recours juridictionnel dont dispose toute   personne physique ou morale s'agissant des infractions dont elle a été   victime . 
Cette réserve d'interprétation était indispensable pour ne pas priver   de base légale les traitements légitimement mis en œuvre pour assurer le   suivi des dossiers contentieux relatifs à des infractions. Elle permet à   toute personne de constituer, pour les besoins de l'exercice de son droit au   recours, des fichiers de pré contentieux.
La Commission   considère, compte tenu de la finalité poursuivie, que ces données sont   pertinentes, adéquates et non excessives, conformément à l'article 6-3° de la   loi du 6 janvier 1978 modifiée.
Le traitement ne comportera   pas de zones de commentaires libres. 
Sur les destinataires
Les destinataires des   données sont les conseils juridiques et auxiliaires de justice pour les besoins   de la défense des intérêts de l'IUMM.
La liste de ces destinataires n'appelle pas d'observation particulière.
Sur l'information   et le droit d'accès 
Les personnes   concernées sont informées, conformément à l'article 32 de la loi du 6 janvier   1978 modifiée, préalablement au traitement, soit avant la collecte des   données sur le contentieux, soit au moment lorsque la procédure est engagée..
Les droits d'accès et   de rectification s'exercent auprès du Service CIL, 56 avenue de Wagram -   75854 Paris Cedex 17.
La Commission estime   que ces modalités d'information et d'exercice des droits sont satisfaisantes.   
 
Sur les mesures de   sécurité
Le traitement concerne principalement la   gestion de dossiers papier et n'est automatisé que dans les cas pour lesquels   un dossier papier est numérisé. Dans cette hypothèse, la gestion du dossier   numérisé respecte les mesures suivantes :
- seul le département en charge du dossier   dispose d'un accès limité au dossier numérisé ;
- il existe une authentification sur les   postes informatiques par un login et un mot de passe ;
­ le mot de passe comporte 8 caractères et   au moins trois des quatre caractéristiques suivantes (une majuscule, une   minuscule, un chiffre et un caractère spécial) ;
­ un compte est bloqué après 5 tentatives d'authentification   infructueuses ;
­ un renouvellement obligatoire du mot de   passe est mis en œuvre trimestriellement.
Les mesures de sécurité décrites par le   responsable de traitement sont conformes à l'exigence de sécurité prévue par   l'article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette   obligation nécessite la mise à jour des mesures de sécurité au regard de la   réévaluation régulière des risques.
Sur les autres   caractéristiques du traitement
Les données sont conservées   le temps de la procédure judiciaire et jusqu'à épuisement des voies de   recours.
La Commission estime   que cette durée de conservation est pertinente au regard de la finalité   poursuivie par le traitement. 
Autorise, conformément à la présente délibération, l'Union des Industries Métallurgiques et Minières à mettre en œuvre le traitement susmentionné.
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
(demande d’autorisation n° 1800636)
La Commission nationale de l'informatique et des libertés,
Saisie par le Conseil National des Activités Privées de Sécurité (CNAPS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des demandes de titres (DRACAR NG) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article R. 40-29 ; 
Vu le code de la sécurité intérieure, notamment ses articles L. 114-1 et L. 631-1 à  L. 635-1 ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3°;
Vu la loi n° 83-629 du 12 juillet 1983 réglementant les activités privées ; 
Vu la loi n° 2011-267 du 14 mars 2011 modifiée d’orientation et de programmation pour la performance de la sécurité intérieure ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2009-137 du 9 février 2009 relatif à la carte professionnelle, à l'autorisation préalable et à l'autorisation provisoire des salariés participant aux activités privées de sécurité définies à l'article 1er, à l'article 11-8 et à l'article 20 de la loi n° 83-629 du 12 juillet 1983 ;
Vu l’arrêté du 9 février 2009 modifié portant création d'un traitement automatisé de données à caractère personnel relatif à la carte professionnelle des agents de sécurité privée dénommé « DRACAR » ;
Vu l’arrêté du 9 février 2009 modifié autorisant la création d’un traitement automatisé de données à caractère personnel dénommé « Téléc@rtepro » ;
Vu l’arrêté du 28 novembre 2008 modifié portant organisation et attribution de la direction des libertés publiques et des affaires juridiques du ministère de l’intérieur, de l’outre-mer et des collectivités territoriales ; 
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission nationale de l’informatique et des libertés a été saisie par le Conseil National des Activités Privées de Sécurité (CNAPS) d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des demandes de titres (DRACAR NG).
Créé par la loi du 14 mars 2011 susvisée, le CNAPS est un établissement public à caractère administratif placé sous la tutelle du ministère de l’intérieur et investi d’une mission de police administrative. Il est en particulier chargé de l’agrément, du contrôle et du conseil des professions de sécurité privée. À ce titre, il exerce une partie des prérogatives antérieurement dévolues aux préfectures, lesquelles restent cependant chargées de la délivrance et du retrait de certains titres, dans le respect des conditions prévues par les dispositions du code de la sécurité intérieure. 
Jusqu’à présent, le CNAPS exploitait différents traitement mis en œuvre par le ministère de l’intérieur et relevant des arrêtés du 9 février 2009 modifiés susvisés : 
DRACAR (délivrance réglementaire des autorisations et cartes professionnelles des agents de sécurité privée) ayant pour finalité d’attribuer, si les conditions sont réunies, les numéros de titres ; 
TELECARTE PRO qui constitue un téléservice, alimenté par DRACAR, permettant aux employeurs des sociétés de sécurité privée et des agences de recherches privées, aux clients et personnes susceptibles d’être employées par ces organismes ainsi qu’aux organismes de formation de vérifier la validité des titres délivrés.
Dans le contexte de l’attribution de ses nouvelles compétences, le CNAPS souhaite procéder à la refonte de ces outils informatiques. Ces outils permettront notamment de faciliter l’instruction des demandes de titres par les délégations territoriales installées au siège de chaque commission interrégionale ou locale d’agréments et de contrôle (CIAC-CLAC). À ce titre, le CNAPS envisage de mettre en œuvre de nouveaux traitements, lesquels ont vocation à se substituer aux traitements DRACAR et TELECARTE PRO et reposent en partie sur l’ajout de nouvelles fonctionnalités. Par ailleurs, la création d’un troisième traitement est envisagée, celui-ci devant permettre au CNAPS d’assurer la gestion de son activité contentieuse. 
La Commission est ainsi amenée à examiner trois traitements, lesquels font l’objet de délibérations distinctes du même jour, étant précisé que le traitement DRACAR NG a vocation à alimenter le traitement TELESERVICES CNAPS ainsi que celui relatif à la gestion de l’activité contentieuse. 
Dans le cadre des missions de police administrative dévolues au CNAPS, celui-ci peut diligenter des enquêtes afin de vérifier que le comportement des personnes physiques ou morales intéressées n’est pas incompatible avec l’exercice des fonctions ou des missions envisagées. Le résultat de ces enquêtes, en tant qu’il est l’un des critères permettant d’assurer la délivrance des titres, est susceptible d’apparaître dans DRACAR NG.