AgentPublic/cnil huggingface dataset:
a Commission nationale de l'informatique et des libertés,Saisie par le ministre de la justice d'une demande d'avis concernant un projet d'arrêté portant création de traitements de données à caractère personnel relatifs à la vidéoprotection de cellules de détention ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code de procédure pénale, notamment ses articles D. 265 et suivants ;Vu le code de la sécurité intérieure, notamment ses articles L. 251-1 et suivants ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I ;Vu la loi n° 2009-1436 du 24 novembre 2009 pénitentiaire modifiée ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu l'arrêté du 13 mai 2013 portant autorisation unique de mise en œuvre de traitements de données à caractère personnels relatifs à la vidéoprotection au sein des locaux et des établissements de l'administration pénitentiaire ;Vu l'arrêté du 23 décembre 2014 modifié portant création de traitements de données à caractère
personnel relatifs à la vidéoprotection des cellules de protection d'urgence ;Vu la délibération n° 2012-022 du 26 janvier 2012 portant avis sur un projet d'arrêté du ministère de la justice portant autorisation unique de mise en œuvre de traitements de données à caractère personnels relatifs à la vidéoprotection au sein des locaux et des établissements de l'administration pénitentiaire ;Vu la délibération n° 2014-392 du 2 octobre 2014 portant avis sur un projet d'arrêté concernant la création de traitements de données à caractère personnel relatifs à la vidéoprotection des cellules de protection d'urgence ;Après avoir entendu M. Philippe GOSSELIN, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,Emet l'avis suivant :La Commission nationale de l'informatique et des libertés a été saisie pour avis d'un projet d'arrêté portant création de traitements de données à caractère personnel relatifs à la vidéoprotection de cellules de détention au sein des établissements pénitentiaires.Les traitements projetés reposent sur l'utilisation de caméras vidéo installées au sein de ces cellules, afin d'assurer la surveillance continue des personnes placées sous main de justice en cas de risque d'évasion ou de suicide. Ils se distinguent ainsi des traitements de données à caractère personnel relatifs à la vidéosurveillance mis en œuvre, au sein des établissements pénitentiaires, dans les espaces collectifs ou dans les cellules de
protection d'urgence. Il y a dès lors lieu de faire application des dispositions de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée, qui soumettent la création de tels traitements à un arrêté ministériel pris après avis motivé et publié de la commission.A titre général, la commission relève que ces dispositifs permettent la surveillance permanente et particulièrement longue, portant par nature une atteinte grave au droit au respect de la vie privée et à la protection des données à caractère personnel des personnes en faisant l'objet, d'individus déjà soumis à des mesures restrictives de libertés.Une telle atteinte ne saurait ainsi être admise que si elle apparaît strictement nécessaire au but poursuivi et si des garanties suffisantes sont prévues, de nature à garantir la proportionnalité des dispositifs mis en œuvre.En particulier, la commission rappelle que de tels dispositifs doivent, conformément à la Convention européenne de sauvegarde des droits de l'homme et des libertés fondamentales ainsi qu'à la jurisprudence de la Cour en la matière, reposer sur une base légale suffisante et être mis en œuvre dans des conditions permettant d'assurer un juste équilibre entre l'ingérence dans la sphère privée de la personne détenue et les troubles à l'ordre public susceptibles de résulter de l'évasion du requérant ou d'une atteinte à son intégrité physique.A cet égard, le ministère considère que ces mesures de surveillance continue s'inscrivent dans le cadre de la mission de
service public de l'administration pénitentiaire, chargée notamment de garantir la sécurité de l'établissement pénitentiaire et des personnes qui s'y trouvent, conformément aux dispositions de l'article 44 de la loi pénitentiaire susvisée et des articles D. 265 et suivants du code de procédure pénale.Toutefois, la commission relève qu'aucune disposition législative ne prévoit explicitement la possibilité, pour l'administration pénitentiaire, de mettre en œuvre une telle surveillance. En outre, elle observe que l'arrêté qui lui est soumis ne contient aucune disposition relative aux garanties procédurales devant entourer la mesure du placement sous vidéo de la cellule d'un détenu. La commission s'interroge dès lors sur la possibilité de prévoir et d'encadrer la mise en œuvre d'une telle surveillance par un tel arrêté portant création de traitements de données à caractère personnel.En tout état de cause, dans la mesure où cette surveillance repose sur l'utilisation de traitements de données à caractère personnel, la commission doit s'assurer que ces derniers sont mis en œuvre dans des conditions conformes à la loi du 6 janvier 1978 modifiée. Elle entend ainsi formuler plusieurs observations sur les traitements projetés.Sur la finalité des traitements :A titre liminaire, le projet d'arrêté utilise le terme de  vidéoprotection  pour désigner les systèmes filmant l'intérieur des cellules de détention. Conformément aux dispositions de l'article L. 251-1 et suivants du code de la
sécurité intérieure (CSI), ce terme concerne uniquement les systèmes de caméras installés sur la voie publique et dans les lieux ouverts au public. Dans la mesure où il s'agit de dispositifs mis en œuvre dans des lieux non ouverts au public, la commission demande que le projet d'arrêté soit modifié afin de faire référence à la notion de  vidéosurveillance  et non à celle de  vidéoprotection .Les traitements créés par le projet d'arrêté ont pour finalité de permettre la surveillance, par le biais de caméras vidéo, des cellules de détention dans lesquelles sont affectées les personnes placées sous main de justice  dont l'évasion ou le suicide pourraient avoir un impact important sur l'ordre public eu égard aux circonstances particulières à l'origine de leur incarcération et l'impact de celles-ci sur l'opinion publique .La commission estime que le profil spécifique de certains détenus, au regard de leur dangerosité ou des faits qui leurs sont reprochés, peut justifier que ces derniers fassent l'objet de mesures de surveillance renforcées, notamment afin de garantir que la procédure judiciaire puisse aller à son terme.Elle estime dès lors que les finalités des traitements projetés sont déterminées, explicites et légitimes, conformément à l'article 6-2° de la loi du 6 janvier 1978 modifiée.La commission relève néanmoins que, contrairement aux autres dispositifs vidéo installés dans les établissements pénitentiaires, ces traitements permettront, par décision du garde des sceaux
prise, le cas échéant, après avis du médecin intervenant dans l'établissement, la surveillance constante d'individus spécifiquement identifiés, durant une période de trois mois renouvelable.Au regard de leur caractère particulièrement intrusif, elle recommande dès lors que ces dispositifs fassent l'objet, à brève échéance, d'une évaluation précise, concernant tant les aspects légaux qu'opérationnels, en concertation avec l'ensemble des acteurs dont l'expertise s'avère nécessaire en la matière. En tout état de cause, elle rappelle que le périmètre et les conditions de mise en œuvre de ces traitements doivent être précisément définis.Sur la nature des données traitées :L'article 1er du projet d'arrêté prévoit que les personnes concernées par les traitements projetés sont les personnes placées sous main de justice  dont l'évasion ou le suicide pourraient avoir un impact important sur l'ordre public eu égard aux circonstances particulières à l'origine de leur incarcération et l'impact de celles-ci sur l'opinion publique .A cet égard, la commission relève que cette formulation est particulièrement large et recouvre notamment un des critères d'inscription au répertoire des  détenus particulièrement signalés  (DPS).Dans la mesure où les dispositifs envisagés permettraient une ingérence permanente dans la vie privée de ces détenus, il convient que seules les personnes pour lesquelles le recours à ces caméras est impératif soient concernées. A cet égard, la commission relève que les
dispositifs envisagés ont principalement pour objet de permettre la présentation de la personne détenue à son procès.Elle prend dès lors acte que, à sa demande, le champ des personnes concernées sera restreint aux  personnes placées en détention provisoire et faisant l'objet d'un mandat de dépôt criminel  et que l'article 1er du projet d'arrêté sera modifié en ce sens. Elle demande également que l'arrêté prévoie explicitement que le dispositif ne sera mis en œuvre qu'à l'égard des personnes faisant l'objet d'une mesure d'isolement.En outre, la commission appelle l'attention du ministère sur la nécessité de définir précisément les motifs conduisant à considérer que l'évasion ou le suicide de ces personnes est susceptible d'avoir un impact sur  l'opinion publique , afin de ne pas permettre une telle surveillance pour l'ensemble des personnes mises en examen pour crime faisant l'objet d'une détention provisoire.L'article 2 du projet d'arrêté se rapporte aux données à caractère personnel enregistrées dans les traitements mis en œuvre, lesquelles se composent uniquement des séquences vidéo provenant des caméras installées au sein des cellules de détention visées par le projet d'arrêté. Il s'agit de caméras 360 degrés, avec infrarouges et enregistrement simultané, filmant vingt-quatre heures sur vingt-quatre, sept jours sur sept. Il en résulte que l'ensemble de la cellule sera filmée, en permanence.S'agissant plus spécifiquement des lieux d'intimité, la commission prend acte des
précisions apportées par le ministère selon lequel, si ces lieux seront effectivement filmés, un panneau d'occultation, placé devant les sanitaires, préservera l'intimité corporelle de la personne détenue.Ce même article prévoit expressément qu'aucun dispositif biométrique n'est couplé avec les caméras vidéo mis en œuvre.Enfin, la commission prend acte qu'aucun dispositif automatique de détection d'événements ou de mouvements anormaux n'est installé, qu'aucune extraction de photographies issues de ces traitements ne peut être réalisée et qu'aucun enregistrement sonore n'est mis en œuvre.Sur la durée de conservation des données :L'article 3 du projet d'arrêté prévoit que les données à caractère personnel enregistrées sont conservées sur support numérique pendant un délai d'un mois. Au terme de ce délai, si aucun évènement n'est intervenu justifiant une transmission des enregistrements à l'autorité judiciaire ou l'ouverture d'une enquête administrative, les données doivent être effacées.Il était initialement prévu que les données soient ensuite conservées dans une base d'archive intermédiaire (base inactive) pendant une durée supplémentaire de six mois, uniquement accessibles à l'agent administrateur de la base ainsi qu'au chef d'établissement pénitentiaire.Or, si la durée de conservation d'un mois n'appelle pas d'observation particulière, la commission estime que les finalités poursuivies par les traitements, à savoir la prévention du suicide ou de l'évasion des personnes
concernées, ne justifient pas de conserver les données en base d'archive intermédiaire pendant six mois supplémentaires.Elle prend dès lors acte de l'engagement du ministère de la justice de modifier, à sa demande, le projet d'arrêté sur ce point afin de ne conserver les données que pendant un délai d'un mois.Sur les destinataires des données :L'article 4 du projet d'arrêté prévoit que seuls ont accès aux données à caractère personnel, à raison de leurs fonctions ou pour les besoins du service :
- les agents de l'administration pénitentiaire individuellement désignés et dûment habilités par le chef d'établissement où sont mis en œuvre les traitements de vidéosurveillance ;- le correspondant local informatique individuellement désigné et dûment habilité par le chef d'établissement.
La commission rappelle qu'il incombe au responsable de traitement de prendre toutes précautions utiles afin d'empêcher que des tiers non autorisés n'aient accès aux données collectées.Elle considère que les finalités des traitements mis en œuvre justifient que l'ensemble de ces destinataires puissent avoir accès aux données collectées dans le cadre de leurs missions et habilitations respectives. Elle prend acte par ailleurs qu'aucun personnel ne sera rendu destinataire des données à caractère personnel issues de ces traitements.Sur les droits des personnes :L'article 6 du projet d'arrêté prévoit que les personnes susceptibles d'être filmées sont informées de l'existence d'un système vidéo, des modalités d'accès aux images et de leur droit de rectification par une affiche apposée à l'entrée de la cellule équipée des dispositifs vidéo.Si le ministère entend ainsi informer les détenus concernés, la commission estime, au regard du caractère particulièrement intrusif des traitements projetés, que des garanties doivent permettre de s'assurer de l'effectivité de cette information. Il importe notamment que les caméras soient visibles et non dissimulées et que, dans l'hypothèse où la mise sous surveillance de la cellule serait notifiée aux personnes détenues, celle-ci comprenne également une information conforme aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée.Les droit d'accès et de rectification prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée
s'exercent directement auprès du chef d'établissement ou des directeurs responsables des locaux de l'administration pénitentiaire où sont mis en œuvre les traitements et le droit d'opposition prévu à l'article 38 de la loi précitée ne s'applique pas aux traitements autorisés par le projet d'arrêté, ce qui n'appelle pas d'observation particulière de la part de la commission.Sur la sécurité des données et la traçabilité des actions :La commission relève qu'outre les caméras, chaque dispositif vidéo équipant une cellule de détention est constitué d'un ordinateur et d'une base de sauvegarde hébergés dans un local sécurisé. Cet ordinateur n'étant relié à aucun réseau, le dispositif présente un risque limité d'atteintes aux données.L'ordinateur et la base de sauvegarde sont sécurisés par un mot de passe. La commission rappelle que l'authentification des utilisateurs doit s'effectuer à partir d'un mot de passe régulièrement renouvelé, strictement personnel, de complexité minimale suffisante. Elle rappelle également que les mots de passe ne doivent à aucun moment être conservés en clair mais doivent faire l'objet de mesures conformes à l'état de l'art afin de garantir leur confidentialité.Le ministère a prévu une journalisation des accès à l'application et des extractions des séquences vidéo.La commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La Commission nationale de l'informatique et des libertés,Saisie par le ministre des finances et des comptes publics d'une demande d'avis concernant un projet d'arrêté autorisant la création d'un traitement automatisé dénommé  ICS  ;Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;Vu le code des douanes communautaire, notamment ses articles 36 bis et 36 ter ;Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-I (1°) et 27-II (4°) ;Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;Vu le décret n° 2010-112 du 2 février 2010 pris pour l'application des articles 9, 10 et 12 de l'ordonnance n° 2005-1516 du 8 décembre 2005 relative aux échanges électroniques entre les usagers et les autorités administratives et entre les autorités administratives ;Vu l'arrêté du 24 octobre 2005 portant création d'un traitement automatisé d'informations nominatives relatif à l'ouverture d'un site internet dénommé Prodouane ;Vu le dossier et ses compléments ;Sur la proposition de M.
Jean-Luc VIVET, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,Emet l'avis suivant :Le ministre des finances et des comptes publics a saisi la Commission nationale de l'informatique et des libertés d'une demande d'avis portant sur un projet d'arrêté autorisant la création d'un traitement automatisé dénommé  lmport Control System  (ICS).Ce traitement, mis en œuvre par la direction générale des douanes et droits indirects (DGDDI), doit permettre la déclaration, par le biais d'une déclaration sommaire d'entrée transmise par voie dématérialisée, des marchandises introduites sur le territoire douanier de la Communauté européenne. Le traitement projeté comporte un téléservice, qui comprend des données à caractère personnel parmi lesquelles figure un identifiant des personnes physiques. Selon le ministère, il relève des dispositions de l'article 27-II (4°) de la loi du 6 janvier 1978 modifiée et doit dès lors être autorisé par arrêté, pris après avis motivé et publié de la commission.Sur la finalité du traitement :L'article 36 bis du code des douanes communautaires (CCC) prévoit que  les marchandises introduites sur le territoire douanier de la Communauté européenne font l'objet d'une déclaration sommaire auprès du bureau de douane d'entrée, à l'exception des marchandises se trouvant à bord de moyens de transport qui ne font que transiter, sans interruption, par les eaux territoriales ou l'espace aérien du territoire
douanier .L'article 36 ter du CDC précise que la déclaration sommaire d'entrée est adressée par voie informatique et que, dans des circonstances exceptionnelles et sous certaines conditions, les autorités douanières peuvent accepter des déclarations sommaires sur support papier. L'examen des déclarations ainsi transmises doit faire l'objet d'une analyse de risque à des fins de sûreté et de sécurité.Dans ce contexte, l'article 2 du projet d'arrêté énonce que :  Le traitement ICS a pour finalité la sécurisation des flux de marchandises entrant sur le territoire de l'Union européenne par la transmission de déclarations sommaires d'entrée ou de déclarations sommaires de dépôt temporaires anticipées par l'opérateur avant le chargement ou à l'arrivée des marchandises sur ledit territoire aux autorités douanières qui procèdent à une analyse de risque à des fins de sûreté et de sécurité. Ce même article précise également que le traitement projeté reposera sur la mise en œuvre de deux téléservices :
- le télésevice dénommé Automate de sûreté (AS) pour la transmission par les opérateurs des déclarations sommaires d'entrée (ENS) et des déclarations sommaires de dépôts temporaires anticipées (DSDT anticipées) ;- le téléservice dénommé DELTA Présentation (DELTA P) pour les notifications d'arrivée et les notifications de déchargement.
Interrogé sur l'analyse de risque dont il est question, le ministère a indiqué que le traitement projeté doit être utilisé à des fins de ciblage ou de contrôle immédiat. En pratique, il s'agira pour les agents des cellules de levée de doutes de la DGDDI d'analyser les différents champs des ENS et des DSDT anticipées, afin de les comparer à des tables et contrôles logarithmiques prédéfinis au niveau communautaire, de confirmer ou d'infirmer l'existence d'un risque supposé et de déterminer la suite de l'action douanière, conformément à la réglementation européenne en la matière.La commission relève que l'objet même du traitement est de permettre le dépôt des ENS et des DSDT anticipées pour que les données qui y sont enregistrées fassent l'objet d'une analyse de risque à des fins de sûreté et de sécurité. Cette analyse, qui vise à comparer les champs de données des déclarations ainsi transmises à différentes tables de correspondance dont les critères sont établis au niveau communautaire, doit ainsi permettre de déterminer les marchandises pouvant présenter des risques sûreté-sécurité (produits chimiques, explosifs, armes, substances radioactives, bactériologiques, etc.) et in fine, harmoniser les contrôles douaniers réalisés. Elle estime dès lors que la mise en œuvre du traitement ICS relève également des dispositions de l'article 26 de la loi du 6 janvier 1978 modifiée, ce qui, à l'exception des visas du projet d'arrêté, ne modifie pas les conditions dans lesquels il sera mis
en œuvre.La commission prend acte que, à sa demande, l'article 2 du projet d'arrêté sera complété afin d'indiquer expressément que le traitement projeté a vocation à être utilisé à des fins de ciblage et, le cas échéant, pour effectuer des contrôles immédiats.Enfin, elle prend acte de l'ajout d'une finalité statistique dans le cadre de la mise en œuvre des traitements projetés.Au regard de ce qui précède, la commission estime que les finalités poursuivies par le traitement projeté sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.Sur la nature des données traitées :L'article 3 du projet d'arrêté énumère les données à caractère personnel enregistrées dans le traitement projeté, à savoir :
- des données d'identification relatives au responsable du dépôt de l'ENS, à l'expéditeur et au destinataire des marchandises ;- des données relatives à des informations d'ordre économique et financier, à savoir le code du mode de paiement des frais de transport.
Parmi les données d'identification figure l'identifiant EORI (Economie Operator Registratlon and Identification), la commission rappelle qu'il s'agit d'un numéro unique d'identifiant communautaire à utiliser pour les opérateurs économiques devant accomplir des formalités douanières, conformément à la réglementation communautaire en la matière. Ce numéro, composé du code pays et du SIRET ou du SIREN, est attribué via le portail des téléprocédures douanières Prodouane, lequel a déjà été examiné par la commission. Il se rapporte au transporteur ou son représentant ainsi qu'au destinataire de la marchandise.Le numéro d'identification unique délivré dans un pays tiers reconnu par l'Union européenne dans le cadre des accords de reconnaissance mutuelle des opérateurs économiques agréés (OEA) se compose de l'identifiant du pays tiers fondé ainsi que d'un identifiant unique de quinze caractères alphanumériques maximum. Il se rapporte à l'expéditeur.La commission prend acte que le  numéro de référence commerciale  correspond au  numéro de référence unique de l'envoi  et que le projet d'arrêté sera modifié afin de ne plus faire référence qu'au numéro de référence unique de l'envoi.Ces données, qui sont expressément mentionnées dans le cadre des dispositions d'applications du code des douanes communautaires, sont nécessaires à la mise en œuvre du traitement projeté.La commission considère que les données et informations traitées sont adéquates, pertinentes et non excessives au regard de