AgentPublic/cnil huggingface dataset:
Par ailleurs, la commission estime que l'existence de mises en relation ou de rapprochements de fichiers dans le cadre de ces contrôles et de ceux visant les membres et personnels de l'ARJEL devrait expressément figurer dans le projet d'arrêté, afin de renforcer l'information des personnes concernées.
Sur ces deux derniers points, la commission prend note que le ministère complétera l'arrêté en mentionnant les contrôles portant sur les membres et personnels des opérateurs agréés, d'une part, et l'existence de mises en relation ou de rapprochements de fichiers dans le cadre du présent traitement, d'autre part.
4° S'agissant de la transmission d'informations à l'autorité des marchés financiers, l'Autorité de contrôle prudentiel et de résolution au service mentionné à l' article L. 561-23 du code monétaire et financier (la cellule de renseignement financier TRACFIN), à l'Autorité administrative chargée de la concurrence et de la consommation, à la Commission nationale des sanctions, au Parquet et à l'Autorité de la concurrence :
En premier lieu, l'ARJEL est tenue, par différentes dispositions législatives, de transmettre des informations :
- au procureur de la République (article 44 de la loi du 12 mai 2010 modifiée), pour signaler des faits susceptibles de recevoir une qualification pénale ;
- au service mentionné à l' article L. 561-23 du code monétaire et financier (la cellule de renseignement financier TRACFIN), pour signaler les faits semblant liés au blanchiment des capitaux ;
- à la Commission nationale des sanctions, sur le fondement de l' article L. 561-38 du code monétaire et financier, en sa qualité d'autorité de contrôle, pour lui signaler les faits semblant caractériser les manquements constatés lors des contrôles effectués en application de l'article L. 561-36-2 du même code ;
- à l'Autorité de la concurrence, orsqu'elle consulte l'ARJEL au sujet de pratiques dont elle est saisie dans le secteur des jeux d'argent et de hasard (article 39-II de la loi du 12 mai 2010 modifiée).
En second lieu, l'article 76 de la loi Sapin 2 du 9 décembre 2016 relative à la transparence, à la lutte contre la corruption et à la modernisation de la vie économique a ajouté de nouvelles dispositions à la loi du 12 mai 2010 modifiée (les articles 39-1 à 39-3). Celles-ci offrent à l'ARJEL la faculté de coopérer avec l'Autorité des marchés financiers, l'Autorité de contrôle prudentiel et de résolution et avec l'autorité administrative chargée de la concurrence et de la consommation en vue, notamment, de la communication réciproque des renseignements et documents utiles à l'accomplissement de leurs missions respectives. Ces dispositions lèvent par ailleurs le secret professionnel dans le cadre de ces échanges.
La commission rappelle qu'au titre de ses compétences découlant de la loi du 12 mai 2010 modifiée, l'ARJEL est uniquement amenée à sanctionner des personnes morales, à savoir les opérateurs agréés.
Cependant, l'ARJEL est amenée à transmettre des données à caractère personnel, concernant des personnes physiques (les joueurs ou parieurs), aux autorités ci-dessus listées afin de caractériser les manquements des opérateurs agréés à leurs obligations de vigilance concernant la lutte contre la fraude, le blanchiment des capitaux ou le financement du terrorisme, en vue de la sanction de ces derniers par les autorités concernées dans le cadre de leurs compétences propres. Ces manquements peuvent conduire l'ARJEL à identifier des agissements des joueurs ou parieurs pouvant aboutir à une sanction de ces derniers.
Ces personnes physiques ne peuvent cependant être sanctionnées que dans les seuls cas rendant obligatoire une transmission au procureur de la République, à TRACFIN ou à la Commission nationale des sanctions (identification par l'ARJEL de faits susceptibles de recevoir une qualification pénale et de faits semblant liés au blanchiment des capitaux ou au financement du terrorisme).
La commission note que les transmissions d'informations aux autorités ci-avant mentionnées découlent de compétences nouvelles, justifiant que leurs modalités pratiques n'aient pas été définies à ce stade. Aussi, hormis les signalements à TRACFIN, lesquels s'appuieront sur un formalisme et une plateforme dédiée sécurisée, les modalités d'échanges avec les autres autorités seront formalisées à l'occasion de futures conventions bilatérales.
Elle considère que les finalités décrites à l'article 1er du projet d'arrêté sont déterminées, explicites et légitimes.
Sur les données traitées
Les données traitées par l'ARJEL sont mentionnées à l'article 2 du projet d'arrêté et portent sur :
- toute information détenue par les opérateurs agréés concernant chaque joueur (nom, prénoms, sexe, date et lieu de naissance, adresse postale du domicile, le cas échéant adresse de courrier électronique, identifiant permettant l'accès au compte joueur, date d'ouverture du compte joueur, référence du compte de paiement tel que mentionné au dernier alinéa de l'article 17 de la loi du 12 mai 2010, sur lequel les opérateurs agréés reverseront, le cas échéant, les avoirs du joueur) ;
- les données de jeux, à savoir :
- les opérations de compte réalisées par les joueurs ;
- les opérations de jeu réalisées par les joueurs ainsi que toute donnée concourant à la formation du solde du compte joueur ;
- le tirage des cartes réalisé par le générateur de nombres aléatoires pour l'organisation des jeux de cercle ;
- les offres promotionnelles attribuées par l'opérateur sous quelque forme que ce soit, y compris les lots en nature et leur utilisation par les joueurs ;
- les contrôles menés par ses soins et leurs résultats, ainsi que les incidents de jeu et les opérations frauduleuses détectés ;
- dans le cadre du contrôle du respect de l'interdiction de parier, les données d'identification des propriétaires, des dirigeants, des mandataires sociaux et du personnel des opérateurs agréés et des membres et personnels de l'ARJEL (nom, prénoms, date et lieu de naissance) ;
- les catégories de données à caractère personnel et informations relatives aux opérateurs agréés exigées par le cahier des charges mentionné à l'article 20 de la loi du 12 mai 2010.
La commission prend note que les informations ci-dessus listées sont nécessaires afin d'identifier des faits révélateurs de cas de fraude, de blanchiment des capitaux ou de financement du terrorisme.
Interrogé sur la nature des données à caractère personnel et informations relatives aux opérateurs agréés exigées par le cahier des charges mentionné aux articles 20 et suivants de la loi du 12 mai 2010 collectées dans le cadre du présent traitement, le ministère renvoie à la liste figurant aux articles 3.1 à 3.3 dudit cahier des charges. La commission note que ces informations sont collectées par l'ARJEL dans le cadre de l'instruction des dossiers de demande d'agrément des opérateurs.
Ces informations portent, plus précisément, sur l'identification des propriétaires, dirigeants et mandataires sociaux des opérateurs sollicitant l'agrément et les éventuelles condamnations pénales dont ces derniers peuvent avoir fait l'objet. Dans la mesure où la survenance d'une condamnation pénale ou d'une sanction visée dans le cahier des charges peut conduire l'ARJEL à sanctionner l'opérateur concerné, voire lui enjoindre de présenter une nouvelle demande d'agrément, ces informations sont nécessaires à cette dernière dans le cadre des aux finalités prévues à l'article 1er (1° et 2°) du présent projet d'arrêté.
La commission recommande, afin de faciliter l'information des personnes concernées, d'ajouter à l'article 2-IV du projet d'arrêté, la référence des articles du cahier des charges listant les données nécessaires dans le cadre de ces vérifications.
Elle prend acte, sur ce point, que le ministère complétera l'arrêté en mentionnant ladite référence.
La commission estime que les données listées à l'article 2 du projet d'arrêté sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les destinataires
L'article 4 du projet d'arrêté distingue les catégories de destinataires selon les finalités des traitements.
Ainsi, outre les autorités légalement habilitées énoncées aux 2°, 3°, 4°, 5°, 6°, 7° et 8° dans le cadre des finalités énoncées aux 2° et 4° de l'article ler, sont destinataires de données :
- les membres du collège et de la commission des sanctions de l'ARJEL, pour les finalités énoncées aux 1°, 2° et 3° de l'article 1er ;
- les autorités de régulation des jeux d'un autre Etat membre de l'Union européenne ou d'un Etat partie à l'accord sur l'Espace économique européen avec lequel l'ARJEL a conclu une convention prévue à l'article 34-V de la loi du 12 mai 2010, dans le cadre du contrôle de l'offre de jeu d'un opérateur agréé proposant une offre de poker mutualisée avec un opérateur contrôlé par une autorité étrangère, en application de l'article 14-II de ladite loi, pour les finalités énoncées aux 1° et 2° de l'article ler.
La commission note que les échanges de données entre l'ARJEL et les autorités de régulation des jeux d'un autre Etat membre de l'Union européenne ou d'un Etat partie à l'accord sur l'Espace économique européen portent sur les données listées à l'article 2 utiles afin de permettre à ces autorités d'exercer leurs missions, notamment en matière de lutte contre la fraude, le blanchiment des capitaux et le financement du terrorisme. S'agissant d'offres partagées de jeux de cercle en ligne, ces informations permettront également aux autorités concernées de coordonner leurs actions.
Elle prend acte que les modalités pratiques d'échanges d'informations entre ces autorités seront définies dans des conventions de coopération. Elle rappelle que les éventuels transferts de données à destination d'Etats situés hors de l'Union européenne devront être réalisés dans les conditions prévues aux articles 68 et suivants de la loi du 6 janvier 1978 modifiée.
La commission considère que les destinataires listés à l'article 4 du projet d'arrêté présentent un intérêt légitime à accéder aux données.
Elle rappelle que les modalités pratiques de transmission et de consultation des données traitées dans le cadre des finalités du présent arrêté doivent être entourées de mesures spécifiques visant à garantir que les destinataires accèdent aux seules données strictement nécessaires et proportionnées au regard de leurs attributions et des risques identifiés.
Sur les durées de conservation des données
Conformément à l'article 5 du projet d'arrêté, les données listées à l'article 2 sont conservées pendant une durée de six ans et six mois à compter de la clôture des comptes joueurs.
Ce délai a été fixé en cohérence avec les dispositions de l'article 10 du décret du 18 mai 2010, qui prévoit que les opérateurs agréés doivent mettre à la disposition de l'ARJEL les données de jeux pendant six ans à compter de la clôture du compte joueur afin de permettre la surveillance des opérations de jeux. L'ARJEL souhaite augmenter cette durée de six mois afin pouvoir demander aux opérateurs agréés d'éventuels compléments d'information nécessaires à l'enquête dans le cadre des contrôles engagés.
Par ailleurs, les données issues des contrôles réalisés (résultats, incidents de jeu et opérations frauduleuses ou liées à des soupçons de blanchiment des capitaux ou de financement du terrorisme détectés) sont conservées pendant la durée de prescription des actions administrative et publique. La commission prend note, sur ce point, que les durées de prescription varient en fonction des infractions liées aux manquements constatés, justifiant le choix du ministère d'opter pour une formulation générique dans le projet d'arrêté.
La commission estime que ces durées de conservation n'excèdent pas celles qui sont nécessaires à l'accomplissement des finalités poursuivies. Elle rappelle qu'à l'expiration de ces périodes, les données doivent être supprimées de manière sécurisée ou archivées à titre définitif, dans des conditions définies en conformité avec les dispositions du code du patrimoine relatives aux obligations d'archivage des informations du secteur public.
Sur l'information et les droits des personnes
La commission prend acte que, conformément aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, l'ARJEL assurera l'information de ses personnels et membres par voie interne (document remis lors de l'entrée en fonction et affichage), ainsi que des joueurs et parieurs, au moyen d'une mention légale publiée sur son site web.
Enfin, les conventions de coopération conclues entre l'ARJEL et les autorités de régulation des jeux des Etats membres de l'Union européenne ou d'autres Etats parties à l'accord sur l'Espace économique européen préciseront les modalités d'information des joueurs et parieurs des opérateurs régulés dans ces pays tiers.
La commission prend note que l'ARJEL développe des formes de droits d'accès mixtes, à la fois directs et indirects. En effet, les droits d'accès et de rectification s'exercent directement auprès de la direction juridique de l'ARJEL, à l'exception du droit d'accès des données issues du traitement ayant pour finalité la recherche et l'identification de tout fait commis par un joueur ou un parieur, susceptible de constituer une fraude ou de relever du blanchiment des capitaux ou du financement du terrorisme, faisant l'objet d'un droit d'accès indirect, conformément aux dispositions des articles 41 et 42 de la loi du 6 janvier 1978 modifiée.
Elle relève enfin que l'article 6 du projet d'arrêté écarte l'application du droit d'opposition pour des motifs légitimes, comme le permet le dernier alinéa de l'article 38 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité
Les traitements s'appuient sur des données collectées dans le cadre des missions de l'ARJEL. Pour rappel, le traitement initial, relatif au contrôle des données de jeux par l'ARJEL, est mis en œuvre sur le réseau interne de l'ARJEL selon les modalités suivantes :
1° Les données sont téléchargées depuis les infrastructures des opérateurs agréés via des connexions HTTPS avec authentification par certificat des deux parties. Les données récupérées sont alors sous forme chiffrée. L'ARJEL a mis en place sa propre infrastructure de gestion des clés (IGC) pour gérer les certificats la concernant pour ces connexions. Cette IGC est mise en œuvre sur un serveur Linux isolé de tout réseau. Les transferts se font par clef USB quand cela s'avère nécessaire ;
2° Les données sont ensuite transférées vers un serveur de déchiffrement via des connexions sécurisées traversant deux firewalls ;
3° Les données sous forme chiffrée et sous forme déchiffrée sont alors stockées sur un volume d'une baie de stockage ;
4° Une extraction d'un sous-ensemble de données est automatiquement réalisée et ce corpus est transféré via un protocole sécurisé vers un serveur de base de données ;
5° Le corpus réduit de données est inséré dans la base de données puis les fichiers du transfert sont effacés. Cette base de données n'est pas chiffrée et n'est accessible qu'à trois agents.
Sur la partie du réseau permettant les échanges de données, celles-ci sont stockées dans un espace réservé, dont les droits d'accès discrétionnaires sont affectés aux seuls agents habilités.
Des mécanismes d'anonymisation sont mis en œuvre dans le traitement lors d'export de données à des fins d'études ou d'échanges avec les opérateurs. Suivant les cas, les données peuvent être supprimées (exemple : suppression des noms, prénoms, dates de naissance, adresse courriel, adresses postales, adresses IP) ou leur précision peut être diminuée (par exemple : modification de la date de naissance en année de naissance ou du lieu de naissance en département de naissance).
La politique de gestion des mots de passe est conforme à la recommandation de la commission.
La commission observe qu'aucune traçabilité n'est mise en œuvre dans le cadre des présents traitements. Toutefois, compte tenu des mesures techniques et organisationnelles très strictes par ailleurs mises en place par l'ARJEL, elle considère que cette mesure ne s'avère pas nécessaire en l'espèce.
La présidente,
I. Falque-Pierrotin
La Commission nationale de 1'informatique et des libertés,
Saisie par le ministre de l'éducation nationale d'une demande d'avis concernant un projet d'arrêté portant modification de l'arrêté du 30 novembre 2006 portant création d'un traitement de données à caractère personnel relatif aux espaces numériques de travail (ENT) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'éducation ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27-II (4°) et 27-III ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 30 novembre 2006 portant création, au sein du ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche, d'un traitement de données à caractère personnel relatif aux espaces numériques de travail (ENT) ;
Après avoir entendu Mme Joëlle FARCHY, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie, par le ministère de l'éducation nationale, d'un projet d'arrêté modifiant l'arrêté du 30 novembre 2006 susvisé, relatif aux espaces numériques de travail (ENT).
Les ENT permettent notamment aux usagers concernés de renseigner des informations administratives, de prendre des rendez-vous avec le personnel de l'établissement ou de l'école, de signaler des absences prévisionnelles ou encore de s'inscrire à des cours. Dans la mesure où les ENT permettent ainsi aux usagers du service public de l'éducation d'effectuer une démarche ou une formalité administrative, ils constituent des téléservices de l'administration électronique, au sens de l'article 27-11 (4°) de la loi du 6 janvier 1978 modifiée.
Le ministère a en outre créé un acte réglementaire unique, au sens de l'article 27-III de la loi du 6 janvier 1978 dont les modifications doivent dès lors être autorisées par arrêté ministériel, pris après avis motivé et publié de la commission.
Sur le périmètre et les finalités des ENT :
Les ENT sont actuellement des outils destinés à offrir à tous les acteurs la communauté éducative des informations administratives, des contenus et de la documentation pédagogiques.
Le projet d'arrêté étend le champ d'application des ENT, aujourd'hui déployés dans les seuls écoles, établissements publics locaux d'enseignement (EPLE) et établissement d'enseignement supérieur, aux établissements d'enseignement privés sous contrat ainsi qu'aux centres de formation d'apprentis de l'éducation nationale. Cette modification n'appelle pas d'observation particulière de la commission.
L'article 1er du projet d'arrêté prévoit une nouvelle définition des ENT plus précise qui mentionne expressément que la qualification d'ENT implique le respect du schéma directeur des ENT (SDET), élaboré par le ministère, ce qui permet ainsi d'appréhender plus clairement le périmètre de l'acte réglementaire unique.
Par ailleurs, l'arrêté du 30 novembre 2006 désigne les responsables de traitement par les termes responsable de l'ENT ou responsables des écoles, des EPLE et des établissements d'enseignement supérieur . Ces expressions sont inchangées par le projet d'arrêté modificatif alors qu'elles sont fréquemment sources d'interrogations pour les acteurs du terrain.
Interrogé sur ce point, le ministère a précisé que les responsables de l'ENT sont, pour le premier degré, le directeur académique des services de l'éducation nationale (DASEN), pour le second degré, le chef d'établissement, pour l'enseignement supérieur, le président de l'établissement. La commission estime qu'il serait utile de mentionner expressément ces personnes dans le projet d'arrêté afin de lever toute ambiguïté sur ce point. Elle prend acte de l'engagement du ministère de modifier le projet d'arrêté en ce sens.
Par ailleurs, le projet d'arrêté prévoit trois nouvelles finalités.
La première est relative aux échanges et […] collaborations entre écoles et établissements d'un même ENT ainsi qu'avec des écoles et des établissements utilisant des ENT différents . A ce titre, les ENT peuvent par exemple permettre de partager des documents de travail dans un espace de stockage commun, un calendrier commun ou des informations sur un projet éducatif commun. La mise en place d'espaces de collaboration entre les utilisateurs d'un même ENT ou de différents ENT est destinée à favoriser les échanges entre différentes écoles, différents établissements et différents degrés.
Le projet d'arrêté prévoit en outre que les ENT ont pour objet de permettre, dans le respect des dispositions de la loi du 6 janvier 1978 susvisée, un accès à des services tiers . Ces dispositions consacrent ainsi la possibilité, déjà offerte par le SDET, pour un responsable de traitement de mettre à disposition de ses usagers, via l'ENT, des services numériques externes à celui-ci et assurent dès lors une meilleure compréhension des liens entre les ENT et des services tiers.
Le projet d'arrêté prévoit enfin que les ENT poursuivent une finalité statistique en vue de permettre la mesure des accès aux différents services proposés .
Au regard de ces éléments, la commission considère que les finalités prévues par le projet d'arrêté sont déterminées, légitimes et explicites, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur les données :
L'article 2 du projet d'arrêté prévoit l'ajout de données traitées dans le cadre des ENT et notamment l'Identifiant National Elève (INE).
Le ministère a indiqué que l'ajout de l'INE était nécessaire afin de permettre à un élève de conserver ses données et informations dans un ENT en cas de changement d'académie dans le premier et le second degré d'enseignement ou de changement d'établissement dans l'enseignement supérieur. En effet, l'identifiant des élèves dans le cadre des ENT est actuellement un identifiant académique qui conduit à la création d'un nouveau compte et à la perte des données en cas de changement d'académie. Dans l'enseignement supérieur, tout changement d'établissement implique la création d'un nouveau compte sans pouvoir conserver les données et informations attachées au précédent.
Il a également précisé que, lorsque les ENT proposent des services de gestion des compétences, des notes et des absences, l'INE est nécessaire pour permettre la mise en relation de l'ENT avec les applications nationales telles que Admission Post Bac (APB), livret scolaire unique numérique (LSUN) ou diplôme national du brevet (DNB), vers lesquelles ces données doivent être transférées.
Au regard de ces éléments, la commission estime que l'enregistrement de l'INE dans les ENT n'est pas contraire à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.