AgentPublic/cnil huggingface dataset:
Par conséquent, la CNIL demande que le projet de décret soit modifié, afin que les organismes de gestion ne figurent pas dans la liste des responsables de traitement autorisés à traiter le NIR.
Ce nouvel usage du NIR apparaît légitime et proportionné à la finalité poursuivie et n’appelle pas d’autres observations de la part de la CNIL.
 
La présidente,
 
 
M.-L. Denis
La Commission nationale de l’informatique et des libertés, 
 
Saisie par le ministère de l’intérieur d’une demande d’avis concernant un projet d’arrêté autorisant les traitements de données à caractère personnel dénommés Outils de suivi de l’activité ;
 
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu la convention d’application de l’accord de Schengen du 14 juin 1985 entre les gouvernements des Etats de l’union économique Benelux, de la République fédérale d’Allemagne et de la République française relative à la suppression graduelle des contrôles aux frontières communes, notamment ses articles 39 (5°) et 126 à 140 ;
 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu le code de la sécurité intérieure, notamment son article L. 235-1 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 26-1 (2°) et IV ;
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu Mme Dominique CASTERA, commissaire, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
 
Emet l’avis suivant :
 
La commission a été saisie par le ministère de l’intérieur d’une demande d’avis sur un projet d’arrêté autorisant les traitements de données à caractère personnel dénommés Outils de suivi de l’activité (OSA).
 
Dans la mesure où ces traitements, mis en œuvre dans chacun des quatre centres de coopération policière et douanière (CCPD) situés sur le territoire français (Modane, Le Perthus, Melles et Hendaye), ont notamment pour objet la prévention, la recherche et la constatation d’infractions pénales, il y a lieu de faire application des dispositions de l’article 26-I (2°) de la loi du 6 janvier 1978 modifiée. Les traitements OSA doivent dès lors être autorisés par arrêté ministériel pris après avis de la commission.
 
En outre, et conformément aux dispositions de l’article 26-IV de la loi du 6 janvier 1978, le projet d’arrêté a vocation à constituer un acte réglementaire unique, auquel devront se référer les engagements de conformité adressés par les responsables de tels traitements à la Commission. 
 
Sur les finalités
Les traitements OSA, identiques dans tous les CCPD, ont pour finalité, d’une part, d’assurer le suivi et la gestion de l’activité du centre en matière d’échange d’informations dans le cadre de la coopération transfrontalière (requêtes adressées et réponses apportées par le CCPD) et, d’autre part, de garantir la traçabilité des informations transmises.
 
Les CCPD sont des organes bilatéraux d’appui à la coopération transfrontalière directe qui réunissent, dans une même structure, des agents des services chargés de la sécurité dans la zone frontalière des Etats partenaires. Au sein de ces structures, la France est représentée par la police nationale (police aux frontières, police judiciaire, sécurité publique), la gendarmerie nationale et les douanes.
 
Ces centres ont pour missions d’appuyer la coordination d’opérations transfrontalières et de participer à l’observation et à la poursuite transfrontalière. Ils sont également chargés de l’échange d’informations dans les domaines de la lutte contre l’immigration irrégulière, la délinquance transfrontalière, les trafics illicites, les faux documents, et en matière de prévention contre les menaces à l’ordre public. De tels échanges d’informations, à destination des Etats membres de l’espace Schengen, sont expressément prévus par les dispositions de l’article L. 235-1 du code de la sécurité intérieure.
Ces échanges d’informations nécessitent la mise en œuvre d’un outil de gestion et de suivi des demandes dont les agents français des centres peuvent être saisis et de l’instruction de celles-ci. Chaque traitement OSA doit ainsi répertorier toutes les requêtes adressées au CCPD ainsi que les réponses apportées.
 
La commission relève dès lors qu’il ne s’agit en aucun cas de créer de nouvelles bases de données policières recueillies par les CCPD, mais uniquement de mettre à la disposition de ces derniers un outil de suivi des échanges d’informations qui ont lieu par l’intermédiaire de ces centres.
 
La commission considère que ces finalités sont déterminées, explicites et légitimes, conformément à l’article 6 (2°) de la loi du 6 janvier 1978 modifiée. 
 
Sur la nature des données 
 
Le projet d’arrêté prévoit deux catégories de données à caractère personnel enregistrées dans les traitements OSA.
D’une part, il s’agit des données relatives aux demandes de coopérations (service et agent demandeur, date, heure et motif de la demande, objet de la demande, mention des fichiers éventuellement consultés, réponse apportée et renvois internes vers d’autres demandes dans la base de données). Ces renvois correspondent à des liens entre plusieurs fiches au sein des OSA (par exemple, lorsque l’immatriculation d’un véhicule ou d’une personne a déjà fait l’objet d’une requête dans le traitement, un message à l’écran le signale à l’agent). A cet égard, le ministère a confirmé que cette fonction ne permet pas de faire le lien avec les traitements mis en œuvre par d’autres CCPD ni avec d’autres traitements mis en œuvre au niveau national.
 
D’autre part, il s’agit des données relatives aux personnes ou objets faisant l’objet d’une demande de coopération (identité de la personne ― nom, prénom, alias, pseudonyme, filiation ― date et lieu de naissance, nationalité, adresses, numéros de téléphone, situation administrative de la personne, du véhicule, d’une plaque d’immatriculation, de l’objet ou du document).
 
La commission prend acte que les traitements OSA ne contiennent pas de donnée sensible au sens de l’article 8 de la loi du 6 janvier 1978 modifiée. Elle relève également qu’en aucun cas ces traitements ne comportent le contenu des fichiers consultés ou des recherches effectuées.
La commission estime dès lors que ces données sont adéquates, pertinentes et non excessives au regard de la finalité des traitements. 
 
Sur la durée de conservation 
 
L’article 3 du projet d’arrêté prévoit que les données collectées sont conservées au maximum deux ans à compter de la date d’enregistrement de la demande.
 
La commission considère que cette durée de conservation n’excède pas la durée de conservation nécessaire aux finalités de ces traitements. 
 
Sur les destinataires 
 
L’article 4 prévoit en tant qu’accédants directs aux traitements les seuls agents de la police nationale et des douanes ainsi que les militaires de la gendarmerie nationale, relevant de la partie française du CCPD concerné.
 
La commission prend acte que, à sa demande, le ministère de l’intérieur a modifié le projet d’arrêté afin d’intégrer la mention selon laquelle ces accédants doivent être individuellement désignés et spécifiquement habilités.
 
Le même article prévoit que les autres destinataires des données enregistrées dans les traitements OSA sont, d’une part, les personnels étrangers, relevant du pays partenaire, affectés dans les CCPD concernés, et, d’autre part, les agents de la police nationale, de la gendarmerie nationale et des douanes autres que ceux affectés dans les CCPD et les fonctionnaires de préfectures (bureau des immatriculations, bureau des permis de conduire, bureau des étrangers).
Elle considère que les finalités des traitements OSA justifient que l’ensemble de ces destinataires puissent y avoir accès dans le cadre de leurs missions, notamment afin de permettre aux agents nationaux de procéder aux recherches rendues nécessaires par les demandes de coopération. 
 
Sur les droits des personnes 
 
L’article 6 du projet d’arrêté prévoit que, conformément aux articles 32-VI et 38 de la loi du 6 janvier 1978 modifiée, le droit d’information et le droit d’opposition ne s’appliquent pas à ces traitements.
 
Les droits d’accès et de rectification s’exercent, conformément aux articles 39 et 40 de la même loi, directement auprès du directeur central de la police aux frontières.
 
Toutefois, la commission relève que l’exercice de ces droits est limité par l’absence de droit d’information. 
 
Sur les sécurités
Le contrôle d’accès est opéré par l’utilisation d’un identifiant et d’un mot de passe dont la complexité est conforme aux recommandations de la commission. A cet égard, elle rappelle que les mots de passe doivent comporter un minimum de huit caractères, être composés de trois types de caractères parmi les minuscules, majuscules, chiffres et caractères spéciaux. Le mot de passe doit être modifié par l’utilisateur dès sa première connexion, puis régulièrement sur une période ne dépassant pas une année. Enfin, les mots de passe ne doivent pas être conservés en clair dans une base de données ou un fichier et la commission recommande de conserver le résultat de la fonction de hachage HMAC à clé secrète sur le mot de passe.
 
Par ailleurs, la commission relève qu’après vingt minutes d’inactivité les comptes sont automatiquement verrouillés et il sera nécessaire pour l’agent de renseigner son mot de passe pour rouvrir son compte.
 
Concernant la traçabilité des opérations effectuées, la commission prend acte que tous les accès ainsi que toutes les opérations effectuées par les utilisateurs de l’application sont journalisés. Elle relève que cette obligation est expressément prévue à l’article 5 du projet d’arrêté.
Les traitements mis en œuvre par les différents CCPD (centres de coopération policière et douanière) ne sont pas reliés entre eux. Ainsi, la commission prend acte que les données sont conservées sur un serveur local à chaque centre et que les bases de données ne sont pas reliées entre elles. De plus, les traitements ne sont pas reliés à internet.
 
S’agissant des transmissions de données vers les personnels étrangers affectés au CCPD, travaillant dans la même salle que les agents français, celles-ci sont opérés au format papier ou par courriel à partir de la messagerie sécurisée du ministère de l’intérieur ou de celui chargé des douanes. Les données peuvent être transférées par fax lorsque les destinataires sont les services français du ministère de l’intérieur. 
 
 
La présidente, 
I. Falque-Pierrotin
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2 ;
Après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Décide :
Article 1
Les agents de la direction de la protection des droits et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié, sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée :
Mme Rose-Marie ABEL ;
Mme Sophie BRIET ;
Mme Madeleine CAZETTES DE SAINT LEGER ;
Mme Virginie CLAUDE-LOONIS ;
Mme Audrey DANEL ;
Mme Caroline DEROUET ;
Mme Rosine DOLBEC ;
M. Lionel FERREIRA ;
Mme Marie GAILLARDON ;
M. Rodolphe GÉNISSEL ;
Mme Sarah GUILLOU ;
Mme Marion JABOT ;
M. Jérémie KOUZMINE ;
Mme Morgane LE HIR ;
Mme Isabelle MANTZ ;
Mme Clothilde MAULIN ;
Mme Oriane MAURICE ;
Mme Nina MCEVOY ;
Mme Lauren SERAN.
Article 2
La délibération n° HABS-2024-001 du 25 janvier 2024 portant habilitation de certains agents de la Commission nationale de l'informatique et des libertés est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-2°-b) ;
Après avoir entendu le rapport M. Claude Castelluccia, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement
 
Formule les observations suivantes :
De nombreux acteurs ont fait part, à la Commission nationale de l’informatique et des libertés (CNIL), de questionnements concernant l’application du règlement général sur la protection des données (RGPD) à l’intelligence artificielle (IA), en particulier depuis l’émergence de systèmes d’IA génératives.
La CNIL adopte une première recommandation sur l’application du RGPD au développement des systèmes d’intelligence artificielle.
Cette première recommandation est composée de plusieurs fiches pratiques :
Quel est le périmètre des fiches pratiques sur l’IA ?
Déterminer le régime juridique applicable
Définir une finalité
Déterminer la qualification juridique des acteurs
Assurer que le traitement est licite – Définir une base légale (1/2)
Assurer que le traitement est licite – En cas de réutilisation des données, effectuer les tests et vérifications nécessaires (2/2)
Réaliser une analyse d’impact si nécessaire
Tenir compte de la protection des données dès les choix de conception du système
Tenir compte de la protection des données dans la collecte et la gestion des données
Modèle de documentation : fiche descriptive du jeu de données
Elle sera complétée ultérieurement sur d’autres thèmes, après consultation publique.
 
Décide : 
 
Article 1er : La recommandation figurant en annexe est adoptée.
 
Article 2 : La présente délibération sera publiée au Journal officiel de la République française. 
 
La présidente
M.-L. Denis
 
Annexe 
 
Vous pouvez consulter l'intégralité du texte avec ses images à l'adresse suivante :
https://www.cnil.fr/fr/les-fiches-pratiques-ia
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mme Isabelle LATOURNARIE-WILLEMS et MM. Alain DRU et Bertrand du MARAIS, membres ;
Vu la fin de mandat de Monsieur Alexandre LINDEN, intervenue le 1er février 2024 ;
Vu la délibération n° 2024-015 du 7 mars 2024 élisant Monsieur Philippe-Pierre CABOURDIN en tant que président de la formation restreinte de la Commission nationale de l'informatique et des libertés ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu le code des postes et des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2021-191C du 29 juin 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société Y, par ses filiales ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 4 avril 2022 ;
Vu le rapport de Mme Valérie PEUGEOT, commissaire rapporteure, notifié à la société X le 23 août 2023 ;
Vu les observations écrites versées par la société X le 29 septembre 2023 ;
Vu la réponse de la rapporteure à ces observations, notifiée à la société le 20 octobre 2023 ;
Vu la clôture de l’instruction, notifiée à la société le 22 novembre 2023 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 7 décembre 2023 ;
Vu la délibération avant-dire droit de la formation restreinte n°SAN-2023-019 du 14 décembre 2023 ;
Vu les observations écrites versées par la rapporteure le 21 décembre 2023 ;
Vu les observations écrites versées par la société le 28 décembre 2023 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 18 janvier 2024 ;
Vu la note en délibéré transmise par la société le 29 janvier 2024 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte :
- Mme Valérie PEUGEOT, commissaire, entendue en son rapport ;
En qualité de représentants de la société X :
- […] ;
La société X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société X (ci-après " la société "), dont le siège social est situé […], est une filiale de la société Y. Elle a pour activité la gestion des boutiques " X ", spécialisées dans le commerce de détail de matériel de télécommunication. Au 31 mai 2023, la société employait 706 salariés et comptait 97 boutiques, réparties entre la France, la Belgique, le Portugal et l’Italie. Son chiffre d’affaires pour l’année 2021 s’est élevé à environ […] euros, pour un résultat net de […] euros.
2. Afin de promouvoir le catalogue des produits vendus en magasin, la société procède à des campagnes de démarchage par téléphone et par SMS à partir de fichiers de prospects achetés auprès de deux partenaires principaux, les sociétés […] et […]. Elle a indiqué avoir envoyé environ 1,4 million de SMS entre le mois de septembre 2020 et le mois de septembre 2021, et plus de 220 000 entre mai 2022 et mai 2023. S’agissant de la prospection téléphonique, la société a indiqué avoir émis environ 3,2 millions d’appels entre mai 2022 et mai 2023, à destination d’environ 1,3 million de prospects.
3. Le 23 septembre 2021, une délégation de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a procédé à un contrôle dans les locaux de la société, afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " ou " loi du 6 janvier 1978 modifiée ") et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le " Règlement " ou " RGPD ").
4. Le procès-verbal n° 2021-191/1, dressé le jour du contrôle, a été notifié à la société le 30 septembre 2021.
5. La société a communiqué des pièces complémentaires les 5 octobre et 22 novembre 2021.
6. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 4 avril 2022, désigné Mme Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
7. Conformément à l’article 56 du RGPD, le 9 juin 2023, la CNIL a informé l’ensemble des autorités de contrôle européennes de sa compétence pour agir en tant qu’autorité de contrôle cheffe de file concernant les traitements transfrontaliers mis en œuvre par la société, résultant de ce que l’établissement principal de la société se trouve en France. Après échanges entre la CNIL et les autorités de protection des données européennes dans le cadre du mécanisme de guichet unique, l’Italie, l’Espagne, le Portugal et la Belgique se sont déclarées concernées.
8. Les 8 juin et 13 juillet 2023, la rapporteure a adressé deux demandes complémentaires auxquelles la société a répondu les 23 juin et 3 août 2023.
9. Le 23 août 2023, à l’issue de son instruction, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 6, 14 et 32 du RGPD et à l’article L. 34-5 du code des postes et des communications électroniques (ci-après " le CPCE ") qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société. Il proposait également que cette décision soit rendue publique.
10. Le 29 septembre 2023, la société a produit des observations en réponse au rapport de sanction.
11. La rapporteure a répondu aux observations de la société le 20 octobre 2023.
12. Le 22 novembre 2023, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés, informé la société et le président de la formation restreinte que l’instruction était close.
13. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 7 décembre 2023.
14. La formation restreinte a tenu une séance le 7 décembre 2023.
15. Par délibération avant-dire droit n°SAN-2023-019 du 14 décembre 2023, envoyée par courrier électronique à la société le même jour et notifiée par voie postale le 21 décembre 2023, la formation restreinte a demandé à la société X et à la rapporteure la production d’une pièce complémentaire, évoquée par la société lors de la séance du 7 décembre 2023.
16. Le 21 décembre 2023, la rapporteure a communiqué à la formation restreinte une pièce intitulée " leads_701_23-09-2021 […] ".
17. Le 28 décembre 2023, la société a communiqué à la formation restreinte une pièce également intitulée " leads_701_23-09-2021 […] ".
18. En application de l’article 41 du décret n°2019-536 du 29 mai 2019, une convocation à la séance de la formation restreinte du 18 janvier 2024 a été notifiée à la société X le 21 décembre 2023 ;
19. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la désignation du rapporteur