AgentPublic/cnil huggingface dataset:
Le ministère a précisé que ce délai était nécessaire dans la mesure où les procédures d’enquêtes administrative préalable à une mesure de police administrative (…) peuvent être longues et complexes, en particulier lorsqu’elles nécessitent une coordination entre plusieurs départements .
Au regard des observations précédentes, la Commission invite le ministère à réduire la durée de conservation à un mois à compter du dépôt des informations dans le SI retour par les agents du ministère de la justice, pour ce qui concerne le FIJAISV. Elle invite également le ministère à réduire la durée de conservation des traces fonctionnelles relatives aux événements associés aux personnes faisant l’objet d’un contrôle d’honorabilité pour cette même durée.
Sur les mesures de sécurité 
La Commission relève tout d’abord que le traitement projeté, réalisé à grande échelle et incluant notamment des données sensibles, a fait l’objet d’une AIPD. Elle relève également que le SI Honorabilité a fait l’objet d’une homologation de sécurité couvrant l’ensemble de ses fonctionnalités, y compris celles relatives aux connexions avec les traitements SIAM et EAPS , préalablement à son déploiement.
Concernant l’habilitation des utilisateurs, la Commission relève que des profils différents permettant une granularité des accès seront créés afin d’accéder aux données en tant que de besoin. Elle relève également que les profils administrateur seront limités à des fonctionnalités techniques telles que la gestion des comptes et le suivi des rejets techniques. Ces profils administrateur n’auront de plus accès à aucune donnée sensible.
La Commission relève que des mesures techniques ont été implémentées afin de cloisonner le SI Dépose et le SI Retour , notamment grâce à l’utilisation de bases de données, de sous-réseaux et de serveurs différents. Le SI Retour ne sera de plus accessible aux utilisateurs qu’à partir de l’intranet du ministère.
La Commission prend acte de ce que des mesures de chiffrement permettant d’assurer l’intégrité et la confidentialité des données traitées seront mises en place dans le cadre du traitement, tant concernant le stockage, les sauvegardes, les flux d’accès que les échanges de données, et ce dans les différents environnements. Elle relève par exemple que les données d’identité seront chiffrées en base de données par des algorithmes à l’état de l’art et que des mesures organisationnelles sont mises en œuvre afin de chiffrer les emails transmis manuellement et pouvant contenir des listes de personnes ou documents. Elle relève cependant que les transmissions de données entre le SI Retour et les serveurs du ministère de la Justice lors de l’envoi et la réception automatiques des données liées à l’interrogation du FIJAISV et du casier judiciaire peuvent ne pas être chiffrées lors de la mise en production du SI Honorabilité . La Commission observe que ces transmissions de données seront effectuées via un réseau interministériel mais demande au ministère de mettre en place les mesures techniques liées au chiffrement des flux de données.
La Commission relève en outre que les numéros d’identification de dossier sont actuellement incrémentaux, ce qui peut permettre à un attaquant ou utilisateur de déduire des informations concernant les personnes faisant l’objet d’un contrôle d’honorabilité. Elle relève que des numéros d’identification de dossier non incrémentaux seront mis en place pour la fin du premier trimestre 2021 mais demande au ministère de mettre en place cette fonctionnalité préalablement au déploiement du SI Honorabilité , par exemple en utilisant un générateur cryptographique de nombres pseudo-aléatoires pour ces numéros d’identification de dossier.
Concernant l’authentification des utilisateurs au sein du SI Dépose et du SI Retour , la Commission prend note de l’utilisation d’une solution d’authentification et d’une politique de mot de passe conforme aux préconisations de la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe. Compte tenu de la sensibilité des données concernées, et bien qu'une telle mesure de sécurité ne soit pas explicitement imposée par les textes en vigueur, la Commission recommande fortement au ministère de ne permettre l'accès aux données qu'après une authentification forte, comprenant au moins deux facteurs d’authentification différents.
La Commission relève que les traces techniques ne comporteront pas de données sensibles et seront conservées pendant une durée de dix jours. La Commission rappelle que sa position sur la gestion des traces est de conserver ces dernières pour une durée de six mois pour des finalités de sécurité et de les assortir à un mécanisme proactif de contrôle automatique, mécanisme contribuant à la détection des comportements anormaux par la génération automatique d’alertes.
Enfin, la Commission relève que les traces fonctionnelles relatives aux événements associés à un utilisateur seront conservées indéfiniment. La Commission considère au regard de la finalité de sécurité et des éléments dont elle dispose qu'une durée de conservation illimitée est excessive. La Commission rappelle de nouveau que sa position sur la gestion des traces est de conserver ces dernières pour une durée de six mois pour des finalités de sécurité et de les assortir à un mécanisme proactif de contrôle automatique. S’il était déterminé que des risques résiduels importants demeuraient malgré la mise en place de cet outil de contrôle proactif, il pourrait alors être envisagé d’augmenter cette durée afin de couvrir le risque identifié.
Les autres points du projet d’arrêté n’appellent pas d’observations de la Commission.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre chargé des sports d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 7 août 1997 relatif à la gestion par le ministère de la jeunesse et des sports d’un fichier des activités physiques et sportives concernant les éducateurs et les établissements ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
Vu le code de procédure pénale, notamment son article 776 ;
Vu le code du sport, notamment ses articles L. 212-9, L. 212-13 et L. 322-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 31-I-2° et 89-I ;
Après avoir entendu M. Christian KERT, commissaire, en son rapport et M. Benjamin TOUZANNE, commissaire du gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par le ministère chargé du sport (ci-après le ministère), sur le fondement de l’article 31-I-2° de la loi du 6 janvier 1978 modifiée (ci-après loi Informatique et Libertés ), d’une demande d’avis sur un projet d’arrêté modifiant l’arrêté du 7 août 1997 relatif à la gestion par le ministère de la jeunesse et des sports d’un fichier des activités physiques et sportives concernant les éducateurs et les établissements.
Le projet d’arrêté vise à faire évoluer le dispositif mis en place pour la gestion de ce fichier. Il modifie les données pouvant être enregistrées dans le traitement automatisé géré par le ministère chargé du sport, en élargissant notamment la nature des données pouvant être collectées.
La Commission indique qu’elle a été concomitamment saisie par le ministère de deux autres demandes d’avis complémentaires concernant :
un projet de décret relatif au recueil des données des personnes soumises aux obligations des articles L. 212-9 et L. 322-1 du code du sport en vue du contrôle de leur honorabilité ;
un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé SI Honorabilité visant à assurer le contrôle de l’honorabilité des personnes soumises aux obligations des articles L. 133-6, L. 227-10 et L. 227-11 du code de l’action sociale et des familles et des articles L. 212-9, L. 212-13 et L. 322-1 du code du sport.
Dans ces conditions, la Commission formule les observations suivantes.
Sur les données traitées
L’article 1er du projet d’arrêté étend la nature des catégories d’informations nominatives enregistrées dans le traitement mis en œuvre par le ministère des sports pour gérer le fichier des activités physiques et sportives concernant les éducateurs et les établissements et autorisé par l’arrêté du 7 août 1997 susvisé (fichier APS ). Il ajoute à ce traitement l’enregistrement du résultat de l’interrogation du bulletin n° 2 du casier judiciaire (ci-après B2 ), en prévoyant l’insertion des mentions suivantes :
soit néant lorsque le B2 est vierge ;
soit  envoi d’un courrier  lorsque le B2 est positif ou lorsque une demande de renseignements complémentaires sur l’identité de la demande est souhaitée.
La Commission observe que, conformément aux dispositions des articles L. 212-9, L. 212-13 et L. 322-1 du code du sport, les éducateurs sportifs professionnels et les exploitants d’établissements d’activités physiques et sportives font l’objet de vérifications permettant d’assurer le respect de leurs obligations en matière, d’une part, de qualification et, d’autre part, d’honorabilité. Ces vérifications s’effectuent pour les éducateurs sportifs professionnels via le traitement de données à caractère personnel dénommé Télédéclaration des éducateurs sportifs autorisé par l’arrêté du 28 février 2014 relatif à la mise en place d’une téléprocédure de déclaration des éducateurs sportifs et à la gestion par le ministère chargé des sports du fichier des éducateurs sportifs et établissements d’activités physiques et sportives.
D’après l’article 1er de l’arrêté du 28 février 2014, les vérifications nécessaires sont réalisées, selon les catégories d’informations, par les services déconcentrés compétents ou de manière automatisée. Les informations et pièces communiquées par les éducateurs sportifs professionnels sont intégrées dans le fichier des éducateurs sportifs et établissements créé par l’arrêté précité du 7 août 1997.
La Commission relève que l’article 776-3° du code de procédure pénale autorise la délivrance du B2, nécessaire au contrôle d’honorabilité,  aux administrations ou organismes chargés par la loi ou le règlement du contrôle de l'exercice d'une activité professionnelle ou sociale lorsque cet exercice fait l'objet de restrictions expressément fondées sur l'existence de condamnations pénales ou de sanctions disciplinaires .
A ces conditions, la Commission considère que l’enregistrement, au sein du fichier spécialement constitué pour gérer l’activité physique et sportive des éducateurs sportifs professionnels et des établissements, des informations résultant de la consultation du B2 par le ministère des sports est pertinente, adéquate et non excessive au regard des finalités poursuivies par le traitement.
Le projet d’arrêté n’appelle pas d’autres observations de la Commission.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'économie, des finances et de la relance d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 21 février 2014 portant création par la direction générale des finances publiques d'un traitement automatisé de lutte contre la fraude dénommé ciblage de la fraude et valorisation des requêtes ,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel sur les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécutions de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31-I-2° ;
Vu la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020, notamment son article 154 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2019-114 du 12 septembre 2019 portant avis sur le projet d'article 9 du projet de loi de finances pour 2020 ;
Après avoir entendu M. Philippe-Pierre CABOURDIN, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le traitement ciblage de la fraude et valorisation des requêtes (CFVR), basé sur des techniques de datamining ou exploration de données , a plusieurs fonctionnalités : la modélisation prédictive, la requête d’analyses risques, la recherche d’atypies ou d’incohérences et la recherche de liens entre les différentes personnes ou avec des entités professionnelles.
La Commission relève que le projet dont elle a été saisie lui a été soumis sur le fondement des dispositions de l’article 31-I-2° de la loi du 6 janvier 1978 modifiée qui prévoit qu’un arrêté, pris après avis motivé et publié de la Commission, autorise les traitements de données à caractère personnel mis en œuvre pour le compte de l’Etat et qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté. Elle rappelle qu’eu égard à ses caractéristiques, le traitement CFVR relève par principe des dispositions de la directive 2016/680 telle que transposée aux articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
Dans la mesure où le traitement CFVR est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques, le ministère a réalisé une analyse d’impact relative à la protection des données à caractère personnel (AIPD), qui a été adressée à la Commission avec la demande d’avis conformément à l’article 90 de la loi du 6 janvier 1978 modifiée.
A titre liminaire, la Commission rappelle que l’article 154 de la loi n° 2019-1479 du 28 décembre 2019 de finances pour 2020 autorise, à titre expérimental pour une durée de trois ans, les administrations fiscale et douanière à collecter et exploiter les contenus librement accessibles et manifestement rendus publics par les utilisateurs sur les sites internet des opérateurs de plateforme en ligne mentionnés au 2° du I de l'article L. 111-7 du code de la consommation (ci-après les plateformes et réseaux sociaux ). Cette collecte doit permettre de rechercher des indices relatifs à la commission de certaines infractions limitativement énumérées par la loi, en particulier pour l’administration fiscale l’exercice d’une activité occulte et la fausse domiciliation fiscale à l’étranger.
Elle observe que les modalités d’application du dispositif de collecte précité, qui seront encadrées par un décret en Conseil d’Etat lequel fait l’objet d’un avis de la Commission, entraînent des conséquences sur le traitement CFVR. Le présent projet d’arrêté vise ainsi à prendre en compte la transmission et l’analyse de certaines données collectées sur les plateformes et réseaux sociaux dans le traitement CFVR afin de déterminer si celles-ci constituent des indices permettant de caractériser l’une des infractions recherchées dans le cadre du dispositif de l’article 154 de la loi de finances pour 2020.
Ces éléments généraux rappelés, la Commission entend formuler les observations suivantes.
En premier lieu, l’article 1er du projet d’arrêté prévoit d’ajouter au titre des fonctionnalités du traitement l’analyse par comparaison de certaines données collectées sur les plateformes et réseaux sociaux avec celles déjà enregistrées dans CFVR ce qui est de nature à expliciter le fonctionnement du dispositif dans son ensemble 
En deuxième lieu, le 3° de l’article 2 du projet d’arrêté précise les données issues du dispositif de collecte de l’article 154 précité enregistrées dans le traitement CFVR à savoir les indicateurs et données d’identification des titulaires de comptes des pages internet .
Outre  les indicateurs et les données d’identification des titulaires de comptes des pages internet enregistrées dans CFVR et mentionnés dans le projet d’arrêté, l’AIPD précise que sont également enregistrées  les informations indiquant des données géographiques ou de localisation s’agissant des travaux engagés pour la recherche des personnes faussement domiciliées à l’étranger . Sur ce point, la Commission prend acte de l’engagement du ministère visant à modifier le projet d’arrêté pour y faire figurer, au titre des catégories de données collectées, les indicateurs
 se rapportant à des lieux géographiques
Il ressort également de la documentation transmise que les données dites brutes collectées directement sur les plateformes en ligne et les réseaux sociaux (notamment vidéo, photographie, écrits, etc.) ne seraient pas transmises et enregistrées dans le traitement CFVR, ce dont la Commission prend acte.
En troisième lieu, la Commission relève que l’article 3 du projet d’arrêté reprend à l’identique les durées de conservation des données prévues par l’article 154 de la loi de finances précitée dans le traitement CFVR et précise que la durée de conservation attachée à ces données court à compter de la date de leur collecte sur les sites internet des opérateurs de plateforme en ligne.
Elle relève par ailleurs que le dernier alinéa de l’article 3 du projet d’arrêté précise que les données dont sont destinataires les agents fiscaux ainsi que les informations qui sont renseignées par ces agents sont conservées trois ans . Le ministère a précisé que cette durée de trois ans ne s’appliquera pas aux données issues du dispositif de collecte de l’article 154 de la loi de finances pour 2020 susvisée, lesquelles seront conservées conformément aux durées prévues directement par la loi de finances pour 2020. La Commission prend acte de ce que le projet d’arrêté sera dès lors modifié pour faire apparaître de manière explicite l’articulation des durées de conservation ainsi retenues. 
En dernier lieu, la Commission relève que les mesures de sécurité demeurent inchangées.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, et de Mesdames Anne DEBET et Christine MAUGÜE, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi
no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération no 2020-012 du 7 décembre 2020 prononçant une sanction à l’encontre des sociétés X et Y ;
Vu les éléments transmis par la société Y le 18 décembre 2020 et le 30 mars 2021 ;
Vu les autres pièces du dossier ;
Après en avoir délibéré, a adopté la décision suivante :
I.Faits et procédure
La délibération no 2020-012 du 7 décembre 2020 a enjoint aux sociétés X et Y de :
mettre en conformité le traitement avec les obligations résultant de l’article 82 de la loi informatique et libertés et, en particulier, d’informer les personnes concernées au préalable et de manière claire et complète, par exemple sur le bandeau d’information présent sur la page d’accueil du site X.fr :
des finalités de tous les cookies soumis au consentement,
des moyens dont elles disposent pour les refuser .
Cette injonction était assortie d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
Le 18 décembre 2020, la société Y a adressé à la CNIL un courrier par lequel elle présentait les changements qu’elle envisageait de déployer sur le site web X.fr d’ici la fin du mois de février 2021 et auquel les services de la CNIL ont répondu le 17 février 2021.
Le 30 mars 2021, dans le délai fixé par la délibération, la société Y a adressé à la formation restreinte des éléments en vue de justifier de sa mise en conformité.
II.Motifs de la décision
La formation restreinte relève qu’il ressort des éléments fournis dans le courrier de réponse du 30 mars 2021 que les personnes se rendant sur le site X.fr sont désormais informées, de manière claire et complète, de toutes les finalités des cookies soumis au consentement et des moyens mis à leur disposition pour les refuser, par le biais du bandeau d’information s’affichant à leur arrivée sur le site.
Par conséquent, la formation restreinte considère que les sociétés X et Y ont satisfait à l’injonction dans le délai imparti.
Cette décision sera rendue publique comme l’avait été la délibération no 2020-012 du 7 décembre 2020.
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide :
qu’il n’y a pas lieu à liquidation d’astreinte ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément les sociétés à compter du 11 décembre 2022.
Le président
Alexandre LINDEN
La Présidente
X
X
X
PAR PORTEUR
Et par courrier électronique à l’attention de […]
Paris, le 4 mai 2021
Références à rappeler dans toute correspondance :
N/Réf. : […]-CTX-2019-021
Madame la Présidente,
Je fais suite à la décision n°MED-2019-036 que j’ai prise le 31 décembre 2019 mettant en demeure la société X et aux échanges qui ont suivi.
Au regard des éléments de réponse apportés et des mesures prises dans le sens d’une mise en conformité, je vous informe que j’ai décidé de procéder à la clôture de votre dossier ainsi que de la procédure de contrôle n° 2019-024C.
Je vous informe, par ailleurs, que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, une procédure de sanction pourrait être engagée à l’encontre de votre organisme conformément aux articles 20 et suivants de la loi du 6 janvier 1978 modifiée. Dans cette hypothèse, je pourrais procéder à la désignation d’un rapporteur, qui vous serait notifiée, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement.
Mes services ([…]) se tiennent à la disposition des vôtres pour tout renseignement complémentaire.
Je vous prie d’agréer, Madame la Présidente, mes salutations distinguées.
Marie-Laure DENIS