AgentPublic/cnil huggingface dataset:
67. S’agissant deuxièmement de l’information communiquée via l’affiche apposée dans les lieux accessibles au public, la formation restreinte considère qu’elle ne permet pas en l’espèce aux personnes concernées de connaître les données qui seront traitées dans le TAJ puisque seules les photographies des personnes sont indiquées comme étant susceptibles d’être mentionnées dans le fichier. La formation restreinte considère que l’information communiquée par ce biais est incomplète.
68. S’agissant enfin des mesures annoncées par le ministère de l’intérieur, la formation restreinte relève qu’elles permettront au plus tard au deuxième semestre 2025, un accès à l’information à ces personnes lors de la collecte de leurs données. En outre, la formation restreinte relève que le ministère de l’intérieur s’engage à modifier l’affiche apposée dans les lieux accessibles au public afin qu’elle présente l’ensemble des informations exigées par l’article 104 de la loi Informatique et Libertés. La formation restreinte considère que l’ensemble de ces mesures permette d’assurer le droit à l’information des personnes concernées.
69. Au regard de l’ensemble de ces éléments, la formation restreinte considère donc que les faits précités constituent un manquement à l’article 104 de la loi Informatique et Libertés mais que le ministère de l’intérieur s’est mis en conformité avec les exigences de l’article précité, de sorte qu’il n’y a pas lieu à adresser une injonction sur ce point. La formation restreinte considère néanmoins que le manquement est constitué pour les faits passés. 
3. Sur le manquement relatif aux droits d’accès, de rectification et d’effacement des personnes
70. Les articles 105 et 106 de la loi Informatique et Libertés prévoient que la personne concernée a le droit d'obtenir du responsable de traitement la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées et, lorsqu'elles le sont, le droit d'accéder auxdites données et que ces dernières soient rectifiées, complétées ou effacées le cas échéant. 
71. L’article R. 40-33 du code de procédure pénale prévoit que les droits d’information, d’accès, de rectification et d’effacement s’exercent directement auprès du responsable du traitement.
72. La rapporteure relève que les services gestionnaires du TAJ éprouvent des difficultés à obtenir des réponses de la part des parquets consultés dans le cadre des demandes de droit d’accès de particuliers et considère qu’ils ne sont donc pas en mesure de prendre en compte les droits d’accès, de rectification et d’effacement des personnes s’agissant de leurs données à caractère personnel présentes dans le TAJ dans le délai de deux mois prévu, en raison du temps de réponse ou de l’absence de réponse des parquets saisis.
73. En défense, le ministère de l’intérieur indique que des mesures de rappel ont été adressés aux juridictions par le garde des sceaux le 8 décembre 2022 et par le magistrat référent en mai 2023. Il confirme néanmoins que les services gestionnaires dédiés aux demandes des droits d’accès rencontrent des difficultés dans la mise en œuvre du traitement du droit d’accès au TAJ dans le délai légal de deux mois en raison de réponses incomplètes, tardives, voire à une absence de réponse de la part des parquets.
74. Le ministère de l’intérieur soutient avoir optimisé son organisation afin d’accélérer le traitement des droits d’accès, notamment avec la création au sein du service central du renseignement criminel de la gendarmerie nationale depuis le 8 février 2024, d’une cellule uniquement dédiée aux demandes des droits d’accès, permettant, lorsque la suite judiciaire est connue, un traitement des demandes allant de trois à dix jours. Une réorganisation du service DATA-I, le département des technologies appliquées à l’investigation, a également été menée, afin de répondre aux obligations légales et réglementaires, aux attentes de la CNIL et aux fortes exigences de qualité attendues : deux officiers encadrent désormais le groupe de traitement des droits d’accès, composé d’onze effectifs.
75. Le ministère de la justice indique quant à lui qu’une dépêche du 31 juillet 2015 a été diffusée à l’ensemble des procureurs généraux et des procureurs de la République, leur rappelant la nécessité de respecter le délai imparti pour se prononcer sur les suites des demandes d’accès. Il indique que la fiche focus relative au TAJ contient également un rappel des délais à tenir en cas de saisine d’une demande par un particulier. Ensuite, il précise que la dépêche diffusée le 8 décembre 2022 par le garde des sceaux aux juridictions contient des trames de décisions-types du procureur de la République afin de faciliter le traitement des requêtes des particuliers. Enfin, il soutient que le stock de demandes restant à traiter est passé de 777 dossiers au 31 décembre 2022 à 511 au 31 décembre 2023.
76. La formation restreinte considère que seul le ministère de la justice peut permettre le traitement des demandes d’accès, de rectification ou d’effacement lorsque les suites judiciaires sont inconnues des services gestionnaires du TAJ au sein de la police, de la gendarmerie nationale et des douanes. Elle constate qu’en raison du temps de réponse des parquets saisis, les services gestionnaires rencontrent toujours des difficultés dans la mise en œuvre des modalités de traitement du droit d’accès au TAJ dans le délai légal de deux mois, imparti pour traiter la demande et répondre au requérant, et cela, malgré l’optimisation de l’organisation des services gestionnaires par le ministère de l’intérieur. Elle relève que lors des contrôles, la délégation a été informée que dans 60 % des cas, les parquets ne répondent pas aux demandes des services gestionnaires saisis de demande d’accès. Elle constate donc qu’un nombre important de demande de suites judiciaires dans le cadre des droits d’accès reste sans réponse de la part des parquets.
77. Elle considère que le fait que 511 demandes de droit d’accès restent à traiter au 31 décembre 2023 démontre la persistance du manquement malgré la communication des trames de décisions-types en décembre 2022 devant faciliter le traitement des requêtes des particuliers.
78. Au regard de ces éléments, la formation restreinte considère que les ministères de la justice et de l’intérieur ne sont pas en mesure de prendre en compte les droits d’accès, de rectification et d’effacement des personnes dont les données figurent dans le TAJ dans les délais prévus et en conséquence que les réponses aux demandes de droits d’accès, d’effacement et de rectification ne peuvent être effectives. Elle considère que les faits précités constituent un manquement aux obligations qui découlent des articles 105 et 106 de la loi Informatique et Libertés.
III. Sur les mesures correctrices et leur publicité
79. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 modifiée : " lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut […] saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : 
1° Un rappel à l'ordre ;
2° Une injonction de mettre en conformité le traitement avec les obligations résultant […] de la présente loi [..] ".
80. En vertu du 7° du III de l’article 20 de la loi du 6 janvier 1978 modifiée, dans le cas où le traitement de données à caractère personnel est mis en œuvre par l’État, il ne peut être prononcé une amende administrative.
81. La rapporteure propose à la formation restreinte que soient prononcés un rappel à l’ordre ainsi qu’une injonction de mettre le traitement en conformité avec les dispositions la loi Informatique et Libertés. Elle propose également que cette décision soit rendue publique.
82. En défense, les ministères ne répondent pas s’agissant de la mesure proposée par la rapporteure.
83. La formation restreinte considère que les manquements précités justifient que soit prononcé un rappel à l’ordre à l’encontre du ministère de l'intérieur et du ministère de la justice pour les motifs suivants.
84. La formation restreinte relève la sensibilité particulière des données traitées dans le TAJ, qui comprennent à la fois des données directement identifiantes et des données révélant la participation réelle ou supposée à des infractions délictuelles ou criminelles. La formation restreinte rappelle que la présence dans le TAJ peut avoir des conséquences considérables dans la vie des personnes, notamment en cas d’infractions, mais aussi lorsque des enquêtes administratives sont opérées en cas de demande d’acquisition de la nationalité française, participation à un concours ou encore avant l’attribution d’un emploi dont l’accès est règlementé. Le maintien de mentions inexactes dans le fichier est de nature à porter gravement atteinte, et de façon potentiellement irréversible, aux droits fondamentaux des personnes qui font l’objet de ces enquêtes.
85. La formation restreinte relève également qu’un très grand nombre de personnes est concerné par ce fichier qui répertoriait plus de 103 millions d’affaires en décembre 2021. Elle note aussi que ce traitement concerne des mineurs, pour lesquels une attention particulière doit être portée, par le responsable de traitement, au respect de l’ensemble de leurs droits.
86. La formation restreinte rappelle que les données sont conservées pour des durées allant de cinq à 40 ans pour les infractions les plus graves. Or elle relève que, malgré la sensibilité du fichier, de nombreuses données y sont conservées en raison d’un défaut de mise à jour du TAJ. 
87. Elle relève les efforts déployés par le ministère de l’intérieur et le ministère de la justice depuis 2008 pour rendre efficiente la mise à jour du TAJ mais constate que les travaux d’interconnexion des fichiers CASSIOPEE et TAJ n’ont pas abouti et qu’ils se heurtent toujours à des difficultés techniques. Elle considère que l’exercice des droits n’est pas garanti en raison de l’absence de mise à jour efficace du fichier.
88. Elle relève également que les carences relatives à l’information des personnes quant à leur inscription dans le TAJ et à leurs droits, comme la nécessaire connaissance spécifique du nom du fichier TAJ, empêchaient nécessairement que les personnes concernées exercent de manière effective et efficace, leurs droits auprès de l’administration. Elle relève cependant la volonté du ministère de l’intérieur d’améliorer la transparence de l’information par la transmission de formulaires aux personnes concernées, ainsi que par l’apposition d’une affiche dans les locaux de signalisation, présentant l’ensemble des informations prévues à l’article 104 de la Loi Informatique et Libertés.
89. Elle considère également que l’exercice des droits des personnes n’est pas non plus garanti en raison des délais dans lesquels les demandes sont traitées.
90. Enfin, la formation restreinte rappelle que la CNIL évoquait le TAJ dans son rapport d’activité de 2018 et y formulait plusieurs points d’attention sur le nouveau dispositif d’exercice direct des droits, de sorte que la problématique relevée lors des contrôles de 2022 n’est pas nouvelle.
91. Si la formation restreinte est consciente des contraintes, financières, techniques et organisationnelles, pesant sur les ministères, elle estime néanmoins que ces derniers n’ont pas engagé les moyens suffisants à la mise en conformité du fichier, malgré la nécessité de s’assurer que les données qu’ils traitent sont exactes et tenues à jour et que l’information et les droits des personnes sont respectés. 
92. La formation restreinte estime que les éléments précités rendent également nécessaire qu’une injonction soit prononcée. 
93. Enfin, et pour les mêmes raisons, la formation restreinte estime nécessaire que sa décision soit rendue publique. Elle relève, sur ce point, l’ancienneté de la problématique concernant un fichier mis en œuvre par des acteurs publics, ayant notamment pour objet la constatation des infractions. Enfin, le nombre important de personnes concernées et la sensibilité du traitement dès lors que sont intégrées au fichier des données en lien avec l’identité des personnes, mises en cause et victimes, notamment les informations sur leur état civil, leur adresse, leur profession ainsi que leur photographie. Enfin la formation restreinte relève que le fichier traite également les données des personnes mineures. Les durées de conservation de ces données ainsi que les conséquences de la consultation du fichier sur la vie privée des personnes sont également des éléments justifiant la publicité de la mesure.
 
PAR CES MOTIFS
La formation restreinte de la CNIL, après en avoir délibéré, décide de :
• prononcer un rappel à l’ordre à l’encontre du ministère de l’intérieur au regard des manquements constitués aux articles 97, 104, 105 et 106 de la loi Informatique et Libertés ;
• prononcer un rappel à l’ordre à l’encontre du ministère de la justice, au regard des manquements constitués aux articles 97, 104, 105 et 106 de la loi Informatique et Libertés ;
• prononcer à l’encontre du ministère de l'intérieur et à l’encontre du ministère de la justice, une injonction de mettre en conformité les traitements visés avec les obligations résultant de l’article 97, 105 et 106 de la loi Informatique et Libertés, et en particulier :
-  s’agissant du manquement relatif à l’exactitude des données, prendre toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont pas à jour soient effacées ou rectifiées sans tarder ou ne soient pas transmises ou mises à disposition, par exemple en mettant en place une procédure effective et généralisée à l’ensemble des juridictions visant à ce que toutes les décisions juridictionnelles définitives soient répercutées dans le TAJ ;
-  s’agissant du manquement relatif à l’exercice des droits des personnes, prendre toutes les mesures raisonnables pour garantir que les droits d’accès, de rectification et d’effacement soient assurés, par exemple en mettant en place une procédure effective et généralisée à l’ensemble des juridictions visant à ce qu’une réponse soit systématiquement apportée dans les deux mois aux services gestionnaires du TAJ à la suite d’une demande d’accès, de rectification et d’effacement.
• assortir les injonctions d’un délai de mise en conformité expirant le 31/10/2026, les justificatifs de la mise en conformité devant être adressés à la formation restreinte;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément les ministères à l’expiration d’un délai de deux ans à compter de sa publication.
 Le président
 Philippe-Pierre CABOURDIN
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
N° de demandes d’avis : 24006274 et 24008090
Thématiques : Données des bénéficiaires effectifs, Institut national de la propriété industrielle (INPI), actions représentatives, consommateurs, invalidation d’un acte de l’Union
Organisme(s) à l’origine des saisines : ministère de l’économie, des finances et de la souveraineté industrielle et numérique
Fondement des saisines : Article 8, I, 4°, a) de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
La CNIL a été saisie des dispositions d’un projet de loi portant diverses adaptations au droit de l’Union européenne qui concernent, d’une part, l’accès aux données des bénéficiaires effectifs et, d’autre part, la mise en conformité du droit national aux exigences de la directive (UE) n°2020/1828 en prévoyant que les organismes disposant de l’agrément transfrontière peuvent exercer des actions de groupe dans le domaine de la protection des données devant le juge compétent.
Sur le premier point, le projet de loi donne une base légale au passage d’un accès public aux informations relatives aux bénéficiaires effectifs à un accès limité à la démonstration d’un intérêt légitime. La CNIL considère les évolutions projetées comme légitimes et nécessaires compte tenu de l’évolution du droit par l’adoption de la 6ème directive anti-blanchiment, dans la lignée de la jurisprudence de la Cour de justice de l’Union européenne. Elles doivent permettre de garantir un meilleur équilibre entre l’objectif de transparence de la vie financière, poursuivi par l’accès aux informations des bénéficiaires effectifs, et la protection de la vie privée des bénéficiaires effectifs dont les informations figurent dans le registre.
Le deuxième point n’appelle pas d’observations de la CNIL.
___________________
 
 
La Commission nationale de l'informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
 
Sur les propositions de Philippe-Pierre Cabourdin, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
 
I. Les saisines
 
A. La saisine du ministère de l’économie, des finances et de la souveraineté industrielle et numérique relative, d’une part, au données des bénéficiaires effectifs et, d’autre part, 
aux actions représentatives visant à protéger les intérêts collectifs des consommateurs
 
Concernant le premier point de la saisine, l’arrêt du 22 novembre 2022 de la Cour de justice de l’Union européenne (C-37/20 et C-601/20, Sovim / WM c. Luxembourg Business Registers) a invalidé la disposition de la directive (UE) 2018/843 du Parlement européen et du Conseil (dite 5ème directive anti-blanchiment) qui prévoyait la mise à disposition des informations sur les bénéficiaires effectifs des sociétés au grand public. La Cour estime dans son arrêt que ces informations ne doivent être accessibles qu’aux personnes pouvant justifier d’un intérêt légitime à y accéder.
 
Le projet de loi portant diverses dispositions d’adaptation au droit de l’Union européenne (DDADUE) modifie l’article L.561-46 du code monétaire et financier (CMF) et crée un article L.561-46-2 pour tirer les conséquences de l’arrêt de la CJUE précité.
Le projet s’appuie sur les dispositions de la 6ème directive anti-blanchiment, qui tire les conséquences de cet arrêt, qui devrait être publiée en juin 2024. L’encadrement complet de l’accès aux données des bénéficiaires effectifs interviendra en deux temps : la priorité étant de tenir compte de l’arrêt de la CJUE, en limitant l’accès aux informations à la démonstration d’un intérêt légitime ; les conditions précises de formulation des demandes d’accès seront précisées ultérieurement par voie règlementaire et contractuelle.
 
La CNIL est particulièrement attentive aux modalités d’accès aux données des bénéficiaires effectifs, notamment dans un contexte où elle a été saisie d’une dizaine de plaintes de bénéficiaires effectifs s’opposant, sur le fondement de l’arrêt Sovim, à l’accès de leurs données à caractère personnel au public. Elle avait déjà rappelé, dans ses deux dernières délibérations, que les conditions d’accès et de publicité des données des bénéficiaires effectifs ne devaient pas porter atteinte au droit à la vie privée des personnes concernées (délibérations n° 2016-343 du 13 novembre 2016 et n° 2017-122 du 20 avril 2017).
Il n’existe pas, en France, de registre centralisé des données des bénéficiaires effectifs. Les données issues des procédures de formalités d’entreprises sont renseignées auprès de l’INPI par le biais du guichet unique. Les données déclarées sont ensuite remontées aux greffiers des tribunaux de commerce, autorités compétentes chargées de leur validation, avant d’être intégrées dans le registre national des entreprises (RNE). Malgré la présence de registres distincts, il s’agit de voies d’accès aux mêmes données, dont la fiabilité et l’exhaustivité sont contrôlées par les greffiers des tribunaux de commerce. La coexistence de deux teneurs de registre s’explique donc par leurs rôles complémentaires : les greffiers des tribunaux de commerce vérificateurs des données relatives aux sociétés commerciales versées au RNE et l’INPI administrant la base de données du RNE ainsi que la plateforme DATA INPI de mise à disposition de ces données.
La CNIL appelle l’attention du ministère sur le fait que les données relatives aux bénéficiaires effectifs sont intégrées dans le registre national des entreprises (RNE) tenu par l’INPI et qui a fait l’objet de ses observations régulières depuis sa création (délibérations n° 2021-098 du 2 septembre 2021, n° 2022-013 du 10 février 2022, n° 2022- 116 du 8 décembre 2022 et n°2023-091 du 21 septembre 2023).
Concernant le second point de la saisine, la directive (UE) 2020/1828 du 25 novembre 2020 relative aux actions représentatives visant à protéger les intérêts collectifs des consommateurs et abrogeant la directive 2009/22/CE, énonce des règles pour garantir un mécanisme d’action représentative permettant de protéger les intérêts collectifs des consommateurs et effectif dans tous les États membres, tout en prévoyant des garanties appropriées pour éviter les recours abusifs.
 
Le champ d’application de la directive est particulièrement vaste puisqu’il couvre les actions en cessation et en réparation au moyen d’actions représentatives (notamment les actions représentatives transfrontières) à l’encontre des infractions aux droits des consommateurs dans des domaines variés et notamment la protection des données à caractère personnel. Chaque État membre doit désigner une ou plusieurs entités qualifiées (organisations de consommateurs ou organismes publics) – qui devront satisfaire à des critères de désignation stricts en ce qui concerne les actions transfrontières – et établir une liste à jour des entités qui sera mise à disposition du grand public.
La mise en conformité du droit national aux exigences de la directive implique des modifications du code de la consommation, mais aussi de la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle, du code de justice administrative, du code de la santé publique et de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés.
 
I. L’avis de la CNIL
 
A. Sur les dispositions relatives aux données des bénéficiaires effectifs
 
Le projet de dispositions législatives :
 
complète la liste des autorités compétentes qui ont vocation à avoir accès à l’intégralité des données relatives aux bénéficiaires effectifs de manière gratuite et permanente, pour tenir compte, notamment, des évolutions apportées par la 6ème directive anti-blanchiment sur ce point (Europol, Eurojust, l’Office européen de lutte anti-fraude, etc.) (projet d’article L. 561-46 du CMF) ;