AgentPublic/cnil huggingface dataset:
L'alimentation de ces signalements se fera via le numéro AGDREF, qui permettra au N-SIS de récupérer les empreintes digitales correspondantes sans que ces dernières ne passent par le FPR. Des travaux sont en cours pour déterminer les évolutions juridiques nécessaires à l'alimentation du N-SIS en empreintes issues d'AGDREF.
b) La consultation du N-SIS à partir de données biométriques :
Les règlements européens susmentionnés autorisent les recherches dans le SIS à partir de données biométriques et génétiques.
S'agissant en particulier des données dactyloscopiques, elles peuvent être utilisées notamment pour :
confirmer l'identité d'une personne qui a été localisée à la suite d'une recherche alphanumérique effectuée dans le SIS ;
et identifier une personne, lorsque l'identité de cette dernière ne peut être établie par d'autres moyens (articles 33 du règlement 2018/1861 et 43 du règlement 2018/1862).
Selon les précisions apportées, le N-SIS pourra faire l'objet d'une consultation par l'empreinte dans le cadre, notamment, d'une vérification d'identité, d'une vérification du droit au séjour ou d'une procédure judiciaire.
De manière générale, les comparaisons de données dactyloscopiques peuvent être sujettes à des taux de faux rejets élevés. En outre, dans le cas où ces comparaisons sont opérées dans le but d'identifier une personne dont l'identité n'a pu être établie par d'autres moyens , la possibilité de fausse correspondance (en principe très faible) ne peut a priori être complètement négligée du fait de l'échelle européenne de la base de comparaison. La CNIL note que ce risque susceptible d'avoir un impact sur les personnes concernées n'est pas pris en compte dans l'analyse d'impact relative à la protection des données (AIPD). Elle invite le ministère à s'assurer qu'il est pris en compte par les services habilités à effectuer des recherches à partir de données dactyloscopiques via le SIS.
S'agissant des modalités de consultation, il s'agira d'interroger le N-SIS à partir des données collectées sur une interface qui serait commune au N-SIS et au FAED. La consultation biométrique du N-SIS sera néanmoins indépendante des flux de données qui concerneraient le FAED, de sorte qu'elle n'impliquera pas d'intégration préalable des empreintes dans le FAED.
Dans la mesure où l'interface précitée constituerait une composante du N-SIS, elle devrait être prise en compte dans l'AIPD afférente.
La CNIL prend acte des dernières précisions apportées selon lesquelles l'AIPD sera modifiée en ce sens.
Enfin, elle prend acte :
de ce que la consultation par l'empreinte ne passera pas par le FPR, dans la mesure où les dispositions encadrant ce fichier n'autorisent pas le traitement de données biométriques ;
de ce que la consultation du SIS à partir de photographies n'est, pour l'instant, pas envisagée.
C. - Sur le traitement de données génétiques
Le projet de décret autorise l'enregistrement d' empreintes génétiques dans les cas prévus au paragraphe 3 de l'article 42 du règlement (UE) 2018/1862 (pour les seuls signalements concernant les personnes disparues qui doivent être placées sous protection, et uniquement lorsque les photographies, images faciales et données dactyloscopiques ne sont pas disponibles ou ne permettent pas une identification).
Selon les précisions apportées par le ministère, cette modification vise à permettre l'enregistrement, dans le N-SIS, des empreintes génétiques qui seraient introduites par d'autres Etats membres. Il n'est, pour l'instant, pas prévu que les signalements émis par les autorités françaises soient alimentés en données génétiques ni que le N-SIS puisse être consulté à partir de telles données. Si cela devait être envisagé, des évolutions juridiques et techniques seraient nécessaires.
Dans une telle hypothèse, la CNIL devrait être saisie pour avis de la modification des textes réglementaires pertinents.
D. - Sur les durées de conservation et la mise à jour des données
Le projet de décret prévoit :
des durées de conservation différenciées selon le signalement en cause, qui se calquent sur celles prévues par les règlements SIS ;
que les signalements sont supprimés dans les conditions prévues par les ces mêmes règlements (conservation nécessaire aux finalités, délais de réexamen, différents motifs de suppression pour chaque catégorie de signalement).
Ces derniers prévoient, en particulier, que l'Etat membre signalant est tenu d'examiner la nécessité de conserver un signalement, avant l'expiration de sa durée de conservation, au terme d'une évaluation individuelle globale .
Selon les précisions apportées par le ministère, il revient aux services demandant la création d'un signalement dans le N-SIS de s'assurer de la nécessité et de la proportionnalité de l'inscription et du maintien de ce dernier.
La CNIL souligne qu'il appartiendra à la direction générale de la police nationale (DGPN), en tant que responsable de traitement, de garantir l'exactitude des données ainsi que la nécessité et la proportionnalité de leur traitement.
Elle invite le ministère à prendre toutes les mesures nécessaires à cette fin, en prévoyant par exemple des procédures de communication avec les différents services émetteurs de signalements ainsi qu'une formation des agents concernés.
En l'absence de telles mesures, un défaut de mise à jour des données pourrait avoir des conséquences importantes pour les personnes concernées. Différentes décisions, tels qu'un refus de visa ou d'entrée sur le territoire, par exemple, pourraient être prises au vu d'informations erronées.
Le projet de décret prévoit également que :
les données de chaque signalement ne peuvent être conservées une fois expirée la période de conservation prévue par le traitement national d'où elles sont issues ;
la mise à jour ou la suppression des données dans le traitement national d'origine emporte la mise à jour ou la suppression des données correspondantes dans le traitement N-SIS .
La CNIL prend acte de la mise en production prochaine d'un projet de synchronisation automatique des bases de données nationales alimentant le N-SIS.
E. - Sur les mesures de sécurité
Le ministère précise que l'homologation de sécurité du système est en cours. Cette homologation est rendue obligatoire par le décret n° 2022-513 du 8 avril 2022 relatif à la sécurité numérique du système d'information et de communication de l'Etat et de ses établissements publics, avant toute mise en exploitation d'un nouveau système ou dans les deux ans de l'entrée en vigueur de ce décret. Compte tenu du rôle pivot du système N-SIS et de ses nombreuses interconnexions, cette homologation apparaît à la CNIL comme un élément essentiel vis-à-vis de la sécurité du système d'information.
De façon très générale, la CNIL observe que la maîtrise du risque sur la confidentialité des données des personnes concernées par les signalements nationaux dépend en grande partie d'éléments qui échappent a priori à la responsabilité du ministère, dans la mesure où ils relèvent du système d'information central Schengen et de ses déclinaisons nationales dans les autres Etats membres.
a) Concernant la sécurité des accès au N-SIS :
Le N-SIS lui-même repose désormais sur une brique technique qui constitue à la fois la base de données des signalements, une suite applicative servant d'interface d'administration, de connecteurs assurant les échanges avec les fichiers auxquels N-SIS est interconnecté, ainsi que l'interface avec le système central Schengen. Cette brique technique concentre donc toutes les données et fonctions critiques du système. En particulier, son interface applicative permet de consulter, modifier ou supprimer toutes les données de signalements nationaux, et de consulter l'ensemble des signalements européens.
Bien que son accès soit réservé à un nombre limité d'utilisateurs (agents de maîtrise d'ouvrage et maîtrise d'œuvre NSIS, maîtrise d'ouvrage du bureau SIRENE et certains membres du bureau SIRENE), la sensibilité de l'interface applicative est telle que la CNIL invite le ministère à mettre en place, pour l'ensemble des accédants directs, une authentification multifacteur, en complément des mesures de filtrage d'adresses IP déjà en place.
Le ministère confirme par ailleurs que les opérations de la brique technique N-SIS font l'objet d'une journalisation propre, qui trace également les opérations mensuelles de synchronisation entre les systèmes d'information Schengen national et central. La durée de conservation de ces journaux est fixée à trois ans, ce qui apparaît justifié au regard des finalités du traitement.
b) Concernant le chiffrement des données :
Un chiffrement des flux de données est mis en œuvre entre le N-SIS et les systèmes d'information nationaux dès lors que ceux-ci sortent du périmètre du système d'information du ministère. Concernant les échanges avec le système d'information central Schengen, le ministère précise que les échanges passent par un réseau sécurisé européen, dont la politique de sécurité est déterminée par l'agence eu-LISA. La CNIL considère que ces mesures sont importantes pour assurer la sécurité des flux.
Concernant les données au repos, le ministère n'envisage pas de chiffrement de la base de données propre du N-SIS, considérant que le bénéfice de sécurité ne justifierait pas les inconvénients de cette mesure en termes de coût, de complexité et d'harmonisation européenne des formats de données. Toutefois, compte tenu de la concentration de données biométriques au sein de la base de données, la CNIL considère que le chiffrement des données au repos et leur sauvegarde, conformément à ses recommandations et à celles de l'ANSSI en la matière, constitue une mesure appropriée.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 12 ;
Vu la loi n° 2017-55 du 20 janvier 2017 modifiée portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes, notamment ses articles 8-1 et 14 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2020-173 du 27 février 2020 relatif aux modalités de rémunération des membres des autorités administratives indépendantes et des autorités publiques indépendantes, notamment son article 6 ;
Vu l'arrêté du 27 février 2020 pris en application du décret n° 2020-173 du 27 février 2020 relatif aux modalités de rémunération des membres des autorités administratives indépendantes et des autorités publiques indépendantes, notamment ses articles 4 à 6 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu le rapport Mme Marie-Laure DENIS, présidente et les observations de M. Damien MILIC, commissaire du Gouvernement,
 
Décide :
Article 1
Le chapitre XI de l'annexe à la délibération n° 2013-175 du 4 juillet 2013 est remplacé par les dispositions suivantes :
Art. 75. - Publication au Journal officiel.
Sont publiées au Journal officiel de la République française les délibérations relatives à son fonctionnement qui portent les décisions suivantes :
élection des vice-présidents dont celle du vice-président délégué (article 9-I) ;
élection des membres de la formation restreinte, de son président et de son vice-président (article 9-I) ;
délégation de compétences au président ou vice-président délégué (article 13) ;
délégation d'attributions au bureau (article 15) ;
désignation des membres de la Commission chargés d'exercer le droit d'accès indirect (article 108) ;
habilitation des agents des services à procéder à des contrôles (article 10) et à procéder à des visites ou vérifications portant sur les traitements relevant de l'article 31 de la loi du 6 janvier 1978 modifiée ;
les avis relatifs à la désignation de membres de la Commission.
Sont également publiées au Journal officiel de la République française les délibérations qui portent les décisions suivantes :
les lignes directrices, recommandations ou référentiels mentionnés à l'article 8-I-2°-b la loi du 6 janvier 1978 modifiée ;
les règlements types mentionnés à l'article 8-I-2-c de la même loi ;
Sont également publiées au Journal officiel de la République française les décisions de délégation de signature du président de la Commission au vice-président délégué.
Art. 76. - Publication sur Légifrance.
Outre les décisions et délibérations publiées au Journal officiel de la République française, sont publiés sur Légifrance :
les décisions et délibérations portant autorisation sur le fondement des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée et du 9° de l'article D. 312-1-3 du code des relations entre le public et l'administration ;
les avis rendus sur les projets de loi ou règlement, lorsqu'ils doivent être publiés ;
les décisions élaborant ou approuvant les critères des référentiels de certification et d'agrément mentionnés à l'article 8-I-2-h) ;
les décisions et avis relatifs aux codes de conduite mentionnés au 5 de l'article 40 du règlement (UE) 2016/679.
La Commission peut décider de publier tout autre avis, décision ou recommandation sur le site Légifrance.
Art. 76-1. - Publication sur le site internet de la Commission.
Sont publiés sur le site internet de la Commission :
les décisions d'approbation des règles d'entreprise contraignantes mentionnées à l'article 47 du règlement (UE) 2016/679 ;
la liste des personnes, des produits, des systèmes de données ou des procédures certifiés conformément à l'article 8-I-2-h de la loi du 6 janvier 1978 modifiée ;
les décisions d'agrément des organismes certificateurs mentionnées à l'article 43 du règlement (UE) 2016/679 ;
l'ordre du jour de la Commission réunie en séance plénière ;
les délégations de signature non mentionnées aux articles précédents.
La liste des délégués à la protection des données désignés par un responsable de traitement auprès de la Commission est accessible depuis le site internet de la Commission.
La Commission peut décider que les décisions publiées au Journal officiel ou sur Légifrance seront également publiées sur son site internet.
Article 2
1° L'article 26 du chapitre IV est supprimé.
2° Les articles 45 et 46 de la section II du chapitre V sont supprimés.
Article 3
Après l'article 83 du règlement intérieur de la Commission nationale de l'informatique et des libertés, il est inséré un article 83 bis ainsi rédigé :
Art. 83 bis. - Indemnités à la vacation allouées au président de la formation restreinte ou à l'un des membres de la formation restreinte statuant dans le cadre de la procédure simplifiée.
Le montant des indemnités allouées au président de la formation restreinte ou à l'un des membres statuant seul dans le cadre de la procédure prévue à l'article 22-1 de la loi du 6 janvier 1978 modifiée (procédure simplifiée) est fixée à 50 euros par dossier.
Lorsque, dans le cadre de cette procédure, le mis en cause demande à être entendu et qu'une séance est organisée pour entendre ses observations orales, l'indemnité allouée au président de la formation restreinte ou à l'un de ses membres est complétée d'une indemnité forfaitaire de 50 euros par dossier.
Article 4
La présidente et le secrétaire général de la Commission nationale de l'informatique et des libertés sont chargés, chacun en ce qui le concerne, de l'exécution de la présente décision, qui sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
N° de demande d’avis : 24005555
Thématiques : Office français de la biodiversité, procédures judiciaires et administratives 
Organisme(s) à l’origine de la saisine : Ministère de la transition écologique et de la cohésion des territoires
Fondement de la saisine :
Articles 31.I et 89.I 
de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés
L’essentiel :
La CNIL rappelle que conformément au principe de minimisation, le responsable de traitement doit veiller à ce que seules les données nécessaires à la poursuite des finalités du traitement soient effectivement collectées et traitées.
D’une manière générale, la CNIL invite le ministère à prévoir une conservation en archivage intermédiaire dès que les besoins opérationnels ne nécessitent plus un accès régulier et donc une conservation en base active. Elle rappelle également, compte tenu de la sensibilité des données traitées, que les mesures de sécurité techniques et organisationnelles doivent être adaptées pour se prémunir contre les atteintes à la confidentialité et à l’intégrité des données collectées. Elle invite par conséquent l’OFB à ajuster certaines durées de conservation.
Par ailleurs, la CNIL rappelle que les restrictions apportées aux droits des personnes doivent constituer une mesure nécessaire et proportionnée. Il appartient dès lors à l’OFB de veiller, au cas par cas, à ce que les conditions d’application de ces restrictions soient satisfaites lors des exercices de droit des personnes. 
Enfin, elle rappelle qu’une information claire et appropriée devra être mise à disposition des personnes concernées. 
___________________
 
La Commission nationale de l'informatique et des libertés,
 
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (directive police justice ) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment le I de son article 31 et son titre III ;
Sur la proposition de M. Alain Dru, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
 
Adopte la délibération suivante :
 
I. La saisine
 
A. Le contexte
L’Outil de Surveillance et de Contrôle Eau et Nature (OSCEAN) est une application métier ayant vocation à regrouper les informations issues des contrôles réalisés dans le domaine environnemental par les agents de l’Office français de la biodiversité (OFB) et des parcs nationaux (PNX).
 
Cette application, alimentée par les agents de l’OFB et des PNX, a notamment pour objet de faciliter la gestion, le suivi et la coordination des contrôles réalisés par les services de ces deux organismes dans le cadre de leurs activités de police administrative et judiciaire relatives à l’eau (pollution de la ressource, atteinte aux zones humides ou littoral), aux espaces naturels, à la flore et la faune sauvage (lutte contre les trafics d’espèces), à la chasse (contre-braconnage, renforcement de la sécurité à la chasse) et à la pêche. Elle permet également, le cas échéant, d’assurer le suivi des procédures transmises aux autorités compétentes.
 
B. L’objet de la saisine
 
La CNIL a été saisie pour avis par le ministre de la transition écologique et de la cohésion des territoires d’un projet d’arrêté relatif à la création du traitement OSCEAN et à sa version mobile SONGE (Solution pour un Outil Nomade de Gestion de l’Eau).
 
L’OFB est le responsable de ces traitements qui ont notamment pour finalités :
 
la centralisation et l’homogénéisation de la rédaction des procédures judiciaires et administratives mises en œuvre par les fonctionnaires et agents chargés des contrôles ;
le suivi des suites des procédures menées par les autorités administratives et judiciaires compétentes ;
le pilotage et le suivi de l’activité de police de l’environnement des agents habilités ;
l’exploitation des données collectées à des fins statistiques et de prévention ;
la mise en relation avec le traitement dénommé LICORNE relatif aux contrôles effectués par les agents chargés de missions de police de l’eau et de la nature.
 
Dans la mesure où les traitements sont mis en œuvre pour le compte de l’Etat et ont notamment pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sécurité, les traitements sont autorisés par un arrêté ministériel pris après avis publié de la CNIL sur le fondement des dispositions de l’article 89-I de la loi du 6 janvier 1978 modifiée qui renvoient à l’article 31-I.
 
Au regard des risques pour les droits et libertés des personnes, une analyse d’impact sur la protection des données (AIPD) portant sur les traitements mis en œuvre a été transmise à la CNIL conformément aux dispositions de l’article 90 de la loi du 6 janvier 1978 modifiée.
II. L’avis de la CNIL
 
A. Sur le régime juridique applicable
Pour qu’un traitement de données puisse entrer dans le champ d’application de la directive Police-Justice , il doit d’une part poursuivre l’une des finalités mentionnées à son article 1er relatives à la prévention et la détection des infractions pénales, ainsi que les enquêtes et les poursuites en la matière, et d’autre part, être mis en œuvre par une autorité compétente au sens de cette directive.
 
Le critère de finalité poursuivie apparait satisfait dans la mesure où le traitement a pour objet principal la centralisation et l’homogénéisation des procédures judiciaires et administratives ainsi que le suivi des suites des procédures menées par les autorités administratives et judiciaires.
 
Le critère d’autorité compétente s’applique à une autorité à laquelle ont été dévolus des pouvoirs pour la prévention et la détection des infractions pénales, ainsi que les enquêtes et les poursuites en la matière, selon l’article 3.7 de cette directive.
 
A cet égard, les dispositions de l’article L. 131-9 du code de l’environnement reconnaissant aux agents de l’OFB tant des pouvoirs de police administrative que des pouvoirs de police judiciaire, ce critère apparaît rempli.
 
Aussi, la CNIL considère que les traitements susvisés relèvent bien du champ d’application des dispositions du titre III de la loi du 6 janvier 1978 modifiée transposant la directive Police-Justice . 
 
B. Sur les données collectées
L’article 2-I du projet d’arrêté prévoit que, dans le cadre des procédures judiciaires, de nombreuses données sont collectées telles que des informations relatives au nombre de mineurs (avec âge) et majeurs à charge et lien de parenté , aux  études effectuées ou niveau d’études atteint ; au diplôme obtenu ; à la situation financière (ressources, charges, patrimoine) ou encore  aux décorations et distinctions honorifiques .
 
La CNIL relève que ces données sont nécessaires à la conduite des investigations en matière pénale et à l’individualisation des peines. Elle rappelle cependant que le besoin de collecter certaines informations devrait être apprécié au cas par cas et en fonction de la gravité des infractions constatées. A cet égard, la collecte de l’ensemble de ces informations n’apparait pas nécessaire dans le cadre d’une contravention.
 
Par conséquent, elle rappelle que conformément au principe de minimisation, le responsable de traitement devra veiller à ce que seules les données nécessaires à la poursuite des finalités du traitement soient effectivement collectées et traitées.
La CNIL constate par ailleurs que des informations relatives au comportement de la personne  sont collectées. A cet égard, l’analyse d’impact relative à la protection des données fournie par le ministère, souligne qu’il existe en effet quelques champs de texte libre dans l
’
application mais qu’une charte d
’
utilisation des donn
é
es personnelles, lue par chaque utilisateur 
à 
la premi
è