AgentPublic/cnil huggingface dataset:
La Commission, qui s’était prononcée sur le décret introduisant cette disposition, avait demandé à être saisie pour avis de tout projet d’acte réglementaire pris en application de ce décret.
Si les dispositions relatives à l’antériorité et la durée de conservation des données ainsi que, le cas échéant, la périodicité minimale de leur communication, n’appellent pas d’observations particulières de la Commission, elle rappelle toutefois la nécessité de limiter à ce qui est nécessaire les données demandées dans le cadre de suspicion de fraude (données listées à l’annexe I) et invite le ministère à préciser les agents qui auront accès aux données collectées périodiquement (données listées à l’annexe II). Enfin, elle s’interroge sur la collecte de certaines données au regard de l’interdiction de collecter des données à caractère personnel relatives aux passagers.
Sur les données susceptibles d’être demandées de façon ponctuelle ou périodique
L’article 1er du projet d’arrêté distingue les données susceptibles d’être demandées aux centrales de réservations à des fins de contrôle en fonction du fait que celles-ci soient susceptibles d’être recueillies de façon ponctuelle (annexe I) ou de façon périodique (annexe II).
A titre liminaire, comme mentionné dans la délibération n° 2021-XX du 22 juillet 2021 portant avis sur le projet d’arrêté portant création du traitement de données à caractère personnel dénommé Données du transport public particulier de personnes , les traitements mis en œuvre à partir de ces données, s’ils concourent à la même finalité, doivent toutefois être distingués. Leur confusion reviendrait à instaurer une surveillance systématique du secteur du transport public particulier de personnes pour un champ très large d’infractions et sur la base de données très précises dont la combinaison présente un caractère particulièrement intrusif.
 
S’agissant des données collectées, la Commission prend acte des précisions apportées par le ministère selon lesquelles l’ensemble des données listées au sein de de l’annexe I du projet d’arrêté ne seront pas collectées indépendamment de la nature de la suspicion de fraude concernée. En effet, la demande formulée portera sur les seules données pertinentes au regard de l’infraction suspectée et des personnes concernées. Elle rappelle que seuls des agents habilités par un texte à réaliser des contrôles pour une finalité déterminée peuvent avoir accès aux données, dans la mesure strictement nécessaire à la réalisation du contrôle dont ils ont la charge.
Par ailleurs, la Commission prend note de la précision apportée par le ministère chargé des transports selon laquelle seuls les agents du ministère auront accès aux données collectées périodiquement. Toutefois, elle relève que l’annexe II du projet d’arrêté, s’agissant de l’autorité compétente pouvant collecter de manière périodique les données, renvoie au I de l’article R. 3120-40 du code des transports, qui vise une liste plus étendue d’agents. La Commission relève donc que le projet d’arrêté ne garantit pas, en l’état, que seuls les agents du ministère chargé des transports pourront traiter ces données à des fins de contrôle et invite le ministère à préciser le projet sur ce point.
 
La Présidente
 
 
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la transition écologique d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement de données à caractère personnel relatif à la transmission des données des personnes intervenant dans le secteur du transport public particulier de personnes dénommé Données du transport public particulier de personnes ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
Vu le code des transports ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31 ;
Après avoir entendu le rapport de Mme Marie-Laure DENIS, présidente, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
 
Emet l’avis suivant :
La Commission nationale de l’informatique et des libertés (ci-après la Commission ) a été saisie le 19 mars 2021 par le ministère de la transition écologique, puis le 25 juin 2021 par saisine rectificative, d’un projet d’arrêté portant création d’un traitement de données à caractère personnel relatif à la transmission des données des personnes intervenant dans le secteur du transport public particulier de personnes dénommé Données du transport public particulier de personnes .
 
L’article L. 3120-6 du code des transports, introduit par la loi n° 2016-1920 du 29 décembre 2016 relative à la régulation, à la responsabilisation et à la simplification dans le secteur du transport public particulier de personnes, prévoit :
 
d’une part, l’obligation pour les centrales de réservation, mentionnées à l'article L. 3142-1 du même code, de communiquer à l’autorité administrative toute donnée utile au contrôle du respect des dispositions législatives et réglementaires relatives à l'accès aux professions du transport public particulier de personnes (T3P), à leurs conditions d'exercice et aux activités de mise en relation mentionnées au titre IV ( Les activités de mise en relation ) du livre 1er ( Le transport routier de personnes ) du code des transports. ;
d’autre part, que l'autorité administrative peut imposer à ces centrales de réservations la transmission périodique, à des fins statistiques, des données nécessaires à la connaissance de l'activité du secteur du T3P.
Dans sa délibération n° 2019-054 du 25 avril 2019, la Commission s’était prononcée sur un projet de décret introduisant les articles R. 3120-40 et R. 3120-41 du code des transports. Elle avait relevé que ces dispositions se limitent à préciser les modalités de transmission des données et à mentionner l’autorité compétente pour chaque finalité, et avait demandé à être saisie pour avis de tout projet d’acte réglementaire pris en application du décret et de l’article L. 3120-6 du code des transports en vue de compléter le cadre juridique.
 
Le projet d’arrêté soumis à l’avis de la Commission précise ce cadre juridique en portant création du traitement de données relatif à la transmission des données des personnes intervenant dans le secteur du transport public, en application de l’article L. 3120-6 du code des transports. Il renvoie, pour les données à caractère personnel susceptibles d’être traitées et leurs durées de conservation, et afin d’améliorer la lisibilité des dispositions encadrant chacune des finalités concernées, à deux arrêtés pris respectivement en application des articles R. 3120-40 (pour la finalité de contrôle) et R. 3120-41 (pour la finalité statistique) du code des transports, sur lesquels la Commission a également été saisie.
 
Sur les finalités
L’article 1er du projet d’arrêté précise que le traitement créé a pour finalités, dans les conditions prévues au I et au II de l’article L. 3120-6 du code des transports : 1° Le contrôle du respect des dispositions législatives et réglementaires relatives à l’accès aux professions du transport public particulier de personnes, à leurs conditions d’exercice et aux activités de mise en relation mentionnées à l’article L. 3141-1 du code des transports (vérification du respect des conditions d’accès et d’exercice de la profession conditions, recherche et constatation d’infractions pénales) et 2° La transmission périodique, à des fins statistiques, des données nécessaires à la connaissance de l’activité du secteur du transport public particulier de personnes .
S’agissant de la finalité de contrôle
La Commission souligne que les échanges avec le ministère ainsi que l’analyse du révèlent que la finalité de contrôle précisée au 1° de l’article 1er du présent projet d’arrêté renvoie en, pratique, à deux traitements distincts. En effet, bien qu’ils doivent tous deux permettre d’assurer le contrôle du respect des dispositions législatives et réglementaires tel que prévu au 1° du paragraphe 1 de l’article L. 3120-6 du code des transports, ces traitements présentent certaines spécificités qui influent, notamment, sur l’intensité de leur caractère intrusif.
D’une part, l’annexe I du projet d’arrêté pris en application du I de l’article R. 3120- 40 du code des transports contient une liste de données La Commission relève que ces données sont variées et susceptibles de donner une vision particulièrement précise de l’activité des professionnels concernés. Elle prend toutefois acte des précisions du ministère selon lesquelles ces données n’ont vocation à être collectées que par les autorités mentionnées ci-dessus, dans le cadre d’une action de contrôle délimitée et afin de confirmer des suspicions existantes à l’égard d’une personne identifiée, dont les sources peuvent être diverses (identification d’anomalies dans le cadre du traitement mis en œuvre à partir des données collectées de façon périodique, plaintes d’usagers et d’acteurs du secteur, etc.). Aussi, ces données serviront à constituer un faisceau d’indices dans le cadre d’une procédure spécifique et ne seront pas collectées de manière régulière. Par ailleurs, afin de s’assurer de la nécessité d’une telle collecte de données et que celle-ci soit adaptée en conséquence, la Commission invite le ministère à établir et lui adresser un rapport sur l’efficacité du dispositif, en particulier s’agissant du nombre de manquements identifiés grâce au traitement de données mis en place.
D’autre part, la Commission souligne que les données visées à l’annexe II du projet d’arrêté pris en application du I de l’article R. 3120-40 du code des transports, plus limitées dans leur étendue, sont en revanche collectées de façon périodique auprès des centrales de réservation afin d’assurer un contrôle régulier de l’accès et de l’exercice de la profession via leur croisement avec certains fichiers (registre des exploitants VTC, registre des conducteurs, etc.) et conduisent à la mise en place d’une surveillance systématique du respect des règles applicables à ces professionnels. Ces contrôles auront donc un champ moins large que ceux pour lesquels pourront être utilisées les données demandées ponctuellement, mais seront réalisés indépendamment de tout soupçon à l’égard d’un professionnel identifié.
 
En premier lieu, la Commission rappelle que le droit de communication instauré s’agissant des données susceptibles d’être collectées de façon ponctuelle, en cas de suspicion de fraude, ne doit en aucun cas conduire à alimenter une base de données destinée à détecter, en amont, des anomalies étrangères au cas d’espèce concerné par le contrôle.
 
En second lieu, la Commission considère qu’il serait opportun que l’arrêté portant création du traitement vienne distinguer, de manière explicite, les traitements tels que présentés ci-dessus afin de mettre en évidence les deux logiques.
S’agissant de la finalité statistique
S’agissant de la finalité statistique visée au 2° du projet d’arrêté, la Commission invite le ministère à modifier la rédaction pour qu’elle rappelle explicitement qu’il est interdit de réutiliser ces données pour d’autres finalités, notamment de contrôle et de sanction des professionnels concernés.
 
Sur les droits des personnes
 
La Commission prend acte de l’inscription par le ministère, dans sa saisine rectificative, d’une obligation à la charge des centrales de réservation d’informer, de manière visible, les professionnels, dont les données à caractère personnel sont traitées, de l’existence du traitement de données effectué à des fins statistiques et de contrôle. Elle prend également acte de la précision selon laquelle une information sur le traitement à destination des acteurs du T3P sera publiée sur le site du ministère. Elle rappelle que, conformément à l’article 12 du RGPD, l’information devra être fournie de façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples.
Par ailleurs, la Commission prend acte de l’exclusion expresse du droit d’opposition tant s’agissant de la finalité de contrôle que de la finalité statistique. En revanche, elle rappelle que le ministère chargé des transports, ou les centrales de réservations collectant des données sur les professionnels du T3P, devront satisfaire aux autres demandes d’exercice des droits formulées par les personnes concernées conformément aux articles 12 et suivants du RGPD et du titre III de la loi Informatiques et libertés modifiée. 
 
Sur la sécurité
 
La Commission prend note de l’impossibilité pour le ministère de préciser, à ce stade, les mesures de sécurité du système de collecte des données dont les modalités seront déterminées ultérieurement après échanges avec les plateformes de mise en relation.
 
Au vu de l’ampleur des données collectées et de la sensibilité du traitement envisagé, la Commission souligne néanmoins que les mesures de sécurité qui seront mises en place par le ministère, notamment en termes de chiffrement des flux et des sauvegardes, d’authentification, de journalisation et d’habilitation des agents, devront fournir des garanties satisfaisantes quant à l’authenticité, l’intégrité et à la confidentialité des données.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret modifiant le décret n° 2014-1162 du 9 octobre 2014 relatif à la création de la Plate-forme nationale des interceptions judiciaires (PNIJ) et le code de procédure pénale (deuxième partie : décrets en Conseil d'Etat) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l'égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code des douanes, notamment son article 67 bis-2 ;
Vu le code de procédure pénale, notamment ses articles 230-45 et R. 40-42 à R. 40-56 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 32 et 89-II ;
Vu la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale ;
Vu la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice, notamment son article 47 ;
Vu le décret n° 2017-614 du 24 avril 2017 portant création d'un service à compétence nationale dénommé Agence nationale des techniques d'enquêtes numériques judiciaires et d'un comité d'orientation des techniques d'enquêtes numériques judiciaires ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78- 17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2014-009 du 16 janvier 2014 portant avis sur un projet de décret autorisant la mise en œuvre d'un traitement automatisé de données à caractère personnel dénommé Plate-forme nationale des interceptions judiciaires ;
Vu la délibération n° 2015-358 du 15 octobre 2015 portant avis sur un projet de décret en Conseil d'Etat modifiant le décret n° 2014-1162 du 9 octobre 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé Plate-forme nationale des interceptions judiciaires ;
Vu la délibération n° 2016-383 du 8 décembre 2016 portant avis sur un projet de décret modifiant le décret n° 2014-1162 du 9 octobre 2014 relatif à la création de la Plate-forme nationale des interceptions judiciaires ;
Vu la délibération n° 2017-343 du 21 décembre 2017 portant avis sur un projet de décret modifiant le décret n° 2014-1162 du 9 octobre 2014 relatif à la création de la Plate-forme nationale des interceptions judiciaires ;
Après avoir entendu Mme Christine MAUGÜÉ, commissaire en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant : 
Le projet de décret soumis pour avis à la Commission a pour objet de modifier le décret n° 2014-1142 du 9 octobre 2014 relatif à la création de la Plate-forme nationale des interceptions judiciaires (PNIJ) et le code de procédure pénale. La Commission observe que l’article 230-45 du code de procédure pénale prévoit qu’un décret en Conseil d'Etat, pris après avis public et motivé de la Commission nationale de l'informatique et des libertés, détermine les missions et les modalités de fonctionnement de la plate-forme nationale des interceptions judiciaires.
La Commission relève que la PNIJ est venue remplacer le système de transmission d’interceptions judiciaires (STIJ) qui avait été autorisé par le décret n° 2007-1145 du 30 juillet 2007 et qui a cessé de fonctionner depuis le 31 mai 2018.
La PNIJ a pour objet, dans le cadre des enquêtes et informations judiciaires prévues par le CPP, de centraliser les données résultant :
des résultats des interceptions de communications électroniques et des mesures de géolocalisation ;
des résultats de réquisitions aux fins de transmission de données de connexion conservées par les opérateurs de communications électroniques, les fournisseurs d’accès à Internet et les hébergeurs.
La Commission relève, d’une part, que les modifications envisagées visent à prendre en compte des évolutions législatives et réglementaires qui nécessitent une modification des dispositions réglementaires du code de procédure pénale (CPP) relatives à la PNIJ et qui découlent des lois n° 2016-731 du 3 juin 2016 et n° 2019-222 du 23 mars 2019 susmentionnées ainsi que du décret n° 2017-614 du 24 avril 2017 portant création de l’agence nationale des techniques d’enquêtes numériques judiciaires (ANTENJ) qui s’est substituée à la délégation aux interceptions judiciaires. A ainsi été introduit l’article 230-45 du CPP qui rend désormais obligatoire l’utilisation de la PNIJ, sauf impossibilité technique, pour la mise en œuvre de l’article 709-1-3 du CPP (recours à une mesure d’interception et/ ou de géolocalisation en temps réel) et pour la transmission des réquisitions aux fins de géolocalisation dans le cadre de l’article 67 bis-2 du code des douanes. La Commission observe, d’autre part, que le projet de décret prévoit la possibilité que la PNIJ puisse être utilisée de manière facultative pour la centralisation et la conservation de données relatives aux mesures de sonorisation, et qu’il élargit la liste des destinataires pouvant accéder au traitement.
Sur les conditions générales de mise en œuvre du dispositif
En premier lieu, la Commission rappelle qu’elle avait estimé, au regard de l’ampleur des données traitées et de la nature des actes d’enquêtes concernés, que des mesures juridiques et techniques adaptées devaient être prévues afin d’assurer un haut niveau de protection des données.
A cet égard, elle rappelle que la plate-forme nationale des interceptions judiciaires est placée sous le contrôle d’une personnalité qualifiée, ce qui constitue une garantie participant à la mise en conformité du traitement avec la réglementation relative à la protection des données à caractère personnel. Elle relève que cette personnalité peut ordonner toutes les mesures nécessaires à l’exercice de son contrôle mais qu’elle n’aura pas accès aux données enregistrées dans le traitement, de même que les membres du comité qui l’assiste. La personnalité qualifiée est aussi chargée d’établir un rapport annuel qu’elle adresse au garde des sceaux, ministre de la justice. La Commission rappelle qu’elle avait pris acte de l’engagement du ministère de lui communiquer ce rapport annuel et qu’elle avait bien été destinataire de ce rapport en 2017. Elle demande à continuer à en être destinataire. Enfin, elle observe qu’il est prévu dans le projet de décret que les pouvoirs qui sont confiés à la personnalité qualifiée s’exercent sans préjudice du contrôle exercé par la Commission.
En second lieu, si la Commission relève que des données relatives à des personnes mineures pourront être enregistrées dans le traitement, elle prend acte que l’ANTENJ n’a pas accès aux données et ce, afin de garantir leur confidentialité, et ne pourra donc pas identifier les données relatives à cette catégorie de personnes afin de mettre en place des mesures particulières. 
Sur le périmètre du dispositif projeté
La Commission observe qu’il ressort de l’article 230-45 du CPP que le recours à la PNIJ est désormais rendu obligatoire pour les réquisitions et demandes adressées en application des articles 60-2, 74-2, 77-1-2 ,80-4, 99-4, 100 à 100-7, 230-32 à 230-44, 706-95 et 709-1-3 du présent code ou de l'article 67 bis-2 du code des douanes, sauf impossibilité technique.
La Commission prend acte que le présent projet de décret vise par ailleurs à élargir l’utilisation de la PNIJ, de manière facultative, pour la centralisation et la conservation de données issues de mesures de sonorisation prévues aux articles 706-96 à 706-99 du CPP, ces mesures étant réservées à certains types d’infraction graves listés aux articles 706-73 et 706-73-1 du CPP.
A cet égard, s’agissant du choix de recourir à la PNIJ dans ce cadre, la Commission prend acte qu’ il est laissé, à la convenance de l’enquêteur, la possibilité de recourir aux deux prestataires extérieurs à la PNIJ subsistant […] particulièrement pour la Polynésie française où la PNIJ n’est pas encore effective ou en cas de dysfonctionnement temporaire majeur de la plateforme et qu’ en outre, il existe des mesures de sonorisation qui ne passent pas par une carte SIM, par exemple lorsqu’un système d’écoute est posé dans une pièce puis relevé. Dès lors, une sollicitation des opérations, par l’intermédiaire de la PNIJ, n’est pas nécessaire et ces mesures peuvent dès lors être traitées hors de la PNIJ .
Sans remettre en cause la légitimité d’un tel élargissement, la Commission estime que le périmètre du dispositif sera substantiellement étendu en permettant l’utilisation de la PNIJ pour les mesures de sonorisation. Elle prend toutefois acte que cette modification a pour objectif de sécuriser la conservation et le traitement des données relatives aux mesures de sonorisation ainsi que la traçabilité des accès, qui sont aujourd’hui effectués de manière disparate.
Sur le régime juridique applicable et les finalités du traitement
Le projet d’article R. 40-43 du CPP prévoit que, afin
de faciliter la constatation des infractions à la loi pénale et des délits douaniers, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs ou d’apporter la preuve de la violation de certaines interdictions résultant d’une condamnation , la PNIJ permet de mettre les données et informations contenues dans le traitement à la disposition :
des magistrats, des officiers et agents de police judiciaire de la gendarmerie et la police nationales chargés de les seconder ainsi que des agents des douanes et des services fiscaux habilités à effectuer des enquêtes judiciaires ;
des agents habilités par le ministre chargé des douanes à effectuer des enquêtes douanières.