AgentPublic/cnil huggingface dataset:
33. La formation restreinte relève que les constatations de la délégation ont démontré que le YYY contenait, au jour du contrôle, plus de deux millions de fiches conservées au-delà des durées de conservation prévues par les dispositions applicables. Elle note que ce manquement n’est pas contesté par le responsable de traitement, qui a indiqué lors de la séance du 1er juillet 2021 que plus de trois millions de fiches avaient été supprimées depuis les contrôles réalisés afin de respecter les anciennes durées de conservation.
34. Au vu de ces éléments, la formation restreinte considère qu’un manquement à l’article 4 de la loi no 78-17 du 6 janvier 1978 est constitué.
35. X a annoncé, lors de la séance, qu’un tri du fichier manuel avait été intégralement réalisé afin que toutes les fiches datant de plus de vingt-cinq ans soient préparées pour la destruction, respectant ainsi les durées de conservation antérieures à la réforme de 2015. X a indiqué que, pour respecter les durées de conservation nées du décret no 2015-1580 du 2 décembre 2015, un travail de qualification selon l’infraction commise et l’âge de l’auteur doit être réalisé, et a annoncé un délai de quatre ans pour que ce travail puisse être complètement mené, certaines fiches dont les données peuvent légitimement figurer dans le YYY devant être identifiées puis scannées pour alimentation du fichier automatisé.
36. S’agissant du traitement automatisé, X a indiqué lors de la séance que le travail de qualification des fiches à l’aide du code NATINF de l’infraction avait été réalisé, permettant de définir, pour chacune d’elles, sa durée de conservation maximale, prenant également en compte l’éventuelle minorité de la personne concernée. L’ensemble des fiches dont la durée de conservation était dépassée a été supprimé, soit plus de trois millions de signalisations concernant 790 000 personnes. Plus aucune fiche du traitement automatisé ne serait donc aujourd'hui conservée au-delà de la durée prévue par le texte. Par ailleurs, une purge est à présent effectuée mensuellement afin que toutes les fiches dont la durée de conservation a expiré dans le mois soient supprimées. Des travaux sont actuellement en cours pour que ce processus soit automatisé et intervienne quotidiennement. Des tests sont annoncés dans les semaines suivant la tenue de la séance, et le système devrait être généralisé dès l’automne.
37. Si elle relève les efforts engagés afin que l’ensemble des fiches du YYY soit qualifié, permettant une gestion précise et automatisée des durées de conservation, la formation restreinte note le retard particulièrement conséquent pris par X dans l’application d’une réforme des durées de conservation intervenue en 2015 et entrée en application en 2017. Elle relève également qu’aucun calendrier précis n’est annoncé par X afin d’aboutir à une conformité aux nouvelles durées de conservation.
38. Il ressort de l’ensemble de ces éléments qu’un manquement à l’article 4 de la loi Informatique et Libertés est constitué.
3. Sur le manquement relatif à l’exactitude des données
39. Aux termes de l’article 97 de la loi Informatique et Libertés les autorités compétentes prennent toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour soient effacées ou rectifiées sans tarder ou ne soient pas transmises ou mises à disposition .
40. L’article 7-1 du décret no 87-249 prévoit les modalités d’effacement des données après certaines étapes de la procédure judiciaire. Ainsi, les empreintes et les informations les accompagnant doivent être effacées en cas de relaxe ou d’acquittement définitif. En cas de décision de non-lieu, de classement sans suite pour absence d'infraction ou insuffisance de charges ou pour auteur inconnu, les données doivent en principe être effacées sauf si le procureur de la République estime que leur conservation apparaît nécessaire pour des raisons liées à la finalité du fichier au regard de la nature ou des circonstances de commission de l'infraction ou de la personnalité de la personne concernée . Enfin, les données peuvent être effacées à la demande de la personne concernée lorsque leur conservation n’apparaît plus nécessaire pour des raisons liées à la finalité du fichier .
41. La formation restreinte relève que les décisions de relaxe, d’acquittement, de non-lieu et de classement sans suite sont rendues par les autorités judiciaires et qu’elles doivent ensuite être transmises au service gestionnaire du YYY à l’aide de fiches navettes afin que les décisions soient répercutées et que soient effacées les données devant l’être.
42. Les contrôles réalisés, et plus particulièrement les questionnaires envoyés aux juridictions, ont fait apparaître les différences importantes pouvant exister dans les pratiques des tribunaux et cours d’appel. Ainsi, au jour du contrôle, certaines juridictions ne transmettaient aucune décision au YYY et d’autres n’en transmettaient que certaines (les décisions de relaxe partielle, de correctionnalisation ou de non-lieu n’étaient pas transmises par certaines juridictions). Le service gestionnaire du YYY n’était donc pas averti de l’ensemble des relaxes, acquittements, non-lieux et classements sans suite qui auraient dû entraîner la suppression des fiches correspondantes dans le YYY.
43. La formation restreinte observe que la mise à jour des données du YYY dépend effectivement de la transmission, par les juridictions, de la totalité des fiches navettes au service gestionnaire, comme l’indique X dans sa réponse au rapport, et comme le relevait déjà la rapporteure. Elle considère néanmoins qu’en sa qualité de responsable de traitement en application de l’article 2 du décret no 87-249 du 8 avril 1987, c’est sur X que pèse la responsabilité de l’exactitude des données traitées, sur le fondement de l’article 97 de la loi Informatique et Libertés précité. La formation restreinte considère qu’au regard de cette obligation, X avait la charge de mettre en place un cadre permettant de garantir la transmission de l’ensemble des données nécessaires à la mise à jour du fichier, par exemple en fixant des modalités opérationnelles ou des exigences en termes de moyens humains ou techniques engagés.
44. X fait valoir, en défense, l’existence d’une circulaire de la direction des affaires criminelles et des grâces (ci-après la DACG ) du 5 août 2016 et une dépêche de la direction des services judiciaires du même jour rappelant les règles de transmission. Pour autant, au regard du caractère ancien de ces documents, et surtout de l’absence de renvoi régulier ou de rappel aux chefs de juridictions par exemple, la formation restreinte considère que la seule existence de ces documents ne saurait suffire à considérer que X a mis en œuvre l’ensemble des moyens à sa disposition pour s’assurer de la transmission de la totalité des fiches navettes, permettant ainsi de garantir l’exactitude des données qu’il traite.
45. En outre, la formation restreinte relève que la circulaire du 5 août 2016 relative au YYY (NOR : JUSD1622422C), qui est également évoquée par X en défense, ne saurait aboutir à un traitement conforme des données du YYY. Cette circulaire précise en effet, s’agissant de l’effacement des données par principe en cas de décision de non-lieu, de classement sans suite pour absence d'infraction ou insuffisance de charges ou pour auteur inconnu, sauf décision contraire du procureur de la République, qu’ il peut […] être déduit de la rédaction retenue que le silence du procureur de la République caractérise sa volonté de maintenir les données dans le fichier, afin de préserver les hypothèses de réouverture d’enquête ou d’information judiciaire. Une telle interprétation peut se déduire tant des termes même du texte, qui n’exige aucun formalisme au maintien des données dans le fichier, que de la distinction faite avec les cas d’effacement de plein droit d’une part et les cas d’effacement sur demande de l’intéressé d’autre part .
46. La formation restreinte considère que la position retenue par la circulaire n’est pas compatible avec le II de l’article 7-1 du décret no 87-249, selon lequel l’effacement des données se fait par principe en cas de non-lieu, de classement sans suite pour absence d'infraction ou insuffisance de charges ou pour auteur inconnu. Dans ces hypothèses, le texte prévoit que le procureur de la République peut, par exception, décider de la conservation des données. Or, l’interprétation du texte faite par la circulaire du 5 août 2016 renverse le principe posé, puisqu’elle entraîne la conservation par principe des données, sauf volonté contraire exprimée par le procureur de la République.
47. Il ressort de l’ensemble de ces éléments que X n’a pas mis en œuvre l’ensemble des moyens proportionnés lui permettant de s’assurer de l’exactitude des données traitées dans le YYY. La formation restreinte considère donc qu’un manquement à l’article 97 de la loi Informatique et Libertés est constitué.
48. Sur l’ensemble de ce manquement, X a indiqué qu’il mène un travail de refonte du formulaire de classement sans suite et qu’un rappel a été fait par la DACG à la direction de l’École nationale de la magistrature. Cependant, aucune justification n’a été fournie à l’appui de cette déclaration.
49. Il ressort de l’ensemble de ces éléments qu’un manquement à l’article 97 de la loi Informatique et Libertés est constitué.
4. Sur le manquement relatif à la sécurité des données
50. Aux termes de l’article 99 de la loi Informatique et Libertés, le responsable de traitement et son sous-traitant mettent en œuvre les mesures prévues aux 1 et 2 des articles 24 et 25 du règlement (UE) 2016/679 du 27 avril 2016 et celles appropriées afin de garantir un niveau de sécurité adapté au risque, notamment en ce qui concerne le traitement portant sur des catégories particulières de données à caractère personnel mentionnées au I de l'article 6 de la présente loi . Le I de l’article 6 évoqué vise notamment le traitement des données biométriques aux fins d'identifier une personne physique de manière unique .
51. En premier lieu, la formation restreinte relève que la connexion au YYY était possible au jour du contrôle au sein du commissariat de Boulogne-Billancourt le 29 janvier 2019, à travers le portail CHEOPS (qui est un portail interne d’accès à différents traitements mis en œuvre par les forces de sécurité intérieure), en utilisant la combinaison d’un identifiant […] et d’un mot de passe […].
52. La formation restreinte relève également que l’accès au YYY est limité par le fait que les terminaux permettant l’accès au portail CHEOPS se trouvent dans des locaux dont l’accès est restreint (commissariats de police, brigades de gendarmerie, locaux des douanes). Elle souligne néanmoins que de nombreuses personnes extérieures aux forces de police sont susceptibles de se trouver légitimement dans ces locaux (personnel d’entretien, avocats, médecins, etc.).
53. […]. Elle considère, d’autre part, que l’article 99 de la loi Informatique et Libertés précité impose une obligation de sécurité renforcée aux responsables de traitement lorsque ces derniers traitent des données dites sensibles au sens de l’article 6 du même texte, par exemple les empreintes digitales et palmaires, qui sont des données biométriques aux fins d'identifier une personne physique de manière unique .
54. La formation restreinte relève que, compte tenu des conséquences particulièrement graves que pourrait avoir un accès illégitime aux données du YYY, et compte tenu de la nécessité absolue d’une journalisation stricte des données que comprend le fichier, le fait de permettre la connexion au YYY par la simple combinaison d’un identifiant et d’un mot de passe ne peut être considéré comme une mesure appropriée pour garantir un niveau de sécurité adapté au risque.
55. S’agissant de la mise en place de mesures de sécurité renforcée, la formation restreinte rappelle, d’une part, que chaque fonctionnaire est déjà doté d’une carte-agent unique et identifiante permettant l’accès au fichier. La généralisation de ce mode de connexion déjà fonctionnel ne présenterait donc pas un caractère disproportionné. Elle rappelle, d’autre part, que la CNIL avait déjà porté à la connaissance du X la faiblesse de la méthode d’authentification actuelle, et ce dès 2013. En réponse, X affirmait déjà, en 2014, que l’authentification forte par carte-agent serait imposée pour toute connexion au portail CHEOPS.
56. Si la formation restreinte prend acte des affirmations du X lors de la séance selon lesquelles l’authentification forte à l’aide de la carte-agent est imposée depuis ce jour pour toute connexion au YYY, elle relève que ces déclarations ne sont appuyées par aucun élément ni aucune pièce.
57. En second lieu, la formation restreinte relève qu’au cours des opérations de signalisation, certaines données sont conservées localement dans un terminal informatique présent dans les locaux de garde à vue sous forme de tableurs Excel et autres fichiers informatiques, ou au sein de fiches au format papier. Des photographies demeurent également stockées dans les appareils permettant la réalisation de clichés d’identification.
58. La conservation de ces données en dehors du fichier centralisé du YYY ne garantit pas l’application de règles de sécurité indispensable pour un traitement présentant une grande sensibilité, telles que les restrictions d’accès, la journalisation des accès, la protection contre la modification ou la suppression, le respect des durées de conservation et la garantie des droits des personnes.
59. Si X évoque, dans sa réponse au rapport, la rédaction de notes rappelant aux services alimentant le YYY les règles de sécurité à appliquer, ces notes n’ont pas été fournies et aucune pièce du dossier ne montre que X ait donné des instructions pour faire cesser cette pratique.
60. Il ressort de l’ensemble de ces éléments que les mesures de sécurité prises par X concernant le YYY ne garantissent pas un niveau de sécurité adapté au risque. La formation restreinte considère donc qu’un manquement à l’article 99 de la loi Informatique et Libertés est constitué.
5. Sur le manquement relatif à l’information des personnes
61. Aux termes de l’article 104 de la loi Informatique et Libertés, le responsable de traitement met à la disposition de la personne concernée les informations suivantes :
1° l'identité et les coordonnées du responsable de traitement et, le cas échéant, celles de son représentant ;
2° le cas échéant, les coordonnées du délégué à la protection des données ;
3° les finalités poursuivies par le traitement auquel les données sont destinées ;
4° le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés et les coordonnées de la commission ;
5° l'existence du droit de demander au responsable de traitement l'accès aux données à caractère personnel, leur rectification ou leur effacement, et l'existence du droit de demander une limitation du traitement des données à caractère personnel relatives à une personne concernée .
62. La formation restreinte note qu’au jour du contrôle réalisé au commissariat de Boulogne-Billancourt le 29 janvier 2019, aucune information relative au YYY n’était affichée dans les locaux de garde à vue. Elle relève également que les agents du tribunal judiciaire de Paris et de la cour d’appel de Paris ont informé la délégation de contrôle qu’aucune information n’était communiquée aux personnes concernées, ni par les services de police, ni par le parquet, ni au moment du prononcé ou de la signification de la décision, ni à un autre moment.
63. La formation restreinte relève que, si l’article 107 de la loi Informatique et Libertés permet, sous certaines conditions, des restrictions aux droits des personnes et notamment au droit à l’information, ces restrictions doivent être prévues par l’acte instaurant le traitement . En l’espèce, aucun article du décret no 87-249 ne vient restreindre le droit, pour les personnes concernées, à l’information sur le traitement.
64. X a indiqué, tant dans sa réponse au rapport de sanction que lors de la séance de la formation restreinte, qu’une information était dispensée sur les sites web du X et service public . Il indique également qu’une information va être réalisée par affichage dans les locaux de garde à vue. Cette information, générale, portera sur l’ensemble des traitements mis en œuvre par X et renverra, pour des mentions d’information complètes, aux deux sites web évoqués.
65. S’agissant premièrement de l’information sur les sites web du X et service public , la formation restreinte considère que cette information ne saurait, à elle seule, constituer une information suffisante pour répondre à l’obligation posée par l’article 104 de la loi.
66. D’une part, la formation restreinte relève que la communication d’une information sur un site web, qui peut certes être complète, n’est pas directement mise à la disposition de la personne concernée et que sa consultation nécessite une démarche active de la part des personnes concernées, qui n’est possible que si les personnes connaissent l’existence du traitement. Or les personnes dont les données sont traitées dans le YYY peuvent ignorer jusqu’à l’existence même du traitement lorsque, comme en l’espèce, aucune information ne leur est directement communiquée, ni au moment de la collecte des données ni à celui du prononcé de la décision, quant à l’existence de ce traitement et l’identité de son responsable. En outre, la formation restreinte relève que certaines personnes dont les données sont traitées dans le YYY peuvent n’avoir qu’un accès limité au réseau internet (personnes détenues ou sans domicile, notamment), et que leur droit à l’information se trouverait restreint de manière disproportionnée par une information uniquement délivrée par ce biais.
67. D’autre part, la formation restreinte relève que les données de mineurs peuvent figurer dans le YYY. Elle considère que les mineurs doivent bénéficier d’une information adaptée, conformément au considérant no 39 de la directive police-justice qui dispose que ces informations devraient être adaptées aux besoins des personnes vulnérables telles que les enfants . Ainsi, une attention particulière doit être apportée par le responsable de traitement pour veiller à ce qu’ils puissent comprendre le traitement mis en œuvre et ses implications, ainsi que les droits dont ils disposent et le moyen de les exercer. Dès lors, la formation restreinte considère qu’une information qui reposerait nécessairement sur une démarche active de leur part n’est pas adaptée en l’espèce.
68. S’agissant deuxièmement de l’affichage prévu par X, portant sur l’ensemble des traitements mis en œuvre par X évoqué dans la réponse écrite du X et lors de la séance du 1er juillet 2021, la formation restreinte relève qu’aucun calendrier précis de diffusion n’est communiqué à la formation restreinte pour apprécier les modalités de sa diffusion, et qu’aucun exemple d’affiche ne lui a non plus été communiqué, ne lui permettant pas d’évaluer la conformité des modifications annoncées.
69. Il ressort de l’ensemble de ces éléments que l’information délivrée aux personnes par le seul biais des sites web du X et service public ne répond pas aux exigences légales. La formation restreinte considère donc qu’un manquement à l’article 104 de la loi Informatique et Libertés est constitué.
III. Sur les mesures correctrices et leur publicité
70. Aux termes du III de l’article 20 de la loi du 6 janvier 1978 :
 Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou, le cas échéant en complément d'une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures suivantes :
1° Un rappel à l'ordre ;
2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l'État, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte (…) .
71. La rapporteure propose à la formation restreinte que soient prononcés un rappel à l’ordre ainsi qu’une injonction de mettre le traitement en conformité avec les dispositions la loi Informatique et Libertés. Elle propose également que cette décision soit rendue publique.
72. En défense, X estime que le prononcé d’une mesure correctrice ne se justifie pas, de nombreuses démarches ayant déjà été initiées, et pour certaines réalisées, pour atteindre la mise en conformité. Il considère également que d’importants moyens ont déjà été engagés, que le système sur lequel repose le YYY est ancien et que la mise en conformité nécessite des développements très importants. Il précise en outre que les retards constatés s’expliquent par les nombreuses injonctions de mise en conformité auxquelles le YYY a dû répondre, notamment européennes.
73. X estime également que la publicité ne se justifie pas, celle-ci n’ayant pas d’effet plus grand qu’un simple rappel à l’ordre. Les modifications à apporter ayant été pleinement mesurées à la notification du rapport de sanction, X en conclut que la bonne foi dont il fait preuve et les chantiers déjà engagés suffisent à assurer la mise en conformité annoncée. Il appelle enfin la formation restreinte à poursuivre le travail d’accompagnement commencé avec les contrôles réalisés.
74. La formation restreinte considère que les manquements précités justifient que soit prononcé un rappel à l’ordre à l’encontre du X pour les motifs suivants.
75. La formation restreinte relève la sensibilité particulière des données traitées dans le YYY, qui comprennent à la fois des données biométriques et des données d’infraction. Elle considère que la combinaison de ces deux types de données sensibles aurait dû amener X à une vigilance toute particulière sur ce fichier.
76. La formation restreinte relève également qu’un très grand nombre de personnes sont concernées par ce fichier, X lui-même évoquant, dans ses opérations de mise en conformité, la suppression de plus de trois millions de fiches signalisation concernant près de 800 000 personnes. La formation restreinte relève que les contrôles ont permis de constater que plus de deux millions de fiches étaient illicitement conservées dans le YYY. La formation restreinte constate aussi que certains manquements ont visé l’intégralité des personnes dont les données sont traitées ou ont été traitées dans le YYY, comme le défaut d’information.
77. Elle note aussi que ce traitement concerne des mineurs, pour lesquels une attention particulière doit être portée, par le responsable de traitement, au respect de l’ensemble de leurs droits.
78. Enfin, la formation restreinte rappelle que X était conscient de certains des manquements relevés par le rapport de sanction, et qu’il n’a pourtant pas engagé les moyens nécessaires à une mise en conformité à la législation à la protection des données à caractère personnel. Ainsi, s’agissant par exemple des durées de conservation des données, la formation restreinte relève que X appliquait, au jour des contrôles en 2019, des durées de conservation antérieures à celles définies par la réforme de 2015. S’agissant de la sécurité des données et du renforcement de l’authentification au portail CHEOPS par la carte-agent, la formation restreinte relève que la CNIL avait déjà alerté X sur cette vulnérabilité par le passé, et que X avait affirmé dès 2014 que l’utilisation de la carte-agent allait être imposée à l’ensemble des utilisateurs du fichier.
79. Si la formation restreinte est consciente des contraintes, notamment budgétaires, pesant sur X, elle estime néanmoins que ce dernier n’a pas engagé les moyens nécessaires à sa mise en conformité, malgré des manquements identifiés comme tels.