AgentPublic/cnil huggingface dataset:
La CNIL prend acte de l’absence de dispositif de reconnaissance faciale, dès lors que le décret ne prévoit pas le traitement de données biométriques.
 
S’agissant en particulier des photographies de l’événement, des modalités d’anonymisation seront mises en place pour protéger la vie privée des personnes non impliquées dans l’événement mais figurant sur la photographie (floutage irréversible des éléments d’identification – visage, plaque d’immatriculation – des personnes présentes sur la photographie mais non impliquées dans l’événement, avant enregistrement au sein du traitement).
 
La CNIL accueille favorablement la mise en place de tels mécanismes.
 
ii) Provenance des données
 
Les données relatives aux personnes impliquées dans un événement pourront provenir de différentes sources (contenus librement accessibles, informations transmises par des services de renseignement ou d’autres services, données issues d’autres traitements, etc.).
 
La CNIL prend acte de ce que le traitement sera alimenté de façon manuelle et non automatisée, après filtrage et analyse des éléments pertinents par les agents spécialement habilités du BRN.
 
c) Les durées de conservation de ces données
 
Les données relatives aux personnes impliquées dans un événement seront conservées au maximum cinq ans " après l’intervention du dernier événement révélant un risque pour la sécurité nucléaire ayant donné lieu à un enregistrement ".
Selon le ministère, cette durée a été déterminée au regard de l’existence de plusieurs événements survenus dans un intervalle de plusieurs années. Le ministère précise que la conservation des données sur un temps long permettrait de garantir un suivi efficace des personnes, et notamment celles susceptibles de porter atteinte à la sécurité nucléaire de façon répétée.
 
Or les informations relatives aux personnes impliquées dans un événement seront rattachées à une grande diversité d’événements – de nature et aux degrés de gravité qui diffèrent.
 
Ainsi, des mesures devront être mises en place pour que soient supprimées, avant l’expiration du délai de cinq ans, les données relatives aux événements pour lesquels le service estimerait qu’il n’y a plus de risque subsistant pour la sécurité nucléaire.
 
C. Sur le traitement de données relatives aux demandes d’autorisation
S’agissant des demandes d’autorisation, la procédure actuelle repose sur une transmission de la demande au traitement ACCReD. Après criblage au sein de ce traitement et analyse des résultats, le BAN dépose sur le portail ACCReD un avis à destination du service demandeur. Sur la base de cet avis, le service demandeur prend la décision d’autoriser ou de refuser à la personne un accès à certains sites ou activités. Le traitement ODIINuc constituera un portail permettant la saisie et la transmission des données vers ACCReD et dans lequel seront également centralisés les demandes d’autorisation et les avis afférents.
 
Dans cette perspective, pourront être enregistrées dans ODIINuc des informations relatives au motif d’enregistrement, à l’identification de la personne (données d’état civil, immatriculation du véhicule, niveau d’habilitation, etc.), à la demande (date, motif, etc.) ainsi qu’à l’avis et à la décision d’autorisation (sens de l’avis, date de transmission, date et sens de la décision, recours éventuels). Les éléments relatifs aux enquêtes administratives ne seront pas enregistrés dans ODIINuc et sont conservés dans le traitement ACCReD.
 
Les données relatives aux personnes faisant ou ayant fait l’objet d’une demande d’autorisation seront conservées dans ODIINuc pendant une durée maximale de cinq années. La CNIL relève que ces données sont également conservées dans le traitement ACCReD, auquel le CoSSeN a accès.
Le ministère indique que la conservation de ces données lui permettra de disposer d’un historique des demandes en cas de nouvelle enquête. D’autre part, la conservation des données relatives aux demandes d’autorisation lui permettra d’identifier et de se prémunir d’une menace interne provenant de personnes titulaires d’une autorisation. En effet, certaines de ces données pourront être traitées pour générer des alertes à des fins de prévention des menaces à la sécurité nucléaire. En particulier, il s’agira d’alerter le BRN qu’un individu inscrit au titre de personne impliquée dans un événement est également enregistré au titre d’une demande d’autorisation.
 
Des mesures devront être mises en place pour que soient supprimées, avant l’expiration du délai de cinq ans, les catégories de données dont la conservation ne serait pas nécessaire au suivi des demandes d’autorisation, ou aux alertes ci-dessus évoquées.
 
D. Sur la conservation des données relatives aux demandes d’habilitation
 
Pour les demandes d’habilitation, pourront être enregistrées des informations relatives au motif de l’enregistrement, à l’avis et à la décision d’habilitation, ainsi que les données figurant dans le dossier de demande d’habilitation annexé à l’instruction générale interministérielle n° 1300 sur la protection du secret de la défense nationale.
Ces données apparaissent pertinentes pour permettre au BHAB de traiter et de suivre les demandes d’habilitation réalisées au titre de la protection du secret de la défense nationale dans le domaine du nucléaire.
 
Le décret prévoit que ces données seront conservées pendant un an à compter de l’expiration de la durée de validité de la dernière habilitation (qui peut atteindre sept ans) ou, en cas de refus, cinq ans à compter de la décision de refus.
 
Par dérogation, les informations suivantes seront conservées cinq ans après l’expiration de la durée de validité de la dernière habilitation :
le motif de l’enregistrement,
les informations liées à l’avis et à la décision d’habilitation,
certains éléments d’identification renseignés dans le dossier de demande d’habilitation.
 
Ces durées sont apparues nécessaires pour assurer :
un traitement fluide des demandes de renouvellement (lorsqu’une demande intervient après l’expiration du délai de validité de l’habilitation) ;
le suivi de personnes ayant eu à connaître d’informations classifiées dans le domaine du nucléaire ou dont les vulnérabilités ont fait obstacle à leur habilitation.
 
La CNIL ne remet pas en cause la nécessité de conserver, pendant plusieurs années, le motif de l’enregistrement, les informations liées à l’avis et à la décision d’habilitation, ainsi que certains éléments d’identification de la personne concernée.
Par ailleurs, elle accueille favorablement le principe d’une durée de conservation réduite pour la majorité des données issues du dossier de demande d’habilitation.
 
Elle observe néanmoins que ces données pourront, selon la durée de validité de l’habilitation en cause, être conservées pendant huit ans.
 
La CNIL estime qu’une conservation de ces données pendant plusieurs années n’apparait pas suffisamment justifiée.
 
En effet, ODIINuc vise à permettre l’envoi de la demande d’habilitation au service enquêteur et la réception de l’avis de sécurité résultant de l’enquête. Le dossier de demande d’habilitation nécessaire à l’enquête par la direction générale de la sécurité intérieure (DGSI) ne devrait être conservé que le temps de l’instruction de la demande. Par ailleurs, la DGSI conserve déjà les données relatives aux dossiers de demande d’habilitation dans ses propres traitements y compris lorsqu’ils concernent la sécurité nucléaire. Dès lors, la conservation de ces données à caractère personnel dans une autre base de données n’apparaît pas conforme au principe de minimisation.
 
E. Sur les accédants au traitement
 
Le projet de décret prévoit que seuls les agents du CoSSeN ont accès à tout ou partie des données du traitement.
 
Or certains de ces accédants ne seront pas seulement chargés d'accéder aux données, mais pourront aussi enregistrer des données dans le traitement.
Pour éviter toute ambiguïté, le projet de décret devrait préciser que ces accédants pourront de façon plus générale accéder " au traitement ", c’est-à-dire avoir accès aux données mais également enregistrer certaines données.
 
F. Sur l’exercice des droits
 
Les personnes seront informées du traitement de leurs données dans les conditions prévues par les articles 104 et 116 de la loi " informatique et libertés ".
 
Le droit à l’information pourra faire l’objet de restrictions, dans les conditions prévues au 1 du II de l’article 107 et au III de l’article 116 de la loi " informatique et libertés " (pour, respectivement, les traitements relevant des titres III et IV).
 
La CNIL souligne que, lorsqu’il s’agit d’instruire une demande d’habilitation ou d’autorisation, la mise en œuvre de telles restrictions n’apparaît pas nécessaire. S’agissant du traitement des données relevant du titre IV, les restrictions ne devront être utilisées que lorsque cela est nécessaire aux finalités du traitement.
 
G. Sur les mesures de sécurité
 
Concernant la traçabilité des accès et des actions, le projet de décret prévoit que les données de traçabilité seront conservées pendant trois ans.
 
Cette durée de conservation apparait pertinente au regard de la sensibilité des données traitées. Néanmoins, la CNIL rappelle l’importance de la mise en œuvre d’outils de détection automatisés permettant une réaction rapide en cas d’actions malveillantes qui seraient réalisées sur le traitement.
Concernant les modalités d’accès aux fonctionnalités de partage de fichiers du portail, la CNIL rappelle le besoin impérieux d’assurer l’intégrité et la confidentialité des phases de réception, d’envoi, de lecture et d’extraction des données issues des pièces transmises et d’en limiter l’accès au seul droit d’en connaître.
 
S’agissant des mots de passe, elle rappelle le besoin de se conformer à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés, et abrogeant la délibération n° 2017-012 du 19 janvier 2017.
 
Par ailleurs, la CNIL prend acte :
de ce que les données en transit font l’objet d’un chiffrement permettant d’assurer le respect de la confidentialité des échanges ;
de ce que les environnements de non-production n’utilisent pas de données réelles ;
de ce qu’une gestion des accès logiques sera mise en œuvre sur la base du droit d’en connaître en cohérence avec un cloisonnement d’accès aux données intégrant une gestion par profils des utilisateurs.
 
Enfin, elle préconise la mise en œuvre de sauvegardes au repos chiffrées.
 
La Présidente
Marie-Laure DENIS
Date de l’avis : 7 décembre 2023
N° de la délibération : 2023-124
RU n° 79
N° de demande d’avis : 22014139
Texte concerné : projet de décret modifiant le décret n° 2014-187 du 20 février 2014 relatif à la mise en œuvre de traitements de diffusion de l’information opérationnelle au sein des services et unités de la police et de la gendarmerie nationales
Thématiques : police judiciaire, renseignement criminel, gestion électronique des documents
 
 
Fondement de la saisine : article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
 
 
L’essentiel :
Le projet de décret modifie le décret
n° 2014-187 du 20 février 2014 relatif à la mise en œuvre de traitements de diffusion de l’information opérationnelle au sein des services et unités de la police et de la gendarmerie nationales.
Ces traitements ont pour finalité de faciliter la diffusion et le partage d’informations entre les services de la police et de la gendarmerie nationales investis de missions de police judiciaire.
Le projet de décret autorise l’enregistrement de nouvelles catégories de données et modifie les durées de conservation. Il procède également à une mise en conformité des traitements avec la réglementation relative à la protection des données.
La CNIL estime que ces évolutions sont légitimes. En outre, elle accueille favorablement les garanties mises en place pour encadrer le traitement de données sensibles.
Toutefois, elle considère que des mesures devraient être prises pour assurer l’effacement anticipé de certaines données, notamment celles issues d’autres fichiers.
Ces mesures devront être effectives pour l’ensemble des traitements couverts par le décret.
 
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, et notamment son titre III ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
 
ADOPTE LA DÉLIBÉRATION SUIVANTE :
 
I. La saisine
 
A. Le contexte
 
Le décret n° 2014-187 du 20 février 2014 autorise la mise en œuvre de traitements de diffusion de l’information opérationnelle au sein des services et unités de la police et de la gendarmerie nationales.
 
Les traitements de diffusion opérationnelle (ci-après " DIO ") ont pour finalité de faciliter la diffusion et le partage d’informations entre les services de la police et de la gendarmerie nationales investis de missions de police judiciaire.
Selon les précisions apportées, trois traitements sont actuellement mis en œuvre sur le fondement du décret du 20 février 2014. Il s’agit des traitements " PIO " (mis en œuvre par la direction générale de la gendarmerie nationale, ou " DGGN "), " ODICOP " (mis en œuvre par la direction générale de la police nationale, ou " DGPN "), et CORAIL (mis en œuvre par la préfecture de police et la DGPN).
 
B. L’objet de la saisine
 
Le ministère de l’intérieur a saisi la CNIL d’un projet de décret modifiant le décret du 20 février 2014 encadrant les traitements " DIO ", en vue :
d’autoriser le traitement de nouvelles catégories de données ;
de modifier les durées de conservation des données ;
et de mettre en conformité les traitements avec la réglementation relative à la protection des données, s’agissant notamment des dispositions relatives à l’exercice des droits.
 
La DGGN entend mettre en œuvre, sur le fondement de ce décret, un traitement dénommé " application de traitement du renseignement criminel " (ATRC). L’ATRC constitue un logiciel de gestion électronique de documents (GED) comportant les messages, fiches et synthèses en lien avec les enquêtes en cours et l’activité judiciaire des unités, ou encore les analyses de la délinquance constatée par ces unités. Des données et documents de l’ATRC seront issus d’autres fichiers.
Une analyse d’impact relative à la protection des données à caractère personnel (AIPD) a été transmise à la CNIL, conformément à l’article 90 de la loi du 6 janvier 1978 (ci-après loi " informatique et libertés ").
 
II. L’avis de la CNIL
 
A. Sur les traitements couverts par le décret
 
Le décret constitue un acte réglementaire unique (ou " décret-cadre "), sur le fondement duquel plusieurs traitements peuvent être mis en œuvre. Ces traitements doivent répondre à une même finalité, porter sur des catégories de données identiques et avoir les mêmes destinataires ou catégories de destinataires (article 31-IV de la loi " informatique et libertés ").
 
Lorsque la CNIL est saisie d’une demande d’avis portant sur un acte réglementaire unique, l’AIPD doit couvrir l’ensemble des traitements autorisés par le projet et susceptibles d’être mis en œuvre après son entrée en vigueur. Chaque traitement doit, ensuite, faire l’objet de l’envoi d’un " engagement de conformité " à la CNIL (article 31-IV précité). Cette AIPD d’ensemble ou " cadre " (v. CE, sect. de l’int., 8 janvier 2019, n° 396340) peut, le cas échéant, être complétée des AIPD relatives à des traitements spécifiques qui auraient été réalisées à la date de la saisine.
 
L’AIPD transmise concerne le traitement " ATRC ". Or, d’autres traitements sont actuellement mis en œuvre sur le fondement du décret-cadre (les traitements " PIO ", " CORAIL " et " ODICOP ", précités).
La CNIL estime que l’AIPD relative à l’ATRC peut tenir lieu d’AIPD cadre, à condition qu’elle couvre les caractéristiques essentielles et communes à l’ensemble des traitements, actuels et projetés, mis en œuvre sur le fondement du décret-cadre.
 
B. Sur les données enregistrées dans les traitements
 
a. La collecte de nouvelles catégories de données
 
Le projet de décret autorise le traitement de nouvelles données. En outre, il étend la catégorie des données relatives aux " personnes mises en cause ou recherchées " aux " auteurs non identifiés ". Enfin, il permet le traitement de données relatives aux personnes morales au titre de cette dernière catégorie.
 
Ces modifications n’appellent pas d’observations.
 
b. Le traitement de données sensibles
 
Le décret relatif aux traitements " DIO " :
autorise le traitement de données " sensibles " (au sens de l’article 6-I de la loi " informatique et libertés " en vigueur) ;
encadre l’exploitation de ces données, en prévoyant notamment qu’il est interdit de sélectionner une catégorie particulière de personnes à partir de ces seules données.
 
Le projet de décret modifie ces dispositions, en prévoyant l’exclusion du traitement de données génétiques et biométriques.
 
Selon les précisions apportées, des données sensibles pourront être enregistrées dans l’ATRC par l’intermédiaire des documents transmis (fiches enquêtes, par exemple) et des formulaires descriptifs associés à ces documents.
Ces données ne pourront constituer des critères de recherche dans le traitement, y compris dans le cadre d’une recherche " multicritères ".
 
La CNIL accueille favorablement cette exclusion, qui permet de limiter les risques de mésusage du fichier et de détournement des finalités du traitement.
 
Il apparait en effet que :
des recherches à partir de données sensibles ne sont pas nécessaires aux finalités des traitements " DIO ", qui ne constituent pas des fichiers de recherche ni d’identification de personnes ;
l’exclusion de telles recherches permettra de prévenir le recensement de l’ensemble des personnes appartenant à une catégorie (par exemple, les personnes mises en cause) qui présentent un même élément d’identification sensible (par exemple, les opinions politiques, la prétendue origine raciale ou l’origine ethnique).
 
Des garanties similaires devront être mises en place pour l’ensemble des traitements couverts par le décret-cadre.
 
C. Sur les durées de conservation 
 
Le projet de décret modifie les durées de conservation maximales des données. Ainsi, la conservation des données relatives aux délits passe de trois à six ans.
 
La CNIL souligne que les données ne peuvent être conservées que si elles sont nécessaires aux finalités des traitements, qui en l’espèce visent à faciliter le partage d’informations " sur les enquêtes en cours ou les personnes qui en font l’objet " (article 1er du décret).
Au regard de ces éléments, des mesures devront être mises en place pour assurer, le cas échéant, la suppression des données avant l’expiration du délai de conservation maximal, dès la clôture de l’enquête.
 
À défaut, les données devront faire l’objet d’un archivage intermédiaire avec restriction des accès.
 
Enfin, la CNIL accueille favorablement la mise en place d’un mécanisme de suppression automatique par défaut à l’issue des durées de conservation maximales.
 
 
D. Sur les mises en relation avec d’autres traitements
 
Les traitements " DIO ", qui ont pour objet le partage d’informations opérationnelles, pourront contenir de nombreuses informations issues d’autres traitements.
 
Pour le traitement " ATRC ", il s’agira :
d’intégrer des documents et informations issus du fichier des personnes recherchées (FPR), du fichier des objets et des véhicules signalés (FOVeS), du système informatique national du système d'information Schengen (N-SIS), et de traitements gérés par les organismes de coopération internationale en matière de police judiciaire ou les services de police étrangers ;
de produire des analyses après consultation d’informations dans le traitement d’antécédents judiciaires (TAJ).
 
L’ATRC sera donc mis en relation avec les traitements précités.
 
Ces mises en relation, qui prennent la forme de rapprochements, apparaissent légitimes.
Elles impliquent néanmoins la centralisation, au sein d’un même traitement, de nombreuses données issues d’autres fichiers. Ainsi, le traitement devra être mis en œuvre avec la plus grande vigilance.
 
D’une part, il conviendra de garantir que les fiches et signalements issus du FPR, du FOVeS et du N-SIS sont accessibles, dans l’ATRC, aux seules personnes habilitées à accéder à ces éléments à partir des traitements source. Un cloisonnement de l’information devra, le cas échéant, être mis en place.
 
D’autre part, il n’est pas exclu qu’une fois supprimés des fichiers source, ces éléments continuent d’être conservés dans l’ATRC. Une telle conservation conduirait au traitement de données inexactes, relatives à l’inscription d’une personne dans un fichier au titre de personne recherchée ou surveillée.
 
Ces éléments devront dès lors être supprimés à compter de leur effacement des traitements source. Des mesures devront être prises pour garantir cette mise à jour dans les meilleurs délais possibles 
(v. CNIL, SP, 14 février 2013, avis sur projet de décret, DIO, n° 2013-039, publié
).
 
Un mécanisme reposant sur la génération d’alertes, à la date de suppression de la fiche du traitement source ou à intervalles réguliers (pour les fiches ne comportant pas de date d’échéance prédéterminée), pourrait être déployé. À défaut, des mentions devront être apposées sur les fiches pertinentes pour que des vérifications soient effectuées.
Enfin, la CNIL prend acte de l’engagement du ministère de mettre à jour l’AIPD pour mentionner la mise en relation de l’ATRC avec le traitement N-SIS.
 
 
E. Sur les droits des personnes
 
Le projet de décret met à jour les dispositions relatives aux droits des personnes concernées par le traitement de leurs données.
 
Il prévoit que les droits d’information, d’accès, de rectification, d’effacement et à la limitation des données s’exercent directement auprès du responsable de traitement. Des restrictions sont possibles sur le fondement des 2° et 3° du II et du III de l’article 107 de la loi " informatique et libertés ".
 
La CNIL estime que le décret doit être modifié pour préciser les services auprès desquels s'exerce le droit d'accès (2° de l'article 35 de la loi " informatique et libertés ").
 
S’agissant du droit à l’information, l'article 104 de la loi " informatique et libertés " impose au responsable de traitement de " mettre à disposition " des personnes concernées cette information, de façon permanente et sans demande de leur part. La rédaction du décret selon laquelle le droit à l'information " s'exerce auprès " de l'administration, correcte pour les autres droits prévus par la loi " informatique et libertés ", est donc inappropriée pour le droit à l'information.
 
La CNIL prend acte de l’engagement du ministère de modifier le projet de décret sur ce point.
 
F. Sur les mesures de sécurité
La CNIL n’ayant accès qu’à l’AIPD relative à l’ATRC, elle ne se prononce que sur les conditions matérielles relatives à ce traitement. Cette analyse peut être étendue aux traitements se basant sur le même décret cadre à condition que leurs caractéristiques de mise en œuvre soient analogues.
 
La CNIL prend acte de la mise en œuvre de l’ATRC dans un environnement sécurisé qui minimise les possibilités d’accès non désiré à la base de données.
 
Dans une optique de défense en profondeur, elle recommande que la base et les sauvegardes intègrent des mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité (RGS).
 
Dans le fonctionnement courant du traitement, l’application permet à l’utilisateur de télécharger les documents sur son poste de travail et de les transmettre par courriel. Cette modalité augmente les risques d’atteinte à la confidentialité des documents transmis et de non-respect des durées de conservation. Par conséquent, la CNIL appelle le ministère à en décourager l’usage pour privilégier des mécanismes de partage internes à l’application elle-même, assortis des mécanismes de chiffrement appropriés.