AgentPublic/cnil huggingface dataset:
Enfin, il est prévu l'enregistrement, au titre de la catégorie de données intitulée objets divers , de commentaires, étant précisé que ce champ constituera un champ non obligatoire permettant de mentionner certains objets non prévus dans le menu déroulant de la catégorie et que les utilisateurs seront sensibilisés à la stricte utilisation de ce champ par le biais de consignes écrites.
Au regard de l'ensemble de ces éléments, la commission estime que les données et informations enregistrées dans le traitement GECI sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6 (3°) de la loi du 6 janvier 1978 modifiée.
Le projet d'arrêté fixe à trois ans après l'enregistrement de la dernière demande de coopération la durée de conservation de ces données. La commission prend acte que cette durée correspond à celle pendant laquelle la nécessité de procéder à des recoupements entre des demandes est la plus fréquente et qu'une durée de conservation inférieure ne laisserait pas aux différents services compétents le temps nécessaire pour enquêter et trouver des indices à l'encontre des auteurs d'infractions. Dans ces conditions, la commission considère que la durée de conservation prévue par le projet d'arrêté n'excède pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément à l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Sur les destinataires du traitement/des données :
Le projet d'arrêté distingue les personnes ayant accès à tout ou partie des données à caractère personnel enregistrées dans le traitement, des personnes pouvant être destinataires d'informations issues du traitement GECI.
S'agissant des premières, le projet précise que seuls auront accès au traitement, à raison de leurs attributions et dans la limite du besoin d'en connaître :
- les fonctionnaires de la police nationale, les militaires de la gendarmerie nationale et les agents des douanes affectés au sein des services et unités de la section centrale de coopération opérationnelle policière et du service en charge des actions de coopération européenne et internationale de la division des relations internationales de la direction centrale de la police judiciaire, individuellement désignés et habilités par leur chef de service ;
- les fonctionnaires de la police nationale et les militaires de la gendarmerie nationale des groupes de relations internationales des offices centraux de la direction centrale de la police judiciaire, de la direction centrale de la police aux frontières et de la sous-direction de la police judiciaire de la direction générale de la gendarmerie nationale individuellement désignés et habilités par leur chef de service.
S'agissant des secondes catégories de destinataires, qui ne peuvent également recevoir des informations que dans le cadre de leurs attributions et dans la limite du besoin d'en connaître, le projet d'arrêté mentionne :
- les fonctionnaires de la police nationale, les militaires de la gendarmerie nationale, les agents de la douane judiciaire ;
- les services d'enquête des Etats membres de l'espace Schengen, de l'Union européenne et des pays membres d'Interpol, l'agence européenne de police Europol et l'organisation internationale de police criminelle Interpol.
La commission prend acte que le projet d'arrêté a été modifié par le ministère pour tenir compte de ses observations et qu'il précise ainsi, d'une part, que les informations susceptibles d'être communiquées à ces derniers destinataires se limitent aux seuls numéros de dossier et, d'autre part, qu'une telle communication ne peut intervenir que lorsque les dossiers concernés ont fait l'objet d'un recoupement ayant donné lieu à un résultat positif.
Dans ces conditions, la commission considère que les accès aux données prévus par le projet d'arrêté sont justifiés au regard des finalités du traitement.
Sur l'information et les droits des personnes concernées :
Le projet d'arrêté prévoit que l'obligation d'information prévue à l'article 32 de la loi du 6 janvier 1978 modifiée et le droit d'opposition prévu à l'article 38 de la même loi ne s'appliquent pas au traitement, ce qui n'appelle pas d'observation de la part de la commission.
Il en va de même des dispositions prévoyant que les droits d'accès et de rectification s'exercent de manière indirecte auprès de la Commission nationale de l'informatique et des libertés, dans les conditions prévues aux articles 41 et 42 de la loi du 6 janvier 1978 modifiée.
Sur les mesures de sécurité du traitement :
La commission prend acte que l'ensemble de la chaîne de transmission des demandes de coopération est sécurisée, que les demandes seront conservées dans des boîtes aux lettres électroniques du domaine gouv.fr et qu'elles transiteront via la messagerie sécurisée SIENA et le réseau mondial 1/24, tous les deux mis à disposition par Interpol.
Elle prend également acte que des droits d'accès ad hoc sont prévus pour les agents accédant au traitement.
Leur authentification s'appuiera sur le portail CHEOPS.NG, soit au moyen d'une carte agent, soit d'un mot de passe. Sur ce dernier point, la commission rappelle que, conformément à ses recommandations dans ce domaine, les mots de passe doivent avoir une longueur minimale de douze caractères et être composés de lettres majuscules, minuscules, chiffres et symboles ou faire entre huit et onze caractères, être composés de trois des quatre possibilités précitées et être associés à une restriction d'accès en cas d'erreurs successives (blocage temporaire de compte, possibilité de nouvelles tentatives après une durée d'attente croissante, etc.), Ils doivent en outre être définis ou modifiés par l'utilisateur dès sa première connexion, puis régulièrement renouvelés et ne doivent pas être stockés en clair.
La commission relève qu'une traçabilité des actions des agents sera réalisée. Le projet d'arrêté prévoit en effet que les créations, consultations, mises à jour et suppressions de données du traitement font l'objet d'un enregistrement comprenant l'identifiant de l'auteur, la date, l'heure et l'objet de l'opération. Les informations relatives à ces opérations seront conservées pendant trois ans.
Enfin, elle prend acte que les sauvegardes seront chiffrées.
Dans ces conditions, la commission considère que les mesures prévues par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
Extrait du Journal officiel électronique
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret relatif aux juristes assistants et aux personnes habilitées à accéder au bureau d'ordre national automatisé des procédures judiciaires ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'organisation judiciaire, notamment son article L. 123-4 ;
Vu le code de procédure pénale, notamment ses articles 48-1 et R. 15-33-66-4 à R. 15-33-66-13 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-1 (2°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-099 du 13 avril 217 portant avis sur un projet de décret relatif au service d'accueil unique du justiciable et aux personnes habilitées à accéder au bureau d'ordre national automatisé des procédures judiciaires ;
Sur la proposition de Mme Sylvie ROBERT, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministre de la justice d'une demande d'avis portant sur un projet de décret autorisant les juristes assistants et les assistants spécialisés placés auprès des magistrats de l'ordre judiciaire à accéder au Bureau d'ordre national automatisé des procédures judiciaires (Cassiopée).
En application de l'article 48-1 du code de procédure pénale (CPP) et de l'article 26-II de la loi du 6 janvier 1978 modifiée, cet accès doit être autorisé par un décret en Conseil d'Etat pris après avis motivé et publié de la Commission.
L'application Cassiopée, qui constitue le Bureau d'ordre national automatisé des procédures judiciaires et dont les modalités de mise en œuvre sont prévues aux articles 48-1 et R. 15-33-66-4 à R. 15-33-66-13 du CPP, est déployée dans tous les tribunaux de grande instance. Aux termes de l'article 48-1 du CPP, cette application enregistre les informations nominatives relatives aux plaintes et dénonciations reçues par les procureurs de la République ou les juges d'instruction et aux suites qui leur ont été réservées et est destinée à faciliter la gestion et le suivi des procédures judiciaires par les juridictions compétentes, l'information des victimes et la connaissance réciproque entre les juridictions des procédures concernant les mêmes faits ou mettant en cause les mêmes personnes, afin notamment d'éviter les doubles poursuites .
Les articles R. 15-33-66-8 et R. 15-33-66-9 du CPP définissent respectivement les catégories de personnes pouvant directement accéder à des informations et données enregistrées dans Cassiopée et les catégories de personnes pouvant être destinataires de tout ou partie des données enregistrées dans ce traitement.
Le projet de décret aujourd'hui soumis à la Commission prévoit de compléter l'article R. 15-33-66-8 du CPP en y ajoutant, d'une part, les juristes assistants mentionnés à l'article L. 123-4 du code de l'organisation judiciaire (COJ), issu de la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle et, d'autre part, les assistants spécialisés mentionnés aux articles 628-9 et 706 du CPP.
Aux termes de l'article L. 123-4 du COJ, les juristes assistants peuvent être nommés auprès des magistrats des tribunaux d'instance, des tribunaux de grande instance et de première instance, des cours d'appel ainsi qu'à la Cour de cassation. Le projet de décret soumis à la Commission précise que ces personnels contribuent par leur expertise, en matière civile et en matière pénale, à l'analyse juridique des dossiers techniques ou complexes qui leur sont soumis par les magistrats sous la direction desquels ils sont placés .
Les assistants spécialisés, quant à eux, apportent un appui aux magistrats dans le cadre des procédures applicables aux crimes contre l'humanité et aux crimes de guerre ainsi qu'en matière économique et financière. Les articles 628-9 et 706 du CPP définissent les modalités d'accès à ces fonctions ainsi que les missions que ces assistants peuvent exercer. Les mêmes articles précisent qu'ils peuvent accéder aux dossiers de procédure pour l'exercice des tâches qui leur sont confiées et sont soumis au secret professionnel.
L'accès des juristes assistants ainsi que des assistants spécialisés aux données enregistrées dans le traitement Cassiopée, qui se fonde sur les dispositions de l'article 48-1 du CPP et s'inscrit directement dans le cadre des finalités poursuivies par le traitement, apparaît justifié à la Commission.
La Commission relève toutefois que, si l'article 48-1 du CPP prévoit que les informations contenues dans le traitement Cassiopée sont directement accessibles aux personnes habilitées qui assistent les procureurs de la République et les magistrats du siège exerçant des fonctions pénales, il précise que c'est uniquement pour les nécessités liées au seul traitement des infractions ou des procédures dont ils sont saisis , ce que rappelle d'ailleurs l'article R. 15-33-66-8 du CPP, dont la modification est aujourd'hui envisagée.
La Commission souligne qu'il appartient dès lors au ministère de la justice de prévoir l'ensemble des mesures techniques requises pour assurer l'effectivité de cette
restriction, d'autant que, comme elle l'a relevé dans sa délibération n° 2017-099 du 13 avril 2017 susvisée, les nouveaux accès prévus par le législateur sont nombreux et ont pour conséquence d'augmenter de manière significative le nombre de personnes habilitées à consulter le traitement Cassiopée, qui comporte des données particulièrement sensibles.
Sur ce point, le ministère a précisé que les juristes assistants comme les assistants spécialisés disposeront d'un accès en consultation nationale et que la possibilité de restreindre cet accès à une consultation locale sera laissée à l'appréciation des chefs de juridiction, au regard des missions qui leur seront confiées. Elle prend acte que le besoin de recoupement de données, propre au travail de recherche attendu des assistants spécialisés et des juristes assistants, ne permet pas d'exclure a priori et de manière générale l'accès au traitement en consultation nationale, mais que les assistants spécialisés et les juristes assistants disposeront, comme les autres utilisateurs, d'un profil d'accès dépendant du service auquel ils seront rattachés et excluant, en tout état de cause, l'accès à une partie des informations enregistrées dans le traitement. Seront en particulier exclues des catégories de données susceptibles d'être consultées par les assistants spécialisés et les juristes assistants les informations propres à l'instruction et celles relatives aux contentieux du juge de la liberté et de la détention. Au-delà de ces restrictions, il a été indiqué à la Commission qu'une fonctionnalité du traitement permet de limiter l'accès à des informations spécifiques au magistrat et au greffier du cabinet en charge de l'affaire concernée et que cette fonctionnalité est systématiquement utilisée pour les affaires en assistance éducative.
Plus généralement, la Commission relève que le profil d'accès dont disposeront les juristes assistants et les assistants spécialisés ne permettra que la consultation des données et qu'aucune possibilité de modification ou de suppression de ces dernières ne leur sera donc ouverte. En outre, ils seront soumis aux mêmes règles d'authentification que les autres utilisateurs et disposeront donc d'un identifiant et d'un mot de passe personnels. Enfin, les consultations effectuées par ces agents feront l'objet de mesures de traçabilité identiques à celles prévues pour les autres accès, ce qui permettra le contrôle des conditions d'utilisation de l'outil Cassiopée, ce dont la Commission prend acte.
Elle rappelle toutefois que, conformément à l'article 34 de la loi du 6 janvier 1978 modifiée, le ministère doit veiller à prévoir l'ensemble des mesures nécessaires pour assurer la sécurité des données et que cette exigence de sécurité nécessite la mise à jour régulière des mesures techniques mises en œuvre au regard de la réévaluation des risques.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, telle que modifiée par la loi n° 2004-801 du 6 août 2004, notamment son article 13,
Constate :
Article 1
	M. Philippe GOSSELIN, est élu membre de la formation restreinte de la Commission nationale de l'informatique et des libertés.
Article 2
	La formation restreinte de la commission est ainsi composée :
	M. Jean-François CARREZ, président ;
	Mme Dominique CASTERA ;
	M. Philippe GOSSELIN ;
	M. Alexandre LINDEN ;
	M. Marie-Hélène MITJAVILE ;
	M. Maurice RONAI.
Article 3
	La présidente de la commission est chargée de l'exécution de la présente délibération, qui sera publiée au Journal officiel de la République française.
La présidente,
I. Falque-Pierrotin
La Présidente
 
 
x
 
Paris, le 3 janvier 2024
 
PAR PORTEUR 
Par mail : […]
 
Références à rappeler dans toute correspondance : 
NMY/JDE/ACD/MDM231058/CTX-2022-096
 
 Monsieur le ministre,
 
 Je fais suite à la décision n° MED-2023-018 du 3 avril 2023 mettant en demeure X.
 
Comme annoncé dans le courrier de notification de la mise en demeure, cette clôture fera l’objet de la même mesure de publicité que la mise en demeure. Ce courrier sera donc publié sur le site internet "www.legifrance.fr " et sur celui de la CNIL.
 
J’observe que dans le cadre d’un projet d’arrêté portant création par la […] du traitement automatique "[…] " ([…]), vous avez saisi la Commission d’une demande d’avis le 29 juin 2023, laquelle était notamment accompagnée d’une analyse d’impact relative à la protection des données.
 
Au regard de la délibération n° 2023-112 du 19 octobre 2023 de la formation plénière de la CNIL portant avis sur le projet d’arrêté relatif au fichier […] puis de l’adoption de l’arrêté du 22 novembre 2023 portant création par […] dudit traitement, je vous informe que j’ai décidé de procéder à la clôture du dossier ainsi que de la procédure de contrôle n°2022-122C.
Je vous prie de noter que si la persistance ou la réitération des manquements visés dans la mise en demeure était constatée à l’occasion de vérifications ultérieures, je pourrai saisir la formation restreinte de la CNIL ou son président, sans qu’une nouvelle mise en demeure ne vous soit adressée préalablement, afin que soit prononcée, le cas échéant, l’une ou plusieurs des mesures prévues par les articles 20 et suivants de la loi du 6 janvier 1978.
 
Les services de la Commission (le greffe du service des sanctions et du contentieux - (…) se tiennent à la disposition des vôtres pour tout renseignement complémentaire. 
 
Je vous prie d'agréer, Monsieur le ministre, mes salutations distinguées.
 
 
 
Marie-Laure DENIS
Date de l'avis : 5 octobre 2023
N° de la délibération : 2023-104
N° de demande d'avis : 22014532
			N° d'acte réglementaire unique : RU-78
Texte concerné : projet de décret portant application des articles L. 256-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre de systèmes de vidéosurveillance dans les cellules de garde à vue et de retenue douanière
Thématiques : vidéosurveillance, cellules de garde à vue et de retenue douanière
Fondement de la saisine : article L. 256-5 du code de la sécurité intérieure
L'essentiel :
			1. La CNIL prend note que des doctrines d'emploi des caméras de vidéosurveillance seront élaborées par le ministère de l'intérieur et le ministère chargé du budget.
			2. Afin de préserver l'intimité des personnes placées en garde à vue ou en retenue douanière, elle recommande que le pare-vue opacifiant soit placé de manière à ce que l'ensemble de la zone sanitaire des cellules ne puisse pas être filmé.
			3. La CNIL estime satisfaisant le modèle d'affiche qui lui a été transmis et qui sera apposé à l'entrée des cellules au regard des mentions d'information requises par la loi informatique et libertés .
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret portant application des articles L. 256-1 et suivants du code de la sécurité intérieure et relatif à la mise en œuvre de systèmes de vidéosurveillance dans les cellules de garde à vie et de retenue douanière ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31 et son titre III ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la delibération suivante :
I. - La saisine
A. - Le contexte de la saisine
Dans sa délibération n° 2021-078 du 8 juillet 2021, la CNIL s'est prononcée sur le projet de loi relatif à la responsabilité pénale et à la sécurité intérieure (loi n° 2022-52 du 24 janvier 2022), qui comportait des dispositions relatives à la mise en œuvre de systèmes de vidéosurveillance au sein des cellules de garde à vue.
Elle a notamment rappelé que de tels dispositifs, qui permettent une surveillance permanente, portent par nature une atteinte grave au droit au respect de la vie privée et à la protection des données à caractère personnel d'individus déjà soumis à des mesures restrictives de liberté. Une telle atteinte ne peut dès lors être admise que si elle apparaît strictement nécessaire au but poursuivi et si des garanties fortes sont prévues, de nature à assurer la proportionnalité des dispositifs mis en œuvre.
B. - L'objet de la saisine
La CNIL a été saisie par le ministère de l'intérieur pour avis sur un projet de décret portant application des articles L. 256-1 et suivants du code de la sécurité intérieure (CSI) et relatif à la mise en œuvre de systèmes de vidéosurveillance dans les cellules de garde à vue et de retenue douanière.
Les articles L. 256-1 et suivants du CSI permettent à l'autorité administrative de mettre en œuvre des systèmes de vidéosurveillance dans les cellules de garde à vue et de retenue douanière pour prévenir les risques d'évasion de la personne placée en garde à vue ou en retenue douanière et les menaces sur cette personne ou sur autrui. L'article L. 256-5 du CSI prévoit que les modalités d'application sont précisées par un décret en Conseil d'Etat, pris après avis de la CNIL.
Le projet de décret constitue un acte réglementaire unique au sens du IV de l'article 31 de la loi informatique et libertés . Conformément au projet d'article R. 256-7 du CSI, la mise en œuvre des traitements est subordonnée à l'envoi à la CNIL d'un engagement de conformité.
II. - L'avis de la CNIL
A. - Sur le régime juridique des traitements de données
Les traitements de données à caractère personnel ont pour finalités de prévenir :
- les risques d'évasion des personnes placées en garde à vue ou en retenue douanière, et
- les menaces sur ces personnes ou sur autrui.
Selon le ministère, les mesures de garde à vue et de retenue douanière s'inscrivent nécessairement dans le cadre d'enquêtes ou de poursuites pénales. En particulier, l'évasion d'une personne placée en garde à vue est une infraction pénale (articles 434-27 à 434-37 du code pénal).
La prévention des menaces sur les personnes faisant l'objet de la mesure, peuvent se matérialiser par un risque :
- d'atteinte de la personne envers-elle même (passage à l'acte auto-agressif (automutilation ou suicide) ;
- d'atteinte par un tiers envers la personne gardée à vue (autres personnes se trouvant dans la cellule) ;
- d'atteinte de la personne gardée à vue envers autrui.
La sécurité des personnes peut ne pas constituer en tant que telle une finalité qui s'inscrit nécessairement dans le cadre de la prévention d'infractions pénales. En l'espèce, les finalités poursuivies par les traitements visent à prévenir les atteintes (physiques ou morales) sur la personne gardée à vue ou sur autrui. Ainsi, l'objectif est d'empêcher la réalisation de ces atteintes et par conséquent, de prévenir la commission d'un fait pénalement répréhensible. Compte tenu des précisions apportées par le ministère, la CNIL considère que les traitements permettent la prévention d'infractions pénales et à leur poursuite le cas échéant. Elle considère que les traitements relèvent du régime de la directive police-justice transposée au titre III de la loi informatique et libertés .
B. - Sur le périmètre des dispositifs de vidéosurveillance
L'article L. 256-2 du CSI prévoit que le placement sous vidéosurveillance est décidé par le chef du service responsable de la sécurité des lieux concernés ou son représentant lorsqu'il existe des raisons sérieuses de penser que cette personne pourrait tenter de s'évader ou représenter une menace pour elle-même ou pour autrui .
L'analyse d'impact relative à la protection des données (AIPD) précise qu'il appartiendra au responsable de la sécurité des lieux concernés d'apprécier au cas par cas la nécessité de mettre en œuvre la vidéosurveillance, au regard des critères fixés par la loi et à partir d'éléments tels que :