AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’intérieur d’une demande d’avis relative à un projet de décret autorisant la création d’un traitement automatisé de données à caractère personnel relatif à la prise en charge des mineurs de retour de zones d'opérations de groupements terroristes (MRZOGT) ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 31.II ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Étant rappelés les éléments de contexte suivants :
La Commission nationale de l’informatique et des libertés ("ci-après la Commission") a été saisie pour avis par le ministère de l’intérieur d’un projet de décret portant sur la création d’un traitement automatisé de données à caractère personnel relatif à la prise en charge des mineurs de retour de zones d’opérations de groupements terroristes ("MRZOGT") sur le fondement du II de l’article 31 de la loi du 6 janvier 1978 modifiée.
Ce texte autorise le secrétariat général du comité interministériel de prévention de la délinquance et de la radicalisation ("SG-CIPDR"), sous l’autorité du ministre de l’intérieur, à mettre un œuvre un traitement pour permettre une meilleure coordination des services compétents en matière de prise en charge administrative, judiciaire, médicale et socio-éducative des mineurs. Ce traitement vise à assurer leur protection et à prévenir leur engagement dans un processus de délinquance et de radication d’une part, et à renforcer le suivi de la prise en charge des mineurs en améliorant et établissant des indicateurs de pilotage, d’autre part.
Depuis 2017, un dispositif a été mis en œuvre pour permettre la prise en charge de ces mineurs. Le traitement MRZOGT sera un outil utilisé dans ce cadre, qui visera à faciliter le suivi de la prise en charge et permettre d’avoir en temps réel une visibilité sur l’effectivité des mesures de prise en charge.
S’appuyant sur le droit commun de la protection de l’enfance, le dispositif de prise en charge des mineurs permet de mobiliser l’ensemble des services de l’État compétents sur cette question, d’améliorer leur coordination avec les départements dans le cadre de leurs attributions en matière d’aide sociale à l’enfance, de préciser l’articulation des différents dispositifs juridiques existants afin d’assurer l’accompagnement le plus adapté à la situation et au statut de ces mineurs et d’instaurer un suivi renforcé au long cours de ces enfants au regard de la spécificité de leur parcours et de leur situation familiale.
Selon le SG-CIPDR, la création du traitement MRZOGT répond aux difficultés rencontrées par les conseils départementaux qui se voient confier la prise en charge de ces mineurs. Il vise à réduire les difficultés de coordination entre les services compétents et à éviter les ruptures de suivi, notamment dans l’hypothèse où le mineur change de lieu de résidence, entraînant une modification la compétence territoriale des services intervenant dans le dispositif.
Ce dispositif se fonde essentiellement sur des échanges d’informations sur les mineurs concernés, afin de permettre une appréhension globale de leur situation. Le suivi de ces mineurs pourra également se faire dans le cadre des dispositifs locaux de prévention de la radicalisation, et, plus particulièrement au sein des cellules de prévention de la radicalisation et d’accompagnement des familles restreintes (CPRAF-R).
Formule les observations suivantes concernant le projet de texte
Sur les finalités du traitement
Selon le ministère, le traitement vise à renforcer le suivi de la prise en charge des mineurs de retour de zones d’opérations de groupements terroristes en permettant une meilleure coordination des services compétents. Il s’agit plus concrètement d’empêcher toute rupture de la prise en charge, notamment en cas de suivi social et médico-social interdépartemental ou de déménagement du mineur, et permettre, plus indirectement, la prévention de leur engagement dans un processus de délinquance ou de radicalisation. Le traitement permet ainsi de partager les informations pertinentes entre différents acteurs impliqués dans le suivi et la prise en charge de ces mineurs, et de vérifier que l’ensemble des actions nécessaires au bon suivi des mineurs, telles que la réalisation du bilan de santé initial ou l’inscription dans un établissement scolaire, a été réalisé.
En pratique, ce traitement se matérialise par une liste de vérifications des actions à effectuer dans le cadre du suivi pluridisciplinaire de ces mineurs (médical, social, scolaire, judiciaire et administratif). Aucune information relative à la mise en œuvre précise des mesures ne sera renseignée. Compte tenu de ces caractéristiques, et alors même que le traitement est notamment mis en œuvre à de fins plus générales de prévention de la délinquance et de la radicalisation, la Commission considère qu’il relève exclusivement du RGPD.
Le traitement vise également à renforcer le suivi de la prise en charge des mineurs "en améliorant la remontée d’informations et en établissant des indicateurs de pilotage". Le ministère a précisé que ces indicateurs seront établis sur la base de données agrégées afin de fournir un état précis de la situation, mais également d’orienter les politiques publiques.
Au vu du nombre limité de mineurs concernés et de la nature des données traitées, ces indicateurs ne permettent a priori pas de garantir l’anonymat des personnes concernées. En conséquence, eu égard au risque réel de réidentification des personnes, la Commission appelle l’attention du ministère sur ce point lors d’éventuelles diffusions et réutilisations de ces indicateurs.
Sur les catégories de données collectées
La Commission relève que parmi les données collectées figurent des informations sur la situation carcérale des parents ainsi que, le cas échéant, la dénomination du service en charge d’une mesure pénale en cours et la date de sortie de détention si celle-ci est programmée. Ces données sont alimentées par le procureur de la République ou le préfet territorialement compétents.
Le ministère considère que ces informations ne révèlent pas la nature de la peine criminelle ou délictuelle et encore moins de l’infraction poursuivie ou pour laquelle une peine est en cours d’exécution. Il estime ainsi qu’il n’y a pas de mention relative aux condamnations pénales, infractions et mesures de sûreté.
La Commission rappelle que l’information relative à la nature de l’infraction réprimée n’est pas une condition nécessaire à la qualification de donnée relative aux condamnations pénales ou aux infractions. Elle considère que l’information concernant la situation carcérale est par nature une donnée relevant de l’article 10 du RGPD dès lors qu’elle est qualifiée en tant que telle par une autorité compétente.
Elle estime en l’espèce que le traitement de ces données sera licite, en application du 1° de l’article 46 de la loi du 6 janvier 1978 modifiée.
Sur les accédants et les destinataires
L’échange d’informations relatives à la prise en charge des mineurs est notamment réalisé au sein des CPRAF-R. Ces cellules se réunissent à l’initiative du procureur de la République lorsqu’une mesure judiciaire est en cours ou du préfet. Elles sont notamment composées de représentants de la direction territoriale de la protection judiciaire de la jeunesse (PJJ), du représentant du service pénitentiaire du service d’insertion et de probation (SPIP) local et des représentants du ou des services de renseignement au titre du suivi sécuritaire. Certaines des données contenues dans le traitement "MRZOGT" ont vocation à être partagées au sein de ces cellules.
S’agissant de la mise en œuvre du décret, la Commission relève que, au regard notamment du nombre et de la diversité des profils composant les CPRAF-R, il existe des risques que les informations échangées, qui revêtent une sensibilité particulière pour les mineurs dont les situations sont abordées, soient transmises à des personnes non tenues au secret professionnel, que ces informations donnent lieu à une durée de conservation excessive ou encore qu’elles soient utilisées au sein de traitements ultérieurs. Au regard de la nature des données transmises et des différents secrets susceptibles de les protéger, la Commission considère que l’encadrement actuel des échanges d’informations susceptibles d’intervenir dans le cadre des CPRAF-R devrait être significativement renforcé, tant au plan réglementaire que technique, afin de garantir la confidentialité des informations transmises. Elle estime indispensable qu’une réflexion soit menée sur cette question ainsi que sur les mesures de sécurité à mettre en œuvre.
Sur l’information et les droits des personnes
L’article 6 du projet de décret encadre les modalités d’exercice des droits des personnes concernées.
La Commission relève que le droit d’opposition ne s’applique pas au présent traitement en application de l’article 23 du RGPD, et que les droits d’accès, de rectification et à la limitation sont susceptibles de faire l’objet de restrictions afin de garantir l’objectif d’intérêt général de prise en charge des mineurs. Ces limitations apparaissent fondées sur le i) du premier alinéa de l’article 23 relatif à la protection des personnes concernées ou des droits et libertés d’autrui, et plus précisément sur l’intérêt supérieur de l’enfant.
S'agissant de l'information des personnes concernées, le projet de décret indique que le droit à l’information doit être exercé auprès de l’administration. La Commission rappelle que ce droit n’a pas à être "exercé" par la personne, puisqu’il incombe au responsable de traitement de fournir à la personne concernée les informations et non à la personne de demander communication de ces informations. Elle prend acte de l’engagement du ministère de modifier le projet de décret en ce sens.
Par ailleurs, la Commission prend acte des précisions apportées par le ministère quant aux modalités d’information des mineurs et de leurs responsables légaux. Elle accueille favorablement le fait que l’information sera réalisée individuellement auprès du mineur, quel que soit leur âge à condition qu’ils disposent d’un discernement suffisant, et des titulaires de l’autorité parentale dès l’enregistrement du mineur dans le traitement soit par courriel, soit par téléphone soit par courrier. De la même façon, elle accueille très favorablement la remise d’un document adapté à l’âge du mineur concerné, et plus particulièrement la transmission d’un schéma explicatif pour les plus jeunes.
La Commission relève toutefois qu’en application de la règlementation, une information individuelle devra également être fournie aux autres personnes figurant dans le traitement, notamment les autres membres de la fratrie ayant séjourné au sein des zones susmentionnées et les parents déchus de leur autorité parentale. La Commission prend acte des précisions apportées par le ministère en ce sens.
 
Sur la durée de conservation 
L’article 4 du projet de décret indique que les données relatives aux mineurs seront conservées jusqu’à la majorité des mineurs, abstraction faite de l’existence ou non d’une décision de fin de suivi du mineur.
Si ces durées n’appellent pas d’observation, la Commission souligne que les données peuvent faire l’objet d’un traitement statistique. La Commission rappelle que dans l’hypothèse où les statistiques seraient réalisées au-delà de la majorité du mineur, et dès lors, conservées au-delà de la durée de conservation fixée par le projet de décret, les données utilisées à cette fin devront être agrégées et soumises à un processus d’anonymisation conforme au RGPD. Elle renvoie sur ce point aux travaux du CEPD, et notamment à l’avis n° 05/2014 sur les techniques d’anonymisation du Groupe de travail "Article 29" .
Sur les mesures de sécurité
La Commission prend acte des mesures de sécurité existantes ainsi que celles qui seront mises en œuvre, notamment s’agissant des mesures de chiffrement, tant sur les données en transit que sur certaines données stockées, la gestion des clés, les modalités d’authentification ou encore les mesures relatives à la traçabilité et la journalisation.
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Monsieur Alexandre LINDEN, président, Madame Christine MAUGÜÉ, Monsieur Bertrand du MARAIS et Monsieur Alain DRU, membres ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
 
Vu la délibération n° SAN-2022-022 du 30 novembre 2022 adoptée par la formation restreinte à l’encontre de la société […] ;
 
Vu les éléments transmis par la société […] le 15 décembre 2022 ;
 
Après en avoir délibéré lors de la séance du 16 mars 2023, a adopté la décision suivante :
 
 
FAITS ET PROCÉDURE
 
La société […] (ci-après la société ) est une filiale du groupe […] qui est un opérateur de télécommunication fixe.
Entre le mois d’octobre 2018 et le mois de novembre 2019, la Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission ) a été saisie de plaintes à l’encontre de la société. Les plaignants faisaient notamment état de difficultés rencontrées dans l’exercice de leurs droits d’accès ou d’effacement.
 
Par décision du 30 novembre 2022, notifiée le 7 décembre 2022, la formation restreinte a, entre autres dispositions, prononcé à l’égard de la société une injonction d’apporter une réponse aux plaignants, assortie d’une astreinte de cinq cent euros (500) euros par jour de retard à l’issue d’un délai d’un mois suivant la notification de la délibération de la formation restreinte.
 
L’injonction était précisément formulée en ces termes :
prononcer à l’encontre de la société […] une injonction d’apporter une réponse exhaustive aux demandes de Messieurs […] (plainte n° 19014037), […] (plainte n° 19015831), […] (plainte n° 19016618) et […] (plainte n° 19005208) qui précise l’identité du courtier en données à partir duquel elle a obtenu les données des personnes concernées.
 
Le 15 décembre 2022, la société a adressé un courrier au président de la formation restreinte, répondant à l’injonction.
 
MOTIFS DE LA DECISION
 
La formation restreinte relève qu’il ressort de la réponse de la société que, pour les demandes de Messieurs […] et […], l’identité du courtier qui lui avait fourni les données a été communiquée aux plaignants en réponse à leurs demandes.
S’agissant des demandes de Messieurs […] et […], la société […] leur a indiqué ne plus disposer de l’identité du courtier auprès duquel elle avait acquis les données les concernant, faute d’avoir conservé les fichiers de livraison des données en question. La société a ainsi précisé aux plaignants que leurs données  avaient été transmises par un courtier en données, une société dont l’activité est de collecter des données à caractère personnel à partir de différentes sources avant de les revendre à des clients, comme […]. , sans mentionner l’identité du courtier concerné.
 
Bien que la formation restreinte estime que la seule communication aux plaignants d’une information générale sur le type d’entité ayant fourni les données ne constitue pas une réponse satisfaisante à leur demande de droit d’accès, elle constate que la destruction des fichiers de livraison relatifs aux données à caractère personnel des plaignants rend matériellement impossible la fourniture de l’identité des courtiers, ce dont elle prend acte. Elle relève que la société n’avait pas fait part de cette impossibilité matérielle au cours de la procédure de sanction.
 
Il résulte de ce qui précède que la société justifie ne plus être en mesure de se conformer totalement à l’injonction.
 
En conséquence, il n’y a pas lieu à liquidation de l’astreinte.
 
PAR CES MOTIFS
 
La formation restreinte de la CNIL, après en avoir délibéré, décide :
 
de dire n’y avoir lieu à liquidation de l’astreinte ;
de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, le point de départ étant la publication de la délibération n° SAN-2022-022 du 30 novembre 2022.
 
 
Le président
 
 
 
Alexandre LINDEN
Date de l’avis 
: 23 mars 
2023
N° de la délibération 
: n° 2023-
026
N° de demande d’avis 
: 23003250
Texte concerné
 : projet de loi relatif à la modernisation des capacités d’action des douanes
Thématiques
 : dispositif LAPI, services des douanes 
 
Fondement de la saisine 
: article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée
L’essentiel
 :
 
1. Au vu des justifications apportées par le ministère, 
la Commission estime légitimes les traitements prévus permettant l’exploitation par les services des douanes des données issues des LAPI, et relève que le projet de loi comporte des garanties importantes en matière de protection des données. Elle accueille favorablement le rapport d’évaluation.
2. L’augmentation prévue, très significative, de la durée de conservation des données (de quinze jours à quatre mois) est de nature à augmenter de manière très importante le nombre de données collectées. Sans remettre en cause ce délai, la CNIL propose que cette durée soit réduite au début de l’expérimentation et, le cas échéant, progressivement augmentée jusqu’à quatre mois si cela apparait nécessaire et proportionné. Le rapport d’évaluation devra contenir des éléments permettant de justifier le caractère proportionné de la durée qui sera finalement retenue. 
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’économie, des finances et de la souveraineté industrielle et numérique d’une demande d’avis concernant un projet de loi relatif à la modernisation des capacités d’action des douanes ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,
ADOPTE LA DELIBERATION SUIVANTE :
I. La saisine
A. Contexte de la saisine
Les services de police, de gendarmerie et des douanes sont autorisés à mettre en œuvre des dispositifs fixes ou mobiles de lecteurs automatiques de plaques d’immatriculation (LAPI) dans les conditions fixées aux articles L.233-1 et suivants du code de la sécurité intérieure (CSI).
Ces dispositifs peuvent être mis en œuvre en tout point approprié du territoire pour des finalités précises et limitées (en particulier aux fins de prévenir et de réprimer le terrorisme, de faciliter la constatation d'infractions liées à la criminalité organisée, de certaines infractions prévues et réprimées par le code des douanes, ainsi que le vol et le recel de véhicules volés, en vue de faciliter la constatation de ces infractions et la recherche de leurs auteurs).
Les dispositifs LAPI permettent la collecte automatisée des données signalétiques des véhicules (plaque d’immatriculation) en prenant une photographie des véhicules automobiles et de leurs occupants. Les données collectées sont conservées pendant un délai maximum de quinze jours, au-delà duquel elles sont effacées dès lors qu’elles n’ont donné lieu à aucun "rapprochement" positif avec les données contenues dans les traitements "Fichier des objets et des véhicules signalés" (FOVES) et "Système d'information Schengen" (SIS).
Les données qui font l’objet d’un "rapprochement" positif sont conservées pendant une durée d’un mois, sans préjudice des nécessités de leur conservation pour les besoins d’une procédure pénale ou douanière.
La CNIL rappelle qu’il résulte de l’article L. 233-2 du CSI, tel qu’il est interprété par le ministère et par elle-même, que les données issues des LAPI peuvent, pour les finalités prévues ces dispositions, n’être utilisées que d’une façon particulièrement restrictive. D’une part, alors qu’en principe les mises en relations ne sont pas limitativement énumérées et prévues par les textes constitutifs des traitements de données, en l’espèce les mises en relation avec les traitements FOVES et SIS sont prévues par l’article L. 233-2 du CSI. Aucune autre mise en relation n’est possible, ce qui constitue une garantie en matière de protection des données. D’autre part, il résulte de l’économie de la loi que les données des LAPI collectées ne peuvent être utilisées que pour l’interrogation du FOVES et du SIS, pendant une durée de quinze jours, et ne peuvent pas faire l’objet de recherches selon certains "critères" (recherche par itinéraire, avec un numéro de plaque, etc.), sans préjudice des nécessités de leur consultation pour les besoins d’une procédure pénale ou douanière en cours, durant la période de quinze jours.
B. Objet de la saisine 
La CNIL est saisie, en urgence, pour rendre un avis sur l’article 6 du projet de loi relatif à la modernisation des capacités d’action des douanes.
Cet article vise, sous forme d’expérimentation, à allonger la durée de conservation des données collectées par certains dispositifs LAPI à quatre mois, et à permettre aux services douaniers compétents de réaliser des recherches multicritères sur celles-ci. Cette évolution est rendue nécessaire, selon le ministère, afin d’adapter les dispositifs LAPI au durcissement de la criminalité organisée et à l’évolution des modes opératoires des délinquants.
Ce projet comporter deux dimensions :
une durée de conservation allongée de quinze jours à quatre mois : l’ensemble des données des capteurs LAPI entrant dans le champ de l’expérimentation seront conservées jusqu’à quatre mois, qu’il y ait eu rapprochement positif ou non avec les traitements FOVES et SIS. Ces données ne pourront être consultées qu’en cas de rapprochement positif avec les traitements précités ;
une possibilité de procéder à des détections via l’application de recherches multicritères aux données captées, sans pré-identification d’une plaque d’immatriculation. Ce volet de l’expérimentation s’appliquera à l’ensemble des données captées, et non uniquement aux données ayant fait l’objet d’un rapprochement positif avec les traitements FOVES et SIS. Les recherches multicritères feront apparaître des plaques d’intérêt correspondant aux schémas de ces recherches. Ces plaques d’immatriculation nécessiteront ensuite un travail d’enrichissement et de filtrage, pour ne retenir que celles qui paraissent pertinentes et qui auront vocation à faire l’objet d’un signalement d’attention et d’une inscription dans les traitements FOVES er SIS.
Il résulte de ce qui a été dit au point 5 qu’une telle expérimentation nécessite l’intervention d’une loi.
II. L’avis de la CNIL
A. Observations générales
L’article 6 du projet de loi ne vise pas à changer les finalités des dispositifs LAPI pouvant être actuellement installés : les traitements permettant de réaliser des recherches multicritères seraient destinés exclusivement à prévenir et constater des infractions de contrebande, d’importation ou d’exportation commises en bande organisée ainsi que la constatation de la réalisation ou de la tentative de réalisation des délits de blanchiment, lorsqu’ils portent sur les fonds provenant des délits précités.