AgentPublic/cnil huggingface dataset:
la rétention des personnes pour vérification de leur identité ;
la rétention des personnes faisant l'objet d'un contrôle ou d'une vérification d'identité pour des activités en lien avec le terrorisme ;
la retenue des mineurs de dix à treize ans suspectés d’avoir commis ou tenté de commettre un crime ou un délit puni d’une peine d’au moins cinq ans d’emprisonnement ;
la vérification du droit de circuler ou de séjourner en France ;
les mandat d’amener, mandat d’arrêt et mandat d’arrêt européen ;
la retenue pour ivresse publique.
La CNIL ne remet pas en cause les avantages que peut apporter cette extension. Elle souligne néanmoins que le traitement concerne des mesures privatives de liberté qui ne s’inscrivent pas toutes dans le cadre d’une enquête pénale et qui ont des objets très différents.
La CNIL considère nécessaire que le périmètre du traitement soit davantage précisé. Ainsi, les termes " autres mesures privatives de libertés " devraient être complétés pour faire référence à l’ensemble des mesures concernées. 
B. Sur les finalités du traitement 
Le projet de décret prévoit que le traitement iGAV permet de :
faciliter la conduite et la gestion du déroulement des mesures privatives de liberté ;
permettre le suivi des mesures privatives de liberté et le contrôle de leur régularité pendant leur mise en œuvre.
L’AIPD indique que le traitement doit faciliter la recherche d'informations au sein des registres et permettre aux états-majors des services de police et gendarmerie, et aux magistrats d'avoir une meilleure visibilité sur le nombre de mesures en cours.
Le ministère a précisé que les recherches pouvant être effectuées dans iGAV sont limitées et cloisonnées afin d’éviter tout détournement de finalités. D’autres garanties sont également mises en œuvre : 
iGAV ne donne aucune information sur les suites données à la mesure de contrainte ;
les journaux de consultation permettront aux chefs de service de s’assurer qu’aucun manquement n’a été commis par leurs subordonnés ; 
un contrôle est opéré par les supérieurs hiérarchiques des agents utilisateurs du traitement ; 
la formation des agents et la doctrine d’emploi rappelleront que le traitement ne peut être utilisé à d’autres fins que celles prévues par le décret. 
La CNIL estime que les finalités sont légitimes et déterminées. Elle retient de ces finalités que le fichier ne constituera pas un fichier d'antécédents judiciaires ni un fichier utilisé dans le cadre de la conduite d’enquête de police judiciaire. 
C. Sur les catégories de données collectées 
a. L’enregistrement de données relatives à la " dangerosité ou vulnérabilité résultant du comportement de la personne "
Le projet de décret autorise l’enregistrement de données relatives à la " dangerosité ou vulnérabilité résultant du comportement de la personne ".
Le ministère a indiqué que les informations collectées dans cette catégorie de données ne peuvent résulter que d’éléments objectifs concernant le mis en cause et constatés par les fonctionnaires de police ou par le médecin (par exemple : violences auto-infligées ou tentative de suicide ; placement de la personne en garde à vue pour des faits d’agression ; lorsque le médecin, après examen, demande une attention particulière ; découverte d’une ordonnance lors de la fouille prescrivant des antidépresseurs ou un traitement pour bipolarité). Cette collecte se fait notamment dans l’intérêt des personnes retenues, que les forces de l’ordre ont l’obligation de protéger durant l’exécution de la mesure.
Le ministère s’est engagé à encadrer la collecte de ces données par :
la formation dispensée aux personnels de la police nationale habilités à utiliser le traitement iGAV, laquelle viendra rappeler que seuls des éléments objectifs peuvent être mentionnés dans le champ libre ;
une doctrine d’emploi, diffusée au niveau des services, reprenant les exemples précités et comportant des éléments de langage et doctrinaux ;
un contrôle hiérarchique mis en œuvre pour encadrer la saisie des données contenues dans le traitement et assurer l’enregistrement d’éléments objectifs et adéquats sur la vulnérabilité et la dangerosité d’une personne ;
un mécanisme d’alerte en cas de saisie de données dans le champ " observation ".
La CNIL estime que la collecte de ces données, qui vise à éviter des incidents susceptibles de porter atteinte à l’intégrité physique de la personne ou celle d’autrui, est légitime. Toutefois, la CNIL relève que les termes utilisés pour définir cette catégorie de données autorisent une interprétation extensive. Le projet de décret devrait être rédigé avec des termes plus précis permettant de mieux délimiter ce que recoupe cette catégorie. 
La CNIL rappelle par ailleurs que :
la mention de ces informations revêt un caractère sensible et appelle à une vigilance renforcée, en particulier, lorsque ces informations résultent du constat d’officiers de police judiciaire, dépourvus des compétences d’un professionnel de santé ; 
si le ministère considère nécessaire, dans certains cas, de procéder à des diagnostics médicaux et que les forces de l’ordre puissent en prendre connaissance, la CNIL rappelle que ces informations seront couvertes par le secret médical. Les personnels non médicaux chargés d’assurer la mesure privative de liberté ne pourront y accéder que si la personne concernée a directement transmis ces informations, ou sur le fondement d’une dérogation au secret qui doit être prévue ou résulter nécessairement d’une loi. 
b. L’intégration du registre des systèmes de vidéosurveillance des cellules de garde à vue et retenue douanière
L’article L. 256-4 du code de sécurité intérieure (" CSI ") impose la mise en œuvre d’un registre des systèmes de vidéosurveillance déployé dans les lieux de privation de liberté.
Le projet de décret prévoit d’intégrer dans iGAV le registre des systèmes de vidéosurveillance des cellules de garde à vue et de retenue douanière, en autorisant l’enregistrement :
concernant la personne faisant l’objet d’une mesure de privative de liberté : des " date et heure de début et de fin du placement sous vidéosurveillance "
concernant les personnels de police et de gendarmerie : des " nom, prénom, identifiants, unité d’appartenance des personnels visionnant, y compris en temps réel, les images de vidéosurveillance [...] ".
La CNIL prend acte de ce que les images et vidéos n’ont pas vocation à intégrer le traitement iGAV et qu’à ce jour seules les informations relatives aux mesures de garde à vue seront concernées. Le ministère indique par ailleurs que l’intégration du registre dans le traitement iGAV permettra de collecter sous format dématérialisé les données prévues par le CSI.
D. Sur les durées de conservation des données
a. S’agissant de la durée de conservation des mesures en base active 
Le traitement est étendu à différents types de mesures de nature soit pénale soit administrative.
Les mesures pénales et administratives sont conservées un an en base active.
Les données relatives à la mesure de rétention pour vérification d’identité et de vérification du droit de séjour sont automatiquement effacées à l’issue du contrôle si aucune procédure d’enquête ou d’exécution n’est adressée à l’autorité judiciaire. À l’exception de ces deux mesures, le ministère n’a pas souhaité distinguer le régime de conservation des données pour les autres mesures de nature administrative. Ainsi, les données relatives à l’ensemble des mesures privatives de liberté sont conservées en base active pour une durée d’un an.
La CNIL estime que ces différentes durées sont justifiées. 
b. La durée de conservation des données en base intermédiaire 
L’article 5 du projet de décret prévoit une durée de conservation des données de neuf ans en base intermédiaire, limitée à des profils restreints.
Le ministère justifie la durée de conservation en base intermédiaire au regard de la durée d’utilité administrative des registres à des fins probatoires ou de gestion des archives. En effet, le ministère a indiqué que la durée de conservation du traitement iGAV repose sur celle des registres papiers prévue par des circulaires. Celles-ci prévoient une durée de conservation fixée à dix ans, qui repose sur une hypothèse de contestation ultérieure d’une mesure de contrainte ou des objets retirés puis restitués lors de la fouille. Il s’agit de conserver une trace du passage de la personne dans un local de police en cas d’ouverture d’un contentieux.
La CNIL estime que la nécessité de devoir établir les faits relatifs à l’exécution d’une mesure privative de liberté en cas de procédure juridictionnelle justifie cette conservation. Elle accueille favorablement la mise en œuvre d’une conservation en base intermédiaire et le fait que celle-ci soit prévue et encadrée par le décret réglementant le traitement. Elle considère en revanche que la durée fixée à neuf ans n’est pas justifiée en l’état des éléments transmis. Celle-ci devrait par exemple prendre en compte le délai de prescription permettant de contester le déroulement d’une mesure. 
E. Sur le droit à l’information 
Il est prévu que, conformément à l’article 104 de la loi du 6 janvier 1978 modifiée, l’information soit mise à la disposition des personnes concernées. L’information générale des personnes est assurée par la publication du décret, le site web du ministère, ainsi que par voie d’affichage dans les locaux de privation de liberté.
Le traitement est susceptible d’avoir des conséquences pour les personnes du fait de la conservation et de la centralisation de leurs données. Compte tenu de ces éléments, la CNIL estime qu’une information individuelle devrait être assurée au moment de l’inscription dans iGAV.
Par ailleurs, l’article 3 du projet de décret prévoit l’enregistrement de l’identité de l’avocat intervenant à la procédure pour assister la personne faisant l’objet d’une mesure privative de liberté. Cet enregistrement de données concerne également le médecin et l’interprète, les personnes prévenues, la personne autorisée à communiquer avec la personne privée de liberté, les personnes contactées ou le cas échéant, les personnes accompagnantes (proche, curateur, tuteur, mandataire spécial, employeur).
En conséquence, la CNIL estime que les personnes concernées, à l’exception des professionnels et auxiliaires de justice, devraient être informées individuellement du traitement de leurs données. 
F. Sur les droits d’accès, de rectification, d’effacement 
Le projet de décret ne précise pas " le service auprès duquel s’exerce le droit d’accès
‍ ", contrairement à ce que prévoit l’article 35 de la loi " informatique et libertés ".
La CNIL estime dès lors nécessaire que le projet de décret soit modifié afin de permettre aux personnes concernées d’identifier le service auquel elles doivent s’adresser pour exercer leurs droits. Le décret pourrait désigner un service comme unique interlocuteur. À défaut, il devrait désigner chacun des services auprès desquels s’exerce le droit d’accès de manière claire, en indiquant en particulier les critères permettant de déterminer la répartition des compétences de chaque service. 
G. Sur les mises en relation avec d’autres traitements
Il ressort de l’AIPD que le traitement est actuellement interconnecté au logiciel de rédaction des procédures de la police nationale (LRPPN) et a vocation à faire l’objet d’une interconnexion avec le logiciel de rédaction des procédures de la gendarmerie nationale (LRPGN).
Cela n'appelle pas d'observations de la part de la CNIL.
Le ministère a indiqué que le traitement iGAV ne fait actuellement l’objet d’aucune forme de mise en relation avec le traitement LRPGN. Il n’y a pas non plus d’interconnexion avec d’autres traitements de la DGGN.
La CNIL considère que l’AIPD devrait être modifiée pour prendre en compte l’unique interconnexion effective avec le LRPPN. 
H. Sur les mesures de sécurité 
La CNIL prend acte de ce que le traitement iGAV-MPL n’est accessible qu’aux utilisateurs de l’application, identifiés et habilités. L’application est accessible uniquement par authentification forte pour les utilisateurs métier de la police nationale, de la gendarmerie nationale et du ministère de la justice.
La CNIL prend acte de ce que des processus de suppression automatisés seront mis en œuvre pour assurer le respect de des durées de conservation définies.
S’agissant de la traçabilité, l’article 6 du projet de décret prévoit que " les opérations de collecte, de modification, de consultation, de communication, d’interconnexion et d'effacement des données à caractère personnel et informations font l’objet d’un enregistrement. Les journaux des opérations de consultation et de communication permettent d'établir le motif, la date et l'heure et d'identifier les personnes qui consultent ou communiquent les données et les destinataires de celles‑ci ". Il est précisé que " ces informations sont conservées pendant un délai de trois ans‍ ".
La CNIL considère ce délai de trois ans comme justifié en vue de permettre aux inspections générales de la police nationale, de la gendarmerie nationale, du ministère de la justice et aux autorités hiérarchiques des accédants au traitement iGAV-MPL d’accéder auxdites traces.
En revanche, s’agissant de l’analyses des traces, la CNIL considère que la mise en œuvre complémentaire d’un mécanisme automatique de contrôle de ces données serait de nature à améliorer la sécurité du traitement par la génération d’alertes en temps réel.
La Présidente
Marie-Laure DENIS
Date de l'avis : 9 mars 2023
N° de la délibération : 2023-019
N° de demande d'avis : 23000269
Textes concernés : projet de décret en Conseil d'Etat relatif à la consultation par les établissements publics de santé des données issues de la déclaration à l'embauche prévue par l'article L. 1221-10 du code du travail
Thématiques : cumul d'activités, établissements publics de santé, déclaration à l'embauche.
Fondement de la saisine : article L. 1451-5 du code de la santé publique
L'essentiel :
			La CNIL accueille favorablement les garanties apportées par le projet de décret dont les dispositions n'appellent pas d'observations majeures.
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (RGPD) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (loi "informatique et libertés" ) ;
Sur la proposition de M. Alexandre LINDEN, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
L'embauche d'un salarié ne peut intervenir qu'après déclaration nominative accomplie par l'employeur auprès des organismes de protection sociale désignés à cet effet, conformément aux articles L. 1221-10 et R. 1221-1 et suivants du code du travail.
Selon l'article L. 1451-5 du code de la santé publique (CSP), afin de contrôler le cumul irrégulier d'activités, l'autorité investie du pouvoir de nomination au sein des établissements publics de santé peut consulter des données issues des déclarations nominatives préalables à l'embauche dans des conditions fixées par un décret en Conseil d'Etat pris après avis de la Commission nationale de l'informatique et des libertés (CNIL).
B. - L'objet de la saisine
La CNIL est saisie par le ministère de la santé et de la prévention de ce projet de décret en Conseil d'Etat relatif à la consultation par les établissements publics de santé des données issues de la déclaration à l'embauche.
Ce projet encadre le traitement de données à caractère personnel constitué pour permettre aux établissements publics de santé de consulter, à certaines conditions, les données strictement nécessaires issues du traitement source de l'Agence centrale des organismes de sécurité sociale (ACOSS) centralisant les déclarations préalables à l'embauche. L'ACOSS en est responsable de traitement au sens de l'article 4-7 du RGPD.
II. - L'avis de la CNIL
La CNIL accueille favorablement les garanties apportées par le projet de décret, notamment :
- le respect du principe de minimisation (projet d'article R. 1451-21 du CSP) ;
- la durée de conservation adaptée et limitée aux besoins des établissements publics de santé de déclencher, le cas échéant et dans un délai maximum de trois ans, une procédure disciplinaire (projet d'article R. 1451-25 du CSP) ;
- la politique de gestion des habilitations et des accès réduisant significativement le nombre de personnes autorisées à consulter les données de la déclaration préalable à l'embauche (projet d'articles R. 1451-18 à R. 1451-20 du CSP) ;
- les critères définis pour restreindre les hypothèses de contrôle par l'autorité investie du pouvoir de nomination (projet d'article R. 1451-22 du CSP).
A. - Sur le droit à l'information
La CNIL prend acte de l'engagement du ministère de modifier le projet de décret pour que les agents publics concernés puissent être informés par tous moyens (et non exclusivement par le règlement intérieur) de la possibilité pour les établissements publics de santé de consulter les données les concernant et figurant dans les déclarations préalables à l'embauche.
Le support d'information pourra être un affichage, un courrier ou encore le site web de l'établissement, pourvu que l'information des agents soit effectivement réalisée. Le ministère proposera aux établissements publics de santé des mentions types d'information, conformes aux articles 12 à 14 du RGPD, qu'ils porteront à la connaissance des agents, par le canal qu'ils estiment le plus pertinent et le plus adapté à leurs situations respectives.
B. - Sur la politique de gestion des habilitations et des accès
Concernant la désignation des référents intervenant dans la politique de gestion des habilitations et des accès au sein des groupements hospitaliers de territoire, la CNIL prend acte de l'engagement du ministère de préciser le projet de décret, afin d'y intégrer la spécificité des établissements publics de santé bénéficiant de la dérogation visée par l'article L. 6132-1 du CSP autorisant un établissement public de santé à ne pas être partie à une convention de groupement hospitalier de territoire.
C. - Sur la sécurité
Selon le projet d'article R. 1451-20 du CSP, la consultation des données relatives au cumul d'activités sera réalisée via un "moyen technique sécurisé mis à disposition par l'Agence centrale des organismes de sécurité sociale" . Cette consultation sera rendue possible après vérification de l'identité des personnes concernées et autorisation d'accès de celles-ci. La CNIL prend acte de ce que ce moyen technique est constitué par le traitement automatisé relatif à l'enregistrement des déclarations préalables à l'embauche, dont l'accès est possible grâce à un site web.
La CNIL rappelle ses recommandations relatives à la sécurité, notamment en matière de gestion des mots de passe, de sécurisation des flux réseau et de journalisation.
Les autres dispositions du projet de décret n'appellent pas d'observations.
La présidente,
M.-L. Denis
Date de l'avis : 15 juin 2023
N° de la délibération : 2023-055
N° de demande d'avis : 23003555
Texte concerné : projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé " Système informatisé de suivi de politiques pénales prioritaires " (SISPoPP)
Thématiques : politiques pénales prioritaires, parquet, coordination
Fondement de la saisine : articles 89 et suivants de la loi du 6 janvier 1978 modifiée
L'essentiel :
La CNIL estime légitime la création du traitement SISPoPP visant à doter les juridictions d'un outil de suivi de politiques pénales prioritaires.
			Le projet de décret permet de créer un outil utile au fonctionnement des parquet et la CNIL estime nécessaire de procéder à cet encadrement réglementaire des échanges d'information pour la conduite des politiques pénales prioritaires. L'instruction a conduit à apporter plusieurs modifications au projet de décret qui permettent de clarifier le périmètre du traitement ainsi que les durées de conservations des données. Si le projet de décret mentionne désormais expressément l'utilisation de SISPoPP pour le partage d'informations dans le cadre des instances de concertation auxquelles participent les procureurs de la République, la CNIL appelle toutefois l'attention du Gouvernement sur la nécessité d'un cadre juridique plus général afin d'encadrer ces échanges d'informations qui n'ont pas seulement lieu en lien avec le suivi d'une politique pénale prioritaire.
S'agissant des modalités concrètes de mise en œuvre du traitement, la solution manuelle actuellement retenue pour la mise à jour des données issues des mises en relation avec d'autres traitements devrait être transitoire : un procédé automatisé de mise à jour des données devrait être mis en place. En outre, il serait nécessaire de prévoir une authentification de même niveau que celle par carte agent pour les utilisateurs amenés à renseigner les données mais ne pouvant à l'heure actuelle bénéficier d'une telle carte.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d'une demande d'avis et d'une saisine rectificative concernant un projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé " Système informatisé de suivi de politiques pénales prioritaires " (SISPoPP) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 89 et suivants ;
Après avoir entendu le rapport de Mme Christine MAUGÜÉ, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement.
Adopte la deliberation suivante :
I. - La saisine
A. - Contexte de la saisine
Le ministre de la justice conduit la politique pénale déterminée par le Gouvernement et veille à la cohérence de son application sur le territoire de la République. Ainsi, il adresse régulièrement des instructions de politique pénale aux parquets fixant les infractions à l'encontre desquelles une attention particulière doit être portée, et fixe les modalités de mise en œuvre de ces politiques pénales prioritaires qui sont ensuite déclinées localement.
Dans un contexte de renforcement des dispositifs de protection des victimes et de suivi des auteurs de violences conjugales, les juridictions ont besoin de bénéficier d'un outil de pilotage des politiques pénales prioritaires pour centraliser les informations et les pièces de procédures pertinentes au suivi des situations et à la prise de décision, par personne et non exclusivement par procédure. Le ministère précise que, aux termes des rapports des missions d'inspection sur les homicides conjugaux survenus à Mérignac le 4 mai 2021 et à Hayange le 20 mai 2021, a été souligné le besoin d'un renforcement de ces dispositifs.