AgentPublic/cnil huggingface dataset:
Le projet d’arrêté précise que ces différents personnels n’auront accès aux données que dans le cadre de l’exercice de leurs missions, pour une procédure dont ils sont saisis et dans la limite du besoin d’en connaître. 
 
S’agissant des agents spécialisés, techniciens et ingénieurs de police technique et scientifique et les agents de la gendarmerie nationale agissant en qualité de personne qualifiée ou d’expert, le ministère a précisé que leur accès au traitement à des fins d’identification d’un agent pouvait être nécessaire dans le cadre de l’exploitation de scellés, ce dont la Commission prend acte. 
 
Elle prend également acte, qu’à l’exception de l’hypothèse dans laquelle ils rechercheraient le nom et le prénom d’agents de leur propre direction, les agents de la DGSI n’auront accès qu’aux seules informations relatives au service ou unité d’affectation de l’agent et au numéro à contacter. 
 
Elle prend acte, enfin, s’agissant de l’accès aux informations relatives à des agents de la DGSI que seuls les magistrats et les agents de la DGSI pourront accéder aux informations nominatives, les autres destinataires ayant uniquement accès aux informations relatives au service ou unité d’affectation de l’agent et au numéro de téléphone à contacter.
Cette même restriction sera mise en œuvre concernant les agents et militaires des unités d’intervention spécialisées dans la lutte contre le terrorisme (RAID, GIGN, BRI), pour lesquels seules les données relatives au service ou à l’unité et aux coordonnées téléphoniques seront consultables via l’interface.
 
Dans ces conditions, l’accès à tout ou partie des données par les destinataires précités apparaît justifié à la Commission. 
 
En dehors de ces destinataires, le projet d’arrêté prévoit, à des fins d’identification d’agents relevant de la DGPN et de la préfecture de police, l’utilisation de l’interface IDPV par des agents relevant de l’Inspection générale de la police nationale (IGPN). De même, il est prévu que les agents relevant de l’inspection générale de la gendarmerie nationale (IGGN) puissent accéder au traitement pour l’identification des agents relevant de la gendarmerie nationale. 
 
Dans la mesure où la seule mention d’un numéro d’immatriculation dans un acte de procédure pourrait faire obstacle au bon exercice par ces corps d’inspection de leurs missions respectives, la Commission juge justifiées les consultations ainsi envisagées. 
 
Sur l’information et les droits des personnes concernées :
Le projet d’arrêté dispose que le droit à l’information prévu à l’article 32 de la loi du 6 janvier 1978 modifiée s’applique au traitement IDPV. La Commission prend acte que l'information des agents ayant recours au numéro d'immatriculation administrative et étant donc susceptibles d'être identifiés par le traitement IDPV sera réalisée par le biais des mentions figurant dans le formulaire à compléter pour obtenir l’autorisation de ne pas être identifié par leurs nom et prénom dans un acte de procédure.
 
Le projet d’arrêté prévoit en outre que le droit d’accès prévu à l’article 39 de la même loi s’exerce auprès de la DGPN et de la DGGN. La Commission prend acte que les intéressés pourront, dans le cadre de l’exercice de ce droit, demander s’ils ont fait l’objet d’une demande d’identification par l’interface IDPV.
Le projet d’arrêté précise toutefois que " le droit de rectification prévu à l’article 40 de la même loi ne s’applique pas ". Si la Commission prend acte que l’intention du ministère est de souligner que les données consultées par le biais du traitement IDPV seront uniquement enregistrées dans les traitements Aghora, RIO et IDdouane précités, elle souligne qu’a été prévu l’exercice d’un droit d’accès aux données du traitement IDPV dans les conditions définies à l’article 39 de la loi du 6 janvier 1978 modifiée, compte tenu de l’enregistrement des traces de consultation, qui comportent notamment des données d’identification relatives aux utilisateurs de l’interface. Dans ces conditions, elle estime que doit être supprimée du projet d’arrêté la disposition précisant que le droit de rectification ne s’applique pas au traitement. Elle prend acte que le ministère s’engage à procéder à cette suppression. 
 
Le projet d’arrêté prévoit également que le droit d’opposition prévu à l’article 38 de la même loi ne s’applique pas au traitement, ce qui n’appelle pas d’observation de la part de la Commission. 
 
Sur les mesures de sécurité du traitement :
 
La Commission prend acte que le traitement consiste en une interface web de consultation et qu’il est hébergé au sein d’une zone militaire sécurisée.
Elle prend également acte que l’accès à l’interface de consultation est opéré par l’intermédiaire des portails informatiques du ministère de l’intérieur " CHEOPS NG " (police nationale) et " PROXYMA " (gendarmerie nationale), qui intègrent un dispositif de contrôle des habilitations individualisées.
 
Les échanges sont sécurisés au moyen de SSL.
 
Le traitement IDPV met en œuvre une traçabilité des opérations de consultation.
 
Dans ces conditions, la Commission considère que les mesures prévues par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
 
 
Pour la Présidente
 
 
Le vice-président délégué Marie-France MAZARS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret modifiant le décret n° 2012-895 du 19 juillet 2012 portant autorisation d’un traitement automatisé de données à caractère personnel dénommé " Agorha " relatif à la gestion des ressources humaines de la gendarmerie nationale ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article 15-4 ;
Vu le code de la sécurité intérieure, notamment ses articles L. 229-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 27 et 30-II ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2012-895 du 19 juillet 2012 modifié portant autorisation d’un traitement de données à caractère personnel dénommé " Agorha " relatif à la gestion des ressources humaines de la gendarmerie nationale ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l’avis suivant :
 
La Commission a été saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret modifiant le décret n° 2012-895 du 19 juillet 2012 portant autorisation d’un traitement automatisé de données à caractère personnel dénommé " Agorha " relatif à la gestion des ressources humaines de la gendarmerie nationale.
 
Ce projet a pour objet de permettre une mise en relation du traitement Agorha avec le traitement dénommé " interface de levée de l’anonymat des agents de la police et de la gendarmerie nationales et des douanes dans les actes de procédure " (IDPV), qui doit être mis en œuvre par la Direction générale de la police nationale (DGPN) et par la Direction générale de la gendarmerie nationale (DGGN) du ministère de l’intérieur et dont le projet d’acte de création a été soumis à la Commission.
Il s’explique par l’adoption récente de plusieurs dispositions législatives permettant notamment aux agents de la gendarmerie nationale de ne pas s’identifier dans des actes de procédure par leur nom et prénom et d’y substituer un numéro d’immatriculation administrative, complété par la qualité et le service d’affectation de l’agent. Cette faculté, dont la mise en œuvre est conditionnée par l’autorisation du responsable hiérarchique, vise à protéger les agents concernés de risques de représailles par des délinquants ou des criminels faisant l’objet de procédures.
 
Initialement réservée aux seuls officiers et agents de police judiciaire affectés dans les services spécialement chargés de la lutte contre le terrorisme, la possibilité de ne pas être identifié par ses nom et prénom a été étendue par l’article 15-4 du code de procédure pénale, issu de la loi n° 2017-258 du 28 février 2017 relative à la sécurité publique, aux agents de la gendarmerie nationale intervenant dans le cadre des procédures relatives à un crime ou un délit puni d’au moins 3 ans d’emprisonnement ou dans le cadre des procédures relatives à un crime ou un délit puni de moins de 3 ans lorsqu’en raison de circonstances particulières dans la commission des faits ou de la personnalité des personnes mises en cause, la révélation de l’identité de l’agent est susceptible de mettre en danger sa vie ou son intégrité physique ou celle de ses proches.
L’article L. 229-2 du CSI, créé par la loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme, a ensuite étendu cette possibilité, en matière de police administrative, aux procès-verbaux relatant les opérations de visite et saisie effectuées aux seules fins de prévenir la commission d’actes de terrorisme.
 
Dès lors qu’un certain nombre d’actes de procédure ne comporteront plus les nom et prénom des agents ayant participé à leur accomplissement, l’autorité judiciaire ainsi que les agents de la police nationale, de la gendarmerie nationale ou des douanes devant connaître de ces procédures doivent pouvoir accéder aux nom et prénom des agents identifiés par un numéro d’immatriculation. 
 
La DGPN et la DGGN souhaitent donc mettre en œuvre une interface unique, IDPV, permettant d’accéder, à partir du numéro d’immatriculation administrative complété, le cas échéant, par le numéro de la procédure, aux données à caractère personnel nécessaires à l’identification de l’agent et de son service d’affectation. Ces données étant enregistrées, s’agissant des agents relevant de la gendarmerie nationale, dans le traitement Agorha, il est prévu que l’interface IDPV interroge ce traitement.
L’objet du projet de décret soumis à la Commission est de procéder aux modifications du décret du 19 juillet 2012 susvisé nécessaires pour autoriser et encadrer cette consultation. Le projet prévoit ainsi de compléter les dispositions de l’article 3 du décret du 19 juillet 2012 précité, en précisant que peuvent être destinataires de données issues du traitement :
des magistrats du ministère public, des juridictions d’instruction, des juridictions répressives de jugement et des juridictions d’application des peines ainsi que les greffiers qui les assistent ;
des agents et officiers de police judiciaire et fiscaux de la Direction générale de la police nationale, de la Direction générale de la gendarmerie nationale, de la préfecture de police ;
des agents spécialisés, techniciens et ingénieurs de police technique et scientifique de la police nationale ;
les agents de la gendarmerie nationale agissant en qualité de personne qualifiée ou d’expert ;
les agents du service national de douane judiciaire, habilités sur le fondement de l’article 28-1 du CPP ;
des agents de la direction générale de la sécurité intérieure ;
les agents relevant de l’Inspection générale de la gendarmerie nationale (IGGN).
Le projet de décret précise que la consultation de données par ces destinataires ne peut intervenir qu’en cas de nécessité d’identification des personnels de la Gendarmerie nationale apparaissant dans un acte de procédure sous un numéro d’immatriculation administrative en application des articles 15-4 du CPP ou L. 229-2 du CSI et selon les modalités prévues par l’acte créant l’interface IDPV.
 
Il ressort en outre du dossier qu’en dehors de l’hypothèse particulière de l’utilisation du dispositif par l’IGGN pour l’accomplissement de ses missions de contrôle, l’accès à des données issues du traitement Agorha par le biais de l’interface IDPV n’interviendra que dans les hypothèses suivantes :
lorsqu’une partie à la procédure considère que la connaissance des nom et prénom d’une personne ayant été autorisée à s’identifier par un numéro d’immatriculation est nécessaire à l’exercice des droits de la défense, notamment en raison de la contestation des faits énoncés dans les procès-verbaux et rapports ou des conditions de leur recueil et que le juge d’instruction ou le président de la juridiction de jugement ordonne la révélation de ces informations ;
en cas de demande d’annulation d’un acte de procédure fondée sur la violation des formes prescrites par la loi dont l’appréciation nécessite la révélation de l’identité des personnes qui sera communiquée au juge d’instruction, au président de la chambre de l’instruction ou au président de la juridiction, qui statueront sans verser ces éléments dans le cadre du débat contradictoire ni indiquer l’identité des personnes dans leur décision ;
en cas de poursuite d’une enquête par un autre service ou en cas d’enquête en co-saisine, les agents de la police, de la gendarmerie nationale et de la douane désignés par un numéro d’immatriculation devant pouvoir être identifiables par les autres agents amenés à connaître de la procédure judiciaire ou administrative ;
pour permettre au juge qui a autorisé une saisie sur le fondement de l’article L. 229-2 du CSI et aux juridictions saisies à cet effet de connaître l’identité des agents qui ont procédé à la visite et à la saisie.
 
La Commission prend également acte que seules pourront être consultées, dans ce cadre, les données concernant :
le grade, le nom, le prénom et la qualité judiciaire de l’agent ;
le service ou l’unité dans lequel il est affecté ;
l’adresse électronique professionnelle et le numéro de téléphone du service ou de l’unité.
La Commission considère que la consultation de ces informations par les destinataires mentionnés par le projet de décret, dont la nécessité découle de l’application de dispositions législatives, est justifiée et n’est pas incompatible avec les finalités du traitement Agorha. 
 
Le projet de décret soumis à la Commission prévoit également d’autoriser, de manière dérogatoire, la conservation des données à caractère personnel permettant l’identification des agents de la gendarmerie nationale pendant les 20 ans qui suivent la rupture de tout lien avec l’administration de la gendarmerie nationale. La Commission prend acte qu’une telle conservation est nécessaire pour permettre l’identification des agents qui auraient quitté l’administration mais dont le numéro d’immatriculation figurerait sur des actes relatifs à des procédures toujours en cours. En outre, la durée de conservation prévue n’apparaît pas excessive compte tenu de la longueur des procédures concernées et des durées de prescription applicables, en particulier en matière criminelle, ainsi que de l’encadrement strict des possibilités d’utilisation des données pendant cette durée.
 
Elle rappelle par ailleurs que les durées ainsi définies en matière de conservation des données s'appliquent sans préjudice des dispositions du code du patrimoine relatives à l'archivage public et du versement en base d'archives des tables de correspondances permettant l'identification des agents de la gendarmerie nationale.
Enfin, le projet de décret prévoit un allongement de la durée de conservation des traces de consultation du traitement, qui doit passer de 5 ans à 6 ans. Une telle évolution, compte tenu des enjeux particuliers soulevés par la protection des données relatives aux agents de la gendarmerie nationale, n’appelle pas d’observation de la part de la Commission. 
 
 
 
 
 
 
 
Pour la Présidente
 
 
Le vice-président délégué Marie-France MAZARS
Extrait du Journal officiel électronique authentifié PDF - 2,3 Mo
Le bureau de la Commission nationale de l'informatique et des libertés,
Vu le code de la sécurité intérieure, notamment son article L. 253-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 11 (2°, f), 19, 20 et 44 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 57 à 60 ;
Vu la délibération n° 2004-071 du 9 septembre 2004 portant délégation d'attributions au bureau de la Commission nationale de l'informatique et des libertés ;
Après avoir entendu M. Emmanuel de GIVRY, vice-président délégué, en son rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations, Décide :
Article 1
	Les agents de la Commission nationale de l'informatique et des libertés ci-après désignés sont habilités, à raison de leurs fonctions, à effectuer les visites et vérifications mentionnées à l'article 44 de la loi du 6 janvier 1978 susvisée et à l'article L. 253-3 du code de la sécurité intérieure :
	M. Marc-André BEAUDET, ingénieur au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ;
	M. Olivier DESBIEY, chargé des études prospectives à la direction des études, de l'innovation et de la prospective ;
	M. Edouard DOLLEY, ingénieur au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise ;
Mme Amal MARC, juriste au service des affaires juridiques à la direction des affaires juridiques, internationales et de l'expertise ;
	Mme Ingrid NKOUENJIN, juriste au service des correspondants à la direction des relations avec les usagers et du contrôle ;
	M. Frédéric PATTE-BRASSEUR, auditeur des systèmes d'information au service des contrôles à la direction des relations avec les usagers et du contrôle ;
	Mme Clémence SCOTTEZ, juriste au service des correspondants à la direction des relations avec les usagers et du contrôle ;
	M. Vincent TOUBIANA, ingénieur au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise.
Liens relatifs
Article 2
	L'habilitation mentionnée à l'article 1er est délivrée pour une durée de cinq ans.
Article 3
	Sont supprimés, à l'article 1er de la délibération n° 2013-092 du 11 avril 2013 habilitant des agents de la CNIL à procéder à des missions de vérification sur place, les noms des personnes suivantes :
	M. Marc-André BEAUDET, auditeur des systèmes d'information au service des contrôles à la direction des relations avec les usagers et du contrôle ;
	M. Armand HESLOT, ingénieur au service de l'expertise informatique à la direction des affaires juridiques, internationales et de l'expertise.
Liens relatifs
Article 4
	La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
Fait le 19 septembre 2013.
La présidente,
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'économie et des finances d'une demande d'avis concernant un projet d'arrêté portant création à la direction générale des finances publiques d'un traitement automatisé de données à caractère personnel de fiabilisation des états civils et de gestion des anomalies dans l'identification des usagers ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le livre des procédures fiscales, notamment ses articles L. 287, L. 288 A et R.* 287-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 27-II (2°) ;
Vu la loi n° 2016-1917 du 29 décembre 2016 de finances pour 2017, notamment son article 60 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 17 janvier 2008 modifié relatif à la mise en service par la direction générale des finances publiques d'un traitement automatisé d'identification des personnes physiques et morales dénommé PERS ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-Luc VIVET, commissaire, après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis, par le ministre de l'économie et des finances, d'un projet d'arrêté portant création à la direction générale des finances publiques (DGFiP) d'un traitement automatisé de données à caractère personnel de fiabilisation des états civils et de gestion des anomalies dans l'identification des usagers.
L'article 60 de la loi du 29 décembre 2016 de finances pour 2017, qui instaure le prélèvement à la source de l'impôt sur le revenu, prévoit que la mise en œuvre de cette contribution s'appuie sur la communication à l'administration fiscale, par le tiers versant le revenu, des informations nécessaires à la détermination du taux de prélèvement applicable à chaque bénéficiaire de revenus, taux que la DGFiP transmet en retour au tiers versant.
Dans ce contexte, la nécessité de garantir l'identification des contribuables a conduit la DGFiP à réaliser plusieurs campagnes de fiabilisation des identifiants fiscaux (SPI) par l'interrogation du répertoire national d'identification des personnes physiques et la collecte du NIR, campagnes au sujet desquelles la Commission a été consultée. Toutefois, il reste un certain nombre de contribuables connus du système d'information de la DGFiP par leur numéro SPI mais dont l'identité n'est pas certifiée au regard de ce répertoire.
Le présent projet d'arrêté vise dès lors à faire évoluer les modalités de mise en œuvre du dispositif de gestion des anomalies dans l'identification des contribuables dénommé FIABPERS , afin de permettre la fiabilisation de l'état civil des contribuables dont l'identité n'est pas certifiée. Dans la mesure où le traitement porte sur des données parmi lesquelles figure le NIR et compte tenu du fait qu'il est utilisé par des services ayant pour mission d'établir l'assiette, de contrôler et de recouvrer des impositions, sa mise en œuvre doit être autorisée par arrêté ministériel pris après avis motivé et publié de la Commission, conformément aux dispositions de l'article 27-II (2°) de la loi du 6 janvier 1978 modifiée.
Sur les finalités du traitement :
Les articles 1er et 2 du projet d'arrêté prévoient d'autoriser la DGFiP à mettre en œuvre un traitement dénommé FIABPERS pour permettre la fiabilisation des états civils des usagers ainsi que l'enregistrement et le suivi des anomalies d'identification des personnes et leur suivi.
S'agissant de l'objectif de fiabilisation des états civils, la Commission prend acte qu'il s'agit de permettre aux services locaux de la DGFiP de collecter directement auprès des contribuables non certifiés les informations relatives à leur état civil, ainsi que leur NIR le cas échéant. Il est prévu que cette collecte s'effectue chaque fois qu'un agent se trouve en présence d'une personne connue du système d'information de la DGFiP mais dont l'identité n'est pas certifiée, par la présentation par les personnes concernées des pièces justificatives nécessaires. La Commission relève que les données ainsi fiabilisées seront intégrées dans le référentiel PERS d'identification des personnes physiques et morales.