AgentPublic/cnil huggingface dataset:
Le législateur a assorti l'exercice de ce droit de communication de plusieurs garanties de nature à concilier l'objectif poursuivi de lutte contre la fraude et le respect de la vie privée et de la protection des données à caractère personnel : les renseignements transmis ne peuvent être utilisés que dans le cadre du recouvrement des sommes dues et ne peuvent pas être communiqués à d'autres personnes que celles chargées du recouvrement de ces sommes ou qu'à l'autorité judiciaire (en cas d'usurpation d'identité). Les demandes des exploitants et les réponses sont transmises par l'intermédiaire d'une personne morale unique, dont les agents, spécialement désignés et habilités à cet effet, sont tenus au secret professionnel.
Le projet de décret introduit également plusieurs garanties que la CNIL juge essentielles : il prévoit notamment que seuls les fichiers régulièrement mis à jour soient interrogés et que les renseignements demandés ne soient fournis que si les éléments d'identification de la personne concernée contenus dans la demande ne correspondent qu'à une seule et même personne physique. Par ailleurs, le projet limite strictement les personnes qui peuvent accéder aux données au sein des exploitants de service de transport et de la personne morale unique, et prévoit que l'habilitation des agents de la personne morale unique soit délivrée à la suite du suivi d'une formation initiale et continue en matière de protection des données à caractère personnel.
La CNIL rappelle que la communication de ces informations aux exploitants de service de transport constituera un traitement de données à caractère personnel, qui devra respecter les dispositions régissant ces traitements. En l'espèce, tant les organismes fournissant les données que la personne morale unique assumeront une part de responsabilité dans le traitement des données. Cette communication est soumise au RGPD.
B. - Sur le périmètre du droit de communication
Les fichiers concernés par le droit de communication :
Le projet d'article R. 2241-7-3 du code des transports prévoit que seuls les fichiers nationaux permettant d'obtenir des adresses de personnes physiques régulièrement mises à jour entrent dans le champ d'application de l'article L. 2241-2-1 du code des transports.
La formulation employée ne permet pas de déterminer précisément le ou les fichiers concernés. Le ministère a indiqué que la rédaction employée doit permettre de s'adapter aux éventuelles évolutions du dispositif ou de la configuration et des caractéristiques des fichiers concernés. Bien que la loi autorise l'interrogation de fichiers des organismes de sécurité sociale, il précise que le dispositif envisagé aura pour le moment recours uniquement à l'interface de programmation d'application recherche des personnes physiques ( API R2P ), produite par la direction générale des finances publiques (DGFiP). Ce choix s'explique, selon le ministère, par la qualité et l'étendue du jeu de données qu'elle contient. Concrètement, cette API interroge :
- la base de données nationale dénommée PERS qui a pour objet de constituer un service unique d'identification des contribuables ;
- le référentiel occurrence fiscal (OCFI) qui dispose des adresses des contribuables, lesquelles sont mises à jour notamment à chaque campagne de recouvrement de l'impôt sur le revenu. Ce référentiel est également alimenté par les fichiers de la Poste, JCC (démarche je change mes coordonnées ) ainsi que par les mises à jour des contribuables et des agents de la DGFiP via le flux e-contact (messagerie sécurisée de la DGFiP).
Aucun autre fichier ou base de données ne serait consulté dans l'hypothèse où l'API R2P ne permettrait pas d'obtenir les informations demandées.
La CNIL considère que ce choix est de nature à permettre le respect de l'obligation de traiter des données exactes et tenues à jour, conformément à l'article 5.1.c du RGPD.
Elle relève toutefois que le projet de décret vise à la fois les administrations publiques et les organismes de sécurité sociale. Or, le dispositif prévu par le ministère à ce jour n'implique pas la consultation de fichiers des organismes de sécurité sociale. La CNIL prend acte des engagements du ministère de supprimer la mention relative aux fichiers des organismes de sécurité sociale.
La nature des informations échangées :
En premier lieu, le projet d'article R. 2241-7-5 prévoit que les demandes de renseignements comportent le numéro et la date du procès-verbal, les nom et prénom(s) du contrevenant ainsi qu'au moins une des indications suivantes : sa date de naissance ; sa commune de résidence.
Si l'API R2P ne requiert pas les informations relatives à la date et au numéro du procès-verbal, le ministère a précisé que :
- la date du procès-verbal permet à la personne morale unique de contrôler que celui-ci ne date pas de plus de trois mois, l'article 529-5 du code de procédure pénale prévoyant qu'au-delà de ce délai l'amende forfaitaire sera recouvrée par le Trésor public et non plus par l'exploitant du service de transport ;
- le numéro de procès-verbal permet de s'assurer que chaque demande est associée à une infraction effectivement constatée et de limiter le risque d'abus par les agents des exploitants, en complément du contrôle que doit exercer l'exploitant en interne.
La CNIL prend acte des engagements du ministère de préciser, dans le projet de décret, que la date et le numéro du procès-verbal ne sont pas transmis aux administrations publiques. Sous cette réserve, la CNIL considère que ces informations sont de nature à garantir que le droit de communication porte sur des demandes spécifiques et précises et à permettre un contrôle adéquat par la personne morale unique.
En deuxième lieu, le projet d'article ouvre la possibilité de préciser la commune de naissance du contrevenant ou toute autre information utile au traitement de leur demande.
Le ministère a affirmé que les informations seront uniquement celles exigées pour le fonctionnement de l'API ou de la plateforme mise en place par la personne morale unique. Il s'agit d'informations relatives :
- au contrevenant : département, pays en plus de la commune de résidence, adresse communiquée par le contrevenant ;
- à des spécificités techniques de l'exploitant du service de transport concerné : identifiant du réseau de l'exploitant, identifiant de connexion à l'application, identifiant supplémentaire (champ libre selon usage des exploitants), date de la demande.
S'agissant de l'identifiant supplémentaire , le ministère a précisé, d'une part, qu'il ne doit pas s'agir d'une donnée à caractère personnel et, d'autre part, que le champ sera soit supprimé, soit modifié pour répondre à une nomenclature strictement définie en fonction des besoins des opérateurs de transport, soit assorti d'une alerte automatique pour rappeler qu'il ne doit en aucun cas mentionner des données à caractère personnel. La CNIL en prend acte et invite le ministère à une vigilance renforcée quant à la nature des informations pouvant être communiquées.
Elle invite également à mentionner explicitement que le lieu de résidence et le lieu de naissance peuvent être traités afin d'inclure, outre la commune, le département et le pays. Sur ce point, la CNIL prend acte des engagements du ministère d'inclure le département et le pays. La CNIL estime que les informations utiles , dont la transmission est également possible, ne devraient pas contenir de données à caractère personnel ne correspondant à aucune des catégories mentionnées par le décret.
En troisième lieu, le dernier alinéa du projet d'article R. 2241-7-5 prévoit que les informations fournies par l'intermédiaire de la personne morale unique comportent uniquement les nom, prénom(s), date et lieu de naissance du contrevenant, ainsi que l'adresse de son domicile.
Ces informations sont conformes à celles prévues par l'article L. 2241-2-1 du code des transports et sont bien nécessaires à la finalité poursuivie.
Le ministère a précisé que, dans l'hypothèse où, pour une personne donnée et identifiée, l'API R2P contiendrait plusieurs adresses, seule la dernière adresse connue sera transmise à l'agent à l'origine de la demande.
En dernier lieu, le dernier alinéa du projet d'article R. 2241-7-2 prévoit que, s'il ne peut être donné suite à la demande de l'exploitant du service de transport à l'origine de la demande, la raison doit en être indiquée (aucune personne n'a pu être identifiée sur la base des informations communiquées ou, au contraire, plusieurs personnes correspondent aux éléments fournis).
C. - Sur le recours systématique au dispositif de fiabilisation de l'adresse du contrevenant
Si le projet de décret reste silencieux sur ce point, le ministère a indiqué que le recours au dispositif de fiabilisation serait systématique pour tout recouvrement des sommes dues au titre de la transaction mentionnée à l'article 529-4 du code de procédure pénale.
Le ministère justifie le caractère systématique par :
- l'absence de critères objectifs permettant de faire le tri entre les cas où la fiabilisation serait nécessaire et ceux où les agents de recouvrement pourraient s'en dispenser ;
- la nécessité d'assurer la viabilité économique du dispositif pour les opérateurs qui souhaitent éviter au maximum que les avis de recouvrement soient retournés faute d'avoir utilisé une adresse fiable.
Compte tenu de la finalité du dispositif prévu par la loi (la fiabilisation des données relatives aux contrevenants) et au regard des garanties prévues par le projet de décret, la CNIL considère que le caractère systématique du recours au dispositif ne porte pas une atteinte disproportionnée aux droits et libertés des personnes concernées.
D. - Sur les durées de conservation des données à caractère personnel
S'agissant de la conservation des données par la personne morale unique :
Le projet d'article R. 2241-7-7 prévoit que la personne morale unique peut conserver les demandes de renseignements pour une durée maximale de trois mois à compter de l'établissement du procès-verbal qui fonde la demande. Elle prévoit également que les réponses aux demandes sont supprimées dans un délai maximal d'un mois à compter de leur mise à disposition de l'exploitant de service de transport.
Le ministère a précisé que la possibilité de conserver les demandes de renseignements pendant le délai qui permet aux exploitants de recouvrer les sommes dues (avant transmission au Trésor public) constitue une rédaction de précaution qui doit permettre d'anticiper d'éventuelles difficultés techniques que pourrait rencontrer le système. Il justifie la durée de conservation, par la personne morale unique, des réponses aux demandes mises à la disposition des agents des exploitants, au regard de la disponibilité de ces agents dont il ne peut être exigé qu'ils consultent les réponses et les exploitent instantanément.
La conservation de l'ensemble des demandes pendant trois mois constitue une liste des personnes ayant fait l'objet d'une contravention avec procédure de recouvrement, dès lors que la vérification sera, en pratique, systématique. La CNIL estime, en l'état du dossier, que seule la conservation du numéro de la demande et du fait qu'elle a été traitée semble utile une fois que la réponse a été apportée, opération qui devrait en pratique être très brève. Conformément à l'article 5.1.d du RGPD, la durée de conservation des données à caractère personnel doit être déterminée en fonction des finalités pour lesquelles elles sont traitées et non des enjeux techniques inhérents au dispositif. S'il peut être admis que les données à caractère personnel puissent être conservées au-delà de la transmission des informations, notamment parce que la réponse ne peut être traitée immédiatement par l'exploitant, la possibilité de conserver pendant un délai de trois mois à compter de l'établissement du procès-verbal l'ensemble des demandes reçues ne respecte pas le principe de limitation de la durée de conservation.
La CNIL prend acte des engagements du ministère de préciser, dans le projet de décret, que tant les demandes que les réponses seront supprimées dès réception par l'exploitant de la réponse à la demande. Elle prend également acte de l'engagement du ministère que pour couvrir les cas de dysfonctionnements empêchant une réception immédiate, il sera précisé que le délai ne pourra pas excéder le délai de recouvrement.
S'agissant de la conservation des données par l'administration publique ou les organismes de sécurité sociale :
Le projet d'article R. 2241-7-7 prévoit que les administrations publiques et organismes de sécurité sociale conservent les données issues de l'échange pour une durée maximale de six mois.
Le ministère a précisé que ce choix est uniquement dû aux limitations techniques de l'API R2P qui prévoit une seule et unique durée de conservation des données pour l'ensemble des utilisateurs concernés, indépendamment de la finalité poursuivie par une demande en particulier.
Tout d'abord, la CNIL s'interroge sur l'opportunité d'encadrer la durée de conservation des données issues de l'échange (demandes formulées et réponses transmises) dans cet acte règlementaire si celui-ci est commun à tous les usages pour lesquels l'API est amenée à être utilisée. Si le ministère souhaite règlementer la durée de conservation des données pour le seul usage prévu par le projet de décret, cette durée doit être adaptée aux finalités pour lesquelles les données sont traitées. En effet, la CNIL considère que le choix d'une solution technique particulière ne doit pas déterminer la définition de la durée de conservation, en application du principe de limitation de la conservation des données posé par l'article 5.1.d du RGPD.
Ainsi, la durée de conservation des échanges devrait être celle nécessaire à la conduite de la procédure de recouvrement ainsi qu'aux fins de preuve en cas de contestation de l'amende forfaitaire majorée pour les infractions à la police des transports.
E. - Sur l'information et les droits des personnes concernées
Sur l'information des personnes concernées :
Le projet d'article R. 2241-7-8 du code des transports prévoit que le public est informé par tout moyen approprié de la vérification des données à caractère personnel déclarées par les personnes concernées lors de l'établissement d'un procès-verbal.
Le ministère précise que l'information sera délivrée sur les sites web propres à chaque exploitant ainsi que sur celui du ministère chargé des transports. Une information par voie d'affichage dans les moyens de transports serait également envisagée.
La CNIL recommande que l'information des personnes concernées soit également fournie par l'inscription de mentions au dos du reçu de procès-verbal d'infraction et, le cas échéant, dans l'avis de recouvrement qui est adressé. En tout état de cause, elle rappelle que cette information doit être concise, compréhensible et aisément accessible, rédigée en des termes clairs et simples, en particulier dans la mesure où elle peut être adressée à des mineurs.
En outre, la CNIL rappelle que dans l'hypothèse où l'avis de contravention serait adressé à une personne qui n'est pas le véritable contrevenant (par exemple, dans le cas d'une usurpation d'identité), cette dernière doit être en mesure de pouvoir contester celui-ci selon des modalités appropriées. Elle invite le ministère à prévoir ces dernières et à les porter à la connaissance des personnes concernées.
F. - Sur les mesures de sécurité encadrant le droit de communication
La CNIL observe que le projet d'article R. 2241-7-3 du code des transports prévoit que "le droit de communication […] s'exerce par voie dématérialisée dans le cadre d'un dispositif sécurisé , et que le projet d'article R. 2241-7-6 précise que les échanges d'information entre les exploitants de service de transport et la personne morale unique, d'une part, et la personne morale unique et les administrations publiques et organismes de sécurité sociale d'autre part, sont réalisés dans des conditions sécurisées, de nature à garantir la confidentialité et l'intégrité des données qui transitent ".
Elle prend acte de ces précisions visant à garantir la création d'un dispositif assurant la sécurité des données traitées et du fait que les conditions de mise en œuvre du dispositif seront précisées dans des conventions conclues entre les parties concernées.
La CNIL relève, par ailleurs, que le projet d'article R. 2241-7-4 du code des transports vise à permettre l'identification des agents à l'origine des demandes d'information, afin de garantir la traçabilité des demandes effectuées par le biais de la personne morale unique. Elle considère que la traçabilité ne devrait pas reposer uniquement sur la personne morale unique mais qu'elle devrait également être effectuée au niveau de l'exploitant du service de transport, notamment pour ce qui concerne la capacité à rendre compte du lien entre les demandes transmises et l'existence d'un procès-verbal. La CNIL prend également acte de l'engagement du ministère de préciser le projet de décret en ce sens.
Enfin, la CNIL considère que les traitements mis en œuvre conformément à l'article L. 2241-2-1 du code des transports sont susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes physiques et qu'une analyse d'impact relative à la protection des données à caractère personnel devra être réalisée avant leur mise en œuvre.
Liens relatifs
La présidente,
M.-L. Denis
N° de demande d'avis : 23015557.
			Thématiques : fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAIS), ministères de l'agriculture et de la culture, personnes mineures.
			Organisme(s) à l'origine de la saisine : ministère de la justice.
			Fondement de la saisine : Article 31-II de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés.
L'essentiel :
La CNIL considère que la consultation des données par les deux nouveaux accédants envisagés, à savoir les ministères de l'agriculture et de la culture, apparaît justifiée et proportionnée.
Les autres modifications opérées par le projet de décret ont pour objet de mettre la partie réglementaire du CPP relative au FIJAIS en conformité avec les évolutions législatives intervenues depuis 2019 et n'appellent pas d'observations de la CNIL.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ( loi informatique et libertés ), notamment ses articles 87 et suivants ;
Après avoir entendu le rapport de M. Vincent Lesclous, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Le FIJAIS a été créé par la loi n° 2004-204 du 9 mars 2004 portant adaptation de la justice aux évolutions de la criminalité. Il est tenu sous le contrôle du magistrat dirigeant le service du casier judiciaire national et est sous la responsabilité du ministère de la justice.
Il a pour finalités la prévention du renouvellement de certaines infractions à caractère sexuel et violent ainsi que l'identification de leurs auteurs. Il doit aussi permettre de faciliter le suivi des auteurs de ces infractions par les autorités judiciaires et les services de police et de gendarmerie. Il permet enfin d'exercer un contrôle de l'accès à certaines professions entraînant un contact avec des personnes mineures.
Ce traitement participant à la prévention des infractions pénales ainsi qu'aux enquêtes en la matière, il relève ainsi de la directive n° 2016/680 du 27 avril 2016 dite directive Police-Justice et des articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
B. - L'objet de la saisine
Le projet de décret vise à :
- ajouter deux nouveaux accédants au FIJAIS, relevant des ministères de l'agriculture et de la culture ;
- mettre la partie réglementaire du CPP relative au FIJAIS en conformité avec des évolutions législatives intervenues depuis 2019. Celles-ci ont en effet entraîné des modifications des articles 706-53-10, 706-53-2 et 706-53-4 du CPP.
II. - L'avis de la CNIL
A. - Sur l'ajout de deux nouveaux accédants
Le projet de décret complète l'article R. 53-8-24 du CPP afin d'ajouter deux nouveaux accédants au FIJAIS :
- le service des ressources humaines au secrétariat général du ministère chargé de l'agriculture ;
- le service des ressources humaines du ministère chargé de la culture.
La CNIL rappelle qu'elle a estimé que les modalités selon lesquelles il est prévu d'ouvrir le FIJAIS aux administrations doivent faire l'objet d'un encadrement rigoureux (CNIL, SP, 8 novembre 2007, projet de décret modifiant la partie réglementaire du code de procédure pénale et relatif au FIJAIS et au casier judiciaire national automatisé, n° 2007-326, publiée). En effet, la diversité des professions et activités concernées ainsi que la gravité des conséquences qui peuvent résulter de sa consultation à des fins administratives nécessitent une vigilance particulière.
Les modifications envisagées visent à permettre aux ministères concernés de s'assurer que les candidats ou agents à des fonctions impliquant un contact habituel avec des personnes mineures ne font pas l'objet d'une inscription au FIJAIS.
Au regard de ce qui précède, la CNIL considère que la consultation des données par les deux nouveaux accédants mentionnés apparaît justifiée et proportionnée.
B. - Sur les modalités de consultation du FIJAIS
L'article 706-53-7 du CPP indique que les informations contenues dans le FIJAIS sont directement accessibles, par l'intermédiaire d'un système de télécommunication sécurisé, pour les accédants prévus. L'article 706-53-11 du même code prévoit qu'aucun rapprochement ni aucune connexion au sens de l'article 33 de la loi du 6 janvier 1978 modifiée ne peuvent être effectués entre le FIJAIS et tout autre fichier ou recueil de données nominatives détenus par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice.
Les administrations prévues en tant qu'accédants peuvent interroger les informations contenues dans le FIJAIS par un système de télécommunication sécurisé mis en place par ces ministères (recherche par identité complète uniquement). La CNIL prend acte de ce que les ministères de l'agriculture et de la culture n'ont pas vocation à faire des demandes par liste d'identités compte tenu de la volumétrie des consultations annoncée. Elle constate que ces modalités d'interrogation sont conformes aux articles 706-53-7 et 706-53-11 du CPP.
En tout état de cause, elle rappelle que l'interrogation du FIJAIS par ces nouveaux accédants ne devra pas conduire, conformément à l'article 706-53-11 du CPP, à la mise en œuvre d'un rapprochement.
C. - Sur les autres modifications réalisées
Les autres modifications opérées par le projet de décret ont pour objet de mettre la partie réglementaire du CPP relative au FIJAIS en conformité avec les évolutions législatives intervenues depuis 2019. Le projet de décret vise à modifier :
- les conditions d'inscription au FIJAIS prévues à l'article R. 53-8-12 du CPP, le placement sous contrôle judiciaire n'étant plus une condition d'inscription des personnes en examen au FIJAIS ;
- les catégories de décisions judiciaires enregistrées dans le FIJAIS conformément à l'article R. 53-8-4 du CPP, les décisions de non-lieu, de cessation ou de mainlevée de ce contrôle n'étant plus enregistrées dans le traitement ;
- les conditions d'effacement des données prévues à l'article R. 53-8-36 du CPP dans la mesure où la cessation et la mainlevée du contrôle judiciaire ne sont plus des conditions d'effacement des données ;
- la compétence pour connaître des recours contre les décisions de refus du procureur de la République d'effacement ou de rectification des données, désormais attribuée au président de la chambre de l'instruction de la cour d'appel et non plus au juge des libertés et de la détention.
Ces modifications n'appellent pas d'observations de la part de la CNIL.
Les autres dispositions du projet de décret n'appellent pas non plus d'observations de la part de la CNIL.
D. - Sur les mesures de sécurité