AgentPublic/cnil huggingface dataset:
Les échantillons biologiques seront conservés pendant quinze ans au sein d’une collection d’échantillons biologiques puis détruits.
 
Sauf opposition des participants dûment informés, leurs données administratives d’identification seront archivées durant quinze ans à l’issue de leur suivi.
 
Les données administratives d’identification des participants détenues par le secrétariat médical du centre des investigations pré cliniques de Paris seront conservées trois ans, correspondant au délai nécessaire à la réalisation du recrutement des participants à l’étude, puis seront détruites.
 
Autres données :
Base active : sept ans.
Archivage : quinze ans.
Réutilisation des données et des échantillons biologiques
La constitution d’une base de données associée à une collection d’échantillons biologiques relève, sauf en cas de recueil du consentement exprès conformément aux dispositions du RGPD, du régime de formalités préalables prévu par les dispositions générales de la section 3 du chapitre III du titre 2 de la loi "informatique et libertés" pour les traitements de données à caractère personnel dans le domaine de la santé (déclaration de conformité au référentiel "entrepôt de données de santé" ou autorisation).
Toute nouvelle étude qui serait mise en œuvre à partir des échantillons biologiques et des données recueillies devra faire l’objet de formalités auprès de la CNIL.
AUTORISE l’INSTITUT NATIONAL DE LA SANTÉ ET DE LA RECHERCHE MÉDICALE à mettre en œuvre le traitement décrit ci-dessus.
 
 
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 
Vu la décision du 21 septembre 2023 portant délégation de signature du secrétaire général de la Commission nationale de l’informatique et des libertés ;
 
Saisie d’une demande d’autorisation relative à un traitement de données à caractère personnel à des fins de recherche, d'étude ou d'évaluation dans le domaine de la santé ;
 
Considérant que ce traitement, dont la finalité présente un caractère d’intérêt public, relève des dispositions de la section 3 du chapitre III du titre II de la loi du 6 janvier 1978 modifiée ;
 
Considérant que le traitement présente les caractéristiques et répond aux conditions suivantes :
Avis du comité
Avis favorable du Comité de protection des personnes Sud-Ouest et Outre-Mer II du 29 février 2024.
Point de non-conformité à la méthodologie de référence concernée
Le dossier de demande mentionne que le traitement envisagé est conforme aux dispositions de la méthodologie de référence MR-003, à l'exception de la nature des données traitées.
En dehors de ce point, qui fait l’objet d’un examen spécifique dans la présente décision, ce traitement devra respecter le cadre prévu par ce référentiel.
Sur la réutilisation des données d’une base existante 
Sous réserve de l’exercice du droit d’opposition, les données de l’ensemble des patients diagnostiqués de gliome diffus depuis le 1er janvier 2018 au sein du CHU de la Réunion, collectées dans le cadre de leur suivi médical seront réutilisées dans le cadre de cette étude.
Catégories particulières de données traitées (autres que données de santé)
Les coordonnées postales des participants, le jour du diagnostic de leur pathologie ainsi que durant les vingt dernières années, seront collectées afin de calculer les Ilots Regroupés pour l'Information Statistique (IRIS).
Durées de conservation en base active et en archivage
Les adresses complètes des personnes concernées seront conservées le temps nécessaire au calcul de l’IRIS puis seront supprimées.
 
Autres données :
Base active : sept ans
Archivage : quinze ans
 
AUTORISE le CENTRE HOSPITALIER UNIVERSITAIRE DE LA REUNION à mettre en œuvre le traitement décrit ci-dessus.
 
La Cheffe du service de la santé
 
Hélène GUIMIOT
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Isabelle LATOURNARIE-WILLEMS et Laurence FRANCESCHINI, MM. Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision no 2022-028C du 19 janvier 2022 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification du " traitement d’antécédents judiciaires " et de tout traitement lié ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 8 avril 2024 ;
Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteure, notifié au ministère de l’intérieur et au ministère de la justice le 2 mai 2024 ;
Vu les observations écrites versées par le ministère de la justice le 11 juin 2024 et celles versées par le ministère de l’intérieur et des Outre-Mer le 20 juin 2024 ;
Vu la réponse de la rapporteure à ces observations, notifiée aux ministères le 18 juillet 2024 ;
Vu les observations écrites versées par le ministère de la justice le 2 septembre 2024 et celles versées par le ministère de l’intérieur et des Outre-Mer le 9 septembre 2024 ;
Vu la clôture de l’instruction, notifiée aux ministères le 10 septembre 2024 ; 
Vu les observations orales formulées lors de la séance de la formation restreinte, le 26 septembre 2024 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte :
- Madame Sophie LAMBREMON, commissaire, entendue en son rapport ;
En qualité de représentants du ministère de l'intérieur et des Outre-Mer :
- […]
En qualité de représentants du ministère de la justice :
- […]
En qualité de commissaire du Gouvernement :
- […]
Les représentants du ministère de l'intérieur et des Outre-Mer et du ministère de la justice ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. Le " traitement d’antécédents judiciaires " (ci-après " le TAJ ") est un fichier de police judiciaire régi par les articles 230-6 et suivants du code de procédure pénale, ayant pour finalité de faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs en fournissant une base d’informations sur tous les antécédents judiciaires d’une personne donnée, que ce soit en qualité de victime ou de mise en cause. Ce fichier est utilisé dans le cadre de certaines enquêtes de renseignement et dans le cadre d’enquêtes administratives, telles l’évaluation du risque ou de l’incompatibilité d’une personne avec certains emplois publics ou sensibles ou encore pour l’examen d’une demande de nationalité française.
2. Conformément à l’article R. 40-23 du code de procédure pénale, le fichier est mis en œuvre par le ministère de l’intérieur et des Outre-Mer (ci- après " le ministère de l’intérieur "). En vertu des dispositions de l’article 230-6 de ce code, les données du TAJ sont recueillies au cours des enquêtes préliminaires ou de flagrance ou des investigations exécutées sur commission rogatoire et concernant tout crime ou délit ainsi que les contraventions les plus graves, ou au cours des procédures de recherche des causes de la mort ou des causes d’une disparition.
3. Le fichier est utilisé par les services de police et de gendarmerie et par les magistrats du parquet pour les besoins d’enquêtes judiciaires et administratives. L’article 230-8 du même code prévoit que le traitement des données est opéré sous le contrôle du procureur de la République territorialement compétent, qui, d'office ou à la demande de la personne concernée, ordonne qu'elles soient effacées, complétées ou rectifiées, notamment en cas de requalification judiciaire, ou qu'elles fassent l'objet d'une mention.
4. L’article R. 40-26 du code de procédure pénale prévoit que le TAJ contient de nombreuses données à caractère personnel relatives aux personnes concernées. S’agissant des personnes mises en cause et des personnes liées à la recherche de la cause suspecte d’un décès ou d’une disparition, les informations recueillies sont l’identité de la personne, surnom, son alias, situation familiale, filiation, nationalité, adresses postales, adresses électroniques, numéros de téléphone, date et lieu de naissance, profession, état de la personne (par exemple, mineur isolé sans domicile fixe), signalement mais également photographies comportant des caractéristiques techniques permettant de recourir à un dispositif de reconnaissance faciale (photographie du visage de face) et autres photographies. S’agissant des personnes victimes, les informations recueillies sont les mêmes, à l’exception des photographies. D’autres données sont également enregistrées, telles que les faits, objets de l’enquête, lieux, dates de l’infraction, modes opératoires, données et images relatives aux objets. Enfin, des données sensibles, par dérogation au I de l’article 8 de la loi du 6 janvier 1978 susvisée, peuvent également être enregistrées, telles que les données résultant de la nature ou des circonstances de l’infraction ou les données se rapportant à des signes physiques particuliers, objectifs et permanents, en tant qu’éléments de signalement des personnes.
5. En décembre 2019, le fichier répertoriait plus de 94 millions d’affaires, dont plus de 600 000 concernant des mineurs mis en cause. En décembre 2021, il répertoriait plus de 103 millions d’affaires et en février 2022, il contenait plus de 24 millions de fiches de personnes physiques mises en cause dont 8 millions étaient anonymisées. A la suite d’une décision d’effacement ou de l’écoulement de la durée de conservation des données, les données à caractère personnel permettant l'identification de la personne sont anonymisées mais certaines informations, comme l'infraction, sont conservées pour les nécessités de la recherche criminelle.
6. La présidente de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a, par la décision no 2022-028C du 19 janvier 2022, initié une procédure de contrôle ayant pour objet de vérifier la conformité du TAJ et de tout traitement lié à la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 " ou " la loi Informatique et Libertés ").
7. Dans le cadre de cette procédure, plusieurs contrôles ont été réalisés. Deux auditions sur convocation ont eu lieu dans les locaux de la CNIL : le 30 mars 2022, […] a été entendue en sa qualité de […] de la Direction Générale de la Police Nationale (ci-après " DGPN ") et le 19 avril 2022, […] a été reçu en sa qualité de […] du ministère de la justice.
8. Enfin le 11 juillet 2022, des questionnaires portant sur les procédures permettant la mise à jour du TAJ et la transmission des informations aux services gestionnaires ont été envoyés au parquet général près la Cour d’appel de Bastia ainsi qu’aux parquets près les tribunaux judiciaires de Bobigny, Nanterre, Saint-Gaudens et Mamoudzou. 
9. L’ensemble de ces contrôles a permis de vérifier les modalités de collecte des données du TAJ, leur mise à jour, ainsi que leur devenir après les décisions de justice.
10. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 8 avril 2024, désigné Madame Sophie LAMBREMON en qualité de rapporteure, sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
11. À l’issue de son instruction, la rapporteure a, le 2 mai 2024, fait signifier au ministère de l'intérieur et au ministère de la justice un rapport détaillant les manquements à la loi Informatique et Libertés qu’elle estimait constitués en l’espèce. La rapporteure proposait à la formation restreinte de la Commission de prononcer à l’encontre des deux ministères concernés un rappel à l’ordre ainsi qu’une injonction de mettre en conformité le traitement avec les dispositions des articles 97, 104, 105 et 106 de la loi Informatique et Libertés modifiée. Elle proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément les ministères à l’expiration d’un délai de deux ans à compter de sa publication.
12. Le ministère de la justice et le ministère de l’intérieur ont produit des observations respectivement les 11 et 20 juin 2024.
13. La rapporteure a répondu aux observations des ministères le 8 juillet 2024.
14. Le 2 septembre 2024, le ministère de la justice a produit ses deuxièmes observations en réponse. Le ministère de l’intérieur a produit ses deuxièmes observations en réponse le 9 septembre 2024. 
15. Le 10 septembre, la rapporteure a, en application du III de l’article 40 du décret du 29 mai 2019 susvisé, informé les ministères et le président de la formation restreinte que l’instruction était close. 
16. Les représentants des ministères et la rapporteure ont été entendus lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la loi applicable
17. Le titre III de la loi Informatique et Libertés transpose la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données (ci-après " la directive 2016/680 du 27 avril 2016 " ou " la directive Police-justice "). L’article 87 de cette loi précise que le titre III est applicable " aux traitements de données à caractère personnel mis en œuvre, à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci-après dénommés autorité compétente ".
18. L’article 230-6 du code de procédure pénale énonce les finalités du TAJ. Il dispose que : " Afin de faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs, les services de la police nationale et de la gendarmerie nationale peuvent mettre en œuvre des traitements automatisés de données à caractère personnel recueillies :
1° Au cours des enquêtes préliminaires ou de flagrance ou des investigations exécutées sur commission rogatoire et concernant tout crime ou délit ainsi que les contraventions de la cinquième classe sanctionnant :
a) Un trouble à la sécurité ou à la tranquillité publiques ;
b) Une atteinte aux personnes, aux biens ou à l'autorité de l'État ; […] ".
19. La formation restreinte considère tout d’abord que dans le cadre de ces finalités, le TAJ est mis en œuvre " à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales ", au sens de l’article 87 de la loi Informatique et Libertés.
20. Ensuite, au regard des dispositions de l’article R. 40-23 du code de procédure pénale, la formation restreinte considère que la mise en œuvre du TAJ par " Le ministre de l'intérieur (direction générale de la police nationale et direction générale de la gendarmerie nationale) […] " ainsi que son contrôle et sa mise à jour par l’autorité judiciaire en vertu des articles 230 8 et suivants du code de procédure pénale, sont réalisés par des autorités compétentes au sens de l’article 87 de la loi Informatique et Libertés.
21. En conséquence, la formation restreinte considère que la collecte et le traitement des informations contenues dans le TAJ sont soumis aux articles 87 et suivants de la loi Informatique et Libertés transposant la directive 2016/680 du 27 avril 2016.
B. Sur la compétence
22. Le ministère de la justice soutient que la CNIL n’est pas compétente pour le sanctionner, dans la mesure où les opérations de traitement du TAJ sont mises en œuvre dans l’exercice de sa fonction juridictionnelle.
23. La formation restreinte relève que le V de l’article 19 de la loi Informatique et Libertés dispose que " Dans l'exercice de son pouvoir de contrôle portant sur les traitements relevant du règlement (UE) 2016/679 du 27 avril 2016 et de la présente loi, la Commission nationale de l'informatique et des libertés n'est pas compétente pour contrôler les opérations de traitement effectuées, dans l'exercice de leur fonction juridictionnelle, par les juridictions et leur ministère public. ".
24. La formation restreinte reconnait que le rôle de contrôle du fichier et de mise à jour des données qu’il contient dévolu par le code de procédure pénale aux procureurs de la République et au magistrat référent repose sur leur mission de protection des libertés individuelles et de garantie d’application de la loi, comme l’indique la dépêche du garde des sceaux du 8 décembre 2022 portant sur l’" Evolution des modalités et des outils de mise à jour des fichiers TAJ et FAED, et désignation de magistrats référents pour les fichiers de police judiciaire au sein des parquets et des parquets généraux ".
25. Elle estime toutefois que si les rôles de contrôle et de mise à jour s’inscrivent, dans les fonctions judiciaires des parquets et du magistrat référent, ils ne peuvent, pour autant, être qualifiés de fonctions juridictionnelles. En effet, en premier lieu, la formation restreinte considère, notamment par application du considérant 80 précité, que la nature de fonction juridictionnelle, pour être reconnue, supposerait que soit mise en œuvre, par une juridiction ou par le ministère public aux termes du V de l’article 19 de la loi Informatique et Libertés, une action de qualification juridique de faits.
26. En deuxième lieu, la formation restreinte note que l’article R.40-32 du code de procédure pénale dispose que " Les pouvoirs qui lui [le magistrat référent national] sont confiés s’exercent sans préjudice du contrôle exercé par la Commission nationale de l'informatique et des libertés […] ".
27. La formation restreinte estime que cette règle, générale à l’ensemble des compétences du magistrat référent, trouve également à s’appliquer aux parquets locaux qui jouissent des mêmes prérogatives.
28. En troisième lieu, s’agissant du rôle de contrôle du traitement, la formation restreinte considère, au-delà de l’argument de texte précité, qu’il ne satisfait pas aux critères ci-dessus faute de donner lieu à une procédure close par une décision juridictionnelle.
29. En quatrième lieu, s’agissant du rôle de mise à jour des données, la formation considère que ce rôle, qui se cantonne à la transmission de données, ne s’inscrit pas dans la mission juridictionnelle.
30. La formation restreinte note que si l’envoi de fiches navettes renseignées est nécessairement la conséquence de décisions juridictionnelles, qu’elles émanent du procureur de la République ou d’une juridiction, la mise à jour du fichier TAJ ne participe pas intrinsèquement de l’exécution directe de ces décisions qui n’ont pas pour effet nécessaire de la déclencher et dont l’effectivité ne tient pas à cette mise à jour. Elles ne peuvent donc se rattacher à ces procédures.
31. La formation restreinte admet que lorsque le procureur de la République ordonne une mise à jour, il procède à un choix au regard des critères d’inscription au fichier posés par les textes et prend donc une décision après un contrôle de légalité. Pour autant, cette décision reste informelle et ne se déduit que de l’envoi de la fiche navette. Elle n’est pas susceptible de recours et ne s’inscrit pas dans une procédure.
32. La formation restreinte estime que la mise à jour du fichier TAJ, hors requêtes, revêt dès lors la nature d’un acte d’administration du service public de la justice détachable des fonctions juridictionnelles du ministère public. 
33. La formation restreinte se reconnaît ainsi compétente pour statuer sur les manquements reprochés au ministère de la justice dans la présente procédure.
C. Sur la responsabilité des ministères dans la mise en œuvre du TAJ 
34. L’article 2 de la loi Informatique et Libertés dispose que " sauf dispositions contraires, dans le cadre de la présente loi s'appliquent les définitions de l'article 4 du règlement (UE) 2016/679 du 27 avril 2016 ". Le responsable de traitement est défini, aux termes de l’article 4, point 7, du RGPD, comme " la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ".
35. Le IV de l’article 20 de la même loi dispose que : " Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou après avoir prononcé à son encontre une ou plusieurs des mesures correctrices prévues au III, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l'une ou de plusieurs des mesures " prévues par cette loi. Il résulte de cet article, lu à la lumière de la directive " Police justice ", et notamment de son article 46 précité, que la formation restreinte dispose d’une compétence pleine et entière pour vérifier le respect de cette loi par le responsable de traitement et ses sous-traitants. S’agissant des traitements de l’Etat, lorsqu’un acte réglementaire le régissant désigne le ou les ministères exerçant la responsabilité de traitement au nom de l’Etat, cela ne fait pas obstacle à la compétence de la CNIL pour contrôler et, le cas échéant, prononcer une injonction à l’égard des autres administrations de l’Etat à qui l’acte réglementaire confie un rôle dans la mise en œuvre de traitement.
36. La rapporteure estime que le ministère de l’intérieur et le ministère de la justice doivent être regardés comme conjointement responsables du traitement en cause, pour l’application de la loi Informatique et Libertés. A titre subsidiaire, elle estime qu’il résulte de la combinaison des articles 20 et suivants de cette loi et des dispositions réglementaires régissant le TAJ citées ci-dessus que la formation restreinte est compétente pour contrôler le respect des règles de protection des données personnelles dans l’utilisation du TAJ tant vis-à-vis des services du ministère de l’intérieur que de ceux du ministère de la justice.