AgentPublic/cnil huggingface dataset:
A l’occasion de ces contrôles, le PCAOB exige d’avoir accès non seulement aux rapports d’audit, mais également à l’ensemble de la documentation ayant servi à l’élaboration de ces rapports. C’est dans ce cadre que des données à caractère personnel sont susceptibles d’être transmises vers les États-Unis.
En vertu des textes européens applicables, l’encadrement de ces transferts doit être assuré par un accord bilatéral entre le Haut Conseil du Commissariat aux comptes (H3C) français et le PCAOB. Sur la base d’un accord conclu en 2013 puis renouvelé en 2016, la CNIL avait, sur le fondement des dispositions applicables avant l’entrée en vigueur du règlement général sur la protection des données (ci-après RGPD ), autorisé le H3C le 29 novembre 2012 puis le 11 juillet 2013, et enfin le 1er décembre 2016, à transférer auprès du PCAOB des données à caractère personnel contenues dans des informations et/ou documents d’audit relatifs aux contrôleurs légaux des comptes qui relèvent de leur double supervision, ou collectées à l’occasion de contrôles.
L’accord bilatéral encadrant le transfert de données à caractère personnel étant arrivé à échéance le 13 décembre 2019, le H3C et le PCAOB ont ainsi entrepris sa renégociation.
La Commission a été saisie par le H3C d’une demande d’autorisation, concernant un arrangement administratif visant à encadrer les transferts des données à caractère personnel avec son homologue étasunien, le PCAOB. Le dernier état du projet d’arrangement a été transmis à la Commission le 19 novembre 2020.
En effet, en vertu de l’article 46 du RGPD, en l’absence de décision d’adéquation de la Commission européenne (article 45 du RGPD), un transfert de données à caractère personnel vers un pays tiers ne peut avoir lieu que si des garanties appropriées ont été prévues par l’exportateur de données et à la condition que les personnes concernées disposent de droits opposables et de voies de droit effectives.
Sous réserve de l’autorisation de la Commission nationale de l’informatique et des libertés, les garanties appropriées visées ci-dessus peuvent être fournies par des dispositions à intégrer dans des arrangements administratifs entre autorités publiques qui prévoient des droits opposables et effectifs pour les personnes concernées (article 46.3.b du RGPD).
Il est prévu au sein de la communauté constituée par les homologues européens du H3C que cet arrangement administratif sera utilisé comme modèle pour l’encadrement de leurs transferts de données à caractère personnel avec le PCAOB. Compte tenu de la portée pan-européenne de cet accord, la CNIL a décidé de saisir le CEPD pour avis formel sur le fondement de l’article 64.2 du RGPD.
Le CEPD a rendu le 2 février 2021 un avis favorable concernant les garanties apportées par cet arrangement administratif, en considérant que celles-ci répondaient aux exigences du RGPD. Pour mémoire, les mesures et principes contenus dans cet accord sont les suivants :
Définition des principes et des droits de la personne concernée ;
Principe de limitation de finalité ;
Principe d’exactitude et de minimisation des données ;
Principe de transparence ;
Mesures de sécurité et de confidentialité ;
Catégories particulières de données à caractère personnel ou données sensibles ;
Garanties relatives aux droits des personnes concernées ;
Principe de limitation de la conservation des données ;
Restrictions sur les transferts ultérieurs ;
Mécanisme de recours ;
Mécanisme de supervision.
Au regard de ces éléments et de l’avis favorable du CEPD, la Commission fait sienne l’analyse du CEPD et en déduit que les dispositions de l’arrangement administratif, en l’espèce, apportent des garanties appropriées conformes au RGPD.
Par ailleurs, la Commission accueille favorablement et prend acte des informations communiquées par le H3C selon lesquelles ce dernier tiendra un registre contenant, entre autres, les éléments suivants concernant l’arrangement administratif :
informations concernant le caractère indépendant du Redress Reviewer ;
informations concernant la durée de conservation de données à caractère personnel transférées dans le cadre de l’arrangement administratif ;
informations sur les notifications reçues par le H3C concernant les violations de données à caractère personnel en vue de la section III (4) de l’arrangement administratif ;
informations sur les résultats des revues périodiques de l’Office of Internal Oversight and Performance Assurance (IOPA) ;
informations sur les notifications reçues par le H3C conformément à la section III (6) de l’arrangement administratif ;
nombre de demandes de résolution de litiges reçues par le H3C ou concernant les données à caractère personnel transférées par le H3C.
Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification
DECIDE :
Art. 1er : L’arrangement administratif visant à encadrer les transferts des données à caractère personnel entre le H3C et son homologue étasunien, le PCAOB, dans sa version transmise le 19 novembre 2020, est autorisé.
Art. 2 : La présente décision sera publiée sur le site web de la CNIL.
La Présidente 
Marie–Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la transition écologique d'une demande d'avis concernant un projet de décret relatif au contrôle par vidéo des déchargements de déchets dans les installations de stockage et d'incinération de déchets non dangereux ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) ;
Vu le code de l'environnement, notamment son article L. 541-30-3 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 31-I ;
Sur la proposition de M. Alain DRU, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie pour avis par le ministre de la transition écologique d'un projet de décret pris en application de l'article L. 541-30-3 du code de l'environnement créé par l'article 116 de la loi n° 2020-105 du 10 février 2020 relative à la lutte contre le gaspillage et l'économie circulaire.
Ce nouvel article prévoit que le déchargement des déchets non dangereux non inertes dans les installations de stockage ou d'incinération (comme par exemple les refus de tri de centres de tri de déchets d'activités économiques, les bennes tout venant de déchetteries, les encombrants, les ordures ménagères résiduelles) doit faire l'objet d'un dispositif de contrôle par vidéo.
La Commission relève que ce contrôle, qui pourra reposer sur des supports de caméras fixes ou mobiles (lesquels permettront de contrôler le champ de vision), permettra de s'assurer du respect des règles de bonne gestion des déchets, qui priorisent le tri et le recyclage des déchets par rapport à leur élimination. Elle relève que l'article L. 541-30-3 du code de l'environnement précise que les modalités d'application du dispositif de contrôle par vidéo, s'agissant en particulier des procédés de mise en œuvre du contrôle vidéo, de ses modalités de maintenance et d'utilisation ainsi que des règles de recueil, d'archivage et de mise à disposition des données collectées à des fins de contrôle sont fixées par décret, lequel doit lui être soumis pour avis.
Au regard des impératifs environnementaux, la Commission observe que le législateur a entendu mettre en œuvre de manière pérenne et immédiate ce dispositif sans avoir recours au préalable à une expérimentation. Si la Commission prend acte de ce choix, elle rappelle néanmoins que des garanties particulières sont à mettre en œuvre au regard des risques inhérents à l'emploi de ce type de dispositifs.
La Commission prend acte des précisions apportées par le ministère selon lesquelles l'objectif premier du contrôle ainsi réalisé est de permettre d'optimiser la gestion des déchets et de prévenir les atteintes à l'environnement quand bien même, à titre secondaire, il pourra permettre de constater d'éventuels comportements infractionnels. Si elle relève par ailleurs que chaque exploitant d'une installation de stockage ou d'incinération de déchets sera responsable de traitement au sens de l'article 4 du RGPD, la Commission considère que le traitement projeté également sera mis en œuvre pour le compte de l'Etat au sens de l'article 31 de la loi n° 78-17 du 6 janvier 1978 modifiée. Dans ces conditions, elle estime que les traitements mis en œuvre dans le cadre de l'article L. 541-30-3 du code de l'environnement relèvent du RGPD et qu'il y a lieu de faire également application des dispositions du 2° du I de l'article 31 de la loi du 6 janvier 1978 modifiée.
Ces éléments rappelés, la Commission invite le ministère à élaborer et à diffuser une doctrine d'emploi des caméras à destination des exploitants d'installations visées, lesquels devront par ailleurs déterminer si le traitement mis en œuvre nécessite la réalisation d'une analyse d'impact sur la protection des données (AIPD) et sa transmission à la Commission dans les conditions prévues aux articles 35 et 36 du RGPD.
Sur les conditions de mise en œuvre du dispositif projeté
En premier lieu, s'agissant des procédés de mise en œuvre et des modalités d'utilisation du dispositif de contrôle par vidéo ainsi que des règles de recueil des données collectées, le projet d'article D. 541-48-6 du code de l'environnement prévoit que le dispositif de contrôle par vidéo enregistre :
les images des opérations de déchargement de manière à pouvoir identifier le contenu qui est déchargé ;
la plaque d'immatriculation de chaque véhicule réceptionné dans l'installation à cette fin.
La Commission prend acte de ce que les caméras ne filmeront ni la voie publique, ni les espaces ouverts au public. A cet égard, le ministère a indiqué que les installations de traitement des déchets sont des espaces non ouverts au public qui sont clôturés avec un accès contrôlé et restreint au personnel du site et aux transporteurs de déchets. Elle prend également acte de ce qu'au regard des zones où devront être installés ces dispositifs (zones dédiées aux déchargements des déchets, dans une décharge ou un incinérateur), la présence de salariés demeure occasionnelle.
La Commission rappelle par ailleurs qu'en application du principe de minimisation des données, il appartiendra à chaque exploitant de veiller à ce que seules les données pertinentes soient collectées, en s'assurant notamment que les caméras soient orientées de façon à ne filmer que le strict nécessaire au regard de l'objectif poursuivi. A cet égard, elle relève que le projet de décret prévoit que le dispositif ne puisse enregistrer que les opérations de déchargement des déchets de manière à pouvoir identifier le contenu qui est déchargé et la plaque d'immatriculation de chaque véhicule réceptionné dans l'installation.
Sur ce point, la Commission prend acte des précisions apportées par le ministère selon lesquelles l'enregistrement de la plaque d'immatriculation est nécessaire pour permettre d'établir un lien direct entre l'infraction constatée et le producteur ou détenteur des déchets, responsable de leur bonne gestion. En effet, en cas d'infraction relevée par l'inspecteur lors du contrôle des enregistrements vidéo, le numéro d'immatriculation du véhicule relevé dans l'enregistrement vidéo pourra faire l'objet d'un rapprochement, par une seule comparaison visuelle, avec les données du registre des déchets entrants dans l'installation, qui contient les numéros d'immatriculation de tous les véhicules déchargeant les déchets dans l'installation, afin d'identifier l'origine des déchets et de poursuivre les responsables. La Commission relève que le registre des déchets est, à ce jour, tenu par chaque exploitant et qu'il est prévu, à terme et pour les installations de stockage et d'incinération de déchets non dangereux, que les données qu'il contient soient transmises par voie dématérialisée au registre national des déchets en application de l'article L. 541-7 du code de l'environnement.
La Commission relève en outre que le projet d'article D. 541-48-10 du code de l'environnement impose, si des personnes ont été filmées, que leur image soit anonymisée par tous moyens de nature à empêcher leur identification . A cet égard, elle prend acte de ce que les caméras seront orientées de façon à éviter de filmer, autant que possible, les salariés, que ce soit le personnel de l'installation ou les chauffeurs. Elle rappelle qu'il incombera à chaque responsable de traitement d'être particulièrement vigilant sur l'orientation de ces dispositifs, qui devra faire l'objet de vérifications régulières et que la mise en œuvre d'un procédé d'anonymisation, au sens du RGPD, implique la mise en œuvre de conditions techniques particulièrement strictes.
La Commission relève enfin que le projet d'article D. 541-48-10 du code de l'environnement exclut l'enregistrement de données sonores, ce dont elle prend acte au titre des garanties apportées dans le cadre de la mise en œuvre des dispositifs projetés.
En second lieu, s'agissant des modalités de maintenance du dispositif de contrôle par vidéo, la Commission relève que celles-ci sont détaillées dans le projet d'article D. 541-48-9 du code de l'environnement et n'appellent pas d'observations particulières.
Sur les règles d'archivage des données collectées
La Commission relève que le projet d'article D. 541-48-10 du code de l'environnement prévoit que les données sont conservées un an. Au terme de ce délai, les données sont effacées automatiquement. Le projet d'article D. 541-48-11 du code de l'environnement précise en outre que lorsque les données ont, dans le délai d'un an, été extraites et transmises aux agents de l'Etat mentionnés à l'article L. 541-44 du même code pour les besoins d'une procédure judiciaire ou administrative, elles sont conservées selon les règles propres à chacune de ces procédures.
La Commission prend acte des précisions apportées par le ministère selon lesquelles cette durée doit permettre de tenir compte de la fréquence annuelle des contrôles réalisés par l'inspection des installations classées pour la protection de l'environnement, sous réserve que les images des personnes qui auraient été filmées fassent l'objet d'une anonymisation au sens du RGPD, comme le prévoit le projet d'article D. 541-48-10 du code de l'environnement.
Sur les règles de mise à disposition des données collectées
Le projet d'article D. 541-48-11 du code de l'environnement prévoit qu'ont seuls accès aux données contenues dans le traitement, le cas échéant en temps réel, le personnel de l'installation habilité à cet effet par l'exploitant.
Cet article prévoit également que les données, le cas échéant en temps réel, peuvent être consultées par :
les agents de l'Etat mentionnés à l'article L. 541-44 du code de l'environnement ;
les personnes intervenant, à la demande de l'exploitant ou des agents de l'Etat précités, pour le compte d'organismes d'audit ou de conseil. Cet accès est soumis à l'autorisation de l'exploitant et à la présence, au moment de la visualisation, d'une personne de l'installation habilitée par l'exploitant.
Le projet d'article D. 541-48-11 du code de l'environnement prévoit en outre que les données sont accessibles sur site et qu'elles sont transmises sous une forme utilisable à la demande des agents de l'Etat précités.
La Commission rappelle qu'en tout état de cause, l'accès aux données du traitement projeté ainsi que leur consultation doivent être réalisés dans la limite des attributions respectives des agents précités et de leur besoin d'en connaître dans le cadre de leurs missions. A cet égard, elle recommande que ces précisions figurent expressément dans le projet d'article D. 541-48-11 du code de l'environnement.
La Commission rappelle par ailleurs que le personnel de l'installation habilité à cet effet par l'exploitant à accéder aux données devra être particulièrement formé et sensibilisé aux règles de mise en œuvre d'un système de vidéosurveillance.
Dans ces conditions, la Commission estime que ces accédants et destinataires présentent un intérêt légitime à connaître des données contenues dans le traitement.
Sur l'information et les droits des personnes concernées
En premier lieu, s'agissant de l'information des personnes concernées, la Commission relève que le projet d'article D. 541-48-8 du code de l'environnement prévoit que la présence d'un dispositif de contrôle par vidéo des déchargements fait l'objet d'une signalisation à l'entrée de l'installation ainsi que dans les locaux filmés, au moyen de panneaux, en nombre suffisant, affichés en permanence, lisibles et compréhensibles, dans les lieux concernés, qui comportent a minima :
le pictogramme d'une caméra indiquant que le lieu est placé sous surveillance vidéo ;
la finalité du traitement installé ;
la durée de conservation des images ;
le nom ou la qualité et le numéro de téléphone du responsable de l'exploitation ;
le droit d'introduire une réclamation auprès de la CNIL ;
la procédure à suivre pour demander l'accès aux enregistrements visuels les concernant.
Le projet d'article D. 541-48-8 du code de l'environnement prévoit par ailleurs que l'exploitant informe individuellement les salariés de l'exploitation de la présence et de la localisation du dispositif de contrôle par vidéo des déchargements des déchets. En outre, cet article prévoit que l'exploitant s'assure que les producteurs, détenteurs et transporteurs des déchets réceptionnés dans l'installation informent individuellement leurs salariés susceptibles d'être filmés dans la zone de contrôle par vidéo de l'installation.
A cet égard, la Commission rappelle que les salariés devront être informés individuellement de l'ensemble des mentions d'information prévues à l'article 13 du RGPD et, qu'en tout état de cause, les institutions représentatives du personnel devront être consultées avant l'installation du dispositif de contrôle (projet d'article D. 541-48-7 du code de l'environnement).
En second lieu et dans la mesure où les traitements sont mis en œuvre pour le compte de l'Etat , la Commission estime que le projet de décret devrait mentionner, s'agissant des droits des personnes concernées et au regard des dispositions de l'article 35 de la loi du 6 janvier 1978 modifiée, les informations génériques correspondant à l'exercice de ces droits, sans préjudice de la responsabilité de chaque exploitant quant à sa conformité à la réglementation applicable à la protection des données à caractère personnel.
Sur les mesures de sécurité
De manière générale, la Commission rappelle que, conformément à l'article 32 du RGPD, les exploitants devront mettre en œuvre des mesures techniques et organisationnelles afin de garantir un niveau de sécurité adapté aux risques et que les mesures de sécurité devront être mises à jour au regard de la réévaluation régulière des risques.
Concernant spécifiquement l'anonymisation des images des personnes qui auraient été filmées, la Commission prend acte de ce que des solutions techniques seront mises à la disposition des responsables de traitement leur permettant de mettre en œuvre des solutions de floutage en temps réel
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par l'Institut national de la statistique et des études économiques (INSEE) d'une demande d'avis concernant un projet de décret modifiant le décret n° 2018-343 du 9 mai 2018 portant création du traitement automatisé de données à caractère personnel permettant la gestion du répertoire électoral unique pris en application des dispositions du I de l'article 2 et de l'article 7 de la loi n° 2016-1048 du 1er août 2016 rénovant les modalités d'inscription sur les listes électorales ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi organique n° 2016-1046 du 1er août 2016 rénovant les modalités d'inscription sur les listes électorales des ressortissants d'un Etat membre de l'Union européenne autre que la France pour les élections municipales ;
Vu la loi organique n° 2016-1047 du 1er août 2016 rénovant les modalités d'inscription sur les listes électorales des Français établis hors de France ;
Vu le code électoral, notamment ses articles L. 11, L. 16, L. 38 et L. 72 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi n° 2016-1048 du 1er août 2016 rénovant les modalités d'inscription sur les listes électorales, notamment ses articles 2 et 7 ;
Vu la loi n° 2019-1461 du 27 décembre 2019 relative à l'engagement dans la vie locale et à la proximité de l'action publique, notamment son article 112 ;
Vu le décret n° 82-103 du 22 janvier 1982 modifié relatif au répertoire national d'identification des personnes physiques ;
Vu le décret n° 2018-343 du 9 mai 2018 portant création du traitement automatisé de données à caractère personnel permettant la gestion du répertoire électoral unique pris en application des dispositions du I de l'article 2 et de l'article 7 de la loi n° 2016-1048 du 1er août 2016 rénovant les modalités d'inscription sur les listes électorales ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-012 du 19 janvier 2017 portant adoption d'une recommandation relative aux mots de passe ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le projet de décret, soumis pour avis à la Commission, a vocation à modifier le décret n° 2018-343 du 9 mai 2018 qui a créé le traitement permettant la gestion du répertoire électoral unique (REU). En application de l'article L. 16 du code électoral, les conditions de mise en œuvre du traitement doivent être définies par un décret en Conseil d'Etat, pris après avis motivé et publié de la Commission.
Le projet de décret vise à prendre en compte les évolutions introduites par la loi du 27 décembre 2019 susvisée pour ce qui est des procurations, à intégrer de nouveaux usages du REU dans le cadre général de la gestion des processus électoraux ( accès au REU pour les agents du ministère de l'intérieur en charge des élections) et à utiliser le REU pour le contrôle de la légitimité des soutiens d'une initiative citoyenne européenne.
Ce traitement découle d'une large réforme du processus d'inscription sur les listes électorales et des conditions de tenue de ces listes résultant de la loi n° 2016-1048 et de deux lois organiques adoptées le 1er août 2016. L'objet de cette réforme était de permettre la gestion du REU en centralisant l'ensemble des informations nécessaires à la tenue et à la mise à jour des listes électorales.