AgentPublic/cnil huggingface dataset:
La Commission nationale de l'informatique et des libertés,
 
Saisie par le ministre de l’agriculture et de l’alimentation d’un projet de décret relatif aux conditions dans lesquelles la collecte de données épidémiologiques et leur traitement peuvent être confiés à des personnes agréées ;
 
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
 
Vu le code rural et de la pêche maritime notamment son article L. 201-3 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
 
Vu la loi n° 2018-938 du 30 octobre 2018 pour l’équilibre des relations commerciales dans le secteur agricole et alimentaire et une alimentation saine, durable et accessible à tous (1) ;
 
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
 
Sur la proposition de M. Eric PERES, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
 
Emet l’avis suivant :
La loi n° 2018-938 du 30 octobre 2018 pour l’équilibre des relations commerciales dans le secteur agricole et alimentaire et une alimentation saine, durable et accessible à tous a modifié les dispositions de l’article L. 201-3 du code rural et de la pêche maritime.
 
L’article susvisé modifié prévoit désormais que l’Etat a la possibilité de confier la collecte des informations d’ordre épidémiologique relatives aux dangers sanitaires de première et deuxième catégorie à des personnes agréées par le ministère chargé de l’agriculture. Il prévoit qu’un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, " précise les conditions dans lesquelles la collecte des données et leur traitement peuvent être confiés à des personnes agréées par le ministère chargé de l'agriculture ". L’avis rendu par la Commission sera publié conformément à l’article 11-4 a) de la loi du 6 janvier 1978.
 
A titre liminaire, la Commission relève que le projet qui lui a été soumis traite davantage des modalités de l’agrément délivré par le ministre chargé de l’agriculture que des conditions de collecte et de traitement des données qui peuvent être confiées à des personnes agréées. Elle estime dès lors que le projet devrait être complété sur certains points au vu des éléments communiqués par le ministère. 
 
Sur la finalité
L’article L. 201-7 du code rural et de la pêche maritime prévoit que les vétérinaires et laboratoires communiquent immédiatement à l’autorité administrative tout résultat d’analyse conduisant à suspecter ou à constater la présence d’un danger sanitaire de première catégorie ou la première apparition sur le territoire national d’un danger sanitaire. 
 
La disposition susvisée précise également que tout propriétaire ou détenteur d’animaux ou de végétaux, ou tout professionnel exerçant ses activités en relation avec des animaux ou végétaux qui détecte ou suspecte l’apparition d’un danger sanitaire sur le territoire national en informe immédiatement l’autorité administrative désignée par décret. 
 
Aussi, afin de faciliter les démarches réglementaires des propriétaires ou détenteurs d’animaux concernant l’identification d’un danger sanitaire, la loi n° 2018-938 vient ajouter les personnes agréées par le ministre de l’agriculture comme nouvelle catégorie de personnes susceptibles de collecter et d’enregistrer dans une base de données nationale les informations susvisées.
 
A cet égard, l’article 1er du projet de décret prévoit que l’agrément est délivré après avis du conseil national d’orientation de la politique sanitaire animale et végétale, à des personnes répondant aux conditions d’aptitude, d’expérience et de compétences techniques.
La Commission considère que les finalités poursuivies sont déterminées, explicites et légitimes conformément aux dispositions de l’article 5.1.b) du règlement général sur la protection des données. Elle estime toutefois que le projet de décret pourrait préciser la finalité de la collecte et du traitement des données confiées à des tiers agréés. 
 
 
Sur les données traitées
 
La Commission prend acte que les informations concernant le candidat à l’obtention de l’agrément sont relatives :
à l’identité de la personne physique : nom, prénom, adresse postale, numéro de téléphone, adresse électronique ;
à l’identité de la personne morale : statut juridique, extrait de l’inscription au RCS, liste des mandats électifs du dirigeant, composition de l’actionnariat, informations relatives à la comptabilité. 
 
S’agissant des informations concernant la gestion du fichier nominatif tenu par la personne agréée, celles-ci sont relatives :
aux propriétaires d’animaux : nom, prénom, adresse postale du lieu de détention, coordonnées géographiques des sites de détention, numéro de téléphone, adresse électronique ;
aux informations d’ordre sanitaire concernant les animaux détenus.
Ces catégories de données n’appellent pas d’observation de la part de la Commission, qui considère qu’elles sont adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées, conformément aux dispositions de l’article 5.1.c) du règlement général sur la protection des données. La Commission considère que le projet de décret dont l’objet est notamment de préciser les conditions de collecte des données devrait préciser ces catégories de données. 
 
Sur les destinataires 
 
La Commission prend note, que dans les limites de leurs attributions respectives et chacun pour ce qui le concerne, peuvent accéder aux informations concernant le candidat à l’obtention de l’agrément, le personnel du bureau de la commande publique et de la sous-direction santé et protection animale du ministère de l’agriculture et de l’alimentation.
 
Selon les informations fournies par le ministère, peuvent être destinataires des informations enregistrées dans le fichier nominatif tenu par la personne agréée, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître :
les organismes à vocation sanitaire et les organismes vétérinaires à vocation technique ;
les réseaux sanitaires ;
les associations sanitaires régionales ;
la plateforme d’épidémiosurveillance animale ;
les personnes, services ou organismes assurant la surveillance, la prévention et la lutte contre les dangers sanitaires ; 
les préfets ;
les officiers et agents de police judiciaire ;
les agents des services de secours contre l’incendie ;
les maires ;
les organismes à vocation statistique pour l’analyse et l’information ;
les organismes payeurs des aides agricoles ;
les organismes contribuant à l’amélioration génétique des animaux ou de la recherche ;
les personnes en charge de l’équarrissage ;
les agents habilités à procéder aux contrôles des dispositions relatives à la santé des animaux et à la salubrité des denrées alimentaires d’origine animale. 
 
La Commission estime que ces destinataires présentent un intérêt légitime à connaître de ces données et que le décret pourrait être complété sur ce point. 
 
Sur l’information et les droits des personnes 
 
La Commission prend note que les candidats à l’obtention de l’agrément sont informés conformément aux dispositions de l’article 13 du règlement général sur la protection des données, par une mention figurant dans le règlement relatif à l’appel aux candidatures et dans la convention signée entre le ministère et la personne agréée, une fois l’agrément obtenu.
 
Les droits d’accès et de rectification s’exercent auprès du ministère de l’agriculture et de l’alimentation. 
 
Les propriétaires ou détenteurs d’animaux sont informés, conformément aux dispositions de l’article susvisé, par une mention figurant dans la charte précisant les conditions générales d’utilisation de la base de données.
La Commission précise qu’il conviendra également d’informer les personnes concernées par un premier niveau d’information au moment de leur authentification sur la plateforme en priorisant les éléments d’information essentiels et notamment l’identité du responsable de traitement, la finalité poursuivie ainsi que les modalités d’exercice des droits des personnes. 
 
Les droits de rectification et d’accès s’exercent auprès de la personne agréée. 
 
La Commission considère que ces modalités d’information et d’exercice des droits des personnes sont satisfaisantes.
 
Sur la durée de conservation 
 
La Commission prend acte que les informations relatives au candidat à l’obtention de l’agrément sont conservées en base active le temps de l’instruction et de la délivrance de l’agrément par le ministre de l’agriculture. 
 
En cas de refus de l’agrément par le ministre de l’agriculture, les données sont conservées jusqu’à l’extinction des différentes voies de recours puis archivées conformément aux dispositions du code du patrimoine relatives aux obligations d’archivage des informations dans le secteur public. 
 
Les informations relatives à l’agrément, une fois obtenu, sont conservées dix ans. A cet égard, la Commission relève que cette durée correspond au temps de validité de l’agrément. 
 
A l’expiration de cette période, les données sont archivées conformément aux dispositions du code du patrimoine susvisées.
S’agissant des informations contenues dans le fichier nominatif tenu par la personne agréée, celles-ci sont conservées dix ans à compter de leur enregistrement. 
 
La Commission considère que cette durée de conservation est justifiée par le temps nécessaire aux études épidémiologiques qui nécessitent un historique des évènements sanitaires.
 
Sur les mesures de sécurité 
 
La Commission prend acte que des mesures de protection physiques et logiques seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée et frauduleuse, notamment par des tiers non autorisés, préserver l’intégrité des données traitées, et en assurer la disponibilité.
 
A ce titre, elle rappelle que des profils d’habilitation doivent définir les fonctions ou les types d’informations accessibles à un utilisateur. Ceux-ci ainsi que leurs droits respectifs doivent être spécifiés et documentés de manière détaillée, et prendre en compte les accès différentiés aux informations en fonction du besoin d’en connaître.
 
La Commission rappelle qu’elle recommande que les permissions d’accès soient attribuées pour une durée déterminée, qu’elles soient supprimées pour tout utilisateur n’étant plus habilité, et qu’une revue globale des habilitations soit opérée régulièrement.
L’authentification des utilisateurs du traitement doit être assurée par l’utilisation de mots de passe régulièrement renouvelés et, constitués d’au moins huit caractères contenant des majuscules, des minuscules, et des chiffres lorsque l’authentification prévoit une restriction de l’accès au compte, conformément à la délibération n° 2017-012 du 19 janvier 2017 portant adoption d’une recommandation relative aux mots de passe modifiée. 
 
Des sauvegardes régulières doivent être réalisées et stockées dans un endroit garantissant leur sécurité et leur disponibilité. La Commission tient à rappeler l’importance de tester régulièrement les sauvegardes. 
 
La Commission rappelle que ces obligations nécessitent la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. 
 
 
 
 
 
Pour la Présidente La Vice-Présidente Déléguée
Mme Sophie LAMBREMON
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet d’arrêté portant création d’un traitement de données à caractère personnel dénommé " interface de levée de l’anonymat des agents de la police et de la gendarmerie nationales et des douanes dans les actes de procédure " (IDPV) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment son article 15-4 ;
Vu le code des douanes, notamment son article 55 bis ;
Vu le code de la sécurité intérieure, notamment ses articles L. 229-1 et suivants ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 26-II ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2012-895 du 19 juillet 2012 modifié portant autorisation d’un traitement de données à caractère personnel dénommé " Agorha " relatif à la gestion des ressources humaines de la gendarmerie nationale ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Émet l’avis suivant :
 
La Commission a été saisie par le ministre de l’intérieur d’une demande d’avis relative à un projet d’arrêté portant création d’un traitement automatisé de données à caractère personnel dénommé " interface de levée de l’anonymat des agents de la police et de la gendarmerie nationales et des douanes dans les actes de procédure " (IDPV). 
 
Le traitement projeté doit permettre l’identification des agents apparaissant dans des actes de procédure sous un numéro d’immatriculation administrative en application des articles 15-4 du code de procédure, 55 bis du code des douanes et L. 229-2 du code de la sécurité intérieure, qui visent à protéger les agents contre tout risque d’atteinte à leur intégrité physique ou à celle de leur entourage. Ce projet, fondé sur l’article 26-I-1° de la loi du 6 janvier 1978 modifiée, doit être autorisé par arrêté, pris après avis motivé et publié de la Commission.
 
Sur les finalités du traitement :
Aux termes de l’article 1er du projet d’arrêté soumis à la Commission, le traitement, qui doit être mis en œuvre par la direction générale de la police nationale (DGPN) et la direction générale de la gendarmerie nationale (DGGN) du ministère de l’intérieur, a pour finalité : " de permettre aux autorités judiciaires ainsi qu’aux agents de la police et de la gendarmerie nationales et des douanes, dans le cadre des procédures dont ils sont saisis et dans la limite du besoin d’en connaître, d’identifier un agent apparaissant dans un acte de procédure sous un numéro d’immatriculation administrative en application des articles 15-4 du code de procédure pénale, 55 bis du code des douanes et L. 229-2 du code de la sécurité intérieure ".
 
Ce projet s’explique par l’adoption récente de plusieurs dispositions législatives permettant aux agents de la police nationale, de la gendarmerie nationale ainsi que des douanes, de ne pas s’identifier dans des actes de procédure par leurs nom et prénom et d’y substituer un numéro d’immatriculation administrative, complété par leur qualité et leur service d’affectation. Cette faculté, dont la mise en œuvre est conditionnée par l’autorisation du responsable hiérarchique, vise à protéger les agents concernés de risques de représailles par des délinquants ou des criminels faisant l’objet de procédures judiciaires ou administratives.
Initialement réservée aux seuls officiers et agents de police judiciaire affectés dans les services spécialement chargés de la lutte contre le terrorisme, la possibilité de ne pas être identifié par ses nom et prénom dans des actes de procédure a été étendue par la loi n° 2017-258 du 28 février 2017 relative à la sécurité publique :
aux agents de la police nationale, de la gendarmerie nationale, des douanes ou des services fiscaux habilités à effectuer des enquêtes judiciaires, dans le cadre des procédures relatives à un crime ou un délit puni d’au moins 3 ans d’emprisonnement (article 15-4 du code de procédure pénale) ;
aux agents de la police nationale, de la gendarmerie nationale, des douanes ou des services fiscaux habilités à effectuer des enquêtes judiciaires, dans le cadre des procédures relatives à un crime ou un délit puni de moins de 3 ans lorsqu’en raison de circonstances particulières dans la commission des faits ou de la personnalité des personnes mises en cause, la révélation de l’identité de l’agent est susceptible de mettre en danger sa vie ou son intégrité physique ou celle de ses proches (article 15-4 du code de procédure pénale) ;
aux agents de la douane administrative (article 55 bis du code des douanes).
La loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme a ensuite étendu cette possibilité, en matière de police administrative, aux procès-verbaux relatant les opérations de visite et saisie effectuées aux seules fins de prévenir la commission d’actes de terrorisme (article L. 229-2 du code de la sécurité intérieure).
 
Dès lors qu’un certain nombre d’actes de procédure ne comporteront plus les nom et prénom des agents ayant participé à leur accomplissement, l’autorité judiciaire ainsi que les agents de la police nationale, de la gendarmerie nationale ou des douanes devant connaître des procédures concernées doivent pouvoir accéder aux nom et prénom des agents identifiés par un numéro d’immatriculation. Le traitement IDPV projeté doit précisément répondre à cette nécessité. 
 
La DGPN et la DGGN souhaitent plus précisément mettre en œuvre une interface unique permettant d’accéder, à partir du numéro d’immatriculation administrative complété, le cas échéant, par le numéro de la procédure, aux données à caractère personnel nécessaires à l’identification de l’agent et de son service d’affectation. Ces données sont actuellement enregistrées dans les traitements de gestion mis en œuvre par chaque direction concernée, à savoir :
- le traitement " RIO " - référentiel des identités et de l’organisation ayant pour finalité la gestion des cartes professionnelles sécurisées – pour les agents de la police nationale ;
- le traitement " Agorha " relatif à la gestion des ressources humaines de la gendarmerie pour les agents de la gendarmerie nationale, autorisé par le décret n° 2012-895 du 19 juillet 2012 susvisé ;
- le traitement dénommé " identification des agents des douanes dans les actes de procédure " (IDdouane), qui doit prochainement être créé, pour les agents de la direction générale des douanes et des droits indirects.
 
Il est donc prévu que l’interface IDPV interroge ces trois traitements, ce dont la Commission prend acte. 
 
La Commission prend également acte que le traitement IDPV sera uniquement utilisé dans les hypothèses suivantes :
lorsqu’une partie à la procédure considère que la connaissance des nom et prénom d’une personne ayant été autorisée à s’identifier par un numéro d’immatriculation est nécessaire à l’exercice des droits de la défense, notamment en raison de la contestation des faits énoncés dans les procès-verbaux et rapports ou des conditions de leur recueil et que le juge d’instruction ou le président de la juridiction de jugement ordonne la révélation de ces informations ;
en cas de demande d’annulation d’un acte de procédure fondée sur la violation des formes prescrites par la loi dont l’appréciation nécessite la révélation de l’identité des personnes qui sera communiquée au juge d’instruction, au président de la chambre de l’instruction ou au président de la juridiction, qui statueront sans verser ces éléments dans le cadre du débat contradictoire ni indiquer l’identité des personnes dans leur décision ;
en cas de poursuite d’une enquête par un autre service ou en cas d’enquête en co-saisine, les agents de la police, de la gendarmerie nationale et de la douane désignés par un numéro d’immatriculation devant pouvoir être identifiables par les autres agents amenés à connaître de la procédure judiciaire ou administrative ;
pour permettre au juge qui a autorisé une saisie sur le fondement de l’article L. 229-2 du CSI et aux juridictions saisies à cet effet de connaître l’identité des agents qui ont procédé à la visite et à la saisie.
 
Au regard de l’ensemble de ces précisions, la Commission considère que les finalités poursuivies par le traitement IDPV sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Elle rappelle toutefois que, contrairement à ce que pourrait laisser penser la terminologie employée par certains passages du dossier et la page d’accueil de l’interface, qui évoque un " numéro d’anonymat ", l’utilisation d’un numéro d’immatriculation administrative ne constitue pas une technique d’anonymisation mais uniquement de pseudonymisation, les actes de procédure comportant de tels numéros, a fortiori complétés par la qualité de l’agent et son service d’affectation, comportant toujours des données à caractère personnel au sens de l’article 2 de la loi du 6 janvier 1978 modifiée. 
 
Sur les données traitées :
 
L’article 3 du projet d’arrêté prévoit que les données relatives à l’agent apparaissant dans un acte de procédure qui sont rendues accessibles par le traitement IDPV sont :
le grade, le nom, le prénom et la qualité judiciaire de l’agent ;
le service ou le service dans lequel il est affecté ;
l’adresse électronique professionnelle et le numéro de téléphone du service ou de l’unité. 
 
L’accès à de telles informations apparaît pertinent à la Commission, compte tenu des finalités du traitement. 
 
En outre, la Commission prend acte que les données à caractère personnel rendues accessibles par l’interface de consultation IDPV seront uniquement conservées dans les fichiers propres à chaque administration consultés par le traitement IDPV (RIO, AGORHA, IDdouane), pendant la durée prévue par les actes autorisant la mise en œuvre de ces traitements.
Ainsi, le traitement IDPV n’enregistrera aucune donnée, à l’exception de celles relatives à la traçabilité des opérations. Concernant ces dernières, le projet d’arrêté prévoit que les consultations font l’objet d’un enregistrement comprenant l’identification de l’auteur de la consultation, le numéro d’immatriculation objet de la requête, la date et l’heure. Il précise que ces informations seront conservées pendant 6 ans ce qui, compte tenu de l’objet du traitement, n’apparaît pas excessif à la Commission. 
 
Sur les destinataires du traitement :
 
Le projet d’arrêté prévoit que peuvent avoir accès à tout ou partie des données consultables par le biais de l’interface IDPV :
des magistrats du ministère public, des juridictions d’instruction, des juridictions répressives de jugement et des juridictions d’application des peines ainsi que les greffiers qui les assistent ;
des agents et officiers de police judiciaire et fiscaux de la direction générale de la police nationale, de la direction générale de la gendarmerie nationale, de la préfecture de police et les agents de la douane judiciaire ;
des agents spécialisés, techniciens et ingénieurs de police technique et scientifique et les agents de la gendarmerie nationale agissant en qualité de personne qualifiée ou d’expert ;
des agents de la direction générale de la sécurité intérieure.