AgentPublic/cnil huggingface dataset:
La recherche multicritère permettrait d’utiliser les dispositifs LAPI au-delà des requêtes actuellement autorisées (consultation des traitements FOVES et SIS) afin de connaître le mode opératoire des organisations criminelles sur le réseau routier en réalisant des recherches, sans cible prédéterminée (détection de plaques étrangères sur une période et un itinéraire donnés ou de comportements suspects). Cette nouvelle exploitation des données justifie, selon le ministère, une durée de conservation plus longue de celles-ci (quatre mois au lieu de quinze jours).
Le ministère a justifié les raisons opérationnelles qui le conduisent à vouloir solliciter, dans cet objectif, une modification des dispositions du CSI encadrant les dispositifs LAPI. La CNIL estime donc légitimes les traitements qui pourraient être mis en œuvre.
La CNIL accueille favorablement les garanties prévues par le projet de loi en matière de protection des données :
les traitements permettraient exclusivement de procéder à un signalement d’attention et ne pourraient fonder aucune décision individuelle ou acte de poursuite ;
seuls les agents des douanes affectés au sein d’un service spécialisé de renseignement de la direction nationale du renseignement et des enquêtes douanières (DNRED), individuellement désignés et spécialement habilités par le ministre chargé des douanes, pourraient avoir accès aux données et en opérer le traitement ;
interdiction d’exploiter les photographies des occupants des véhicules ;
interdiction de procéder à toute interconnexion ou mise en relation automatisée avec d’autres traitements de données à caractère personnel ;
interdiction pour un sous-traitant de droit privé de procéder à toute opération de collecte, de traitement et de conservation des données, à l’exception de la conception des outils de traitement des données ;
l’expérimentation porterait sur un nombre limité de LAPI utilisés par les douanes, sur un périmètre géographique limité à certains axes de circulation.
La CNIL considère que les parties de photographies montrant les occupants des véhicules, qui ne seront pas exploitées dans le cadre de l’expérimentation, devraient être supprimées ou floutées dès que possible conformément au principe de minimisation des données. Ce point devrait faire l’objet d’une attention particulière dans l’analyse d’impact relative à la protection des données à caractère personnel (AIPD) qui sera réalisée et transmise préalablement à la CNIL.
La CNIL considère que la phrase du projet de loi mentionnant qu’ "ils ne peuvent procéder à aucune interconnexion ou mise en relation automatisée avec d’autres traitements de données à caractère personnel" devrait être complétée de la mention : "autres que ceux autorisés par l’article L. 233-2 du code de la sécurité intérieure". Le ministère a précisé que le projet de loi sera complété sur ce point, ce que la CNIL accueille favorablement.
L’expérimentation sera encadrée par un décret en Conseil d’Etat pris après avis de la CNIL qui devra déterminer notamment les critères de recherche utilisés, le nombre maximal de dispositifs de LAPI concernés et les axes de circulation où ils seront installés.
La CNIL estime que le projet de décret devra également comporter les éléments prévus à l’article 35 de loi "informatique et libertés", en particulier les catégories de données traitées (photographies, numéro d’immatriculation, date et heures du relevé, etc.), et les modalités d’information des personnes concernées. La CNIL prend acte de l’engagement du ministère de ce que le projet de décret comportera ces éléments. 
B. Sur l’augmentation de la durée de conservation des données LAPI 
L’article 6 du projet de loi prévoit que, par dérogation à l’article L. 233-2 du CSI, les données collectées sont conservées durant un délai maximum de quatre mois, sans préjudice des nécessités de leur conservation pour les besoins d’une procédure pénale ou douanière.
Outre les raisons opérationnelles déjà évoquées ci-dessus, le ministère souhaite allonger la durée de conservation afin d’augmenter le volume des données pouvant être exploitées par les traitements permettant de réaliser des recherches multicritères. Il a souligné qu’il résulte de la pratique des services douaniers que la recherche des infractions en cause nécessite d’observer les trajets des véhicules soupçonnés d’y être liés pendant une durée nettement supérieure à 15 jours et pouvant atteindre plusieurs mois.
La CNIL ne remet pas en cause cette appréciation des services douaniers mais elle souligne que l’augmentation de la durée de conservation entraînera, compte tenu du nombre important de véhicules concernés, une forte augmentation du stock de données conservées. Or ces données permettent de suivre les trajets des véhicules en cause, sur une période plus longue. Cette forme de surveillance constitue une atteinte forte à la vie privée. La fixation de la durée de conservation des données collectées dans le cadre de cette expérimentation revêt donc une importance particulière.
Sans remettre en cause le fait que la loi fixerait un délai maximal de quatre mois, la CNIL considère que ce délai ne devrait pas être obligatoire et que la durée effective de conservation testée devrait être inférieure au début de l’expérimentation et, le cas échéant, progressivement augmentée si cela apparaissait nécessaire et proportionné. Le rapport d’évaluation devra contenir des éléments permettant d’apprécier le caractère proportionné de la durée finalement retenue, notamment en comparant l’accroissement du nombre de données collectées et l’efficacité du dispositif pour détecter des comportements suspects.
La CNIL considère que des mesures de sécurité protectrices de la vie privée portant sur le stockage des données collectées (chiffrement par exemple) devraient être mises en œuvre. 
C. Sur le rapport d’évaluation
L’article 6 du projet de loi prévoit que cette expérimentation ferait l’objet d’un rapport d’évaluation dont les résultats seraient transmis au Parlement et à la CNIL au plus tard six mois avant son terme. Ce rapport devra mesurer l’intérêt de l’expérimentation pour la lutte contre la criminalité organisée, et évaluer l’efficacité des garanties apportées pour assurer la protection des données personnelles et le respect de la vie privée.
La CNIL accueille favorablement cette disposition. 
La Présidente
M.-L. DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données  ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données  ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 10 et 22-1  ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi du 6 janvier 1978, notamment ses articles 41, 45-1 et 45-2 ;
Après avoir entendu M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Décide :
Article 1
Les agents de la direction de la protection des droits et des sanctions de la Commission nationale de l'informatique et des libertés (CNIL) ci-après désignés et ceux nommés en application du premier alinéa de l'article 41 du décret n° 2019-536 du 29 mai 2019 modifié, sont habilités à établir un rapport en application du cinquième alinéa de l'article 22-1 de la loi du 6 janvier 1978 modifiée :
Mme Rose-Marie ABEL ;
Mme Madeleine CAZETTES DE SAINT LEGER  ;
Mme Virginie CLAUDE-LOONIS  ;
Mme Rosine DOLBEC ;
M. Antoine DROIN  ;
M. Rodolphe GÉNISSEL  ;
Mme Marie GAILLARDON  ;
Mme Sarah GUILLOU ;
M. Jérémie KOUZMINE ;
Mme Noémie LICHON ;
Mme Isabelle MANTZ ;
Mme Clothilde MAULIN ;
Mme Oriane MAURICE ;
Mme Nina MCEVOY ;
Mme Lola TAIEB.
Article 2
La délibération n° HABS-2022-001 du 3 novembre 2022 portant habilitation de certains agents de la Commission nationale de l'informatique et des libertés est abrogée.
Article 3
Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Présidente de la Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la saisine de la Commission nationale de l’informatique et des libertés n°22005568 ;
Vu la décision n° 2022-122C du 21 juin 2022 de la Présidente de la Commission nationale de l’informatique et des libertés de charger le Secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements de données mis en œuvre par XX ;
Vu le procès-verbal de contrôle sur place n° 2022-122/1 du 9 août 2022 ;
Vu les autres pièces du dossier ;
I. Le contexte
Rattachée au XX (ci-après X), la XX (ci-après " X ") est située X. Le contrôle a eu lieu dans les locaux de X située X, laquelle unité appartient au service à compétence nationale dénommé X.
Après un signalement du 18 mars 2022 faisant état de l’utilisation du système X pour recenser tous les individus contrôlés X et sur décision n°2022-122C du 21 juin 2022 de la Présidente de la Commission nationale de l’informatique et des libertés (ci-après " CNIL "), une délégation de la CNIL a procédé, le 9 août 2022, à une mission de contrôle sur place auprès de X afin de contrôler le respect des dispositions de la loi Informatique et Libertés du 6 janvier 1978 (ci-après " loi Informatique et Libertés ") et de la directive 2016/680 du 27 avril 2016 (ci-après " directive police justice ").
L’unité locale X participe à X et principalement aux missions de X. Elle inscrit de manière systématique les personnes contrôlées X dans le fichier X sans que ces personnes n’en soient informées.
La X a produit des pièces complémentaires les 26 août et 27 septembre 2022.
II. Sur l’identification du responsable de traitement
La X, qui utilise le fichier X, est rattachée à la X.
La délégation de la CNIL a constaté qu’une fiche relative au fichier X était intégrée au registre des activités de traitement de la X, qui vise cette dernière comme responsable de traitement.
Par ailleurs, la X a informé la délégation avoir entrepris des démarches de mise en conformité avec le RGPD, en désignant un responsable de traitement opérationnel, une maitrise d’ouvrage et un service chargé de traiter les demandes de droit. La X a également informé la CNIL qu’une analyse d’impact relative à la protection des données (AIPD) était en cours de finalisation et qu’un projet d’acte règlementaire de création du traitement avait été rédigé.
Dès lors, le X, auquel est rattaché la X, doit être considéré responsable du traitement, s’agissant du fichier X mis en œuvre pour le compte de l’Etat et concerné par la présente procédure.
III. Sur la loi applicable
Le premier paragraphe de l’article 87 de la loi Informatique et Libertés, premier article du titre III de la loi, dispose que : " le présent titre s'applique, sans préjudice du titre Ier, aux traitements de données à caractère personnel mis en œuvre, à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci-après dénommés autorité compétente ".
Le titre III de la loi Informatique et Libertés s’applique aux traitements de données à caractère personnel qui répondent à une double caractéristique relative à leur finalité, d’une part, et à la qualité du responsable de traitement, d’autre part .
S’agissant des finalités poursuivies par le fichier X, la délégation a constaté que le registre des activités de traitement en identifiait trois. La première finalité est de " contribuer à la recherche, la constatation et la répression des fraudes X dans le cadre des compétences de la X en matière de protection de l’espace national et communautaire ". La deuxième finalité est de " collecter des informations se rapportant à des risques de fraude X, en présence d’une ou plusieurs raisons plausibles de soupçonner l’existence d’une infraction X, sur la base d’informations recueillies par les services X ou de contrôles réalisés ". La troisième finalité est de " fiabiliser l’intégration, l’enrichissement et la conservation du renseignement X à des fins de mutualisation entre services X chargés de la lutte contre la fraude ".
Les missions précitées entrent ainsi dans le champ des finalités visées par l’article 87 de la loi Informatique et Libertés, en ce qu’elles visent d’une part, à prévenir ou détecter des infractions pénales (par exemple, en contribuant à la recherche, la constatation et la répression des fraudes) ; d’autre part, à enquêter ou poursuivre en matière pénale (par exemple en collectant des informations) ; enfin, à assurer une protection contre les menaces pour la sécurité publique et la prévention de telles menaces (par exemple en mutualisant le renseignement X entre services chargés de la lutte contre la fraude).
La délégation a constaté plusieurs mentions à des infractions pénales dans le fichier X, relatives notamment à des faits de trafic de drogue, de contrefaçon, de travail dissimulé, de refus d’obtempérer, d’agressions sexuelles, de détention d’armes prohibées, d’homicide volontaire ou d’assassinat.
S’agissant de la qualité d’autorité compétente en matière de " police-justice " : la X dispose, dans le cadre de ces missions, de pouvoirs de surveillance X, en vertu du décret n° X, qui correspondent à des prérogatives de puissance publique. Le décret prévoit en effet que la direction, rattachée au sous-directeur du réseau de la X, met en œuvre sur le territoire national " les missions de surveillance X nécessitant l'utilisation de moyens X " et précise qu’elle " contribue à X et à la fonction X et participe, dans ce cadre, à des missions nationales et internationales ". Il ressort à ce propos de la stratégie de la X pour 2022-2025 que l’un des objectifs poursuivis est la lutte contre les trafics et la criminalité organisée. La délégation a en effet été informée que le service X participait entre autres à la lutte contre les stupéfiants et à la lutte contre l’immigration illégale.
En conséquence, les traitements mis en œuvre doivent respecter les dispositions du titre III de la loi Informatique et Libertés.
IV. Les manquements au regard des dispositions de la loi du 6 janvier 1978 modifiée
A- Sur le manquement relatif à la licéité du traitement et à l’absence d’analyse d’impact
En premier lieu, le second paragraphe de l’article 87 de la loi Informatique et Libertés prévoit que les traitements visés par le titre III de la loi " ne sont licites que si et dans la mesure où ils sont nécessaires à l'exécution d'une mission effectuée, pour l'une des finalités énoncées au premier alinéa, par une autorité compétente au sens du même premier alinéa et où sont respectées les dispositions des articles 89 et 90 ".
Aux termes du I de l’article 89 de la loi Informatique et Libertés : " Si le traitement est mis en œuvre pour le compte de l'État pour au moins l'une des finalités énoncées au premier alinéa de l'article 87, il est prévu par une disposition législative ou réglementaire prise dans les conditions prévues au I de l'article 31 et aux articles 33 à 36 ". En application du II du même article, " si le traitement porte sur des données mentionnées au I de l'article 6, il est prévu par une disposition législative ou réglementaire prise dans les conditions prévues au II de l'article 31 ". L’article 31 de la loi impose que les traitements de données en cause soient autorisés par arrêté du ou des ministres compétents, pris après avis motivé et publié de la Commission et, en cas de traitement de données sensibles, par décret en Conseil d’État pris après avis motivé et publié de la CNIL.
En l’espèce, la délégation de la CNIL a constaté l’existence du X, mis en œuvre par la X et utilisé par le service à compétence nationale " X ". Le X contient les données à caractère personnel des passagers des X contrôlés, précisément des informations sur leur état civil, leur adresse, leur profession, leur fonction X, les informations relatives à la propriété ou à la location X et leur géolocalisation. La délégation a constaté la présence de documents d’identité de mineurs dans le fichier X.
En outre, aucun texte législatif ou réglementaire ne vient autoriser et encadrer ce traitement de données à caractère personnel, seul un projet d’acte réglementaire ayant été rédigé par la X.
Or, le fichier X est mis en œuvre pour le compte de l’Etat pour une finalité correspondant à l’article 87 alinéa premier, à savoir la prévention, la détection et l’enquête dans le cadre d’infractions pénales. Il doit ainsi être prévu par une disposition législative ou règlementaire prise selon la procédure des articles 31 et 33 à 36 de la loi Informatique et Libertés, ce qui n’est pas le cas en l’espèce.
Le traitement de données à caractère personnel, mis en œuvre sans qu’ait été pris un acte réglementaire après avis de la Commission, est donc contraire à l’article 89 de la LIL.
En second lieu, l’alinéa premier de l’article 90 de la loi Informatique et Libertés dispose que : " Si le traitement est susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, notamment parce qu'il porte sur des données mentionnées au I de l'article 6, le responsable de traitement effectue une analyse d'impact relative à la protection des données à caractère personnel.
Si le traitement est mis en œuvre pour le compte de l'Etat, cette analyse d'impact est adressée à la Commission nationale de l'informatique et des libertés avec la demande d'avis prévue à l'article 33. ".
Le fichier X contient des données relatives à la géolocalisation X dès X. La délégation a en effet été informée que le X avait automatiquement accès à " de nombreuses informations ", sans préciser lesquelles, lorsqu’il se trouve à proximité de X équipés d’un X, ce qui est le cas de la plupart des X.
La délégation a constaté que le registre de traitement et le projet d’AIPD estimaient qu’environ 24 000 personnes physiques étaient concernées par le traitement. La délégation a ensuite été informée que s’agissant des X, si a priori seul le propriétaire est intégré au fichier X, les agents participant au contrôle X peuvent aléatoirement intégrer tous les occupants audit fichier. S’agissant des X, en cas de " contentieux conséquent ", la délégation a été informée que tout X était intégré au fichier X.
La X a transmis à la délégation de contrôle le fichier X. La délégation a constaté que 45 793 personnes, dont 392 mineurs, sont intégrées au fichier X. La délégation a également constaté que le fichier contenait les copies de 9 646 passeports et de 3 051 cartes nationales d’identité.
La CNIL a constaté qu’un projet d’analyse d’impact relative à la protection des données à caractère personnel (AIPD) a été rédigé par une personne désignée par la X. La délégation a été informée que ce projet n’avait pas été adressé à la CNIL.
Or, compte tenu du traitement de données de géolocalisation X conduisant à une surveillance quasi systématique de leur X et au volume conséquent de personnes concernées, il doit être considéré que la X met en œuvre, pour le compte de l’Etat, un traitement de données de localisation à large échelle susceptible d'engendrer un risque élevé pour les droits et les libertés des personnes physiques, lequel devait faire l’objet d’une analyse d’impact adressée à la CNIL .
Un manquement à l’article 90 de la loi Informatique et Libertés est ainsi constitué.
Il résulte de ce qui précède que le fichier X, mis en œuvre sans avoir été créé par un acte règlementaire pris après avis de la CNIL et sans réalisation d’une AIPD transmise à la Commission, est illicite au regard de l’article 87 de la LIL. Le X est donc tenu de prendre un acte règlementaire après avis de la CNIL et de conduire une analyse d’impact qui lui sera adressée.
B- Sur le manquement à la distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées
Aux termes de l’article 98 de la LIL, " Le responsable de traitement établit, dans la mesure du possible et le cas échéant, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées, telles que :
1° Les personnes à l'égard desquelles il existe des motifs sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale ;
2° Les personnes reconnues coupables d'une infraction pénale ;
3° Les victimes d'une infraction pénale ou les personnes à l'égard desquelles certains faits portent à croire qu'elles pourraient être victimes d'une infraction pénale ;
4° Les tiers à une infraction pénale, tels que les personnes pouvant être appelées à témoigner lors d'enquêtes en rapport avec des infractions pénales ou des procédures pénales ultérieures, des personnes pouvant fournir des informations sur des infractions pénales ou des contacts ou des associés de l'une des personnes mentionnées aux 1° et 2°. "
La délégation a constaté que le fichier X comporte les données relatives aux X contrôlés et parfois celles des autres personnes présentes X. La délégation a constaté que si les fiches des personnes physiques sur X permettent d’établir un lien avec un X, aucun champ ne permet de distinguer les catégories de personnes au regard des distinctions posées à l’article 98 de la loi " Informatique et libertés ".
La distinction entre les personnes soupçonnées d’une infraction, coupables, victimes ou tiers n’est pas établie. La délégation a été informée que la qualification X, est réalisée dans X sans toutefois distinguer les catégories de personnes X.
L’absence de distinction entre les catégories de personnes constitue un manquement à l’article 98 de la loi Informatique et Libertés. Le X devra donc distinguer clairement les données à caractère personnel des différentes catégories de personnes inscrites dans le fichier X.
C- Sur le manquement relatif à l’information des personnes
L’article 104 de la loi Informatique et Libertés impose au responsable de traitement de mettre à disposition des personnes concernées une information relative au traitement de leurs données à caractère personnel. Cette obligation porte notamment sur l'identité et les coordonnées du responsable de traitement et de son délégué à la protection des données, les finalités poursuivies par le traitement et les différents droits dont disposent les personnes.