AgentPublic/cnil huggingface dataset:
La Commission souligne que le ministère a indiqué ne pas être en mesure de dresser la liste exhaustive des traitements susceptibles d’être interrogés et ayant vocation à alimenter le LRPGN ou être alimenté par lui, compte tenu de leur nombre important et des spécificités de chaque enquête, rendant par nature, impossible d’en dresser une liste pertinente. A cet égard, elle considère que cette impossibilité a pour conséquence de priver la Commission de l’ensemble des informations relatives aux modalités de mise en œuvre des interconnexions, mises en relation, et rapprochements susceptibles d’être mis en œuvre.
Si elle souligne que la mention des interconnexions, rapprochements et mises en relation n’est pas exigée par les dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée, elle estime que, dans la mesure où le ministère a lui-même choisi de faire de l’alimentation de ces différents fichiers une finalité intrinsèque du LRPGN expressément mentionnée à l’article 1er du projet de décret, et non une simple fonctionnalité technique au service d’autres finalités, les traitements pouvant être mis en relation ou faisant l’objet d’interconnexions avec ce fichier auraient dû être précisés dans le projet de décret. Elle rappelle à cet égard que l’article 4-2° de la loi du 6 janvier 1978 modifiée impose que les finalités du traitement soient déterminées et explicites.
Elle estime en outre que tant l’article 4 du projet de décret, qui prévoit la mise en relation avec d’autres traitements de données à caractère personnel intéressant les procédures judiciaires et administratives, que son annexe permettant, au titre des données collectées, l’enregistrement d’informations issues d’autres fichiers, ne permettent pas d’appréhender, la nature ou le périmètre des fichiers susceptibles d’être visés.
Elle considère qu’une telle évolution conduit à un changement d’échelle significatif du LRPGN, dans la mesure où, en l’état actuel du projet de décret, le traitement est susceptible d’être alimenté par n’importe quel fichier. Dans ces conditions, la Commission estime qu’à défaut pour le ministère d’être en mesure de détailler les traitements susceptibles d’être interrogés, au titre des finalités du traitement, ou de l’article 4 du projet de décret, elle ne peut être que très réservée quant aux modifications projetées.
Elle estime en outre que cette exigence de précision quant au périmètre du traitement est d’autant plus nécessaire que l’article 1er du décret n° 2011-111 précise que l’enregistrement de données sensibles au sens de l’article 6 de la loi du 6 janvier 1978 modifiée est permis dans la stricte mesure où ces données sont nécessaires à la poursuite des finalités définies au présent article .
Sur le régime juridique applicable au traitement
Le ministère considère, compte tenu des finalités poursuivies par le traitement, que celui-ci relève des dispositions du titre III ainsi que du titre IV de la loi du 6 janvier 1978 modifiée. A cet égard, il a indiqué que le traitement LRPGN étant l’unique outil de rédaction de l’ensemble des procédures réalisées par la gendarmerie nationale, il est susceptible de permettre la rédaction de procédures judiciaires et administratives concernant le terrorisme, et plus largement à toutes les atteintes aux intérêts fondamentaux de la Nation telles que définies par le titre 1er du livre IV du code pénal.
A titre liminaire, la Commission rappelle que la détermination du régime juridique applicable doit être effectuée au regard de la finalité du traitement et des conditions de mise en œuvre de celui-ci et non au regard de la nature des données. Si elle souligne que le traitement LRPGN a en effet vocation à porter sur des procédures de natures très diverses, dont certaines considérées comme particulièrement sensibles, elle estime néanmoins que le traitement permet, en tout état de cause, la poursuite d’infractions pénales, par l’intermédiaire des procédures diligentées et à tout le moins pour celles qui revêtent un caractère judiciaire. Elle relève que les finalités poursuivies par le traitement LRPGN permettent principalement la rédaction des procédures judiciaires et administratives, et que dès lors, l’objectif poursuivi par le traitement n’est pas susceptible d’intéresser la sûreté de l’Etat. A ce titre, elle considère que seules les dispositions des titres I et III de la loi du 6 janvier 1978 modifiée devraient s’appliquer au traitement LRPGN.
Sur la durée de conservation des données
L’article 3 du projet de décret prévoit que les données à caractère personnel et informations mentionnées à l’article 2 sont conservées six ans à compter de la transmission de la procédure à l’autorité judiciaire ou administrative compétente .
A titre liminaire, la Commission rappelle qu’elle avait souligné dans sa délibération n° 2010-119 du 6 mai 2010 qu’elle accueillait favorablement la disposition selon laquelle les données relatives aux personnes faisant l’objet d’une procédure étaient effacées dès la clôture de celle-ci et sa transmission aux autorités compétentes. Elle avait également pris acte qu’une fois la procédure clôturée, il était impossible, même en cas de nouvelle pièce rédigée sous le même numéro de procédure, de retrouver ces informations.
La Commission relève que le ministère entend modifier ces dispositions afin de permettre la conservation de ces données pour une durée de six ans afin de faciliter la réouverture d’une enquête durant le délai de prescription de l’action publique en matière délictuelle. Si elle relève que la procédure est archivée à compter de la date de sa clôture, cette dernière est qualifiée de courante par le ministère et permettra en pratique à l’ensemble des militaires de l’unité au sein de laquelle la procédure a été établie d’accéder à ces procédures par l’intermédiaire d’une fonction de gestion électronique des documents (GED). Elle considère dès lors que cette disposition revient à fixer la durée de conservation des données pour une durée de six années, et ce, en l’absence de mesures encadrant l’archivage définitif de ces procédures.
La Commission souligne que le LRPGN, qui a vocation à concerner l’ensemble des procédures relevant de la compétence de la gendarmerie nationale, porte, par essence, sur des procédures très variées, qui ne sont pas toutes susceptibles de porter sur des infractions de nature délictuelle. Elle relève également que le ministère n’a pas entendu moduler cette durée s’agissant de la nature des infractions concernées ni s’agissant des données collectées dans le cadre de procédures administratives. Il a en effet précisé que la durée projetée doit permettre de pouvoir répondre aux sollicitations complémentaires de l’autorité dont la décision serait contestée, et ce, dans la mesure où elles font régulièrement l’objet de recours contentieux.
De manière générale, la Commission estime que la durée de conservation des données ne saurait être fixée, par principe, au regard de la seule durée de prescription de l’action publique, sans considération des finalités pour lesquelles elles sont traitées, et dans le respect des dispositions de l’article 4-5° de la loi du 6 janvier 1978 modifiée.
Plus spécifiquement, elle souligne que le ministère n’a pas démontré, d’une part, le besoin de conserver ces données au-delà de leur transmission à l’autorité compétente, et d’autre part, pour une durée n’excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées. Dans ce contexte, elle est réservée quant à l’opportunité de conserver à titre préventif ces données, et considère la durée fixée par le projet de décret comme disproportionnée. 
En tout état de cause, et comme elle l’avait pointé dans son avis du 11 octobre 2012 portant sur le logiciel de rédaction des procédures de la police nationale, la Commission considère que, si le ministère entend archiver les données à l’issue de leur transmission à l’autorité compétente, le projet de décret devrait être modifié afin de préciser que l’accès, nécessairement limité, aux données dans ce délai, et dès lors que la procédure a été transmise à l’autorité compétente, ne pourra être effectué que de façon strictement encadrée.
Enfin, la Commission souligne que les données sont supprimées manuellement à l’issue du délai de six ans. A cet égard, le ministère a précisé qu’une fonctionnalité de rappel automatique a été intégrée le 1er juillet 2020, pour signaler, de manière visuelle dans l’onglet traditionnel de gestion des procédures, la liste détaillée des procédures arrivées à échéance du délai de conservation, applicable aux procédures clôturées postérieurement à cette date. La Commission considère néanmoins que cette mesure est insuffisante pour assurer la suppression des données de façon systématique, au terme du délai de conservation, et considère qu’au vu de la nature du traitement et du volume de données à traiter, il apparaît nécessaire de mettre en place une procédure de suppression automatique des données. Dans l’intervalle, elle estime en tout état de cause que des mesures, notamment organisationnelles, permettant d’assurer la suppression effective des données doivent être mises en œuvre. A cet égard, elle prend acte des précisions apportées par le ministère selon lesquelles le commandant d’unité vérifie quotidiennement son registre de procédures, l’échelon hiérarchique immédiatement supérieur, qui détient une vision plus globale, contrôle et le cas échéant ordonne l’effacement, et enfin, en terme de contrôle interne, les référents informatique et libertés des groupements et régions de gendarmerie exercent également un contrôle sur la mise en œuvre effective de la procédure d’effacement.
Elle estime ce protocole satisfaisant et appelle le ministère à assurer sa diffusion et son respect.
Sur les modifications apportées aux autres conditions de mise en œuvre du traitement
Sur les catégories de données collectées
A titre liminaire, la Commission relève que
En premier lieu, l’annexe du projet de décret prévoit que peuvent être collectées, de manière indifférenciée, des données relatives aux personnes physiques victimes, mises en cause, témoins plaignants ou faisant l’objet d’une enquête ou instruction pour recherche des causes de la mort ou d’une disparition dans le cadre d’une procédure judiciaire.
L’article 6 de la directive 2016/680 susvisée prévoit que le responsable du traitement établit, le cas échéant et dans la mesure du possible, une distinction claire entre les données à caractère personnel de différentes catégories de personnes concernées , notamment afin de distinguer les données relatives aux personnes suspectées, condamnées, victimes, ou encore considérées comme tiers. A cet égard
 
 
, le ministère a indiqué qu’il considère que la distinction des données susceptibles d’être collectées selon le statut de la personne concernée (mis en cause, ou victime par exemple) n’est pas pertinente. La Commission estime néanmoins qu’outre le respect des dispositions de l’article précité, une telle distinction aurait permis d’assurer la minimisation des données pouvant être collectées s’agissant de chaque personne, à l’instar de ce qui est actuellement prévu s’agissant du logiciel de rédaction des procédures de la police nationale (LRPPN 2).
En tout état de cause, si la Commission relève que les dispositions encadrant le LRPGN prévoient d’ores et déjà la collecte de données relatives aux victimes, elle rappelle, compte tenu de l’évolution significative des données pouvant être collectées, qu’elle considère qu’il est indispensable que les critères relatifs à la nécessité de la collecte de ces catégories de données soient strictement respectés. Par ailleurs, dans la mesure où ces données ont vocation à être conservées pour la même durée que les informations relatives aux personnes mises en cause, elle souligne l’importance d’assurer un contrôle strict de ces durées et, plus spécifiquement, dans l’hypothèse de la collecte d’informations relatives à des mineurs.
En deuxième lieu, le point I-1° de l’annexe du projet de décret, qui encadre les données susceptibles d’être collectées, prévoit l’enregistrement de photographies.
A cet égard, la Commission relève que la collecte de cette donnée est uniquement prévue dans le cadre de procédures judiciaires et dans la mesure où elles peuvent, selon le ministère, être nécessaires à l’enquête, que ce soit par exemple dans le cadre d’atteintes aux personnes ou aux biens (traces de coups, photos du véhicule volé), ou pour permettre l’identification d’une personne décédée ou disparue.
La Commission relève en outre que le projet de décret ne prévoit pas la possibilité de recourir à un dispositif de reconnaissance faciale et rappelle en tout état de cause que, dans le cas où le traitement utiliserait un gabarit biométrique, celui-ci constituerait en lui-même une donnée relevant d’une catégorie distincte de celles listées dans le projet de décret, nécessitant la modification du décret encadrant le LRPGN, après saisine de la Commission, dans les conditions prévues à l’article 89 de la loi du 6 janvier 1978 modifiée.
En troisième lieu, l’annexe du projet de décret prévoit la possibilité de collecter la fiche dactyloscopique . A cet égard, le ministère a précisé que cette fiche doit constituer une aide pour l’enquêteur et qu’elle est utilisée afin de renseigner le relevé décadactylaire, pouvant être une composante du procès-verbal de signalement d’une personne physique. A cet égard, elle porte sur l’aspect de chaque doigt et doit permettre d’indiquer leur état (normal / abimé / bandé / coupé). Il a par ailleurs précisé que cette fiche ne correspondait pas au signalement transmis au FAED. A des fins de clarté, la Commission estime que cette catégorie de données pourrait être précisée dans le projet de décret.
Sur l’exercice des droits
L’article 7 du projet de décret encadre les modalités d’exercice des droits des personnes concernées, au regard tant des dispositions du titre III de la loi du 6 janvier 1978 modifiée que de celles de son titre IV.
En premier lieu, et sans méconnaître les précisions apportées par le ministère quant au régime juridique qu’il entend appliquer au traitement LRPGN, la Commission considère que seules les dispositions du titre III de la loi précitée ont vocation à s’appliquer s’agissant de l’exercice de leurs droits par les personnes concernées, dans la mesure où le fichier poursuit des finalités considérées comme ne relevant pas de la sûreté de l’Etat ou la défense.
En second lieu, concernant l’information des personnes concernées, la Commission prend acte qu’elle sera réalisée par la publication de l’acte réglementaire ainsi que de la liste de l’ensemble des traitements mis en œuvre par le ministère de l’intérieur sur son site web. A cet égard, elle regrette que l’information des personnes concernées ne soit pas réalisée directement auprès d’elles lorsque cela est matériellement possible.
Sur les mesures de sécurité
La Commission relève que l’accès aux données est limité aux utilisateurs dûment habilités en raison de leurs attributions et dans la limite du besoin d'en connaître. Ces utilisateurs seront authentifiés via un couple identifiant et mot de passe dans un premier temps, puis, une fois les cartes agents mises à la disposition des utilisateurs, par le biais de cette carte qui permet de réaliser une authentification forte. La Commission prend acte de ce que le ministère prévoit que les cartes professionnelles ne seront déployées qu’au moment de la mise en œuvre du futur traitement LRPGN-NG.
En ce qui concerne l’authentification par mot de passe, la Commission relève que les mesures prévues par le ministère apparaissent conformes à la 
délibération n° 2017- 012 du 19 janvier 2017
portant adoption d'une recommandation relative aux mots de passe, en termes de longueur et de complexité. La Commission relève toutefois que le ministère ne prévoit pas de mettre en œuvre une temporisation d'accès au compte après plusieurs échecs, et/ou un mécanisme permettant de se prémunir contre les soumissions automatisées et intensives de tentatives et/ou un blocage du compte, et invite donc le ministère à prévoir des mesures complémentaires de ce type. Elle prend toutefois acte de ce que le ministère a précisé que l’authentification sur les terminaux utilisés pour le traitement LRPGN se fait au travers du réseau intranet de la gendarmerie et que les mesures de sécurité informatique de ce réseau permettent de se prémunir des soumissions automatisées et intensives de tentatives de connexions.
L’article 6 du projet de décret prévoit que les opérations de collecte, de consultation, de modification, de communication, de mise en relation, d’effacement des données et informations du traitement font l’objet d’un enregistrement comprenant l’identification de l’auteur, la date, l’heure et la nature de l’opération. Ces informations sont conservées pendant six ans . La Commission rappelle qu’elle considère que le fait de conserver, pour des finalités de sécurité, ces traces pendant une durée excédant six mois, est en principe disproportionné, à moins que le ministère ne démontre que cette durée de conservation permet de réduire des risques pesant sur les personnes concernées et qui ne peuvent être traités par une autre mesure.
A cet égard, le ministère précise par ailleurs que la structure décentralisée du traitement, ainsi que la persistance de procédures papier rendent complexe la mise en œuvre d’outils d’analyse automatique des données de traçabilité. La Commission considère néanmoins que la mise en œuvre de telles mesures apparaît comme incontournable car seule à même de permettre de garantir une détection rapide et efficace des cas d’erreur ou d’usage détourné sur le traitement projeté.
La Commission rappelle enfin le besoin de mise en œuvre de solutions de chiffrement à l’état de l’art, tant des flux que des données stockées, et ce durant tout le cycle de vie de la donnée. En effet, ces mesures constituent la seule solution permettant d’assurer la confidentialité des données durant toutes les phases du traitement, depuis la saisie jusqu’à l’archivage. La Commission prend acte des éléments transmis par le ministère et confirmant la mise en œuvre de solution de chiffrement entre le serveur de l’unité et le serveur central et, de façon plus générale, dans le cadre des échanges mis en œuvre entre tous les systèmes.
Les autres mesures de sécurité n'appellent pas de remarques de la Commission. Elle rappelle toutefois que les exigences de sécurité prévues à l’article 99 de la loi du 6 janvier 1978 modifiée nécessitent la mise à jour régulière de l'AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (notamment ses articles 40, 41 et 57) ;
Vu la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite ;
Vu la délibération n° 2021-065 portant approbation du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) ;
Après avoir entendu le rapport de Mme Anne DEBET, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Observe que :
L’article 41 du règlement général relatif à la protection des données (RGPD) prévoit que l’organisme chargé de contrôler le respect d’un code de conduite par les responsables de traitements ou les sous-traitants doit être agréé par l’autorité de contrôle compétente au titre de l’article 57.1 (q) du RGPD.
Le code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE) a été approuvé par la Commission le 3 juin 2021. Il identifie la CNIL comme autorité de contrôle compétente conformément aux dispositions de l’article 40.5 du RGPD. En conséquence, la CNIL est compétente pour l’instruction et la délivrance de l’agrément aux organismes de contrôle désignés par le code de conduite porté par CISPE.
Ce code de conduite a désigné en tant qu’organisme de contrôle EY CERTIFYPOINT B.V. .
Le 27 mai 2021, la Commission a été saisie par EY CERTIFYPOINT B.V. d’une demande d’agrément en tant qu’organisme de contrôle du code de conduite porté par CISPE, conformément aux dispositions de la délibération n° 2020-050 du 30 avril 2020 portant adoption d’un référentiel relatif à l’agrément des organismes chargés de contrôler le respect des codes de conduite.
La demande d’agrément a fait l’objet d’une évaluation par les services de la CNIL.
La Commission reconnaît que la demande d’agrément présentée est conforme au référentiel d’agrément adopté le 30 avril 2020.
Décide : 
De la délivrance de l’agrément à EY CERTIFYPOINT B.V. en tant qu’organisme de contrôle du code de conduite européen porté par Cloud Infrastructure Service Providers Europe (CISPE).
Cet agrément est délivré pour une durée de cinq ans à compter de la présente délibération.
Si les exigences relatives à l’agrément ne sont pas ou plus respectées, l’agrément peut être révoqué conformément aux dispositions de l’article 41.5 du RGPD et de l’article 23 de la loi n° 78-17 du 6 janvier 1978 modifiée.
La Présidente
Marie-Laure DENIS
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, et Philippe-Pierre CABOURDIN, vice-président, de Mesdames Anne DEBET et Christine MAUGÜE, de Monsieur Alain DRU membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi
no 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la délibération no 2020-013 du 7 décembre 2020 prononçant une sanction à l’encontre de la société X ;
Vu les éléments transmis par la société X le 18 février 2021 et le 20 mai 2021 ;
Vu les autres pièces du dossier ;
Après en avoir délibéré, a adopté la décision suivante :
I.Faits et procédure
La délibération no 2020-013 du 7 décembre 2020 a enjoint à la société X de :
mettre en conformité le traitement, dans un délai de trois mois à compter de la notification de la présente décision, avec les dispositions de l’article 82 de la loi Informatique et Libertés , et en particulier :
informer les personnes concernées au préalable et de manière claire et complète, par exemple au moyen d’un bandeau d’information apparaissant lors de la première arrivée de l’internaute sur le site […].fr et cela quelle que soit la première page accédée :
des finalités précises de tous les cookies dont l’inscription est soumise au consentement ;
ainsi que des moyens dont elles disposent pour les refuser 
Cette injonction était assortie d’une astreinte de 100 000 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification de la délibération, les justificatifs de la mise en conformité devant être adressés à la formation restreinte dans ce délai.
Le 18 février 2021, la société X a adressé à la CNIL un courrier par lequel elle présentait les changements qu’elle avait déployés sur le site web […].fr . Par courrier du 19 avril 2021, une demande de compléments a été adressée par la CNIL à la société X.
Le 20 mai 2021, la société X a adressé à la formation restreinte des éléments en vue de justifier de sa mise en conformité.
II.Motifs de la décision