AgentPublic/cnil huggingface dataset:
Le projet de décret prévoit que le préfet de police de Paris puisse recevoir communication du sens de l'avis ou de la décision prise concernant les autorisations d'accès à un établissement ou une installation, mentionnés à l'article L. 211-11-1 du CSI lorsque celui-ci est situé dans les départements de la petite couronne et sur les emprises aéroportuaires parisiennes.
Dans la mesure où en vertu de l'article L. 122-2 du CSI, le préfet de police est compétent en matière d'ordre public sur les territoires précités, la CNIL considère comme justifié l'ajout de ce destinataire dans le traitement ACCReD.
3. Sur les mesures de sécurité
La CNIL prend acte :
- de la mise en œuvre d'une gestion des droits d'accès par profil dans la limite du besoin d'en connaître, pour chacun des services concernés, SNEAS et CoSSeN ;
- de l'usage d'une authentification forte pour les accès des agents du SNEAS ainsi que pour les agents du CoSSeN. En situation dégradée, les agents du SNEAS seront en capacité d'utiliser une solution d'authentification à double facteur alors que les agents du CoSSeN pourront accéder à ACCReD à l'aide d'un couple identifiant et mot de passe ;
- de la mise en œuvre de solutions de sauvegarde. Elle rappelle toutefois la nécessité de réaliser périodiquement des tests de restauration de ces dernières afin de s'assurer de leur bon fonctionnement ;
- de la mise en œuvre de flux chiffrés pour l'accès des utilisateurs au traitement ACCReD ;
- de la mise en œuvre de communications authentifiées et chiffrées entre ACCReD et les traitements interrogés, permettant ainsi d'assurer le respect de la sécurité et la confidentialité desdites communications.
Par ailleurs, l'article 6 du décret du 3 août 2017 relatif au traitement ACCReD prévoit que les données de journalisation sont conservées pendant six ans. Conformément à la délibération n° 2021-122 du 14 octobre 2021 portant adoption d'une recommandation relative à la journalisation, la CNIL rappelle la nécessité de mettre en œuvre une durée de conservation des journaux n'excédant pas trois ans. La CNIL rappelle également l'importance de la mise en œuvre d'outils de détection automatisés permettant une réaction rapide en cas d'actions malveillantes qui seraient réalisées sur le traitement.
La CNIL rappelle enfin la nécessité de respecter un niveau de sécurité suffisant dans le cadre de la communication du sens de l'avis ou de la décision auprès des destinataires de tout ou partie des données d'ACCReD, notamment du préfet de police de Paris.
B. - Sur la modification de l'article R. 211-32 du CSI portant sur les grands évènements
Le projet de décret prévoit la consultation de cinq nouveaux traitements dans le cadre des enquêtes administratives relevant de l'article R. 211-32 du CSI :
- le casier judiciaire ;
- les fichiers SLTD et ICIS d'Interpol ;
- les traitements SIRCID et TREX mis en œuvre par le ministère des armées.
Dans la mesure où la consultation des traitements SIRCID et TREX (anciennement dénommé fichier de la DGSE) est déjà prévue par l'article 7 du décret du 3 août 2017 relatif au traitement ACCReD, l'ajout de la consultation de ces deux traitements à l'article R. 211-32 du CSI n'appelle pas d'observations de la part de la CNIL.
Concernant l'ajout de la consultation du casier judiciaire et des fichiers SLTD et ICIS d'Interpol, la CNIL renvoie à ses observations précédentes dans le cadre de la modification du traitement ACCReD.
Par ailleurs, le projet de décret précise à l'article R. 211-32 du CSI les compétences du préfet de police de Paris dans les départements de la petite couronne et sur les emprises aéroportuaires parisiennes en matière d'accès aux établissements et installations mentionnés à l'article L. 211-11-1 du CSI. La CNIL renvoie à ses observations précédentes dans le cadre de la modification du traitement ACCReD.
La présidente,
M.-L. Denis
Date de l'avis : 19 octobre 2023
N° de la délibération : n° 2023-111
N° de demande d'avis : 23006106
Texte concerné : projet d'arrêté modifiant l'arrêté du 20 mai 2009 portant création d'un traitement automatisé dénommé Application de gestion centrale
Thématiques : verbalisation électronique, contraventions et délits forfaitaires, procédure d'amende forfaitaire, agents verbalisateurs, terminaux mobiles, procès-verbal électronique
Fondement de la saisine :
article 31 dela loi n° 78-17 du 6 janvier 1978 modifiée
L'essentiel :
Le traitement permet la verbalisation électronique des infractions forfaitaires. L'application de gestion centrale (AGC) s'articule avec le système de contrôle automatisé (SCA) qui assure, en aval, la procédure pénale liée aux infractions constatées.
			La CNIL considère que les évolutions envisagées sont légitimes, et les données collectées nécessaires à la poursuite des finalités du traitement. Elle rappelle qu'une attention particulière devra être portée aux données d'identité des auteurs d'infractions, avec une application rigoureuse du principe de nécessité.
			Les durées de conservations des données sont proportionnées, s'agissant notamment de l'affichage des données d'infractions via l'AGC, pour une durée de six mois. Concernant la finalité de suivi d'activité des agents et services verbalisateurs, la CNIL estime que la durée de conservation retenue est insuffisamment justifiée.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 1° et 2° du I de son article 31 ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. Le contexte de la saisine
Le traitement de données à caractère personnel dénommé application de gestion centrale (ci-après AGC ) est une application web centralisée permettant la verbalisation électronique des infractions relevant de la procédure de l'amende forfaitaire :
- initialement cela concernait uniquement les contraventions de 1ère à 4e classe en lien avec la sécurité routière ;
- puis le périmètre s'est ouvert aux infractions en lien avec la sécurité publique, sanitaire, la protection environnementale, les contraventions de 5e classe et certains délits, lorsqu'un texte le prévoit.
L'application AGC est mise en relation avec le traitement dénommé système de contrôle automatisé (ci-après SCA ). Pour chaque verbalisation, l'AGC adresse un message d'infraction contenant l'ensemble des données utiles au déroulement de la procédure pénale. Le SCA assure, en aval, le suivi de la procédure liée à l'infraction (l'émission des avis d'infraction, la matérialisation des procès-verbaux et la gestion des paiements ou des contestations).
Le recours au traitement AGC vise à fiabiliser et simplifier l'activité de verbalisation électronique (réduction du risque d'erreurs de transcription) et assurer le suivi de l'activité des agents et services verbalisateurs. L'application s'inscrit dans une démarche de dématérialisation et de forfaitisation des infractions, dont les champs ont été progressivement étendus par le législateur. De ce fait, les moyens des agents et les fonctionnalités ont dû être adaptés en créant une nouvelle finalité de saisie d'infractions dans l'application elle-même, en dehors des terminaux mobiles. L'AGC doit ainsi permettre à l'ensemble des nouveaux agents légalement habilités, de verbaliser électroniquement.
B. L'objet de la saisine
La Commission nationale de l'informatique et des libertés (ci-après CNIL ) a été saisie conjointement par le ministère de l'intérieur et l'Agence nationale de traitement automatisé des infractions (ci-après ANTAI ) d'un projet d'arrêté modifiant les dispositions encadrant le traitement AGC.
Le projet d'arrêté modifie l'arrêté du 20 mai 2009 et prévoit :
- une nouvelle finalité de saisie d'infractions via l'application AGC pour les agents habilités ne disposant pas de terminaux mobiles ;
- la collecte de nouvelles données relatives aux auteurs d'infractions ;
- la conservation des données relatives à la saisie d'infractions et à la journalisation des traces.
II. - L'avis de la CNIL
A. Sur le périmètre et les finalités du traitement
Le traitement AGC a pour finalités :
- la gestion des habilitations des agents verbalisateurs utilisant des appareils électroniques d'enregistrement des procès-verbaux ;
- la gestion des habilitations des agents utilisateurs du traitement ;
- le suivi de l'activité des agents et services verbalisateurs.
Le projet d'arrêté ajoute une finalité au traitement AGC de saisie d'infractions faisant l'objet d'une procédure d'amende forfaitaire par les agents verbalisateurs . En pratique, cette modification vise à prendre en compte l'extension des agents autorisés à verbaliser électroniquement par amende forfaitaire, jusqu'alors limités aux agents de la police et gendarmerie nationales et de la police municipale équipés de terminaux mobiles. De nombreux agents de divers organismes étant désormais concernés par cette procédure (ex. : sociétés de transport de voyageurs, gardes-chasse et gardes-pêche, agents de l'Office national des forêts). Dès lors, la possibilité de procéder à la verbalisation électronique via le traitement AGC en dehors des terminaux mobiles est rendue nécessaire du fait que :
- les carnets à souche permettant la verbalisation forfaitaire au format papier disparaissent progressivement ;
- les petites unités ne disposent pas nécessairement de terminaux mobiles ;
- la verbalisation doit parfois se faire à distance depuis un centre de vidéoverbalisation ou depuis un bureau.
La CNIL relève que le périmètre du traitement dépend de celui de la procédure de l'amende forfaitaire. Elle observe, à cet égard, que son champ s'est étendu ces dernières années.
Compte tenu des raisons opérationnelles invoquées par le ministère ainsi que des garanties entourant le périmètre du dispositif, la CNIL estime que l'extension des finalités du traitement est légitime.
B. Sur les nouvelles catégories de données traitées
1. Concernant les données relatives aux infractions
Le projet d'arrêté prévoit la collecte de données relatives aux infractions sanctionnées par amende forfaitaire en vue de la génération d'un procès-verbal. Il s'agit du numéro d'identification unique de l'infraction, ainsi que de la nature, du lieu, des dates et heure de l'infraction constatée et du moyen de constatation.
Le ministère précise que ces données pourront être complétées via des zones de commentaires libres :
- pour les contraventions : elles sont systématiques et permettent à l'agent verbalisateur de relever des éléments matériels ayant vocation à être reportés sur le procès-verbal ;
- pour les délits, les éléments caractérisant chaque infraction à relever sont préalablement déterminés via des menus déroulants. A défaut, un champ libre très encadré guide l'agent verbalisateur par son intitulé, pour ne relever que les éléments utiles au procès-verbal ;
- pour justifier, auprès du chef de service, une demande de saisine de l'autorité judiciaire en vue de faire annuler une procédure en cas d'erreur.
Afin d'encadrer leur usage dans l'AGC, le ministère met en œuvre :
- des consignes de saisie précisant les informations attendues dans ces champs. Celles-ci transcrivent ainsi dans l'application la doctrine d'emploi actuellement diffusée au travers des manuels d'utilisation et des formations ;
- un rappel spécifique relatif à l'interdiction de collecter des données sensibles.
La CNIL rappelle que les champs libres devront comporter des informations dénuées de toute appréciation étrangère à la qualification des éléments de l'infraction. Un contrôle strict et régulier devra être réalisé pour s'assurer que seuls les éléments utiles à la génération d'un procès-verbal sont effectivement renseignés.
Sous ces réserves, la CNIL estime que la collecte de ces données est légitime. Elle accueille favorablement les efforts du ministère pour encadrer ces champs de commentaires libres.
2. Concernant les données relatives aux contrevenants ou mis en cause
Le projet d'arrêté prévoit la collecte d'informations relatives à la pièce d'identité (numéro, date, lieu de délivrance), ainsi qu'à la filiation notamment en cas d'homonymes ou lorsque le conducteur est né à l'étranger .
Le ministère précise que la collecte de ces données vise à éviter des erreurs sur l'identité et anticiper toute éventuelle contestation. La CNIL considère que :
- la collecte des informations relatives à la pièce d'identité est justifiée ;
- la collecte de la filiation en présence d'une personne née à l'étranger apparaît justifiée. La collecte de cette information est d'ores et déjà prévue à l'article R. 65 du code de procédure pénale pour l'inscription au casier judiciaire national des personnes qui sont condamnées à une amende forfaitaire pour un délit ou une contravention de la cinquième classe. S'agissant des cas d'homonymie des autres personnes, nées en France, la CNIL estime que cette collecte doit rester subsidiaire, en cas de doute réel quant à l'identité de la personne concernée. A ce titre, lorsque l'agent relève déjà les informations relatives à la carte d'identité française, dont le numéro du titre qui permet d'éviter les risques liés à l'homonymie, la collecte de la filiation n'apparaît pas nécessaire.
Par ailleurs, le projet d'arrêté prévoit la collecte des données de contact et notamment, les adresses postale et électronique . Elles permettent l'envoi des avis de contravention et courriers à la personne verbalisée.
L'avis de contravention peut être mis à la disposition du contrevenant au format électronique, dans une zone sécurisée du portail de relation avec les usagers de l'ANTAI, lorsque l'usager en fait la demande.
Le ministère a précisé que la fourniture d'une adresse électronique n'est pas obligatoire et que, même lorsque celle-ci est fournie, le choix n'est pas irréversible. Ainsi, en cas de non utilisation du lien envoyé à l'adresse de messagerie fournie dans le délai indiqué dans le courriel, l'envoi du document se fait automatiquement par voie postale. Aucune pénalité n'est appliquée au justiciable.
Le justiciable peut, après verbalisation, retirer ou réitérer son consentement à la dématérialisation de la procédure. La CNIL estime ainsi que la collecte facultative de l'adresse électronique est conforme au principe de minimisation des données et accueille favorablement ces modalités de mise à disposition.
C. Sur les durées de conservation des données
1. S'agissant des données relatives au suivi d'activité des agents
Le projet d'arrêté prévoit le suivi de l'activité de verbalisation électronique des agents verbalisateurs. Pour cette finalité, le projet d'arrêté prévoit une durée de conservation des données de trois ans.
Il ressort de l'analyse d'impact que ces données incluent notamment des informations liées au nombre et aux caractéristiques des infractions relevées par PVe, ainsi que des données liées aux agents verbalisateurs (numéros identifiants).
La CNIL estime que la durée de trois ans pour la conservation de données relatives au suivi d'activité de verbalisation électronique, à l'exclusion des données à caractère personnel des contrevenants ou mis en cause, n'est pas suffisamment justifiée. Elle prend acte de ce que ces données ne seront pas utilisées à des fins disciplinaires.
2. S'agissant de la durée de conservation des données relatives à la saisie d'infractions et au suivi d'activité des services verbalisateurs
L'AGC transmet les données relatives à la saisie des infractions par les services verbalisateurs au SCA via l'émission d'un message d'infraction . Les données sont traitées et conservées dans le SCA.
Les données ne sont pas stockées dans l'AGC mais y sont enregistrées temporairement pour une durée maximale de six mois pour permettre leur affichage. Par ailleurs, il est possible de procéder à l'interrogation des bases de données du SCA afin de consulter, par l'intermédiaire de l'AGC et de manière temporaire et limitée :
- l'historique des infractions saisies par les agents verbalisateurs : la mise à disposition de la copie du contenu du message d'infraction stocké dans le SCA est nécessaire en cas de saisine du ministère public par le service verbalisateur pour solliciter l'annulation d'une procédure comportant une erreur, de réquisition judiciaire ou encore de contestation de l'infraction par le justiciable auprès de l'autorité judiciaire ;
- et les procès-verbaux des infractions constatées et saisies par les agents verbalisateurs à partir des applications PVe et AGC : leur mise à disposition est nécessaire pour les besoins de transmission des procès-verbaux, induits par l'habilitation de nouveaux agents verbalisateurs soumis à des règles de procédure particulières.
Les données à caractère personnel ne sont pas conservées dans le traitement AGC mais sont rendues accessibles depuis le SCA par un affichage temporaire. Cela est justifié pour les besoins de la procédure pénale et de gestion de la procédure d'amende forfaitaire. La CNIL considère que la durée maximale de six mois de cet affichage, en simple consultation, est justifiée et proportionnée.
D. Sur les mesures de sécurité
La CNIL prend acte :
- de la mise en œuvre d'une gestion des droits d'accès par profil dans la limite de leur besoin d'en connaître ;
- de l'usage d'une authentification forte pour les forces de police et de gendarmerie nationales et d'un projet de déploiement d'une authentification forte de niveau équivalent pour les autres agents et services verbalisateurs ;
- de l'usage de mots de passe conformes à la délibération n° 2022-100 du 21 juillet 2022 portant adoption d'une recommandation relative aux mots de passe et autres secrets partagés, et abrogeant la délibération n° 2017-012 du 19 janvier 2017 ;
- de la mise en œuvre de solutions de sauvegardes mais rappelle la nécessité de réaliser périodiquement des tests de restauration de ces dernières afin de s'assurer de leur bon fonctionnement ;
- de la mise en œuvre de communications chiffrées entre les différents environnements le nécessitant et permettant ainsi d'assurer le respect de la confidentialité desdites communications ;
Par ailleurs, le ministère confirme une durée de conservation des données de traçabilité limitée à un an. Néanmoins, la CNIL rappelle l'importance de la mise en œuvre d'outils de détection automatisés permettant une réaction rapide en cas d'actions malveillantes qui seraient réalisées sur le traitement.
La présidente,
M.-L. Denis
Le secrétaire général de la Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 19 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris en application de la loi n° 78-17 relative à l'informatique, aux fichiers et aux libertés, notamment son article 4-1 ;
Vu la décision du 23 mai 2017 portant délégation de signature,
Décide :
Article 1
	Délégation permanente est donnée à M. Olivier Tournut, directeur administratif et financier, à l'effet de signer, dans la limite de ses attributions et en son nom, tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la commission, la gestion et l'exécution de son budget ainsi que tous marchés et conventions et tous actes nécessaires au respect des procédures conformément au code des marchés publics et à l'effet de valider dans l'application informatique de l'Etat Chorus-formulaire, les actes relatifs à la réalisation des opérations budgétaires et comptables en matière de recettes et de dépenses.
Article 2
En cas d'absence ou d'empêchement du directeur administratif et financier, M. Olivier Tournut, délégation est donnée à Mme Kahina Cheref, chef du service des ressources humaines à l'effet de signer, dans la limite de ses attributions et en son nom, tous actes ayant pour objet le recrutement, la gestion et la rémunération du personnel de la commission, la gestion et l'exécution de son budget ainsi que tous marchés et conventions et tous actes nécessaires au respect des procédures conformément au code des marchés publics et à l'effet de valider dans l'application informatique de l'Etat Chorus-formulaire, les actes relatifs à la réalisation des opérations budgétaires et comptables en matière de recettes et de dépenses.
Article 3
	En cas d'absence ou d'empêchement du directeur administratif et financier, M. Olivier Tournut, délégation est donnée à M. Ludovic Gerin, chef du service des finances, de la commande publique et des moyens généraux à l'effet de signer, dans la limite de ses attributions et en son nom, tous actes ayant pour objet la gestion et l'exécution du budget de la commission, ainsi que tous marchés et conventions et tous actes nécessaires au respect des procédures conformément au code des marchés publics et à l'effet de valider dans l'application informatique de l'Etat Chorus-formulaire, les actes relatifs à la réalisation des opérations budgétaires et comptables en matière de recettes et de dépenses.
Article 4
La décision du 23 mai 2017 portant délégation de signature est abrogée.
Article 5
	La présente décision sera publiée au Journal officiel de la République française.
Fait le 10 novembre 2017.
J. Lessi
La présidente de la Commission nationale de l'informatique et des libertés,
Vu la loi n° 83-634 du 13 juillet 1983 modifiée, portant droits et obligations des fonctionnaires, notamment son article 28 bis ;
Vu le décret n° 2017-519 du 10 avril 2017 relatif au référent déontologue dans la fonction publique,
Décide :
Article 1
	M. Emmanuel De Givry, conseiller honoraire à la Cour de cassation, est désigné référent déontologue de la Commission nationale de l'informatique et des libertés, à compter du 1er octobre 2018.
Article 2
	Le secrétaire général est chargé de l'exécution de la présente décision, qui sera publiée au Journal officiel de la République française.
Fait le 28 septembre 2018.
I. Falque-Pierrotin
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, M. Alain DRU et Mme Isabelle LATOURNARIE-WILLEMS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2021-193C du 29 juin 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements de données à caractère personnel mis en œuvre par la société ou pour son compte ;