AgentPublic/cnil huggingface dataset:
En application des dispositions du III de l’article 26 de la loi du 6 janvier 1978 modifiée, le décret du 5 mars 2015 portant création de ce traitement a fait l’objet d’une dispense de publication et figure ainsi à l’article 2 du décret n° 2007-914 du 15 mai 2007 susvisé. 
 
Dès lors, conformément aux dispositions des articles 26-III et 30 de la loi du 6 janvier 1978 modifiée, les modifications de ses conditions de mise en œuvre doivent être autorisées par décret en Conseil d’Etat, pris après avis motivé de la Commission, dont seul le sens devra être publié, dans les conditions prévues par l’article 83 du décret n° 2005-1309 du 20 octobre 2005 modifié.
 
Les modifications envisagées visent à permettre la consultation du FSPRT dans le cadre d’enquêtes administratives prévues aux articles L. 114-1, L. 114-2 et L. 211-11-1 du code de la sécurité intérieure (CSI).
La nécessité de ces modifications résulte, d’une part, de l’adoption de nouveaux dispositifs législatifs imposant la réalisation d’enquêtes administratives conditionnant l’accès à certains emplois ou sites sensibles et, d’autre part, de l’évolution des modalités de réalisation des contrôles réalisés à l’occasion de ces enquêtes. Les enquêtes prévues à l’article L. 211-11-1 du CSI, issu de l’article 53 de la loi n° 2016-731 du 3 juin 2016 susvisée et relatif à la sécurité des grands évènements, ainsi que celles mentionnées à l’article L. 114-2 du CSI, dans sa rédaction issue de la loi n° 2017-258 du 28 février 2017 relative à la sécurité publique et qui concerne la sécurité des transports publics et le transport de marchandises dangereuses, s’ajoutent en effet aux possibilités d’enquêtes administratives déjà prévues par l’article L. 114-1 du CSI. 
 
La Commission relève en outre qu’est envisagé, dans le cadre des enquêtes prévues aux articles L. 114-2 et L. 211-11-1 du CSI et pour certaines enquêtes prévues à l’article L. 114-1 du même code, un renforcement des contrôles effectués avec la consultation de multiples traitements de données à caractère personnel relevant de l’article 26 de la loi du 6 janvier 1978 modifiée. La Commission s’est prononcée sur ce criblage de fichiers, s’agissant du dispositif relatif aux grands événements, dans sa délibération susvisée du 9 mars 2017.
Elle relève également qu’est prévue la création d’un outil spécifique, le traitement de données à caractère personnel ACCRED, dont la création est prévue par un acte réglementaire examiné ce même jour par la Commission, et qui doit permettre une consultation automatique et simultanée d’une partie des fichiers concernés, parmi lesquels figure le FSPRT. 
 
Ce dispositif de criblage sera mis en œuvre par deux nouveaux services à compétence nationale : le " Service national des enquêtes administratives de sécurité " (SNEAS), créé par le décret n° 2017-668 du 27 avril 2017 susvisé et rattaché à la Direction générale de la police nationale, et le " Commandement spécialisé pour la sécurité nucléaire " (CoSSeN), créé par le décret n° 2017-588 du 20 avril 2017 susvisé et rattaché à la Direction générale de la gendarmerie nationale. 
 
C’est dans ce contexte que le projet de décret soumis à la Commission prévoit de compléter l’article 3 du décret du 5 mars 2015 susvisé, en y précisant que les agents individuellement désignés et spécialement habilités du SNEAS et du CoSSeN peuvent avoir accès aux données et informations relatives à l’état civil de la personne et au service saisi, en vue de la réalisation des enquêtes administratives prévues aux articles L. 114- 1, L. 114-2 et L. 211-11-1 du CSI.
La mention d’un tel accès pour la réalisation d’enquêtes administratives apparaît justifiée à la Commission, mais la référence aux enquêtes prévues à l’article L. 114-1 du CSI lui apparaît devoir être précisée. 
 
En effet, le ministère a indiqué à la Commission que, s’agissant des enquêtes relevant de l’article L. 114-1 du CSI, le champ d’application du dispositif se limiterait temporairement au secteur du nucléaire et serait ensuite étendu, mais il n’a aucunement défini les limites de cette extension, alors même que les enquêtes prévues par l’article L. 114-1 du CSI conditionnent l’adoption de décisions administratives nombreuses, très diverses et ne présentant pas toutes le même degré de sensibilité. 
 
La Commission considère que la consultation du traitement FSPRT, qui est particulièrement sensible et intéresse la sûreté de l’Etat, doit être réservée aux enquêtes préalables à certaines décisions, compte tenu de leur objet spécifique. 
 
En l’absence de précisions fournies par le ministère sur les enquêtes précisément concernées par le dispositif projeté et en l’absence de justification sur la nécessité, pour chacune d’entre elles, de consulter ce traitement, la Commission estime que la proportionnalité du dispositif n’est pas démontrée. 
 
Elle rappelle qu’elle devra en tout état de cause être informée de l’évolution des conditions d’utilisation du traitement FSPRT et prend acte que le ministère s’engage à respecter cette obligation.
La consultation du traitement FSPRT étant effectuée de manière automatique par le biais de l’outil ACCRED, ce dernier permettra dans un premier temps aux agents du SNEAS et du CoSSeN de visualiser la mention " inconnu " ou " levée de doute ". 
 
L’accès des agents habilités du SNEAS et du CoSSeN à la mention du " service saisi ", enregistrée dans le FSPRT, doit ensuite leur permettre de prendre connaissance des informations relatives au service en charge du suivi de la personne faisant l’objet de l’enquête, de manière à pouvoir le contacter pour un complément d’information. 
 
Sur ce point, le projet de décret prévoit que " lorsque la consultation révèle que l’identité de la personne concernée a été enregistrée dans le traitement, l’enquête administrative ne peut aboutir à un avis ou une décision défavorable sans la saisine préalable, pour complément d’information, du service saisi mentionné au 3° de l’article 2 ou, à défaut, du responsable du traitement ". 
 
Si la nécessité d’un complément d’information préalable à une décision ou un avis défavorable apparaît indispensable, notamment pour assurer le respect des dispositions de l’article 10 de la loi du 6 janvier 1978 modifiée, la Commission relève toutefois que la communication aux agents du SNEAS ou du CoSSeN d’informations enregistrées dans le FSPRT autres que l’état civil de la personne faisant l’objet de l’enquête n’est prévue par aucune disposition du projet de décret.
Elle considère que la référence à un complément d’information dans la disposition précitée, dont l’objet est uniquement d’interdire l’adoption d’un avis ou d’une décision défavorable sans ce complément et dont la présence dans l’acte réglementaire encadrant l’utilisation du fichier ACCRED apparaît au demeurant plus pertinente et suffisante, ne saurait être regardée, comme le soutient le ministère de l’intérieur, comme encadrant la communication d’informations complémentaires. 
 
Elle estime que la rédaction de cette disposition doit être clarifiée pour prévoir expressément, conformément à l’article 29 de la loi du 6 janvier 1978 modifiée, la communication aux agents habilités du SNEAS et du CoSSeN d’informations complémentaires issues du traitement FSPRT. La Commission rappelle en outre que seules les données nécessaires à la réalisation des enquêtes administratives doivent leur être communiquées. Elle prend acte, sur ce point, que sera notamment exclue la communication d’informations relatives aux personnes ayant procédé à des signalements.
Enfin, compte tenu de la sensibilité des données concernées, des conséquences préjudiciables susceptibles de découler de la communication d’informations erronées et, surtout, de la nature particulière du traitement FSPRT, qui comporte des éléments déclaratifs provenant de signalements divers, la Commission considère que des précautions particulières doivent être mises en œuvre pour que les données communiquées dans le cadre du complément d’information prévu par le projet de décret aient été préalablement vérifiées et mises à jour. 
 
Au regard de l’ensemble de ces éléments, le sens de l’avis de la Commission qui devra être publié en même temps que le décret autorisant la dispense de publication du décret modifiant le décret du 5 mars 2015 susvisé, devra porter la mention : " favorable avec réserve ".
 
 
La Présidente
 
 
Isabelle FALQUE-PIERROTIN
Extrait du Journal officiel électronique authentifié PDF - 226,3 Ko
La Commission nationale de l'informatique et des libertés,
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-II et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, notamment ses articles 101 et 103 ;
Sur la proposition de Mme Marie-Hélène MITJAVILE, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
 
Formule les observations suivantes :
 
En application de l’article 68 de la loi 6 janvier 1978 modifiée, les transferts de données à caractère personnel à destination de pays qui ne sont membres ni de l’Union européenne, ni de l’Espace économique européen ou qui n’assurent pas un niveau de protection suffisant sont interdits.
Néanmoins, il peut être fait exception à cette interdiction par application de l’article 69 de la loi précitée, notamment par décision de la Commission nationale de l’informatique et des libertés lorsqu’un niveau de protection suffisant est apporté aux données transférées par l’intermédiaire de règles internes, c’est-à-dire des règles contraignantes d’entreprise (" Binding Corporate Rules " - BCR) constituant un code de conduite interne s’imposant à toutes les entités d’un même groupe. 
Au terme d’une procédure de coopération, la Commission et les autorités européennes de protection des données compétentes ont reconnu les BCR " responsable de traitement " du groupe UTC dont le siège social mondial est situé 10 Farm Springs Road, Farmington, CT, Etats-Unis conformes aux exigences posées par les documents de référence adoptés par le Groupe de travail de l’article 29.
Ainsi, ces BCR sont réputées apporter un niveau de protection suffisant aux données personnelles transférées au sein du groupe United Technologies Corporation (ci-après "UTC).
Les organismes mentionnés à l’article 1er ci-dessous, qui se réfèreront à la présente autorisation unique (n° BCR-045) et adresseront à la Commission un engagement de conformité à celle-ci, seront autorisés à mettre en œuvre leurs transferts.
Un transfert ne peut être autorisé que dans la mesure où :
lorsque cela est requis, la formalité relative au traitement auquel ce transfert se rattache a été dûment accomplie auprès de la Commission nationale de l’informatique et des libertés, et 
le transfert est réalisé dans le strict respect du cadre défini par cette formalité.
Tout transfert de données à caractère personnel qui excèderait le cadre ou les exigences définis par la présente autorisation unique devra faire l’objet d’une décision d’autorisation spécifique.
Article 1er : Sur les responsables de traitement / champ d’application
Seules les entités du groupe UTC agissant en qualité de responsable de traitement, étant juridiquement liées par les BCR responsable de traitement du groupe UTC et ayant mis en œuvre les engagements pris au titre des BCR peuvent adresser un engagement de conformité à la présente autorisation unique.
Article 2 : Sur les finalités des transferts
Conformément au champ matériel et à la description des transferts couverts par les BCR " responsable de traitement " du groupe UTC et à leurs annexes, seuls sont autorisés les transferts de données à caractère personnel ayant pour finalités :
 
la gestion des ressources humaines,
la gestion des relations avec les partenaires commerciaux,
la gestion des relations avec les clients de produits d’UTC qui ont un contrat d’entretien avec une unité opérationnelle, les visiteurs, les représentants commerciaux non-salariés, ainsi que les concessionnaires ;
la gestion des relations avec les utilisateurs des produits et services Otis et CCS.
Article 3 : Sur les catégories de données personnelles transférées
Conformément au champ matériel et à la description des transferts couverts par les BCR " responsable de traitement " du groupe UTC et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les catégories de données à caractère personnel suivantes :
Pour les transferts relatifs aux données personnelles des salariés et travailleurs intérimaires : 
état civil/identité/données d’identification,
vie professionnelle,
vie personnelle,
données de connexion,
données de localisation,
numéro de sécurité sociale (uniquement dans le cadre de la gestion de la paie),
informations d’ordre économique et financier. 
Pour les transferts relatifs aux données personnelles des partenaires commerciaux : 
état civil/identité/données d’identification,
vie professionnelle.
Pour les transferts relatifs aux données personnelles des clients de produits UTC :
état civil/identité/données d’identification.
Pour les transferts relatifs aux données personnelles des utilisateurs de produits et services Otis et CCS :
état civil/identité/données d’identification.
 
Article 4 : Sur les catégories de personnes concernées par les transferts
Conformément au champ matériel et à la description des transferts couverts par les BCR responsable de traitement du groupe UTC et à leurs annexes, seules peuvent être transférées, dans le cadre des finalités décrites ci-dessus, les données à caractère personnel relatives aux catégories de personnes suivantes :
salariés et travailleurs temporaires ;
partenaires commerciaux : Clients, fournisseurs, représentants commerciaux et autres partenaires commerciaux ;
clients de produits d’UTC qui ont un contrat d’entretien avec une Unité opérationnelle, visiteurs, représentants commerciaux non-salariés, concessionnaires ;
utilisateurs des produits et services Otis et CCS.
Article 5 : Sur les destinataires habilités à accéder aux données transférées
Seules peuvent être habilitées à accéder aux données les entités du groupe UTC juridiquement liées aux BCR responsable de traitement du groupe UTC dont la liste à jour a été fournie à la Commission nationale de l'informatique et des libertés.
 
Article 6 : Sur les informations relatives à chaque transfert
Les responsables de traitement doivent tenir à disposition des services de la Commission nationale de l'informatique et des libertés une liste (voir modèle proposé en annexe 1 de la présente délibération) détaillée et à jour des transferts effectués sur la base des BCR " responsable de traitement " du groupe UTC précisant, pour chaque transfert, les informations suivantes :
la finalité générale du transfert ;
la ou les catégories de données à caractère personnel transférées ;
la ou les catégories de personnes concernées par le transfert ;
les informations relatives à chaque destinataire des données :
	
raison sociale ;
nom du groupe auquel le destinataire appartient et ayant adopté des BCR " responsable de traitement " ;
pays d’établissement ;
catégorie de destinataire (ex : maison-mère, filiale) et 
nature du traitement opéré par ce dernier. 
Article 7 : Sur les droits d'accès, de rectification et d'opposition des personnes
Les droits d’accès, de rectification et d’opposition des personnes concernées définis au chapitre V de la loi du 6 janvier 1978 modifiée s’exercent auprès du ou des services que les responsables de traitement auront désignés.
Article 8 : Sur l'information des personnes
Les responsables de traitement doivent avoir clairement informé les personnes concernées de l’existence de transferts de données vers des pays tiers et des modalités d’exercice de leurs droits d’accès, de rectification et d’opposition, dans les conditions prévues par les dispositions des articles 90 et 91 du décret du 20 octobre 2005 modifié. 
La présente délibération sera publiée au Journal officiel de la République française.
 
 
Pour la Présidente
Le Vice-Président délégué
 
 
Marie-France MAZARS
 
 
 
 
 
 
 
 
 
 
Annexe 1 : Modèle de documentation sur les transferts de données à caractère personnel encadrés par des BCR " responsable de traitement "
 
 
Transfert n°1
Modifications
(préciser la date et l’objet)
Date de mise en œuvre
 
 
Finalité générale du transfert
 
 
Catégories de personnes concernées
 
 
Nature des données personnelles transférées
 
 
Destinataire 1
Raison sociale
 
 
Pays d’établissement
 
 
Type de destinataire
(ex : maison-mère, filiale)
 
 
Nature du traitement opéré par le destinataire 
(ex : lecture seule, saisie)
 
 
Destinataire 2
Raison sociale
 
 
Pays d’établissement
 
 
Type de destinataire
(ex : maison-mère, filiale)
 
 
Nature du traitement opéré par le destinataire 
(ex : lecture seule, saisie)
La Commission nationale de l'informatique et des libertés,
Saisie par la ministre de l’environnement, de l’énergie et de la mer, chargée des relations internationales sur le climat, d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 23 juillet 2015 portant création d’un traitement automatisé de données à caractère personnel dénommé " GISTRID " relatif aux transferts transfrontaliers de déchets ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la convention de Bâle du 22 mars 1989 sur le contrôle des mouvements transfrontaliers de déchets dangereux et leur élimination par les Etats membres ; 
Vu le règlement (CE) n° 1013/2006 du Parlement européen et du Conseil du 14 juin 2006 modifié concernant les transferts de déchets ; 
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 27-II-4° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2015-269 du 16 juillet 2015 portant avis sur un projet d’arrêté portant création d’un traitement de données à caractère personnel relatif aux transferts transfrontaliers ;
Après avoir entendu M. Eric PERES, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
 
La Commission nationale de l’informatique et des libertés a été saisie par le ministère de l’environnement, de l’énergie et de la mer d’une demande d’avis concernant un projet d’arrêté modifiant l’arrêté du 23 juillet 2015 portant création d’un traitement automatisé de données à caractère personnel dénommé " GISTRID " relatif aux transferts transfrontaliers de déchets.
 
Ce traitement vise à faciliter la gestion et le suivi des demandes et des documents transmis dans le cadre des opérations de transferts transfrontaliers de déchets au sens du règlement du 14 juin 2006 susvisé, qui organise et règlemente la surveillance et le contrôle des transferts de déchets. Il comporte notamment un téléservice de l’administration électronique, au sens des dispositions de l’article 27-II-4° de la loi du 6 janvier 1978 modifiée, et a ainsi été autorisé par l’arrêté précité du 23 juillet 2015, pris après l’avis susvisé de la Commission en date du 16 juillet 2015.
En application des dispositions prévues aux articles 27-II-4° et 30 de la loi du 6 janvier 1978 modifiée, les modifications apportées audit arrêté, qui concernent uniquement les destinataires du traitement GISTRID, doivent dès lors faire l’objet d’un avis motivé et publié de la Commission. 
 
L’arrêté en vigueur prévoit que les destinataires autorisés à accéder au traitement sont, à raison de leurs attributions et pour les besoins exclusifs des missions qui leur sont confiées, les personnels individuellement désignés suivants :
 
les agents des directions régionales de l'environnement, de l'aménagement et du logement, des directions de l'environnement, de l'aménagement et du logement et de la direction régionale et interdépartementale de l'environnement et de l'énergie d'Ile-de-France ;
les agents de la direction générale de la prévention des risques du ministère de l'écologie, du développement durable et de l'énergie ;
les agents du service de l'observation et des statistiques du Commissariat général du développement durable du ministère de l'écologie, du développement durable et de l'énergie.
 
Le projet d’arrêté modificatif vise à permettre en premier lieu aux agents dûment habilités de la police, de la gendarmerie et des douanes de recevoir communication des données enregistrées dans le traitement GISTRID.
A cet égard, la Commission relève que l’article 53 du règlement (CE) n° 1013/2006 impose aux Etats membres, à partir de 2017, une obligation de planification des inspections des transferts transfrontaliers de déchets, afin de renforcer les contrôles et de rendre plus efficace la lutte contre les trafics illicites. Ces inspections peuvent notamment être conduites par les agents des forces de l’ordre et des services des douanes.
 
Leur planification doit nécessairement faire l’objet d’une concertation entre les autorités compétentes et l’accès de ces nouveaux destinataires aux données enregistrées dans le traitement GISTRID apparaît dès lors légitime.
 
Le projet d’arrêté prévoit en second lieu la communication d’informations issues du traitement aux autorités étrangères compétentes en matière de transferts transfrontaliers de déchets désignées par les Parties à la Convention de Bâle susvisée et par les Etats membres au titre du règlement précité du 14 juin 2006. 
 
A cet égard, la Commission relève que ces autorités reçoivent déjà, dans le cadre de leurs missions, communication sous format papier des mêmes informations que celles enregistrées dans le traitement GISTRID, dans les conditions prévues par les dispositions précitées. Les modifications prévues visent à leur permettre de disposer d’un accès dématérialisé à ces données, afin de faciliter les échanges entre autorités compétentes en matière de transferts transfrontaliers de déchets.
Au vu des finalités du traitement GISTRID, la Commission estime que cette modification est conforme aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée.
 
 
Pour La Présidente,
Le Vice-Président délégué,
 
Marie-France MAZARS