AgentPublic/cnil huggingface dataset:
Le projet de décret vise à modifier les articles R. 8115-7 et suivants du code du travail afin notamment d'augmenter la durée de validité de la carte à cinq ans, quelle que soit la durée de la mission du salarié détaché. Ainsi, un seul titre pourra couvrir plusieurs périodes d'emploi successives sans que l'organisme employeur ait à réaliser de nouvelles démarches liées à son renouvellement. Ces modifications visent essentiellement à assurer l'égalité de traitement entre les entreprises établies à l'étranger et celles établies ou exerçant sur le territoire national, qui n'étaient pas soumises au même régime.
Par mesure de cohérence, le projet de décret actualise la liste des catégories de données à caractère personnel pouvant être enregistrées dans le traitement automatisé.
II. - L'avis de la CNIL
La liste des données figurant dans la carte BTP comprend une photographie du salarié, son état civil (nom, prénom et sexe), la date de délivrance et le numéro de gestion de la carte, ainsi qu'un code QR permettant d'automatiser la lecture de son contenu en cas de contrôle. A cette liste, l'article R. 8292-2 du code du travail rajoute des informations relatives à l'organisme employeur (la raison sociale, le numéro SIREN ainsi qu'éventuellement le logo de l'entreprise, à sa demande) ainsi qu'au statut d'emploi du titulaire ( salarié intérimaire détaché , salarié détaché ou salarié intérimaire ).
Selon le projet de décret, la carte BTP mentionnera sa durée de validité (cinq ans).
Par ailleurs, les statuts salarié intérimaire détaché et salarié détaché ne seront plus distingués, ce qui entraîne la fusion de ces deux mentions en une seule ( salarié détaché ).
Les dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
Date de l'avis : 19 octobre 2023
N° de la délibération : 2023-109
N° de demande d'avis : 22006033
Texte concerné : projet de décret portant création d'un traitement automatisé de données à caractère personnel relatif aux communications d'urgence et aux interventions des personnels de la police nationale dénommé PEGASE II
Thématiques : police nationale, police secours, appels d'urgence, interventions de la police nationale, données de localisation
Fondement de la saisine :
article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés
			L'essentiel :
Le projet de décret autorise la mise en œuvre d'un traitement relatif aux communications d'urgence et aux interventions des personnels de la police nationale dénommé PEGASE II . Ce traitement vise à assurer la gestion et le suivi des communications police secours et des interventions de la police nationale. Il remplacera le traitement PEGASE .
			Cette évolution du système de gestion des appels d'urgence et des interventions de la police nationale apparaît pertinente au regard des besoins invoqués.
			Elle appelle toutefois quelques observations, dont les principales portent sur la durée de conservation d'un an des données de localisation des personnels de la police nationale. Cette durée n'apparait pas suffisamment justifiée et devrait, ainsi, être réduite.
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, et notamment son titre III ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
Adopte la délibération suivante :
I. - La saisine
A. - Le contexte
Mis en œuvre par la direction générale de la police nationale (DGPN), le traitement PEGASE (pilotage des événements, gestion de l'activité et sécurisation des équipages) vise à améliorer les appels d'urgence de police secours et réduire les délais d'intervention des équipages de police sur le terrain grâce à un dispositif de géolocalisation des véhicules.
Ce système est déployé dans les centres d'information et de commandement (CIC) des directions départementales de la sécurité publique. Ces derniers sont chargés de recevoir les appels au 17 (police secours) et de collecter des éléments utiles aux interventions.
En parallèle, la direction générale de la gendarmerie nationale (DGGN) met en œuvre un traitement dénommé gestion des interventions et des sollicitations (GSI). Encadré par les articles R. 236-31 à R. 236-37 du code de la sécurité intérieure, GSI s'inscrit dans une perspective similaire de gestion des appels d'urgence et des interventions des forces de sécurité intérieure.
Le traitement GSI a récemment fait l'objet d'une modification, sur laquelle la Commission nationale de l'informatique et des libertés (CNIL) s'est prononcée (v. CNIL, SP, 15 septembre 2022, avis sur projet de décret, GSI, n° 2022-094, publié).
B. - L'objet de la saisine
Le ministère de l'intérieur a saisi la CNIL, sur le fondement de l'article 31 de la loi du 6 janvier 1978 (ci-après, loi informatique et libertés ), d'un projet de décret portant création d'un traitement relatif aux communications d'urgence et aux interventions des personnels de la police nationale dénommé PEGASE II.
Ce traitement sera mis en œuvre par la DGPN. Il a vocation à remplacer PEGASE.
Cette refonte du système de gestion des appels d'urgence et des interventions de la police nationale vise à répondre :
- à l'obligation, pour les opérateurs téléphoniques, de mettre à disposition des services de secours les données de localisation de l'appelant lors d'un appel d'urgence (article D. 98-8 du code des postes et des télécommunications électroniques) ;
- à l'apparition de nouveaux besoins opérationnels.
PEGASE II sera mis en œuvre à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales. Dès lors, il doit être régi par les dispositions des titres I et III de la loi informatique et libertés .
II. - L'avis de la CNIL
A. - Sur les finalités et le périmètre du traitement
Le traitement PEGASE II vise à faciliter :
- la gestion et le suivi des communications “police secours” ;
- la gestion et le suivi des interventions des personnels de la police nationale, y compris lorsqu'elles concernent des sites et des personnes protégés .
Selon les précisions apportées, les interventions concernées s'inscriront dans le cadre de missions de prévention et de répression des infractions pénales et d'assistance aux personnes. Elles couvriront tant les interventions qui découlent d'un appel police secours que les interventions d'initiative de la police nationale (par exemple : assistance aux blessés en cas d'accident de la circulation, prévention et constatation des vols, cambriolages, rodéos sur la voie publique, contrôles d'identité, etc.).
Or ces caractéristiques ne ressortent pas des finalités du traitement. En particulier, il n'apparait pas clairement que PEGASE II puisse recouvrir les interventions qui ne découlent pas d'une communication police secours .
Le décret pourrait être précisé en ce sens.
B. - Sur les données enregistrées dans le traitement
a. - Données relatives aux sites et personnes protégés
Le traitement permettra la gestion et le suivi des interventions sur des sites protégés et auprès de personnes protégées. Il s'agira de collecter, en amont d'une éventuelle intervention, des informations relatives aux responsables de sites protégés et aux personnes pour lesquelles existent des éléments objectifs attestant d'une menace pesant sur elles (au regard, par exemple, de leurs fonctions, ou encore du bénéfice de certains dispositifs tels que le bracelet anti-rapprochement ou le téléphone grave danger).
En parallèle, certaines de ces personnes peuvent être inscrites dans le traitement
Sécurisation des interventions et demandes particulières de protection (SIDPP). Actuellement mis en œuvre par la DGGN, SIDPP poursuit un objectif similaire de sécurisation des interventions des forces de sécurité intérieure.
La CNIL invite le ministère à s'assurer de la nécessité de traiter, dans PEGASE II, des données qui seraient déjà exploitées dans des traitements poursuivant des finalités similaires.
Les données relatives aux sites et personnes protégés seront conservées dans PEGASE II jusqu'à l'extinction du motif ayant conduit à leur enregistrement dans le traitement .
Selon les précisions apportées, ce motif disparaîtra à la fin de la procédure (bracelet anti- rapprochement, par exemple), dès la cessation de fonctions de la personne protégée à ce titre (domicile d'un magistrat, par ex.), ou au terme de l'événement ayant justifié la protection (lieu de culte lors d'une fête religieuse, par ex.)
L'autorité de police locale veillera à ce que les données soient mises à jour au moins une fois par an. Une doctrine d'emploi contiendra cette prescription.
La CNIL prend acte de ces garanties.
b. - Données de localisation des personnels de la police nationale
Les données de localisation des véhicules des personnels de la police nationale peuvent être enregistrées dans PEGASE. Le traitement PEGASE II permettra, en outre, l'enregistrement de données de localisation des équipages. Ces données seront issues des terminaux mobiles des personnels engagés sur une intervention (portatifs radios, tablettes et smartphones des personnels des patrouilles pédestres, cyclistes, équestres ou motorisées).
Le traitement de ces données vise à améliorer la gestion des effectifs et accroître la sécurité des policiers sur le terrain, en facilitant leur localisation exacte.
La CNIL rappelle que l'utilisation de dispositifs de géolocalisation par l'employeur ne doit pas entrainer un contrôle permanent des personnels concernés. En ce sens,
- les informations collectées doivent être limitées aux seules données nécessaires aux objectifs visés et conservées pendant une durée n'excédant pas celle nécessaire à ces objectifs ;
- l'utilisation de dispositifs de géolocalisation devrait, ainsi, exclure la collecte de données de localisation en dehors du temps de travail ;
- les données collectées devraient être accessibles à un nombre limité d'agents justifiant du besoin d'en connaitre pour répondre aux finalités du traitement (en ce sens, v. CNIL, SP, 15 septembre 2022, avis sur projet de décret, GSI, n° 2022-094, publié).
Le ministère a apporté les précisions suivantes :
- la géolocalisation des véhicules et postes radio est obligatoire. Néanmoins, ces matériels n'ont pas vocation à être utilisés en dehors des heures de service des agents.
- la collecte des données de localisation des terminaux mobiles repose sur le volontariat : dans le seul cas où l'agent active le dispositif de géolocalisation. Une doctrine d'emploi précisera que ce dispositif doit être désactivé à chaque fin de vacation.
Les données de localisation seront conservées pendant une durée maximale d'un an à des fins d'établissement de statistiques principalement.
Or l'établissement de statistiques ne saurait justifier une conservation des données en base active pendant un an. Cette durée devrait être réduite au regard de la possibilité d'effectuer des statistiques sur des données agrégées au fil du temps.
Par ailleurs, la conservation des données pour cette durée n'apparaît pas justifiée par un impératif de gestion et de suivi des interventions.
Au regard de ces éléments, la CNIL invite le ministère à réduire et préciser les durées de conservation des données de localisation des véhicules et équipages de la police nationale.
c. - Photographies
Le projet de décret autorise l'enregistrement de photographies des lieux de l'intervention prises par les personnels de la police nationale, lorsqu'elles sont strictement nécessaires à sa gestion ou à son suivi .
La CNIL accueille favorablement l'encadrement du traitement de ces données par la diffusion d'une doctrine d'emploi et la mise en place d'un contrôle hiérarchique.
Des personnes pourront apparaitre sur les photographies. Or le traitement de ces images a pour seuls objectifs de fournir aux personnels des CIC une vision d'ensemble de la situation et d'adapter les moyens à engager en conséquence. Cela ne requiert pas de pouvoir disposer de détails sur les personnes présentes sur les photographies ou de les identifier.
Il conviendrait de mettre en œuvre, dans la mesure compatible avec les contraintes opérationnelles des interventions, des procédés de floutage automatiques ou semi- automatiques des visages et autres éléments identifiants (en ce sens, v. CNIL, SP, 15 septembre 2022, avis sur projet de décret, GSI, n° 2022-094, publié).
C. - Sur l'information des personnes
Les informations énumérées à l'article 104 de la loi informatique et libertés doivent être mises à disposition de l'ensemble des personnes concernées par le traitement, et donc effectivement accessibles à ces dernières (v. CNIL, SP, 15 septembre 2022, avis sur projet de décret, GSI, n° 2022-094, publié).
S'agissant du traitement PEGASE II :
- une information générale des personnes sera réalisée par la publication de l'acte réglementaire encadrant le traitement et par l'intermédiaire du site web de la DGPN ;
- les personnes protégées et les responsables des sites, enregistrés à leur demande dans le traitement, seront informés par la remise d'un formulaire ;
- les personnels concernés seront informés par une doctrine d'emploi diffusée au sein de la police nationale.
La CNIL accueille favorablement la mise en place de ces mesures.
Néanmoins, le message sonore informant les usagers de l'enregistrement de leur appel pourrait préciser que les informations relatives au traitement sont disponibles sur le site web du ministère de l'intérieur, si cela s'avère compatible avec les contraintes opérationnelles de la police nationale tenant notamment à l'urgence de la situation.
D. - Sur les mesures de sécurité
La CNIL prend acte :
- de la mise en œuvre d'une authentification forte des accès de l'ensemble des personnels accédant à PEGASE II ;
- de la mise en œuvre d'une gestion des profils utilisateurs dans la limite de leur besoin d'en connaître ;
- de la mise en œuvre de communications chiffrées entre les différents terminaux et le central permettant d'assurer le respect de la confidentialité desdites communications ;
- de la mise en œuvre de solutions de sauvegardes répondant aux spécificités du traitement ;
- du déploiement d'un programme d'apurement automatique des données au terme de la période de conservation ; et
- de l'utilisation de données anonymisées dans les environnements hors production.
Par ailleurs, le projet de décret prévoit une durée de conservation des données de traçabilité de trois ans. Cette durée de conservation apparaît pertinente au regard du contexte de mise en œuvre du traitement et de l'usage pouvant être fait de ces traces.
Néanmoins, la CNIL rappelle l'importance de la mise en œuvre d'outils de détection automatisés permettant une réaction rapide en cas d'actions malveillantes qui seraient réalisées sur le traitement.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Alexandre LINDEN, président, M. Philippe-Pierre CABOURDIN, vice-président, Mme Isabelle LATOURNARIE-WILLEMS et MM. Alain DRU et Bertrand du MARAIS, membres ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision n° 2021-191C du 29 juin 2021 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification des traitements mis en œuvre par la société […], par ses filiales ou pour son compte, en tout lieu susceptible d’être concerné par leur mise en œuvre ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 4 avril 2022 ;
Vu le rapport de Mme Valérie PEUGEOT, commissaire rapporteure, notifié à la société […] le 23 août 2023 ;
Vu les observations écrites versées par la société […] le 29 septembre 2023 ;
Vu la réponse de la rapporteure à ces observations, notifiée à la société le 20 octobre 2023 ;
Vu la clôture de l’instruction, notifiée à la société le 22 novembre 2023 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 7 décembre 2023 ;
Vu la délibération avant-dire droit de la formation restreinte n°SAN-2023-020 du 14 décembre 2023 ;
Vu les observations écrites versées par la rapporteure le 21 décembre 2023 ;
Vu les observations écrites versées par la société le 28 décembre 2023 ;
Vu les observations orales formulées lors de la séance de la formation restreinte du 18 janvier 2024 ;
Vu la note en délibéré transmise par la société le 29 janvier 2024 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte :
- Mme Valérie PEUGEOT, commissaire, entendue en son rapport ;
En qualité de représentants de la société […] :
- […]
La société […] ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. La société […] (ci-après " la société "), dont le siège social est situé […], est une filiale de la société […]. Elle a pour activité la commercialisation et la gestion de programmes et de cartes de fidélité. Elle n’emploie aucun salarié mais s’attache, pour la conduite de ses activités, les services du personnel d’autres sociétés du groupe. La société a indiqué recenser […] clients au 5 octobre 2021. Son chiffre d’affaires pour l’année 2021 s’est élevé à […] euros, pour un résultat net déficitaire […] euros.
2. Afin de promouvoir ses programmes, la société procédait, jusqu’en 2021, à des campagnes de démarchage par téléphone à partir de fichiers de prospects achetés auprès de deux partenaires principaux, les sociétés […] et […].
3. Le 23 septembre 2021, une délégation de la Commission nationale de l’informatique et des libertés (ci-après " la Commission " ou " la CNIL ") a procédé à un contrôle dans les locaux de la société, afin de vérifier le respect des dispositions de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi Informatique et Libertés " ou " loi du 6 janvier 1978 modifiée ") et du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données (ci-après le " Règlement " ou " RGPD ").
4. Le procès-verbal n° 2021-191/1, dressé le jour du contrôle, a été notifié à la société le 30 septembre 2021.
5. La société a communiqué des pièces complémentaires les 5 octobre et 22 novembre 2021.
6. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 4 avril 2022, désigné Mme Valérie PEUGEOT en qualité de rapporteure sur le fondement de l’article 22 de la loi du 6 janvier 1978 modifiée.
7. Le 8 juin 2023, la rapporteure a adressé une demande complémentaire à laquelle la société a répondu le 23 juin 2023.
8. Le 23 août 2023, à l’issue de son instruction, la rapporteure a fait notifier à la société un rapport détaillant les manquements aux articles 6 et 32 du RGPD qu’elle estimait constitués en l’espèce. Ce rapport proposait à la formation restreinte de prononcer une amende administrative à l’encontre de la société. Il proposait également que cette décision soit rendue publique.
9. Le 29 septembre 2023, la société a produit des observations en réponse au rapport de sanction.
10. La rapporteure a répondu aux observations de la société le 20 octobre 2023.
11. Le 22 novembre 2023, la rapporteure a, en application du III de l’article 40 du décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi Informatique et Libertés, informé la société et le président de la formation restreinte que l’instruction était close.
12. Le même jour, la société a été informée que le dossier était inscrit à l’ordre du jour de la formation restreinte du 7 décembre 2023.
13. La formation restreinte a tenu une séance le 7 décembre 2023.
14. Par délibération avant-dire droit n°SAN-2023-020 du 14 décembre 2023, envoyée par courrier électronique à la société le même jour et notifiée par voie postale le 20 décembre 2023, la formation restreinte a demandé à la société […] et à la rapporteure la production d’une pièce complémentaire, évoquée par la société lors de la séance du 7 décembre 2023.
15. Le 21 décembre 2023, la rapporteure a communiqué à la formation restreinte une pièce intitulée " leads_701_23-09-2021 […] ".
16. Le 28 décembre 2023, la société a communiqué à la formation restreinte une pièce également intitulée " leads_701_23-09-2021 […] ".
17. En application de l’article 41 du décret n°2019-536 du 29 mai 2019, une convocation à la séance de la formation restreinte du 18 janvier 2024 a été notifiée à la société […] le 20 décembre 2023. 
18. La rapporteure et la société ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur le manquement à l’obligation de traiter les données de manière licite
19. Aux termes de l’article 6 du RGPD, " 1. Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :
a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;
b) le traitement est nécessaire à l'exécution d'un contrat auquel la personne concernée est partie ou à l'exécution de mesures précontractuelles prises à la demande de celle-ci ;
c) le traitement est nécessaire au respect d'une obligation légale à laquelle le responsable du traitement est soumis ;
d) le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d'une autre personne physique ;
e) le traitement est nécessaire à l'exécution d'une mission d'intérêt public ou relevant de l'exercice de l'autorité publique dont est investi le responsable du traitement ;
f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant ".
20. La formation restreinte rappelle que les actions de prospection commerciale par appels téléphoniques peuvent être réalisées sur la base légale de l’intérêt légitime de la société (f) ou sur celle du consentement (a).