AgentPublic/cnil huggingface dataset:
Le projet de décret ne précise pas quelles modalités de rapprochement seront admissibles. Il est possible de mettre en œuvre des dispositifs biométriques dans lesquels le test de correspondance est effectué avec l'ensemble des gabarits autorisés. Si cela permet de se passer d'une identification a priori de la personne, cette méthode impacte fortement l'efficacité du dispositif, puisqu'elle tend à faire augmenter le taux d'erreur individuel en fonction du nombre de gabarits stockés.
Dans la mesure où l'ensemble des accédants présenteront un moyen d'identification lors de leur entrée dans les locaux (leur badge d'accès individuel), la CNIL considère qu'il n'est pas nécessaire de procéder à la comparaison du visage de chaque accédant avec l'ensemble des gabarits stockés.
Elle invite par conséquent le ministère à limiter la vérification de correspondance au gabarit associé individuellement à la personne identifiée par le badge, et prend acte de l'engagement du ministère de faire apparaitre cette recommandation dans le guide d'accompagnement.
D. - Concernant les mesures de sécurité
La CNIL prend acte de ce que le présent dispositif viendra en complément des contrôles d'accès aujourd'hui en place. Elle considère cependant que ce caractère complémentaire ne retire rien à la nécessité de mettre en œuvre des mesures de sécurité correspondant à l'état de l'art pour ce qui concerne les outils de contrôle d'accès biométrique.
En conséquence, la CNIL recommande de systématiser la mise en place de mesures de chiffrement conformes à l'annexe B1 du référentiel général de sécurité pour les gabarits, que ceux-ci soient stockés en base centralisée ou bien sur les badges des personnes. De plus, si la CNIL accueille favorablement la mise en œuvre systématique des échanges sur des réseaux isolés, elle invite également le ministère à prévoir que tout échange relatif au traitement soit chiffré avec le même niveau d'exigence.
Sur certains sites, le ministère prévoit l'utilisation de terminaux mobiles pour stocker des extractions de la base de données centralisée. Cette modalité est source d'un risque accru de vol ou d'accès indu. Pour cette raison, la CNIL invite le ministère à prendre toutes les mesures nécessaires pour limiter ces risques, par exemple en conservant ces terminaux dans un caisson sécurisé, ou bien en condamnant les ports physiques du terminal.
Afin d'assurer la systématisation de telles mesures, la Commission invite le ministère à les inclure dans ses politiques d'usages applicables aux dispositifs biométriques.
Le projet de décret prévoit une journalisation pour une durée comprise entre un et cinq ans, qui concerne uniquement les opérations effectuées par les opérateurs du traitement. Étant donné le contexte de mise en œuvre et la gravité des risques associés, elle considère que cette durée peut effectivement être supérieure à celles qu'elle préconise d'ordinaire. La CNIL estime toutefois qu'une durée maximale de trois années serait suffisante et proportionnée aux enjeux, et prend acte de l'engagement du ministère de modifier le projet de décret en ce sens.
En outre, afin de contribuer effectivement à la sécurité du traitement, elle recommande de prévoir des analyses proactives des données de journalisation, que ce soit par la génération automatique d'alertes ou bien par des mesures organisationnelles (par exemple par la génération de rapports réguliers et le contrôle humain des données par la hiérarchie pour les composantes les plus sensibles du traitement).
E. - Sur l'information des personnes concernées
L'article 6 du projet de texte prévoit que les personnes concernées seront informées par voie d'affichage à l'entrée des emprises et des locaux relevant du ministère de la défense , ce qui exclut toute information individuelle.
Le ministère a indiqué ne pas être opposé à prévoir une information individuelle des agents et a précisé que le projet pourrait être modifié de manière à prévoir une information […] par voie d'affichage à l'entrée des emprises et des locaux relevant du ministère de la défense ou par envoi ou remise d'un document ou par tout autre moyen équivalent […] .
La CNIL observe que l'information individuelle des personnes concernées sur l'existence du traitement, sur ces caractéristiques principales ainsi que sur les droits dont elles disposent de ce fait, est un droit découlant des dispositions de la loi informatique et libertés .
Elle considère que rien ne s'oppose à ce que cette information soit délivrée individuellement aux personnes concernées, par exemple au moment de l'enrôlement des agents dans le dispositif.
Dans ces conditions, la CNIL estime que pour assurer sa conformité aux dispositions de l'article 116 de la loi informatique et libertés , l'ARU doit prévoir l'information individuelle des agents à titre principal, en prévoyant à titre subsidiaire un affichage à l'entrée des locaux. Elle prend acte de l'engagement du ministère de modifier le projet de décret en ce sens.
F. - Sur la terminologie utilisée
Le second alinéa de l'article 2 du projet prévoit qu'est enregistré dans la base de données du serveur, ou le cas échéant, intégré au badge le composant contenant le gabarit , et non pas le gabarit lui-même.
Le terme de composant renvoyant le plus souvent dans la littérature technique aux composants matériels d'un système, la CNIL recommande au ministère de modifier le texte de manière à ne faire référence qu'à l'enregistrement du gabarit .
Les autres dispositions du projet de décret n'appellent pas d'observations de la part de la CNIL.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 6 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
Après avoir procédé au vote,
Constate :
Article 1
	M. Philippe-Pierre CABOURDIN est élu président de la formation restreinte de la Commission.
Article 2
	La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. DENIS
La Commission nationale de l'informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 9 ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 6 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 modifiée portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés, notamment son article 16 ;
	Après avoir procédé au vote en présence de M. Damien MILIC, commissaire du Gouvernement,
	Constate :
Article 1
	M. Philippe-Pierre CABOURDIN, M. Alain DRU, Mme Laurence FRANCESCHINI et M. Vincent LESCLOUS sont élus membres de la formation restreinte de la Commission.
Article 2
	La présente délibération sera publiée au Journal officiel de la République française.
La présidente,
M.-L. Denis
Date de l’avis : 9 novembre 2023
N° de la délibération : 2023-115
N° de demande d’avis : 23010915
Texte concerné : projet de décret modifiant la liste des services autorisés à accéder aux traitements automatisés de données à caractère personnel prévus à l'article 230-6 du code de procédure pénale mentionnés à l’article R. 234-3 du code de la sécurité intérieure
Thématiques : traitement d’antécédents judiciaires, intérêts fondamentaux de la Nation, services de renseignement
 
 
Fondement de la saisine : article 8-I-4-a) de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
 
 
L’essentiel :
 
La loi n° 2023-22 d’orientation et de programmation du ministère de l’intérieur a étendu les finalités pouvant donner lieu à la consultation, par les services de renseignement, des traitements d’antécédents judiciaires prévus par l’article 230-6 du code de procédure pénale.
 
Le projet de décret fixe la liste des services pouvant y accéder pour les nouvelles finalités prévues par la loi. En outre, il étend le périmètre des services pouvant consulter les traitements pour les autres finalités.
 
Ces évolutions découlent en grande partie de l’extension des finalités d’accès prévue par le législateur. 
 
La CNIL souligne que des mesures devront être mises en place pour garantir que :
les accès sont accordés en fonction du besoin d'en connaître des agents des services concernés, au regard de leurs missions ;
chaque consultation s’effectue dans le respect des finalités au titre desquelles ces agents disposent d’un accès.
 
Un mécanisme automatique de contrôle des données de traçabilité permettrait d’améliorer la sécurité de ces opérations. 
 
 
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
 
ADOPTE LA DÉLIBÉRATION SUIVANTE :
 
I. La saisine
 
A. Le contexte
 
Le traitement d’antécédents judiciaires (ci-après " TAJ ") peut être consulté, par certains services, dans le cadre de missions de renseignement.
 
En premier lieu, la loi n° 2015-912 du 24 juillet 2015 relative au renseignement a consacré la possibilité, pour ces services, de consulter les traitements d’antécédents judiciaires pour la protection des intérêts fondamentaux de la Nation mentionnés aux 1°, 4° et 5° de l'article L. 811-3 du code de la sécurité intérieure (CSI).
Ces finalités correspondent à la protection de " l'indépendance nationale, l'intégrité du territoire et la défense nationale ", à la " prévention du terrorisme ", ainsi qu’à la prévention " des atteintes à la forme républicaine des institutions ", " des actions tendant au maintien ou à la reconstitution de groupements dissous ", et " des violences collectives de nature à porter gravement atteinte à la paix publique ".
 
L’article R. 234-3 du CSI énumère les services de renseignement des premier et second cercles qui disposent d’un accès en consultation aux données du TAJ (à l’exclusion de celles relatives aux victimes) au titre de chacun de ces intérêts.
 
Les services du premier cercle correspondent aux six services spécialisés de renseignement pouvant mettre en œuvre des techniques de renseignement pour la défense et la promotion des intérêts fondamentaux de la Nation. Les services du second cercle correspondent aux " services, autres que les services spécialisés de renseignement ", qui peuvent être autorisés à mettre en œuvre certaines techniques de renseignement pour des finalités s’inscrivant dans le cadre de leurs missions (v. les articles L. 811-2 et s. du CSI).
La CNIL s’est plusieurs fois prononcée sur l’accès de ces services au TAJ (v. CNIL, SP, 7 mai 2015, avis sur projet de décret, TAJ, n° 2015-136, publié ; CNIL, SP, 10 décembre 2015, avis sur projet de décret, TAJ, n° 2015-429, publié ; CNIL, SP, 15 juin 2017, avis sur projet de décret, TAJ, n° 2017-180, publié).
 
En second lieu, la loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'intérieur (LOPMI) a étendu la liste des finalités pour lesquelles les traitements d’antécédents judiciaires peuvent être consultés.
 
Les nouvelles finalités correspondent à la protection des intérêts énumérés aux 2°, 3° et 6° de l’article L. 811-1 du CSI (" les intérêts majeurs de la politique étrangère, l'exécution des engagements européens et internationaux de la France et la prévention de toute forme d'ingérence étrangère ", " les intérêts économiques, industriels et scientifiques majeurs de la France ", et " la prévention de la criminalité et de la délinquance organisées ").
 
B. L’objet de la saisine
 
Le ministère de l’intérieur a saisi la CNIL d’un projet de décret modifiant la liste des services autorisés à accéder aux traitements automatisés de données à caractère personnel prévus à l'article 230-6 du code de procédure pénale mentionnés à l’article R. 234-3 du code de la sécurité intérieure.
Ce projet énumère les services concernés par la nouvelle possibilité de consultation au titre de la protection des intérêts fondamentaux de la Nation visés aux 2°, 3° et 6° de l’article L. 811-3 du CSI.
 
En outre, il étend la liste des services pouvant consulter les traitements d’antécédents judiciaires pour la protection des intérêts mentionnés aux 1°, 4° et 5° du même article.
 
II. L’avis de la CNIL
 
S’il ne lui appartient pas de se prononcer sur les finalités fixées par le législateur, la CNIL considère que chaque nouvel accès doit être justifié au regard des missions des services concernés. Elle estime, par ailleurs, que l’élargissement du périmètre des services pouvant accéder au TAJ doit être assorti de garanties appropriées.
 
A. Sur l’extension de la liste des services pouvant consulter les traitements pour la protection des intérêts fondamentaux de la Nation
 
Les services concernés par la nouvelle possibilité de consultation (au titre de la protection des intérêts visés aux 2°, 3° et 6° de l’article L. 811-3 du CSI) comprennent des services de renseignement du premier cercle (pour toutes les nouvelles finalités) et du second cercle (pour les seuls besoins de la prévention de la criminalité et de la délinquance organisées).
Par ailleurs, les nouveaux services accédant aux traitements pour les finalités mentionnées aux 1°, 4° et 5° de l'article L. 811-3 du CSI correspondent aux services du second cercle qui peuvent mettre en œuvre des techniques de renseignement au titre de ces mêmes finalités (v. l’article R. 811-2 du CSI).
 
La CNIL prend acte de ce que ces nouvelles consultations 
s’inscriront dans le cadre des missions confiées aux différents services énumérés par le projet de décret, 
et permettront, dans ces conditions, de disposer d’informations complémentaires aux éléments directement recueillis par ces services (mise en œuvre de techniques de renseignement, consultation d’autres fichiers, etc.).
 
Au regard des éléments communiqués par le ministère, le projet de décret n’appelle pas d’autre observation.
 
B. Sur les garanties entourant cette consultation
 
L’extension projetée entrainera une multiplication des cadres de consultation du TAJ, une augmentation du nombre d’accès au traitement, ainsi qu’un accroissement du volume des personnes concernées par le traitement de leurs données. Ainsi, des garanties particulières devront être mises en place pour limiter l’atteinte à la vie privée de ces personnes.
 
En premier lieu, les opérations de consultation feront l’objet d’une journalisation, conformément à l’article R. 40-30 du CPP.
La CNIL souligne que la mise en œuvre d’un mécanisme automatique de contrôle des données de traçabilité permettrait d’améliorer la sécurité du traitement par la génération d’alertes en temps réel.
 
D’autres mesures devront être prises pour garantir que, dans chaque administration concernée, 
seuls les agents des services limitativement énumérés par l’article R. 234-4 du CSI peuvent consulter le TAJ,
les accès sont accordés en fonction du besoin d'en connaître des agents concernés, au regard de leurs missions,
chaque consultation
 s’effectue dans le respect des finalités au titre desquelles ces agents peuvent accéder au TAJ. 
 
En deuxième lieu, les accès au traitement se limitent à une consultation simple. Selon les précisions apportées, cette consultation n’entrainera aucune interconnexion avec d’autres traitements.
 
En troisième lieu, la consultation de données inexactes serait de nature à nuire au bon exercice des missions des services disposant d’un accès.
 
Les données ainsi consultées devront être traitées avec la plus grande prudence. Les agents des services de renseignement concernés devront être sensibilisés sur ce point.
 
En dernier lieu, l’analyse d’impact relative à la protection des données du TAJ devra être mise à jour pour prendre en compte l’extension de la liste des services de renseignement disposant d’un accès.
 
La Présidente
M-L. Denis
Date de l’avis : 11 janvier 2024
N° de la délibération : 2024-002
N° de demande d’avis : 23013610
N° d’acte réglementaire unique : RU-80
Organisme(s) à l’origine de la saisine : ministère de l’intérieur et des outre-mer et ministère de l’économie, des finances et de la souveraineté industrielle et numérique
Textes concernés : projet de décret relatif à la mise en œuvre de traitements d’images au moyen de caméras embarquées dans les véhicules, embarcations et autres moyens de transport des forces de sécurité intérieure et des acteurs de la sécurité civile
Thématiques : caméras embarquées, forces de sécurité intérieure, acteurs de la sécurité civile
Fondement de la saisine : article L. 243-5 du code de la sécurité intérieure
 
 
L’essentiel :
1. La CNIL a été saisie d’un projet de décret d’application relatif aux dispositions du code de la sécurité intérieure autorisant les forces de l’ordre, les douanes et les acteurs de la sécurité civile à utiliser des caméras embarquées aux fin d’assurer la sécurité de leurs interventions.
2. Le projet de décret constitue un acte réglementaire unique. 
L’analyse d’impact relative à la protection des données (AIPD) cadre qui a été transmise à la CNIL ne lui permet pas de s’assurer des solutions et procédures mises en œuvre pour garantir la sécurité des traitements projetés. Elle
considère que les AIPD complémentaires transmises par les responsables de traitement lors de l’envoi de l’engagement de conformité devront être complétées, notamment sur les modalités de transmission en temps réel des enregistrements et d’accès direct aux enregistrements par les personnels.
3. La CNIL rappelle que l’information des personnes doit comporter l’ensemble des mentions d’information exigées par la réglementation sur la protection des données.
LA COMMISSION NATIONALE DE L'INFORMATIQUE ET DES LIBERTÉS,
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD) ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (" loi informatique et libertés "), notamment son article 31 et son titre III ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement,
ADOPTE LA DÉLIBÉRATION SUIVANTE :
 
I. La saisine
 
A. Le contexte
 
Les articles L. 243-1 à L. 243-5 du code de la sécurité intérieure (CSI) ont créé un cadre juridique autorisant la captation d’images au moyen de caméras embarquées dans les véhicules, embarcations et autres moyens de transport par :
les agents de la police nationale ;
les agents des douanes ;
les militaires de la gendarmerie nationale ;
les sapeurs-pompiers professionnels et volontaires des services d’incendie et de secours ;
les personnels des services de l’État et les militaires des unités investis à titre permanent de missions de sécurité civile.
 
Des traitements de données à caractère personnel provenant des caméras embarquées peuvent être mis en œuvre aux seules fins d’assurer la sécurité des interventions de ces personnels dans l’exercice des missions de prévention des atteintes à l’ordre public et de protection des personnes et des biens.
 
Le CSI prévoit certaines garanties. Notamment :
l’enregistrement n’est pas permanent et ne peut être déclenché que lorsque se produit ou est susceptible de se produire un incident, eu égard aux circonstances ou au comportement des personnes concernées ;
un signal visuel ou sonore spécifique indique si un enregistrement est en cours ;
les caméras embarquées ne peuvent pas comporter de traitements automatisés de reconnaissance faciale ;
ces dispositifs ne peuvent procéder à aucun rapprochement, interconnexion ou mise en relation automatisée avec d’autres traitements de données à caractère personnel.
Eu égard aux finalités poursuivies par les traitements, ces derniers relèvent, d’une part, du régime de la directive " police-justice " transposée au titre III de la loi " informatique et libertés " lorsqu’ils sont mis en œuvre par les services de police nationale, de la gendarmerie nationale et des douanes, et d’autre part, du régime du RGPD lorsqu’ils sont mis en œuvre par les acteurs de la sécurité civile.
 
 
 
 
B. L’objet de la saisine
 
La CNIL a été saisie par le ministère de l’intérieur pour avis sur un projet de décret précisant les modalités d’application des articles L. 243-1 à L. 243-5 du CSI, et d’utilisation des données collectées.
 
Ce projet de décret constitue un acte réglementaire unique conformément au IV de l’article 31 de la loi " informatique et libertés ". La mise en œuvre des traitements est ainsi subordonnée à l’envoi préalable à la CNIL, par le responsable de traitement, d’un engagement de conformité aux dispositions du présent projet de décret, ainsi que d’une analyse d’impact relative à la protection des données à caractère personnel (AIPD) précisant les caractéristiques particulières de chacun des traitements mis en œuvre. Cette AIPD précisera les caractéristiques qui ne figurent pas dans l’AIPD cadre transmise par le ministère de l’intérieur et le ministère chargé des douanes à la CNIL.
Le ministère de l’intérieur et le ministère chargé des douanes ont indiqué ne pas disposer à l’heure actuelle de caméras embarquées qui répondent à l’ensemble des conditions fixées par la loi (par exemple, l’exigence relative au processus d’authentification forte permettant d’assurer l’intégrité et la traçabilité des enregistrements). À la suite de la publication de ce projet de décret, les ministères réaliseront des " tests " de matériels dans le respect des dispositions législatives du CSI relatives aux caméras embarquées, afin d’identifier les dispositifs correspondant le mieux aux besoins opérationnels exprimés par les services (notamment sur la qualité vidéo et la durée des batteries). Le matériel retenu et utilisé par chaque service et ses caractéristiques techniques seront portés à la connaissance de la CNIL lors de l’envoi par ces derniers de l’engagement de conformité, accompagné d’une AIPD.
II. L’avis de la CNIL
 
A. Sur les modalités de fonctionnement des dispositifs
 
Les types de véhicules sur lesquels pourront être déployées des caméras embarquées sont les véhicules terrestres, ainsi que les véhicules maritimes s’agissant des agents des douanes. Les véhicules aériens sont exclus dans la mesure où un cadre légal spécifique s’applique aux caméras installées sur des aéronefs (articles L. 242-1 à L. 242-8 du CSI).