AgentPublic/cnil huggingface dataset:
les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes sont décrits à l’article 16 des BCR ;
enfin, l’article 6.1.2.3 des BCR prévoient une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.
Le CEPD a rendu l’avis n° 27/2022 en date du 7 octobre 2022, conformément à l’article 64-1-f du RGPD. La Commission a tenu compte de cet avis.
 
Décide : 
La CNIL approuve les BCR sous-traitant présentées par le groupe Leyton, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambigüité, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme l’approbation de transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti.
La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées.
Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR sous-traitant du groupe Leyton ne seraient pas respectées.
 
La Présidente
Marie-Laure DENIS
Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
ANNEXE AU PROJET DE DECISION
 
Les BCR sous-traitant du groupe Leyton qui sont approuvées par la présente décision couvrent le champ d’application suivant :
A. Champ d’application. Ces BCR sous-traitant s’appliquent lorsque Leyton agit en tant que sous-traitant pour le compte et sur les instructions d’un responsable du traitement établi dans l’UE qui n’est pas une entité du groupe Leyton (article 1 des BCR).
B. Etats membres de l’EEE depuis lesquels les transferts sont effectués : France, Italie, Allemagne, Espagne, Pologne, Portugal, Belgique, Pays-Bas et Suède (annexe 1 des BCR).
C. Pays tiers vers lesquels les transferts sont effectués : les transferts de données à caractère personnel se font vers les entités du groupe Leyton localisées au Maroc, au Canada et au Royaume-Uni (annexe 1 des BCR).
D. Les finalités des transferts : les finalités sont détaillées à l’article 5.2 des BCR. Elles dépendent des services fournis au responsable du traitement et correspondent aux activités suivantes :
accompagnement en matière d’économies ou de leviers de financements générés notamment par :
	
les dispositifs d’incitations fiscales à la recherche et l'innovation, le Crédit Impôt Recherche ( CIR ) et les aides et subventions ;
la livraison de Certificat d’économie d’énergie ( CEE ) ou autre dispositif national de certificats blancs ;
l’optimisation de la fiscalité locale et nationale ;
l’optimisation de la fiscalité des entreprises ;
l’optimisation de la fiscalité sur l’énergie ;
l’optimisation des charges sociales ;
l’optimisation des charges locatives ;
l’optimisation de l’affectation des ressources de la société (télécommunications, flotte automobile, intérim, dépenses énergie, assurances, etc.)
le recouvrement d’indemnités journalières des salariés des Clients ( IJSS ), du versement de la contribution Versement Transport ( VT ) auxquelles sont soumis des Clients, la gestion des visites médicales ( VM ), des formations et des déclarations d’accidents du travail ( AT ) ;
la fourniture et la maintenance de logiciels ;
l’analyse et le contrôle du traitement des factures et du recouvrement d’espèces.
E. Catégories de personnes concernées : ces catégories sont listées par l’article 5.4 des BCR comme suit :
le personnel des Clients (salariés, travailleurs temporaires, stagiaires, etc.) ;
les partenaires contractuels des Clients ou leurs représentants et leurs Clients potentiels, le cas échéant ;
les tiers susceptibles d’intervenir dans le cadre des Services (en particulier les auxiliaires de justice, représentants nommés par un tribunal, etc.).
F. Catégories de données à caractère personnel transférées : ces catégories sont listées par l’article 5.3 des BCR comme suit :
informations d’identification (prénom, nom de famille, date et lieu de naissance ; numéro de sécurité sociale) ;
données relatives à la vie privée (adresse, coordonnées, nombre d’enfants, situation matrimoniale, etc.) ;
données relatives à la vie professionnelle (intitulé du poste, curriculum vitae, numéro de matricule, informations relatives à la paie, informations relatives à la formation, etc.) ;
données relatives à la vie économique et financière (numéro d’identification fiscale, etc.) ;
données relatives à la santé (informations relatives à un accident du travail et aux arrêts maladie, etc.).
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de la justice d'une demande d'avis concernant un projet de décret relatif à la conservation des contenus retirés ou rendus inaccessibles par les opérateurs de plateforme en ligne soumis à des obligations renforcées en matière de lutte contre la diffusion publique de contenus illicites ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données, ci-après RGPD ) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu l'article 6-4 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique ;
Sur la proposition de M. Bertrand du MARAIS, commissaire, et après avoir entendu les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
L'article 6-4 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN), dans sa rédaction résultant de l'article 42 de la loi n° 2021-1109 du 24 août 2021 confortant le respect des principes de la République, introduit une obligation pour les opérateurs de plateforme en ligne de concourir à la lutte contre la diffusion publique des contenus illicites.
Les contenus illicites sont définis au troisième alinéa du 7° du I de l'article 6 de la LCEN ainsi qu'aux troisième et quatrième alinéas de l'article 33 de la loi du 29 juillet 1881 sur la liberté de la presse : il s'agit notamment des contenus à caractère terroriste, raciste, homophobe et/ou pédopornographique.
A cette fin, les opérateurs de plateforme en ligne ayant une activité de stockage de contenus doivent conserver temporairement les contenus qui leur ont été signalés comme illicites et qu'ils ont retirés ou rendus inaccessibles, aux fin de les mettre à la disposition de l'autorité judiciaire pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales.
L'article 6-4-1°-c de la LCEN prévoit que la durée et les modalités de conservation de ces contenus sont définies par un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés (ci-après la Commission ).
C'est dans ce contexte que la Commission a été saisie par le ministère de la justice du présent projet de décret.
Sur la durée de conservation :
L'article 1er du projet de décret prévoit que la durée de conservation des contenus signalés comme illicites est de six mois à compter de la date à laquelle ils ont été retirés ou rendus inaccessibles.
Le ministère a fait correspondre cette durée de conservation avec celle fixée pour les contenus à caractère terroriste qui ont été retirés ou auxquels l'accès a été bloqué conformément au règlement (UE) 2021/784 du Parlement européen et du Conseil du 29 avril 2021 relatif à la lutte contre la diffusion des contenus à caractère terroriste en ligne entré en application le 7 juin 2022. En effet, l'article 6 de ce règlement dispose que les fournisseurs de services d'hébergement conservent les contenus à caractère terroriste qui ont été retirés ou auxquels l'accès a été bloqué pendant six mois à compter du retrait ou du blocage.
La Commission prend acte des précisions du ministère selon lesquelles le délai de conservation des contenus illicites est nécessaire et suffisant pour permettre à l'autorité judiciaire d'accéder aux contenus pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales.
La Commission considère que les contenus retirés ou rendus inaccessibles par les opérateurs de plateforme en ligne sont conservés pendant une durée qui n'excède pas la durée nécessaire compte tenu des finalités pour lesquels ils sont stockés, conformément à l'article 5-1-e du règlement général sur la protection des données (RGPD).
Sur les modalités de conservation des contenus retirés ou rendus inaccessibles :
L'article 2 du projet de décret indique que les modalités de conservation des contenus doivent s'effectuer :
dans le respect des prescriptions relatives à la sécurité des informations prévues à l'article 4-6° de la loi du 6 janvier 1978 modifiée et à l'article 32 du RGPD ;
dans les conditions garantissant une extraction dans les meilleurs délais pour répondre à une demande des autorités judiciaires.
La Commission considère que la simple référence à la nécessité de respecter le cadre légal relatif à la protection des données à caractère personnel et de garantir une extraction rapide des données ne permet pas de satisfaire aux exigences de l'article 6-4-1°-c de la LCEN qui prévoit que les modalités de conservation de ces contenus sont définies par décret. Ainsi, en l'état, les dispositions de l'article 2 du projet de décret apparaissent insuffisantes.
Il appartient aux opérateurs de plateforme en ligne de veiller à ce que les contenus conservés fassent l'objet de garanties techniques et organisationnelles appropriées. Ces garanties doivent permettre que les contenus conservés ne soient mis à disposition qu'aux seules fins prévues à l'article 6-4-1°-c de la LCEN et que la protection des données à caractère personnel concernées bénéficie d'un haut niveau de sécurité.
La Commission invite donc le ministère à compléter le projet de décret afin de préciser que les opérateurs de plateforme doivent conserver séparément les contenus retirés ou rendus inaccessibles des autres données dont ils disposent et qui sont de nature à permettre l'identification des utilisateurs qui ont mis en ligne ces contenus, dans une base dédiée à laquelle seules les personnes spécifiquement habilitées pourront accéder. Elle demande également au ministère de préciser dans le projet de décret qu'il appartient aux opérateurs de plateforme d'assurer une traçabilité des accès et des actions des personnes habilitées.
La présidente,
M.-L. Denis
La Commission nationale de l'informatique et des libertés,
Saisie par le ministère des finances, de l'économie et de la relance d'une demande d'avis concernant un projet de décret modifiant le décret n° 2014-1486 du 10 décembre 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé logiciel de rédaction des procédures de la douane judiciaire (LRPDJ) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de M. Philippe-Pierre CABOURDIN, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission a été saisie d'une demande d'avis portant sur un projet de décret modifiant le décret n° 2014-1486 du 10 décembre 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé logiciel de rédaction des procédures de la douane judiciaire (LRPDJ).
Le LRPDJ permet aux services de douane chargés de missions judiciaires, de rédiger les procès-verbaux des actes qu'ils sont habilités à réaliser sur le fondement de l'article 28-1 du code de procédure pénale (CPP). Il contribue de manière plus globale à la conduite de ces procédures, ainsi qu'à leur homogénéité.
A cet égard, la Commission relève que les modalités d'application de ce traitement sont pour partie similaires à d'autres logiciels de rédaction de procédures, sur lesquels elle a déjà été amenée à se prononcer, et plus particulièrement les traitements de logiciels de rédaction des procédures de la gendarmerie et de la police nationales (LRPGN et LRPPN). Ainsi, elle prend acte de ce que le projet de décret vise à doter le LRPDJ de fonctionnalités similaires à celles de ces logiciels. Le LRPDJ clarifie par ailleurs la mise en œuvre pratique du traitement au regard de ses finalités, à savoir l'exploitation de données dans le cadre de procédures judiciaires.
Cette saisine, qui fait suite à un premier avis de la Commission en date du 16 janvier 2014, vise notamment à élargir le traitement aux services fiscaux habilités à effectuer des enquêtes judiciaires, les finalités de ce logiciel et à mettre à jour les dispositions relatives à l'exercice des droits.
Dans ce contexte, la Commission soulève les observations suivantes.
La Commission émet des réserves sur la pertinence du traitement de certaines données. Elle regrette l'absence de précision quant au processus utilisé pour l'anonymisation des données à des fins statistiques et recommande l'usage d'un procédé qui garantit une anonymisation effective. Elle rappelle la nécessité de mettre en œuvre un mécanisme d'effacement périodique des données. Enfin, elle émet des réserves sur les modalités d'accès à l'archivage prévu.
Sur les finalités du traitement et ses utilisateurs :
Le projet de décret prévoit que le LRPDJ vise à assurer la clarté et l'homogénéité de la rédaction des procédures judiciaires qu'ils [les officiers de douane judiciaire relevant de l'article 28-1 du CPP (ODJ) et les agents des services fiscaux relevant de l'article 28-2 du CPP (OFJ)] ont compétence pour mettre en œuvre du code en vertu du code de procédure pénale
 et permettre l'exploitation des informations nécessaires à la conduite des procédures judiciaires, en vue de leur transmission aux autorités judiciaires chargées de les exploiter  par ces agents.
En premier lieu, le projet de décret vise à élargir l'utilisation du traitement aux agents des services fiscaux relevant de l'article 28-2 du [CPP] .
La Commission relève que la modification introduite par le projet de décret a pour conséquence d'étendre le traitement LRPDJ en intégrant les attributions préexistantes des OFJ, et dès lors des procédures qui seront traitées au sein du LRPDJ. Elle souligne que cette évolution a notamment pour objectif de tenir compte de la création du service d'enquêtes judiciaires des finances, qui vise à augmenter les capacités d'enquête à disposition de l'autorité judiciaire en matière fiscale et douanière.
A cet égard, le ministère a précisé que les deux catégories d'agents (de la douane et des services fiscaux) ne seront pas amenées à accéder aux mêmes données dans la mesure où ils ne sont pas habilités à poursuivre les mêmes infractions (sauf dans l'hypothèse où ils seraient désignés sur une même affaire dans leur champ de compétence commun), et interviennent ainsi chacun dans leur domaine de compétence. La Commission souligne que le traitement ne devra être utilisé que dans les strictes limites des articles 28-1 et 28-2 du CPP.
Ces précisions apportées, la Commission estime que l'évolution projetée est légitime.
En deuxième lieu, l'article 1er du projet de décret précise les finalités du traitement, et notamment celles qui visaient initialement la possibilité de mettre en relation ce fichier avec d'autres fichiers. Il est désormais prévu que le LRPDJ a pour finalité de  permettre la collecte des informations nécessaires à la conduite de ces procédures, en vue de leur transmission aux autorités judiciaires chargées de les exploiter .
La Commission relève tout d'abord que cette évolution vise à tenir compte des remarques qu'elle a notamment formulées dans sa délibération n° 2021-061 du 27 mai 2021 relative au LRPGN et plus particulièrement celle visant à considérer que la finalité initialement retenue correspondait davantage à une fonctionnalité technique, au service d'autres finalités. Dans son avis, la Commission avait en outre souligné que son caractère imprécis ne permettait d'appréhender ni les conditions de mise en œuvre du traitement, ni son périmètre.
En l'espèce, et au regard tant des précisions apportées par le Conseil d'Etat dans sa décision du 13 avril 2021 que des observations formulées dans de précédentes délibérations quant aux conditions de mise en œuvre des traitements mettant en œuvre des opérations d'interconnexion, de mise en relation ou de rapprochement, la Commission estime que les modifications projetées des finalités du traitement LRPDJ n'appellent pas d'observations dans son principe.
En troisième lieu, le projet de décret ajoute comme finalité l'élaboration de statistiques, en vue de suivre l'activité des services. Malgré les précisions du ministère selon lesquelles ces données seront anonymes, la Commission rappelle que l'anonymisation répond à des critères spécifiques. A cet égard, l'absence de données nominatives et la seule présence de données chiffrées ne suffisent pas à établir le caractère anonyme d'une donnée. Par ailleurs, le responsable de traitement doit réaliser une analyse permettant de démontrer que les processus d'anonymisation respectent les trois critères définis par l'avis n° 5/2014 du groupe de l'article 29 (qui correspond aujourd'hui au Comité européen de la protection des données). A cet égard, un ensemble de données pour lequel il n'est possible ni d'individualiser, ni de corréler ni d'inférer des informations est a priori anonyme. Dans l'hypothèse où ces critères ne seraient pas réunis, une étude doit être menée afin d'identifier les risques de réidentification des personnes concernées. La Commission recommande au ministère de retenir un procédé qui permette une anonymisation effective.
Sur la nature des données traitées :
Les données à caractère personnel enregistrées dans le traitement étaient mentionnées dans l'annexe au décret du 10 décembre 2014 susvisé modifié par l'actuel projet de décret, et ne font pas l'objet de modifications. Elles concernent les personnes physiques mises en cause, les victimes, les témoins et plaignants, les personnes morales mises en cause ou victimes, ainsi que les faits visés par l'enquête, les lieux, la date de l'infraction et les informations relatives aux objets, y compris celles qui sont indirectement nominatives. La Commission relève que la liste des données intègre la mention de tous les faits objets de l'enquête : si cette expression est particulièrement large, elle est admissible au regard de la nature particulière du traitement en cause, qui est un logiciel permettant la rédaction d'actes relatifs à toutes les procédures en cause.
La Commission relève néanmoins que de nombreuses données concernant les personnes mises en cause sont collectées. Elle considère que la collecte de certaines de ces données ne semble a priori pas systématiquement pertinente au regard des finalités du traitement. Ce sont notamment les informations relatives aux titres et moyens de transport, à la situation militaire et aux diplômes. Dès lors, ces données peuvent être ponctuellement traitées lorsqu'elles sont pertinentes au regard des finalités du traitement.
Comme elle l'avait déjà fait dans sa délibération précédente, elle rappelle que l'article 4-3° de la loi du 6 janvier 1978 modifiée impose que seules les données pertinentes, adéquates et non excessives soient enregistrées dans le traitement LRPDJ pour chaque procédure judiciaire et que toutes les informations mentionnées à l'annexe au projet de décret ne sauraient être systématiquement collectées.
Sur la durée de conservation des données :
A titre liminaire, la Commission rappelle que lorsqu'elle s'est prononcée sur la création du traitement en 2014, le ministère avait indiqué qu'un mécanisme d'effacement automatique des informations devait être prévu afin de s'assurer que les données à caractère personnel ne seraient pas conservées à l'issue de la transmission des documents à l'autorité judiciaire. Toutefois, le ministère a précisé que le mécanisme n'est toujours pas effectif, et ne le sera qu'en 2023. A cet égard, la Commission insiste sur le caractère impératif de cette mise en œuvre dans les plus brefs délais. Elle rappelle qu'elle se réserve la possibilité d'exercer son pouvoir de contrôle afin de s'assurer de la mise en œuvre d'un mécanisme effectif de suppression des données.
Le projet de décret prévoit dorénavant que les données pourront être conservées en base d'archives pour une durée de cinq ans, à l'issue de la transmission de la procédure à l'autorité judiciaire. Le ministère précise que cette évolution vise à faciliter la réouverture d'une enquête.
En premier lieu, la Commission souligne qu'une fois transmises à l'autorité judiciaire, les données font l'objet d'un enregistrement au sein d'autres traitements, pour des finalités spécifiques. Au regard de ces éléments, et en l'absence de précisions complémentaires, la Commission estime que la conservation de ces données au-delà de leur transmission à l'autorité compétente n'est pas nécessaire.
En second lieu, le ministère a précisé que lorsque la procédure est archivée, les données de cette dernière peuvent être consultés en effectuant une recherche à l'aide du moteur de recherche de LRPDJ par l'agent habilité à traiter l'affaire. La Commission estime que les données faisant l'objet d'un archivage intermédiaire doivent rester inaccessibles pour les utilisateurs et ne devraient être consultables via un moteur de recherche que par des profils spécialement habilités et restreints, tels qu'un administrateur par exemple.
Compte tenu de ces éléments, la Commission considère que les modalités de mise en œuvre de l'archivage prévu par le projet de décret reviendraient à conserver ces informations en base active même après transmission à l'autorité judiciaire. En conclusion, elle considère que ces modalités, fixent une durée de conservation des données excessive au regard des finalités pour lesquelles elles sont traitées.
Sur les interconnexions, mises en relation et rapprochements :
De manière générale, le ministère a précisé que l'alimentation par le LRPDJ des traitements d'antécédents judiciaires (TAJ) et de Cassiopée (qui permet l'enregistrement de données relatives aux procédures judiciaires au sein des tribunaux judiciaires) doit permettre d'assurer la transmission des procédures à l'autorité judiciaire afin d'en assurer le suivi. Cette mise en relation doit ainsi permettre de satisfaire les modalités de mise en œuvre des finalités du traitement LRPDJ. Une mise en relation est également projetée avec le dossier pénal numérique mis en œuvre par le ministère de la justice.
De manière générale, la Commission rappelle que les mises en relation doivent respecter les dispositions régissant les autres traitements. Cela impose de s'assurer que l'opération est conforme aux finalités, aux données et aux accédants et destinataires fixés par les actes réglementaires concernant ces traitements. La Commission estime que c'est le cas en l'espèce.