(Demande d’autorisation n° 1617389)
La Commission nationale de l’informatique et des libertés ;
Saisie par la ville de Lyon d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion et le suivi des dossiers traités par la direction des affaires juridiques ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 9 et 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M Gaëtan GORCE, rapporteur, et après avoir entendu les observations de  M. Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la direction des affaires juridiques (DAJ) de la ville de Lyon.
Sur la finalité
La finalité du présent traitement est la gestion et le suivi des dossiers traites par la direction des affaires juridiques pour la gestion des contentieux administratifs, judiciaires, précontentieux, avis et conseils juridiques.
La DAJ de la ville de Lyon exerce une mission de conseil juridique auprès de l’ensemble des services de la Ville.
Elle effectue dans ce cadre des notes et avis. A ce titre la Commission relève que la DAJ n’a pas de pouvoir décisionnel et que celui relève des services concernés.
La DAJ effectue également un pré-contrôle de légalité des projets de délibérations devant être présentées au Conseil municipal.
La DAJ gère les procédures contentieuses dans lesquelles la ville est impliquée, principalement devant les juridictions administratives et civiles. Elle peut aussi, se constituer partie civile devant les tribunaux répressifs, pour réclamer une réparation de préjudice qu’elle aurait subi à la suite d’une infraction pénale.
Dans ce contexte, la Commission considère qu’il y a lieu de faire application des articles 25-I-3° et 9-1°de la loi du 6 janvier 1978 modifiée qui soumet à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
La Commission estime que la finalité poursuivie est déterminée, légitime et explicite.
Sur les données traitées
Les données collectées sont relatives :
Qualification simplifiée des faits (objet du dossier, nom et prénom du tiers responsable et bref énoncé factuel des faits reprochés).
à l’identification  des agents de la DAJ (nom, prénom) ;
à l’identification des agents des services  de ville ayant saisi la DAJ (nom, prénom, service de rattachement, adresse professionnelle électronique) ;
à l’identification des personnes physiques parties à une procédure (nom, prénom, le cas échéant adresse) ;
aux coordonnées des avocats et auxiliaires de justice (nom, prénom, adresse, numéro de téléphone, adresse électroniques).
Les données relatives aux infractions pénales :
Les données relatives aux informations d’ordre économique et financier : montant de la facture d’un auxiliaire de justice, montant de l’indemnisation demandée, montant des honoraires des avocats, montant des frais irrépétibles.
La Commission considère que ces données sont pertinentes au regard de la finalité poursuivie.
à l’identification  des agents de la DAJ (nom, prénom) ;
à l’identification des agents des services  de ville ayant saisi la DAJ (nom, prénom, service de rattachement, adresse professionnelle électronique) ;
à l’identification des personnes physiques parties à une procédure (nom, prénom, le cas échéant adresse) ;
aux coordonnées des avocats et auxiliaires de justice (nom, prénom, adresse, numéro de téléphone, adresse électroniques).
Les données relatives aux infractions pénales :
Les données relatives aux informations d’ordre économique et financier : montant de la facture d’un auxiliaire de justice, montant de l’indemnisation demandée, montant des honoraires des avocats, montant des frais irrépétibles.
Enfin, la commission prend acte que conformément à ses observations les données ne seront pas conservées au-delà de trois ans après clôture de l’instruction de l’affaire, c’est-à-dire, une fois les délais de recours échus.
La Commission rappelle au responsable de traitement, qu’il peut conserver une base jurisprudentielle active dans l’application métier si les données sont anonymisées.
La Commission observe dans que les données sont conservées dans des conditions conformes à l’article 6-5° de la loi du 6 janvier 1978 modifiée en août 2004
Sur les destinataires
Les destinataires des données sont les personnels dûment habilités du service juridique et contentieux, de la ville de Lyon.
Chacune des personnes habilitée à traiter des données dispose d’un code personnalisé composé d’un identifiant et d’un mot de passe.
Ces destinataires n’appellent pas d’observations de la part de la Commission.
Sur l’information et le droit d’accès
Les personnes concernées par le traitement, seront informées de la finalité du traitement, des destinataires des informations, de l’existence et des modalités d’exercice de leurs droits par l’envoi d’un courrier personnalisé.
Le droit d’accès et de rectification défini au chapitre V de la loi s’exerce par courrier postal auprès de:
Ville de LYON,
Direction des affaires juridiques
1, PLACE DE LA COMEDIE
69205 LYON CEDEX 1
Dans l’hypothèse d’un droit d’accès et de modification du traitement par réalisable par mail, la Commission préconise que  soit créée une adresse mail structurelle plutôt que nominative  exp : droitdacces@mairie-lyon.fr
La Commission estime que ces modalités d’information et d’exercice des droits sont suffisantes.
Sur les mesures de sécurité
La Commission observe que des mesures de protection physique et logique seront mises en œuvre pour préserver la sécurité du traitement et des informations, empêcher toute utilisation détournée ou frauduleuse, notamment par des tiers non autorisés, et préserver l’intégrité des données traitées.
L’authentification des utilisateurs du traitement respecte ses préconisations, et notamment que les mots de passe utilisés sont d’un niveau de complexité suffisant.
Les mesures de sécurité mises en place n’appellent pas d’observation de la part de la Commission.
Autorise, conformément à la présente délibération, la Direction des affaires juridiques de la ville de Lyon à mettre en œuvre le traitement susmentionné.
La Présidente,
Isabelle FALQUE-PIERROTIN