La Commission nationale de l'informatique et des libertés,
Saisie par la Présidente de la Commission nationale de  l’informatique et des libertés d’une demande d’autorisation concernant la mise  en œuvre par la Commission nationale de   l’informatique et les libertés de traitements de données à caractère  personnel lui permettant d’assurer les missions qui lui sont confiées au titre  de la loi du 6 janvier 1978 modifiée ;
Vu la convention n° 108 du Conseil de l’Europe pour la  protection des personnes à l’égard du traitement automatisé des données à  caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du  24 octobre 1995 relative à la protection des personnes physiques à l’égard du  traitement des données à caractère personnel et à la libre circulation de ces  données ;
Vu le code du patrimoine ;
Vu le code pénal, notamment ses articles 226-16 à 226-24 ;
Vu le code des relations entre le public et l’administration,  notamment son article L. 114-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à  l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3 °;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour  l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique,  aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Eric PERES, vice-président, et  après avoir entendu les observations de M. Jean-Alexandre   SILVY, commissaire du Gouvernement,
Émet l’avis suivant :
La Commission nationale de l’informatique et des libertés a été saisie d’une demande d’autorisation dont l’objet est de modifier les traitements visés par la délibération n° 2005-161 du 21 juin 2005 autorisant les services de la Commission à mettre en œuvre un traitement de données à caractère personnel relatif à la gestion des déclarations, demandes d’avis et demandes d’autorisation de traitements de données personnelles et des saisines qui lui sont adressées.
Cette demande vise notamment à tenir compte de la désignation par la Commission d’un correspondant à la protection des données à caractère personnel, au sens de l’article 22 de cette même loi, et de la mise à jour des traitements devant désormais faire l’objet d’une inscription à son registre.
Ces traitements permettent à la Commission d’exercer les différentes missions dont elle est investie par la loi du 6 janvier 1978 modifiée. Ils sont susceptibles de porter notamment sur des données relatives aux infractions, condamnations ou mesures de sûreté, au sens de l’article 9 de ladite loi. Il y a dès lors lieu de faire application des dispositions prévues à l’article 25-I-3° de cette même loi, qui soumettent à autorisation de la Commission de tels traitements.
Plus précisément, les traitements projetés ont pour finalités de lui permettre :
-       de recevoir et d’instruire les réclamations, pétitions et plaintes relatives à la mise en œuvre de traitements de données à caractère personnel, conformément aux dispositions de l’article 11-2°-c) de la loi du 6 janvier 1978 modifiée ;
-       de répondre aux demandes d’accès concernant les traitements relevant des articles 41 et 42 de la loi   Informatique et Libertés  ;
-       de procéder ou de faire procéder, dans les conditions prévues à l’article 44 de cette même loi, à des vérifications portant sur tout traitement de données à caractère personnel ;
-       d’assurer le suivi et la gestion des mises en demeure et des procédures de sanction devant la formation restreinte, conformément à l’article 45 de cette même loi ;
-       de répondre aux réquisitions judiciaires ou demandes d’avis des autorités judiciaires et de procéder, le cas échéant, à des dénonciations au Parquet ;
-       d’assurer le suivi et la gestion des procédures contentieuses devant les juridictions concernées.
Les traitements mis en œuvre doivent également permettre l’élaboration de statistiques sur l’activité des services et les types de dossiers traités, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Les données traitées sont relatives à l’identification (nom, prénom et adresse) et à la vie professionnelle (situation professionnelle) des personnes concernées par les traitements (responsables de traitements et responsables des lieux servant à la mise en œuvre d’un traitement, ou leurs représentants, requérants, plaignants et mis en cause). Ces traitements peuvent également comporter l’ensemble des informations transmises, de manière déclarative, par les requérants ou plaignants, ainsi que les données à caractère personnel figurant sur les documents ou supports d’information dont les membres et agents de la Commission peuvent prendre copie ou obtenir communication dans l’exercice de leurs missions, conformément aux dispositions des articles 41 et 44 de la loi du 6 janvier 1978 modifiée.
En outre, les données traitées sont relatives à l’identification (nom, prénom) et à la vie professionnelle (situation professionnelle) des membres et agents de la CNIL, ainsi qu’aux décisions et aux actes d’instruction et de procédure produits dans le cadre de leurs missions.
Parmi l’ensemble de ces données peuvent ainsi figurer des données relatives à des infractions, condamnations et mesures de sûreté, et notamment à des manquements à la loi  Informatique et Libertés , qui peuvent par ailleurs être constitutifs des infractions pénales prévues et réprimées aux articles 226-16 à 226-24 du code pénal, imputés soit à des personnes morales dont les représentants sont identifiés ou identifiables, soit à des personnes physiques.
L’article 9-1° de ladite loi énonce à cet égard que les traitements portant sur de telles données peuvent être mis en œuvre par les autorités publiques agissant dans le cadre de leurs attributions légales. Tel est le cas de la Commission, à laquelle l’article 11-2° de la loi  Informatique et Libertés  confie la mission de veiller à ce que les traitements de données à caractère personnel soient mis en œuvre conformément aux dispositions de ladite loi.
Les durées de conservation de ces données correspondent aux durées d’utilité administrative telles que définies dans le cadre de l’instruction du 20 décembre 2011 cosignée par la Présidente de la Commission et le directeur des Archives de France.
À l’expiration de ces durées, les données sont soit reversées aux Archives de France soit détruites de manière sécurisée, dans les conditions prévues au code du patrimoine.
Les personnes accédant directement aux données sont, dans la limite de leurs attributions respectives et du besoin d’en connaître, les membres et agents habilités de la Commission.
Peuvent également être destinataires de ces données, dans le cadre des missions qui leur sont confiées, le commissaire du Gouvernement, en application des dispositions de l’article 18 de la loi du 6 janvier 1978 modifiée et de l’article 73 du décret n° 2005-1309 du 20 octobre 2005 modifié, le Procureur de la République, conformément à l’article 11-2°-e) de la loi du 6 janvier 1978 modifiée et à l’article 40 du code de procédure pénale, ainsi que les autorités judiciaires ou administratives saisies de litiges en lien avec l’exercice des missions de la Commission.
En outre, dans l’hypothèse où une demande qui ne relève pas de sa compétence est adressée à la Commission, cette dernière la transmet, en application de l’article L. 114-2 du code des relations entre le public et l’administration, à l’administration compétente et en avise l’intéressé.
Les personnes concernées par les traitements sont informées de l’ensemble des mentions prévues à l’article 32 de la loi du 6 janvier 1978 modifiée, par le biais de mentions spécifiques figurant sur les documents qui leur sont remis lors des missions de contrôle sur place, sur les courriers qui leur sont adressés, ainsi que sur le site internet de la Commission.
Les droits d’opposition pour motifs légitimes, d’accès et de rectification, prévus aux articles 38 à 40 de cette même loi, s’exercent auprès du correspondant à la protection des données à caractère personnel de la Commission, dans les conditions prévues à ces articles et sous réserve du respect des secrets protégés ou garantis par des dispositions légales.
Des mesures de sécurité logiques et physiques sont mises en œuvre pour préserver la sécurité des données enregistrées dans les traitements et empêcher toute utilisation détournée ou frauduleuse de celles-ci, conformément aux dispositions de l’article 34 de la loi du 6 janvier 1978 modifiée.
Chaque utilisateur dispose ainsi d’un identifiant qui lui est propre afin d’accéder à ces traitements. L’authentification des utilisateurs s’effectue à partir d’un mot de passe régulièrement renouvelé, strictement personnel et de complexité minimale suffisante.
Des profils d’habilitation sont également prévus afin de gérer les accès aux données en tant que de besoin. Les permissions d’accès sont supprimées pour tout utilisateur n’étant plus habilité.
Les traitements comportent une fonctionnalité de journalisation des opérations de consultation, modification, création, suppression, permettant d’identifier l’utilisateur à l’origine de l’opération et de procéder à l’analyse de celles-ci. Les données relatives à ces opérations sont conservées six mois.
Ces mesures font l’objet de mises à jour au regard de la réévaluation régulière des risques.
Compte tenu de ce qui précède et conformément à la présente délibération, la  Commission nationale de l’informatique et les libertés est autorisée à mettre en œuvre les traitements de données à caractère personnel lui permettant d’assurer les missions qui lui sont confiées au titre de la loi du 6 janvier 1978 modifiée.
La délibération n° 2005-161 du 21 juin 2005 portant autorisation de la mise en œuvre par les services de la Commission nationale de l’informatique et des libertés d’un traitement de données à caractère personnel relatif à la gestion des déclarations, demandes d’avis et demandes d’autorisation de traitements de données personnelles et des saisines adressées à la Commission est abrogée.
Pour La  Présidente
Le Vice-Président délégué,
Marie-France  MAZARS