(Demande d’autorisation n° 1840457)
La Commission nationale de l’informatique et des libertés ;
Saisie par la Province Sud de Nouvelle-Calédonie d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des constats d’infractions à la réglementation de la Province Sud, en matière environnementale et le suivi des procédures mises en œuvre à la suite de ces constats ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi organique n° 99-209 du 19 mars 1999 modifiée, notamment ses articles 20 et 86 ;
Vu le code de l’environnement de la Province Sud de Nouvelle-Calédonie ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe GOSSELIN, rapporteur, et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement ;
Formule les observations suivantes :
Sur le responsable du traitement
Le responsable de traitement est la Province Sud de Nouvelle Calédonie (ci-après la Province Sud).
Sur la finalité
Les finalités du présent traitement sont la gestion des constats d’infractions à la réglementation de la Province Sud en matière environnementale et le suivi des procédures mises en œuvre à la suite de ces constats.
Conformément à l’article 20 de la loi organique n° 99-209 du 19 mars 1999 modifiée, relative à la Nouvelle-Calédonie, qui prévoit que « chaque province est compétente dans toutes les matières qui ne sont pas dévolues à l'Etat ou à la Nouvelle-Calédonie par la présente loi, ou aux communes par la législation applicable en Nouvelle-Calédonie », la Province Sud dispose de compétences propres en matière de règlementation environnementale.
L’article 86 de ladite loi précise en outre que « les agents assermentés de la Nouvelle-Calédonie, des provinces et des communes peuvent constater les infractions aux réglementations de la Nouvelle-Calédonie, des provinces et des communes dans les conditions fixées par la loi ».
Dès lors, afin de rechercher et constater les infractions à la réglementation locale en matière environnementale, des fonctionnaires et agents assermentés et commissionnés, conformément à l’article 216-1 du code de l’environnement de la Province Sud susvisé, sont en charge de rédiger et éditer des procès-verbaux avant de les transmettre à l’autorité judiciaire compétente.
Le présent traitement, dénommé traitement des procédures d'application de la réglementation (TRAPAR), permet ainsi de gérer les constats d’infraction en facilitant la rédaction et l’édition des procès-verbaux. Une fois ces documents transmis à l’autorité judiciaire, il permet en outre de suivre les procédures pénales qui seront mises en œuvre et d’enregistrer leur issue.
Plus précisément, afin de d’assurer le suivi de la procédure, le traitement permet de conserver la date de transmission de la procédure à l’autorité judiciaire et de centraliser :
Au regard de ces éléments, la Commission considère qu’il y a lieu de faire application des articles 9-1° et 25-I-3° de la loi du 6 janvier 1978 modifiée qui soumettent à autorisation les traitements de données relatives aux infractions, condamnations et mesures de sûreté.
les avis à victimes destinés à les informer de l'ouverture d'une procédure, de leur droit de se constituer partie civile et des modalités d'exercice de ce droit ;
les délibérations habilitant le président de l’assemblée de la Province Sud à porter plainte et à se constituer partie civile ;
les décisions prononcées par les juridictions pénales.
La Commission estime que la finalité poursuivie par le traitement est déterminée, légitime et explicite, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données traitées
Sont enregistrées dans le traitement TRAPAR des données relatives :
Concernant la nationalité des auteurs d’infractions, le responsable de traitement a indiqué ne pas traiter systématiquement cette donnée. Celle-ci sera en effet enregistrée uniquement lorsqu’elle permet de prendre en considération le caractère temporaire de sa présence sur le territoire de la Province Sud ou, le cas échéant son besoin de bénéficier d’un interprète.
à l’identité de l’auteur de l’infraction (noms, prénom, date et lieu de naissance, noms des représentants légaux pour les mineurs, nationalité, profession et numéro de téléphone) ;
aux infractions commises ;
à la décision de justice.
La Commission considère que cette donnée ne doit pas être traitée car elle n’est pas pertinente pour répondre à ces besoins. En effet, la présence temporaire des personnes concernées ou le besoin d’un interprète ne sont pas nécessairement liés à la nationalité, un ressortissant étranger pouvant par exemple résider de manière permanente sur le territoire de la Province Sud. Elle estime dès lors que le responsable de traitement doit uniquement indiquer, si cela est nécessaire, que la présence de l’auteur de l’infraction est temporaire ou qu’il doit se voir attribuer un interprète.
Concernant la profession, celle-ci peut pour certaines infractions constituer une circonstance aggravante. Il en va notamment ainsi en matière d’usage de matériels irréguliers de pêche, qui constitue une contravention pour les pêcheurs plaisanciers et un délit pour les pêcheurs professionnels.
La Commission relève par ailleurs que le traitement permet la numérisation des décisions dans la base. A cet égard, elle rappelle au responsable de traitement qu’il peut, à l’issue de la durée de conservation des données, conserver une base jurisprudentielle active anonymisée dans l’application métier.
Sous réserve des précédentes observations, elle considère que les données traitées sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
Sur les accédants et destinataires
Accèdent au traitement TRAPAR les agents verbalisateurs de la Province Sud pour les seuls procès-verbaux qu’ils dressent, ainsi que l’agent en charge des relations avec le parquet du Tribunal de Nouméa (« référent parquet »).
Les destinataires des procès-verbaux sont les agents de la brigade de gendarmerie territorialement compétente pour instruire l’enquête relative aux infractions constatées.
A l’issue de l’enquête, le dossier est transmis au procureur de la République.
Des profils d'habilitation sont prévus afin de gérer les accès aux données en tant que de besoin.
Ces destinataires et accédants n’appellent pas d’observations particulières de la Commission.
Sur l’information et le droit d’accès
Concernant l’information des personnes concernées, le traitement ayant pour objet la constatation et la poursuite d’infractions pénales, le responsable de traitement n’est pas tenu de délivrer l’obligation l’information prévue à l’article 32-I de la loi du 6 janvier susvisée, conformément à l’article 32-VI de la même loi.
La Commission prend néanmoins acte que le responsable de traitement s’est engagé à ce que lors de la constatation d’une infraction, l’agent assermenté informe oralement les personnes concernées des droits dont elles bénéficient au titre de la loi du 6 janvier 1978 modifiée.
Les droits d’accès, de rectification et d’opposition pour motif légitime définis au chapitre V de la loi s’exercent par voie postale auprès de la direction de l’environnement de la Province Sud. Ils peuvent également s’exercer par voie électronique.
La Commission estime que ces modalités d’exercice des droits sont satisfaisantes.
Sur les mesures de sécurité
L’accès au service est sécurisé au moyen du protocole HTTPS. Concernant le recours à ce protocole, la Commission recommande d’utiliser la version de TLS la plus à jour possible afin de remédier toutes les vulnérabilités connues. Les accès distants sont sécurisés via un VPN chiffré.
Chaque utilisateur dispose d'un identifiant qui lui est propre. Le responsable de traitement a mis en place une politique de mot de passe conforme aux recommandations de la Commission.
Les documents sont conservés dans un local sécurisé.
Les postes de travail disposent d'un pare-feu et d'un logiciel antivirus. Les logiciels et systèmes d’exploitation sont régulièrement mis à jour.
Des sauvegardes régulières hebdomadaires sont réalisées. Elles sont stockées dans un endroit garantissant leur sécurité et leur disponibilité.
Le matériel remisé est nettoyé de toute donnée à caractère personnel. L'accord de l'utilisateur est recueilli avant toute intervention sur son poste informatique. Les supports de stockage usagés ou en panne font l'objet d'une procédure de destruction ou d'effacement.
Au regard de ces éléments, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur les durées de conservation
Les données traitées sont conservées trois ans si l’infraction constatée constitue un délit et un an si elle constitue une contravention. En cas de recours (appel/pourvoi en cassation) contre la décision de première instance, les données sont conservées jusqu’à l’issue de la procédure.
Le responsable de traitement a prévu un système de purge automatique pour supprimer les données à l’issue de ces délais.
Conformément aux recommandations de la Commission en la matière, les journaux d’accès à l’application sont conservés six mois.
La Commission considère que ces durées de conservation sont conformes à l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Autorise, conformément à la présente délibération, la Province Sud de Nouvelle-Calédonie à mettre en œuvre le traitement susmentionné.
La Présidente
Isabelle FALQUE-PIERROTIN