Délibération n° 2017-057 du 9 mars 2017 autorisant la Préfecture de Police de Paris à mettre en œuvre des traitements automatisés de données à caractère personnel ayant pour finalités la numérisation de données contenues dans les archives relatives à la persécution et au génocide des groupes de victimes liées à la Seconde Guerre mondiale et à son contexte historique ; leur intégration à la base de ses collections ; le transfert d’une copie numérique de ces données à ses partenaires, le Mémorial de la Shoah à Paris et le Musée mémorial de l’Holocauste à Washington pour complétude de leurs collections ; et leur mise à disposition des lecteurs de leurs centres de documentation.(Demande d’autorisation n° 1978292)
Nature: Autre autorisation

La Commission nationale de l’informatique et des libertés,
Saisie par la Préfecture de Police de Paris d’une demande d’autorisation concernant des traitements automatisés de données à caractère personnel ayant pour finalités la numérisation de données contenues dans les archives relatives à la persécution et au génocide des groupes de victimes liées à la Seconde Guerre mondiale et à son contexte historique ; leur intégration à la base de ses collections ; le transfert d’une copie numérique de ces données à ses partenaires, le Mémorial de la Shoah à Paris et le Musée mémorial de l’Holocauste à Washington pour complétude de leurs collections ; et leur mise à disposition des lecteurs de leurs centres de documentation ; 
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu l’ordonnance du 9 août 1944 relative au rétablissement de la légalité républicaine sur le territoire continental, notamment ses articles 2 et 3 déclarant « nul et de non effet » certaines législations, notamment pénales, mises en œuvre sous le gouvernement de Vichy ;
Vu le code du patrimoine, notamment son Livre II ;
Vu le code des relations entre le public et l’administration ; 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 8-IV, 9, 25-I-1°, 25-I-3°, 36 et 69 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 24 décembre 2015 portant ouverture d'archives relatives à la Seconde Guerre mondiale ; 
Vu le dossier et ses compléments ;
Sur la proposition de M. Philippe LEMOINE, commissaire, et après avoir entendu Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par la Préfecture de Police de Paris (PP) d’une demande d’autorisation concernant des traitements automatisés de données à caractère personnel contenues dans des archives. Il s’agit d’archives liées à la persécution et au génocide des groupes de victimes de la Seconde Guerre mondiale et à leur contexte historique, détenues par le service de la mémoire et des affaires culturelles de la Préfecture de police de Paris et accessibles dans les conditions prévues par le code du patrimoine.
Dès lors que la finalité des traitements envisagés ne se limite pas à assurer la conservation à long terme des archives publiques, et en l’absence de recueil de l’accord exprès des personnes concernées par ces archives, ces traitements relèvent, en application des dispositions de l’article 36 de la loi du 6 janvier 1978 modifiée, du régime de l’autorisation par la Commission. Ces archives sont en outre susceptibles de comporter des données « sensibles », au sens des articles 8 et 9 de la même loi, dont le traitement, justifié par l’intérêt public, doit être autorisé par la Commission, conformément aux dispositions des 1°) et 3°) du I de l’article 25 de la loi du 6 janvier 1978 modifiée. Enfin, le dispositif envisagé prévoit, au bénéfice du Musée mémorial de l’Holocauste à Washington (the United States Holocaust Memorial Museum - USHMM), un transfert de données hors de l’Union européenne qui doit être également autorisé par la Commission en application de l’article 69 de la loi « Informatique et Libertés ». 
Sur les finalités des traitements :
Le dispositif projeté poursuit des finalités scientifiques et historiques, y compris à titre familial. Il s’agit plus précisément de :
numériser les archives relatives à la persécution et au génocide de groupes de victimes pendant la Seconde Guerre mondiale et à leur contexte historique ;
construire un instrument de recherche adapté à ces collections numérisées, avec l’aide notamment de l’USHMM ;
les intégrer aux collections de la Préfecture de Police de Paris, gérées par le service de la mémoire et des affaires culturelles en charge des archives ;
les mettre à disposition pour consultation au sein des centres de documentation du Mémorial de la Shoah à Paris et de l’USHMM, notamment accessibles depuis un intranet sécurisé.
Outre la copie remise au Mémorial de la Shoah à Paris, une copie de l’ensemble des données concernées fera également l’objet d’un transfert aux États-Unis d’Amérique, à destination de l’USHMM, dans des conditions prévues par convention entre ces partenaires, fixant notamment les modalités d’intégration aux collections et de diffusion respectives dans les centres de documentation de ces trois organismes.
Les archives qui concernent la persécution et le génocide de groupes de victimes pendant la Seconde Guerre mondiale revêtent un intérêt historique capital. Ces archives constituent un témoignage permanent de la persécution et du génocide perpétré à l’encontre de certains groupes de population. Il s’agit d’un patrimoine commun qui doit être conservé et rendu accessible en application du code du patrimoine.
Cette nécessité historique et scientifique ne doit toutefois porter aucun nouveau préjudice aux personnes concernées par cette tragédie, dont les données personnelles sont contenues dans les archives conservées par les services publics français d’archives, ou à leurs ayants-droit.
Dans ce contexte, plusieurs garanties doivent être mises en œuvre. À cet égard, la Commission relève que les conventions à conclure entre les partenaires précités fixent notamment les modalités d’intégration aux collections et de diffusion respectives dans les centres de documentation de ces trois organismes. Le Mémorial de la Shoah et l’USHMM s’engagent ainsi à ne pas délivrer de copie, numérique ou papier, directement à leurs lecteurs et à renvoyer les utilisateurs de leurs centres de documentation auprès du service français détenteur des documents originaux, afin d’en obtenir copie et licence d’usage adaptées à la demande de réutilisation.
En outre, il ne pourra être fait aucune utilisation commerciale des données à caractère personnel contenues dans les archives concernées et le Mémorial de la Shoah et l’USHMM s’engagent à mettre en œuvre des mesures de sécurité de nature à respecter les limites d’usages prévues dans ces conventions. 
La Commission considère dès lors que ces finalités sont déterminées, explicites, et légitimes, conformément aux dispositions de l’article 6-2° de la loi du 6 janvier 1978 modifiée. 
Sur la nature des données traitées :
Sont concernées les données à caractère personnel contenues dans des archives conservées par le responsable de traitement et liées à la persécution et au génocide de groupes de victimes pendant la Seconde Guerre mondiale et à leur contexte historique. Ces archives sont accessibles auprès du service public en charge des archives de la Préfecture de police de Paris, dans les conditions prévues par le code du patrimoine et l’arrêté susvisé du 24 décembre 2015.
Ces archives rassemblent un ensemble de documentations initialement produites ou détenues par les brigades spéciales des renseignements généraux de la Préfecture de police de Paris et autres services de police qui, à l’époque, furent notamment en charge des questions dites « d’épuration ». Ces archives concernent ainsi principalement des personnes recherchées ou arrêtées pendant la Seconde guerre mondiale, mais également des tiers ayant pu alerter les pouvoirs publics en place et les agents administratifs alors en charge d’instruire ces dossiers.
Plus précisément, il s’agit principalement de données relatives :
à l’identité civile des personnes concernées : nom, surnom/pseudonyme, prénom, adresse, photographie ou description physique, dates et lieux de naissance, de mariage, de décès ;
à la vie personnelle : habitudes de vie et situation familiale, filiation, relations sociales dont l’appartenance, réelle ou supposée, à un réseau de la résistance ;
à la vie professionnelle : situation professionnelle, scolarité, formation et distinction ;
à la vie militaire : fonction et grade, régiment, corps d’armée, distinction, fin de carrière (réformé, désertion, etc.) ;
aux informations d’ordre économique et financier : déclarations de patrimoine, mobilier et immobilier, description et référence de véhicule utilisé ;
à la santé : pathologies, affections, situations et comportements à risques ;
aux origines raciales ou ethniques, aux opinions philosophiques, religieuses, politiques, à l’appartenance syndicale et à la vie sexuelle, réelles ou supposées ;
et aux infractions, condamnations et mesures de sûreté.
Au sein des archives concernées, peuvent figurer des éléments communiqués par un tiers imputant, à des personnes physiques nommément citées ou indirectement désignées, des faits susceptibles d’être pénalement sanctionnés par les lois alors en vigueur, dont la révélation publique pourrait porter préjudice aux personnes concernées ou à leurs ayants-droit.
Peuvent en outre figurer les motifs d’arrestation des personnes concernées, issus des législations établies pendant l’Occupation et déclarées nulles lors du rétablissement de la légalité républicaine, qui peuvent comporter des données relevant des articles 8 et 9 de la loi « Informatique et Libertés ». 
Conformément à l’arrêté précité du 24 décembre 2015, l’intégralité des données conservées dans ces archives en application du code du patrimoine sont librement communicables » au sens du code des relations entre le public et l’administration. 
Au regard de l’intérêt public que représentent ces archives liées à la persécution et au génocide de groupes de victimes pendant la Seconde Guerre mondiale et leur traitement à des fins de recherche et de commémoration de ces périodes historiques, et sans valoriser les fondements juridiques désormais condamnés par le Législateur, la Commission considère que ces données, y compris celles relatives aux dénonciations et aux motifs d’arrestation, sont adéquates, pertinentes et non excessives, conformément à l’article 6-3° de la loi du 6 janvier 1978 modifiée.
S’agissant de l’indexation de ces données, outre l’éventuel financement apporté par ses partenaires, la Préfecture de police indique que l’instrument de recherche sera réalisé par ses soins, sous le format d’une base de données Excel, et transmis avec la copie numérique des archives concernées.
Dans la mesure où les données rendues accessibles sont contenues dans des archives datant de moins de 120 ans, la Commission estime que le système de recherche disponible dans chaque centre de documentation, en particulier la partie accessible depuis un intranet, devrait être paramétré par la Préfecture, le Mémorial de la Shoah ainsi que l’USHMM, de façon à limiter le caractère intrusif de la recherche. Il conviendrait par exemple d’exiger de renseigner dans le moteur de recherche au minimum deux catégories de données à caractère personnel : un nom et un prénom ou une date ou un lieu de naissance, de déportation, de décès, etc. En cas d’un critère renseigné de façon approximative, une liste de résultats pourrait être fournie au lecteur si celle-ci est cantonnée à une faible fraction du volume d’archives concerné ; l’outil de recherche pourrait également demander au lecteur de renseigner un paramètre complémentaire permettant de restreindre la liste des résultats susceptibles de correspondre à la recherche. Ces caractéristiques contribuent autant à l’accompagnement de la recherche effectuée qu’à la pertinence des données traitées dans ce cadre.
Sur la durée de conservation des données :
Ces données sont contenues dans des archives librement communicables qui, produites ou détenues par le service de la mémoire et des affaires culturelles de la Préfecture de police de Paris, sont sélectionnées pour constituer le patrimoine archivistique français, en application du code du patrimoine.
Sans préjudice des licences d’usage concédées par le service en charge de ces archives, le traitement des données concernées ne sera donc encadré par aucune durée de conservation particulière, sous réserve de l’exercice des droits d’opposition et de rectification des personnes concernées ou de leurs ayants-droit.
Sur les destinataires des données :
Après avoir procédé à leur numérisation et à la construction d’un instrument de recherche, par une équipe interne ou une prestation de service au sens de l’article 35 de la loi « Informatique et Libertés », la Préfecture de police de Paris intègrera les données à sa base de collections et les utilisera dans le cadre de leur mise à disposition de tiers souhaitant consulter ces archives. La liste des reproductions concernées est à définir d’un commun accord entre la Préfecture et le tiers, dans le cadre d’une convention ou licence de réutilisation.
Une copie numérique de ces archives sera mise à disposition gratuitement par le responsable de traitement auprès de ses deux partenaires. 
Dans le cadre de chaque partenariat, la Préfecture est responsable de la sécurité du transfert d’une copie de ces données à destination du Mémorial de la Shoah et de l’USHMM. Le Mémorial de la Shoah et l’USHMM s’engagent principalement à ne pas diffuser ces données sur un réseau de communication ouvert au public. Toute utilisation autre que la consultation en salle de lecture ou intranet sécurisé, à titre d’illustration une exposition ou publication, doit faire l’objet d’une demande spécifique auprès de la Préfecture.
Toute réutilisation à des fins commerciales est interdite, sauf autorisation préalable du service public d’archives détenteur des originaux et modification de la présente formalité effectuée auprès de la CNIL.
Les lecteurs identifiés de chaque centre de documentation, situé dans les locaux de la Préfecture, du Mémorial de la Shoah ou de l’USHMM, peuvent consulter ces données dans le cadre de projet de recherches scientifiques ou historiques, y compris à titre familial. Ils doivent, au préalable, s’engager à ne pas réutiliser les archives auxquelles ils ont auront eu accès dans le cadre de leurs travaux de recherche, sans que cette limite d’usage fasse obstacle à la publication de certains travaux d’analyse.
Tout lecteur souhaitant obtenir une copie, numérique ou papier, ou réutiliser certaines archives en dehors de leur consultation, est mis en relation, par l’intermédiaire du partenaire, avec le la Préfecture de police de Paris.
Chaque destinataire doit enfin prendre toutes les mesures appropriées pour assurer le respect des conditions d’usages concédées par la Préfecture sur ces archives.
La Commission relève enfin que les projets de conventions rappellent les dispositions de la loi « Informatique et Libertés » et renvoient à la présente délibération, ce qui est de nature à rappeler clairement les principales limites d’usages à garantir pour respecter la protection des données personnelles concernées.
Sur l’information et les droits des personnes :
Les personnes concernées par ces fonds d’archives liées à la persécution et le génocide de groupes de victimes pendant la Seconde Guerre mondiale et à leur contexte historique sont, dans une large majorité, décédées. En outre, aucune coordonnée ne permettant de contacter les survivants ou leurs ayants-droit, l’information préalable des personnes concernées se révèle impossible au sens de l’article 32-III de la loi du 6 janvier 1978 modifiée.
Dans le souci de garantir le respect des limites d’usage de ces archives, la Préfecture, le Mémorial de la Shoah et l’USHMM s’engagent à utiliser tous les moyens raisonnables à leur disposition pour accompagner les personnes accédant à cette masse d’archives, notamment en termes d’informations pédagogiques visant à expliquer le contexte de production initiale des documents archivés et la valeur à attribuer aux données qu’ils contiennent, tout particulièrement en présence de données sensibles au sens des articles 8 et 9 de la loi « Informatique et Libertés ».
La Commission invite ces organismes à diffuser une information analogue sur leur site institutionnel et sur tout support utile permettant notamment d’accéder aux bases de données documentaires issues des archives conservées par la Préfecture de police de Paris. Elle demande que soit insérée, de façon lisible, une information précisant notamment qu’en dehors de leur consultation à des fins de recherches scientifiques ou historiques, y compris à titre familial, toute réutilisation est interdite et précisant également les modalités pratiques pour accorder copie et réutilisation.
Le droit d’opposition prévu à l’article 38 de la loi du 6 janvier 1978 modifiée peut être exercé de façon discrétionnaire pour les personnes nommément désignées et avec justification de motif légitime pour tout « ayant-droit ». Toute personne, ayant-droit ou lecteur, peut en outre contribuer à apporter certaines rectifications s’agissant de ces archives en adressant à la Préfecture, ou à l’un de ses partenaires, l’existence d’informations susceptibles de compléter l’histoire de la personne concernée ou du document archivé. Les modalités d’exercice de ces droits « Informatique et Libertés » seront précisées sur les sites internet et physiques du service de la mémoire de la Préfecture de police de Paris, du Mémorial de la Shoah et de l’USHMM.
Pour faciliter l’exercice de ces droits et en garantir l’effectivité conformément aux articles 97 et 99 du décret du 20 octobre 2005 susvisé, la Préfecture relaye à chacun de ses partenaires rendus destinataires d’une copie de l’archive concernée, et inversement, l’information utile de nature à considérer le droit exercé si tel est, le cas échéant, le souhait de la personne concernée.
Sur la sécurité des données et la traçabilité des actions :
La Préfecture de police met en œuvre l’ensemble des mesures appropriées pour sécuriser la numérisation et la construction de l’instrument de recherche adapté aux collections d’archives concernées. Elle met notamment en œuvre des mesures de nature à garantir l’intégrité et la confidentialité des données traitées, tout particulièrement lors de leur transmission à chaque partenaire rendu destinataire de copie de ces archives, conformément aux termes de la convention conclue.
La Commission rappelle qu’à l’instar de salle physique de lecture d’archives ou d’un centre de documentation, l’accès via un intranet sécurisé permet de dématérialiser un centre de documentation tout en réalisant un enregistrement de nature à identifier les lecteurs et à sécuriser, par là-même, l’usage fait des contenus accessibles.
Sans préjudice de droit complémentaire susceptible d’être accordé par la Préfecture de police de Paris, les mesures techniques pour éviter la capture des fichiers lors de leur consultation doivent être entendues comme toute mesure empêchant d’obtenir une copie numérique ou d’imprimer un exemplaire papier.
De telles mesures doivent être mises en œuvre pour encadrer la consultation des données, qu’il s’agisse d’accès sécurisé distant ou des outils accessibles dans les locaux du centre de documentation concerné (par exemple, affichage des règles sur l’interdiction de filmer, de photographier, ou de reproduire ; conditions d’utilisation ou règlement intérieur rédigés en des termes pédagogiques ; etc.).
La Commission considère que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Sur le transfert de données en dehors de l’Union européenne :
La demande d’autorisation de la Préfecture de police de Paris est accompagnée d’une demande de transfert ad hoc, à destination de l’USHMM  situé à Washington aux Etats-Unis d’Amérique, en application de l’article 69 de la loi « Informatique et Libertés ». Cette demande de transfert est adossée à un projet de convention de partenariat rédigé sur la base des clauses contractuelles types adoptées par la Commission européenne en 2001 et 2004. 
Ce projet de convention détaille les caractéristiques du transfert des données à son partenaire, ainsi que les limites de la diffusion et de la réutilisation des données par l’USHMM et par les lecteurs de leurs centres de documentation. Cette convention de coopération sera amendée, le cas échéant, des mesures détaillées par la présente délibération. Cette convention est soumise aux dispositions des lois susvisées du 6 janvier 1978 modifiée et du code du patrimoine, auxquelles elle fait d’ailleurs référence dans ses visas. 
En l’espèce, cette convention de coopération et de transfert ad hoc est justifiée par :
la nature des parties, à savoir la Préfecture et le Musée fédéral américain, organisme autonome dépendant de l’État fédéral américain, et leurs engagements respectifs ;
et l’intérêt historique des données à caractère personnel concernées pour constituer un témoignage permanent des persécutions et génocide perpétrés durant la Seconde Guerre mondiale et son contexte historique.
En application de l’exception à l’interdiction formulée par l’article 68 de la loi « Informatique et Libertés », la Commission considère que les éléments apportés par le projet de convention et le dossier d’instruction des formalités préalables constitué par la Préfecture garantissent un niveau de protection suffisant de la vie privée et des libertés et droits fondamentaux des personnes concernées.
Dans ces conditions, la Commission autorise la Préfecture de police de Paris à mettre en œuvre des traitements automatisés de données à caractère personnel ayant pour finalités la numérisation de données contenues dans les archives relatives à la persécution et au génocide des groupes de victimes liées à la Seconde Guerre mondiale et à son contexte historique ; leur intégration à la base de ses collections ; le transfert d’une copie numérique de ces données à ses partenaires, le Mémorial de la Shoah à Paris et le Musée mémorial de l’Holocauste à Washington pour complétude de leurs collections ; et leur mise à disposition des lecteurs de leurs centres de documentation.
Pour La Présidente
Le Vice-Président Délégué
Marie-France MAZARS