Délibération du bureau de la Commission nationale de l’informatique et des libertés n° MEDP-2023-001 du 13 avril 2023 décidant de rendre publique la mise en demeure n° MED-2023-018 du 3 avril 2023 prise à l’encontre x
Le bureau de la Commission nationale de l’informatique et des libertés, réuni le 13 avril 2023 sous la présidence de Madame Marie-Laure DENIS ;
Siégeaient, outre la Présidente de la Commission, Madame Sophie LAMBREMON, Vice-présidente déléguée, et Monsieur François PELLEGRINI, Vice-président ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 20 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2013-175 du 4 juillet 2013 fixant le règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu la décision n° MED-2023-018 du 3 avril 2023 de la Présidente de la Commission mettant en demeure XX ;
A adopté la délibération suivante :
Par décision du 3 avril 2023, la Présidente de la Commission a, sur le fondement de l’article 20 de la loi du 6 janvier 1978 modifiée, mis en demeure le X, sis X, de faire cesser sous un délai de 6 (six) mois les manquements constatés à cette même loi relatifs à la licéité du traitement, à la distinction entre les données de différentes catégories de personnes concernées et à l’information des personnes.
En application du dernier alinéa du II de l’article 20 la loi du 6 janvier 1978 modifiée, la Présidente de la CNIL a régulièrement convoqué le bureau de la Commission aux fins de statuer sur sa demande de rendre publique sa décision.
Le bureau a été réuni à cette fin le 13 avril 2023.
Après en avoir délibéré, le bureau estime que la publicité se justifie tout d’abord par l’illicéité flagrante d’un fichier mis en œuvre X et ayant notamment pour objet la recherche d’infractions : le système X utilisé par X qui y inscrit de manière systématique les personnes contrôlées X.
En outre, le bureau note le nombre particulièrement important de personnes susceptibles d’être touchées par le traitement en cause et cette surveillance systématique dès lors que les X ont automatiquement accès à de nombreuses informations X. C’est le cas de la plupart des X, et s’agissant des X, seul le propriétaire est intégré au fichier X, mais les agents participant au contrôle peuvent aléatoirement intégrer au fichier tous les occupants. La délégation a constaté que 45 973 personnes dont 392 mineurs étaient intégrés au fichier X.
En outre, la publicité de la décision de mise en demeure se justifie par la nature et la grande sensibilité du traitement concerné qui présente un risque particulier au regard de la vie privée et a pour objet notamment la recherche d’infractions. En effet, X collecte et intègre au fichier X des données en lien avec l’identité et les déplacements des X, notamment des informations sur leur état civil, leur adresse, leur profession, leur fonction X, les informations relatives à la propriété ou à la location X, et leur géolocalisation. La délégation a constaté que le fichier X contenait les copies de 9 646 passeports et de 3051 cartes nationales d’identité.
Le bureau estime également nécessaire d’informer le public sur les manquements constatés et de le sensibiliser, ainsi que les pouvoirs publics, sur la protection des données à caractère personnel dans un contexte de collecte de données à large échelle.
En conséquence, le bureau de la Commission nationale de l’informatique et des libertés décide de rendre publique la décision n° MED-2023-018 de la Présidente de la CNIL mettant en demeure le X.
Le bureau rappelle que cette mise en demeure ne revêt pas le caractère d’une sanction. Si l’organisme se conforme en tout point aux exigences de la mise en demeure dans le délai imparti, celle-ci fera l’objet d’une clôture qui sera également rendue publique.
Enfin, tant la décision de mise en demeure précitée que la présente délibération ne permettront plus d’identifier nommément l’organisme à l’expiration d’un délai de deux ans à compter de leur publication.
La Présidente
Marie-Laure DENIS