Mise en conformité des traitements de données personnelles après injonction de la CNIL

La formation restreinte constate la satisfaction d’injonctions portant sur la licéité du traitement, la durée de conservation, l’exactitude, la sécurité et l’information des personnes. La régularisation de la licéité repose notamment sur l’évolution du décret encadrant le traitement et sur l’effacement des fiches papier. La durée de conservation est maîtrisée par un apurement semi-automatisé prenant pour point de départ l’établissement de chaque fiche.

L’exactitude des données est garantie par une nouvelle fiche navette et la création annoncée d’un réseau de référents dans les parquets. La sécurité résulte de l’accès par carte-agent et code PIN, ainsi que de la suppression des supports conservés hors du fichier. L’information est jugée conforme aux exigences de l’article 104 de la loi n° 78-17 du 6 janvier 1978, sous réserve d’une harmonisation entre l’intitulé affiché et celui de la rubrique accessible en ligne.

Sur le fondement de l’article 44 du décret n° 2019-536 du 29 mai 2019, l’instruction complémentaire a permis de vérifier les mesures mises en œuvre. La formation restreinte clôt la procédure d’injonction, tout en maintenant la publicité de la décision.

⬇️Télécharger la décision version officielle

L’organisme a transmis des justificatifs concernant l’effacement de fiches, la conservation des données, la sécurité des accès et l’information du public. La formation restreinte a considéré les injonctions satisfaites, sous réserve de modifier l’intitulé d’une rubrique en ligne, puis a clôturé et rendu publique la procédure.

Une autorité publique avait fait l’objet d’une précédente délibération lui enjoignant de mettre en conformité plusieurs traitements de données personnelles. Les obligations concernaient la licéité du traitement, l’effacement de certaines fiches, la durée de conservation, l’exactitude des informations, la sécurité des accès et l’information des personnes.

L’organisme a transmis des éléments justificatifs, puis des précisions complémentaires à la rapporteure. Il a notamment produit des mesures relatives à l’effacement des fiches papier, à l’apurement des données arrivées à échéance, à la transmission des décisions judiciaires, à la sécurisation des accès et à l’information du public.

La formation restreinte a examiné ces éléments et a considéré les injonctions satisfaites, sous réserve de modifier l’intitulé d’une rubrique d’information en ligne. Elle a clôturé la procédure et décidé de rendre publique sa délibération.

• Effacer les fiches de signalisation papier et régulariser le cadre juridique du traitement
• Apurer régulièrement les données dont la durée de conservation est dépassée
• Faire courir la conservation à compter de l’établissement de chaque fiche
• Répercuter les décisions judiciaires pour rectifier ou effacer les données inexactes
• Imposer un accès par carte-agent et code PIN
• Supprimer les supports conservés hors du fichier sécurisé
• Faire correspondre l’information affichée avec la rubrique accessible en ligne

• Éléments transmis lors de la procédure de mise en conformité
• Constat de l’effacement des fiches papier au 24 avril 2023
• Description de l’apurement semi-automatisé hebdomadaire
• Nouveau modèle de fiche navette et réseau de référents annoncé
• Instructions imposant la suppression des clichés et relevés externes
• Affiche informative diffusée dans les lieux accessibles au public

L’organisme est considéré comme ayant satisfait aux injonctions et bénéficie de la clôture de la procédure. Une correction demeure nécessaire pour aligner l’intitulé de la rubrique d’information avec celui indiqué au public, tandis que la délibération reste publiée.

• Clôture de la procédure d’injonction
• Maintien des mesures d’apurement et d’effacement
• Maintien de l’accès par carte-agent et code PIN
• Correction de l’intitulé de la rubrique en ligne
• Publication de la délibération sur les sites désignés

À faire

• Vérifier le fondement juridique de chaque traitement
• Programmer l’apurement des données arrivées à échéance
• Tracer les décisions judiciaires modifiant les données
• Contrôler les accès par carte-agent et code PIN
• Aligner les affiches avec les rubriques en ligne

À éviter

• Conserver des fiches au-delà de la durée nécessaire
• Maintenir des supports papier hors du fichier sécurisé
• Accéder au fichier sans authentification renforcée
• Laisser subsister des données inexactes ou obsolètes
• Diffuser une information renvoyant vers une rubrique inexistante

La mise en conformité des traitements de données personnelles

La formation restreinte vérifie séparément la licéité, la durée de conservation, l’exactitude, la sécurité et l’information des personnes. Elle retient les mesures effectivement mises en œuvre : effacement des fiches papier, apurement des données expirées, transmission des décisions judiciaires et modification des supports d’information. Ces éléments permettent de constater la satisfaction des injonctions, sous réserve d’une correction formelle de l’intitulé d’une rubrique en ligne.

Les mesures de sécurité des données personnelles

La sécurité est regardée comme adaptée au risque lorsque l’accès au fichier exige une carte-agent associée à un code PIN et lorsque les clichés et relevés signalétiques conservés hors du fichier sont supprimés. La formation restreinte s’appuie sur les instructions diffusées par le service compétent et sur la mise en œuvre effective de ces restrictions depuis octobre 2021.

L’information des personnes au titre de l’article 104

L’affiche diffusée dans les lieux accessibles au public reprend les informations exigées par l’article 104 de la loi n° 78-17 du 6 janvier 1978. La conformité est toutefois subordonnée à la concordance entre le nom de la rubrique indiqué sur l’affiche et celui figurant sur le site internet. La rubrique existante consacrée à la politique de confidentialité permet cette mise en cohérence.

Article 20 et suivants de la loi n° 78-17 du 6 janvier 1978, Article 104 de la loi n° 78-17 du 6 janvier 1978