Arrêté du 12 janvier 2023 portant création d’un traitement automatisé de données à caractère personnel dénommé « Organisation et coordination du travail et des activités en établissements » (OCTAVE)

Le garde des sceaux, ministre de la justice, et le ministre délégué auprès du ministre de l’intérieur et des outre-mer, chargé des outre-mer,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le code pénitentiaire, notamment ses articles L. 412-1 à L. 412-25 et R. 412-1 à R. 412-82 ainsi que ses articles L. 413-1 et L. 413-2, R. 413-1 à R. 413-6 et D. 413-3 et D. 413-10 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés,
Arrêtent :

• Article 1
  Il est créé par le ministère de la justice (direction de l’administration pénitentiaire) un traitement automatisé de données à caractère personnel dénommé « OCTAVE ».
  Ce traitement a pour finalités de permettre :
  1° La gestion administrative des dossiers de travail et de formation professionnelle des personnes détenues ;
  2° La gestion et le suivi du temps de travail et des formations professionnelles des personnes détenues ;
  3° La gestion de la paye des personnes détenues ;
  4° L’exploitation des données à des fins statistiques et de pilotage.
• Article 2
  I. – Peuvent être enregistrées dans le traitement dans la mesure où elles sont nécessaires à la poursuite de ses finalités les données à caractère personnel et les informations suivantes :
  1° Concernant les personnes détenues :
  a) Des données relatives à l’identification de la personne : civilité, nom de naissance, nom d’usage, prénoms, alias, sexe, date et lieu de naissance, nationalité, numéro d’inscription au répertoire national des personnes physiques, numéro d’écrou initial et numéro d’écrou courant, établissement, matricule octave, numéro de badge ;
  b) Des données relatives à la détention de la personne : affectation en cellule, observation des membres de la commission pluridisciplinaire unique utiles à l’orientation et à l’affectation de la personne détenue pour le travail pénitentiaire et la formation professionnelle ;
  c) Des données liées à la formation demandée ou suivie de la personne : intitulée et nature de la formation, statut de la personne détenue par rapport à la formation (en attente/affecté/clos), organisme dispensant la formation, date de début et de fin d’une formation, formation diplomante (oui/non), nombre prévu d’heures de formation, formation rémunérée (oui/non) ;
  d) Des données liées à l’emploi pénitentiaire de la personne : intitulée et nature de l’emploi, numéro de contrat pénitentiaire, durée et nature du contrat, nature des activités exercées ;
  e) Des données relatives aux temps et activités de la personne en emploi pénitentiaire ou en formation professionnelle : date de début et de fin d’une absence, emploi du temps, maternité (oui/non), accident de travail (oui/non), personne en situation de handicap (oui/non), décision de temps partiel thérapeutique, arrêts maladies, heure de début et fin de l’activité, nombres heures effectives totales de l’activité, sens des décisions de désaffectation de déclassement ou de suspension ;
  f) Des données relatives à la rémunération de la personne : montant et taux du prélèvement à la source, cotisations obligatoires, sens d’une décision de suspension du salaire en raison d’une déclaration d’inaptitude, déclaration sociale nominative ;
  2° Concernant les utilisateurs du traitement :
  a) Des données relatives à l’identification de la personne : titre ou civilité, nom de naissance, nom d’usage, prénoms, unité organisationnelle, code et libellé du poste ;
  b) Des données relatives à la connexion : identifiants de connexion, matricule et adresse électronique.
  II. – Les pièces, actes et documents pouvant être enregistrés dans le traitement sont :
  1° Le contrat d’emploi pénitentiaire prévus aux articles L. 422-10 à L.412-18 du code pénitentiaire ;
  2° La convention de formation professionnelle ;
  3° Les bulletins de paie de la personne détenue.Liens relatifs Article 3
  Peuvent accéder, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître, à tout ou partie des données à caractère personnel et informations mentionnées à l’article 2 :
  1° Les agents habilités des services centraux et déconcentrés de l’administration pénitentiaire ;
  2° Les personnels de l’Agence nationale du travail d’intérêt général et de l’insertion professionnelle des personnes placées sous-main de justice individuellement désignés et dûment habilités par le chef d’établissement ;
  3° Les personnels pénitentiaires en charge de l’encadrement, individuellement désignés et dûment habilités par le chef d’établissement ;
  4° Les référents locaux du travail, les référents des contrats d’emploi pénitentiaire et les consultants des contrats d’emploi pénitentiaire habilités par le chef d’établissement ;
  5° Les agents en charge de la régie des comptes nominatifs, individuellement désignés et spécialement habilités par le chef de l’établissement ;
  6° Les chefs d’établissement pénitentiaire et leurs adjoints ;
  7° Les agents en charge des habilitations des applications informatiques au sein des établissements pénitentiaires ;
  8° Les agents en charge de la formation professionnelle au sein des établissements pénitentiaires ;
  9° Les personnels des groupements privés agissant dans le cadre de la gestion déléguée ou proposant un travail pénitentiaire, individuellement désignés et spécialement habilités par le chef de l’établissement.Article 4
  Peuvent également être destinataires, à raison de leurs attributions respectives et dans la limite du besoin d’en connaître, de tout ou partie des données à caractère personnel et informations mentionnées à l’article 2 :
  1° Les agents habilités de l’Union de recouvrement des cotisations de sécurité sociale et d’allocations familiales (URSSAF) ;
  2° Les agents habilités de la direction générale des finances publiques (DGFIP) ;
  3° Les agents habilités des collectivités territoriales régionales ;
  4° Les agents du service statistique ministériel du ministère de la justice et du service de la direction de l’administration pénitentiaire chargé de concourir à la production de statistique publique relative aux personnes confiées au service public pénitentiaire ;
  5° Les agents de l’échelon central du service national du renseignement pénitentiaire ;
  6° Les agents du secrétariat général du ministère de la justice en charge de la gestion des contentieux portés devant les juridictions.Article 5
  Les données à caractère personnel et les informations mentionnées au 1° de l’article 2, à l’exception de la déclaration sociale nominative des feuilles de paye, sont conservées pendant une durée de cinq ans à compter de la levée d’écrou de la personne détenue.
  Les feuilles de paye sont conservées en base active pendant une durée de cinq ans puis versées dans une base d’archive intermédiaire pour une durée de quarante-cinq ans.
  La déclaration sociale nominative est conservée pendant une durée de six ans à compter de son envoi aux destinataires mentionnés aux 1° et 2° de l’article 4 du présent arrêté.
  Les données à caractère personnel et les informations mentionnées au 2° de l’article 2 sont conservées pendant une durée d’un an après la fin de l’habilitation de l’agent.Article 6
  I. – Pour l’ensemble des personnes mentionnées au 1° du I de l’article 2 :
  a) Les droits d’accès, de rectification et de limitation aux données issues du traitement réalisé pour la finalité prévue au 3° de l’article 1er s’exercent directement auprès du chef d’établissement, dans les conditions prévues respectivement aux articles 15, 16 et 18 du règlement (UE) 2016/679 du 27 avril 2016 susvisé ;
  b) Les droits d’accès, de rectification, de limitation et d’opposition aux données issues du traitement réalisé pour les autres finalités s’exercent directement auprès du chef d’établissement, dans les conditions prévues respectivement aux articles 15, 16, 18 et 21 du règlement (UE) 2016/679 du 27 avril 2016 susvisé ;
  c) Pour les motifs prévus par les dispositions des c et i de l’article 23 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, le droit d’accès peut faire l’objet de restrictions pour garantir la sécurité publique ou la protection de la personne concernée ou des droits et libertés d’autrui.
  II. – Pour l’ensemble des personnes mentionnées au 2° du I de l’article 2, les droits d’accès, de rectification, de limitation et d’opposition aux données du traitement s’exercent directement auprès du chef d’établissement, de la direction interrégionale des services pénitentiaires ou de la direction de l’administration pénitentiaire selon que l’utilisateur travaille en établissement, en direction interrégionale ou en service central, dans les conditions prévues respectivement aux articles 15, 16, 18 et 21 du règlement (UE) 2016/679 du 27 avril 2016 susvisé.Article 7
  Le traitement conserve pendant une durée de six mois les informations relatives aux créations, modifications, suppressions et consultations dont il fait l’objet, en précisant la personne ou l’autorité ayant procédé à l’opération.Article 8
  1° Le présent arrêté est applicable dans les îles Wallis et Futuna, en Polynésie française et en Nouvelle-Calédonie ;
  2° Pour son application à Saint-Barthélemy, à Saint-Pierre-et-Miquelon, en Nouvelle-Calédonie, en Polynésie française et dans les îles Wallis et Futuna, la référence au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données est remplacée par la référence aux règles en vigueur en métropole en vertu du règlement (UE) 2016/679 du 27 avril 2016.Article 9
  Le directeur de l’administration pénitentiaire est chargé de l’exécution du présent arrêté, qui sera publié au Journal officiel de la République française.

Fait le 12 janvier 2023.

Le garde des sceaux, ministre de la justice,
Éric Dupond-Moretti

Le ministre délégué auprès du ministre de l’intérieur et des outre-mer, chargé des outre-mer,
Jean-François Carenco