AgentPublic/cnil huggingface dataset:
37. En défense, les ministères contestent la responsabilité conjointe du traitement. Ils considèrent que seul le ministère de l’intérieur peut être désigné en tant que responsable dudit traitement puisqu’il est désigné formellement par le code de procédure pénale pour mettre en œuvre le TAJ et que cette désignation n’a par ailleurs pas été remise en question par la formation plénière de la CNIL à l’occasion des avis qu’elle a pu rendre sur ce traitement ; que l’influence factuelle ne doit être recherchée qu’en l’absence de dispositions légales désignant une partie comme responsable de traitement et qu’en tout état de cause, le ministère de la justice n’opère aucune forme d’influence quant à la détermination des finalités ou des moyens du TAJ. C’est en effet le ministère de l’intérieur seul qui a procédé à la détermination des finalités du TAJ, au moyen des finalités reprises dans différents décrets qui sont venus successivement encadrer le TAJ. S’agissant des moyens du traitement, le ministère de la justice soutient qu’il ne participe pas à la détermination des moyens essentiels du traitement, contrairement au ministère de l’intérieur et qu’il n’existe aucune décision convergente avec le ministère de l’intérieur reflétant que le traitement ne serait pas possible sans la participation des deux parties à la détermination des finalités et des moyens. Ils rappellent que le rôle des magistrats du parquet est uniquement la transmission de données actualisées, dont ils disposent
grâce à leur traitement CASSIOPEE, aux fins de mise à jour du traitement TAJ en vue de participer à la réalisation de ses finalités. Ils considèrent que l’actualisation des seules suites judiciaires ne constitue qu’une mise en relation entre traitements qui n’est pas une action ayant une influence déterminante sur les moyens et qui ne saurait à elle seule conduire à la qualification d’une responsabilité conjointe.
38. La formation restreinte observe que l’article 230-6 du code de procédure pénale dispose que les services de la police nationale et de la gendarmerie nationale mettent en œuvre le traitement et qu’aux termes de l’article R. 40-23 du code de procédure pénale : " Le ministre de l'intérieur (direction générale de la police nationale et direction générale de la gendarmerie nationale) est autorisé à mettre en œuvre un traitement automatisé de données à caractère personnel, dénommé " traitement d'antécédents judiciaires ”, dont les finalités sont celles mentionnées à l'article 230-6. " Il en résulte, selon l’interprétation constante de la CNIL de ces termes, que le ministère de l’intérieur exerce, au sein de l’Etat, la responsabilité du traitement pour l’application de la loi Informatique et Libertés.
39. Par ailleurs, la responsabilité du traitement relevant, in fine, de l’Etat (notamment, selon la jurisprudence du Conseil d’Etat, en cas de condamnations indemnitaires en cas de faute dans la mise en œuvre du traitement), la formation estime qu’elle est compétente pour adresser un rappel aux obligations et une injonction aux administrations de l’Etat qui ne relèvent pas du ministre de l’intérieur auxquelles le code de procédure pénale confie un rôle dans la mise en œuvre du traitement. La formation restreinte souligne que, si une interprétation différente devait être retenue, elle ne disposerait alors d’aucun moyen d’agir, de prévenir ou de remédier à des irrégularités commises par ces autres administrations de l’Etat. Cette situation conduirait à une protection imparfaite des données traitées, d’ailleurs contraire aux objectifs de la directive " Police-justice ".
40. En l’espèce, il résulte des article 230-8, 230-9 et R. 40-31 et suivants du code de procédure pénale que le procureur de la République et le magistrat référent national jouent un rôle essentiel dans la mise à jour des données du traitement et son contrôle. Ainsi, les textes régissant le TAJ confient, au sein de l’Etat, au ministère de la justice un rôle pour assurer le respect par le traitement des règles fixées par la loi Informatique et libertés. La formation restreinte estime, dès lors, que, sans qu’il soit besoin de se prononcer sur sa qualité de " responsable conjoint " au sens de cette loi, elle est compétente, le cas échéant, pour prononcer à son encontre un rappel à l’ordre et lui enjoindre de prendre les mesures nécessaires au respect de la réglementation. Elle relève d’ailleurs que, si la formation plénière de la CNIL a rendu plusieurs avis présentant le ministère de l’intérieur comme le responsable du traitement, la présidente de la CNIL avait, dès 2015, mis en demeure les deux ministères de la justice et de l’intérieur de permettre à la CNIL de traiter dans les délais impartis les demandes de droit d’accès indirect concernant le traitement du TAJ (Décision 2015-005 du 2 février 2015). Le ministère de l’intérieur y était présenté comme étant le gestionnaire du TAJ et le ministère de la justice comme l’unique responsable de sa mise à jour et les deux ministères avaient alors répondu à la CNIL dans le cadre de la procédure. 
D. Sur les manquements
1. Sur le manquement relatif à l’exactitude des données 
41. Aux termes de l’article 97 de la loi Informatique et Libertés, " les autorités compétentes prennent toutes les mesures raisonnables pour garantir que les données à caractère personnel qui sont inexactes, incomplètes ou ne sont plus à jour soient effacées ou rectifiées sans tarder ou ne soient pas transmises ou mises à disposition ".
42. L’article 230-8 du code de procédure pénale prévoit quant à lui que : " Le traitement des données à caractère personnel est opéré sous le contrôle du procureur de la République territorialement compétent, qui, d'office ou à la demande de la personne concernée, ordonne qu'elles soient effacées, complétées ou rectifiées, notamment en cas de requalification judiciaire, ou qu'elles fassent l'objet d'une mention. La rectification pour requalification judiciaire est de droit. […] En cas de décision de relaxe ou d'acquittement devenue définitive, les données à caractère personnel concernant les personnes mises en cause sont effacées, sauf si le procureur de la République en prescrit le maintien, auquel cas elles font l'objet d'une mention. […] En cas de décision de non-lieu ou de classement sans suite, les données à caractère personnel concernant les personnes mises en cause font l'objet d'une mention, sauf si le procureur de la République ordonne l'effacement des données à caractère personnel. […]".
43. L’article 230-9 du code de procédure pénale prévoit également qu’ " Un magistrat, chargé de suivre la mise en œuvre et la mise à jour des traitements automatisés de données à caractère personnel mentionnés à l'article 230-6 et désigné à cet effet par le ministre de la justice, concourt à l'application de l'article 230-8.
Ce magistrat peut agir d'office ou sur requête des particuliers. Il dispose des mêmes pouvoirs d'effacement, de rectification ou de maintien des données personnelles dans les traitements mentionnés au premier alinéa du présent article que le procureur de la République. Lorsque la personne concernée le demande, la rectification pour requalification judiciaire est de droit. Il se prononce sur les suites qu'il convient de donner aux demandes d'effacement ou de rectification dans un délai de deux mois. […]. ".
44. La rapporteure relève que la conformité du TAJ repose sur sa mise à jour régulière consistant en la prise en compte des suites judiciaires transmises par les autorités judiciaires ; que les services gestionnaires du TAJ ne sont pas avertis de l’ensemble des relaxes, acquittements, non-lieux et classements sans suite qui doivent pourtant entraîner la suppression des fiches correspondantes dans le fichier ou l’inscription d’une mention ; qu’en conséquence, l’exactitude des données contenues dans le fichier n’est pas assurée.
45. En défense, le ministère de l’intérieur confirme que la mise à jour du fichier repose sur le ministère de la justice qui est responsable de l’envoi au ministère de l’intérieur des informations nécessaires à l’effacement des données, à leur rectification ou à l’ajout de mention. 
46. Le ministère de la justice fait valoir les mesures mises en œuvre afin d’améliorer la mise à jour du traitement. Il indique qu’une dépêche du garde des sceaux a été diffusée le 8 décembre 2022 afin de rappeler la nécessité pour les parquets de s’assurer de la mise à jour des données contenues dans les fichiers de police lorsqu’elle revêt un caractère obligatoire, et acter la création d’un réseau de référents, sous l’autorité du procureur général ou du procureur de la République, ayant pour mission de veiller au respect des règles d’alimentation et de mise à jour des fichiers de police. Il ajoute que les fiches navettes devant être transmises à la police nationale ou à la gendarmerie en fonction du service ayant procédé à l’inscription des données dans le TAJ ont été modifiées et qu’une fiche focus relative au TAJ a été mise en ligne sur l’intranet de la direction des affaires criminelles et des grâces (DACG) afin d’aborder les différentes thématiques relatives au rôle de l’autorité judiciaire dans la mise à jour des fichiers de police judiciaire. Des trames de fiche navette y figurent et sont régulièrement mises à jour, avec les coordonnées des services auxquels elles doivent être adressées.
47. Les ministères de l’intérieur et de la justice indiquent qu’ils mènent conjointement, depuis 2008, des travaux afin de mettre en place des échanges inter-applicatifs qui permettraient une mise à jour automatisée du fichier. Ils indiquent qu’une expérimentation est en cours depuis février 2024 au sein du tribunal judiciaire de Châteauroux mais précisent que cette mise en œuvre se heurte à des difficultés techniques ne permettant pas d’envisager la généralisation de ces échanges inter-applicatifs.
48. Le ministère de l’intérieur ajoute qu’en tout état de cause, la mise à jour du fichier demeurerait incomplète et non fiable puisqu’il n’est pas envisagé que les nouveaux cas de mise à jour du fichier prévus par l’article 230-8 du code de procédure pénale depuis 2018 soient communiqués lors des échanges inter-applicatifs. 
49. La formation restreinte rappelle que si le fichier TAJ est bien mis en œuvre par la direction générale de la police nationale et la direction générale de la gendarmerie nationale, c’est le ministère de la justice qui est à l’initiative de la mise à jour de la base de données.
50. Il ressort des articles précités que certaines mises à jour sont obligatoires, en fonction de la suite judiciaire donnée. Ainsi, les données à caractère personnel des personnes doivent de droit être rectifiées, lors d’une requalification judiciaire. Par principe, elles doivent être effacées en cas de décision de relaxe ou d’acquittement devenue définitive, à l’exception des cas où le procureur de la République, ou le magistrat référent, en prescrivent le maintien. Dans ce cas, les données feront l’objet d’une mention, empêchant leur consultation dans le cadre d’enquêtes administratives. A l’inverse, en cas de non-lieu ou de classement sans suite, les données à caractère personnel des personnes mises en cause font en principe l’objet d’une mention, sauf si le procureur de la République, ou le magistrat référent, en prescrivent l’effacement. D’autres mises à jour peuvent intervenir sur requête des intéressés auprès du procureur de la République territorialement compétent ou du magistrat référent si l’inscription relève de plusieurs ressorts de tribunaux judiciaires. Ces magistrats doivent se prononcer sur les demandes d’effacement ou de rectification dans un délai de deux mois. Ils peuvent également agir d’office en ordonnant les rectifications, effacements ou ajouts de mentions qui leurs paraissent nécessaires, notamment en cas de requalification judiciaire ou de décision définitive de relaxe ou d’acquittement, sans attendre la saisine sur requête d’une personne
intéressée.
51. La formation restreinte relève qu’à défaut de déploiement d’une procédure de mise à jour automatisée, la mise à jour du TAJ est effectuée manuellement : il ressort ainsi des déclarations effectuées par les services du ministère de l'intérieur et du ministère de la justice, que chaque procédure transmise à une juridiction par la police nationale ou la gendarmerie nationale est accompagnée d’une fiche navette. Cette fiche navette permet, à la fin de la procédure, d’informer le service de police, de gendarmerie ou des douanes en charge du TAJ des suites judiciaires apportées, afin que ces dernières soient répercutées dans le fichier. Ainsi, toutes les décisions de relaxe et d’acquittement devenues définitives, de non-lieu ou de classement sans suite doivent faire l’objet d’une remontée d’information par l’autorité judiciaire, afin que les données à caractère personnel soient effacées ou fassent l’objet d’une mention, conformément à l’article 230-8 du code de procédure pénale.
52. La formation restreinte relève que les contrôles réalisés, et plus particulièrement les réponses aux questionnaires envoyés aux juridictions, ont fait apparaître les différences importantes pouvant exister dans les pratiques des tribunaux et cours d’appel. Ainsi, au jour du contrôle, certaines juridictions ne transmettaient aucune décision au TAJ et d’autres n’en transmettaient que certaines. Le service gestionnaire du TAJ n’était donc pas averti de l’ensemble des relaxes, acquittements, non-lieux et classements sans suite qui doivent entraîner la suppression des fiches correspondantes dans le fichier ou l’inscription d’une mention. La formation restreinte note que le ministère de la justice a indiqué, lors des contrôles, que si plus d’un million de décisions devraient donner lieu à des mises à jour chaque année, il ne décompte qu’environ 300 000 décisions de mises à jour prises par an. 
53. Ainsi, faute de transmission par l’autorité judiciaire des mises à jour à opérer dans le TAJ, les services gestionnaires ne sont pas en mesure de s’assurer de l’exactitude des données contenues dans le fichier.
54. En outre, la formation restreinte relève que les mesures mises en œuvre par les ministères depuis les contrôles opérés par la CNIL s’avèrent insuffisantes. Notamment, le fait que les fichiers CASSIOPEE et TAJ ne soient toujours pas interconnectés, ce qui aurait pourtant permis une mise à jour automatisée du TAJ. Par ailleurs, s’agissant des mesures prises par le ministère de la justice, la formation restreinte relève que le rapport annuel d’activité relatif au TAJ pour l’année 2021 faisait déjà état d’échanges réguliers entre le magistrat référent et la DACG afin de promouvoir auprès des parquets la systématisation de l’usage des fiches navettes et de leur envoi aux services gestionnaires ainsi que de la mise à jour régulière du modèle des fiches navettes, mais concluait pour autant que la transmission des fiches navettes apparaissait peu fiable, dépendante des parquets et des pratiques d’envoi différentes des juridictions. Ce rapport reprochait également les délais très variables dans lesquels les fiches navettes étaient transmises. 
55. Il ressort de l’ensemble de ces éléments que le ministère de l'intérieur et le ministère de la justice n’ont pas mis en œuvre l’ensemble des mesures raisonnables, au sens de l’article 97 de la loi Informatique et Libertés, leur permettant de s’assurer de l’exactitude des données traitées dans le TAJ. La formation restreinte considère donc qu’un manquement à l’article 97 de la loi Informatique et Libertés est constitué.
2. Sur le manquement relatif à l’information des personnes
56. Aux termes de l’article 104 de la loi Informatique et Libertés, " le responsable de traitement met à la disposition de la personne concernée les informations suivantes :
1° l'identité et les coordonnées du responsable de traitement et, le cas échéant, celles de son représentant ;
2° le cas échéant, les coordonnées du délégué à la protection des données ;
3° les finalités poursuivies par le traitement auquel les données sont destinées ;
4° le droit d'introduire une réclamation auprès de la Commission nationale de l'informatique et des libertés et les coordonnées de la commission ;
5° l'existence du droit de demander au responsable de traitement l'accès aux données à caractère personnel, leur rectification ou leur effacement, et l'existence du droit de demander une limitation du traitement des données à caractère personnel relatives à une personne concernée ".
57. Les articles 230-8 et R. 40-31-1 du code de procédure pénale prévoient par ailleurs que les personnes concernées doivent être informées lors du maintien de leurs données à la suite d’une décision d’acquittement ou de relaxe devenue définitive ou encore à la suite des demandes de requalification ou d’effacement.
58. La rapporteure relève que l’information communiquée n’est pas spécifique au fichier TAJ et peut être lacunaire, selon les services gestionnaires en charge de la collecte des données ou la qualité des personnes, mise en cause ou victime. Elle souligne en outre que certaines juridictions indiquent ne pas informer les personnes à la suite d’une mise à jour du fichier les concernant, en méconnaissance des dispositions des articles 230-8 et R. 40-31-1 du code de procédure pénale. Ensuite, la rapporteure relève qu’une information relative au TAJ est bien dispensée sur les sites web du ministère de l’intérieur et " service public " et qu’une instruction a été diffusée le 30 mai 2023 par la direction générale de la police nationale à l’ensemble de ses services, comportant une affiche informative à apposer dans tous les lieux accessibles au public ainsi que les lieux privatifs de liberté. Or, elle considère qu’une information en ligne n’est pas accessible pour l’ensemble des personnes concernées et que l’affiche envisagée ne permet pas de comprendre les données qui vont être traitées dans le TAJ.
59. En défense, le ministère de l’intérieur soutient que la mise à disposition des informations relatives au TAJ est assurée par la diffusion au sein du Journal officiel de la publication de l’acte réglementaire autorisant le fichier, ainsi que par la mise à disposition de ces informations sur le site web du ministère et sur le site servicepublic.fr.
Il indique souhaiter néanmoins assurer une meilleure transparence de l’information. S’agissant des personnes mises en cause, la direction générale de la police nationale et la direction générale de la gendarmerie nationale s’engagent à remettre aux personnes concernées, dans le cadre de la garde à vue et de l’audition libre, des formulaires précisant l’ensemble des informations relatives au TAJ prévues à l’article 104 de la loi Informatique et Libertés. Des formulaires similaires, précisant notamment les durées de conservation des données appliquées aux mineurs, seront également remis aux représentants légaux des mineurs qui interviennent nécessairement dans les procédures. La DGGN et la DGPN envisagent également la création d’un support illustré spécialement dédié à leur intention. S’agissant des personnes victimes, la Direction Générale de la Police Nationale s’engage à mettre à jour le récépissé de dépôt de plainte afin d’y ajouter toutes les mentions nécessaires relatives au TAJ. Le ministère de l’intérieur indique que l’ensemble de ces formulaires seront intégrés au plus tard au deuxième semestre 2025.
60. Enfin, le ministère de l’intérieur propose de réaliser une affiche spécifique au TAJ, laquelle reprendrait l’ensemble des mentions prévues par l’article 104 de la loi Informatique et Libertés.
61. La formation restreinte relève à titre liminaire que, si l’article 107 de la loi Informatique et Libertés permet, sous certaines conditions, des restrictions aux droits des personnes et notamment au droit à l’information, ces restrictions doivent être " prévues par l’acte instaurant le traitement ". En l’espèce, aucune disposition ne vient restreindre le droit, pour les personnes concernées, à l’information sur le traitement.
62. La formation restreinte rappelle que dans le champ du titre III de la loi Informatique et Libertés, l’obligation d’information prévue par l’article 104 est interprétée comme autorisant une information générale, et non individuelle, des personnes concernées sur le traitement. La formation restreinte rappelle cependant que la loi Informatique et Libertés impose au responsable de traitement de mettre cette information " à disposition " des personnes, " de façon permanente et sans demande de leur part " (CNIL, SP, 15 septembre 2022, avis sur projet de décret, GSI, n° 2022-094, publié). La formation restreinte rappelle à cet égard que les informations prévues par l’article 104 de la loi précitée doivent être effectivement accessibles aux personnes concernées. Elle relève que la CNIL insiste sur " la nécessité de délivrer une information compréhensible par le plus grand nombre afin de permettre aux [personnes] de prendre conscience des conditions précises dans lesquelles les données à caractères personnel sont susceptibles d’être collectées " (CNIL, SP, 15 décembre 2022, avis sur le projet d’arrêté, " Polygraphe ", n° 2022-125). Enfin, la formation restreinte estime qu’il y a lieu de tenir compte, pour apprécier le caractère suffisamment accessible de l’information mise à disposition du public, des effets concrets du traitement sur les personnes.
63. En l’espèce, la formation restreinte relève que la présence d’une personne dans le TAJ peut entraîner pour elle de lourdes conséquences puisque ce fichier peut être utilisé par les services police, dans le cadre de procédures judiciaires ou encore d’enquêtes administratives. Ainsi, la présence dans le TAJ peut conduire, par exemple, à refuser l’admission à concourir à un emploi public. Si, pour certains fichiers relevant de la directive " Police-Justice ", une information par la publication de l’acte réglementaire au Journal officiel complétée d’une information sur les sites web du ministère de l'intérieur et " service public " peut être suffisante, la formation restreinte considère que, dans le cas du TAJ, cette information ne répond pas à l’obligation posée par l’article 104 de la loi Informatique et Libertés.
64. La formation restreinte relève notamment qu’au moment des contrôles, certaines personnes dont les données sont traitées dans le TAJ pouvaient ignorer jusqu’à l’existence même du traitement puisqu’aucune information spécifique quant à l’existence de ce traitement et l’identité de son responsable n’était communiquée aux personnes mises en cause lors de la collecte de leurs données par la police nationale par exemple. En tout état de cause, la formation restreinte relève que certaines personnes dont les données sont traitées dans le TAJ peuvent n’avoir qu’un accès limité au réseau internet (personnes détenues ou sans domicile, notamment) et que leur droit à l’information se trouve restreint de manière disproportionnée par une information uniquement délivrée par ce biais.
65. En outre, la formation restreinte relève que les données de mineurs peuvent figurer dans le TAJ et rappelle que les mineurs doivent bénéficier d’une information adaptée, conformément au considérant 39 de la directive 2016/680 du 27 avril 2016 précitée qui dispose que les " informations devraient être adaptées aux besoins des personnes vulnérables telles que les enfants ". Ainsi, une attention particulière doit être apportée par le responsable de traitement pour veiller à ce que les mineurs puissent comprendre le traitement mis en œuvre et ses implications, ainsi que les droits dont ils disposent et le moyen de les exercer. Dès lors, la formation restreinte considère qu’une information qui reposerait nécessairement sur une démarche active de leur part n’est pas adaptée en l’espèce (Délibération n° SAN 2021-016 du 24 septembre 2021 prononçant un rappel à l’ordre à l’encontre du ministère de l’intérieur). 
66. Les publications au Journal officiel et en ligne n’assurent donc pas une mise à disposition effective de l’information relative au TAJ conforme aux exigences de l’article 104 de la loi Informatique et Libertés.