AgentPublic/cnil huggingface dataset:
La Commission rappelle par ailleurs que, lorsqu’elle est saisie d’une demande d’avis, celle-ci comporte conformément au 3° de l’article 33 de la loi du 6 janvier 1978 modifiée, les interconnexions, les rapprochements ou toute forme de mise en relation avec d’autres traitements . Elle doit également être informée de toute modification substantielle d’un traitement (finalités, destinataires, etc.) et, le cas échant, se prononcer sur les modifications projetées.
 
En cinquième lieu, la Commission invite les responsables de traitement à apporter des garanties opérationnelles spécifiques pour permettre que seuls les traitements comportant des données pertinentes, adéquates et nécessaires au regard des finalités des traitements visés soient consultées et enregistrées. De même, des précautions doivent être prises pour éviter d’importer ou d’exporter, d’une base de données vers une autre, des données erronées ou obsolètes, en particulier lorsqu’il s’agit de données sensibles.
En dernier lieu, la Commission souligne l’évolution croissante de la mise en œuvre d’interconnexions ou de mise en relation de fichiers, plus particulièrement dans la sphère régalienne. Si elle n’est pas opposée au principe même de permettre de telles opérations au regard des enjeux tant opérationnels que juridiques induits par les évolutions dans ce domaine, elle estime que la transparence vis-à-vis du public quant aux conditions de mise en œuvre de ces différentes opérations participe également de l’équilibre entre l’objectif poursuivi par ces fichiers et le respect de la vie privée des personnes concernées.
Il résulte de ce qui a été dit ci-dessus que la liste de toutes les interconnexions, mises en relation et rapprochements n’a pas obligatoirement à figurer dans l’acte réglementaire. La Commission considère néanmoins que, dans certains cas particuliers, leur mention peut constituer une bonne pratique, notamment lorsque les finalités principales du traitement sont étroitement liées à quelques mises en relation particulières. A défaut, elle recommande vivement aux responsables de traitement publics, pour les traitements correspondant par exemple à des bases de données importantes, de décrire sur leur site web l’ensemble des mises en relation réalisées avec d’autres bases de données.
 
S’agissant de la mise en œuvre de ces garanties concernant le traitement LRPGN
De manière générale et conformément aux principes rappelés ci-dessus, la Commission appelle tout particulièrement l’attention du ministère sur la nécessité de vérifier que l’ensemble des mises en relation qu’il envisage est conforme aux dispositions réglementaires régissant les autres traitements, et plus largement celles en matière de protection des données à caractère personnel. Elle estime qu’à défaut, il ne pourra être procédé à certaines des mises en relation indiquées dans l’AIPD, sauf à modifier préalablement les actes réglementaires en cause.
Sur les finalités du traitement
L’article 1er du projet de décret modifie les finalités du traitement, et notamment celle qui visait initialement la possibilité de mettre en relation ce fichier avec d’autres traitements. Il est désormais prévu que le LRGPN a pour finalité de permettre la collecte des informations nécessaires à la conduite de ces procédures, en vue de leur transmission aux autorités administrative et judiciaires chargées de les exploiter .
La Commission relève tout d’abord que cette évolution vise à tenir compte des remarques qu’elle a formulées dans sa délibération précitée et plus particulièrement celle visant à considérer que la finalité initialement retenue correspondait davantage à une fonctionnalité technique, au service d’autres finalités. Dans son avis, la Commission avait en outre souligné que son caractère imprécis ne permettait d’appréhender ni les conditions de mise en œuvre du traitement, ni son périmètre.
En l’espèce, et au regard tant des précisions apportées par le Conseil d’Etat dans sa décision du 13 avril 2021 que des observations formulées dans la présente délibération quant aux conditions de mis en œuvre générale des traitements mettant en œuvre des opérations d’interconnexion, de mise en relation ou de rapprochement, la Commission estime que les modifications projetées des finalités du traitement LRPGN n’appellent pas d’observations particulières.
Sur les catégories de données traitées
L’article 7 du projet de décret complète celui-ci d’une annexe qui liste les données qui pourront être traitées dans le logiciel de rédaction. L’annexe distingue les catégories de données relatives aux personnes mises en cause, ainsi qu’aux personnes victimes, pour les procédures judiciaires et les procédures administratives. A titre liminaire, la Commission relève que ces évolutions visent notamment à tenir compte des observations formulées dans sa délibération du 1er octobre précitée.
En premier lieu, la Commission relève que, outre une série de données précisément désignées (nom, adresse, situation familiale, permis de conduire etc.), l’annexe prévoit une catégorie susceptible de recouvrir une grande variété de données à caractère personnel : les éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure judiciaire . Si une telle catégorie de données est en principe trop imprécise pour fournir un encadrement satisfaisant à un traitement régi par un acte réglementaire, la Commission est consciente de la difficulté particulière qui s’attache à l’énumération de tous les types de données à caractère personnel pouvant être traitées dans le cadre d’un logiciel devant permettre la rédaction d’actes relatifs aux faits les plus divers, en lien avec toutes les procédures auxquelles participe la gendarmerie. Pour cette raison et dans ce cas très particulier, elle admet la formulation proposée sur ce point dans l’annexe.
 
En revanche, en deuxième lieu, l’annexe prévoit également qu’au titre des élément enregistrés dans le cadre d’une procédure judiciaire ou d’une procédure administrative, pourront figurer les données et informations nécessaire à la conduite des investigations, issues de la consultation des traitements de données intéressant les procédures judiciaires et administratives mises en œuvre par les unités de gendarmerie ou par les services de police .
La Commission comprend de ces dispositions que cette catégorie de données pourra permettre en pratique d’enregistrer au sein du traitement LRPGN toute donnée issue de la consultation d’autres fichiers détenus par la police et la gendarmerie, sans que la nature et l’objet de ceux-ci soient précisément indiqués, et sans qu’il soit exigé que cette donnée corresponde à l’une des autres catégories de données listées dans l’annexe. Si la Commission ne remet pas en cause l’absence d’obligation de mentionner les interconnexions, rapprochements et autres mises en relation au sein du projet de décret, conformément à l’article 35 de la loi du 6 janvier 1978 modifiée, elle estime que la formule utilisée dans le projet d’annexe n’apparaît pas conforme aux principes rappelés ci-dessous. L’importation de données issues d’autres fichiers consultés par la gendarmerie ou la police n’est possible que si les données en cause relèvent d’une des autres catégories de l’annexe, et dans le respect des actes réglementaires régissant ces traitements. Sauf à ce que le ministère entende lister ces traitements dans le projet de décret ou en décrire précisément les objets, la Commission invite donc le ministère à modifier cette formule.
Comme souligné dans sa délibération du 1er octobre 2020, la Commission considère en effet que ces dispositions ne permettent pas d’appréhender la nature ou le périmètre des informations visées par cette catégorie de données. De manière générale, elle considère que les données issues d’autres traitements peuvent permettre l’alimentation de catégories de données listées par l’acte réglementaire (telles que les informations relatives aux permis de conduire, ou aux armes), dès lors que ces dernières sont suffisamment précises et permettent de circonscrire la collecte d’informations à ce qui est strictement nécessaire au regard des finalités du traitement. Lorsque l’inscription ou non d’une personne dans un traitement constitue une information en soi, peut alors figurer dans le traitement la mention de son inscription (par exemple, personne connue au traitement d’antécédents judiciaires (TAJ) ). Dans ces deux hypothèses, la Commission estime que le décret doit être suffisamment précis, pour permettre d’identifier de manière claire les informations susceptibles d’être enregistrées. Enfin, dans le cas d’un logiciel de rédaction, certaines catégories de données peuvent, eu égard à la nature particulière du traitement, être définies de façon moins précise.
En conclusion, la Commission estime que cette formule de l’annexe doit être modifiée. Elle invite le ministère soit à la supprimer, si les autres catégories déjà listées (et notamment la catégorie des éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure ) apparaissent suffisantes pour les finalités du traitement, soit à compléter l’annexe de catégories supplémentaires de données, si possible précisément définies. A cet égard, elle prend acte de l’engagement du ministère de supprimer cette catégorie de données au sein du projet de décret.
En troisième lieu, l’annexe du projet de décret, qui encadre les données susceptibles d’être collectées, prévoit l’enregistrement de photographies de victimes.
A cet égard, la Commission relève que, s’agissant des photographies des victimes, la collecte de cette donnée est uniquement prévue dans le cadre de procédures judiciaires et dans la mesure où elles peuvent, selon le ministère, être nécessaires à l’enquête, que ce soit dans le cadre d’atteintes aux personnes (par exemple des traces de coups), ou pour permettre l’identification d’une personne décédée ou disparue.
Si la Commission ne remet pas en cause la pertinence de la collecte de cette donnée, elle estime néanmoins que les hypothèses de sa collecte étant limitées aux seules atteintes aux personnes, le projet de décret pourrait être précisé afin de circonscrire leur enregistrement à ces seuls cas d’usage et ainsi être limité à ce qui est strictement nécessaire à la conduite de la procédure judiciaire.
En dernier lieu, l’annexe du projet de décret prévoit, s’agissant des victimes, la collecte d’informations relatives aux armes. A cet égard, la Commission prend acte de ce que la collecte de ces informations est nécessaire en cas d’enquête judiciaire révélant l’utilisation d’une arme (victime utilisant une arme pour se défendre, ou inventaire d’objets dérobés par exemple).
S’agissant de la sécurité et la traçabilité des actions
De manière générale, la Commission relève que la durée de conservation des traces indiquées dans l’AIPD ne semble pas conforme à celle indiquée dans le projet de décret. Elle invite donc le ministère à procéder à une mise à jour de l’APID avant la mise en œuvre effective du traitement, afin de remplir pleinement ses obligations légales.
L’article 6 du projet de décret prévoit que les opérations de collecte, de consultation, de modification, de communication et d’effacement des données et informations du traitement font l’objet d’un enregistrement comprenant l’identification de l’auteur, la date, l’heure et la nature de l’opération .
La Commission relève que conformément à ce que permet l’article 37 de la loi n° 2018-493 du 20 juin 2018, le ministère entend reporter la mise en œuvre d’une partie de ces mesures, en l’espèce l’enregistrement du motif de la consultation ou de la communication, au plus tard au 31 décembre 2022, ce que prévoit le projet de décret.
Si elle ne remet pas en cause la mobilisation de cette possibilité, la Commission rappelle néanmoins l’importance de la mise en œuvre de telles mesures permettant d’assurer la sécurité du traitement. Elle souligne que la traçabilité de ces différentes opérations est d’autant plus importante qu’elle permettra également de prévenir tout mésusage de la mise en œuvre d’interconnexions, de mises en relation ou de rapprochements au sein du traitement LRPGN.
La Commission rappelle par ailleurs la nécessité de prévoir des mesures d’analyse automatique des données de traçabilité afin de garantir que les éventuels détournements du traitement soient détectés le plus précocement possible.
 
La Présidente
Marie-Laure DENIS
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret portant modification du décret n° 2011-111 du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l’intérieur (direction générale de la gendarmerie nationale) d’un traitement automatisé de données à caractère personnel d’aide à la rédaction des procédures (LRPGN) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-110 du 27 janvier 2011 portant création d’un traitement automatisé de données à caractère personnel dénommé LRPPN 2 ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2010-119 du 6 mai 2010 portant avis sur un projet de décret en Conseil d’Etat portant création d’un traitement de données à caractère personnel relatif à l’aide à la rédaction des procédures et des écrits dénommé ICARE ;
Vu la délibération n° 2012-365 du 11 octobre 2012 portant avis sur un projet de décret modifiant le décret n° 2011-110 du 27 janvier 2011 portant création d’un traitement automatisé de données à caractère personnel dénommé LRPPN 2 ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Emet l’avis suivant :
Le logiciel de rédaction des procédures de la gendarmerie nationale (LRPGN) permet de faciliter et d’homogénéiser la rédaction des procédures judiciaires et administratives ainsi que de transmettre les informations qui en sont issues aux autorités compétentes. Ce logiciel, sur lequel la Commission s’est prononcée dans sa délibération n° 2010-119 du 6 mai 2010, constitue également un vecteur d’alimentation d’autres fichiers, en ce qu’il permet la remontée d’informations vers des traitements à finalité judiciaire, administrative ou statistique. A cet égard, le ministère a précisé que ces mises en relation poursuivent un double objectif : celui d’alimenter d’autres traitements au regard de leurs finalités (comme par exemple le traitement d’antécédents judiciaires), d’une part, et celui d’enregistrer au sein du LRPGN des données issues d’autres fichiers, considérées comme utiles à la conduite des procédures (par exemple, informations relatives aux infractions relatives au code de la route enregistrées au sein du système national des permis de conduire) d’autre part.
 
D’emblée, la Commission souligne que le LRPGN, en ce qu’il permet la rédaction de procédures de natures variées, ainsi que l’alimentation d’autres fichiers, poursuit nécessairement des objectifs opérationnels très étendus et emporte par conséquent des difficultés tenant au périmètre précis de ses finalités.
Les évolutions envisagées du traitement s’inscrivent dans un cadre général de dématérialisation de l’intégralité de la procédure pénale impliquant à cet égard une restructuration des systèmes d’information de la gendarmerie nationale. A ce titre, le LRPGN a vocation à être remplacé par un nouveau traitement dénommé LRPGN-NG au premier trimestre 2022, dont la Commission devra être saisie, dans les conditions de l’article 31 de la loi du 6 janvier 1978 modifiée.
 
Les évolutions actuellement envisagées par le ministère doivent permettre l’expérimentation de la procédure pénale numérique grâce à la mise en relation du traitement LRPGN et de l’application de numérisation des procédures pénales. Il a par ailleurs précisé qu’une phase d’expérimentation devait être menée dans deux départements, ayant pour objectif notamment de tester les modalités de transmission des procédures nativement numériques des forces de sécurité à une juridiction, ainsi que la signature électronique des actes établis par les enquêteurs dans le cadre d’une procédure.
Outre cette expérimentation, les évolutions envisagées portent notamment sur le périmètre du traitement ainsi que le régime juridique qui lui est applicable, les catégories de données collectées (et notamment les informations issues d’autres fichiers), les durées de conservation, ainsi que les droits des personnes concernées, conséquence de l’évolution du régime juridique.
Enfin, la Commission relève que selon le ministère, le traitement LRPGN est mis en œuvre à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces au sens de la directive 2016/680 susvisée, et intéresse également en partie la sûreté de l’Etat. Il résulte de l’évolution du cadre juridique relatif à la protection des données à caractère personnel que les dispositions applicables au traitement des données figurant au sein de ce dispositif et intéressant la sûreté de l’Etat sont exclues du champ d’application de la directive 2016/680 et relèvent spécifiquement des articles 1 à 41 et 115 à 124 de la loi du 6 janvier 1978 modifiée. Enfin, dans la mesure où des données mentionnées au I de l’article 6 de cette même loi sont susceptibles d’être enregistrées, la modification du traitement LRPGN doit faire l’objet d’un décret en Conseil d’Etat, pris après avis motivé et publié de la Commission.
 
Le projet de décret soumis pour avis à la Commission appelle les observations suivantes.
Sur la modification des finalités du traitement
L’article 1er du projet de décret vise à modifier les dispositions encadrant le LRPGN, afin de détailler ses finalités, d’une part, et envisager la poursuite de nouvelles finalités d’autre part. A cet égard il prévoit que le traitement a pour finalités :
de permettre aux unités de gendarmerie d’assurer la clarté et l’homogénéité de la rédaction des procédures judiciaires et administratives dans l’exercice de leurs missions de police ;
d’en réaliser l’archivage ;
de permettre la collecte des informations issues de ces procédures, en vue de leur diffusion et de leur exploitation ;
de permettre la mise en relation avec des traitements de données relatives aux procédures judiciaires et administratives.
A titre liminaire, la Commission relève que le projet de décret précise que le traitement doit dorénavant permettre de réaliser l’archivage des procédures visées par le fichier LRPGN. Si de manière générale cette finalité n’appelle pas d’observation particulière, elle estime néanmoins qu’elle mériterait d’être explicitée et ce, dans la mesure où elle vise davantage une opération de traitement que la finalité pour laquelle elle est réalisée. Elle invite dès lors le ministère à préciser le projet de décret sur ce point, en mentionnant explicitement l’objectif poursuivi par cette opération (par exemple, la réouverture ultérieure d’une procédure judiciaire).
L’article 1er du projet de décret prévoit que le LRPGN permet la collecte des informations issues de ces procédures, en vue de leur diffusion et de leur exploitation ainsi que la mise en relation avec des traitements de données relatives aux procédures judiciaires et administratives .
La Commission souligne que dans leur rédaction actuelle, les dispositions relatives au LRPGN visent uniquement la transmission d’informations qui en sont issues vers le traitement mentionné à l’article 4 , soit le système judiciaire d’exploitation (JUDEX). A cet égard, l’article 4 du décret n° 2011-111 du 27 janvier 2011 est remplacé par les dispositions suivantes : conformément à la finalité prévue au 4° de l’article 1er, le traitement mentionné au même article peut être mis en relation avec d’autres traitements de données à caractère personnel intéressant les procédures judiciaires et administratives mises en œuvre par les unités de gendarmerie ou par les services de police .
Le projet d’annexe prévoit également qu’au titre des éléments enregistrés dans le cadre d’une procédure judiciaire ou administrative, peuvent être collectées les données et informations nécessaires à la conduite des investigations, issues de la consultation des traitements de données intéressant les procédures judiciaires et administratives mises en œuvre par les unités de gendarmerie ou par les services de police .
La Commission relève que le projet de décret vise ainsi à encadrer la collecte de données issues d’autres fichiers au sein du LRPGN ainsi que la possibilité de transmettre les informations y figurant aux fins d’enregistrement dans d’autres traitements. Elle prend acte des précisions apportées par le ministère selon lesquelles la diffusion des informations correspond à la transmission à l’autorité judiciaire ou administrative et que l’exploitation de ces données vise l’utilisation des informations fournies aux fins de résolution de l’enquête.
A titre liminaire et de manière générale, la Commission souligne qu’il importe de s’assurer que seuls les traitements comportant des données pertinentes, adéquates et nécessaires au regard des finalités du traitement LRPGN puissent être consultés, dans le strict respect des dispositions encadrant l’ensemble de ces fichiers. De la même manière, elle estime qu’une attention particulière devra impérativement être portée aux modalités de collecte des données, qui sont susceptibles d’entraîner des risques particuliers pour les personnes concernées, tenant par exemple à une collecte erronée de données et ce, en raison par exemple d’un enregistrement manuel dans un traitement consulté. En outre, elle considère que, compte tenu du caractère particulièrement sensible de certains de ces traitements, des mesures ad hoc devront impérativement être développées afin d’assurer la mise à jour effective des données ainsi consultées et importées dans le LRPGN.