AgentPublic/cnil huggingface dataset:
Compte tenu des finalités poursuivies par le traitement, qui est pour partie mis en œuvre à des fins de prévention et de constatation d’infractions pénales au sens de la directive 2016/680 du 27 avril 2016 susvisée, et qui poursuit en outre des finalités civiles et administratives, le ministère considère qu’il relève à la fois du champ du RGPD, sur la base légale de la mission d’intérêt public, et de la directive précitée, transposée au titre III de la loi du 6 janvier 1978 modifiée.
La Commission souligne que le FNAEG, dont la création était entourée de circonstances singulières marquées par la commission d’infractions graves, constitue un traitement susceptible d’être considéré, par nature et en raison notamment des données qu’il contient, comme plus attentatoire aux libertés individuelles que d’autres traitements de police judiciaire. Elle relève que les mutations successives relatives au périmètre du FNAEG, ainsi que certaines de ses conditions de mise en œuvre, ont conduit à en faire un fichier d’une ampleur très conséquente, au sein duquel des données hautement identifiantes sont enregistrées. Elle appelle particulièrement l’attention du gouvernement et du législateur sur la technique de la recherche en parentèle, qui consiste à inférer des données présentes dans le fichier relatives à certaines personnes, des informations relatives à d’autres personnes qui, en tant que telles, n’ont pas nécessairement vocation à y figurer. Cette extension de la portée du fichier accroit l’atteinte portée à la vie privée des personnes qui sont ainsi identifiables. La Commission estime que le recours à cette pratique, couplée à des données en outre particulièrement sensibles, doit faire l’objet d’un strict contrôle de proportionnalité.
La Commission rappelle dès lors qu’il importe que l’utilisation du FNAEG soit strictement encadrée. Elle a ainsi toujours considéré que la collecte de données génétiques devait être assortie de garanties fortes, afin d’assurer la stricte proportionnalité entre la finalité poursuive par ce fichier et le traitement de ces données d’une nature particulière.
Dans ce contexte, la Commission relève que les modifications envisagées par le projet de décret visent notamment à permettre l’application de dispositions législatives successivement adoptées depuis 2010, qui ont eu pour objet d’étendre les finalités du FNAEG (recueil et l’exploitation des empreintes génétiques aux fins d’identification de cadavres non identifiés, de victimes de catastrophes naturelles ou de personnes disparues et dont la mort est supposée, en dehors de toute procédure pénale), ainsi que de faire évoluer ses différentes fonctionnalités.
Le projet de décret vise par ailleurs à tenir compte tant des décisions du Conseil constitutionnel que de celles de la Cour européenne des droits de l’homme (CEDH) en matière de conservation des données. D’une manière générale, la Commission estime que ces dernières modifications permettent de renforcer les garanties offertes en matière de protection des données à caractère personnel, en modulant notamment les durées de conservation des données en fonction de l’âge des personnes concernées et en permettant par ailleurs un effacement anticipé des données.
Elle relève néanmoins que d’autres dispositions du projet de décret, qui modifient substantiellement le FNAEG, suscitent d’importantes réserves.
Elles portent plus particulièrement sur :
l’extension significative du périmètre des proches d’une personne disparue dont les données peuvent être enregistrées dans le fichier ;
l’inquiétude quant à l’utilisation de ces données pour des recherches en parentèle ainsi que les modalités de comparaison de ces empreintes au sein du FNAEG ;
la création d’un nouvel identifiant commun à plusieurs fichiers de police.
Sur la recherche en parentèle prévue à l’article 706-56-1-1 du CPP
Le projet d’article R. 53-10-IV prévoit que lorsque les nécessités d'une enquête ou d'une information concernant l'un des crimes prévus à l'article 706-55 l'exigent [tels que certains vols, actes de terrorismes ou encore des infractions sexuelles] il est possible de procéder à une comparaison entre l'empreinte génétique enregistrée au fichier établie à partir d'une trace biologique issue d'une personne inconnue , avec certaines des empreintes enregistrées dans le traitement (empreintes génétiques des personnes déclarées coupables ou irresponsables, ainsi que celles des personnes à l’encontre desquelles il existe des indices graves ou concordants rendant vraisemblable qu’elles aient commis une infraction). Une telle recherche a pour objectif de déterminer non seulement si l’empreinte de la personne recherchée est contenue dans le fichier, mais également si elle est apparentée en ligne directe  avec l’une des empreintes du fichier ( recherche en parentèle ).
Cette faculté est prévue à l’article 706-56-1-1 du CPP et a été introduite par l’article 80 de la loi du 3 juin 2016 susvisée. La loi a limité le recours à ces recherches aux seules procédures relatives à l’un des crimes prévus à l’article 706-55 du CPP et a également limité les empreintes génétiques enregistrées au FNAEG qui peuvent être utilisées, en excluant l’ensemble des données recueillies dans un cadre extra-judiciaire.
Si la Commission prend acte des précisions apportées par le ministère selon lesquelles cette possibilité de recherche en parentèle constitue un élément d’orientation de l’enquête qui nécessite, en tout état de cause, la réalisation d’investigations complémentaires, elle souligne néanmoins que les mesures envisagées sont susceptibles d’entraîner des risques graves pour la vie privée et la protection des personnes pouvant être ciblées sur la base de correspondances génétiques partielles.
La Commission estime que ces risques, tenant notamment au fait qu’une telle comparaison comprend nécessairement une marge d’erreur, sont susceptibles d’entraîner le cas échéant des conséquences importantes pour la personne, qui pourrait par exemple être mise en cause dans une procédure judiciaire sur cette base et qui doivent, dès lors être précisément mesurés. Elle rappelle en outre que la concordance réalisée dans le cadre d’une telle recherche, ne saurait, à elle seule, produire des effets juridiques sur la personne concernée et l’affectant de manière significative, notamment au regard des risques associés à la marge d’erreur de ces types de recherche.
Sur la collecte de données génétiques relatives aux ascendants, descendants et collatéraux de personnes disparues, et leur traitement au sein du FNAEG, notamment par recherche en parentèle
En premier lieu, s’agissant de la collecte des données, l’article 3 du projet de décret vise à modifier l’article R. 53-10 du CPP relatif aux empreintes génétiques qui peuvent être enregistrées dans le FNAEG. Les dispositions relatives à l’enregistrement des échantillons biologiques prélevés sur les proches d'une personne disparue, aujourd’hui limités aux ascendants et descendants , sont élargies à tous les collatéraux .
Le ministère a précisé qu’à l’heure actuelle, et en l’état de l’avancée des technologies en la matière, l’identification d’une personne n’est en principe possible qu’à partir de l’empreinte génétique des ascendants ou descendants au premier degré. La modification du décret semble dès lors principalement motivée par la volonté d’anticiper d’éventuelles évolutions scientifiques, susceptibles d’offrir des potentialités d’identification plus larges. Dans ce contexte, la Commission est défavorable à ce que le décret autorise cette collecte. Le ministère a toutefois objecté que, notamment lorsque la personne disparue n’a ni ascendant, ni descendant, la collecte des empreintes des collatéraux est la seule qui puisse aider la recherche ou l’identification de la personne et peut fournir des indications utiles. Dans ce contexte uniquement, la Commission estime que le décret pourrait en autoriser la collecte, dans cette seule hypothèse et pour des cas d’usage où une telle utilité est avérée.
A titre subsidiaire, la Commission insiste pour que le projet de décret explicite ce que recouvrent précisément les notions d’ascendants, de descendants ainsi que de collatéraux et les degrés de filiation concernés, quand bien même ce recueil ne présente aucun caractère coercitif.
En second lieu, s’agissant du traitement des données et de la recherche en parentèle, le projet de décret prévoit deux niveaux de comparaison des empreintes des ascendants, descendants et collatéraux d’une personne disparue avec celles enregistrées dans le FNAEG. Dans la comparaison de premier niveau, les empreintes des proches sont seulement comparées avec des données du FNAEG relatives à des personnes disparues, qui sont en général issues de cadavres non identifiés ou de traces relevées en un lieu et que l’on estime pouvoir relier à la personne disparue. Au second niveau, les empreintes biologiques des proches de la personne disparue peuvent, tant qu’elles sont conservées dans le fichier, être également comparées aux données enregistrées dans le fichier ou faisant l’objet d’une comparaison avec le fichier et pour toutes ses finalités.
La Commission relève que s’agissant du consentement de second niveau, pour les données relatives aux proches et collectées dans un cadre judiciaire, le ministère n’avait initialement, dans le projet transmis à la Commission, pas entendu exclure de cette comparaison les traces biologiques issues de personnes inconnues également recueillies dans un cadre judiciaire, permettant ainsi une comparaison avec l’ensemble du fichier. Il en résulte qu’une personne qui a un jour consenti volontairement, dans un cadre judiciaire, à l’enregistrement de ses données aux fins de retrouver un proche puisse se retrouver mise en cause dans une affaire. En outre, par le moyen de la recherche en parentèle, l’empreinte du proche de la personne disparue peut conduire à orienter l’enquête, dans le cadre d’une procédure judiciaire, vers une autre personne de sa famille, distincte de la personne disparue et dont l’empreinte n’avait pas été relevée.
Si le ministère relève que les dispositions en vigueur du CPP ne s’opposent pas à cette possibilité, la Commission souligne néanmoins qu’elles ne le permettent pas expressément et que, en sens inverse, l’article 706-54-2° du CPP prévoit que les empreintes génétiques recueillies dans un cadre extrajudiciaire font l'objet d'un enregistrement distinct de celui des autres empreintes génétiques conservées dans le fichier, ce qui semble impliquer un cloisonnement entre les finalités pour lesquelles ces données sont traitées. Elle considère que le projet de décret introduit des modifications très significatives du FNAEG sur ce point, et qui appellent les observations suivantes.
D’une part, ces modifications opèrent un changement d’échelle significatif du volume de données susceptibles d’être comparées au sein du FNAEG, concernant des personnes à l’encontre desquelles ne pèse aucune suspicion de commission d’une infraction.
D’autre part, la Commission relève que ces modalités de comparaison conduisent à étendre les finalités pour lesquelles les données relatives à ces personnes sont collectées, et strictement encadrées par le projet de décret, à savoir l’identification de personnes disparues et considère que la pertinence d’une telle utilisation, au-delà de l’identification des seules personnes disparues, n’est à ce stade pas démontrée.
Enfin, la Commission estime qu’il n’est pas possible d’attraire ainsi au sein du FNAEG tous les proches d’une personne mise en cause dans une affaire judiciaire par exemple, qui se retrouvent alors potentiellement identifiables par le biais de la recherche en parentèle. Or le seul motif pour lequel cette partie de la population se retrouve identifiable, via le FNAEG, lors de procédures judiciaires, tiendrait au fait qu’un de leurs proches a disparu à un moment dans le passé et que les traces des personnes de leur famille recueillies à ce moment-là sont encore conservées dans le fichier. Cette utilisation ultérieure des données est entièrement distincte de la finalité pour laquelle elles ont été collectées, et revient à créer, par destination, un fichier génétique permettant d’identifier une grande partie de la population.
Compte tenu de ce qui précède, la Commission demande donc au ministère de retirer du projet de décret le deuxième niveau de comparaison auquel peut consentir le proche d’une personne disparue lorsque son empreinte génétique est inscrite au FNAEG. Elle s’interroge en tout état de cause sur la possibilité de recourir à une norme de niveau réglementaire pour encadrer, le cas échéant, ce niveau de comparaison et de recherche au sein du FNAEG.
En réponse aux observations de la Commission précédemment exposées, le ministère s’est engagé à retirer du consentement de second niveau la possibilité de comparaison des empreintes génétiques des proches d’une personne disparue avec les traces biologiques issues de personnes inconnues relevées sur une scène d’infraction, mais à maintenir les comparaisons avec les empreintes des personnes suspectées ou condamnées. La Commission en prend acte mais maintient, pour le surplus, sa demande de retrait. 
Sur les mises en relation avec d’autres traitements et l’utilisation d’un numéro d’identification unique
Le projet de décret modifie l’article R. 53-19 du CPP afin de prévoir que le FNAEG peut, par exception , faire l’objet d’interconnexions, de rapprochements ou de mises en relation avec les traitements suivants : le traitement mis en œuvre par le service central de préservation des prélèvements biologiques mentionné à l’article R. 53-20- 1 du CPP, le traitement mentionné à l’article R. 15-33-66-4 du CPP (Cassiopée), le traitement mentionné à l’article R. 40-23 du CPP (le traitement d’antécédents judiciaires, TAJ), les traitements automatisés utilisés par les personnes physiques ou morales agréées au titre du décret n° 97-109 du 6 février 1997 ayant réalisé les analyses dans les conditions prévues à l’article R. 53-18 du CPP, le traitement automatisé de traces et empreintes digitales et palmaires (FAED), les logiciels de rédaction des procédures de la police nationale (LRPPN) et de la gendarmerie nationale (LRPGN), le système d’information Schengen (SIS), la passerelle internationale en matière d’ADN de l'organisation internationale de police criminelle Interpol, le fichier des personnes recherchées (FPR).
Il prévoit en outre que certains de ces traitements peuvent comporter un numéro d’identification unique avec le fichier national automatisé des empreintes génétiques.
Le ministère a précisé que la majorité de ces mises en relations sera réalisée de manière manuelle. Plus particulièrement s’agissant des traitements Cassiopée et du TAJ, le ministère a indiqué qu’elles doivent permettre à l’autorité judiciaire de mettre à jour l’application FNAEG lorsque, suite à la demande d’une personne, elle autorise l’effacement des données. Il a également été précisé que ces mises en relation s’inscrivent dans une démarche de simplification et de fiabilisation de la chaîne judiciaire et pénale et ne concernent, en tout état de cause, que des fichiers qui partagent une même finalité de police judiciaire et plus spécifiquement d’identification d’auteurs d’infractions ou de personnes (personnes disparues, cadavres non identifiés).
Le ministère a indiqué que la seule donnée utilisée à cette fin dans le FNAEG est l’identifiant commun, dit IDPP, associé au seul profil génétique. Le projet de décret prévoit à cet égard que ce numéro d’identification pourra faire l’objet d’un enregistrement dans le traitement, s’agissant des données associées aux échantillons biologiques de certaines catégories de personnes.
Le ministère a précisé que l’utilisation de cet identifiant doit permettre de fiabiliser l’identité de la personne et d’opérer une comparaison sur la base de ce numéro, avec d’autres traitements. Il a indiqué que ce numéro sera généré automatiquement par les logiciels de rédaction des procédures et ne fera l’objet d’une transmission dans le FNAEG que dans les hypothèses précitées (cadre judiciaire uniquement).
A titre liminaire, la Commission relève que l’usage d’un tel identifiant pourrait avoir pour justification la fiabilisation des données relatives à un individu au sein de différents fichiers de police et permettre ainsi de remédier aux difficultés rencontrées s’agissant de l’exactitude des données. En effet, elle considère qu’il est nécessaire que les mises en relation entre les fichiers mentionnés soient particulièrement fiables, eu égard aux conséquences importantes que peuvent avoir des erreurs liées à des homonymies, à la présence de noms d’emprunt, ou à l’existence de fiches correspondant à des informations relatives à une personne inconnue.
Si la Commission ne remet pas en cause l’éventuelle utilité que pourrait représenter une telle possibilité, elle rappelle néanmoins que l’utilisation d’un identifiant, rattaché à une personne, et permettant de l’identifier au sein de différents fichiers (quand bien même ce numéro ne serait pas unique), comporte des risques importants devant être assortis de garanties fortes.
La Commission estime que le ministère ne justifie pas de la proportionnalité de l’usage d’un tel identifiant au regard d’un éventuel objectif de fiabilisation de l’identité des individus et/ou de leur identification au cours d’une procédure judiciaire. En l’état des éléments fournis, et notamment le fait que ce numéro sera en réalité attaché à une procédure et non à un individu, elle s’interroge fortement, au-delà du principe même de la mise en œuvre de cet identifiant, sur l’utilité opérationnelle associée à la collecte de cette donnée (à l’instar du numéro de procédure par exemple).
A fortiori, elle souligne que le ministère entend associer un tel numéro à des personnes définitivement déclarées coupables, à des personnes disparues, ou encore à leurs ascendants, descendants ou collatéraux sans que la nécessité d’y recourir, particulièrement à l’égard de ces personnes, soit démontrée. La Commission estime par voie de conséquence que la collecte de ce numéro est disproportionnée au regard des finalités pour lesquelles les informations relatives à ces personnes sont traitées.
Elle relève surtout que la collecte ainsi que l’usage qui est fait de cet identifiant, va bien au-delà de la réglementation du seul FNAEG, puisqu’il sera commun à l’ensemble des fichiers indiqués. A cet égard, la Commission estime qu’une telle évolution, qui revêt des enjeux majeurs en matière de libertés publiques, ne saurait être appréhendée au travers de la seule modification des conditions de mise en œuvre du FNAEG mais doit, le cas échéant, s’inscrire dans une réflexion approfondie de manière à identifier précisément l’objectif poursuivi ainsi que les conséquences induites par une telle modification, sur l’ensemble des traitements concernés, mis en œuvre dans la sphère pénale. Elle rappelle à cet égard que de telles évolutions impliqueraient la modification des dispositions encadrant ces différents fichiers afin que cet identifiant figure dans les actes réglementant chacun d’eux.
Sur la durée de conservation des données
Les dispositions relatives à la durée de conservation des données sont modifiées de manière substantielle, notamment afin de prendre en compte la réserve d’interprétation du Conseil constitutionnel formulée dans sa décision du 16 septembre 2010. En se prononçant sur les dispositions législatives relatives au FNAEG, le Conseil a en effet considéré [qu’] il appartient au pouvoir réglementaire de proportionner la durée de conservation de ces données personnelles, compte tenu de l'objet du fichier, à la nature ou à la gravité des infractions concernées tout en adaptant ces modalités aux spécificités de la délinquance des mineurs .
L’article R. 53-14 du CPP tel que modifié par le projet de décret prévoit des durées de conservation spécifiques aux données relatives aux personnes mineures, la liste des infractions les plus graves qui entraînent une augmentation des durées de conservation et de nouvelles modalités d’effacement anticipé en cas de suite favorable aux intéressés. Dans la mesure où la Commission a toujours considéré que le traitement de données relatives aux mineurs appelle des garanties particulières, elle estime que les nouvelles durées de conservation définies respectent les dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée ainsi que celles du RGPD, conformément aux observations formulées par le Conseil constitutionnel.
En premier lieu, le projet de décret prévoit une diminution de la durée de conservation de principe des traces biologiques, la faisant passer de quarante ans à vingt-cinq ans. Néanmoins, en cas d’un recueil dans le cadre d’une enquête ou une instruction préparatoire relative à une des infractions, limitativement énumérées par le projet de décret, et considérées comme les plus graves, il sera possible, comme cela est le cas actuellement, de conserver ces données quarante ans. De la même manière, les durées de conservation des données relatives aux personnes à l’encontre desquelles il existe des indices graves ou concordants rendant vraisemblable qu’elles aient commis une infraction, ainsi qu’aux personnes déclarées coupables ou irresponsables, sont réduites. Ainsi, les données relatives à ces catégories de personnes peuvent être, par principe, conservées respectivement quinze et vingt-cinq ans lorsque la personne est majeure. La Commission estime que ces durées sont, dans la majorité des cas, pertinentes. Elle relève cependant que certaines des catégories d’infractions recouvrent des actions d’une gravité variable. Il en va ainsi notamment du vol et des dégradations ou menace de dégradation de biens. Pour ce type d’infraction, s’agissant des faits les moins graves, une durée de 25 ans pourrait s’avérer disproportionnée et la Commission invite le ministère à réfléchir à la façon de gérer cette disparité au sein des données, dans l’objectif d’affiner les durées de conservation.
En second lieu, le projet de décret fixe expressément une durée de conservation de quarante ans des données relatives aux cadavres non identifiés et aux personnes disparues recueillies dans le cadre d’une procédure judiciaire ou extra-judiciaire. L’ensemble des données sont effacées lorsque le service gestionnaire est informé de l’identification de la personne concernée ou de la découverte de la personne disparue. La Commission estime que cette durée de conservation, bien que particulièrement longue, est pertinente au regard des finalités pour lesquelles les données ont été collectées. Elle souligne que les données relatives à leurs proches pourront être conservées pour une durée identique mais que ces dernières pourront, à tout moment, solliciter l’effacement de leurs données.
Enfin, la Commission estime que les nouvelles durées ainsi définies devront être appliquées au stock des données actuellement enregistrées dans le FNAEG, et prend acte de l’engagement du ministère sur ce point.
Sur les modalités d’effacement des données enregistrées dans le FNAEG
Les modalités d’effacement des données à la demande de la personne concernée sont substantiellement modifiées par le projet de décret, notamment afin de prendre en compte la jurisprudence de la CEDH, en particulier l’arrêt M. K. contre France du 18 avril 2013 relatif au FAED.