AgentPublic/cnil huggingface dataset:
Mme Élise MERY-BOUDONNAT, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	M. Thomas MOREAU, juriste au service des affaires économiques à la direction de la conformité ;
	M. Mathias MOULIN, directeur de la protection des droits et des sanctions ;
	Mme Sophie NERBONNE, directrice chargée de co-régulation économique ;
	Mme Ingrid NKOUENJIN, chef du service des outils de la conformité à la direction de la conformité ;
	Mme Rabia OUADDAH, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	Mme Marie PACALET, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
	M. Bertrand PAILHÈS, directeur des technologies et de l'innovation ;
	Mme Adélaïde PATERNOGA, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	Monsieur Benoît PELLAN, chargé du développement des outils de la conformité à la direction de la conformité ;
	Mme Lorraine PERRONNE, juriste au service des affaires régaliennes et des collectivités territoriales ;
	Mme Bertrande PIAT-TAMBAREAU, assistante juridique au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	M. Antoine PLANCHOT, auditeur des systèmes d'information au service des contrôles à la direction de la protection des droits et des sanctions ;
M. Benjamin POILVÉ, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
	Mme Florence RAYNAL, chef du service des affaires européennes et internationales ;
	M. Vincent RASNEUR, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
	Mme Albane RICHET, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
	Mme Ismini RIGOPOULOU, juriste au service des affaires européennes et internationales ;
	Mme Caroline RILOS MACIAS, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
	M. Valentin ROGER, responsable de la sécurité des systèmes d'information au secrétariat général ;
	Mme Mathilde ROUSSEL, assistante juridique au service des contrôles à la direction de la protection des droits et des sanctions ;
	Mme Stéphanie SAULNIER, juriste au service des questions sociales et ressources humaines à la direction de la conformité ;
	M. Benoit SEGUIN, chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	Mme Jeanne TADEUSZ, chef du service des affaires régaliennes et des collectivités territoriales à la direction de la conformité ;
	Mme Lola TAIEB, juriste au service des sanctions et du contentieux à la direction de la protection des droits et des sanctions ;
Mme Jamila TAZI, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	Mme Margaux TRANCART, adjointe au chef de service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	M. Félicien VALLET, ingénieur expert au service de l'expertise technologique à la direction des technologies et de l'innovation ;
	M. Benjamin VIALLE, chef de service des contrôles à la direction de la protection des droits et des sanctions ;
	Mme Anne VIDAL, juriste au service de la santé à la direction de la conformité ;
	Mme Albine VINCENT, chef du service des délégués à la protection des données à la direction de la conformité ;
	M. Paul VINCENT, juriste au service de l'exercice des droits et des plaintes à la direction de la protection des droits et des sanctions ;
	M. Christophe VIVENT, adjoint au chef du service de l'expertise technologique à la direction des technologies et de l'innovation ;
	Mme Clémentine VOISARD, chargée de mission au service des relations avec les publics ;
	Mme Sophie VULLIET-TAVERNIER, directrice des relations avec les publics et la recherche.
Liens relatifs
Article 2
	La délibération n° HAB-2021-002 du 6 mai 2021 habilitant des agents de la CNIL à procéder à des missions de vérification est abrogée.
Article 3
	Les habilitations mentionnées à l'article 1er sont délivrées pour une durée de cinq ans.
Article 4
La présente décision prendra effet à compter de la date de sa publication au Journal officiel de la République française.
La présidente,
M.-L. Denis
La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de Messieurs Alexandre LINDEN, président, Philippe-Pierre CABOURDIN, vice-président, de Mesdames Anne DEBET et Christine MAUGÜE et de Messieurs Alain DRU et Bertrand du MARAIS, membres ;
Vu la Convention no 108 du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ;
Vu le décret no 2019-536 du 29 mai 2019 pris pour l'application de la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération no 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;
Vu la décision no 2019-004C du 20 décembre 2018 de la présidente de la Commission nationale de l’informatique et des libertés de charger le secrétaire général de procéder ou de faire procéder à une mission de vérification du traitement YYY mis en œuvre par le service central de la police technique et scientifique au X ;
Vu la décision de la présidente de la Commission nationale de l’informatique et des libertés portant désignation d’un rapporteur devant la formation restreinte, en date du 26 février 2021 ;
Vu le rapport de Madame Sophie LAMBREMON, commissaire rapporteure, notifié au X le 9 avril 2021 ;
Vu les observations écrites versées par X le 25 mai 2021 ;
Vu les observations orales formulées lors de la séance de la formation restreinte, le 1er juillet 2021 ;
Vu les autres pièces du dossier ;
Étaient présents, lors de la séance de la formation restreinte :
- Madame Sophie LAMBREMON, commissaire, entendue en son rapport ;
En qualité de représentants du X :
- […]
En qualité de commissaire du Gouvernement :
- […]
La formation restreinte a entendu, en application de l’article 42 du décret no 2019-536 du 29 mai 2019, […], représentants du Y, direction des affaires criminelles et des grâces (par visioconférence) ;
X ayant eu la parole en dernier ;
La formation restreinte a adopté la décision suivante :
I. Faits et procédure
1. Le YYY(ci-après le YYY ) est un fichier de police judiciaire d’identification recensant les empreintes digitales de personnes mises en cause dans des procédures pénales ainsi que les traces d’empreinte relevées sur les scènes de crime ou de délit. Il est géré par X et utilisé par les services de police, de gendarmerie et des douanes, en leur permettant de relier une personne à plusieurs identités ou alias et de relier cette personne aux précédentes procédures dans lesquelles ses empreintes ont été relevées.
2. Conformément aux dispositions de l’article 2 du décret no 87-249 du 8 avril 1987 relatif au YYY géré par X (ci-après le décret no 87-249 ou le décret relatif au YYY ), il est mis en œuvre par le service central de la police technique et scientifique au X .
3. Le YYY contient, d’une part, des signalisations , qui sont des empreintes digitales et palmaires directement relevées sur les personnes concernées et accompagnées de diverses informations relatives à la personne à laquelle elles appartiennent et au contexte de leur collecte (sexe, nom, prénom, date et lieu de naissance, filiation, service ayant procédé à la signalisation, date et lieu de l’établissement de la fiche, nature de l’affaire et référence de la procédure, photographies de la personne) et, d’autre part, des traces (empreintes complètes ou partielles relevées sur le lieu de commission d’une infraction), elles aussi accompagnées de diverses informations relatives à la collecte (lieu et date du relevé, service ayant procédé au relevé, date et lieu de l’établissement de la fiche, nature de l’affaire et référence de la procédure). Chaque empreinte (enregistrée lors d’une opération de signalisation ou relevée sur le lieu de commission d’une infraction) accompagnée des informations complémentaires évoquées constitue une fiche indépendante enregistrée dans le YYY.
4. En décembre 2018, le fichier contenait près de 6,3 millions d’empreintes digitales et palmaires de personnes identifiées en tant que mises en cause pour crimes et/ou délits, ainsi que 240 000 traces non identifiées.
5. La présidente de la Commission a, par la décision no 2019-004C du 20 décembre 2018, initié une procédure de contrôle à l’encontre du X. Cette procédure avait pour objet de vérifier le respect, par X, de l’ensemble des dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 (ci-après le Règlement ou le RGPD ), de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après la loi du 6 janvier 1978 ou la loi Informatique et Libertés ) et de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 (ci-après la directive police-justice ) dans la mise en œuvre du YYY par le service central de la police technique et scientifique. Dans le cadre de cette procédure, plusieurs contrôles ont été réalisés, et plus précisément dans les locaux du service central de la police technique et scientifique (ci-après le SCPTS ), qui assure la gestion quotidienne du fichier, au commissariat de Boulogne-Billancourt, où sont collectées des données alimentant le YYY, ainsi qu’au tribunal judiciaire et à la cour d’appel de Paris, dont les décisions ont des implications sur le devenir des données du YYY. Enfin, des questionnaires ont été envoyés aux tribunaux judiciaires d’Angers, de Fort-de-France et de Lons-le-Saunier ainsi qu’à la cour d’appel de Versailles. L’ensemble de ces contrôles ont permis de vérifier les modalités de collecte des données du YYY, leur gestion au quotidien, ainsi que
leur devenir après les décisions de justice.
6. Aux fins d’instruction de ces éléments, la présidente de la Commission a, le 26 février 2021, désigné Madame Sophie LAMBREMON en qualité de rapporteure, sur le fondement de l’article 22 de la loi du 6 janvier 1978.
7. À l’issue de son instruction, la rapporteure a, le 9 avril 2021, fait signifier au X un rapport détaillant les manquements à la loi Informatique et Libertés qu’elle estimait constitués en l’espèce. La rapporteure proposait à la formation restreinte de la Commission de prononcer une injonction de mettre en conformité le traitement avec les dispositions des articles 4, 89, 97, 99 et 104 de la loi Informatique et Libertés, ainsi qu’un rappel à l’ordre. Elle proposait également que cette décision soit rendue publique et ne permette plus d’identifier nommément le X à l’expiration d’un délai de deux ans à compter de sa publication.
8. Le même jour, X a été informé que ce dossier était inscrit à l’ordre du jour de la séance de la formation restreinte du 1er juillet 2021.
9. Le 25 mai 2021, X a produit des observations.
10. X et la rapporteure ont présenté des observations orales lors de la séance de la formation restreinte.
II. Motifs de la décision
A. Sur la loi applicable
11. L’article 1er de la directive police-justice définit son champ d’application et vise tout traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces .
12. Le premier paragraphe de l’article 87 de la loi Informatique et Libertés, premier article du titre III de la loi, dispose le présent titre s'applique, sans préjudice du titre Ier, aux traitements de données à caractère personnel mis en œuvre, à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, par toute autorité publique compétente ou tout autre organisme ou entité à qui a été confié, à ces mêmes fins, l'exercice de l'autorité publique et des prérogatives de puissance publique, ci-après dénommés autorité compétente .
13. Ce titre III s’applique donc aux traitements qui répondent à une double caractéristique relative à leur finalité, d’une part, et à la qualité du responsable de traitement, d’autre part.
14. L’article premier du décret no 87-249 fixe les finalités du YYY. Aux termes de ce dernier, les finalités du traitement sont de :
faciliter la recherche et l'identification […] des auteurs de crimes et de délits et de faciliter la poursuite, l'instruction et le jugement des affaires criminelles et délictuelles […] ;
 faciliter la recherche et la découverte des mineurs et majeurs protégés disparus ainsi que celles des majeurs dont la disparition présente un caractère inquiétant ou suspect […] ;
 faciliter l'identification dans un cadre judiciaire des personnes décédées ainsi que l'identification des personnes découvertes grièvement blessées dont l'identité n'a pu être établie ;
 faciliter l'identification dans un cadre extrajudiciaire des personnes décédées ;
 permettre l'identification d'un étranger dans les conditions prévues à l'article L. 611 4 du code de l'entrée et du séjour des étrangers et du droit d'asile ;
 permettre l'identification des personnes dans le cadre de la procédure de vérification d'identité de l’article 78-3 du code de procédure pénale .
15. En l’espèce, les contrôles réalisés ont porté sur l’utilisation du YYY dans le cadre des activités de police et de justice au cours de procédures pénales. La formation restreinte considère que ces activités entrent dans le champ des finalités visées par l’article 87 de la loi Informatique et Libertés.
16. La formation restreinte considère également que, dans le cadre de ces missions, X doit être regardé comme l’autorité compétente, au regard de l’article 1er du décret no 2020-874 du 15 juillet 2020 relatif aux attributions du XX (précédemment décret no 2017-1070 du 24 mai 2017).
17. En conséquence, la formation restreinte considère qu’en l’espèce, le YYY, lorsqu’il est mis en œuvre par X pour les différentes finalités ci-dessus évoquées, doit respecter les dispositions du titre III de la loi Informatique et Libertés.
B. Sur les manquements
1. Sur le manquement relatif à la licéité du traitement
18. L’article 4 du décret no 87-249 dresse la liste limitative des informations qui peuvent accompagner, dans le YYY, l’enregistrement d’une empreinte ou d’une trace. S’agissant des empreintes, ces informations sont le sexe de la personne et, lorsqu'ils sont connus, ses nom, prénoms, date et lieu de naissance et éléments de filiation, le service ayant procédé à la signalisation, la date et le lieu d'établissement de la fiche signalétique, la nature de l'affaire et la référence de la procédure et les clichés anthropométriques. S’agissant des traces, ces informations sont le lieu sur lequel elles ont été relevées, ainsi que la date du relevé, le service ayant procédé au relevé des traces, la date et le lieu d'établissement de la fiche supportant la reproduction des traces papillaires, la nature de l'affaire et la référence de la procédure et l'origine de l'information et la date de son enregistrement dans le traitement.
19. En premier lieu, la délégation a constaté que des informations supplémentaires sont traitées dans le YYY, telles que le nom de la victime ou le numéro d’immatriculation d’un véhicule.
20. La formation restreinte note que ces informations sont enregistrées sous forme d’image et ne peuvent donc pas faire l’objet d’une recherche. Elle relève également, comme le précise X dans la réponse apportée au rapport de sanction, qu’elles ne sont présentes que dans les fiches traces et pas dans les fiches signalisation .
21. La formation restreinte constate néanmoins que X procède au traitement de données non visées par le décret no 87-249 et en déduit que ce traitement est illicite. La formation restreinte relève au demeurant que X ne conteste pas le caractère illicite de ce traitement puisqu’il annonce une modification du cadre réglementaire afin de lui permettre, à l’avenir, de traiter régulièrement ces données qu’il estime nécessaires.
22. En second lieu, la délégation a constaté qu’environ sept millions de fiches signalisation , pour la plupart anciennes (datant parfois de plusieurs dizaines d’années), sont conservées en format papier dans une salle dédiée du service central. Ce fichier physique, appelé fichier manuel , n’est plus alimenté depuis 2017. Il comprend à la fois des fiches anciennes (créées avant l’informatisation du fichier) et l’original papier de fiches plus récentes destinées à être scannées et insérées dans le YYY.
23. La formation restreinte constate que l’article 1er du décret no 87-249 prévoit et autorise le traitement automatisé de traces et empreintes digitales et palmaires et ne vise donc pas le fichier manuel , ce dernier n’étant pas automatisé. Ce traitement avait été créé par la loi no 667 du 27 novembre 1943 portant création d’un service de police technique, publiée au Journal officiel du 28 novembre 1943 et dont l’article 4 prévoyait la création d’un service d’identité judiciaire essentiellement chargé de rechercher et de relever les traces et indices dans les lieux où a été commis un acte délictueux, d’établir et de classer les fiches signalétiques . Ce texte a été abrogé par le cinquième alinéa de l’article 58 de la loi no 2001-1062 du 15 novembre 2001 relative à la sécurité quotidienne, sans que ce texte, ou un texte ultérieur, vienne autoriser un traitement équivalent.
24. Dès lors, la formation restreinte relève que la conservation de fiches de signalisation au format papier n’est prévue par aucune disposition législative ou règlementaire et en déduit qu’elle est illicite. La formation restreinte considère qu’un manquement à l’article 89 de la loi no 78 17 du 6 janvier 1978 est ainsi constitué.
25. Si elle prend acte de l’annonce de la destruction complète du fichier manuel dans les quatre ans à venir, la formation restreinte relève qu’aucun calendrier précis n’est annoncé par X pour atteindre ce but et que ses affirmations ne sont étayées par aucun élément. Elle considère en outre que le délai de quatre ans avancé par X ne saurait être admis, au regard de l’ancienneté des fiches concernées, de la durée du manquement et de la nature des données concernées.
26. A cet égard, la formation restreinte note que X a réalisé d’importants efforts pour trier les fiches devant être détruites sans délai de celles devant être scannées et insérées dans le traitement automatisé avant destruction. Néanmoins, si ces opérations ont conduit à la préparation pour destruction de 430 000 fiches datées de 1962 à 1996, la formation restreinte relève que ce nombre demeure faible au regard du nombre total de fiches comprises dans le fichier manuel et que la destruction n’a pas encore été réalisée pour les fiches en question.
27. Enfin, X a annoncé, lors de la séance du 1er juillet 2021, la destruction des seules fiches papier dont les données ne peuvent plus figurer légitimement dans le fichier automatisé. La formation restreinte considère que l’absence de base légale du fichier manuel empêche la conservation de fiches signalisation au format papier, même dans l’hypothèse où les données qu’elles contiennent peuvent légitimement figurer dans le fichier automatisé après avoir été scannées. Elle estime dès lors que la destruction des fiches papier du fichier manuel ne saurait se limiter aux fiches dont les données ne peuvent plus figurer dans le traitement automatisé. La formation restreinte relève d’ailleurs que X annonçait, dans sa réponse au rapport de sanction, la suppression totale du fichier manuel […] accomplie à 100% au plus tard d’ici quatre ans .
28. Il ressort de l’ensemble de ces éléments que les conditions de licéité des traitements mis en œuvre ne sont pas remplies et qu’un manquement à l’article 89 de la loi Informatique et Libertés est constitué.
2. Sur le manquement relatif à la durée de conservation des données
29. Aux termes de l’article 4 de la loi no 78-17 du 6 janvier 1978 les données à caractère personnel doivent être : […] 5° Conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire au regard des finalités pour lesquelles elles sont traitées […] .
30. L’article 5 du décret relatif au YYY fixe les durées de conservation des traces et des empreintes. La durée de conservation de principe est de quinze ans (dix ans pour les empreintes des mineurs). Elle peut être augmentée à vingt-cinq ans (quinze ans pour les empreintes des mineurs) sur décision de l’autorité judiciaire ou au regard de la qualification de l’infraction.
31. Ces durées résultent d’une modification du décret no 87-249 par le décret no 2015-1580 du 2 décembre 2015 et entrée en application le 1er mars 2017. Avant cette date, les données étaient conservées pendant une durée de vingt-cinq ans à compter de l’établissement de la fiche.
32. La formation restreinte relève que, au moment du contrôle en janvier 2019, les modalités de conservation des données du YYY ne tenaient pas compte de la modification entrée en application en 2017. Ainsi, les signalisations étaient conservées pendant vingt-cinq ans sans distinction selon l’âge de la personne concernée, le point de départ de ce délai étant en outre calculé à compter de la dernière signalisation de la personne concernée, et non à compter de l’établissement de chaque fiche. En raison de ce choix, chaque nouvelle signalisation de la personne concernée faisait courir un nouveau délai de vingt-cinq ans pour l’ensemble de ses signalisations précédentes, amenant ces données à pouvoir être conservées sans limitation en cas de signalisations régulières. Des durées réduites étaient prévues pour certaines fiches traces (douze ans pour des traces liés à des crimes non résolus et trois ans et demi pour des traces liés à des délits). Une purge automatique intervenait après vingt-cinq ans si une personne n’avait pas à nouveau été signalisée.