AgentPublic/cnil huggingface dataset:
En premier lieu, le projet de décret envisage de supprimer la dernière finalité dédiée à la mise en relation du LRPPN avec d’autres traitements.
 
La capacité de mettre en relation le traitement "LRPPN" avec d’autres traitements constitue une simple fonctionnalité et non une finalité en soi, de sorte qu’elle n’a pas à être expressément mentionnée dans l’acte réglementaire autorisant le traitement (v. CE, 13 avril 2021, LDH e.a., n° 439360, inédit ; v. aussi CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié). Cette modification n’appelle pas d’observations de la CNIL.
 
En second lieu, il ressort des précisions apportées, qu’au titre des finalités du LRPPN, des opérations de traitement à partir d’un module dénommé "gestion automatisée des signalements et des photographies anthropométriques répertoriées et distribuables" (GASPARD) pourront être réalisées. Ce module du LRPPN permet, via le thème "signalisation" du logiciel, d’alimenter notamment le traitement des antécédents judiciaires (TAJ) et le fichier automatisé des empreintes digitales (FAED).
 
Les opérations de traitement réalisées au moyen de GASPARD ne peuvent relever du traitement LRPPN qu’à condition qu’elles soient conformes à l’ensemble des dispositions encadrant ce traitement s’agissant notamment des finalités, des catégories de données ou encore des durées de conservation.
En l’espèce, il apparait que le module "GASPARD" permet principalement de collecter des données dans le cadre d’opérations de signalisation judiciaire. Ces données, à l’exception des données biométriques, sont ensuite transmises au module "signalisation" afin d’être intégrées dans la procédure judiciaire en cours. 
 
Bien que la rédaction large des finalités prévue par le décret permette de considérer que ce module contribue à assurer la clarté et l’homogénéité des procédures par les données qu’il collecte et diffuse en vue de leur exploitation, la CNIL estime que les finalités pourraient être davantage explicitées – en précisant par exemple que le traitement vise à faciliter les opérations de signalisation judiciaire (art. 4-2° de la loi "informatique et libertés"). 
 
B. Sur les catégories de données traitées
 
Le projet de décret élargit le périmètre des catégories de données à caractère personnel pouvant être collectées et procède à leur réorganisation en fonction de la procédure visée et des personnes concernées.
 
a. Concernant la minimisation des données collectées au titre de catégories génériques 
 
Le projet de décret autorise le traitement des "éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure" et des "pièces et documents numérisés accompagnant [une telle] procédure" administrative ou judiciaire.
La formulation de ces catégories est susceptible de couvrir une grande variété de données à caractère personnel, y compris des données sensibles. De telles catégories sont en principe trop imprécises pour fournir un encadrement satisfaisant à un traitement régi par un acte règlementaire. Néanmoins, il apparait en l’espèce particulièrement difficile d’identifier tous les types de données à caractère personnel susceptibles d’être traités dans le cadre de la rédaction d’actes relatifs aux faits les plus divers, en lien avec toutes les procédures auxquelles participent les services de police. Pour cette raison, et dans ce cas particulier, la formulation proposée sur ce point dans le projet de décret n’appelle pas d’observations de la CNIL (v. CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié).
 
Au-delà de la rédaction du décret, et en vue d’assurer la minimisation des données, la CNIL invite le ministère à prévoir des garanties supplémentaires concernant le traitement des pièces et documents numérisés accompagnant la procédure (v. CNIL, SP, 23 octobre 2025, avis sur projet de décret, infoParquet, n° 2025-103, publié).
 
b. Concernant la collecte de photographies
Le décret 27 janvier 2011 en vigueur prévoit, dans le cadre des procédures judiciaires et s’agissant des personnes mises en cause et des personnes faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort ou d’une disparition, la possibilité d’enregistrer des photographies comportant les caractéristiques techniques permettant le recours à un dispositif de reconnaissance faciale. 
 
Le projet de décret envisage de supprimer la référence aux caractéristiques techniques permettant le recours à un dispositif de reconnaissance faciale. L’AIPD précise que les photographies relatives aux personnes mises en cause ne font l’objet d’aucun dispositif de reconnaissance faciale dans le traitement "LRPPN".
 
La CNIL accueille favorablement cette évolution de nature à exclure le déploiement d’un dispositif de reconnaissance faciale dans l’outil.
 
Il apparait toutefois que le module "GASPARD" permet d’alimenter, via le LRPPN, le TAJ – lequel contient un dispositif de reconnaissance faciale. A cet égard, la CNIL prend acte de ce que les flux de données sont unidirectionnels, ne pouvant être opérés que depuis le LRPPN vers le TAJ.
 
c. Concernant la collecte de données relatives aux "signes physiques particuliers, objectifs et permanents en tant qu’éléments de signalement"
Le projet de décret autorise la collecte, dans le cadre des procédures judiciaires, d’informations relatives aux "signes physiques particuliers, objectifs et permanents en tant qu’éléments de signalement" des personnes victimes, mises en cause ou faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort ou d’une disparition.
 
Selon l’AIPD, ces données sont collectées lorsqu’il est nécessaire de rassembler des éléments permettant d’identifier une victime, ou encore de permettre l’identification d’une personne recherchée, au moment de l’audition où à la suite des investigations. S’agissant des personnes mises en cause, les données qui correspondent à leur description physique sont recueillies à l’occasion d’une opération de signalisation de l’individu, dans les locaux de police, via le module "GASPARD".
 
Il ressort également de l’AIPD que la description physique ou l’enregistrement du signalement d’une personne dans une procédure judiciaire peut conduire à révéler des données de la nature de celles mentionnées à l’article 6 de la loi "informatique et libertés" (ci-après "données sensibles").
Sans remettre en cause les impératifs liés aux besoins opérationnels relatifs à l’exécution des procédures judiciaires, la CNIL rappelle que ces données ne doivent être traitées qu’en cas de nécessité absolue et ne doivent pas porter une atteinte disproportionnée à la vie privée des personnes concernées. A cet égard, en plus des formations délivrées aux utilisateurs du logiciel, des mesures supplémentaires devraient être mises en place. Elle
recommande, par exemple, qu’un message d’avertissement relatif à la nature particulièrement sensible des données relatives aux signes physiques particuliers puisse incrémenter l’écran au moment de la saisie de cette catégorie de données.
 
d. S’agissant des informations relatives aux "fouilles de sécurité"
 
Le projet de décret prévoit, pour les personnes physiques mises en cause dans le cadre d’une procédure judiciaire, la collecte d’informations relatives aux "fouilles de sécurité". L’AIPD précise que le traitement de ces données vise à rendre compte des investigations menées par les enquêteurs en mentionnant, notamment, les objets résultant de la fouille.
 
La CNIL estime que la notion de "fouilles de sécurité", susceptible de faire l’objet d’une interprétation large, pourrait être précisée. Par conséquent, il conviendrait d’apporter, dans le décret, des précisions quant à la nature des données figurant au titre de cette catégorie, et a minima de préciser que les données seraient limitées aux résultats des fouilles.
C. Sur les droits des personnes
 
En premier lieu, s’agissant de l’information des personnes :
 
une information générale est assurée par l’intermédiaire d’une publication sur le site web du ministère et par voie d’affichage au sein des commissariats de police ;
pour certaines catégories de personnes, des mentions d’information sont prévues au niveau de formulaires (c’est le cas, par exemple, de la "notice victime").
 
Au regard de ces éléments, et en vue d’assurer l’effectivité des droits, la CNIL recommande que l’information puisse être réalisée directement auprès des personnes concernées lorsque cela est matériellement possible.
 
En second lieu, le projet de décret modifie pour mettre en conformité avec la réglementation relative à la protection des données les dispositions relatives aux droits des personnes concernées par le traitement.
 
S’agissant, d’une part, des données traitées dans le cadre de procédures administratives, le projet de décret prévoit que les droits s’exercent directement auprès de la direction générale de la police nationale, sauf en cas de restrictions en application de l’article 107 de la loi "informatique et libertés".
 
S’agissant, d’autre part, des données traitées dans le cadre des procédures judiciaires, le projet de décret fait application de l’article 111 de cette même loi et prévoit que les droits des personnes sont régis par les dispositions du code de procédure pénale (CPP).
L’article 111 précité soumet aux seules dispositions du CPP l’exercice des droits des personnes concernées sur leurs données à caractère personnel lorsque celles-ci figurent "dans un dossier judiciaire faisant l’objet d’un traitement lors d’une procédure pénale".
 
Compte tenu de la variété des données susceptibles d’être concernées par l’application de ces dispositions, elle recommande que l’AIPD explicite de la façon la plus exhaustive possible les cas dans lesquels l’article 111 ou les restrictions de l’article 107 de la loi "informatique et libertés" ont vocation à s’appliquer afin d’orienter le responsable de traitement dans l’instruction des demandes d’exercice des droits des personnes. 
 
Au regard de ce qui précède, afin de permettre aux personnes concernées de disposer d’une information claire, les mentions d'information qui seront diffusées pourraient expliciter les cas dans lesquels l'article 111 de la loi "informatique et libertés" serait applicable (CNIL, SP, 15 juin 2023, avis sur projet de décret, SISPoPP, n° 2023-055, publié).
 
D. Sur les mesures de sécurité
La CNIL prend acte de la confirmation du ministère quant à l’utilisation de l’authentification multifacteur comme moyen d’authentification au traitement LRPPN. Elle rappelle néanmoins que, dans les cas exceptionnels où l’authentification est effectuée via des modalités alternatives, il est nécessaire de prévoir des mesures de sécurité techniques et organisationnelles complémentaires qui permettent de conserver un niveau de sécurité équivalent.
 
La CNIL accueille favorablement l’ambition du ministère de mettre en œuvre une mesure technique et organisationnelle d’analyse des journaux d’évènements. Elle rappelle néanmoins sa recommandation sur le déploiement d’une mesure technique de surveillance active des journaux applicatifs, en vue de permettre la détection immédiate d’actions malveillantes au sein du traitement. Cette exigence s’impose d’autant plus que le traitement LRPPN collecte un nombre particulièrement élevé de données à caractère personnel dont la divulgation serait susceptible d’avoir d’importantes conséquences sur la sécurité des personnes concernées.
 
Concernant la qualité des données, en l’état, la majorité des interconnexions sont réalisées par le biais de rapprochements manuels. La CNIL retient néanmoins la confirmation du ministère quant à la mise en œuvre de tests de cohérence manuels, réalisés par les responsables hiérarchiques, entre les données saisies et les données reçues.
 
 
La présidente,
 
 
M.-L. Denis
N° de demande d’avis : 2355059
Thématiques : caméras individuelles, personnels de surveillance de l'administration pénitentiaire 
Organisme(s) à l’origine de la saisine : ministère de la justice
Fondement de la saisine : article L. 223-20 du code de l’administration pénitentiaire
 
L’essentiel :
 La CNIL a été saisie pour avis par le ministère de la justice d'un projet de décret visant à prévoir les modalités d'application de l'article L. 223-20 du code de l’administration pénitentiaire qui pérennise et généralise l'utilisation des caméras individuelles par les personnels de surveillance de l'administration pénitentiaire, en application de la loi n° 2023-1059 du 20 novembre 2023 d’orientation et de programmation du ministère de la justice 2023-2027.
 L’usage de ces caméras individuelles a fait l’objet d’une expérimentation entre octobre 2020 et février 2022, sur laquelle la CNIL s’était prononcée.
La CNIL considère que le traitement s’accompagne de garanties satisfaisantes (formulaire de déclenchement de l’enregistrement, actions de formation et de sensibilisation, durée de conservation du registre de journalisation réduite à un an, intégrité des données, etc.). Elle estime néanmoins que le projet de décret devra être complété sur les motifs permettant le déclenchement d'un enregistrement audiovisuel. Elle prend acte de l’engagement du ministère d’inclure des exemples non exhaustifs de cas de déclenchement des caméras individuelles au sein de l’ensemble des supports d’information des personnes, ainsi que dans la doctrine d’emploi. Enfin, elle prend acte de l’ensemble des précisions apportées en matière d’information des personnes.
­­­­­­­­­­­­­­­­­­­­­­­­­­­­___________________
La Commission nationale de l'informatique et des libertés,
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ("loi informatique et libertés").
Sur la proposition de Mme Sophie Lambremon, commissaire, et après avoir entendu les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :
I. La saisine
 
A. Le contexte
L’usage de caméras individuelles par les personnels de surveillance de l'administration pénitentiaire a fait l’objet d’une expérimentation entre octobre 2020 et février 2022, dans des établissements pénitentiaires (dont certains quartiers pour mineurs) et lors d’interventions en unités hospitalières et en missions extérieures. Cette expérimentation a été autorisée par la loi n° 2018-697 du 3 août 2018 et le décret n° 2019-1427 du 23 décembre 2019, pour une durée de trois ans, pris après avis de la CNIL (CNIL, SP, 5 décembre 2019, délibération, projet de décret relatif aux caméras individuelles des personnels de surveillance de l'administration pénitentiaire, n° 2019-140, publiée). 
 
La CNIL a examiné les résultats de l’expérimentation menée jusqu’à juillet 2021 dans la perspective de la pérennisation de ce dispositif via la loi n° 2023-22 du 24 janvier 2023 d'orientation et de programmation du ministère de l'intérieur (CNIL, SP, 3 mars 2022, délibération, projet de loi LOPMI, n° 2022-028, publiée). La pérennisation et la généralisation du port de caméras individuelles à l’ensemble des structures pénitentiaires ont finalement été introduites par l’article 43 de la loi n° 2023-1059 du 20 novembre 2023 d’orientation et de programmation du ministère de la justice 2023-2027 (article L. 223-20 du code de l’administration pénitentiaire).
 
B. L’objet de la saisine
Le ministère de la justice a saisi la CNIL d’un projet de décret d’application de l’article L. 223-20 du code de l’administration pénitentiaire. S’agissant d’un traitement de données unique, une analyse d’impact relative à la protection des données (AIPD) unique a été transmise, à laquelle l’ensemble des établissements pénitentiaires devront se conformer.
 
II. L’avis de la CNIL
 
A. Sur la généralisation des caméras individuelles 
 
Dans sa délibération n° 2022-028 du 3 mars 2022 portant avis sur un projet de loi d’orientation et de programmation du ministère de l’intérieur (LOPMI), la CNIL avait observé que le rapport destiné au Parlement, qui lui avait été transmis, dressait "un bilan mitigé de l’expérimentation conduite entre octobre 2020 et juillet 2021". 
 
L’expérimentation, qui a pris fin le 5 février 2022, n’a pas fait l’objet de rapport complémentaire. Le ministère a néanmoins fait valoir :
une évolution de la prise de conscience, par les personnels de surveillance de l’administration pénitentiaire, de la dangerosité de leurs missions, coïncidant avec une augmentation du taux d’occupation des établissements pénitentiaires et des violences, y compris de la part des détenus mineurs ;
la création de nouvelles équipes locales de sécurité pénitentiaire ayant pour mission la réalisation de missions extérieures ;
ainsi qu’un renouvellement du matériel (amélioration de l’autonomie des caméras).
Elle prend acte de ce que le périmètre du traitement est élargi :
à l’ensemble des établissements recevant des mineurs et non plus seulement les quartiers spécifiques pour mineurs en établissement pénitentiaire ordinaire ;
à l’ensemble des établissements pénitentiaires, y compris dans la cellule ou à l’extérieur, sur la voie publique lors du transport de la personne détenue, sous réserve de se trouver dans l’une des situations ou missions autorisant le déclenchement de l’enregistrement. 
 
B. Sur les modalités d’utilisation des caméras individuelles 
 
Le projet de décret prévoit que : "dans le cadre des missions et dans les conditions prévues à l’article L. 223-20, lorsque se produit ou est susceptible de se produire un incident, les personnels désignés peuvent procéder à un enregistrement audiovisuel de leurs interventions". Il indique que ce traitement a pour finalités : 
la prévention des incidents et des évasions ;
le constat des infractions et la poursuite de leurs auteurs par la collecte de preuves ;
la formation des agents.
 
L’AIPD précise que "le risque d’incident peut notamment consister en un acte de violence, physique ou verbale, une mutinerie ou une évasion".
Les finalités prévues par l’article L. 223-20 du code de l’administration pénitentiaire sont bien mentionnées dans le projet de décret. Celles-ci font référence à des incidents qui nécessitent l’intervention du personnel pénitentiaire, ce qui induit un premier critère de gravité. Néanmoins, la CNIL considère que le projet de décret devrait davantage préciser les motifs permettant le déclenchement d'un enregistrement audiovisuel. Elle prend acte de l’engagement du ministère d’inclure des exemples non exhaustifs de cas de déclenchement des caméras individuelles au sein de l’ensemble des supports d’information des personnes prévus au sein de l’AIPD, ainsi que dans la doctrine d’emploi. 
 
Elle accueille favorablement les garanties suivantes qui résultent de l’AIPD et des déclarations du ministère :
une doctrine d’emploi, en cours de finalisation, prévoit le renseignement d’un motif dès lors qu’un enregistrement a fait l’objet d’un déclenchement, tout comme le formulaire de déclenchement qui en permet la traçabilité écrite ;
au cours d’une intervention de nature médicale, en structures hospitalières, médicales ou dans les locaux utilisés pour une prise en charge sanitaire, les agents ne peuvent procéder à aucun enregistrement, quand bien même un incident aurait lieu à cette occasion, afin de respecter le secret médical ;
des actions de formation et de sensibilisation visent à accompagner le déploiement du dispositif afin de sensibiliser les personnels aux risques et bénéfices de l’utilisation de caméras mobiles ;
des contrôles réguliers sont effectués par la hiérarchie dans le cadre de la finalité disciplinaire.
Le déclenchement des caméras peut être manuel ou automatique. En particulier, le nouvel équipement permet de déclencher automatiquement la caméra, lorsque l'agent fait usage du Pistolet à Impulsion Electrique (PIE) ou le sort (selon le modèle) dans un rayon de 20 mètres environ. Il s’agit de sécuriser l’intervention armée et d’obtenir une captation des images avec plusieurs angles de vue simultanés permettant de saisir l’incident dans sa globalité.
 
La CNIL prend acte de ce que :
l’activation manuelle d’une caméra ne pourra pas déclencher d’enregistrement des caméras situées à proximité, contrairement à l'hypothèse où l'agent fait usage du PIE ou le sort ;
la récupération des trente secondes de vidéos précédentes en mémoire tampon vaut pour tous les modes de déclenchement (manuels et automatiques).
 
C. Sur les durées de conservation
Le projet de décret prévoit que la durée de conservation des données et informations est réduite à trois mois à compter du jour de leur enregistrement. Au terme de ce délai, ces données sont effacées automatiquement du traitement, hors procédure judiciaire, administrative ou disciplinaire (conservation selon les règles propres à chacune de ces procédures).
 
S’agissant des durées de conservation des traces, le projet de décret prévoit une durée de conservation des informations enregistrées dans le journal réduite à un an, au lieu de trois ans lors de l’expérimentation.
 
La CNIL considère justifiée la durée de conservation des traces.
 
L’AIPD précise que pour les vidéos conservées à des fins pédagogiques, la suppression des données ne pourra se faire automatiquement à l’issue du délai de trois mois et qu’un "formulaire de gestion d’une vidéo à potentiel pédagogique" permettra d’encadrer les pratiques et assurer la suppression des données. La CNIL comprend que, dans ce cadre, la suppression ne pourra être effectuée que manuellement, et prend acte de ce que le ministère veillera à anonymiser les données.
 
D. Sur l’absence de transmission en temps réel des enregistrements et d’accès direct aux enregistrements par les agents
 
L’article L. 223-20 du code pénitentiaire autorise :
d’une part, la transmission en temps réel des enregistrements ;
et d’autre part, l’accès direct aux enregistrements par les agents.
Le projet de décret ferme au contraire ces possibilités et prévoit que :
"les enregistrements sont transférés sur un support informatique sécurisé dès la fin de la mission au cours de laquelle la caméra a été déclenchée" ;
"les enregistrements ne peuvent être consultés qu’à l’issue de l’intervention et après leur transfert sur un support informatique sécurisé".
 
L’AIPD précise qu’à défaut des infrastructures nécessaires mises en place dans les établissements pénitentiaires (absence de réseau sans fil sécurisé n’interférant pas avec le brouillage des établissements pour permettre l’envoi sécurisé des vidéos en salle de crise et prise en compte du risque sécuritaire induit sur la connectivité des caméras individuelles), les possibilités de transmission en temps réel et d’accès direct aux enregistrements par les agents, prévues par le code pénitentiaire, ne seront pas mises en œuvre.
 
La CNIL prend acte de ce que ni la transmission en temps réel ni l’accès direct aux enregistrements ne sont mis en œuvre à ce jour du fait des contraintes techniques propres aux structures pénitentiaires et des perspectives de déploiement de dispositifs de brouillage dans l’ensemble des établissements pénitentiaires. Elle rappelle que la CNIL devra être saisie de toute modification du décret préalablement à leur mise en place.
 
E. Sur l’information des personnes
Le projet de décret prévoit que l'information générale du public est réalisée sur le site internet du ministère de la justice et par affichage au sein des établissements pénitentiaires.
 
Les mesures annoncées par le ministère sont satisfaisantes, avec notamment une attention particulière portée au caractère effectif de l’information des mineurs :
les notices d’information sont adaptées en détention en des termes simples et adaptés, formulés sous forme de questions, notamment pour la compréhension des personnes vulnérables ;
une vulgarisation individuelle complète des mentions d’information est accessible à l’arrivée de chaque détenu dans le guide "je suis en détention" et est disponible en dix langues ;
dans le cadre du parcours arrivant de la personne détenue mineure, ses représentants légaux se voient remettre un courrier les informant du fonctionnement de la détention, dans lequel l’information relative aux caméras individuelles est intégrée (fonctionnement, finalités, etc.).