La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le décret n° 2011-341 du 29 mars 2011 portant création d'un traitement de données à caractère personnel intitulé  gestion des sollicitations et des interventions  ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 30 ;
Vu loi n° 2002-1094 du 29 août 2002 d'orientation et de programmation pour la sécurité intérieure modifiée ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-341 du 29 mars 2011 portant création d'un traitement de données à caractère personnel intitulé  gestion des sollicitations et des interventions  ;
Vu la délibération n° 2010-458 du 9 décembre 2010 portant avis sur un projet de décret en Conseil d'Etat autorisant la création du traitement de données à caractère personnel intitulé  Gestion des sollicitations et des interventions  ;
Vu le dossier et ses compléments ;
Sur le rapport de M. Jean-Marie COTTERET, commissaire et après avoir entendu les observations de Monsieur Jean-Alexandre SILVY, commissaire du Gouvernement ;
Emet l'avis suivant :
La Commission a été saisie pour avis par le ministère de l'intérieur, le 11 mars 2013, d'un projet de décret en Conseil d'Etat modifiant le décret n° 2011-341 du 29 mars 2011 portant création d'un traitement de données à caractère personnel intitulé  gestion des sollicitations et des interventions  (GSI).
Le projet de décret modificatif dudit traitement, mis en œuvre pour compte de l'Etat, contient des données mentionnées à l'article 8-I de la loi du 6 janvier 1978 modifiée, il doit donc être pris en application des articles 26-II et 30 de la loi du 6 janvier 1978 modifiée, après avis motivé et publié de la Commission.
Rappel sur le traitement GSI et la présentation des modifications envisagées
Le traitement GSI est mis en œuvre par la direction générale de la gendarmerie nationale (DGGN) dans le cadre de son application  Base de données de sécurité publique  (BDSP). Conformément au décret n° 2011-341 du 29 mars 2011 après avis de la Commission en date du 9 décembre 2010, il a pour finalité  d'apporter une réponse adaptée aux sollicitations des usagers, notamment faites auprès d'un centre d'appel, et d'assurer l'engagement des personnels et des moyens de la gendarmerie dans les meilleures conditions d'efficacité . Il permet de gérer les appels entrants par le numéro d'urgence  17 , de visualiser les moyens disponibles par la géolocalisation des patrouilles et d'engager les moyens humains et matériels nécessaires par la transmission des ordres et des informations utiles aux unités et patrouilles.
Ce traitement de gestion opérationnelle de l'activité des unités de gendarmerie au niveau départemental s'inscrit dans la mise en application de la loi n° 2002-1094 du 29 août 2002 modifiée, laquelle prévoit notamment l'informatisation des centres de commandement de la gendarmerie. Il constitue le principal outil de travail des opérateurs au sein des centres opérationnels et de renseignement de la gendarmerie (CORG) au niveau départemental.
Les modifications envisagées du traitement portent sur l'ajout de nouvelles données traitées, à savoir des données relatives à la santé, et l'ajout des services d'urgence à la liste des destinataires des données qui y sont enregistrées.
Sur l'ajout des données de santé aux données collectées
L'article 3 du décret du 29 mars 2011 précise qu'il est interdit de collecter ou de traiter des données à caractère personnel, dites  sensibles , relevant de l'article 8 de la loi du 6 janvier 1978 modifiée. Cependant, par exception et dans certains cas, le  signalement  pourra laisser apparaître de telles données lorsqu'elles sont relatives à  des signes physiques particuliers et objectifs .
La modification envisagée vise à ajouter une nouvelle exception à cette interdiction de principe, en tenant compte du fait que certaines données de santé peuvent être collectées ou traitées  lorsqu'elles sont strictement nécessaires aux missions de secours, sauvetage, et protection des personnes . Le traitement n'aura pas vocation à enregistrer des éléments précis d'un diagnostic effectué par un médecin ou d'un traitement médical. Il s'agira d'éléments bruts, constatés par les primo-arrivants sur place de la gendarmerie ou fournies par l'appelant lui-même.
Ces informations sont en effet nécessaires pour catégoriser et dimensionner l'intervention en ressources humaines et matérielles, ainsi que pour prendre les précautions utiles et alerter les acteurs de santé concernés.
La Commission considère dès lors que l'extension des données collectées et traitées est adéquate, pertinente et non excessive au regard de la finalité du traitement. En outre, elle prend acte qu'il sera être impossible de sélectionner dans le traitement une catégorie particulière de personnes à partir d'une donnée relative à la santé.
Sur l'extension des destinataires aux services d'urgence
L'article 2 du projet de décret modificatif vise à intégrer les services d'urgence dans la liste des destinataires du traitement. Il est prévu que ces services soient destinataires des données à caractère personnel relatives aux personnes à l'origine de la demande d'intervention ou faisant l'objet de l'intervention, et notamment aux données relevant de l'article 8 de la loi du 6 janvier 1978 modifiée les concernant.
Le ministère indique en effet que les échanges entre services d'urgence, notamment les centres opérationnels dits 15, 17 et 18, sont très fréquents et qu'il n'est pas rare que la gendarmerie, première contactée ou première arrivée sur les lieux, ait à transmettre aux services de secours les informations dont elle dispose.
La Commission prend alors acte des garanties entourant ces communications d'informations, à savoir qu'elles s'inscrivent uniquement dans la mission de secours aux personnes, dans le cadre de protocoles d'intervention avec la gendarmerie nationale, et dans la limite du besoin d'en connaître.
Ces dispositions n'appellent pas d'observation de la part de la Commission, qui relève que les autres caractéristiques du traitement, notamment l'architecture informatique du système, ne sont en rien affectées par ces modifications.
La Présidente
Isabelle FALQUE-PIERROTIN