La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l’intérieur d’une demande d’avis concernant un projet de décret portant modification du décret n° 2011-111 du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l’intérieur (direction générale de la gendarmerie nationale) d’un traitement automatisé de données à caractère personnel d’aide à la rédaction des procédures ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Emet l’avis suivant :
La Commission a été saisie en urgence le 19 mai 2021 d’une demande d’avis portant sur un projet de décret portant modification du décret n° 2011-111 du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l’intérieur (direction générale de la gendarmerie nationale) d’un traitement automatisé de données à caractère personnel d’aide à la rédaction des procédures (LRPGN).
Cette saisine rectificative, qui fait suite à un premier avis de la Commission en date du 1

Dans cette décision, le Conseil d’Etat, après avoir rappelé que le décret régissant le traitement présentait comme l’une des finalités de l’application GendNotes le recueil et de la conservation de données
en vue de leur exploitation dans d’autres traitements
aucune indication quant à la nature et à l'objet des traitements concernés ni quant aux conditions d'exploitation, dans ces autres traitements, des données collectées par le traitement
déterminée, explicite et légitime
Ainsi, et pour tenir compte de cette décision, le projet de décret vise à expliciter les finalités du traitement LRPGN, qui prévoyaient initialement une finalité de
mise en relation avec des traitements de données relatives aux procédures judiciaires
Dans ce contexte, après avoir précisé les garanties devant selon elle s’attacher de manière générale à la mise en œuvre de mises en relation entre traitements, la Commission formule plusieurs séries d’observations concernant le projet de décret.
Enfin, la Commission accueille favorablement le fait que, dans le nouveau projet transmis, le ministère apporte des ajustements à certaines dispositions du décret, afin de tenir compte des observations formulées dans sa délibération précitée, plus particulièrement s’agissant du régime juridique retenu, des catégories de données collectées, ainsi que des durées de conservation.
Elle relève néanmoins que l’analyse d’impact sur la protection des données (AIPD) qui lui a été transmise n’a pas été mise à jour depuis la précédente saisine portant sur le traitement LRPGN, et datant de 2020, ce qu’elle regrette. La Commission invite le ministère à la mettre à jour dans les meilleurs délais afin de tenir compte des évolutions envisagées.
Sur les garanties attachées à la mise en œuvre de mises en relation entre plusieurs traitements
En premier lieu,
Une mise en relation est constituée par toute opération visant à utiliser les données d’un premier traitement pour une opération, quelle qu’elle soit, liée à un second traitement. De manière générale, le fait de mettre en relation deux traitements, que cela s’apparente à une interconnexion, à un rapprochement ou prenne une autre forme, ne constitue pas une finalité en soi mais simplement une fonctionnalité, un moyen par lequel une certaine finalité peut être poursuivie.
La Commission rappelle que, conformément aux dispositions de l’article 35 de la loi du 6 janvier 1978 modifiée et dans son champ d’application, les finalités du traitement doivent figurer expressément dans l’acte réglementaire encadrant le traitement mais pas l’ensemble des moyens permettant de poursuivre cette finalité.
La Commission estime en revanche que, dans le cas où une mise en relation avec un autre traitement poursuit une finalité propre, distincte des finalités énumérées par l’acte réglementaire, voire constitue l’unique finalité du traitement, alors cette dernière doit être suffisamment précise afin de répondre aux exigences de la loi informatique et libertés , comme l’a rappelé le Conseil d’Etat dans sa décision du 13 avril 2021. Plus particulièrement, dans cette hypothèse, la seule mention de l’interconnexion, du rapprochement ou de la mise en relation au titre des finalités du traitement, ne saurait suffire, à elle seule, à satisfaire ces exigences. Une telle finalité doit, comme l’a jugé le Conseil d’Etat, préciser
la nature et l’objet des traitements concernés
conditions d’exploitation
En deuxième lieu,
En troisième lieu,
Ainsi, s’agissant par exemple du transfert de données d’une base de données vers une autre, celui-ci n’est possible que s’il s’inscrit ou concourt aux finalités poursuivies par la base d’origine (ou à celles associées aux transmissions à des destinataires), si les données transférées sont autorisées à figurer dans la base de destination et si au moins une personne habilitée à alimenter la base de destination constitue un accédant ou un destinataire de la base d’origine.
En quatrième lieu,
A ce titre, la Commission rappelle que l’AIPD, qui doit notamment contenir une description détaillée du traitement mis en œuvre (comprenant tant les aspects techniques qu’opérationnels) doit nécessairement, lorsqu’elle est réalisée, porter sur les mises en relation, et notamment les interconnexions. Elle devra ainsi les lister de manière aussi exhaustive que possible, telles qu’elles sont connues et envisagées à la date de rédaction de l’analyse, en précisant leurs conditions de mise en œuvre (finalités, nature des données transmises, nécessité, conditions de transmission, sécurité des opérations, etc.).
La Commission rappelle par ailleurs que, lorsqu’elle est saisie d’une demande d’avis, celle-ci comporte conformément au 3° de l’article 33 de la loi du 6 janvier 1978 modifiée, les
interconnexions, les rapprochements ou toute forme de mise en relation avec d’autres traitements
En cinquième lieu
En dernier lieu
Il résulte de ce qui a été dit ci-dessus que la liste de toutes les interconnexions, mises en relation et rapprochements n’a pas obligatoirement à figurer dans l’acte réglementaire. La Commission considère néanmoins que, dans certains cas particuliers, leur mention peut constituer une bonne pratique, notamment lorsque les finalités principales du traitement sont étroitement liées à quelques mises en relation particulières. A défaut, elle recommande vivement aux responsables de traitement publics, pour les traitements correspondant par exemple à des bases de données importantes, de décrire sur leur site web l’ensemble des mises en relation réalisées avec d’autres bases de données.
S’agissant de la mise en œuvre de ces garanties concernant le traitement LRPGN
De manière générale et conformément aux principes rappelés ci-dessus, la Commission appelle tout particulièrement l’attention du ministère sur la nécessité de vérifier que l’ensemble des mises en relation qu’il envisage est conforme aux dispositions réglementaires régissant les autres traitements, et plus largement celles en matière de protection des données à caractère personnel. Elle estime qu’à défaut, il ne pourra être procédé à certaines des mises en relation indiquées dans l’AIPD, sauf à modifier préalablement les actes réglementaires en cause.
Sur les finalités du traitement
L’article 1

permettre la collecte des informations nécessaires à la conduite de ces procédures, en vue de leur transmission aux autorités administrative et judiciaires chargées de les exploiter
La Commission relève tout d’abord que cette évolution vise à tenir compte des remarques qu’elle a formulées dans sa délibération précitée et plus particulièrement celle visant à considérer que la finalité initialement retenue correspondait davantage à une fonctionnalité technique, au service d’autres finalités. Dans son avis, la Commission avait en outre souligné que son caractère imprécis ne permettait d’appréhender ni les conditions de mise en œuvre du traitement, ni son périmètre.
En l’espèce, et au regard tant des précisions apportées par le Conseil d’Etat dans sa décision du 13 avril 2021 que des observations formulées dans la présente délibération quant aux conditions de mis en œuvre générale des traitements mettant en œuvre des opérations d’interconnexion, de mise en relation ou de rapprochement, la Commission estime que les modifications projetées des finalités du traitement LRPGN n’appellent pas d’observations particulières.
Sur les catégories de données traitées
L’article 7 du projet de décret complète celui-ci d’une annexe qui liste les données qui pourront être traitées dans le logiciel de rédaction. L’annexe distingue les catégories de données relatives aux personnes mises en cause, ainsi qu’aux personnes victimes, pour les procédures judiciaires et les procédures administratives. A titre liminaire, la Commission relève que ces évolutions visent notamment à tenir compte des observations formulées dans sa délibération du 1

En premier lieu
éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure judiciaire
En revanche,
en deuxième lieu,
données et informations nécessaire à la conduite des investigations, issues de la consultation des traitements de données intéressant les procédures judiciaires et administratives mises en œuvre par les unités de gendarmerie ou par les services de police
La Commission comprend de ces dispositions que cette catégorie de données pourra permettre en pratique d’enregistrer au sein du traitement LRPGN toute donnée issue de la consultation d’autres fichiers détenus par la police et la gendarmerie, sans que la nature et l’objet de ceux-ci soient précisément indiqués, et sans qu’il soit exigé que cette donnée corresponde à l’une des autres catégories de données listées dans l’annexe. Si la Commission ne remet pas en cause l’absence d’obligation de mentionner les interconnexions, rapprochements et autres mises en relation au sein du projet de décret, conformément à l’article 35 de la loi du 6 janvier 1978 modifiée, elle estime que la formule utilisée dans le projet d’annexe n’apparaît pas conforme aux principes rappelés ci-dessous. L’importation de données issues d’autres fichiers consultés par la gendarmerie ou la police n’est possible que si les données en cause relèvent d’une des autres catégories de l’annexe, et dans le respect des actes réglementaires régissant ces traitements. Sauf à ce que le ministère entende lister ces traitements dans le projet de décret ou en décrire précisément les objets, la Commission invite donc le ministère à modifier cette formule.
Comme souligné dans sa délibération du 1

personne connue au traitement d’antécédents judiciaires (TAJ)
En conclusion, la Commission estime que cette formule de l’annexe doit être modifiée. Elle invite le ministère soit à la supprimer, si les autres catégories déjà listées (et notamment la catégorie des
éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure
En troisième lieu
A cet égard, la Commission relève que, s’agissant des photographies des victimes, la collecte de cette donnée est uniquement prévue dans le cadre de procédures judiciaires et dans la mesure où elles peuvent, selon le ministère, être nécessaires à l’enquête, que ce soit dans le cadre d’atteintes aux personnes (par exemple des traces de coups), ou pour permettre l’identification d’une personne décédée ou disparue.
Si la Commission ne remet pas en cause la pertinence de la collecte de cette donnée, elle estime néanmoins que les hypothèses de sa collecte étant limitées aux seules atteintes aux personnes, le projet de décret pourrait être précisé afin de circonscrire leur enregistrement à ces seuls cas d’usage et ainsi être limité à ce qui est strictement nécessaire à la conduite de la procédure judiciaire.
En dernier lieu
S’agissant de la sécurité et la traçabilité des actions
De manière générale, la Commission relève que la durée de conservation des traces indiquées dans l’AIPD ne semble pas conforme à celle indiquée dans le projet de décret. Elle invite donc le ministère à procéder à une mise à jour de l’APID avant la mise en œuvre effective du traitement, afin de remplir pleinement ses obligations légales.
L’article 6 du projet de décret prévoit que
les opérations de collecte, de consultation, de modification, de communication et d’effacement des données et informations du traitement font l’objet d’un enregistrement comprenant l’identification de l’auteur, la date, l’heure et la nature de l’opération
La Commission relève que conformément à ce que permet l’article 37 de la loi n° 2018-493 du 20 juin 2018, le ministère entend reporter la mise en œuvre d’une partie de ces mesures, en l’espèce l’enregistrement du motif de la consultation ou de la communication, au plus tard au 31 décembre 2022, ce que prévoit le projet de décret.
Si elle ne remet pas en cause la mobilisation de cette possibilité, la Commission rappelle néanmoins l’importance de la mise en œuvre de telles mesures permettant d’assurer la sécurité du traitement. Elle souligne que la traçabilité de ces différentes opérations est d’autant plus importante qu’elle permettra également de prévenir tout mésusage de la mise en œuvre d’interconnexions, de mises en relation ou de rapprochements au sein du traitement LRPGN.
La Commission rappelle par ailleurs la nécessité de prévoir des mesures d’analyse automatique des données de traçabilité afin de garantir que les éventuels détournements du traitement soient détectés le plus précocement possible.
La Présidente
Marie-Laure DENIS