(avis n° 1393868 v 0)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales, d’une demande d’avis portant sur un projet de décret modifiant le décret n° 87-249 du 8 avril 1987 relatif au fichier automatisé des empreintes digitales ;
Vu le traité sur le fonctionnement de l’Union européenne, notamment son titre V ;
Vu le traité relatif à l’approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme, la criminalité transfrontalière et la migration illégale, signé à Prüm le 27 mai 2005 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu les décisions 2008/615/JAI du Conseil du 23 juin 2008 relative à l’approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité organisée et 2008/616/JAI du Conseil du 23 juin 2008 concernant la mise en œuvre de la Décision 2008/615/JAI relative à l’approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité organisée ;
Vu le code de procédure pénale ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004, et notamment son article 26 ;
Vu la loi n° 2003-289 du 18 mars 2003 modifiée pour la sécurité intérieure, notamment son article 24 ;
Vu le décret n° 87-249 du 8 avril 1987 relatif au fichier automatisé des empreintes digitales ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-401 du 25 mars 2007 ;
Vu le décret n° 2009-785 du 23 juin 2009 relatif à l’accès d’organisations internationales et d’Etats étrangers au fichier national automatisé des empreintes génétiques ;
Vu la délibération n° 2008-113 du 14 mai 2008 portant avis sur un projet de décret en Conseil d’Etat modifiant le code de procédure pénale (deuxième partie : décrets en Conseil d’Etat) et relatif au fichier national des empreintes génétiques ;
Après avoir entendu Monsieur Jean-Marie COTTERET, commissaire, en son rapport et Madame Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant
La Commission a été saisie par le ministère de l’intérieur, de l’outre-mer et des collectivités territoriales, d’une demande d’avis portant sur un projet de décret en Conseil d’Etat modifiant le décret n° 87-249 du 8 avril 1987 relatif au fichier automatisé des empreintes digitales (FAED).
Le décret du 8 avril 1987, pris après avis favorable de la CNIL en date du 14 octobre 1986, a autorisé la création du FAED, qui a pour finalité de faciliter la recherche et l’identification, par les services de police judiciaire, des auteurs de crimes et de délits et de faciliter la poursuite, l’instruction et le jugement des affaires dont l’autorité judiciaire est saisie. Plus précisément, le FAED a pour objet d’identifier les auteurs de crime ou de délit par comparaison des traces relevées sur des lieux d’infractions, et de s’assurer de la véritable identité des personnes mises en cause dans une procédure pénale ou condamnées à une peine privative de liberté, afin d’éviter les erreurs judiciaires et de détecter les fausses identités et les cas de récidive.
Les modifications envisagées visent à intégrer les agents du service national de douane judiciaire dans le dispositif d’une part, et à permettre l’application des engagements internationaux ratifiés par la France qui prévoient des échanges d’information en matière d’empreintes dactyloscopiques d’autre part.
Sur l’alimentation et la consultation du FAED par les agents de la douane judiciaire
La Commission relève que l’article 28-1 du code de procédure pénale prévoit la faculté pour les agents des douanes procédant à des enquêtes judiciaires de recourir aux opérations de signalisation en vue de l’alimentation et de la consultation du FAED, telles que prévues à l’article 55-1 dudit code.
Afin de permettre l’application de ces dispositions, le ministère de l’intérieur envisage de modifier l’article 1er du décret du 8 avril 1987 afin d’ajouter les services des douanes exerçant des missions de police judiciaire à la liste des services pouvant recourir au traitement, aux côtés des services de police et de gendarmerie nationales. Il projette également de modifier l’article 8 dudit décret afin de mentionner les agents du service national de douane judiciaire à la liste des destinataires des données enregistrées dans le FAED.
A cet égard, la Commission prend acte de ce que ces agents pourront alimenter le traitement via des bornes installées à cet effet dans leurs locaux, et de ce qu’ils pourront également avoir accès au FAED par ces mêmes bornes, mais uniquement en consultation. Ainsi, les agents des douanes ne pourront effectuer eux-mêmes de rapprochements directs dans l’application, ceux-ci étant toujours exclusivement effectués par les services d’identité judiciaire de la police nationale ou par les unités de recherches de la gendarmerie nationale.
La rédaction projetée de l’article 8 du décret du 8 avril 1987 modifié prévoit ainsi que seuls les fonctionnaires des services d’identité judiciaire de la police nationale et des unités de recherches de la gendarmerie peuvent procéder aux opérations d’identification, à la demande de l’autorité judiciaire, des officiers de police judiciaire ou des agents des douanes habilités à effectuer des enquêtes judiciaires. Ledit article prévoit également que les agents des services de la police et de la gendarmerie nationales, ainsi que du service national de douane judiciaire, sont destinataires des données enregistrées dans le FAED dans le cadre de leurs attributions légales. Dans la mesure où le terme de destinataires ne figure pas dans le décret en vigueur, la Commission prend acte de cette modification rédactionnelle, qui apparaît plus conforme aux dispositions de l’article 29 de la loi du 6 janvier 1978 modifiée.
Elle prend enfin acte de ce que le nouvel article 8 du décret du 8 avril 1987 modifié mentionne expressément une procédure de désignation individuelle et d’habilitation spéciale pour tous ces destinataires, qu’il s’agisse des fonctionnaires des services d’identité judiciaire, des militaires des unités de recherche de la gendarmerie et des agents des services de police et de douane judiciaire.
Sur la transmission de données vers des Etats étrangers
Afin de permettre l’application des engagements internationaux ratifiés par la France comportant des dispositions relatives aux échanges d’informations en matière d’empreintes dactyloscopiques, le ministère de l’intérieur prévoit de créer deux nouveaux articles 9-1 et 9-2 au décret du 8 avril 1987 modifié, déterminant les conditions dans lesquelles les données enregistrées dans le FAED peuvent être consultées par des organismes de coopération internationale en matière de police judiciaire ou par des services de police ou de justice d’Etats étrangers.
En effet, en application du traité de Prüm signé par la France le 27 mai 2005, ces organismes et services peuvent bénéficier d’un accès aux données du FAED et recevoir les résultats des opérations d’identification effectuées dans le traitement. Les modalités d’accès des services étrangers au FAED sont similaires à celles qui ont été prévues en matière d’empreintes génétiques par le décret susvisé du 23 juin 2009, pris après avis de la CNIL en date du 14 mai 2008.
A cet égard, la Commission rappelle que chaque Etat signataire du traité dispose d’un accès réciproque, via un point de contact national, aux données des fichiers d’empreintes digitales des autres Etats parties, aux fins de réalisation d’opérations de rapprochement. Elle rappelle également que les consultations ne peuvent être effectuées que de manière ponctuelle, pour une affaire déterminée, et que, en cas de rapprochement positif, l’obtention des données à caractère personnel ou des informations relatives à l’affaire doit ensuite faire l’objet d’une demande spécifique, via les canaux institutionnels de la coopération internationale.
La Commission relève que de strictes mesures de traçabilité des demandes d’accès à la base seront mises en œuvre par le ministère de l’intérieur, conformément aux dispositions de l’article 39 du traité de Prüm. Elle relève également que le projet d’article 9-2 prévoit que les opérations de consultation du FAED par ces services étrangers « sont le fait d’agents spécialement habilités », « font l’objet, de la part de ces agents, de demandes préalables motivées » et « donnent lieu à la mise en place, par le gestionnaire du traitement, d’un dispositif permettant de retracer, par enregistrement informatique, la consultation du fichier ».
Si la Commission prend donc acte de ces nouveaux destinataires des données enregistrées dans le FAED, elle relève que le projet de décret revêt un caractère plus général en permettant la consultation du traitement par les agents des services de police ou de justice d’Etats étrangers dans les conditions prévues « par tout acte pris en application du titre V du traité sur le fonctionnement de l’Union européenne et poursuivant des buts analogues, en tout ou partie, à ceux du traité mentionné au 1° [traité de Prüm] » ainsi que « par tout engagement liant la France à des organismes internationaux ou à des Etats étrangers, aux fins et dans les conditions définies à l’article 24 de la loi n° 2003-239 du 18 mars 2003 sur la sécurité intérieure ».
S’agissant tout d’abord des actes européens, la Commission relève que le ministère de l’intérieur n’a apporté aucune précision sur des projets d’actes permettant l’échange de données dactyloscopiques entre les autorités répressives des Etats membres. Dès lors, elle s’interroge sur l’opportunité de ces dispositions, dont la rédaction apparaît par ailleurs très imprécise.
En second lieu, concernant les futurs engagements liant la France à des organismes internationaux ou à des Etats étrangers, elle relève que la rédaction retenue ne fait pas mention des articles 68 à 70 de la loi du 6 janvier 1978 modifiée, qui constituent pourtant le régime général applicable aux transferts de données vers des Etats n’assurant pas un niveau de protection des données suffisant. La Commission estime à cet égard que le ministère de l’intérieur devrait reprendre la formulation du décret du 23 juin 2009 relatif au FNAEG, qui mentionne expressément la nécessité, pour les organismes et Etats concernés, d’assurer « à la vie privée, aux libertés et aux droits fondamentaux des personnes à l’égard des traitements de données, un niveau de protection suffisant au sens de l’article 68 de la loi n°  78-17 du 6 janvier 1978 ».
La Commission relève en outre que la rédaction projetée par le ministère de l’intérieur aurait pour conséquence de ne plus avoir à modifier le texte réglementaire relatif au FAED en cas d’adoption de nouveaux actes européens, ou de signature de nouveaux accords bilatéraux ou multilatéraux, permettant l’échange de données dactyloscopiques, sauf si les Etats étrangers n’assurent pas un niveau de protection des données suffisant. Dès lors, la Commission sera simplement tenue informée de tout changement affectant les destinataires du traitement et les transferts de données à caractère personnel envisagés, conformément aux dispositions combinées du II de l’article 30 de la loi du 6 janvier 1978 modifiée et de l’article 101 du décret du 20 octobre 2005 modifié.
Dans la mesure où elle n’a connaissance ni du contenu de ces accords ni des pays concernés, et eu égard à la sensibilité des informations susceptibles d’être transmises et aux garanties spécifiques qui doivent être prises pour assurer la protection des données biométriques, et des empreintes digitales en particulier, la Commission émet donc de sérieuses réserves quant à la possibilité qui pourrait ainsi être donnée d’élargir la liste des destinataires du FAED en conséquence de l’entrée en vigueur de nouveaux engagements internationaux.
En toute hypothèse, la Commission demande à être associée à la préparation et à la définition de la position française dans les négociations internationales susceptibles d’avoir une incidence sur la liste des destinataires du FAED, en application des dispositions de l’article 11-4-d) de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004, et à être consultée sur les éventuels projets de loi de ratification des traités conclus à la suite desdites négociations, conformément aux dispositions de  l’article 11-4-a) de la même loi.
Elle relève qu’elle a déjà formulé ces demandes, notamment dans le cadre du décret relatif à l’accès d’Etats étrangers au FNAEG, et qu’elle n’a pas été suivie par le Gouvernement. Cependant, dans la mesure où la rédaction projetée du décret relatif au FAED aurait pour conséquence de priver la Commission de l’exercice de certains de ses pouvoirs de contrôle a priori sur la mise en œuvre de nouveaux transferts de données, qui ne seraient pas soumis à l’avis de la CNIL, elle estime qu’il convient que le ministère de l’intérieur prenne les mesures nécessaires afin de garantir que ces nouveaux transferts respectent pleinement les droits des personnes à l’égard des traitements automatisés de données à caractère personnel.