La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d’une demande d’avis concernant un projet de décret portant création d’un traitement de données à caractère personnel dénommé Recensement des affaires terroristes (RECAT) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le règlement (UE) 2018/1727 du Parlement européen et du Conseil du 14 novembre 2018 relatif à l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale ;
Vu le code pénal, notamment ses articles 421-1 à 421-8, 422-1 à 422-7 ;
Vu le code de procédure pénale, notamment ses articles 695-8-1, 695-8-2 et 706-16 et suivants ;
Vu la loi n° 2019-222 du 23 mars 2019 de programmation 2018-2022 et de réforme pour la justice ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 31-II et 89-II ;
Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l’application de la loi n° 78- 17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2017-349 du 21 décembre 2017 portant avis sur un projet de décret portant création d’un traitement automatisé de données à caractère personnel dénommé recensement des individus terroristes (RECIT) ;
Après avoir entendu Mme Christine MAUGÜÉ, commissaire en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
Le projet de décret soumis pour avis à la Commission doit permettre au parquet général de Paris et au parquet national antiterroriste (PNAT) de recenser l’ensemble des procédures judiciaires suivies sous une qualification terroriste ainsi que l’ensemble des personnes mises en cause dans ces affaires. Il vise ainsi à mettre à la disposition du ministère de la justice une base de données exhaustive relative à ces procédures et à permettre de procéder à certains recoupements utiles à l’exercice et à la conduite de l’action publique ainsi qu’à extraire des données statistiques fiables.
La Commission relève qu’un tel projet est justifié par le développement du contentieux pris en charge par le pôle juridictionnel spécialisé dans la lutte contre le terrorisme et institué à Paris (procureur de la République national antiterroriste, pôle de l’instruction, tribunal correctionnel de Paris, cour d’assises de Paris) disposant, en application de l’article 706-17 du code de procédure pénale (CPP), d’une compétence concurrente à celle dévolue aux juridictions de droit commun pour la poursuite, l’instruction et le jugement des actes de terrorisme et des infractions connexes mentionnées à l’article 706-16 du même code. Cette compétence concurrente se traduit dans les faits par une compétence nationale exclusive du parquet antiterroriste et des magistrats instructeurs antiterroristes de Paris pour le traitement des crimes et délits terroristes les plus graves, étant précisé que cette centralisation se poursuit au stade de l’exécution de la peine. Ce traitement doit permettre au ministère de disposer d’éléments chiffrés suffisamment précis et détaillés concernant le traitement judiciaire du contentieux terroriste, ce que ne permettraient pas les autres bases de données du ministère.
La Commission observe que le présent projet de décret vise à tenir compte d’un certain nombre d’observations formulées dans le cadre de sa délibération n° 2017-349 du 21 décembre 2017 susvisée, en particulier s’agissant de la dénomination du projet qui apparaissait comme inappropriée au regard des finalités du traitement dans la mesure où, contrairement à ce que semblait indiquer les termes
recensement des individus terroristes
Dans la mesure où le traitement RECAT est notamment mis en œuvre à des fins de faciliter le suivi par le PNAT et le parquet général de Paris des procédures judiciaires comportant une infraction qualifiée de terroriste, d’assurer le recoupement des informations dans le cadre de la direction des enquêtes et de fiabiliser les données et le partage d’informations avec les directions du ministère de la justice et le bureau français d’Eurojust, il relève du champ d’application de la directive (UE) 2016/680 du 27 avril 2016 susvisée (ci-après la directive ) et doit être examiné au regard des dispositions des articles 87 et suivants de la loi du 6 janvier 1978 modifiée.
La Commission rappelle qu’elle devra être tenue informée, dans les conditions prévues à l’article 33-II de la loi du 6 janvier 1978 modifiée, de toute modification substantielle affectant les caractéristiques du traitement.
Sur les conditions générales de mise en œuvre du dispositif
En premier lieu
cette organisation ne remet pas en cause les prérogatives attachées au statut des magistrats du parquet
si le procureur de la République antiterroriste assure la mise en mouvement et l’exercice de l’action publique dans les procédures terroristes concernées par le traitement RECAT, il met en œuvre la politique pénale définie par les instructions générales du ministère de la justice
a décidé l’architecture générale du traitement et ses caractéristiques
le PNAT n’est que l’utilisateur du traitement
En deuxième lieu
s’assure que les informations enregistrées dans RECAT sont pertinentes au regard des finalités assignées au traitement
En troisième lieu
est possible uniquement en cas de nécessité absolue, sous réserve de garanties appropriées pour les droits et libertés de la personne concernée
Sur les finalités du traitement
Les finalités assignées au traitement et énoncées à l’article 1

faciliter le suivi des procédures terroristes par le PNAT et le parquet général de Paris ;
assurer le recoupement des informations dans le cadre de la direction des enquêtes ;
fiabiliser les données et le partage d’informations avec les directions du ministère de la justice, sans se substituer aux rapports d’action publique, ainsi qu’avec le bureau français d’Eurojust afin de faciliter la coopération judiciaire en matière de lutte contre le terrorisme entre les Etats membres de l’Union européenne ;
assurer la remontrée d’informations statistiques. Le traitement permettra à la DACG d’évaluer les instructions de politique pénale qu’elle donne ainsi que l’élaboration de politique pénale et l’adaptation des moyens dédiés au terrorisme.
S’agissant de la finalité permettant d’
assurer le recoupement des informations dans le cadre de la direction des enquêtes
il n’est tiré aucune conséquence judiciaire (ni davantage administrative) des éléments enregistrés dans le traitement
ne permet pas d’établir des liens ou des comportements au sens des fichiers d’analyse sérielle
ces recherches permettent d’identifier, en corollaire, des affaires ou des personnes liées
Sous réserve de ce qui précède, la Commission estime que les finalités projetées sont déterminées, explicites et légitimes conformément à l’article 4-2° de la loi du 6 janvier 1978 modifiée.
Sur les données collectées
L’article 2 du projet de décret liste les personnes concernées par le traitement :
les personnes mises en cause, mises en examen, placées sous le statut de témoin assisté et poursuivies, qu’elles soient par la suite condamnées, relaxées ou acquittées ;
les victimes, dès lors que ces informations sont nécessaires à l’identification de l’affaire, dans le cadre des procédures pénales diligentées par le PNAT en matière antiterroriste.
La Commission considère que si le ministère entend collecter des données relatives aux personnes ayant fait l’objet d’un classement sans suite ou d’une décision de non-lieu, qui ne sont pas
des personnes mises en cause, mises en examen, placées sous le statut de témoins et poursuivies
Cette disposition détaille également les catégories de données à caractère personnel et informations enregistrées dans le traitement s’agissant de ces catégories de personnes ainsi que des magistrats en charge des affaires. La Commission prend acte que, sous la réserve de l’enregistrement des traces de connexion et de consultation, les données relatives aux greffiers en charge de la procédure ne seront pas traitées et qu’aucune donnée relative aux personnes témoins ne sera enregistrée dans le traitement.
A titre liminaire, la Commission prend acte que le système de gestion des dossiers (CMS)/ le réseau judiciaire européen (RJE) d’Eurojust sera mis en relation avec le traitement RECAT sous la forme d’une extraction des données utiles de RECAT qui seront ensuite introduites manuellement dans le CMS (nom, prénom, date de naissance, ville de naissance, pays de naissance, identifiant unique de la personne, alias, infraction et numéro de parquet). Elle relève que le ministère envisage un processus d’import semi-automatique quant au traitement RJE/CMS ainsi qu’une interconnexion avec le traitement de données à caractère personnel relatif à la gestion nationale des personnes détenues en établissement pénitentiaire (GENESIS). A cet égard, la Commission rappelle qu’elle devra être informée et, le cas échéant, saisie de toute modification substantielle affectant le traitement RECAT et justifiant une modification du décret.
En premier lieu
nécessité absolue, sous réserve des garanties appropriées pour les droits et libertés de la personne concernée
En deuxième lieu
date de décès

département d’origine
majeur/mineur
La Commission relève que des
informations relatives aux enquêtes, infractions, condamnations ou mesures de sûreté
Cette disposition indique également que pourra être collectée la
décision administrative prise à l’encontre de l’intéressé au motif d’une menace pour la sécurité ou l’ordre public
S’agissant de cette catégorie de personnes, pourront en outre être enregistrés dans le traitement les
antécédents judiciaires liés aux seules infractions visées aux articles 421-1 à 421-6 du code pénal
antécédents judiciaires
En troisième lieu

Les autres catégories de données à caractère personnel collectées n’appellent pas d’observation supplémentaire de la part de la Commission.
Sous réserve de ce qui précède, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les durées de conservation des données
En premier lieu
La Commission prend acte que
la dernière mise à jour enregistrée
toute modification des informations relatives à une affaire ou à une personne
Ces durées de conservation sont justifiées par le ministère par le souhait d’aligner les durées de conservation des données sur la durée de prescription de l’action publique, en cas de classement sans suite ou de non-lieu, et sur la durée de prescription de la peine, en cas de décision d’acquittement, de relaxe ou de condamnation. Il a en outre précisé que ces durées de conservation ont été alignées sur celles retenues pour le traitement dénommé CASSIOPEE . S’agissant plus précisément des durées de conservation des données relatives à des personnes acquittées et à l’absence de possibilité d’effacement à la demande de la personne concernée, il a indiqué que le traitement RECAT n’est pas un traitement d’antécédents judiciaires et qu’il n’est tiré aucune conséquence judiciaire des éléments enregistrés. S’agissant des individus non condamnés ou dont la peine a été complètement exécutée, il a été précisé que la conservation des données présente un intérêt fondamental pour le PNAT dans le cadre de ses enquêtes, notamment si les personnes sont de nouveau impliquées dans des procédures. Enfin, il n’est pas prévu de modulation de ces durées de conservation pour les personnes mineures.
La Commission en prend acte mais estime, compte tenu des finalités du traitement RECAT et du fait qu’il n’est pas un traitement d’antécédents judiciaires, que les précisions apportées par le ministère ne permettent pas de justifier les durées de conservation particulièrement longues prévues par le projet de décret.
A cet égard, comme elle avait déjà pu le relever, à la date du point de départ de la durée de conservation prévue par le projet de décret, les données auront déjà été conservées pendant tout le temps nécessaire à l’aboutissement de la procédure, qui peut elle-même être relativement longue, même si cette période de conservation n’est qu’implicitement prévue par le projet de décret. Elle relève également que les durées de conservation prévues par le projet de décret sont très supérieures à celles définies pour d’autres traitements utilisés dans le cadre de procédures judiciaires, en particulier en cas de décision favorable, et souligne, en outre, que n’est pas prévue la possibilité de procéder à un effacement anticipé des données.
En tout état de cause, la Commission considère que les durées de conservation des données doivent être adaptées à la situation des personnes ayant fait l’objet d’une décision favorable ainsi qu’à celle des mineurs et que la durée pendant laquelle l’accès des agents de l’administration centrale aux données est autorisé doit être restreinte.
Compte tenu de ce qui précède, la Commission considère que les durées de conservation prévues par le projet de décret ne peuvent qu’être regardées comme excessives.
En second lieu
Sur les accédants et les destinataires
L’article 4 du projet de décret liste les personnes qui peuvent accéder directement aux informations et données à caractère personnel enregistrées dans le traitement, à raison de leurs fonctions ou pour les besoins du service et pour les raisons strictement nécessaires à l’exercice de leurs attributions.
A titre liminaire, au regard de la grande sensibilité des données pouvant être enregistrées dans le traitement, la Commission appelle l’attention du ministère sur la nécessité de gérer avec la plus grande vigilance les habilitations des personnels concernés, afin de limiter au strict nécessaire les personnes qui pourront avoir directement accès aux données.
Ces éléments généraux rappelés, l’article 4 du projet de décret appelle les observations suivantes.
En premier lieu
le directeur des affaires criminelles et des grâces ;
le directeur adjoint, chef de service ;
le bureau de la lutte contre la criminalité organisée, le terrorisme et le blanchiment (BULCO) et le bureau de l’exécution des peines et des grâces (BEPG) à des fins notamment de suivi de l’action publique ;
le sous-directeur de la justice pénale spécialisée qui est l’autorité hiérarchique du BULCO ;
le sous-directeur de la justice pénale générale qui est l’autorité hiérarchique du BEPG ;
le pôle d’évaluation des politiques pénales (PEPP) à des fins d’évaluation des politiques pénales.
Le référent Informatique et Libertés de la DACG disposera par ailleurs d’un accès à l’ensemble des données, en consultation uniquement, afin de pouvoir remplir ses missions de contrôle.
Si la Commission prend acte des précisions apportées par le ministère selon lesquelles l’accès au traitement pour la DACG se justifie par des finalités de suivi de l’action publique et d’évaluation des politiques pénales, elle s’interroge toutefois sur la nécessité de rendre accédants des données et informations contenues dans le traitement l’ensemble des personnels précités. En particulier, elle estime que, au regard de ses missions, le PEPP pourrait avoir seulement communication des données et informations nécessaires à l’exercice de ses missions et non se voir reconnaître un droit d’accès au traitement. Elle prend acte de l’engagement du ministère de ne plus rendre accédants les personnels du PEPP aux données directement identifiantes, à l’exception de la date de naissance qui est nécessaire aux études statistiques. Elle observe, en outre, que l’accès du BEPG aux données identifiantes des personnes concernées, notamment à celles relatives aux victimes lorsqu’elles permettent d’identifier l’affaire, se justifie par ses missions, celui-ci étant notamment chargé d’assurer un suivi de la situation individuelle de chaque personne condamnée pour des faits de terrorisme.
En deuxième lieu
En troisième lieu
Au regard des compétences de la mission nationale de veille et d’information, la Commission s’interroge toutefois sur les raisons ayant conduit le ministère à reconnaître à ses membres, par défaut, un droit de consultation de toutes les données relatives aux personnes ayant vocation, au regard de leur minorité lors des faits, à être suivies par les services de la PJJ. Compte tenu de ces éléments, elle invite le ministère à définir plus strictement les données auxquelles les membres de cette mission peuvent accéder, voire à ne les rendre que destinataires de certaines informations nécessaires au regard de leurs missions. Elle prend acte de l’engagement du ministère de modifier le projet de décret afin de ne plus rendre accédants au traitement les membres de la mission nationale de veille et d’information.
En quatrième lieu
le membre national de l’unité Eurojust a accès, dans les mêmes conditions que les magistrats du ministère public, aux données contenues dans tout traitement automatisé de données à caractère personnel
Compte tenu de ce qui précède, la Commission considère, de manière générale, qu’une réflexion devrait être menée sur la nécessité de rendre certains personnels de la DAGC et de la DPJJ accédants au traitement et ce, afin d’encadrer plus strictement les catégories de données auxquelles peuvent accéder ou peuvent avoir communication ces différents personnels.
Sur les droits des personnes concernées
L’article 5 du projet de décret précise les modalités d’exercice des droits des personnes concernées.
En premier lieu
En outre, la Commission rappelle que le ministère devrait prévoir des mesures particulières en ce qui concerne les personnes mineures et ce, afin de leur délivrer une information selon des modalités adaptées et prend acte de l’engagement du ministère sur ce point.
En deuxième lieu
les données d’identification et les informations relatives aux enquêtes, infractions, condamnations ou mesures de sûreté s’agissant des personnes mises en cause, mises en examen, placées sous le statut de témoin assisté et poursuivies ;
les données d’identification relatives aux victimes.
Pour les autres catégories de données, les droits d’accès, de rectification et d’effacement s’exercent de manière directe auprès de la DACG. Les droits d’accès et de rectification s’exercent directement auprès de l’autorité hiérarchique lui ayant délivré son habilitation pour les données relatives aux magistrats en charge des affaires. La Commission prend acte que les juges d’instruction exerceront leurs droits d’accès et de rectification auprès du procureur de la République antiterroriste.
Par ailleurs, la Commission prend acte que, s’agissant des données relatives à des mesures administratives, les droits d’accès, de rectification et d’effacement peuvent faire l’objet de restrictions, en application des 2° et 3° du II et du III de l’article 107 de la loi du 6 janvier 1978 modifiée afin d’éviter de gêner des enquêtes, des recherches et des procédures judiciaires et de nuire à la détection d’infractions pénales, aux enquêtes et aux poursuites en la matière ou l’exécution de sanctions pénales. La personne concernée par ces restrictions devra alors exercer ses droits auprès de la Commission dans les conditions prévues à l’article 108 de ladite loi. Elle prend acte que ces modalités d’exercice des droits seront précisées sur le site web du ministère de la justice.
En troisième lieu
Sur les mesures de sécurité
La Commission relève que l’accès aux données est limité aux utilisateurs dûment habilités en raison de leurs attributions et dans la limite du besoin d'en connaître. Ces utilisateurs seront authentifiés

La Commission relève que les mesures prévues par le ministère apparaissent conformes à la
délibération n° 2017-012 du 19 janvier 2017
L’article 7 du projet de décret prévoit que
les consultations, créations, modifications ou suppressions de données font l’objet d’un enregistrement comprenant l’identification et la fonction de leur auteur ainsi que la date, l’heure et l’objet de de l’opération. Ces informations sont conservées pendant un délai de un an
La Commission prend acte de ce que les données traitées ne seront pas chiffrées, mais qu’elles seront stockées dans des locaux spécifiques faisant l’objet de mesures de protection physique de haut niveau. Elle prend également acte de ce que les données du traitement ne seront pas archivées dans un premier temps et rappelle que les mécanismes d’archivage mis en place devront être en capacité d’assurer le haut niveau de sécurité nécessaire compte tenu de la nature du traitement.
Les autres mesures de sécurité n'appellent pas de remarques de la Commission. Elle rappelle toutefois que les exigences de sécurité prévues à l’article 99 de la loi du 6 janvier 1978 modifiée nécessitent la mise à jour de l'AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
M.-L. DENIS