La Commission nationale de l'informatique et des libertés,
Saisie par le garde des sceaux, ministre de la justice d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement de données à caractère personnel dénommé PARCOURS ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 31-I et 89-I ;
Après avoir entendu Mme Christine MAUGÜÉ, commissaire, en son rapport, et M. Benjamin TOUZANNE, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
Le projet d’arrêté portant création d’un traitement de données à caractère personnel dénommé PARCOURS soumis pour avis à la Commission par le garde des sceaux, ministre de la justice vise à enregistrer, à des fins de suivi éducatif, de pilotage et de statistiques, les données issues des décisions judiciaires pénales et civiles concernant des mineurs et des majeurs jusqu’à l’âge de vingt-trois ans, confiés aux établissements et services du secteur public et du secteur associatif habilité (SAH) de la protection judiciaire de la jeunesse (PJJ). La Commission relève que cette première version du traitement PARCOURS comporte des données d’identification, de suivi et de parcours, à l’exclusion de toute donnée sensible.
Ce traitement a vocation à remplacer le traitement dénommé gestion de l’activité et des mesures éducatives 2010 (GAME) encadré par un arrêté du 20 mars 2012 portant création d’un traitement automatisé de données à caractère personnel dénommé gestion de l’activité et des mesures éducatives 2010 . La Commission prend acte de ce qu’il doit également se substituer, au moins en partie à l’application IMAGES , créée par l’arrêté du 21 octobre 2005 autorisant le traitement automatisé de données relatives à l’activité et aux dépenses liées aux prises en charge éducatives confiées au secteur habilité et conventionné, qui ne demeurera que dans sa partie financière et de suivi de facturation.
La Commission relève que le traitement projeté s’inscrit dans un projet plus large de refonte des systèmes d’information de la direction de la protection judiciaire de la jeunesse (DPJJ) et dans la dynamique de transformation numérique du ministère de la justice.
Sur les conditions générales de mise en œuvre du dispositif
En premier lieu
En tout état de cause, elle rappelle que, dans l’hypothèse où la suppression du traitement IMAGES entraînerait des modifications supplémentaires des finalités ou des données collectées du traitement PARCOURS , l’acte encadrant ce dernier devrait être modifié en conséquence.
En deuxième lieu
Elle appelle l’attention du ministère sur le fait qu’une telle évolution du traitement est susceptible de conduire à la collecte de données dites sensibles . Dans cette hypothèse, elle souligne que le traitement devra alors faire l’objet de formalités préalables auprès de la Commission, conformément aux articles 31-II et 89-II de la loi du 6 janvier 1978 modifiée.
En troisième lieu
La Commission prend également acte de ce qu’un cloisonnement, au sein du traitement PARCOURS , entre les données relevant des mesures civiles et celles relevant des mesures pénales ne pourra pas être mis en œuvre dans la mesure où un tel cloisonnement ne permettrait pas de disposer d’une vue d’ensemble du parcours du jeune et des mesures le concernant.

Sur les finalités du traitement
L’article 1

La Commission relève que le traitement PARCOURS a également pour finalités :
d’exploiter, à des fins statistiques et de pilotage des établissements et services concernés, les données du parcours judiciaire et de prise en charge éducative. Elle prend acte de ce que, à cette fin, la quasi-totalité des données sera aussi conservée de manière pseudonymisée dans un infocentre afin de les exploiter à des fins statistiques. Selon le ministère, cet outil vise à permettre, d’une part, de réaliser des requêtes sur des données de pilotage et, d’autre part, de réaliser des études de parcours et de population, ainsi que d’évaluer les effets des prises en charge ;
d’évaluer les effets de la prise en charge des mineurs et des majeurs jusqu’à l’âge de vingt-trois ans pris en charge et des politiques publiques en la matière.
En outre, la Commission prend acte de ce que deux autres finalités du traitement IMAGES , mentionnées dans l’arrêté du 21 octobre 2005 précité, seront intégrées au traitement PARCOURS , à savoir
le suivi des mesures confiées au secteur associatif habilité
le contrôle de l’exactitude des mémoires de frais transmis par les structures associatives
La Commission prend acte de ce que le projet d’arrêté sera modifié en conséquence et que l’analyse d’impact relative à la protection des données (AIPD) sera complétée. Elle invite toutefois le ministère à préciser davantage les termes de ces finalités et recommande que le module financier relatif au suivi d’exécution du budget dans l’ordre des opérations, qui apparaît indivisible des autres finalités du traitement IMAGES , soit également rattaché à terme au traitement PARCOURS.
Sur les droits des personnes concernées
L’article 6 du projet d’arrêté précise que les droits des personnes s'exercent directement auprès du directeur territorial de la protection judiciaire de la jeunesse où se trouve le service éducatif en charge de l'exécution de la décision judiciaire.
De manière générale, la Commission rappelle que l’exercice des droits des personnes constitue une garantie importante en vue de prévenir des atteintes à leur vie privée, et que l’information devra être adaptée pour être aisément compréhensible par des personnes mineures. Or, elle relève que le caractère mixte du traitement PARCOURS entraîne une complexité particulière des modalités d’exercice des droits.
La Commission estime, dès lors que les données sur lesquelles la personne concernée demande à exercer ses droits ne pourront pas être exclusivement rattachées soit aux finalités prévues par la directive, soit aux autres finalités du traitement de données, que, conformément à l’avis du Conseil d’Etat sur un projet de loi d’adaptation au droit de l’Union européenne de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (CE, Assemblée générale (section de l’intérieur), n° 393836, 7 décembre 2017), il convient que l’acte ayant autorisé le traitement de données à finalités mixtes s’appuie sur l’article 23 du RGPD pour déterminer un régime des droits des personnes concernées cohérent pour l’ensemble des données traitées pour les diverses finalités. Conformément au second paragraphe de cet article 23, les dispositions apportant de telles limitations doivent être précises et ne sauraient prendre la forme d’habilitations générales. Si la Commission estime que le traitement relève d’un régime mixte, elle invite ainsi le ministère à garder des modalités d’exercice des droits aussi simples et unifiées que possible.
A cet égard, la Commission prend acte de ce que le ministère s’engage à modifier le projet d’arrêté afin d’indiquer que les droits d’accès, de rectification ainsi qu’à la limitation s’exercent sans restriction et que, afin de garantir la protection de la personne faisant l’objet d’une prise en charge, les droits à l'effacement et d'opposition ne s'appliquent pas au présent traitement en application de l'article 23-1.i) du RGPD.
En premier lieu
En outre, la Commission prend acte de ce que différentes mesures visant à faciliter l’information des personnes concernées sont prévues par le ministère (élaboration automatique d’une lettre type, affichage dans l’espace d’accueil des unités éducatives, ou encore sensibilisation des personnels de la PJJ).
En second lieu
Elle observe également que le droit à l’effacement ne s’appliquera pas, en application de l’article 17-3.b) du RGPD, et prend également acte de ce que le projet d’arrêté sera complété afin de le prévoir expressément.
Sur les durées de conservation des données
En premier lieu
Selon le ministère, de telles durées de conservation se justifient par le besoin de disposer de l’intégralité du parcours de la personne concernée afin d’assurer une prise en charge adaptée.
La Commission prend acte de ce que la notion de
prise en charge
Par ailleurs, l’article 3 précise qu’à compter de la date à laquelle les données ne sont plus conservées en base active, celles-ci demeurent accessibles pendant une durée de cinq ans aux personnels en charge de la gestion des contentieux au sein du bureau de la législation et des affaires juridiques de la DPJJ. A cet égard, la Commission prend acte de ce que cette dernière durée de conservation vise à permettre au ministère de répondre à d’éventuels contentieux mettant en cause la responsabilité même sans faute de l’Etat, soit sur le fondement de la garde, soit sur le fondement du risque spécial.
Elle relève également qu’un dossier conservé dans la base active est visible par les accédants autorisés jusqu’à trente jours après la date de fin de la dernière prise en charge. A l’issue de ces trente jours, il n’est plus visible par aucun des accédants autorisés, sauf dans l’hypothèse d’une ré- activation du dossier à l’occasion d’une nouvelle prise en charge. Or, la Commission rappelle qu’elle recommande dans le secteur social et médico-social que les données collectées et traitées pour les besoins de l’accompagnement social et médico-social des personnes ne soient pas conservées dans la base active au-delà de deux ans à compter du dernier contact émanant de la personne ayant fait l’objet de cet accompagnement. Aussi, elle s’étonne de la singularité de la solution retenue par le ministère consistant à conserver le dossier en base active sans recourir à un archivage intermédiaire. Elle considère néanmoins que des modalités de conservation protectrices sont mises en œuvre afin de compenser la longueur de ces durées de conservation.
La Commission accueille favorablement que le ministère envisage de mettre en place un mécanisme automatisé de suppression des données au cours de l’année 2021.
En deuxième lieu
Néanmoins, elle relève qu’aux termes de l’AIPD transmise à la Commission, ces données seront conservées
pendant vingt-cinq ans à compter de leur versement
La Commission prend acte des explications apportées par le ministère pour justifier d’une telle durée de conservation, à savoir, d’une part, sa volonté de mener des études comparatives sur les effets de l’ordonnance du 2 février 1945 relative à l’enfance délinquante et du code de la justice pénale des mineurs sur les parcours des personnes suivies par la PJJ et, d’autre part, sa volonté d’assurer une certaine cohérence avec la durée de conservation des données en base active.
En troisième lieu
A cet égard, la Commission relève que le ministère précise que la mise en œuvre d’outils d’analyse automatique des traces n’est pas prévue à ce stade de la mise en place du traitement. Elle considère néanmoins que la mise en œuvre de tels outils apparaît incontournable car seule à même de permettre de garantir une détection rapide et efficace des erreurs ou usages détournés du traitement projeté.
Sur les autres conditions de mise en œuvre du traitement projeté
Sur les données collectées
L’article 2 du projet d’arrêté liste les catégories de données qui pourront être enregistrées dans le traitement.
En premier lieu
l’intégralité des données GAME et IMAGES seront reprises dans PARCOURS afin que les utilisateurs du seul secteur public retrouvent dès la première connexion l’intégralité des données des dossiers des mineurs et/ou jeunes majeurs pris en charge quel que soit le secteur
A cet égard, si elle prend acte de ce que la dernière finalité du traitement IMAGES , qui constitue un module financier pour le suivi de l’exécution du budget dans l’ordre des opérations et n’impliquera pas

Au titre de la reprise de la finalité, aujourd’hui dévolue à IMAGES , du contrôle de l’exactitude des mémoires de frais transmis par les structures associatives par le traitement PARCOURS , la Commission prend acte de ce que le ministère précise que
le code imputation comptable et le coût des prestations SAH (à l’acte ou à la journée)
En deuxième lieu
Elle relève, en particulier, que les données de santé, susceptibles d’être communiquées aux acteurs en charge des mineurs et jeunes majeurs, ne seront par conséquent pas enregistrées dans PARCOURS .
En troisième lieu
mineur non accompagné
S’agissant de la catégorie de données
décision judiciaire
date de la décision


fondement légal
numéro de procédure du parquet
numéro de dossier du juge

qualification juridique
co-auteurs (nombre et minorité/majorité)
prise en charge par le service éducatif (dates de début et de fin prévues, dates de suspension et de reprise, durée de la prolongation, durée du renouvellement, date de fin effective)
informations relatives aux écrits professionnels (date, nature et destinataire)

lien avec le mineur ou le majeur jusqu’à l’âge de vingt-trois ans
Sous réserve de ce qui précède, la Commission considère que les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur les accédants et les destinataires
De manière générale, la Commission appelle l’attention du ministère, eu égard à la vulnérabilité de la catégorie de personnes concernées par le traitement, sur la nécessité de gérer avec la plus grande vigilance les habilitations des personnels concernés, afin de limiter au strict nécessaire les personnes qui pourront avoir directement accès aux données.
En premier lieu
La Commission relève que des profils d’accès ont été configurés afin que les différents accédants n’aient des droits d’accès ouverts que selon leur besoin fonctionnel et territorial d’en connaître.
S’agissant des responsables des politiques institutionnelles (RPI) et des responsables de l’appui au pilotage territorial (RAPT) des services déconcentrés de la DPJJ, la Commission prend acte de ce que l’accès reconnu à ces personnes est justifié par le fait qu’elles peuvent être amenées à suivre des situations de certains jeunes multi-récidivistes et qu’elles font également partie de la chaîne de permanence nécessitant un accès en consultation lors d’incidents signalés.
S’agissant des référents laïcité citoyenneté en direction territoriale et en direction interrégionale, la Commission prend acte des explications du ministère selon lesquelles ces personnes doivent alimenter les suivis des situations de radicalisation enregistrées dans le traitement dénommé ASTREE en y saisissant un certain nombre de données issues du traitement PARCOURS . La Commission prend acte de ce que la mise en relation envisagée est conforme aux actes réglementaires régissant ces traitements. Dans ces conditions et à défaut de faire figurer cette mise en relation dans les actes réglementaires, elle invite toutefois le ministère, par souci de transparence, à le mentionner dans l’information qu’il fournit sur ces traitements sur son site internet.
S’agissant des conseillers techniques en direction territoriale et en direction interrégionale ainsi que des personnels du service évaluation, recherche et contrôle (SERC) en administration centrale, la Commission prend acte de ce que ces personnes doivent bénéficier d’un accès au traitement afin de pouvoir disposer des données utiles à leurs missions d’évaluation des dispositifs de prise en charge et d’expérimentation, ou encore de contrôle de fonctionnement des établissements et services de leur ressort.
S’agissant de l’accès au traitement reconnu au chef de la mission nationale de veille et d’information (MNVI) de la DPJJ, et à son adjoint, la Commission prend acte des explications du ministère selon lesquelles cet accès est rendu nécessaire en cas de gestion de situation de crise et d’incidents,
souvent à forte couverture médiatique
la MNVI doit être en capacité d’apporter l’ensemble des éléments de parcours et de profil des mineurs impliqués au cabinet du garde des sceaux et au directeur de la PJJ
En second lieu
S’agissant de l’Observatoire national de la protection de l’enfance (ONPE), la Commission relève qu’en vertu des articles D. 226-3-3 et D. 226-3-5 du code de l’action sociale et des familles, les données transmises à l’ONPE doivent être anonymes. A cet égard, elle rappelle qu’elle avait considéré, dans sa délibération n° 2020-062 du 11 juin 2020 portant avis sur un projet de décret modifiant les articles D. 226-3-3 à D. 226-3-8 du code de l’action sociale et des familles et organisant la transmission des informations sous forme anonyme par le ministère de la justice à l’ONPE que,
eu égard à la date d’adoption des dispositions législatives en cause, antérieures au RGPD, et au fait que l’article L. 226-3-3 du code de l’action sociale et des familles dispose que les informations sont transmises aux fins d'exploitation conditionnée à la succession ou la simultanéité de[s] mesures , la volonté du législateur est de permettre la transmission à l’ONPE de données pseudonymisées au sens du RGPD
Les autres dispositions n’appellent pas d’observations supplémentaires de sa part.
Sur les mesures de sécurité
Concernant l’authentification des utilisateurs, la Commission relève que l’AIPD précise le fait qu’elle sera déléguée au SSO (
Single Sign On
S’agissant des solutions mises en œuvre pour limiter les risques de perte de confidentialité des données d’identité et de suivi du parcours des jeunes, la possibilité d’exporter ces données étant proposée, la Commission retient la mise en œuvre d’une limitation des données extraites au strict nécessaire en respect du droit d’en connaître des agents de la DPJJ, de la mise en œuvre de traces nominatives et de l’apparition d’un message de sensibilisation lors de chaque extraction. Elle relève que le ministère indique également qu’une action volontaire est nécessaire pour rendre l’export nominatif. La Commission rappelle le besoin de suivi et de remontée d’alertes liées à cette fonctionnalité présentant un risque résiduel important, tel qu’identifié par le ministère.
La Commission prend acte de ce que tout poste nomade sera systématiquement chiffré dès son installation, comme suite à la note du 1

Concernant la solution de pseudonymisation mise en œuvre et le hachage réalisé, la Commission recommande d'appliquer la fonction de hachage HMAC à clé secrète ou d'ajouter un sel avant de hacher le concaténé des données concernées.
Les autres mesures de sécurité n'appellent pas de remarques de la Commission. Elle rappelle toutefois que les exigences de sécurité prévues aux articles 57 et 99 de la loi du 6 janvier 1978 modifiée nécessitent la mise à jour régulière de l'AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
La Présidente
M.-L. DENIS