La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret modifiant l' article R. 40-29 du code de procédure pénale et relatif au traitement d'antécédents judiciaires,
Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu le  code de procédure pénale, notamment ses articles 230-6 à 230-11 et R. 40-23 à R. 40-34 ;
Vu le  code de la sécurité intérieure, notamment son article L. 235-1 ;
Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 30 ;
Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la  loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son  rapport et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses  observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret modifiant l' article R. 40-29 du code de procédure pénale (CPP) et relatif au traitement d'antécédents judiciaires (TAJ).
Conformément aux dispositions de l'article 230-6 du CPP, le TAJ a  pour finalité de faciliter la constatation d'infractions, le  rassemblement de preuves et la recherche des auteurs d'infractions. Il  est consulté dans le cadre d'enquêtes judiciaires, mais également dans  le cadre d'enquêtes administratives, notamment pour l'accès à certains  emplois. Ses conditions de mise en œuvre sont fixées aux articles R.  40-23 à R. 40-34 du CPP.
La modification envisagée vise à modifier l'article R. 40-29 du CPP  afin de permettre la communication de données enregistrées dans le TAJ  aux organismes de coopération internationale et aux services de police  étrangers pour des finalités administratives, les dispositions actuelles  du CPP ne permettant de tels échanges d'informations que pour les  besoins d'enquêtes judiciaires.
En application des dispositions des articles 230-11 du CPP et 26-11  et 30 de la loi du 6 janvier 1978 modifiée, ces modifications  nécessitent un décret en Conseil d'Etat pris après motivé et publié de  la commission.
Les modalités d'échanges de données enregistrées dans des  traitements mis en œuvre par les services de police et de gendarmerie  nationales à des organismes de coopération internationale en matière de  police judiciaire ou à des services de police étrangers sont prévues à  l' article L. 235-1 du code de la sécurité intérieure (CSI).
Ledit article prévoit ainsi deux conditions pour mettre en œuvre de  tels échanges : d'une part, l'existence d'un engagement international  régulièrement introduit dans l'ordre juridique interne et, d'autre part,  l'assurance, par l'Etat concerné, d'un niveau de protection suffisant  de la vie privée, des libertés et des droits fondamentaux des personnes à  l'égard du traitement dont ces données font l'objet ou peuvent faire  l'objet.
La consultation des fichiers d'antécédents dans le cadre d'enquêtes  administratives fait également l'objet d'un encadrement spécifique,  prévu par les articles 230-8 et R. 40-29 du CPP. La commission est  particulièrement vigilante quant au respect de ces modalités de  consultation, eu égard aux dysfonctionnements persistants qu'elle a  constatés, lors de missions de contrôle, concernant la mise à jour des  données enregistrées dans le TAJ et aux conséquences potentielles de  cette absence de mise à jour des données sur l'emploi des personnes  concernées.
Elle estime dès lors que, au-delà des deux conditions préalables  prévues par le CSI, qui doivent en tout état de cause être satisfaites,  des garanties équivalentes à celles mises en œuvre actuellement pour les  enquêtes administratives nationales doivent être prévues dans le cadre  des échanges projetés par le projet de décret, non seulement au regard  des dysfonctionnements rappelés mais également du champ d'application  très large des dispositions projetées. Ces échanges doivent en effet  s'inscrire dans un cadre permettant de garantir que cette communication  de données est conforme, d'une part, aux conditions fixées par le droit  national et, d'autre part, à la législation de l'Etat requérant.
La commission demande dès lors que les garanties complémentaires  suivantes soient prévues dans le projet de décret, afin d'assurer un  haut niveau de protection des données traitées dans le cadre de ces  nouveaux échanges d'informations.
La commission relève en premier lieu que la transmission  d'informations provenant du TAJ à des  organismes de coopération  internationale en matière de police judiciaire  est sans lien avec la  finalité du dispositif, la modification envisagée visant à encadrer les  seuls échanges intervenant dans le cadre d'enquêtes administratives.  Elle estime dès lors que le projet de décret devrait définir plus  strictement les services destinataires en les limitant aux seuls  services de police étrangers.
En deuxième lieu, elle considère que les demandes formulées par les  services de police étrangers devraient respecter certaines conditions.
Tout d'abord, il importe que la législation de l'Etat requérant  prévoie la réalisation d'une enquête administrative pour que les  services étrangers puissent solliciter, dans ce cadre, les services  français. En outre, la commission estime, s'agissant des services  pouvant demander communication de données enregistrées dans le TAJ, que  seuls les services habilités, dans l'Etat requérant, à effectuer de  telles enquêtes devraient pouvoir solliciter les services français.
Enfin, ces échanges d'informations doivent nécessairement intervenir  suivant la procédure définie par l'engagement international concerné et  des mesures de sécurité adéquates doivent être prévues. Il importe  ainsi que des canaux d'information sécurisés soient utilisés. Des  mesures de traçabilité, qui permettront de s'assurer a posteriori que  les données ont été transmises selon les règles applicables, doivent par  ailleurs être mises en œuvre, portant notamment sur la communication  des données, le destinataire, l'objet de la demande de l'Etat requérant,  le motif, le contenu et la date des échanges.
Si le projet de décret ne peut lister de manière exhaustive des  mesures qui, en pratique, seront mises en œuvre de manière différenciée  par les Etats, la commission estime cependant qu'il devrait être  complété des garanties précédemment rappelées.
En troisième lieu, la commission estime que le traitement de ces  demandes par les services français devrait également être entouré de  garanties complémentaires.
Ainsi, avant même de procéder à la consultation du TAJ, les services  français devraient procéder à des contrôles préalables permettant de  s'assurer que les services demandeurs sont habilités à solliciter des  informations (contrôle des habilitations) et qu'ils formulent la demande  dans le cadre d'une enquête administrative réglementée par la  législation de cet Etat (contrôle des motifs). Ces vérifications  devraient permettre de s'assurer que les services demandeurs  interviennent conformément à leur droit national.
La commission prend acte des précisions apportées par le ministère  selon lesquelles certaines de ces garanties sont, en pratique, mises en  œuvre, notamment dans le cadre des échanges intervenant par  l'intermédiaire des centres de coopération policière et douanière  (CCPD). Toutefois, les échanges concernés par le projet de décret ne se  limitent pas, en théorie, aux seuls échanges transfrontaliers et il  importe dès lors que ces types contrôles mis en œuvre par les CCPD  soient systématiquement appliqués à l'ensemble des échanges intervenant  en application du présent projet de texte. Dès lors, si le projet de  décret ne peut lister l'ensemble des modalités concrètes de contrôle qui  peuvent être mises en œuvre, la commission estime toutefois qu'il  devrait mentionner l'existence de tels contrôles.
En outre, la commission rappelle que les services français devront  transmettre les informations dans les conditions prévues par les  dispositions du  code de procédure pénale.
A cet égard, elle rappelle que les services français qui  consulteront le TAJ devront le faire uniquement par l'intermédiaire du  profil administratif, et en aucun cas avec le profil judiciaire.
De même, les données transmises devront être conformes aux  dispositions de l'article 40-29 du CPP. Ainsi, le service de police  étranger ne devra être destinataire que de la seule information relative  à l'enregistrement dans le TAJ de la personne concernée en tant que  mise en cause ( inconnue  ou  connue ) et, le cas échéant, de la  qualification de l'infraction pour laquelle cette personne est inscrite  dans le traitement. S'il envisage, sur la base de ces informations, de  prendre une décision défavorable, il devra, dans un second temps, se  rapprocher des services français pour un complément d'information auprès  des services de police français et du procureur de la République pour  les suites judiciaires. Il appartiendra au ministère de l'intérieur, en  collaboration avec les Etats partenaires, de définir éventuellement des  procédures permettant un échange optimisé de ces dernières données et  des mesures de sécurité adéquates entourant ces transmissions.
La présidente,
I. Falque-Pierrotin