La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d’une demande d’avis concernant un projet de décret portant création d’un traitement automatisé de données à caractère personnel dénommé Fichier du renseignement pénitentiaire ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (loi Informatique et libertés ou LIL), notamment son titre IV ;
Après avoir entendu le rapport de Mme Christine MAUGÜÉ, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ETANT RAPPELES LES ELEMENTS DE CONTEXTE SUIVANTS
La Commission nationale de l’informatique et des libertés (ci-après la Commission ) a été saisie par le ministère de la justice d’un projet de décret portant création d’un traitement automatisé de données à caractère personnel dénommé Fichier du renseignement pénitentiaire (FRP).
Ce fichier vise à remplacer le traitement relatif au suivi des personnes placées sous main de justice et destiné à la prévention des atteintes à la sécurité pénitentiaire et à la sécurité publique dénommé CAR ( Collecter Analyser Renseigner ).
Le FRP vise à mettre à disposition du service national du renseignement pénitentiaire (SNRP), créé en 2019, les outils adaptés à la réalisation de ses missions. Il a pour finalité de prévenir les risques d’atteinte aux intérêts fondamentaux de la Nation. Les principales évolutions du FRP par rapport au traitement CAR portent sur une modification des finalités et une extension des catégories de personnes concernées, en lien avec les évolutions des dispositions du code de la sécurité intérieure (CSI) sur le renseignement pénitentiaire.
Le projet de décret prévoit en outre la possibilité, à titre expérimental, de mettre en œuvre un dispositif de reconnaissance faciale pour les seuls besoins de la mission du SNRP.
Le FRP vise à permettre la recherche, la collecte, l’exploitation, l’analyse et la diffusion de renseignements et d’informations afin de défendre et promouvoir, dans le champ de compétence du SNRP, les intérêts fondamentaux de la Nation. A ce titre, il relève, selon le ministère, du seul titre IV de la loi du 6 janvier 1978 modifiée et ne peut être considéré comme étant un traitement mixte relevant seulement pour partie du titre IV.
D’une part, l’arrêté du 29 mai 2019 portant création et organisation du SNRP prévoit que ce service a pour mission de rechercher, collecter, exploiter, analyser et diffuser les informations et renseignements susceptibles de révéler des risques d'atteinte aux intérêts fondamentaux de la Nation, à la sécurité des établissements pénitentiaires, des établissements de santé destinés à recevoir des personnes détenues et des services pénitentiaires.
D’autre part, dans ce champ d’action, pour que le SNRP puisse exercer au mieux cette mission, le CSI prévoit que le SNRP, en tant que service de renseignement, peut recourir à des techniques de renseignement : les articles L. 855-1 et R. 855-1 du CSI permettent en effet au SNRP de recourir à certaines techniques de recueil de renseignement à l’encontre de toute personne présentant un risque particulièrement élevé d’évasion ou dont le comportement constitue une menace d’une particulière gravité pour la sécurité des établissements pénitentiaires ou des établissements de santé destinés à recevoir des personnes détenues. Si cette formulation dépasse le cadre du titre IV de la loi Informatique et libertés , il résulte de l’article R. 811-2 que ce service de renseignement, de second cercle, ne peut mettre en œuvre de telles techniques que pour le recueil des renseignements relatifs à la défense et à la promotion des intérêts fondamentaux de la Nation, au titre des finalités mentionnées aux 4°, a, b et c du 5° et 6° de l'article L. 811-3 du CSI et pour un cadre d'action limité à l'enceinte des établissements pénitentiaires, en vertu de l’article R. 811-2 de ce même code. Ces techniques sont par ailleurs soumises à autorisation préalable du Premier ministre, délivrée après avis de la Commission nationale de contrôle des techniques de renseignement (CNCTR).
Prise dans son sens littéral, la formulation de l’article L. 855-1 permettrait, de traiter des atteintes plus larges que celles relatives à la sûreté de l’Etat, puisqu’elle inclut l’atteinte à la sécurité des établissements pénitentiaires. Cependant, le ministère fait remarquer que, en vertu notamment de l’article R. 811-2, tel ne peut pas être le cas, et souligne qu’il faut distinguer la notion de sécurité pénitentiaire relevant du domaine de la sécurité nationale (code de la sécurité intérieure) et la notion de sécurité pénitentiaire au sens du code pénitentiaire : les atteintes à la sécurité pénitentiaire ne présentant pas un niveau de gravité et de risque tel que les intérêts fondamentaux de la Nation et la sûreté de l’Etat sont en jeu relèveront uniquement du cadre d’intervention usuel de l’administration pénitentiaire prévu dans le code pénitentiaire, sans entrer dans le champ de celui du SNRP.
Dès lors, la Commission relève que, eu égard à la lecture combinée des différentes dispositions du CSI et à la définition resserrée, dans le projet de décret, des finalités pour lesquelles il peut être recouru aux diverses techniques de renseignement, le SNRP aura vocation à enregistrer dans le FRP des informations relevant uniquement de la sûreté de l’Etat. Ainsi, des données relatives à l’ensemble des évènements qui entrent dans le champ de compétence de l’administration pénitentiaire et ont trait à la sécurité des établissements pénitentiaires de manière générale (lutte contre les évasions par exemple) ne rentreront pas dans le périmètre du traitement.
Au regard de ce qui précède, la CNIL estime comme le ministère que le traitement relève dans son ensemble du titre IV de la loi du 6 janvier 1978.
Eu égard à la finalité du traitement et dans la mesure où des données sensibles seront collectées, le traitement doit, en application du II de l’article 31 de la LIL, être encadré par un décret en Conseil d’Etat en application des dispositions du Chapitre IV Formalités préalables à la mise en œuvre des traitements de la loi du 6 janvier 1978 modifiée.
Le ministère a par ailleurs fait le choix d’appliquer les dérogations prévues par la loi concernant les traitements qui intéressent la sûreté de l’État et la défense, notamment l’absence de publication de l’acte réglementaire encadrant le traitement et l’absence de contrôle
a posteriori
Si la dispense de publication de l’acte encadrant le traitement est légitime eu égard à l’objet et aux finalités du fichier du renseignement pénitentiaire, la Commission regrette néanmoins la limitation de son action, en ce qui concerne son pouvoir de contrôle. Les dérogations prévues par la loi du 6 janvier 1978 ne sont qu’une faculté pour ce type de traitement. La Commission rappelle ainsi que ses membres et agents sont astreints par la loi au secret professionnel et qu’une partie d’entre eux disposent d’une habilitation au secret de la défense nationale. Elle rappelle en outre que les modalités d’exercice du contrôle
a posteriori
EMET L’AVIS SUIVANT SUR LE PROJET DE DECRET
Sur le périmètre des personnes visées par le traitement
En premier lieu
les personnes confiées au service public pénitentiaire dont le comportement est susceptible de porter atteinte aux intérêts fondamentaux de la Nation ;
les agents de l’administration pénitentiaire et les personnes habilités à intervenir en détention dont le comportement est susceptible de porter atteinte aux intérêts fondamentaux de la Nation ;
les personnes susceptibles d’être impliquées dans une menace, portant sur un établissement pénitentiaire ou sur ou un établissement de santé destiné à recevoir des personnes détenues, constitutive d’une atteinte aux intérêts fondamentaux de la Nation ;
les personnes fournissant des informations sur les personnes mentionnées précédemment ou sur tout agissement susceptible de porter atteinte aux intérêts fondamentaux de la Nation.
Cette évolution résulte de la loi n° 2019-222 du 23 mars 2019 de programmation 2018- 2022 et de réforme pour la justice, qui a élargi les possibilités de recours aux techniques de renseignement ainsi que le périmètre des personnes visées par de telles techniques. Le SNRP peut désormais, sous certaines conditions, mettre en place des techniques de renseignement à l’encontre de personnes non placées sous main de justice.
En pratique, l’extension vise toute personne susceptible de porter atteinte aux intérêts fondamentaux de la Nation, sans avoir nécessairement de liens directs avec des personnes confiées au service public pénitentiaire, avec des agents de l’administration pénitentiaire ou avec des intervenants en détention.
La Commission souligne toutefois que les informations ainsi recueillies devront nécessairement avoir un lien avec les missions du SNRP définies par la loi et l’arrêté du 29 mai 2019 portant création et organisation d'un service à compétence nationale dénommé Service national du renseignement pénitentiaire .
A cet égard, le ministère précise que le SNRP n’a pas pour mission de collecter, par principe, des données sur tous les visiteurs. En effet, un lien, même indirect, devra être constitué, un comportement ou une action devront être caractérisés, susceptibles de porter atteinte aux intérêts fondamentaux de la Nation, pour permettre la collecte et l’enregistrement de données au sein du fichier.
En deuxième lieu
En troisième lieu
La Commission prend acte de ce qu’un ajustement rédactionnel du projet de décret est envisagé afin de clarifier que les données sont nécessaires tant pour les personnes en cours de recrutement (établir précisément leur profil) que pour les personnes recrutées (mise à jour du profil nécessaire, détection de tout changement notable susceptible d’affecter la véracité des informations transmises).
Sur les données collectées
En premier lieu
Sans remettre en cause ces éléments, la Commission s’interroge toutefois sur l’emploi du terme sécurité nationale dans le 4° de l’article 2 du projet de décret (
S’agissant des personnes entretenant ou ayant entretenu un contact régulier avec la personne mentionnée au 1°, 2°, 3°ou 4° de l’article 1er au sein ou à l’extérieur de l’établissement pénitentiaire, et les personnes en lien avec la personne mentionnée au 1°, 2°ou 3° de l’article 1er en raison de leur appartenance à un groupe identifié comme présentant un risque pour les intérêts fondamentaux de la Nation ou la sécurité nationale
En deuxième lieu
Ces informations constituent des données de santé, qui doivent faire l’objet d’une vigilance renforcée. Au regard du nombre de personnes susceptibles d’être concernées et de l’absence de compétence médicale des personnes enregistrant cette information dans le traitement FRP, la plus grande prudence devra être observée concernant la collecte de ces données, qui ne seront pas systématiquement un diagnostic établi par un professionnel de santé au sens de l’article L. 1110-4 du code de la santé publique. A cet égard, la Commission relève que ces transmissions entre autorités administratives et le SNRP se feront dans le cadre de l’article L863-2 du CSI.
En troisième lieu
La Commission souligne que les informations de cette catégorie sont susceptibles de constituer des données sensibles (faisant apparaître notamment les opinions politiques, les convictions religieuses ou philosophiques ou l'appartenance syndicale d'une personne physique) et leur collecte devra par conséquent faire l’objet d’une vigilance particulière.
Au titre des données portant sur les activités sur les réseaux sociaux, seules les données relatives aux actions de la personne concernée seront collectées. La Commission s’interroge toutefois sur les modalités pratiques de mise en œuvre de cette garantie. Elle attire la vigilance du ministère sur la collecte de données relatives à des personnes tierces : de telles informations ne pourront faire l’objet d’un enregistrement que dans l’hypothèse où leur mention est nécessaire au regard des finalités poursuivies par le traitement et en lien avec le milieu pénitentiaire.
D’une manière générale, la Commission reconnaît la difficulté d’identifier dans un texte réglementaire, de prime abord et avec précision, l’ensemble des données qui pourraient être pertinentes pour atteindre les finalités d’un traitement ayant trait à des activités de renseignement.
Le choix du ministère d’exclure le contrôle
a posteriori

la collecte des données issues des correspondances écrites, téléphoniques et numériques et des enregistrements des systèmes de vidéosurveillance de l’établissement pénitentiaire se fera dans le respect des codes en vigueur et ne conduiront pas à la mise en œuvre d’une nouvelle méthode d’investigation. Les enregistrements issus des systèmes de vidéosurveillance ne seront pas enregistrés dans le fichier : seul le résultat de leur analyse fera l’objet d’un enregistrement. La Commission accueille favorablement ces garanties ;
un ajustement rédactionnel est envisagé afin que la catégorie observations particulières , qui porte sur les informations sur la vie en détention de la personne concernée, couvre aussi les écrits professionnels auxquels le SNRP a accès dans GENESIS. Cela n’appelle pas d’observations.
La Commission souligne qu’un traitement ayant trait à des activités de renseignement conduit à collecter un nombre important de données, parfois sensibles, sur de nombreuses personnes. Si l’ensemble des données listées à l’article 2 du projet de décret apparaissent pouvoir être pertinentes pour les missions du service national du renseignement pénitentiaire, les agents accédant au traitement devront être particulièrement vigilants à ne collecter que celles dont l’utilité opérationnelle est avérée, et à supprimer régulièrement celles qui n’apparaissent plus pertinentes.
Sur le dispositif expérimental de reconnaissance faciale
Le 6° de l’article 2 du projet de décret prévoit la possibilité, à titre expérimental et jusqu’au 1

Selon le ministère, cette expérimentation vise à faciliter et renforcer l’identification de personnes présentes sur des contenus diffusés en ligne (réseaux sociaux et Internet de façon générale) ou collectés lors de fouilles effectuées sur les appareils numériques utilisés en détention. Il indique à cet égard que l’utilisation d’avatars et de moyens de communication illicites complexifie l’identification des personnes détenues susceptibles de préparer des actions violentes. Des photographies prises dans les établissements pénitentiaires peuvent également être recueillies dans des téléphones portables découverts en détention.
Le dispositif envisagé a ainsi pour but de permettre une identification fiable dans des délais brefs, cette identification étant aujourd’hui réalisée manuellement par des agents. Tous les sites web pourront être visés sous couvert qu’ils soient pré-identifiés et rattachés à une personne faisant l’objet d’un suivi par le SNRP. Le dispositif n’aurait pour objectif que de confirmer l’utilisation d’un réseau par la personne cible ou la présence de celle-ci sur une photographie ou une vidéo ; il n’aurait pas vocation à collecter toute photographie sur les réseaux sociaux pour les comparer et trouver des réseaux éventuellement utilisés par les cibles. Le fichier du renseignement pénitentiaire sera ainsi interrogé à partir du gabarit biométrique issu de la photographie recueillie à des fins de comparaison avec ceux déjà enregistrés.
Le dispositif envisagé aura donc pour fonction une identification des personnes afin de retrouver un gabarit biométrique dans une base de données (recherche de type un pour N ), et pas seulement une authentification des personnes visant à comparer un gabarit biométrique préenregistré avec un seul visage ( un pour un ). La Commission rappelle que l’identification photographique des personnes présente des risques liés aux éventuels faux positifs et des conséquences importantes pour la personne concernée qui pourraient découler, par exemple, d’une erreur d’attribution d’un compte à une personne recherchée. Ces risques sont par ailleurs amplifiés par le fait que les photographies pourront être collectées sur des sources très variées, dont les éléments disponibles sur Internet en source ouverte, ou les réseaux sociaux. En outre, cette recherche implique une conservation de gabarits biométriques, qui sont des données sensibles, dans une base centralisée. La Commission souligne que cette modalité de conservation présente des risques importants pour les personnes concernées en cas de compromission.
La Commission rappelle qu’une telle fonctionnalité de recherche photographique existe déjà dans certains fichiers de renseignement, de manière pérenne. Par ailleurs, un dispositif analogue est aussi utilisé, de manière pérenne également, dans le fonctionnement du traitement des antécédents judiciaires (TAJ).
La Commission relève par ailleurs la mise en place de certaines garanties par le ministère :
le périmètre du dispositif porte uniquement sur les personnes détenues ou ayant été détenues au sein d’un établissement pénitentiaire, et non sur l’ensemble des personnes enregistrées dans le fichier ;
le gabarit biométrique de référence des personnes dans le FRP ne pourra être créé qu’à partir des photographies issues du traitement GENESIS. Sur ce point, le ministère envisage un ajustement rédactionnel à des fins de transparence, afin de mentionner au sein du décret le gabarit biométrique issu du média (photographie ou vidéo) et la constitution d’un ensemble de gabarits de référence. Ainsi, si le SNRP pourra disposer de photographies d’autres personnes inscrites dans le FRP, il ne pourra pas être créé de gabarit biométrique de référence en l’absence de photographie issue de GENESIS ;
une identification réalisée à l’aide du dispositif biométrique expérimenté devra toujours être complétée et corroborée par d’autres éléments en la possession du SNRP.
Le ministère a également motivé la durée de l’expérimentation, prévue jusqu’au 1

La Commission considère que le dispositif projeté poursuit un objectif légitime au regard des finalités du traitement et des contraintes opérationnelles aujourd’hui rencontrées par le SNRP. Elle approuve le choix fait du déploiement du dispositif seulement à titre expérimental, afin qu’il ne soit pérennisé que s’il présente une utilité opérationnelle avérée.
Toutefois, elle estime que le projet de décret devrait être précisé, pour indiquer que la reconnaissance faciale ne peut être utilisée que pour une fonctionnalité de recherche à partir de la photographie d’une personne, et uniquement pour les finalités relevant du titre IV de la loi Informatique et libertés , sur lequel se fonde le traitement.
Si le projet de décret indique que le dispositif de reconnaissance faciale porte uniquement sur les personnes détenues ou ayant été détenues au sein d’un établissement pénitentiaire, sans autre précision qu'il ne peut être mis en œuvre que pour les seuls besoins de la mission du service national du renseignement pénitentiaire, la Commission relève qu’il ressort des éléments transmis par le ministère et des finalités du FRP précisées dans le texte que seules les personnes dont le comportement est susceptible de porter atteinte aux intérêts fondamentaux de la Nation sont susceptibles d’être enregistrées dans le FRP. Par conséquent, les gabarits biométriques prévus par le 6° de l’article 2 ne peuvent concerner que ces personnes. Elle demande que cette précision soit ajoutée dans le projet de décret.
Par ailleurs, l’expérimentation devra faire l'objet d'une évaluation rigoureuse, à la hauteur des enjeux soulevés par ce type de dispositif, en particulier si une pérennisation était envisagée. Un protocole d’évaluation permettant de mesurer précisément l’apport de la technologie doit être réalisé. Plus concrètement, il convient de :
définir scientifiquement la méthodologie, les étapes de l’évaluation ainsi que son organisation concrète, dans le temps et l’espace ;
formuler explicitement les hypothèses testées lors de l’expérimentation ;
détailler les indicateurs et critères de succès/échecs de l’expérimentation et cela à plusieurs niveaux :
au niveau des performances techniques : les outils testés fonctionnent-ils en conditions réelles aussi bien qu’attendu, par exemple au regard des performances annoncées ?
au niveau des objectifs opérationnels : les outils testés apportent-ils une véritable plus-value pour la tâche à réaliser par les agents ?
offrir une analyse contrefactuelle permettant de comparer les résultats obtenus dans le cadre expérimental avec ceux qui l’auraient été en son absence ou encore dans le cas du déploiement d’une autre solution moins intrusive ;
évaluer les mesures de contrôle humain et du système de gestion des risques permettant de prévenir et de corriger la survenue de biais éventuels ou de mauvaise utilisation ;
détailler les mesures de sécurité et de protection de la vie privée mises en place afin d’assurer la disponibilité, la confidentialité et l’intégrité des données traitées ;
anticiper une communication des résultats de l’évaluation menée, cela indépendamment de son issue et des résultats obtenus, dans la limite de ce qui peut l’être pour les traitements de données relevant du titre IV de la loi du 6 janvier 1978 modifiée notamment.
Si la Commission relève que certaines garanties ont été définies par le ministère, elle invite celui-ci à lui transmettre les modalités détaillées de mise en œuvre de l’expérimentation. La Commission appelle en particulier la vigilance du ministère sur les risques posés par les éventuels faux positifs compte tenu des conséquences importantes pour la personne concernée qui pourraient en découler.
Elle invite dès lors le ministère à définir un protocole d’évaluation selon le modèle décrit ci-dessus avant toute mise en œuvre du dispositif de reconnaissance faciale projeté et à réaliser notamment une évaluation de l’impact sur les personnes concernées et les éventuels tiers. Le ministère indique qu’il mettra en place un protocole d’évaluation de l’impact sur les personnes et les éventuels tiers. Le résultat de cette évaluation ainsi que la méthodologie employée seront communiqués à la Commission, qui demande à ce que cette transmission intervienne avant toute mise en œuvre de la phase de pérennisation du traitement, qui nécessiterait une modification du décret.
Enfin, eu égard aux enjeux importants associés à la mise en œuvre d’une telle expérimentation, la Commission demande à pouvoir exercer son pouvoir de contrôle
a posteriori
Dans ces conditions, la Commission estime que le projet de décret ne porte pas sur ce point une atteinte qui soit disproportionnée à la vie privée au regard des objectifs poursuivis.
Sur la durée de conservation des données
Le projet de décret ne mentionne pas la durée de conservation des données traitées dans le fichier du renseignement pénitentiaire et cette durée n’a pas été portée à la connaissance de la Commission.
La loi autorise le Gouvernement à ne pas communiquer d’information à la Commission sur la durée de conservation des informations traitées et à ne pas prévoir, dans l’acte réglementaire régissant le traitement, une durée de conservation définie par avance. Si les fichiers des services de renseignement ne sont généralement pas soumis à des durées de conservation réglementaires, la Commission souligne que, selon sa doctrine constante, c’est à la condition que les données soient effectivement effacées lorsque leur conservation n’est plus utile aux finalités poursuivies, et que des précautions particulières soient prises en ce sens (CE, INT, 4 juillet 2017, Projet de décret portant création d’un traitement automatisé dénommé ACCReD, n° 393336).
A titre liminaire
En premier lieu
En second lieu
des durées de conservation inférieures aux durées prévues pour les personnes majeures ont été spécifiquement prévues pour les données concernant les personnes mineures enregistrées dans le traitement ;
en cas d’évènement survenant avant la majorité (et constituant normalement le point de départ de la durée de conservation), il est prévu qu’un examen individuel par le SNRP détermine si, au regard de la dangerosité de ces personnes et des évènements survenus, les données doivent être conservées pour la durée spécifiquement prévue pour les mineurs ou bien être effacées sans délai.
Sur les accédants et destinataires des données du traitement
En premier lieu
La Commission comprend du projet de décret que les personnes mentionnées comme accédants ne seront pas seulement chargées d’accéder aux données mais pourront enregistrer des données dans le traitement. La Commission invite dès lors le ministère, pour éviter toute ambiguïté, à indiquer dans le projet de décret que ces personnes accèdent au traitement et non aux données .
En second lieu
La Commission observe que sont définis comme destinataires les personnels des administrations publiques dans la mesure où ils sont susceptibles d’intervenir dans le cadre des enquêtes administratives visant les emplois sensibles prévues par les articles L.114-1 et suivants du CSI.
Elle relève également que les agents des services partenaires du SNRP, à savoir ceux listés aux articles L.811-2 et L.811-4 du CSI, pourront recevoir communication de certaines données figurant dans le traitement dans le cadre de la transmission de notes de renseignement ou de signalement blanchies.
La Commission n’a pas d’observations sur ces catégories de destinataires.
Sur l’exclusion du droit d’information
Le projet de décret prévoit que le droit d’information prévu au I de l’article 116 de la loi du 6 janvier 1978 modifiée ne s’applique pas au FRP.
Les agents de la direction de l’administration pénitentiaire, en tant qu’accédants au traitement, se verront pourtant communiquer une information relative au traitement de leurs données (connexion au compte et journalisation). Le projet de décret, qui formule en l’état une dérogation générale au droit à l’information, devrait être modifié afin de clarifier ce point.
Pour les autres catégories de personnes, l’exclusion du droit d’information est justifiée, au regard de la nécessité de protéger les modes opératoires utilisés en matière de renseignement et, ainsi, de ne pas compromettre les investigations.
Sur les mises en relation et interconnexions projetées
Il ressort de l’article 2 du projet de décret que le fichier du renseignement pénitentiaire fera l’objet d’une mise en relation avec différents traitements selon les modalités suivantes :
le traitement de données à caractère personnel relatif à la gestion nationale des personnes détenues en établissement pénitentiaire dénommé GENESIS : interconnexion avec un flux à sens unique de GENESIS vers le fichier du renseignement pénitentiaire, cette collecte automatisée étant limitée aux données liées aux sorties de détention des personnes. En outre, d’autres données issues de GENESIS seront également enregistrées dans le FRP et feront alors l’objet d’un enregistrement manuel ;
le fichier des signalements pour la prévention de la radicalisation à caractère terroriste ( FSPRT ) : mise en relation qui pourra se faire dans les deux sens ;
le fichier judiciaire national automatisé des auteurs d'infractions terroristes ( FIJAIT ) : flux à sens unique, l’inscription d’un individu au FIJAIT étant renseignée manuellement dans le fichier du renseignement pénitentiaire.
En premier lieu
En second lieu
Il ressort des éléments transmis que, pour ces deux traitements, les mises à jour se feront manuellement. Si une vérification périodique sera réalisée par des référents, la Commission considère que la mesure manuelle de suppression de données réalisée au terme de la durée de conservation est insuffisante pour assurer la suppression des données de façon systématique, au terme du délai de conservation, et recommande donc que des mesures additionnelles soient mises en place.
Le ministère précise qu’il est, à moyen terme, envisagé d’automatiser l’alimentation du FSPRT à partir des données enregistrées dans le fichier du renseignement pénitentiaire. En tout état de cause, la Commission rappelle qu'elle devra être tenue informée et saisie, dans les conditions prévues à l'article 33-II de la loi du 6 janvier 1978 modifiée, de toute modification substantielle affectant les caractéristiques du traitement.
Sur les mesures de sécurité
Le responsable de traitement n’est pas tenu de communiquer à la Commission des éléments sur l’architecture et les mesures de sécurité, en vertu de l’article 33 de la loi du 6 janvier 1978 modifiée.
La Commission relève que le traitement est en cours d’homologation et que son utilisation est en voie d’amélioration (création de différents niveaux d’accès pour assurer un contrôle interne de la collecte de données, évolution de l’encadrement de la traçabilité des accès, etc.).
Un délai de trois ans est prévu pour la conservation des événements journalisés. Ces événements recouvrent les opérations de collecte, modification, consultation, communication et effacement. La Commission considère cette durée proportionnée.
Enfin, la Commission rappelle qu’un tel traitement – englobant l’expérimentation décrite précédemment – impose la mise en œuvre de mesures de sécurité d’un niveau élevé. Il appartiendra ainsi au ministère, pour garantir la confidentialité des données, de mettre en œuvre des modalités : d’authentification des agents en charge, de gestion des habilitations, de journalisation des accès, de sécurisation du réseau informatique et des serveurs sur lesquels est déployé le dispositif ou encore de chiffrement des données, et en particulier des gabarits biométriques.
Sur le sens de l’avis émis par la Commission devant être publié
Au regard de l’ensemble des éléments figurant dans la présente délibération, le sens de l’avis de la Commission, qui devra être publié en même temps que le décret portant création d’un traitement automatisé de données à caractère personnel dénommé Fichier du renseignement pénitentiaire , devra porter la mention : favorable avec réserve .
La Présidente
Marie-Laure DENIS