La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le décret n°2011-110 du 27 janvier 2011 portant création d'un traitement automatisé de données à caractère personnel dénommé LRPPN 2 ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment ses articles R. 40-23 à R. 40-34 ;
Vu le code de la sécurité intérieure, notamment son article L. L114-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I-2° ;
Vu le décret n° 2005-1124 du 6 septembre 2005 pris pour l'application de l'article 17-1 de la loi n° 95-73 du 21 janvier 1995 et fixant la liste des enquêtes administratives donnant lieu à la consultation des traitements automatisés de données personnelles mentionnés à l'article 230-6 du code de procédure pénale ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2010-1318 du 4 novembre 2010 portant création d'une brigade nationale de répression de la délinquance fiscale ;
Vu le décret n° 2011-110 du 27 janvier 2011 portant création d'un traitement automatisé de données à caractère personnel dénommé LRPPN 2 ;
Vu le décret n° 2011-111 du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l'intérieur (direction générale de la gendarmerie nationale) d'un traitement automatisé de données à caractère personnel d'aide à la rédaction des procédures (LRPGN) ;
Vu le décret n° 2012-652 du 4 mai 2012 relatif au traitement d'antécédents judiciaires ;
Vu la délibération n° 2008-379 du 6 novembre 2008 portant avis sur un projet de décret en Conseil d'Etat portant création d'un traitement automatisé de données à caractère personnel dénommé  ARDOISE - Rédaction de procédure  ;
Vu la délibération n° 2011-204 du 7 juillet 2011 portant avis sur un projet de décret en Conseil d'Etat relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé  traitement de procédures judiciaires  (TPJ) ;
Après avoir entendu M Jean-Marie COTTERET, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Dès 2008, la police nationale a souhaité remplacer ses logiciels de rédaction des procédures par un outil dénommé ARDOISE. Cet outil avait dans un premier temps été déployé en phase de test, avant de faire l'objet d'une demande d'avis auprès de la Commission. Cette dernière s'est prononcée dans sa délibération du 6 novembre 2008 susvisée, qui contenait plusieurs observations, et le décret du 27 janvier 2011 susvisé a autorisé le ministère de l'intérieur à mettre en œuvre ce logiciel de rédaction des procédures, rebaptisé LRPPN 2.
La Commission a été saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret, modifiant les dispositions de ce décret du 27 janvier 2011 relatives aux finalités assignées au traitement LRPPN 2 et aux destinataires des données enregistrées. Les caractéristiques techniques sont également appelées à évoluer, permettant la mise en œuvre d'interconnexions avec certains traitements du ministère de l'intérieur et de la justice. En outre, l'instruction du dossier a permis de relever qu'une nouvelle donnée (la photographie) allait être collectée. Enfin, la Commission est amenée à formuler de nouvelles réserves sur des points qui avaient déjà attiré son attention en 2008.
Cette nouvelle version contient ainsi des évolutions techniques et juridiques substantielles, faisant de ce logiciel de rédaction des procédures le traitement alimentant l'ensemble des systèmes d'information utilisés dans le cadre de la chaîne pénale.
Sur les modifications envisagées des finalités assignées au traitement
En premier lieu, le ministère prévoit de modifier l'article 1er du décret du 27 janvier 2011 susvisé. Si celui-ci conserve la finalité  d'assurer la clarté et l'homogénéité de la rédaction des procédures judiciaires et administratives que [les services de police] ont compétence pour mettre en œuvre , il est prévu que la mention  à l'exclusion des enquêtes administratives mentionnées par l'article 17-1 de la loi n° 95-73 du 21 janvier 1995 susvisée  soit supprimée. Cette modification permettra la rédaction de l'ensemble des actes de procédures judiciaires et administratives, parmi lesquelles figurent les enquêtes administratives mentionnées à l'article L.114-1 du code de la sécurité intérieure.
En effet, le ministère précise que LRPPN 2 n'est actuellement pas utilisé dans le cadre de la rédaction des procédures administratives, mais que cette fonctionnalité sera activée dès la publication du décret.
La Commission, dans sa précédente délibération, avait estimé nécessaire que les procédures administratives visées par l'article 1er du projet de décret soient expressément définies aux termes d'un acte réglementaire, proposition qui n'a pas été suivie.
S'il n'est pas possible de dresser une liste exhaustive des procédures administratives concernées par le décret, en-dehors de celles prévues par le décret n°2005-1124 du 6 septembre 2005 pris pour l'application de l'article 17-1 de la loi n° 95-73 du 21 janvier 1995 et fixant la liste des enquêtes administratives donnant lieu à la consultation des traitements automatisés de données personnelles mentionnés à l'article 230-6 du code de procédure pénale, la Commission estime néanmoins opportun que soit dressée, dans une annexe au décret, la liste des catégories de ces procédures.
La Commission prend acte que les notes ainsi que les actes de procédures administratives n'alimenteront pas le traitement d'antécédents  TAJ  ni le futur Fichier des Objets Volés et Signalés (FOVeS). De même, aucune interconnexion n'est prévue entre LRPPN 2 et le traitement d'enquêtes administratives liées à la sécurité publique (EASP).
En second lieu, le traitement aura désormais pour finalité  la collecte des informations qui sont issues [des procédures concernées] en vue de leur diffusion et de leur exploitation dans le cadre de la police judiciaire . LRPPN 2 était en effet jusque là utilisé comme outil bureautique, il sera désormais un vecteur d'alimentation d'autres traitements du ministère de l'intérieur (TAJ et FOVeS notamment) ou de la justice (Cassiopée). LRPPN a ainsi vocation à constituer le socle du nouveau système d'information consacré à l'investigation.
La mention des interconnexions dans l'acte réglementaire autorisant la mise en œuvre du traitement n'est pas exigée par les dispositions de l'article 29 de la loi du 6 janvier 1978 modifiée. Toutefois, dès lors que ces interconnexions constituent l'une des finalités assignées au traitement, expressément mentionnée dans l'article 1er du projet de décret (nouveau), la Commission considère que ces interconnexions devraient être mentionnées dans l'acte réglementaire.
Sur les données collectées
La Commission prend acte de ce que le ministère entend modifier l'annexe du décret afin de faire apparaître expressément, dans les données collectées, la photographie des personnes mises en causes ou faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition. Elle a en effet constaté que le logiciel GASPARD (Gestion Automatisée des Signalements et des Photographies Anthropométriques Répertoriées et Distribuables) allait permettre l'alimentation, via LRPPN 2, du traitement d'antécédents judiciaires  TAJ  (photographie) et du Fichier automatisé des empreintes digitales (empreintes digitales et palmaires). La Commission relève que la photographie des victimes ne fera pas l'objet d'un traitement.
Les données sont supprimées de GASPARD si les données d'identité ne sont pas utilisées à l'issues du délai maximal de garde à vue ou si la personne soupçonnée n'est finalement pas mise en cause. De même, lors de la clôture et de la transmission définitive de la procédure, les données de signalisation relatives à une personne mise en cause sont effacées de GASPARD. Au regard de ces éléments, la Commission considère, contrairement à ce que semble indiquer le ministère de l'intérieur, que le logiciel GASPARD constitue bien un traitement au sens de l'article 2 la loi du 6 janvier 1978 modifiée et doit faire l'objet de formalités préalables.
Concernant les mécanismes de rappel d'identité, la Commission regrette que le ministère n'ait pas mis en place de mesure visant à prévenir les risques de confusion entre des homonymes. Les conséquences en cas de confusion entre deux personnes physiques sont d'autant plus grandes qu'aucune mesure de traçabilité n'encadre ces mécanismes de rappel d'identité. Le traitement LRPPN 2 devenant de fait le référentiel des personnes physiques de l'ensemble de la chaîne pénale, toute erreur dans le traitement se répercutera sur les traitements en aval, à savoir notamment le  TAJ  et Cassiopée. Aussi, au regard de ces conséquences, il importe de mieux prévenir ces risques.
Si ce mécanisme est utilisé aussi bien pour les procédures judiciaires que pour les procédures administratives, le ministère a confirmé qu'une identité collectée lors d'une procédure administrative ne peut pas être rappelée dans une procédure judiciaire et inversement, conformément à ce qu'avait d'ailleurs souhaité la Commission dans sa délibération du 6 novembre 2008 susvisée.
Sur la durée de conservation
Aucune modification n'est prévue s'agissant de la durée de conservation, de cinq ans à compter de la date de transmission de la procédure à l'autorité judiciaire ou administrative compétente. Le ministère justifie cette durée de conservation au regard du besoin de suivi des procédures d'une part, et d'archiver les procédures closes d'autre part, dans l'attente de la mise en œuvre d'un traitement national d'archivage des procédures.
La Commission, dans sa délibération du 6 novembre 2008 susvisée, avait émis des réserves sur cette durée de conservation, car elle ne lui semblait pas justifiée au regard des finalités du traitement, et avait considéré que le projet d'acte réglementaire devait être modifié en ce sens.
La Commission ne peut qu'émettre de nouvelles réserves sur cette durée de conservation des informations.
D'une part, le ministère indique que cette durée permettra la conservation des données au titre d'archives. Toutefois, la Commission considère que l'absence actuelle de mise en œuvre d'un traitement national d'archivage des procédures ne saurait avoir pour conséquence de conserver des données à caractère personnel pendant une durée qui excède la durée nécessaire à la finalité principale de rédaction des procédures.
D'autre part, la Commission rappelle que les données enregistrées dans le traitement LRPGN, dont la mise en œuvre est autorisée par le décret du 27 janvier 2011 susvisé, ne sont pas conservées après la transmission de la procédure à l'autorité judiciaire ou administrative compétente. Ces deux traitements ayant les mêmes finalités, elle estime que la durée de conservation prévue pour LRPPN 2 est excessive au regard des finalités poursuivies.
A tout le moins, la Commission considère que le projet de décret devrait être modifié afin de préciser que l'accès aux données au sein de ce délai, et dès lors que la procédure a été transmise à l'autorité compétente, ne pourra être effectué que de façon strictement encadrée et dans le but exclusif de la réouverture éventuelle de la procédure concernée et sur la base de son seul numéro.
A cet égard, la Commission prend acte que le ministère n'est pas opposé à modifier le projet de décret en ce sens, en ajoutant également une finalité d'archivage des procédures pendant cinq ans à compter de leur clôture.
En outre, la Commission observe qu'aucun mécanisme d'effacement automatique n'a été prévu à ce jour, et que le calendrier de mise en place d'une telle fonctionnalité n'est pas encore arrêté. Elle appelle donc le ministère à mettre en place une telle mesure dans les plus brefs délais afin que les données à caractère personnel ne soient pas conservées au-delà de la durée prévue par le texte réglementaire.
Sur les destinataires
Il est prévu de modifier l'article 4 du décret n° 2011-110 du 27 janvier 2011 susvisé relatif aux personnes accédant directement au traitement et aux autres destinataires, en remplaçant les termes  fonctionnaires de la police nationale  par  agents affectés au sein d'un service de la police nationale . De plus, les magistrats ne sont plus mentionnés dans la liste des destinataires. Enfin, il est prévu de permettre aux agents chargés d'une procédure de police judiciaire d'avoir accès aux informations issues des procédures administratives.
La première modification permet aux agents des services fiscaux de catégories A et B mentionnés au premier alinéa de l'article 28-2 du code de procédure pénale et affectés à la brigade nationale de répression de la délinquance financière (BNRDF) de la direction centrale de la police judiciaire, dont les missions sont prévues par le décret 4 novembre 2010 susvisé, d'avoir accès au traitement.
Concernant la suppression des magistrats comme destinataire, le ministère indique que l'autorité judiciaire constitue un tiers autorisé au sens du II de l'article 3 de la loi du 6 janvier 1978 modifiée et ne figure pas au titre des mentions obligatoires prévues par l'article 29 de la loi du 6 janvier 1978 modifiée. La Commission ne partage pas l'interprétation du ministère, dans la mesure où les magistrats, au regard des finalités assignées au traitement, sont habilitées à recevoir communications des données du fait même de leurs missions. Aussi, elle considère que les magistrats devraient figurer au titre des destinataires, comme le prévoit par ailleurs le décret du 27 janvier 2011 autorisant la mise en œuvre par le ministère de l'intérieur d'un traitement automatisé de données à caractère personnel d'aide à la rédaction des procédures (LRPGN).
Enfin, le ministère de l'intérieur souhaite étendre la communication des données et informations issues des procédures administratives aux personnes chargées d'une procédure de police judiciaire, pour des raisons liées à leurs missions de police judiciaire et qui n'ont pas accès au traitement. Il n'est néanmoins pas prévu de rendre les agents chargés d'une procédure administrative destinataires des données relatives à une procédure judiciaire. Aussi, pour une meilleure lisibilité et compréhension du texte, la Commission considère qu'il pourrait être utile de le préciser dans le décret.
Sur les interconnexions
L'objectif est à terme de constituer une chaine pénale complète, afin que les logiciels de rédaction des procédures de la police (LRPPN) et de la gendarmerie (LRPGN) alimentent, en début de procédure, le traitement d'antécédents TAJ ainsi que Cassiopée, et que ce dernier, en fin de procédure, assure la mise à jour de TAJ.
Sur la transmission d'information entre LRPPN 2 et TAJ
Au regard des dysfonctionnements du STIC constatés par la Commission lors de contrôles menés en 2007 et 2008, elle ne peut que souligner l'opportunité de toute mesure permettant de garantir que le traitement  TAJ  ne comporte que des données exactes et mises à jour, conformément à l'article 6-4° de la loi du 6 janvier 1978 modifiée.
Ainsi, elle prend acte que sont transmises au TAJ uniquement les données relatives aux procédures judiciaires rentrant dans son champ d'application, prévu par l'article R. 40-25 du code de procédure pénale. La Commission relève, comme elle avait eu l'occasion de le faire dans la délibération relative au traitement d'antécédents judiciaire  TAJ  du 7 juillet 2011, que contrairement aux données relatives aux faits, victimes et objets, qui alimentent le TAJ en temps réel, les données relatives aux mis en cause sont transmises au TAJ qu'après rédaction du compte rendu d'enquête après identification (CREI). Cette transmission différée permet d'éviter que des personnes abusivement mises en cause voient leurs données traitées dans TAJ lorsque l'enquête aura finalement démontré qu'il n'existe pas d'indices graves ou concordants de participation à une infraction.
En outre, la Commission relève que la rédaction d'un nouveau procès-verbal dans LRPPN 2 annule et remplace les anciennes données dans TAJ ; elle prend acte que ce dispositif est de nature à permettre ainsi une mise à jour exhaustive des données dans TAJ (par exemple modification du statut de victime, clôture en fait non constitué, requalification entrainant l'effacement dans TAJ des données, etc.).
Sur la transmission d'information entre LRPPN 2 et Cassiopée
Le traitement Cassiopée (Chaîne Applicative Supportant le Système d'Information Orienté Procédure Pénale et Enfants), qui a fait l'objet de plusieurs délibérations de la Commission, est mis en œuvre dans les tribunaux de grande instance et enregistre les informations nominatives relatives aux plaintes et dénonciations reçues par les procureurs de la République ou les juges d'instruction, ainsi que les suites qui leur ont été réservées.
Cette interconnexion permettra la transmission informatique directe des informations contenues dans les procédures judiciaires. Les travaux menés par le ministère de la justice concernant cette architecture technique n'étant pas encore achevés, la Commission attendra ces spécifiques techniques pour se prononcer en toute connaissance de cause sur cette interconnexion.
Concernant les modalités de transmission des données avec les traitements TAJ et Cassiopée, la Commission regrette que les précisions apportées par le ministère ne soient pas suffisamment précises concernant les mesures permettant de garantir la confidentialité des données échangées.
Sur la transmission d'information entre LRPPN 2 et le FOVeS
Le dossier laisse apparaître un projet d'interconnexion entre LRPPN 2 et le FOVeS (Fichier des Objets et Véhicules Signalés), destiné à remplacer le Fichier des Véhicules Volés (FVV) et les fichiers d'objets volés (STIC-objets de la police nationale, et Fichier des Objets Signalés de la gendarmerie nationale).
Le traitement FOVeS n'ayant à ce jour pas encore fait l'objet de formalités préalables prévues par la loi du 6 janvier 1978 modifiée, la Commission réserve son avis sur ce point dans l'attente du dossier de formalité relatif à ce traitement.
Sur les autres interconnexions
L'instruction de la présente demande d'avis a permis de relever que le traitement LRPPN 2 serait interconnecté avec d'autres traitements, tels que, par exemple,  pré-plainte  en ligne ou le fichier des personnes recherchées (FPR). Le ministère a confirmé à la Commission qu'elle serait, le cas échéant, saisie en application de l'article 30 de la loi du 6 janvier 1978 modifiée, lorsque les spécifications techniques concernées seront finalisées.
Sur les autres mesures de sécurité
Le projet de décret n'apporte pas de modification à l'architecture générale du traitement, qui est un traitement national divisé en bases locales.
La Commission prend acte que ces bases locales sont logiquement séparées, et administrées au niveau national. Elle appelle cependant l'attention du ministère sur la vigilance avec laquelle il habilitera les agents à accéder à plusieurs bases, et souhaite que ces multiples habilitations soient limitées aux cas strictement nécessaires.
Concernant l'authentification des utilisateurs, la Commission considère que les mesures mises en place à ce jour ne permettent pas de considérer que les utilisateurs du traitement sont actuellement authentifiés de façon suffisamment fiable. Au regard de la nécessité de garantir la validité des actes effectués dans le traitement, il serait souhaitable de mettre en place des modalités d'authentification plus fiables. A cet égard, le ministère indique que chaque agent de la police nationale sera prochainement titulaire d'une carte professionnelle comportant ainsi une puce d'authentification. La Commission, qui a eu l'occasion d'examiner ce dispositif, considère qu'il constitue un moyen d'identification fiable.
La Commission prend acte que l'ensemble des actions feront l'objet de mesures de traçabilité. Elle regrette en revanche que le ministère n'ait pas précisé clairement, malgré sa demande, les conditions d'exploitation de ces traces.
Les mesures visant à assurer la destruction des supports de stockage usagés apparaissent adaptées et de nature à prévenir toute atteinte à la confidentialité des données.
Les autres mesures de sécurité n'appellent pas de remarque particulière de la Commission.
La Présidente
Isabelle FALQUE-PIERROTIN