La Présidente de la Commission nationale de l’informatique et des libertés,
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, et notamment ses articles 230-6, 230-8, R. 40-23 et R. 40-33 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 45 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, notamment son article 87-1 ;
Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l’informatique et des libertés ;
Vu le rapport remis par la CNIL au Premier ministre le 20 janvier 2009 présentant les conclusions du contrôle du système de traitement des infractions constatées (STIC) ;
Vu le rapport adopté par la CNIL le 13 juin 2013 présentant les conclusions du contrôle des fichiers d’antécédents de X.

Constate les faits suivants
La Commission nationale de l’informatique et des libertés (ci-après la CNIL ou la Commission) est chargée de traiter les demandes d’accès indirect aux données enregistrées dans le traitement d’antécédents judiciaires (TAJ).
Fichier d’antécédents commun à la police et à la gendarmerie nationales, le TAJ a été créé pour remplacer les fichiers JUDEX (abrogé depuis le 31 décembre 2013) et STIC (devant être abrogé à compter du 31 décembre 2015).
Conformément aux dispositions de l’article 230-6 du code de procédure pénale, le TAJ a pour finalité de faciliter la constatation d’infractions, le rassemblement de preuves et la recherche des auteurs d’infractions. Il est consulté dans le cadre d’enquêtes judiciaires, mais également d’enquêtes administratives (notamment pour certains emplois publics ou sensibles).
L’article R. 40-23 du code de procédure pénale autorise X, et plus particulièrement les services de la police et de la gendarmerie nationales, à mettre en œuvre ce traitement.
Y a quant à lui une mission de contrôle et de mise à jour du TAJ . En effet, l’article 230-8 du code de procédure pénale prévoit que le TAJ est opéré sous le contrôle du procureur de la République qui demande [que les données] soient effacées, complétées ou rectifiées. Les procureurs de la République (ci-après les Parquets) procèdent ainsi aux demandes d’effacement et de rectification des données contenues dans le TAJ auprès des services de la police et de la gendarmerie nationales (ci-après les services gestionnaires du TAJ).
Conformément aux dispositions de l’article R. 40-33 du code de procédure pénale, les personnes concernées peuvent avoir accès aux données enregistrées dans le TAJ uniquement par l’intermédiaire de la CNIL. Il est expressément prévu que le droit d’accès à ce traitement s’exerce de manière indirecte, dans les conditions prévues à l’article 41 de la loi n° 78-17 du 6 janvier 1978, par demande portée préalablement devant la Commission nationale de l’informatique et des libertés, pour l’ensemble des données.
En effet, dans la mesure où le TAJ a pour objet principal la recherche et la constatation d’infractions pénales, il relève de l’article 26-I-2° de la loi du 6 janvier 1978 modifiée et, par conséquent, de l’article 42 de ladite loi. Aux termes de cet article 42, le droit d’accès des personnes concernées peut, si l’acte réglementaire autorisant la mise en œuvre du traitement le prévoit - ce qui est le cas en l’espèce, s’exercer indirectement auprès de la CNIL dans les conditions prévues à l’article 41 de la loi précitée.
L’article 87-1 du décret du 20 octobre 2005 modifié, qui détermine les conditions d’application de l’article 41 au TAJ, précise les modalités d’instruction des demandes d’accès aux données contenues dans ce traitement : La demande est adressée à la Commission nationale de l’informatique et des libertés. Elle est traitée dans les conditions prévues au premier alinéa de l’article 87 dans un délai de six mois. Dès réception de la demande, le responsable du traitement dispose d’un délai d’un mois et demi pour saisir le procureur de la République. Ce délai peut être prorogé d’un mois supplémentaire si le traitement de la demande nécessite des investigations complexes. La commission en est informée par le responsable du traitement. Le procureur de la République dispose d’un délai de trois mois pour se prononcer sur les suites qu’il convient de réserver à la demande. Il communique ses prescriptions au responsable du traitement qui, dans un délai de quinze jours, informe la commission des suites réservées à la demande.
Ainsi, cet article impose :
-        Aux services de la police et de la gendarmerie nationales de saisir le(s) Parquet(s) concerné(s) dans un délai d’un mois et demi à compter de la réception de la demande d’accès transmise par la CNIL ; ce délai peut être prorogé d’un mois supplémentaire si le traitement de la demande le nécessite, et la commission en est informée par le responsable du traitement ;
-        A chaque Parquet concerné, dans un délai de trois mois, d’indiquer aux services gestionnaires du TAJ les suites judiciaires données à l’affaire et de répondre à la demande d’accès de la personne concernée.
A réception de la réponse du (des) Parquet(s), un magistrat de la CNIL en charge du droit d’accès indirect procède aux vérifications. A cette occasion et conformément à l’article 41 de la loi du 6 janvier 1978 modifiée, il fait procéder aux rectifications nécessaires. Aux termes de l’article 230-8 du code de procédure pénale, ces rectifications sont de droit en cas de suites judiciaires favorables intervenues dans les affaires concernées.
A l’issue de ces vérifications, la CNIL en informe la personne concernée si le procureur de la République ou les gestionnaires du TAJ ne s’y opposent pas.
Or, les services de la police nationale et les Parquets ne respectent pas les délais prévus à l’article 87-1 du décret du 20 octobre 2005 modifié.
Ce défaut de saisine et de réponse des Parquets dans les délais prévus met ainsi la CNIL dans l’impossibilité de répondre, dans le délai de six mois qui lui est imparti par le décret, aux demandes d’accès qu’elle reçoit. A cet égard, dans une décision n° 360500 du 11 avril 2014, le Conseil d’Etat a considéré que l’enregistrement de données à caractère personnel dans le STIC, de même que leur rectification ou leur effacement, n’est pas le fait de la CNIL mais des autorités administratives et judiciaires responsables de ce traitement ; que, pour procéder aux diligences qui lui incombent du fait des dispositions combinées de l’article 41 de la loi du 6 janvier 1978 et de l’article 88 du décret du 20 octobre 2005, la CNIL est tributaire des réponses des autorités administratives et judiciaires responsables des traitements en cause.

Sur la qualification de ces faits au regard de la loi du 6 janvier 1978 modifiée
Un manquement à l’obligation de respecter les modalités de mise en œuvre du droit d’accès
Il apparaît que 20% des demandes d’accès aux données enregistrées dans les fichiers STIC et JUDEX reçues en 2012 par la CNIL sont toujours en cours d’instruction. Ce nombre s’élève à 60% pour les demandes reçues en 2013 et à 80% pour celles reçues en 2014.
Pour les dossiers pour lesquels une réponse a pu être apportée aux personnes concernées par la CNIL en décembre 2014, le délai moyen de traitement s’élève à 16 mois.
Ces retards de traitement sont, en premier lieu, majoritairement dus à un défaut de saisine des Parquets par les services de la police nationale dans le délai d’un mois et demi prévu à l’article 87-1 du décret du 20 octobre 2005 modifié, qui détermine les conditions d’application de l’article 41 de la loi du 6 janvier 1978 modifiée au traitement TAJ .
Les services de la police nationale ne procèdent pas de manière concomitante à la centralisation des procédures à l’origine de l’enregistrement de données dans le TAJ et à la saisine des Parquets concernés, ce qui a pour effet d’allonger de manière importante les délais de traitement.
A titre d’exemple, une demande d’accès adressée par la CNIL aux services de la police nationale le 22 mai 2013 a été transmise au Parquet concerné le 25 septembre 2014, soit plus de 16 mois après la transmission de la demande par la CNIL.
En deuxième lieu, il apparaît que les retards de traitement sont également dus au défaut de réponse des Parquets aux saisines des services de la police nationale dans le délai de trois mois prévu à l’article 87-1 du décret du 20 octobre 2005 modifié, qui détermine les conditions d’application de l’article 41 de la loi du 6 janvier 1978 modifiée.
A titre d’exemple, le 3 juillet 2014, les services de la police nationale ont indiqué être en attente de la réponse du Parquet à une demande d’accès transmise par la CNIL le 28 mars 2012. Cinq mois plus tard, le 5 décembre 2014, les services de la police nationale étaient toujours en attente de cette réponse.
En outre, les Parquets n’ont pas apporté de réponse pour 34% des 2497 affaires judiciaires (résultant de 960 demandes d’accès indirect) ayant fait l’objet de vérifications sur place par la CNIL en 2014, à la suite de demandes d’accès transmises aux services de la police nationale, pour des personnes faisant l’objet d’enregistrement(s) en qualité de mis en cause. La CNIL a donc dû répondre à ces demandes au vu des données enregistrées dans le TAJ sans avoir pu s’assurer que le traitement était à jour des rectifications qui auraient dû être opérées en cas de suites judiciaires favorables.
Ainsi, il apparaît que le droit d’accès indirect des personnes concernées nécessite tant le concours de X, en tant que gestionnaire du TAJ, que de Y, en tant que responsable de la mise à jour des données que contient ce fichier.
En ne respectant pas les délais qui leur sont ainsi impartis, les services de la police nationale et les Parquets privent les personnes concernées d’un droit d’accès indirect efficace aux données les concernant enregistrées dans le TAJ.
Ces faits constituent un manquement aux obligations découlant des articles 41 et 42 de la loi du 6 janvier 1978 modifiée. Ils ne permettent pas aux membres de la Commission désignés conformément à l’article 41 de la loi de mener les investigations utiles et faire procéder aux modifications nécessaires.
En conséquence, X, sis […], et Y, sis […], sont mis en demeure, sous un délai de trois (3) mois à compter de la notification de la présente décision et sous réserve des mesures qu’ils auraient déjà pu adopter, de :
-        permettre à la CNIL de traiter dans les délais qui lui sont impartis les demandes de droit d’accès indirect qu’elle reçoit, en respectant les délais prévus à l’article 87-1 du décret du 20 octobre 2005 modifié, qui détermine les conditions d’application de l’article 41 de la loi du 6 janvier 1978 modifiée au traitement TAJ, notamment :
o   pour les services de la police nationale, en saisissant les Parquets concernés dans un délai d’un mois et demi à compter de la réception de la demande ; et en saisissant les Parquets concernés dans les plus brefs délais pour les demandes d’accès n’ayant pas fait l’objet d’une saisine dans le délai imparti ;
o   pour les Parquets, en se prononçant sur les suites judiciaires des affaires concernées et celles qu’il convient de réserver à la demande d’accès dans un délai de trois mois à compter de cette saisine ; et, pour les demandes d’accès en souffrance, en répondant aux saisines des services gestionnaires du TAJ dans les plus brefs délais ;
-        justifier auprès de la CNIL que l’ensemble des demandes précitées a bien été respecté, et ce dans le délai imparti.
À l’issue de ce délai, si X et Y se sont conformés à la présente mise en demeure, il sera considéré que la procédure est close et un courrier leur sera adressé en ce sens.
À l’inverse, si le X et Y ne se sont pas conformés à la présente mise en demeure, un rapporteur sera désigné qui pourra demander à la formation restreinte de la Commission de prononcer l’une des sanctions prévues par l’article 45 de la loi du 6 janvier 1978 modifiée.
La Présidente
Isabelle FALQUE-PIERROTIN