La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la justice d’une demande d’avis concernant un projet de décret portant création d’un traitement automatisé de données à caractère personnel dénommé "Système Informatisé de Recoupement, d’Orientation et de Coordination des procédures de Criminalité Organisée" (SIROCCO) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 31-II et 89-II ;
Après avoir entendu le rapport de Mme Christine MAUGÜÉ, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
ETANT RAPPELES LES ELEMENTS DE CONTEXTE SUIVANTS
La Commission nationale de l’informatique et des libertés (ci-après "la Commission") a été saisie par le ministère de la justice d’un projet de décret portant création d’un traitement automatisé de données à caractère personnel dénommé "Système Informatisé de Recoupement, d’Orientation et de Coordination des procédures de Criminalité Organisée" (SIROCCO).
Le projet de décret doit permettre aux juridictions inter-régionales spécialisées (JIRS) et à la juridiction nationale chargée de la lutte contre la criminalité organisée (JUNALCO) de combattre plus efficacement les phénomènes criminels d’une grande complexité dont elles ont la charge, en leur permettant de coordonner leurs actions. Il vise ainsi à leur permettre de disposer d’une base de données exhaustive relative aux enquêtes et instructions qu’elles mènent, de faciliter le suivi des procédures relevant de la criminalité organisée par les JIRS et leurs parquets généraux et d’assurer le recoupement des informations nécessaires à la direction des enquêtes entre ces juridictions et la JUNALCO.
Les JIRS, mises en place à compter du 1

Un tel projet est ainsi justifié, d’une part, par la compétence concurrente des JIRS qui s’exerce sur des ressorts territoriaux élargis et, d’autre part, par le fait que la présence d’organisations criminelles sur les ressorts de plusieurs de ces JIRS ou sur l’ensemble du territoire rend nécessaire un traitement judiciaire global et coordonné.
Selon le ministère, les bénéfices attendus tendent à permettre une coordination entre les JIRS mais aussi entre les JIRS et la JUNALCO :
par une saisine cohérente des différentes JIRS : l’existence d’un outil dédié pourra permettre de recenser les affaires dont la JIRS s’est saisie et d’en dégager des tendances criminelles ainsi que réévaluer sa position sur les affaires qui lui auront été signalées (si elle souhaite finalement se saisir de l’affaire) ;
une coordination réelle des JIRS entre elles : un outil commun pourra permettre de générer des alertes lorsque des individus visés par des procédures apparaîtront également dans celles des autres JIRS ;
une coordination entre les JIRS et la JUNALCO : l’outil permettra notamment à la JUNALCO de prendre attache avec les JIRS concernées par un même phénomène et d’apporter une réponse judiciaire adaptée à des phénomènes globaux ;
une mise en lumière de l’activité et de l’action de chaque JIRS, de la JUNALCO et de leur ensemble par la mise à disposition de données chiffrées, fiables et exhaustives, concernant les affaires signalées et traitées.
Chaque JIRS pourra ainsi créer une nouvelle affaire dans SIROCCO lorsqu’elle sera avisée. Les JIRS seront libres de déterminer en interne qui effectuera cette tâche (greffe, assistants spécialisés ou parquetiers). Ensuite, les dossiers créés dans SIROCCO seront remplis manuellement au fur et à mesure de l’évolution de la procédure par les acteurs de ces juridictions.
Le traitement SIROCCO disposera d’un module d’"infocentre", qui sera alimenté par un flux automatique depuis l’application SIROCCO et comportera la quasi- intégralité des données de manière pseudonymisée. Le module d’infocentre doit permettre de :
offrir aux utilisateurs des JIRS/de la JUNALCO la possibilité de réaliser des requêtes sur les données de pilotage ;
réaliser, pour les chargés d’études statistiques, des études sur l’activité des JIRS et l’évaluation de la politique pénale.
EMET L’AVIS SUIVANT SUR LE PROJET DE DÉCRET
Sur le régime juridique applicable et les finalités du traitement
L’article 1

le suivi des procédures relevant de la criminalité organisée par les JIRS et leurs parquets généraux ;
le recoupement des informations nécessaires à la direction des enquêtes entre lesdites juridictions et la juridiction nationale chargée de la lutte contre la criminalité organisée.
En premier lieu
Des recoupements seront uniquement possibles selon les modalités suivantes :
une fonction de recherche manuelle, qui pourra s’effectuer sur toute la base SIROCCO, sauf sur les données d’identité renseignées ;
une fonction de recoupement automatique, qui pourra uniquement porter sur l’identité du mis en cause. En cas de recoupement positif, l’utilisateur recevra une alerte dans SIROCCO et il sera invité à prendre attache avec le service à l’origine de ce recoupement. Aucune autre information ne sera fournie pour cette recherche automatique, les témoins ainsi que les victimes seront exclus de cette modalité.
En deuxième lieu
La Commission rappelle que, si elle a déjà admis, dans certains cas, que des statistiques puissent être calculées à partir des données d’un traitement public dont l’acte réglementaire qui le régit ne prévoit pas explicitement cette finalité, elle recommande qu’une telle finalité soit explicitement indiquée dans celui-ci. Les statistiques constituent en effet, le plus souvent, des données anonymes, dont l’usage n’est plus encadré par les règles de protection des données à caractère personnel et dépasse donc potentiellement les finalités initiales du traitement. En l’espèce, le traitement SIROCCO contiendra un module dédié pour la réalisation de statistiques qui poursuivront une finalité propre, permettre la mesure de l’efficience des politiques pénales en matière de criminalité organisée et l’adaptation de ces politiques pénales localement, distincte des finalités énumérées par l'acte réglementaire. Les calculs envisagés comprenant notamment l’agrégation d’informations associées à des mis en cause dont les données les concernant peuvent être reliées entre elles grâce à leur identifiant pseudonyme, les données contenues à cette fin dans l’infocentre sont des données à caractère personnel. La Commission invite en conséquence le ministère à prévoir expressément cette finalité au regard de l’article 4-2° de la loi du 6 janvier 1978 modifiée, en précisant qu’il s’agit d’une finalité tendant à la production de statistiques, en indiquant le caractère anonyme ou a minima pseudonyme de chacune des données et, si possible, en encadrant l’usage de ces statistiques. Elle prend acte de l’engagement du ministère d’ajouter dans le projet de décret la finalité relative à la production de statistiques. En tout état de cause, elle invite le ministère à s’assurer que les noms des mis en cause ne puissent être facilement retrouvés à partir des identifiants techniques pseudonymes utilisés.
En troisième lieu
Sous réserve de ce qui précède, la Commission estime que les finalités projetées sont déterminées, explicites et légitimes conformément à l'article 4-2° de la loi du 6 janvier 1978 modifiée.
Sur les mises en relation projetées
Il ressort des éléments transmis que SIROCCO pourra faire l’objet de deux mises en relation manuelles avec les traitements "CASSIOPEE" (Chaine Applicative Supportant le Système d’Information Oriente Procédure pénale Et Enfants) et le "dossier pénal numérique" (DPN).
D’une part
D’autre part
Sans remettre en cause la légitimité de ces mises en relation, la Commission rappelle que la communication des éléments figurant dans les procédures d’enquête ou d’instruction est encadrée par des dispositions légales et n’est permise que sous certaines conditions. Elle estime également qu’il reste essentiel que l’intégralité des traitements précités ne soient pas dupliqués dans SIROCCO et que les actes créant CASSIOPEE et DPN devront, le cas échéant, être modifiés afin de permettre les mises en relation avec le traitement SIROCCO.
Sur les données collectées
L'article 2 du projet de décret liste les personnes concernées par le traitement :
les personnes mises en cause, mises en examen, placées sous le statut de témoin assisté et poursuivies, qu’elles fassent par la suite l’objet d’un classement sans suite, d’une décision de non-lieu ou que ces personnes soient par la suite condamnées, relaxées ou acquittées ;
les victimes ;
les témoins ;
les personnels du ministère de la justice en fonction dans les JIRS ou la JUNALCO, ou des membres de services d’enquête en charge du dossier ;
toute personne pouvant apparaître dans les pièces de procédure et autres documents insérés dans le traitement.
A titre liminaire
En premier lieu
seront totalement anonymisées
La Commission prend acte de ce que les données éventuellement contenues dans les zones de champs libres du traitement SIROCCO ne seront pas transmises à l’infocentre.
A l’expiration de la durée de conservation prévue pour les données contenues dans SIROCCO, la correspondance entre les données de l’infocentre et celles traitées dans SIROCCO ne pourra plus être effectuée dans la mesure où la fiche correspondante de la personne dans SIROCCO aura été supprimée.
La Commission relève qu’au vu des catégories de données concernées (infraction, date de début et de fin des faits, etc.) qui seront transmises à l’infocentre, et l’existence d’un identifiant technique permettant de relier entre elles les affaires concernant un même mis en cause, une réelle anonymisation semble difficile à atteindre. Pour autant, afin de protéger les personnes concernées, la précision de certaines informations pourrait être diminuée au moyen de techniques d'agrégation statistique ou en réduisant la granularité des données. La Commission prend acte de l’engagement du gouvernement de ne conserver que l'année dans les dates des évènements décrits dans les données de l’infocentre après l’expiration de la durée de conservation des données dans SIROCCO. Bien qu’elle considère que cette mesure permette de réduire les risques de réidentification à partir des données de l’infocentre, elle invite le Gouvernement à réaliser une analyse des risques de réidentification selon l’avis n° 05/2014 sur les techniques d’anonymisation adopté par le groupe de l’Article 29 (G29) le 10 avril 2014.
En deuxième lieu
Dans l’éventualité où de telles données pourraient être renseignées dans les zones de champs libres, et conformément à l'article 88 de la loi du 6 janvier 1978 modifiée, le traitement de telles données n'est possible qu'en cas de "
nécessité absolue, sous réserve des garanties appropriées pour les droits et libertés de la personne concernée
A cet égard, le ministère indique qu’un contrôle aléatoire du traitement sera réalisé par le référent "Informatique et Libertés" de la DACG pendant la période initiale de mise en service de l’applicatif. Le ministère souhaite toutefois que ces contrôles soient par la suite réalisés par les chefs de juridiction et non par un membre de la DACG dans un double objectif de responsabilisation et d’efficacité.
La mise en place de ce contrôle constitue une garantie participant à la mise en conformité du traitement "SIROCCO" aux exigences en matière de protection des données à caractère personnel. La Commission prend acte de ce que ces contrôles seront institués par la doctrine d’emploi et qu’ils devront être réalisés par les chefs de juridiction ou leurs représentants deux fois par an.
En troisième lieu
La Commission appelle l’attention du ministère sur le fait que, dans la mesure du possible, les données d'état civil relatives aux victimes ne devraient pas être utilisées pour le nommage des affaires, eu égard aux risques de confusion que cela entraînerait. Elle recommande que cela soit indiqué dans la doctrine d’emploi qui sera diffusée auprès des juridictions et prend acte de l’engagement du ministère sur ce point.
Les autres catégories de données à caractère personnel collectées n'appellent pas d'observations de la part de la Commission.
Sous réserve de ce qui précède, les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur la durée de conservation des données
L’article 4 du projet de décret prévoit les durées de conservation des informations et des données à caractère personnel enregistrées dans le traitement :
dix ans à compter de la dernière actualisation de l’état de la procédure judiciaire ;
cette durée est portée à dix ans après une condamnation définitive en matière délictuelle et à quinze ans après une condamnation définitive en matière criminelle ou, si cette durée est plus tardive, à dix ans après la date de fin effective de la peine.
En premier lieu
dernière actualisation de l’état de la procédure judiciaire
En deuxième lieu
En outre, le projet de décret prévoit que, en cas de décision de relaxe ou d’acquittement devenue définitive, les données sont effacées. Par ailleurs, il existe une fonction de suppression automatique des données de l’affaire ou du dossier, respectant des critères et un délai défini.
La Commission considère que, globalement, ces durées de conservation des données sont adaptées mais recommande au ministère de compléter son projet par des garanties pour les personnes mineures, ainsi qu’elle l’avait souligné dans sa délibération n° 2020-101 du 1er octobre 2020 portant avis sur un projet de décret portant création d'un traitement de données à caractère personnel dénommé RECAT.
En troisième lieu,

Sur les accédants et les destinataires
L’article 5 du projet de décret liste les personnes pouvant avoir accès à tout ou partie du traitement et informations enregistrées dans le traitement, à raison de leurs attributions et dans la limite du besoin d’en connaître.
A titre liminaire
En premier lieu
En deuxième lieu
président près un tribunal judiciaire
dont la compétence est étendue au ressort d’une ou plusieurs cours d’appels en application de l’article 706-75 du CPP
En troisième lieu
Elle relève que des chargés d’études statistiques du pôle d’évaluation des politiques pénales de la DACG ont aussi vocation à accéder aux données enregistrées dans le traitement au titre des fonctionnaires et agents individuellement désignés et dûment habilités par le directeur des affaires criminelles et des grâces.
En troisième lieu
Sur les droits des personnes concernées
En premier lieu
La Commission s’est interrogée sur les raisons ayant conduit le ministère à déroger au droit à l’information des personnes concernées dans la mesure où une information générale sur un site web est envisagée et que le décret portant création du traitement sera publié. Elle prend acte de ce que le ministère renonce à se prévaloir de cette dérogation et que le projet de décret sera modifié en conséquence.
En deuxième lieu
conformément aux dispositions de l’article 111 la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, l'accès aux données visées à l’article 2 et à celles qui figurent dans les documents mentionnés aux 1° et 2° de l’article 2, et les conditions de leur rectification ou de leur effacement sont régis par les dispositions du code de procédure pénale
La Commission prend acte de ce qu’une correction formelle sera apportée à cette disposition dans la mesure où il s’agit en réalité des documents mentionnés aux 1° et 2° de l’article 3 (prévoyant les pièces, actes et documents enregistrés dans le traitement) et non de l’article 2 (prévoyant les données collectées en fonction des catégories de personnes concernées) du projet de décret.
Elle prend également acte de ce qu’il a été décidé de faire application de l’article 111 de la loi du 6 janvier 1978 modifiée afin de permettre de protéger le secret des enquêtes et des instructions, les données enregistrées dans SIROCCO étant issues des dossiers de procédure judiciaire.
Il s’agira toutefois d’une application limitée de cet article 111. D’une part, s'agissant des données relatives à des documents utiles et pertinents en lien avec une procédure enregistrée dans le traitement (le 3° de l’article 3), les droits d'accès, de rectification d'effacement et de limitation s’exercent de manière directe auprès de la DACG. Ils peuvent faire l'objet de restrictions, en application des 2° et 3° du II et du III de l'article 107 de la loi du 6 janvier 1978 modifiée afin d'éviter de gêner des enquêtes, des recherches et des procédures judiciaires et de nuire à la détection d'infractions pénales, aux enquêtes et aux poursuites en la matière ou à l'exécution de sanctions pénales. La personne concernée par ces restrictions devra alors exercer ses droits auprès de la Commission dans les conditions prévues à l'article 108 de ladite loi.
D’autre part, il est prévu par le projet de décret que les droits d’accès, de rectification, d’effacement et de limitation relatifs aux données s’agissant des personnels du ministère de la justice en fonction dans les JIRS ou la JUNALCO s’exercent directement auprès de l’autorité hiérarchique leur ayant délivré l’habilitation.
En troisième lieu
Sur les mesures de sécurité
En ce qui concerne le chiffrement, la Commission prend acte de ce qu’un chiffrement est prévu lors de la communication des données ainsi que lors de leur réplication. Toutefois, eu égard à la nature des données concernées, la Commission recommande que l’intégralité des sauvegardes de la base SIROCCO fasse l’objet d’un chiffrement au repos. Elle prend acte des précisions apportées par le ministère selon lesquelles les sauvegardes de la base de données SIROCCO sont bien chiffrées au repos.
La Commission recommande que l’identité des mis en cause ne puisse être facilement retrouvée à partir des identifiants techniques pseudonymes utilisés dans le module d’infocentre.
Les autres mesures de sécurité n’appellent pas d’observations particulières.
La Présidente
Marie-Laure DENIS