La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis relative à la création d'un traitement automatisé de données à caractère personnel dénommé  Fichier national des objectifs en matière de stupéfiants  (FNOS) ;
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code des douanes, notamment ses articles 38, 414, 417, 419, 426 et 428 ;
Vu le code pénal, notamment ses articles 222-34 à 222-37 et 222-39 ;
Vu le code de la santé publique, notamment son article L.5432-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-I-2° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu M. Jean-Marie COTTERET commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le ministère de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration a adressé à la Commission nationale de l'informatique et des libertés un projet d'arrêté relatif à la création d'un traitement automatisé de données à caractère personnel dénommé  Fichier national des objectifs en matière de stupéfiants  (FNOS).
Ce traitement, mis en œuvre conjointement par la direction générale de la police nationale (DGPN), la direction générale de la gendarmerie nationale (DGGN), la préfecture de police (PP), et la direction générale des douanes et des droits indirects (DGDDI), la direction nationale du renseignement et des enquêtes douanières (DNRED), a pour objectif de permettre et d'organiser le partage d'informations entres les services compétents en matière d'enquêtes judiciaires ou douanières pour trafic de stupéfiants ou infractions douanières relatives aux stupéfiants.
Le FNOS vise ainsi à améliorer la répression des trafics en matière de stupéfiants, à coordonner l'action des services et à rationaliser l'emploi des effectifs et des moyens en évitant que plusieurs services diligentent, de manière redondante, des enquêtes parallèles sur les mêmes personnes.
Il y a lieu de faire application des dispositions de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée qui soumet à une autorisation par arrêté ministériel pris après motivé et publié de la Commission nationale de l'informatique et des libertés les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat ayant pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté.
Sur la dénomination et les finalités du traitement
La Commission prend acte des précisions du ministère selon lesquelles le traitement est désormais dénommé  Fichier national des objectifs en matière de stupéfiants .
Elle relève également que l'article 1er du projet d'arrêté précise désormais que le traitement a pour finalité de  coordonner l'action des services concourant à la répression du trafic de stupéfiants en répertoriant les personnes faisant l'objet d'investigations judiciaires ou douanières dans ce domaine .
Le FNOS vise à répertorier les enquêtes menées par les services de la police nationale, les unités de la gendarmerie nationale et les services de la douane dans le but de coordonner leurs actions et d'améliorer la répression des trafics en matière de stupéfiants.
Le système ne permet pas aux utilisateurs d'effectuer des recherches sur les fiches saisies par leurs collègues, mais il les alerte de l'existence de fiches comportant des éléments communs. Les alertes produites en cas d'identification d'éléments similaires dans une ou plusieurs fiches invitent ainsi les services utilisateurs à prendre contact directement entre eux.
La Commission estime que cette finalité n'appelle pas d'observation particulière.
La Commission relève toutefois que le dossier descriptif fourni en complément du projet d'arrêté mentionne que le FNOS possède, en outre, une fonction statistique entièrement automatisée permettant une mesure statistique de l'efficacité de l'outil.
Les éléments statistiques ainsi mesurables sont, sur une période donnée par service et par direction : le nombre de fiches créées, le nombre de fiches supprimées et le nombre de correspondances établies.
Dès lors, la Commission considère que cette finalité statistique devrait être explicitement mentionnée à l'article 1er du projet d'arrêté.
Compte tenu des exigences de légitimité, de pertinence et de caractère non-excessif des finalités du traitement posées notamment à l'article 6 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, la Commission demande en outre à ce que le bilan ainsi que les statistiques annuelles destinées à mesurer l'efficacité du FNOS lui soient communiquées.
Sur les personnes concernées
La Commission relève que l'article 2 du projet d'arrêté prévoit que les personnes concernées sont, d'une part, les personnes faisant l'objet d'une procédure judiciaire portant sur des infractions relatives au trafic de stupéfiants ou de substances vénéneuses prévues et réprimées par les articles 222-34 à 222-37 et 222-39 du code pénal et L.5432-1 du code de la santé publique ; et, d'autre part, les personnes faisant l'objet d'une enquête douanière portant sur l'une des infractions prévues et réprimées par les articles 38, 414, 417, 419, 426 et 428 du code des douanes, lorsqu'il s'agit de produits stupéfiants d'autre part.
La Commission prend acte que seules les personnes soupçonnées de trafic de stupéfiants feront l'objet d'une inscription dans le FNOS.
Sur les données traitées
La Commission relève que l'article 2 du projet d'arrêté précise que les données à caractère personnel et informations traitées concernant les personnes suspectées sont : nom, prénom, surnom, alias, sexe, date et lieu de naissance, adresses postales et électroniques, numéros de téléphone, numéro de série du téléphone portable (numéro IMEI), marque et immatriculation des moyens de transport.
Elle observe que l'application FNOS comporte également les informations relatives aux agents ayant procédé à la création d'une fiche suivantes : matricule, nom, prénom, service ou unité d'appartenance, numéro de téléphone, et adresse électronique.
Enfin, elle relève que le traitement comporte également certaines données relatives à l'enquête et notamment, pour les enquêtes judiciaires, le nom du magistrat saisi de l'enquête ainsi que son tribunal d'appartenance.
La Commission considère que si ces données ne soulèvent pas d'observation particulière, le projet d'arrêté devrait toutefois être modifié afin de mentionner les données à caractère personnel relatives aux agents et magistrats enregistrées dans le traitement.
Sur les destinataires
La Commission relève que le projet d'arrêté prévoit, en son article 4, que seuls ont accès aux données, à raison de leurs attributions et du besoin d'en connaître, les personnes individuellement désignées et spécialement habilitées par leur supérieur hiérarchique suivantes :
- les officiers de police judiciaire affectés à la direction centrale de la police judiciaire désignés et habilités par le chef de l'office central pour la répression du trafic illicite de stupéfiants (OCRTIS) ;
- les officiers de police judiciaire affectés à la direction centrale de la sécurité publique désignés et habilités par le chef de la division des sûretés et des activités judiciaires de la sous-direction des services territoriaux ;
- les officiers de police judiciaire affectés dans les directions et services actifs de la préfecture de police chargés de la lutte contre le trafic illicite de stupéfiants désignés et habilités par le directeur de la police judiciaire de la préfecture de police ;
- les officiers de police judiciaire affectés dans les unités de la gendarmerie nationale désignés et habilités par le sous-directeur de la police judiciaire ;
- les agents affectés à la direction des opérations douanières de la direction nationale du renseignement et des enquêtes douanières, désignés et habilités par le directeur des opérations douanières.
La Commission considère que cette liste n'appelle pas d'observation particulière.
Sur la durée de conservation des données
La Commission observe que l'article 3 du projet d'arrêté prévoit que les données et informations enregistrées dans le FNOS sont conservées pendant deux ans à compter de leur enregistrement.
Elle relève, en particulier, que le projet d'arrêté précise que lorsque les personnes suspectées ne font plus l'objet d'une procédure judiciaire ou douanière, les données relatives à ces personnes sont supprimées.
Dès lors, la Commission estime que ces durées n'appellent pas d'observation particulière.
Sur les droits des personnes concernées
Conformément aux dispositions du VI de l'article 32 de la loi du 6 janvier 1978 modifiée, le projet de décret prévoit en son article 6 que les personnes concernées ne sont pas informées de la collecte de données à caractère personnel les concernant, ni de leur enregistrement dans le FNOS et ne disposent pas de la possibilité de s'y opposer.
Le projet d'arrêté prévoit également que ces droits s'exercent dans les conditions prévues à l'article 41 de la loi du 6 janvier 1978 modifiée, conformément aux dispositions de l'article 42 de la même loi, c'est-à-dire par voie indirecte en adressant une demande auprès de la Commission.
Sur les mesures de sécurité
La Commission considère que les mesures mises en œuvre afin d'assurer la sécurité et la confidentialité des données à caractère personnel et informations traitées dans le FNOS sont satisfaisantes.
En relève en particulier que le projet d'arrêté prévoit, en son article 5, la mise en œuvre de mesures de traçabilité permettant l'enregistrement de l'identification du consultant, de la date et de l'heure, ainsi que de la nature de l'opération (création, validation, modification et suppression de fiches) pendant une durée de trois ans.
La Présidente
Isabelle FALQUE-PIERROTIN