La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de la Justice d'une demande d'avis concernant  un projet d'arrêté modifiant l'arrêté du 20 janvier 2012 portant  création d'un traitement automatisé dénommé AGRASC destiné à la gestion  et au recouvrement des biens saisis et confisqués par l'Agence de  gestion et de recouvrement des avoirs saisis et confisqués ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection  des personnes à l'égard du traitement automatisé des données à caractère  personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24  octobre 1995 relative à la protection des personnes physiques à l'égard  du traitement des données à caractère personnel et à la libre  circulation de ces données ;
Vu le  code de procédure pénale, notamment ses articles 706-159 à 706-163 et R. 54-1 à R. 54-9 ;
Vu la  loi n° 63-156 du 23 février 1963 de finances pour 1963 (2e partie-Moyens des services et dispositions spéciales), notamment son article 60 ;
Vu la  loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-1-1 • ;
Vu la  loi n° 2010-768 du 9 juillet 2010 visant à faciliter la saisie et la confiscation en matière pénale ;
Vu le  décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n" 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le  décret n° 2012-1246 du 7 novembre 2012 modifié relatif à la gestion budgétaire et comptable publique ;
Vu l'arrêté du 20 janvier 2012 portant création d'un traitement  automatisé dénommé AGRASC destiné à la gestion et au recouvrement des  biens saisis et confisqués par l'Agence de gestion et de recouvrement  des avoirs saisis et confisqués ;
Vu l'arrêté du 11 mai 2015 relatif aux modalités d'exercice du  contrôle budgétaire sur l'Agence de gestion et de recouvrement des  avoirs saisis et confisqués (AGRASC) ;
Après avoir entendu M. Gaëtan GORCE, commissaire, en son rapport, et  Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de la Justice d'une  demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 20  janvier 2012 portant création d'un traitement automatisé dénommé AGRASC  destiné à la gestion et au recouvrement des biens saisis et confisqués  par l'Agence de gestion et de recouvrement des avoirs saisis et  confisqués.
L'Agence de gestion et de recouvrement des avoirs saisis et  confisqués (ci-après  l'Agence ) est un établissement public à  caractère administratif placé sous la tutelle conjointe du ministre de  la Justice et du ministre chargé du Budget, créé par la  loi du 9 juillet 2010 susvisée.
Elle a principalement pour missions d'assurer la gestion centralisée  de toutes les sommes saisies lors des procédures pénales, qu'il  s'agisse de sommes inscrites au crédit d'un compte bancaire, de fonds  saisis en numéraire ou de créances exigibles sur des tiers, de procéder à  l'aliénation des biens vendus avant jugement en vertu des articles  41-5 et  99-2  du code de procédure pénale (CPP), de procéder à l'ensemble des  publications aux bureaux des hypothèques des décisions opérant des  saisies pénales immobilières, de veiller à l'information préalable des  créanciers et de gérer, sur mandat de justice, certains biens. Enfin,  dans les mêmes conditions que celles prévues en droit interne, elle  assure la gestion des biens saisis, procède à l'aliénation ou à la  destruction des biens saisis ou confisqués et procède à la répartition  du produit de la vente en exécution de toute demande d'entraide ou de  coopération émanant d'une autorité judiciaire étrangère.
L'article 706-161 du CPP prévoit que l' Agence met en œuvre un  traitement de données à caractère personnel qui centralise les décisions  de saisie et de confiscation dont elle est saisie quelle que soit la  nature des biens, ainsi que toutes les informations utiles relatives aux  biens visés, à leur localisation et à leurs propriétaires ou détenteurs  .
Ce traitement, dénommé AGRASC, a été créé par l'arrêté du 20 janvier  2012 susvisé, pris après l'avis de la commission en date du 11 novembre  2011. Le présent projet d'arrêté vise à modifier les finalités de ce  traitement, les données qui y sont enregistrées et leur durée de  conservation, les destinataires de ces données ainsi que les modalités  d'exercice des droits des personnes. En application des dispositions des  articles 26-l et 30 de la loi du 6 janvier 1978 modifiée, ces  modifications doivent faire l'objet d'un arrêté ministériel pris après  avis motivé et publié de la commission.
Sur la nouvelle finalité :
L'article 1er du projet d'arrêté vise à ajouter une finalité au  traitement AGRASC, en prévoyant qu'il aura désormais pour finalité  supplémentaire  le suivi comptable des opérations enregistrées dans la  base .
L'Agence est en effet soumise à la comptabilité budgétaire définie par le  décret du 7 novembre 2012 susvisé  relatif à la gestion budgétaire et comptable publique. Les modalités  d'exercice du contrôle budgétaire de I'AGRASC sont prévues par l'arrêté  du 11 mai 2015. A ce titre, elle est soumise au contrôle de la Cour des  comptes, qui, en application des  dispositions de l'article L. 111-3 du code des juridictions financières,  a récemment procédé à son contrôle afin d'apprécier la gestion de cet  établissement public et, à travers elle, le potentiel du dispositif de  confiscation des avoirs criminels.
L'AGRASC est ainsi dotée d'une agence comptable, dont le comptable  public est chargé de la gestion des différents comptes, ouverts au  Trésor Public ou à la Caisse des dépôts et consignations (CDC), du  contrôle des dossiers de restitution et de versement aux parties  civiles, ainsi que des états de versement à la mission  interministérielle de lutte contre les drogues et les conduites  addictives (MILDECA) et au budget général de l'État, ainsi que le  paiement de ces versements. Elle reçoit, contrôle et exécute les  oppositions des créanciers publics et sociaux visant à appréhender les  sommes que l'Agence est chargée de leur restituer.
Le traitement AGRASC, en permettant l'enregistrement de données  relatives à la gestion par l'Agence des biens saisis ou confisqués ainsi  qu'à leur devenir (vente, affectation des sommes, destruction, etc.),  doit désormais permettre au comptable public d'exercer ses missions et  de contrôler la régularité des différentes opérations engagées, dans le  respect des normes comptables applicables aux établissements publics.
Le traitement AGRASC permettra ainsi à l'Agence de répondre aux  exigences de traçabilité et de transparence vis-à-vis du juge des  comptes. La commission estime dès lors que cette nouvelle finalité est  déterminée, explicite et légitime, conformément aux dispositions de  l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur l'ajout de nouvelles données :
L'article 2 du projet d'arrêté vise à modifier l'article 2-111-c de  l'arrêté susvisé du 20 janvier 2012, afin de permettre la collecte et  l'enregistrement de nouvelles données relatives aux biens saisis ou  confisqués : il s'agit des données relatives aux locataires ou aux  occupants des immeubles (noms, prénoms, références bancaires, références  de leur dossier à la caisse d'allocations familiales).
L'Agence est amenée à gérer les biens, notamment immeubles, des  personnes condamnées dans le cadre d'une procédure judiciaire, après la  confiscation définitive de ces biens. A compter de la date de cette  confiscation, I'AGRASC représente alors l'État, propriétaire du bien, et  se substitue au bailleur pour réaliser l'ensemble des actes nécessaires  à la gestion de ce dernier (actes d'entretien, perception des loyers,  réalisation de la vente).
Dès lors, en cas de présence de locataires dans l'immeuble  confisqué, I'AGRASC recueille auprès d'eux les informations nécessaires à  la gestion des biens et les enregistre dans le traitement qu'elle met  en œuvre, ce dernier ayant été enrichi de fonctionnalités permettant un  suivi de la gestion des loyers ou, si le locataire bénéficie d'une aide  personnalisée au logement, le paiement des allocations.
La commission estime que ces données sont adéquates, pertinentes et  non excessives au regard des finalités poursuivies par le traitement.
Sur les nouveaux destinataires des données :
L'article 4 de l'arrêté du 20 janvier 2012 susvisé énumère les  personnels habilités à recevoir communication de données enregistrées  dans le traitement. L'article 3 du projet d'arrêté vise à modifier cet  article afin d'ajouter de nouveaux destinataires. il s'agit :
- des commissaires-priseurs judiciaires, des huissiers de justice  ainsi que des courtiers assermentés dans le cadre des procédures de  ventes de biens meubles ;
- des notaires dans le cadre des procédures de ventes d'immeubles confisqués suite à une décision définitive de justice ;
- des mandataires et administrateurs judiciaires.
L'AGRASC étant un établissement public de taille modeste, le  ministère a indiqué qu'il lui est nécessaire, dans l'exercice de ses  missions, d'avoir recours à ces professions réglementées pour procéder à  la vente des biens confisqués. D'une part, ces professionnels sont  répartis sur le territoire national, ce qui permet à I'AGRASC de gérer  de manière plus efficace les biens saisis. D'autre part, le ministère  précise que ce sont des professionnels assermentés, garantissant à  l'Agence qu'elle s'entoure de garanties sérieuses concernant la  confidentialité des données ainsi échangées.
La commission prend acte que seules les données relatives aux  caractéristiques des biens à administrer pourront être communiquées à  ces nouveaux destinataires, conformément aux finalités du traitement. Le  traitement AGRASC est en effet une base de données qui porte à titre  principal sur les biens qui relèvent de la compétence de I'AGRASC et non  sur les personnes propriétaires ou locataires desdits biens : s'il est  nécessaire de détenir des informations à caractère personnel sur ces  derniers et sur les infractions pour lesquelles elles sont poursuivies  ou condamnées, c'est uniquement à des fins de gestion ou d'affectation  de ces biens. La commission prend dès lors acte qu'aucune donnée  relative aux personnes mises en cause et condamnées ou à la décision de  justice à l'origine de la confiscation ne sera communiquée à ces  professionnels.
La transmission de ces données à ces derniers interviendra par  courriers ou courriels. La commission rappelle que des mesures de  sécurité adéquates doivent être mises en œuvre afin de permettre un  échange sécurisé des données entre l'Agence et ces nouveaux partenaires.
Sur la modification de la durée de conservation des données :
L'article 5 de l'arrêté du 20 janvier 2012 susvisé prévoit que les  données sont conservées trois ans à compter de la date à laquelle la  gestion des biens confiés à l'agence est clôturée par l'affectation des  sommes produites par sa gestion. L'article 4 du projet d'arrêté vise à  modifier cette durée de conservation, en la portant à six ans.
L'augmentation de la durée de conservation est la conséquence de  l'assignation au traitement AGRASC d'une finalité de suivi comptable. Le  ministère de la Justice justifie ainsi cette modification par les  obligations qui pèsent sur le comptable public, notamment dans le cadre  des justifications qu'il doit apporter à la Cour des comptes.
Le décret  précité du 7 novembre 2012  susvisé  prévoit en effet que les  comptables publics sont personnellement et  pécuniairement responsables des actes et contrôles qui leur incombent  (…) en application des dispositions des articles 18, 19 et 20, dans les  conditions fixées par l'article 60 de la foi du 23 février 1963 .
Or, l' article 60 de la loi no 63-156 du 23 février 1963  de finances pour 1963 modifiée, relatif à la responsabilité pécuniaire  des comptables publics, prévoit que  le premier acte de la mise en jeu  de la responsabilité ne peut plus intervenir au-delà du 31 décembre de  la cinquième année suivant celle au cours de laquelle le comptable a  produit ses comptes au juge des comptes ou, lorsqu'il n'est pas tenu à  cette obligation, celle au cours de laquelle il a produit les  justifications de ses opérations.
Dès lors qu'aucune charge n'a été notifiée dans ce délai à son  encontre, le comptable est déchargé de sa gestion au titre de l'exercice  concerné. Dans le cas où Je comptable est sorti de fonction au cours de  cet exercice et si aucune charge n'existe ou ne subsiste à son encontre  pour l'ensemble de sa gestion, il est quitte de cette gestion .
Ainsi, les données liées à l'ensemble des opérations comptables  doivent être à la disposition du comptable public pendant six ans, sa  responsabilité pouvant être engagée devant le juge des comptes pour  toute opération effectuée durant les six années précédentes.
Le point de départ de cette durée de conservation reste la date à  laquelle la gestion des biens confiés à l'Agence est clôturée par  l'affectation des sommes produites par sa gestion. La durée de  conservation reste dès lors spécifique à chaque bien, et non à chaque  affaire, qui peut porter sur plusieurs biens.
La commission estime que cette nouvelle durée de conservation est  non excessive au regard de la nouvelle finalité de suivi comptable  assignée au traitement AGRASC par le présent projet d'arrêté. En  revanche, elle considère que des garanties complémentaires doivent être  mises en œuvre concernant les modalités de conservation des données.
En effet, dans la mesure où l'allongement de la durée de  conservation est uniquement justifié par la nouvelle finalité de suivi  comptable des opérations, il devrait être envisagé de ne conserver, à  l'expiration de la durée initiale de trois ans et pour une durée  supplémentaire de trois ans, que les seules données nécessaires à cette  finalité de suivi comptable.
Si toutefois l'identification précise de ces données s'avérait  difficile, il devrait être envisagé, une fois le délai initial de trois  ans écoulé, de transférer l'ensemble des données, pour trois ans  supplémentaires, sur une base inactive à laquelle n'aurait accès que le  comptable à des fins de suivi comptable des opérations.
En tout état de cause, la commission invite le ministère à prévoir  des modalités de conservation des données conformes aux dispositions de  l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les modalités d'exercice des droits des personnes :
L'article 7 de l'arrêté du 20 janvier 2012 précité prévoit que, pour  l'ensemble des personnes concernées (personnes physiques et morales  mises en cause dans la procédure judiciaire, personnes concourant à la  procédure de saisie et de confiscation, parties civiles ou créanciers  publics), les droits d'accès et de rectification s'exercent de manière  directe.
L'article 5 du projet d'arrêté visait initialement à modifier cette  disposition afin d'instituer un droit d'accès mixte, c'est-à-dire un  droit d'accès direct pour les personnes concourant à la procédure de  saisie et de confiscation et un droit d'accès indirect pour les  personnes mises en cause, les victimes, les parties civiles et les  personnels des administrations partenaires de l'Agence.
Toutefois, interrogé sur ces modifications, le ministère de la  justice a finalement indiqué que les droits d'accès et de rectification  s'exerceront de manière directe pour l'ensemble des personnes concernées  par le traitement. La commission prend dès lors acte que les  dispositions de l'article 7 de l'arrêté du 20 janvier 2012 ne sont pas  modifiées.
Le ministère a enfin précisé que les informations relatives aux  tiers seront occultées dans le cadre de l'exercice de ces droits. La  commission rappelle que cette limitation est conforme aux dispositions  des articles 39-1-4o et 40 de la loi  Informatique et Libertés ,  lesquelles prévoient que seules les données concernant la personne qui  en fait la demande peuvent lui être communiquées ou être rectifiées.
La commission prend acte que les modalités d'exercice des droits  d'opposition et d'information, prévues à l'article 7 de l'arrêté du 20  janvier 2012 précité ne seront pas non plus modifiées.
En revanche, elle relève que le traitement pourra concerner une  nouvelle catégorie de personnes (locataires des immeubles géré par  l'Agence après la confiscation définitive de ceux-ci). Elle invite dès  lors le ministère de la justice à compléter l'article 7 de l'arrêté du  20 janvier 2012 afin de mentionner expressément les modalités d'exercice  de leurs droits, en indiquant qu'ils seront informés du traitement de  leurs données et qu'ils pourront exercer de manière directe leurs droits  d'accès et de rectification.
Sur l'architecture, les mesures de sécurité et de traçabilité :
Le traitement dénommé AGRASC évolue vers une application web couplée  à une base de données. Elle sera déployée au sein du réseau privé  virtuel justice (RPVJ) du ministère et hébergée sur des serveurs de  celui-ci.
La transmission des données entre le poste client et le serveur est  sécurisée au moyen du protocole TLS, qui est le protocole de référence  en matière d'échanges sécurisés sur Internet.
Chaque fichier conservé en base est chiffré individuellement. Le  secret est au séquestre au niveau du responsable de la sécurité des  systèmes d'information (RSSI) de la Sous-direction de l'informatique et  des télécommunications (SOIT) du ministère de la justice.
Le contrôle d'accès logique se fait au moyen de certificats  logiciels  clients  installés dans une  carte agent . Des profils  d'habilitation définissent pour chaque utilisateur les fonctions  autorisées ou les catégories d'informations accessibles.
Les données sont répliquées entre deux sites distants via une  connexion sécurisée. Ces sauvegardes sont également conservées quelques  semaines sur des cartouches, stockées dans un coffre.
Une traçabilité est mise en œuvre via une journalisation des données  de connexion, de l'identifiant du poste de travail, de l'identifiant de  l'utilisateur ainsi que de la référence des données accédées. L'article  6 de l'arrêté du 20 janvier 2012 prévoit que ces traces sont conservées  trois ans.
La commission prend acte que le rapport concernant l'analyse de  risque est mis à sa disposition pour consultation dans les locaux du  ministère.
Elle estime que les mesures de sécurité décrites par le responsable  de traitement sont conformes à l'exigence de sécurité prévue par  l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle  toutefois que cette obligation nécessite la mise à jour des mesures de  sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin