La Commission nationale de l'informatique et des libertés ;
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, et notamment ses articles 706-53-1 à 706-53-12 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 25-5° ;
Vu la loi du 9 mars 2004 portant adaptation de la justice aux évolutions de la criminalité, et notamment ses articles 216 et 217 ;
Vu le décret n° 2005-627 du 30 mai 2005 relatif au fichier judiciaire national automatisé des auteurs d'infractions sexuelles et au casier judiciaire ;
Vu la délibération n° 2005-039 du 10 mars 2005 de la CNIL sur le projet de décret relatif aux modalités de fonctionnement du FIJAIS ;
Vu la demande d'autorisation adressée le 16 mai 2005 par le ministère de la justice ayant pour finalité la gestion des opérations de rapprochement nécessaires à la mise en oeuvre du fichier judiciaire national automatisé des auteurs d'infractions sexuelles (FIJAIS).
Après avoir entendu M. Patrick Delnatte, commissaire, en son rapport et Mme Charlotte-Marie Pitrat, commissaire du Gouvernement, en ses observations ;
Formule les observation suivantes :
La CNIL a été saisie par le ministère de la Justice le 16 mai 2005 d'une demande d'autorisation ayant pour finalité la gestion des opérations d'interconnexions nécessaires à la mise en oeuvre du fichier judiciaire national automatisé des auteurs d'infractions sexuelles (FIJAIS).
La Commission s'est prononcée par délibération n° 2005-039 du 10 mars 2005 sur le projet de décret relatif aux modalités de fonctionnement du FIJAIS, fichier créé par la loi n° 2004-204 du 9 mars 2004 portant adaptation de la justice aux évolutions de la criminalité pour prévenir la récidive des auteurs d'infractions sexuelles déjà condamnés, faciliter l'identification des auteurs de ces mêmes infractions et les localiser rapidement à tout moment. Les personnes inscrites dans le FIJAIS auront l'obligation de justifier de leur adresse une fois par an et de déclarer leurs changements d'adresse dans les quinze jours.  Les auteurs d'infractions les plus graves devront, tous les six mois, justifier en personne de leur adresse.
Ce fichier est placé sous le contrôle du magistrat qui gère le casier judiciaire national.
Conformément aux dispositions de l'article 216 de la loi n° 2004-204 du 9 mars 2004 précitée, il est prévu que le FIJAIS soit également alimenté, s'agissant des faits commis avant son entrée en vigueur, à partir de trois sources distinctes :
- les informations concernant les auteurs d'infractions commises avant la date de publication de cette loi mais ayant fait l'objet, après cette date, d'une des décisions prévues par l'article 706-53-2 du même code ;
- les informations concernant les personnes exécutant, avant la date de publication de cette loi, une peine privative de liberté ;
- les mentions figurant au casier judiciaire à la date d'entrée en vigueur de la loi du 9 mars 2004 et concernant des personnes condamnées pour des faits de nature criminelle et relevant des dispositions de l'article 706-53-2 du code de procédure pénale.
Sur la finalité du dispositif :
Afin de pouvoir alimenter le FIJAIS et de pouvoir notifier aux intéressés leurs obligations, il est donc nécessaire de déterminer l'adresse de l'ensemble des personnes concernées à partir d'abord du fichier national des personnes incarcérées, puis des fichiers de police judiciaire et du fichier FICOBA des comptes bancaires.
L'ensemble des opérations d'interconnexion spécialement autorisées par l'article 216 précité pour une durée de trente-six mois suivant la publication de la loi, ne seront réalisées qu'une fois. Le ministère estime qu'elles porteront sur 20 000 personnes.
La Commission prend acte du fait que la solution visée dans la loi de procéder à des interconnexions avec les fichiers des organismes de sécurité sociale visés à l'article L. 115-2 du code de la sécurité sociale n'est pas retenue par le ministère de la justice et demande que toute évolution du dispositif d'interconnexion tel qu'il est présenté aujourd'hui fasse l'objet de nouvelles formalités préalables auprès de la CNIL.
Sur les interconnexions envisagées
- Le casier judiciaire transmettra dans un premier temps au FIJAIS les informations suivantes :  le nom patronymique, les prénoms, le nom d'usage, le sexe, les date et lieu de naissance, un indicateur signalant les identités douteuses ou usurpées, les anciens noms des personnes ayant fait une demande de changement de nom à l'état civil et les identités retrouvées au RNIPP, la nature et la qualification de l'infraction, les date et lieu des faits, la date du jugement, le type de décision, la peine prononcée.  Pour les personnes nées à l'étranger ou dans un territoire d'Outre-mer et ne figurant pas dans le RNIPP, seront ajoutés le pays de naissance, les nom et prénom des parents, le code de la première nationalité, le code de la seconde nationalité.
Un premier rapprochement sera réalisé entre le casier judiciaire national et le fichier national des personnes incarcérées (FNPI). Il permettra d'exclure les personnes actuellement incarcérées du champ des investigations complémentaires nécessaires à la recherche des adresses.  Il permettra également de récupérer les adresses déclarées au moment de la levée d'écrou, qui restent conservées dans le FNPI pendant quinze mois.
Il sera ensuite procédé, si la certitude n'est pas acquise que la personne habite bien à l'adresse indiquée, au rapprochement des informations du casier judiciaire avec les informations figurant dans le système automatisé de gestion du fichier des comptes bancaires FICOBA de la Direction générale des impôts et les deux fichiers nationaux de police judiciaire :  le système de traitement des infractions constatées STIC de la Direction générale de la police nationale et le système d'information judiciaire JUDEX de la Direction générale de la gendarmerie nationale.
- Les autres interconnexions effectuées visent à retenir, pour chaque condamné dont l'identité a été extraite du casier judiciaire, l'adresse correspondante et à déterminer en conséquence le service de police ou de gendarmerie qui sera chargé d'inscrire la personne dans le FIJAIS et de lui notifier les obligations qui lui incombent.
L'interrogation de JUDEX sera réalisée directement par la gendarmerie nationale, celle du STIC par la direction des systèmes d'informations et de communication du ministère de l'intérieur, celle de FICOBA par une personne nommément désignée de la direction générale des impôts, en présence d'un représentant de la police nationale.
Les fichiers d'appel comporteront uniquement le numéro de dossier d'enregistrement au casier judiciaire, les noms et prénoms, les date et lieu de naissance.  Si la personne recherchée a un nom d'usage, une identité spécifique sera créée avec ce nom d'usage.  De même, plusieurs identités seront créées pour les personnes ayant plusieurs prénoms.  Les fichiers de restitution ne comporteront que le numéro de dossier d'enregistrement au casier judiciaire, les éléments d'adresse collectés et leur date d'application.
La Direction générale de la police nationale procèdera à la fusion de toutes les adresses ainsi obtenues.  L'adresse retenue sera par principe l'adresse fournie par le FNPI, c'est-à-dire celle déclarée par la personne concernée à sa sortie de prison et figurant dans le FNPI.  Après vérification sur place de cette dernière adresse et, si elle s'avérait inexacte, elle serait remplacée par l'adresse la plus récente, à partir de la fusion de toutes les adresses obtenues par les autres sources.
Seule l'adresse ayant permis de procéder à la notification prévue à l'article 216 de la loi n° 2004-204 du 9 mars 2004 sera enregistrée dans le FIJAIS.  Les autres éléments recueillis ne seront pas conservés.
Sur le traitement de l'adresse et les garanties de confidentialité adoptées
Pour un dossier, l'adresse retenue sera par ordre de priorité, celle fournie par le FNPI, si cette adresse est celle déclarée par la personne concernée à sa sortie de prison et figurant dans le FNPI, puis l'adresse la plus récente présente dans le fichier des adresses fusionnées après le rapprochement des fichiers de police judiciaire et FICOBA.
La Commission prend acte que les fichiers de restitution ne comporteront donc des réponses qu'en cas de concordance complète entre les éléments d'identité transmis par le casier judiciaire et ceux trouvés dans le fichier interrogé.
L'article 706-53-11 nouveau du code de procédure pénale indique que :  "Aucun fichier ou recueil de données nominatives détenu par une personne quelconque ou par un service de l'Etat ne dépendant pas du ministère de la justice ne peut mentionner, hors les cas et dans les conditions prévues par la loi, les informations figurant dans le fichier."
L'article 216 de la loi du 9 mars 2004 précise que "la divulgation de l'identité des personnes dont l'adresse est recherchée en application des deux alinéas précédents est punie des peines prévues à l'article 226-22 du code pénal".
La Commission estime nécessaire que toutes garanties soient prises par les services de police et de gendarmerie pour ne procéder aux opérations de notification des obligations prévues par la loi qu'après s'être entourés du maximum de garanties sur l'identité de la personne dont l'adresse a été obtenue.  En effet, la notification d'une inscription au FIJAIS à un tiers contreviendrait gravement à l'article 216.
La Commission prend acte que le fichier des identités sera crypté et apporté au service informatique de la Direction générale des impôts par un officier de police qui supervisera les traitements. Après rapprochement, le fichier résultat sera crypté par l'officier de police et ramené à la direction générale de la police nationale.
La Commission note également que les fichiers d'appel et de restitution seront systématiquement chiffrés, les fichiers d'appel étant supprimés à l'issue de la phase d'interrogation.
Les traitements d'exploitation des réponses de la direction générale de la police nationale seront réalisés sur un poste dont l'accès sera protégé par un mot de passe connu du seul fonctionnaire réalisant les traitements.
Si les mesures de sécurité prises à l'occasion de la création et de l'utilisation des fichiers d'appel et de restitution sont de nature à préserver la confidentialité des données traitées, la Commission demande au ministère de la justice et au ministère des finances que toutes dispositions utiles soient prises pour ne pas garder trace dans le fichier FICOBA des interrogations effectuées à l'occasion de l'interconnexion.
Sur la notification des obligations incombant aux personnes inscrites au FIJAIS
Lors des opérations de notification des obligations dans le cadre de la reprise de l'existant, les informations devant être enregistrées seront nécessairement communiquées à la personne concernée, pour vérifier qu'elles s'appliquent bien à elle. L'article R. 706-53-6 du code de procédure pénale dispose par ailleurs que toute personne dont l'identité est enregistrée dans le fichier en est informée par l'autorité judiciaire, soit par notification à personne, soit par lettre recommandée adressée à la dernière adresse déclarée.
La Commission demande que toutes mesures utiles soient prises de façon à garantir, lors de l'envoi de la notification à l'intéressé par lettre recommandée, la confidentialité des informations.  Seul le cachet du ministère de la justice pourrait par exemple figurer sur l'enveloppe.  Elle demande que la lettre recommandée soit complétée de l'exigence d'un accusé réception.
La personne concernée pourra ensuite obtenir, sur demande adressée au procureur de la République près le tribunal de grande instance dans le ressort duquel elle réside, communication de l'intégralité des informations la concernant figurant dans le FIJAIS.  Elle pourra également demander au procureur de la République de rectifier ou d'ordonner l'effacement des informations la concernant sous les conditions et modalités prévues par la loi.
La Commission estime que la note d'information devra être rédigée conformément aux termes de l'article 706-53-10 du code de procédure pénale, s'agissant en particulier du droit de demander la rectification ou l'effacement des informations inscrites au "FIJAIS" ou la limitation à un an de la fréquence de l'obligation de présentation.
Autorise, dans ces conditions, le ministère de la justice à mettre en oeuvre un traitement automatisé ayant pour finalité la gestion des opérations de rapprochement nécessaires à la mise en oeuvre du fichier judiciaire national automatisé des auteurs d'infractions sexuelles.
Le président Alex TURK.