(Demande d’autorisation n° 1514999)
La Commission nationale de l’informatique et des libertés ;
Saisie par la Cour de Cassation d’une demande d’autorisation concernant la mise en œuvre d’un traitement de données à caractère personnel ayant pour finalité la constitution d’une base de jurisprudence des décisions de la Cour de Cassation et d’une sélection de décision des cours d’appels et tribunaux (Jurinet) ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l’organisation judiciaire ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 25-I-3° ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 01-057 du 29 novembre 2001 portant recommandation sur la diffusion de données personnelles sur internet par les banques de données de jurisprudence ;
Après avoir entendu M. Emmanuel de GIVRY, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
En application de l’article 25-I-3° de la loi du 6 janvier 1978 modifiée, la Commission est saisie par la Cour de Cassation d’une demande d’autorisation pour la mise en œuvre de la base de jurisprudence Jurinet.
L’article R. 433-3 du code de l’organisation judiciaire confie au service de documentation et d'études de la Cour de Cassation (ci-après « la Cour ») la tenue de deux bases de jurisprudence, l’une rassemblant « les décisions et avis de la Cour de cassation et des juridictions ou commissions juridictionnelles placées auprès d'elle, publiés ou non publiés aux bulletins mensuels mentionnés à l'article R. 433-4 » et «les décisions présentant un intérêt particulier rendues par les autres juridictions de l'ordre judiciaire » (Jurinet), l’autre rassemblant « l'ensemble des arrêts rendus par les cours d'appel et décisions juridictionnelles prises par les premiers présidents de ces cours ou leurs délégués » (JuriCA).
Ainsi, Jurinet contient l’intégralité des arrêts de la Cour de Cassation, publiés et diffusés depuis 1990, des arrêts publiés de la Cour de Cassation rendus entre 1960 et 1989, quelques arrêts « célèbres » de la Cour antérieurs à 1960, les ordonnances du Premier Président, les avis rendus par la Cour, les décisions du tribunal des conflits et celles des commissions juridictionnelles placées auprès de la Cour et de la juridiction nationale de la libération conditionnelle, ainsi que des décisions des cours et tribunaux présentant un intérêt particulier et des décisions frappées de pourvoi.
La Commission relève que la base Jurinet n’est accessible qu’aux personnels du ministère de la justice (magistrats et fonctionnaires des services judiciaires ainsi que toutes les directions et toutes les personnes habilitées du ministère de la justice), à partir du Réseau Privé Virtuel Justice (RPVJ). Elle constitue un outil de documentation juridique assurant un partage de la jurisprudence entre les magistrats, et sert ainsi les principes de sécurité juridique et d’harmonisation de l’application de la loi.
Il convient de noter que cette base de données est techniquement indépendante de la base Legifrance. En revanche, la Commission relève que certaines décisions de la base Jurinet font l’objet, après anonymisation des décisions par la direction de l'information légale et administrative (DILA), d’une diffusion sur le site www.legifrance.gouv.fr, dans le cadre du service public de la diffusion du droit.
Sur l’absence d’anonymisation des décisions contenues dans la base Jurinet
La Commission prend acte qu’étant principalement destinés aux magistrats, les arrêts conservés dans cette base de données ne sont pas anonymisés.
La Commission estime que ce dispositif est conforme à sa délibération du 29 novembre 2001 portant recommandation sur la diffusion de données à caractère personnel sur internet par les banques de données de jurisprudence, laquelle rappelait qu’aucune disposition de la loi du 6 janvier 1978 ne prohibe la constitution, sous une forme nominative, de bases de données enregistrant sous forme numérique les décisions prononcées par les juridictions, dès lors que l’accès à ces bases est à usage interne et réservé aux membres et fonctionnaires des juridictions concernées. Toutefois, même si cette base de jurisprudence présente un caractère « fermé », il n’en demeure pas moins que certaines précautions doivent être prises afin de s’assurer que des décisions non anonymisées ne soient pas en possession de personnes non habilitées.
En l’espèce, l’absence d’anonymisation des décisions contenues dans cette base  résulte des besoins des magistrats de la Cour de Cassation, principaux utilisateurs de cette base de données, pour des raisons de lisibilité et de pratique de la jurisprudence. En outre, l’accès à cette base s’effectue via le réseau privé virtuel justice (RPVJ), et n’est pas destiné au public. Enfin, la Cour explique que l’anonymisation suppose la mise en œuvre de moyens délicats et coûteux, dont la nécessité n’a pas paru s’imposer à la Cour.
Toutefois, la Commission reste attentive à l’ensemble des mesures mises en place afin de garantir la protection des données à caractère personnel apparaissant dans ces décisions de justice, et à l’accès à ces décisions par les seules personnes habilitées.
Sur l’accès aux décisions de la base Jurinet par les abonnés du fonds de concours
En application des dispositions de l’article R. 421-10 du code de l’organisation judiciaire, les décisions contenues dans cette base de données sont communiquées aux abonnés du fonds de concours de la Cour de Cassation.
Au regard de l’absence d’anonymisation des décisions livrées aux abonnés du fonds de concours, la Commission considère que l’accès à ces décisions par des personnels n’appartenant pas au ministère de la justice impose des garanties spécifiques, et souligne à cet égard l’importance des mesures mises en place par la Cour afin de garantir l’intégrité des décisions et le strict respect des règles en la matière. D’une part, certaines décisions ne sont pas communiquées aux abonnés. D’autre part, le contrat d’abonnement comprend une disposition rappelant les obligations de l’abonné s’agissant du respect des dispositions de la loi du 6 janvier 1978 modifiée. La Commission souligne que le directeur du service de documentation, des études et du rapport (SDER) peut contrôler ou faire contrôler le respect, par l’abonné, de ces obligations ; elle invite la Cour à faire régulièrement usage de ces pouvoirs de contrôle afin de s’assurer du respect de l’ensemble des obligations qui découlent de ces conventions. Enfin, elle relève qu’en cas d’une diffusion informatique des arrêts, la charge de l’anonymisation pèse alors sur l’abonné : à cet effet, il est renvoyé à la délibération n°01-057, notamment concernant les méthodes d’anonymisation. La Commission invite la Cour de Cassation à insister sur ce point lors de la conclusion de la convention.
Le service du fonds de concours de la Cour de Cassation délivre les arrêts contenus dans cette base, via une interface par mot de passe sur le site internet de la Cour de Cassation, non anonymisés et sous format PDF, et sous réserve de la conclusion d’une convention entre l’abonné et la Cour. La Commission note que la Cour exerce un contrôle préalable sur les décisions qui seront livrées, afin de s’assurer de la compatibilité des activités de l’abonné avec les décisions communiquées.
La Commission constate que si rien n’interdit la conclusion de ce type de contrat avec les particuliers, la pratique de la Cour consiste à privilégier la conclusion de conventions avec les professionnels du droit.
Sur les droits des personnes
S’agissant du droit d’information, la Cour fait application des dispositions de l’article 32-III de la loi du 6 janvier 1978 modifiée, qui disposent qu’en cas de collecte indirecte des données, le droit d’information ne s’applique pas lorsque l’information se révèle impossible ou exige des efforts disproportionnés par rapport à l’intérêt de la démarche. En outre, la Commission se félicite que la Cour envisage d’insérer dans la charte du justiciable, disponible sur son site internet, un paragraphe destiné à mieux informer les justiciables sur cette base de jurisprudence ainsi que les modalités de l’exercice du droit d’accès.
S’agissant du droit d’opposition, la Commission note qu’il n’est pas applicable au traitement projeté, la mise en œuvre de ce dernier répondant aux exigences du code de l’organisation judiciaire.
Enfin, concernant les droits d’accès et de rectification, la Commission observe qu’ils s’exercent directement, auprès du correspondant informatique et libertés de la Cour de Cassation, dans les limites tenant à l’autorité de la chose jugée.
Sur les sécurités prévues
La Commission note que le responsable de traitement met en œuvre un ensemble de mesures pour limiter les risques qui pèsent sur la vie privée des personnes concernées.
certaines de ces mesures sont destinées à protéger les données à caractère personnel figurant dans les décisions (anonymisation des décisions publiées sur Internet, absence de transmission de certaines décisions aux abonnés) ;
d’autres mesures visent à réduire les impacts potentiels. Ainsi, des sauvegardes sont réalisées de manière quotidienne sur disques et bandes non chiffrés (accès aux serveurs contrôlé). Des tests de non régression sont prévus. S’agissant de la traçabilité, les pages web consultées, ainsi que les actions relatives à la création et à la modification de données, sont journalisées. Cette traçabilité est uniquement destinée à des fins statistiques ; la Commission recommande d’exploiter ces traces afin de détecter tout usage anormal ;
d’autres mesures ont pour objet de limiter les sources de risques (gestion des droits d’accès dans un annuaire, suppression des droits lorsqu’un utilisateur quitte le site, génération aléatoire des mots de passe et fourniture en main propre, accès à JURINET contrôlé physiquement et logiquement, règles de confidentialité dans les conventions avec les abonnés du fonds de concours, antivirus) ;
enfin, des mesures agissent sur les supports à protéger (traitement compartimenté, échanges utilisant le protocole FTP (non chiffré), mais recours au protocole SFTP-SSH (chiffré) prévu à court terme, environnements et personnels de développement et de production distincts, données effacées des supports destinés au rebus, destruction des matériels et supports mis au rebus, configurations redondées).
L’ensemble de ces garanties techniques sont satisfaisantes au regard de la loi du 6 janvier 1978.
Dans ces conditions, la Commission autorise la Cour de Cassation à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la constitution de la base de jurisprudence Jurinet.
La Présidente
Isabelle FALQUE-PIERROTIN