La Commission nationale de l'informatique et des libertés,
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 11 ;
Après avoir entendu Mlle Anne Debet, M. François Giquel, M. Jean-Pierre de Longevialle et M. Francis Delattre, commissaires, en leur rapport, et Mme Pascale Compagnie, commissaire du gouvernement, en ses observations,
Emet l'avis suivant :
En application de l'article 11-4° a) de la loi n° 78-17 du 6 janvier 1978 modifiée, le ministère de l'intérieur a transmis à la Commission, le 22 mai 2006 et le 30 mai 2006, l'avant-projet de loi relatif à la prévention de la délinquance, dont certaines dispositions prévoient la création de traitements automatisés de données à caractère personnel (articles 10 et 22) sur la mise en oeuvre desquels il sollicite l'avis de la Commission.
L'article 10 permet aux maires de mettre en oeuvre, aux fins de procéder au recensement des enfants soumis à l'obligation scolaire et d'améliorer le suivi de l'obligation d'assiduité scolaire, un traitement de données à caractère personnel, alimenté à partir des informations transmises par les organismes chargés du versement de prestations familiales et par le recteur ou l'inspecteur d'académie.
L'article 22 crée, sous l'autorité du ministre en charge de la santé, un fichier national des personnes hospitalisées d'office accessible aux préfets, notamment dans le cadre de l'instruction des demandes de délivrance ou de renouvellement d'une autorisation de détention d'armes.
La Commission estime devoir exprimer aussi ses observations sur les dispositions des articles 5, 6, 7 et 9 du projet de loi dans la mesure où elles semblent impliquer des transmissions et échanges de données à caractère personnel en particulier entre le maire de la commune et les acteurs sociaux.
Les dispositions de l'article 16 qui prévoient la consultation des fichiers de police judiciaire dans le cadre des procédures d'agrément des personnes relevant du service volontaire citoyen de la police nationale appellent également un examen de la CNIL.
1. Sur les échanges d'informations prévus entre le maire et les acteurs sociaux dans le cadre de la mise en place des dispositifs de prévention fondés sur l'action sociale et éducative (articles 5 et suivants, article 50)
- Sur l'article 5
Le paragraphe I insère dans le code de l'action sociale et des familles un nouvel article L. 121-6-2 faisant obligation à tout professionnel de l'action sociale d'informer le maire de toute intervention effectuée au bénéfice d'une personne présentant des "difficultés sociales, éducatives ou matérielles", afin de permettre une meilleure efficacité des actions sociales dont cette personne peut bénéficier.  Lorsque plusieurs professionnels seraient appelés à intervenir auprès d'une même personne, le maire, après consultation du président du conseil général, désignerait un coordonnateur de l'ensemble des actions menées.  Ce dernier serait, aux termes de l'exposé des motifs du projet de loi, un travailleur social pivot.
Afin de mener à bien leurs actions, les professionnels de l'action sociale et le coordonnateur seraient autorisés à partager "les informations et documents nécessaires à la continuité ou à l'efficacité de la veille éducative ou de l'action sanitaire et sociale". Il est également prévu que le maire reçoive du coordonnateur des informations nécessaires à son action dans le domaine sanitaire et social et de la veille éducative.
La Commission estime que ces dispositions, dans la mesure où elles semblent autoriser le maire à obtenir communication de l'ensemble des données relatives aux difficultés sociales de ses administrés, apparaissent, compte tenu de leur caractère très général, disproportionnées au regard des objectifs poursuivis.  En effet, si le maire a vocation à connaître, de façon ponctuelle, de données sur les personnes sollicitant des aides sociales facultatives qui relèvent traditionnellement de ses compétences, il n'a pas à être rendu systématiquement destinataire des informations que les professionnels de l'action sociale sont conduits à recueillir auprès des personnes et des familles en difficulté dans le cadre des relations de confiance qu'ils nouent avec elles et des garanties de confidentialité qu'ils leur apportent.  Le fait que désormais le maire pourrait accéder à ces informations sociales sensibles est de nature à remettre en cause ces relations de confiance et l'efficacité de l'action sociale entreprise.
Elle considère en revanche que le partage entre travailleurs sociaux d'informations relatives à des personnes identifiées est légitime dès lors qu'il est strictement nécessaire à leur prise en charge sociale et est réalisé dans l'intérêt des personnes concernées mais elle rappelle que ce partage d'informations, lorsqu'il porte sur des données qui touchent à l'intimité de la vie privée des personnes, doit s'effectuer dans le respect des droits des personnes concernées et dans des conditions garantissant tout particulièrement la confidentialité des données.
Elle estime, en conséquence, que le troisième alinéa de l'article L. 121-6-2 devrait être complété en ce sens.
Enfin, la Commission observe que l'ensemble des dispositions de cet article instituent de fait des échanges de données à caractère personnel.  Dans la mesure où ces données feraient l'objet de traitements automatisés, ces derniers seront soumis aux formalités préalables prévues par la loi du 6 janvier 1978 modifiée.  Elle rappelle à cet égard que les traitements comportant des appréciations sur les difficultés sociales des personnes sont soumises à autorisation préalable de la Commission.
- Sur les articles 6 et 7
L'article 6 institue un conseil pour les droits et devoirs des familles, mis en place par le maire, qui aurait pour mission de dialoguer avec les familles, de leur adresser des recommandations et de proposer des mesures d'accompagnement parental.  Le conseil pourrait proposer que les professionnels et les tiers concernés soient informés de ses recommandations et des engagements pris par la famille dans le cadre d'un contrat de responsabilité parentale signé avec le président du conseil général.
L'article 7 insère dans le code de l'action sociale et des familles deux articles L. 141-2 et L. 141-3 qui ont pour objet de permettre au maire d'une part, de proposer un accompagnement parental, lorsqu'il ressort de ses constatations ou d'informations portées à sa connaissance, que l'ordre, la sécurité ou la tranquillité publiques sont menacés par un défaut de surveillance ou d'assiduité scolaire et d'autre part, de demander à la caisse d'allocations familiales concernée de mettre en place un dispositif d'accompagnement des familles.
La Commission observe en premier lieu que l'accomplissement des missions dévolues au Conseil des droits et devoirs des familles supposerait que celui-ci puisse disposer d'informations individuelles sur les familles, ces informations étant en outre susceptibles d'être communiquées à d'autres destinataires ("tiers concernés") dont elle relève d'ailleurs qu'ils ne sont pas du reste explicitement définis.
Elle constate également que les dispositifs de signalement prévus au titre de l'article 7 nécessitent la communication, voire la conservation de données à caractère personnel.
La Commission souligne que dans la mesure où des informations individuelles sensibles, relevant de l'intimité de la vie privée des familles, seraient ainsi recueillies, traitées et conservées, il appartient au législateur, pour assurer le respect du principe de proportionnalité, de définir précisément les garanties qui devraient être apportées afin qu'un tel dispositif d'accompagnement soit mis en place dans le respect des droits des personnes et en particulier de leur droit au respect de leur vie privée.
En l'état, les articles 6 et 7 appellent une réserve de la Commission en ce qu'ils instituent un dispositif de signalement des mineurs et des familles à problèmes résidant dans la commune, sans qu'aucune garantie soit apportée ni sur l'origine des informations qui seraient utilisées pour procéder à ce signalement, ni sur les critères déclenchant ce signalement, ni sur les modalités de transmission et de traitement des informations et la nécessaire confidentialité de celles-ci.
Elle estime en conséquence que la loi devrait sur ces points apporter les garanties nécessaires.
La Commission tient à rappeler que la mise en oeuvre de tout traitement de données à caractère personnel destiné à assurer le suivi des familles et des enfants en difficulté dans la commune devra faire l'objet des formalités préalables prévues par la loi du 6 janvier 1978 modifiée et que les traitements comportant des appréciations sur les difficultés sociales des personnes sont soumis à autorisation préalable de la Commission.
- Sur l'article 9 et sur l'article 50
Ces articles ouvrent la possibilité pour le maire, lorsque des faits portent atteinte aux "règles régissant la vie sociale", de procéder à des rappels à l'ordre.
L'article 50 de l'avant-projet de loi transmis à la Commission prévoit qu'en Polynésie française, ces mesures seraient inscrites sur un registre tenu par le conseil des droits et devoirs des familles ou par le maire selon des dispositions déterminées par décret en Conseil d'Etat pris après de la CNIL.  Il ressort toutefois des indications fournies par le ministère de l'intérieur que cette disposition doit être supprimée dans la mesure où aucun fichier ne devait en définitive être constitué ni en Polynésie française ni en métropole.
La Commission prend acte en conséquence que, selon les précisions apportées par le ministère de l'intérieur, ce dispositif ne conduit pas à la mise en oeuvre, au sens de l'article 2 de la loi du 6 janvier 1978, de traitements de données à caractère personnel, et qu'en particulier, il ne sera pas procédé à la conservation de données à caractère personnel telles que les mesures de rappel à l'ordre.
2. Sur la mise en place par les maires d'un traitement de données à caractère personnel, alimenté à partir des informations transmises par les organismes chargés du versement de prestations familiales et par le recteur ou l'inspecteur d'académie (article 10).
Cet article autoriserait le maire à mettre en oeuvre un traitement automatisé de données à caractère personnel afin de recenser les enfants soumis à l'obligation scolaire et d'améliorer le suivi de l'obligation d'assiduité scolaire.  Ce traitement serait alimenté d'une part par les organismes chargés du versement des prestations familiales qui communiquent la liste des enfants en âge scolaire domiciliés dans la commune, et d'autre part par les inspecteurs d'académie qui lui adresseraient régulièrement la liste des élèves domiciliés dans sa commune qui ont fait l'objet d'un avertissement pour défaut d'assiduité scolaire.
La Commission relève que la constitution par le maire d'un traitement automatisé de données à caractère personnel afin de recenser les enfants résidant dans sa commune soumis à l'obligation scolaire et d'améliorer le suivi de l'obligation d'assiduité scolaire s'inscrit dans le cadre des compétences qui lui sont reconnues par les articles L. 131-6 et R. 131-3 du code de l'éducation.
Aux termes de l'article R. 131-3 précité, chaque année, à la rentrée scolaire, le maire dresse la liste de tous les enfants résidant dans sa commune et qui sont soumis à l'obligation scolaire.
Les directeurs des écoles et les chefs d'établissement scolaires, publics ou privés, doivent déclarer au maire, dans les huit jours qui suivent la rentrée des classes, la liste des enfants fréquentant leur établissement.
Le projet de loi a donc pour objet l'enrichissement de cette liste par des données provenant des caisses d'allocations familiales et des inspections académiques.  S'agissant de ces dernières, ne doit être transmise que la liste des élèves ayant reçu un avertissement pour absentéisme délivré dans les conditions fixées par l'article L. 131-8 du code de l'éducation.
La Commission s'interroge sur la finalité de ces transmissions d'informations aux maires.
En effet, elle observe qu'il appartient au seul inspecteur d'académie d'inviter les personnes responsables de l'enfant à se conformer au respect de l'obligation scolaire conformément à l'article L. 131-7 du code de l'éducation.
Dès lors, elle estime qu'une solution reposant sur la transmission, par les caisses chargées du versement des prestations familiales, au seul inspecteur d'académie des listes d'enfants en âge d'être scolarisés devrait être privilégiée.
La Commission considère enfin qu'un décret en Conseil d'État pris après avis de la CNIL devrait préciser les modalités des échanges de données, la nature de ces données ainsi que les modalités d'exploitation par le maire.  En tout état de cause, il appartiendra à chaque maire de procéder à l'accomplissement des formalités préalables auprès de la Commission.
3. Sur le régime d'agrément dans le cadre de la création d'un service volontaire citoyen de la police nationale (article 16)
L'article 16 de l'avant-projet de loi organise la création du service volontaire citoyen de la police nationale destiné à renforcer les liens entre la police nationale et les citoyens.  Ce service volontaire doit contribuer à la réalisation d'actions de médiation sociale, de solidarité et de sensibilisation au respect de la loi, à l'exclusion de l'exercice de toute prérogative de puissance publique.
Le texte fixe un certain nombre de conditions pour l'admission au service volontaire citoyen de la police nationale.  Il prévoit notamment que l'agrément de la personne volontaire ne peut être délivré s'il résulte de l'enquête administrative, ayant le cas échéant donné lieu à consultation des traitements de données à caractère personnel gérés par les services de police et de gendarmerie nationale relevant des dispositions de l'article 26 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, à l'exception des fichiers d'identification, que son comportement ou ses agissements sont contraires à l'honneur, à la probité, aux bonnes moeurs ou sont de nature à porter atteinte à la sécurité des personnes ou des biens, à la sécurité publique ou à la sûreté de l'État et sont incompatibles avec l'exercice de ses futures fonctions.
La référence à l'article 26 de la loi du 6 janvier 1978 permettrait aux personnes chargées de l'enquête administrative d'accéder de façon indifférenciée à l'ensemble des fichiers intéressant la sûreté de l'État, la défense ou la sécurité publique. La Commission prend acte que l'intention du ministère de l'intérieur à cet égard se limite à permettre une consultation des seuls fichiers de police judiciaire relevant de l'article 21 de la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure autres que les "fichiers d'identification" (tels que le fichier national des empreintes génétiques ou le fichier automatisé des empreintes digitales).  Elle demande que l'article 16 soit modifié en conséquence.
Cependant la Commission croit devoir appeler à nouveau l'attention des pouvoirs publics, comme elle l'a déjà fait à plusieurs reprises, sur les risques graves d'exclusion sociale et d'atteinte aux libertés individuelles, ainsi qu'au respect des droits des personnes que comporte cette utilisation administrative des fichiers de police judiciaire qui leur fait jouer, de fait, aujourd'hui le rôle d'un casier judiciaire parallèle, alors même qu'ils n'ont pas été conçus pour cette finalité et qu'ils ne bénéficient pas, pour leur alimentation, l'effacement et la consultation des données, des garanties rigoureuses prévues par le code de procédure pénale pour le casier judiciaire national.
Par ailleurs, la Commission prend acte du fait que les personnes agréées pour le service volontaire citoyen de la police nationale n'accéderont pas, dans le cadre de leurs fonctions, aux traitements, automatisés ou non, de données à caractère personnel de la police nationale.
Enfin, un décret en Conseil d'Etat devra déterminer les conditions d'application de l'article 16 du projet de loi.  La Commission estime à cet égard qu'elle devra être saisie du projet de décret.
4. Sur la création d'un traitement national des personnes hospitalisées d'office (article 22)
L'article 22 du projet de loi a pour objet de compléter le code de la santé publique d'un article L. 3213-9-1 dont le I prévoit la création, sous l'autorité du ministre de la santé, d'un traitement national de données à caractère personnel destiné à améliorer l'instruction et le suivi des mesures d'hospitalisation d'office.
Celles-ci sont, conformément aux dispositions de l'article L. 3213-1 du code de la santé publique, actuellement décidées par les préfets, sous réserve des modifications apportées par l'article 24 du projet de loi.  Ces décisions sont prises par arrêté au vu d'un certificat médical circonstancié à l'égard des personnes dont les troubles mentaux nécessitent des soins et compromettent la sûreté des personnes ou portent atteinte, de façon grave, à l'ordre public.
Le traitement n'enregistrerait pas de données relevant de l'article 8 de la loi du 6 janvier 1978 modifiée autres que celles permettant de définir la situation administrative de la personne. Les données seraient conservées pendant la durée de l'hospitalisation et jusqu'à la fin de la cinquième année civile suivant la fin de l'hospitalisation.
Auraient accès aux informations enregistrées dans le fichier les préfets de département et, à Paris, le préfet de police ainsi que les personnes individuellement habilitées et dûment désignées par eux, l'autorité judiciaire, les directeurs départementaux des affaires sanitaires et sociales ainsi que les personnes individuellement habilitées et dûment désignées par eux.
Le projet de loi prévoit également que les préfets de département et, à Paris, le préfet de police peuvent consulter les données enregistrées dans le fichier ainsi créé dans le cadre de l'instruction des demandes de délivrance ou de renouvellement d'une autorisation d'acquisition ou de détention de matériels, d'armes ou de munitions des 1ère et 4ère catégories ou de déclaration de détention d'armes des 5ème et 7ème catégories prévues à l'article L. 2336-3 du code de la défense.
Il est prévu qu'un décret en Conseil d'Etat, pris après avis de la Commission nationale de l'informatique et des libertés, fixe les modalités d'application du présent article et précise notamment la nature des données à caractère personnel enregistrées, la nature des données à caractère personnel consultées dans le cadre de l'application de l'article L. 2336-3 du code de la défense et les conditions dans lesquelles les personnes intéressées peuvent exercer leur droit d'accès.
La Commission observe que le traitement national envisagé ne concernerait que les personnes hospitalisées d'office à l'exclusion de celles hospitalisées sans leur consentement à la demande d'un tiers ; que sa création poursuit une double finalité qui est d'une part d'apporter une aide à la décision de l'autorité préfectorale, compétente pour décider de l'hospitalisation d'office en permettant une meilleure information sur la personne et d'autre part, de permettre à l'autorité préfectorale d'être informée de l'état psychique de la personne en cas de demandes de délivrance ou de renouvellement d'une autorisation d'acquisition ou de détention d'armes.
Elle note que la création d'un fichier national trouve sa justification dans l'obsolescence des applications mises en oeuvre au niveau des départements et surtout dans l'utilité de pouvoir disposer d'information sur des hospitalisations intervenues dans un autre département que celui dans lequel est instruite la mesure de placement d'office ou la demande de détention d'armes.
La Commission estime donc que la création, sous l'autorité du ministre de la Santé et aux seules fins précitées, d'un fichier national recensant l'ensemble des personnes hospitalisées d'office n'est pas illégitime mais appelle, compte tenu de la sensibilité des informations enregistrées relatives à la santé mentale des personnes, des garanties particulières pour éviter toute utilisation détournée de ce fichier.
A cet égard, elle considère que pour donner son plein effet à la volonté qui est manifestée de placer sous l'autorité du ministre de la Santé un fichier constitué d'informations relatives à la santé des individus, il est nécessaire de réserver l'accès direct du traitement, que ce soit en alimentation ou en consultation, aux directeurs départementaux des affaires sanitaires et sociales à charge pour eux (et pour leurs agents individuellement habilités à cet effet) de mettre sans délai les informations recueillies à la disposition des autres destinataires de ces informations.
Il apparaît d'autre part nécessaires de rappeler au I du projet d'article L. 3213-9-1 la finalité au titre de laquelle les intéressés sont destinataires des informations en cause.
Par ailleurs, la mention de "l'autorité judiciaire" comme destinataire des informations enregistrées dans le fichier national apparaît en l'état trop générale au regard de la finalité du fichier indiquée par le projet de loi qui est "d'améliorer le suivi et l'instruction des mesures d'hospitalisations d'office".
La Commission constate que, dans les applications départementales existantes, seuls les procureurs de la République du tribunal de grande instance dans le ressort duquel se trouve le domicile de la personne hospitalisée et de celui dans le ressort duquel est situé l'établissement d'hospitalisation sont mentionnés en qualité de destinataires des informations pour l'exercice de leurs missions dans le cadre du suivi de l'hospitalisation d'office.
La Commission observe également qu'aux termes de l'article L. 3213-9 du code de la santé publique, le procureur de la République près le tribunal de grande instance dans le ressort duquel est situé l'établissement est la seule autorité judiciaire qui est avisée par le représentant de l'Etat dans le département dans les vingt-quatre heures de toute hospitalisation d'office, de tout renouvellement et de toute sortie.
La Commission observe enfin que la mention de l'autorité judiciaire au titre des destinataires de données du fichier national des personnes hospitalisées d'office a été envisagée dans le projet de loi afin de permettre aux magistrats de l'ordre judiciaire d'assurer un contrôle de la responsabilité pénale des personnes mises en cause dans le cadre de procédures judiciaires, eu égard à l'article L. 122-1 du code pénal.  Elle considère qu'un tel besoin relève, du fait de son caractère ponctuel et limité, de la définition du tiers autorisé à accéder aux données enregistrées dans un traitement et non de celle de destinataire permanent des données, dont l'application en l'espèce serait disproportionnée.
En conséquence, la Commission propose que les quatrième à septième alinéas de l'article 22 soient ainsi modifiés :
"Les directeurs départementaux des affaires sanitaires et sociales et les personnes individuellement habilitées et dûment désignées par eux peuvent accéder directement, par des moyens sécurisés, au traitement mentionné au premier alinéa.
Sont destinataires des données enregistrées dans ce traitement à raison de leurs attributions respectives en matière de suivi et d'instruction des mesures d'hospitalisation d'office :
1° Le préfet du département et, à Paris, le préfet de police, ainsi que les personnes individuellement habilitées et dûment désignées par lui ;
2° Le procureur de la République du tribunal de grande instance dans le ressort duquel se trouve le domicile de la personne hospitalisée et le procureur de la République du tribunal de grande instance dans le ressort duquel est situé l'établissement d'hospitalisation ;
3° Le directeur départemental des affaires sanitaires et sociales ainsi que les personnes individuellement habilitées et dûment désignées par lui".
Par ailleurs, le II du projet d'article L. 3213-9-1 du code de la santé publique autoriserait le préfet du département ou le préfet de police de Paris à consulter les données enregistrées dans le traitement national envisagé, pour l'instruction des demandes de délivrance ou de renouvellement d'acquisition ou de détention de certains matériels, armes ou munitions.  D'après le ministère de l'intérieur, cette communication se limiterait à une information sur la présence ou non du demandeur dans le fichier.  Cette information permettrait simplement aux services préfectoraux de requérir une pièce complémentaire auprès du demandeur (certificat médical établi par un médecin psychiatre).
Au regard du principe de proportionnalité et au titre des garanties qui doivent être prises par le législateur pour assurer la protection des données des personnes concernées, la Commission considère qu'il y a lieu de réserver également, dans ces cas, la consultation du fichier aua seuls directeurs des affaires sanitaires et sociales et aux personnes habilitées par eux, à charge pour ces derniers de répondre sans délai aux demandes de renseignements formulées par les services chargés de l'instruction des demandes d'autorisation de détention d'armes.  Il y a donc lieu à l'avant-dernière ligne du II du projet d'article L. 3213-9-1 de remplacer les mots "peut consulter les données" par "sont destinataires des données".
La Commission considère également que le décret en Conseil d'État sur lequel elle doit être consultée devrait préciser, au-delà de ce que prévoit déjà expressément le projet de loi, les modalités d'alimentation du fichier national, de consultation et de mise à disposition des données, de sécurisation des informations et en particulier d'habilitation des personnels autorisés à accéder au fichier et à demander la communication des données auprès des directions départementales des affaires sanitaires et sociales.
Enfin, la Commission prend acte du fait que le traitement national envisagé ne fera l'objet d'aucune mise à disposition, rapprochement ou interconnexion avec d'autres traitements de données à caractère personnel, et en particulier avec l'application de gestion du répertoire informatisé des propriétaires et possesseurs d'armes à feu ou avec le futur fichier des interdits d'acquisition et de détention d'armes prévu par la loi du 15 novembre 2001 relative à la sécurité quotidienne.  Elle demande en conséquence que le 1 du projet d'article L. 3213-9-1 du code de la santé publique soit ainsi complété :  "Le traitement ne fait l'objet d'aucune mise à disposition, rapprochement ou interconnexion avec d'autres traitements de données à caractère personnel".
Le président, Alex TURK.
Guy ROSIER Vice-Président Délégué