Date de l’avis



N° de la délibération


: 23003250
N° de demande d’avis

Texte concerné
projet de loi relatif à la modernisation des capacités d’action des douanes
Thématiques
: dispositif LAPI, services des douanes
: article 8-I-4°-a) de la loi du 6 janvier 1978 modifiée
Fondement de la saisine
L’essentiel

1. Au vu des justifications apportées par le ministère,
la Commission estime légitimes les traitements prévus permettant l’exploitation par les services des douanes des données issues des LAPI, et relève que le projet de loi comporte des garanties importantes en matière de protection des données. Elle accueille favorablement le rapport d’évaluation.
2. L’augmentation prévue, très significative, de la durée de conservation des données (de quinze jours à quatre mois) est de nature à augmenter de manière très importante le nombre de données collectées.
Sans remettre en cause ce délai, la CNIL propose que cette durée soit réduite au début de l’expérimentation et, le cas échéant, progressivement augmentée jusqu’à quatre mois si cela apparait nécessaire et proportionné. Le rapport d’évaluation devra contenir des éléments permettant de justifier le caractère proportionné de la durée qui sera finalement retenue.
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’économie, des finances et de la souveraineté industrielle et numérique d’une demande d’avis concernant un projet de loi relatif à la modernisation des capacités d’action des douanes ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 8-I-4°-a) ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire adjoint du Gouvernement,
ADOPTE LA DELIBERATION SUIVANTE :
I. La saisine
A. Contexte de la saisine
Les services de police, de gendarmerie et des douanes sont autorisés à mettre en œuvre des dispositifs fixes ou mobiles de lecteurs automatiques de plaques d’immatriculation (LAPI) dans les conditions fixées aux articles L.233-1 et suivants du code de la sécurité intérieure (CSI).
Ces dispositifs peuvent être mis en œuvre en tout point approprié du territoire pour des finalités précises et limitées (en particulier aux fins de prévenir et de réprimer le terrorisme, de faciliter la constatation d'infractions liées à la criminalité organisée, de certaines infractions prévues et réprimées par le code des douanes, ainsi que le vol et le recel de véhicules volés, en vue de faciliter la constatation de ces infractions et la recherche de leurs auteurs).
Les dispositifs LAPI permettent la collecte automatisée des données signalétiques des véhicules (plaque d’immatriculation) en prenant une photographie des véhicules automobiles et de leurs occupants. Les données collectées sont conservées pendant un délai maximum de quinze jours, au-delà duquel elles sont effacées dès lors qu’elles n’ont donné lieu à aucun "rapprochement" positif avec les données contenues dans les traitements "Fichier des objets et des véhicules signalés" (FOVES) et "Système d'information Schengen" (SIS).
Les données qui font l’objet d’un "rapprochement" positif sont conservées pendant une durée d’un mois, sans préjudice des nécessités de leur conservation pour les besoins d’une procédure pénale ou douanière.
La CNIL rappelle qu’il résulte de l’article L. 233-2 du CSI, tel qu’il est interprété par le ministère et par elle-même, que les données issues des LAPI peuvent, pour les finalités prévues ces dispositions, n’être utilisées que d’une façon particulièrement restrictive. D’une part, alors qu’en principe les mises en relations ne sont pas limitativement énumérées et prévues par les textes constitutifs des traitements de données, en l’espèce les mises en relation avec les traitements FOVES et SIS sont prévues par l’article L. 233-2 du CSI. Aucune autre mise en relation n’est possible, ce qui constitue une garantie en matière de protection des données. D’autre part, il résulte de l’économie de la loi que les données des LAPI collectées ne peuvent être utilisées que pour l’interrogation du FOVES et du SIS, pendant une durée de quinze jours, et ne peuvent pas faire l’objet de recherches selon certains "critères" (recherche par itinéraire, avec un numéro de plaque, etc.), sans préjudice des nécessités de leur consultation pour les besoins d’une procédure pénale ou douanière en cours, durant la période de quinze jours.
B. Objet de la saisine
La CNIL est saisie, en urgence, pour rendre un avis sur l’article 6 du projet de loi relatif à la modernisation des capacités d’action des douanes.
Cet article vise, sous forme d’expérimentation, à allonger la durée de conservation des données collectées par certains dispositifs LAPI à quatre mois, et à permettre aux services douaniers compétents de réaliser des recherches multicritères sur celles-ci. Cette évolution est rendue nécessaire, selon le ministère, afin d’adapter les dispositifs LAPI au durcissement de la criminalité organisée et à l’évolution des modes opératoires des délinquants.
Ce projet comporter deux dimensions :
une durée de conservation allongée de quinze jours à quatre mois : l’ensemble des données des capteurs LAPI entrant dans le champ de l’expérimentation seront conservées jusqu’à quatre mois, qu’il y ait eu rapprochement positif ou non avec les traitements FOVES et SIS. Ces données ne pourront être consultées qu’en cas de rapprochement positif avec les traitements précités ;
une possibilité de procéder à des détections via l’application de recherches multicritères aux données captées, sans pré-identification d’une plaque d’immatriculation. Ce volet de l’expérimentation s’appliquera à l’ensemble des données captées, et non uniquement aux données ayant fait l’objet d’un rapprochement positif avec les traitements FOVES et SIS. Les recherches multicritères feront apparaître des plaques d’intérêt correspondant aux schémas de ces recherches. Ces plaques d’immatriculation nécessiteront ensuite un travail d’enrichissement et de filtrage, pour ne retenir que celles qui paraissent pertinentes et qui auront vocation à faire l’objet d’un signalement d’attention et d’une inscription dans les traitements FOVES er SIS.
Il résulte de ce qui a été dit au point 5 qu’une telle expérimentation nécessite l’intervention d’une loi.
II. L’avis de la CNIL
A. Observations générales
L’article 6 du projet de loi ne vise pas à changer les finalités des dispositifs LAPI pouvant être actuellement installés : les traitements permettant de réaliser des recherches multicritères seraient destinés exclusivement à prévenir et constater des infractions de contrebande, d’importation ou d’exportation commises en bande organisée ainsi que la constatation de la réalisation ou de la tentative de réalisation des délits de blanchiment, lorsqu’ils portent sur les fonds provenant des délits précités.
La recherche multicritère permettrait d’utiliser les dispositifs LAPI au-delà des requêtes actuellement autorisées (consultation des traitements FOVES et SIS) afin de connaître le mode opératoire des organisations criminelles sur le réseau routier en réalisant des recherches, sans cible prédéterminée (détection de plaques étrangères sur une période et un itinéraire donnés ou de comportements suspects). Cette nouvelle exploitation des données justifie, selon le ministère, une durée de conservation plus longue de celles-ci (quatre mois au lieu de quinze jours).
Le ministère a justifié les raisons opérationnelles qui le conduisent à vouloir solliciter, dans cet objectif, une modification des dispositions du CSI encadrant les dispositifs LAPI.
La CNIL estime donc légitimes les traitements qui pourraient être mis en œuvre.
La CNIL accueille favorablement les garanties prévues par le projet de loi en matière de protection des données
les traitements permettraient exclusivement de procéder à un signalement d’attention et ne pourraient fonder aucune décision individuelle ou acte de poursuite ;
seuls les agents des douanes affectés au sein d’un service spécialisé de renseignement de la direction nationale du renseignement et des enquêtes douanières (DNRED), individuellement désignés et spécialement habilités par le ministre chargé des douanes, pourraient avoir accès aux données et en opérer le traitement ;
interdiction d’exploiter les photographies des occupants des véhicules ;
interdiction de procéder à toute interconnexion ou mise en relation automatisée avec d’autres traitements de données à caractère personnel ;
interdiction pour un sous-traitant de droit privé de procéder à toute opération de collecte, de traitement et de conservation des données, à l’exception de la conception des outils de traitement des données ;
l’expérimentation porterait sur un nombre limité de LAPI utilisés par les douanes, sur un périmètre géographique limité à certains axes de circulation.
La CNIL considère que les parties de photographies montrant les occupants des véhicules, qui ne seront pas exploitées dans le cadre de l’expérimentation, devraient être supprimées ou floutées dès que possible conformément au principe de minimisation des données.
La CNIL considère que la phrase du projet de loi mentionnant qu’ "
ils ne peuvent procéder à aucune interconnexion ou mise en relation automatisée avec d’autres traitements de données à caractère personnel"
autres que ceux autorisés par l’article L. 233-2 du code de la sécurité intérieure
L’expérimentation sera encadrée par un décret en Conseil d’Etat pris après avis de la CNIL qui devra déterminer notamment les critères de recherche utilisés, le nombre maximal de dispositifs de LAPI concernés et les axes de circulation où ils seront installés.
La CNIL estime que le projet de décret devra également comporter les éléments prévus à l’article 35 de loi "informatique et libertés", en particulier les catégories de données traitées (photographies, numéro d’immatriculation, date et heures du relevé, etc.), et les modalités d’information des personnes concernées. La CNIL prend acte de l’engagement du ministère de ce que le projet de décret comportera ces éléments.
B. Sur l’augmentation de la durée de conservation des données LAPI
L’article 6 du projet de loi prévoit que, par dérogation à l’article L. 233-2 du CSI, les données collectées sont conservées durant un délai maximum de quatre mois, sans préjudice des nécessités de leur conservation pour les besoins d’une procédure pénale ou douanière.
Outre les raisons opérationnelles déjà évoquées ci-dessus, le ministère souhaite allonger la durée de conservation afin d’augmenter le volume des données pouvant être exploitées par les traitements permettant de réaliser des recherches multicritères. Il a souligné qu’il résulte de la pratique des services douaniers que la recherche des infractions en cause nécessite d’observer les trajets des véhicules soupçonnés d’y être liés pendant une durée nettement supérieure à 15 jours et pouvant atteindre plusieurs mois.
La CNIL ne remet pas en cause cette appréciation des services douaniers mais elle souligne que l’augmentation de la durée de conservation entraînera, compte tenu du nombre important de véhicules concernés, une forte augmentation du stock de données conservées. Or ces données permettent de suivre les trajets des véhicules en cause, sur une période plus longue. Cette forme de surveillance constitue une atteinte forte à la vie privée. La fixation de la durée de conservation des données collectées dans le cadre de cette expérimentation revêt donc une importance particulière.
Sans remettre en cause le fait que la loi fixerait un délai maximal de quatre mois, la CNIL considère que ce délai ne devrait pas être obligatoire et que la durée effective de conservation testée devrait être inférieure au début de l’expérimentation et, le cas échéant, progressivement augmentée si cela apparaissait nécessaire et proportionné. Le rapport d’évaluation devra contenir des éléments permettant d’apprécier le caractère proportionné de la durée finalement retenue, notamment en comparant l’accroissement du nombre de données collectées et l’efficacité du dispositif pour détecter des comportements suspects.
La CNIL considère que des mesures de sécurité protectrices de la vie privée portant sur le stockage des données collectées (chiffrement par exemple) devraient être mises en œuvre.
C. Sur le rapport d’évaluation
L’article 6 du projet de loi prévoit que cette expérimentation ferait l’objet d’un rapport d’évaluation dont les résultats seraient transmis au Parlement et à la CNIL au plus tard six mois avant son terme. Ce rapport devra mesurer l’intérêt de l’expérimentation pour la lutte contre la criminalité organisée, et évaluer l’efficacité des garanties apportées pour assurer la protection des données personnelles et le respect de la vie privée.
La CNIL accueille favorablement cette disposition.
La Présidente
M.-L. DENIS