(demande d’autorisation n° 1488253)
La Commission nationale de l'informatique et des libertés,
Saisie par le laboratoire TOXGEN d’une demande d’autorisation concernant un traitement automatisé de données à caractère personnel ayant pour finalité la gestion des données administratives et techniques relatives à l’établissement d’empreintes génétiques dans le cadre des expertises judiciaires ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code civil, notamment ses articles 16-12 et 2224 ;
Vu le code de procédure pénale, notamment ses articles 60, 77-1, 156 et suivants et 706-56 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 25-I-2° et 25-I-3° ;
Vu la loi n° 2004-130 du 11 février 2004 réformant le statut de certaines professions judiciaires ou juridiques, des experts judiciaires, des conseillers en propriété industrielle et des experts en vente aux enchères publiques ;
Vu le décret n° 97-109 du 6 février 1997 modifié relatif aux conditions d'agrément des personnes habilitées à procéder à des identifications par empreintes génétiques dans le cadre d'une procédure judiciaire ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-960 du 15 mai 2007 relatif à la confidentialité des informations médicales conservées sur support informatique ou transmises par voie électronique et modifiant le code de la santé publique (dispositions réglementaires) ;
Après avoir entendu Mme Marie-France MAZARS, commissaire, en son rapport, et Mme Catherine POZZO di BORGO, commissaire adjoint du Gouvernement, en ses observations,
Formule les observations suivantes :
La Commission a été saisie par le laboratoire TOXGEN d’une demande d’autorisation portant création d’un traitement de données à caractère personnel ayant pour finalité la gestion des données administratives et techniques relatives à l’établissement d’empreintes génétiques dans le cadre des expertises judiciaires.
La finalité du traitement consiste exclusivement à l’enregistrement et à la traçabilité des renseignements administratifs et des actes techniques réalisés sur réquisition (ou ordonnance de mission), formulée par l’officier de police judiciaire, le procureur de la République ou le juge d’instruction, dans les conditions prévues par les articles 60, 77-1, 156 et suivants ainsi que l’article 706-56 du code de procédure pénale (CPP).
L’article 706-56 du CPP autorise l’intervention d’experts pour réaliser l’analyse d’identification par empreintes génétiques des personnes visées à l’article 706-54 dudit code, conformément aux articles 60, 77-1 et 156 et suivants de ce même code : « s’il y a lieu de procéder à des constatations ou à des examens techniques ou scientifiques, le procureur de la République ou, sur autorisation de celui-ci, l’officier de police judiciaire, a recours à toutes personnes qualifiées ». En application de ces dispositions, les identifications par empreintes génétiques peuvent être réalisées par toute personne habilitée dans les conditions fixées par l’article 16-12 du code civil.
Le traitement projeté repose sur la collecte des informations transmises par le dossier judiciaire, comprenant les scellés, qui contiennent les supports de prélèvements ou les pièces à conviction sur lesquels les analyses seront effectuées et des données relatives à des infractions, ainsi que les résultats des analyses génétiques réalisées. Dès lors, il relève des dispositions du 2° et du 3° de l’article 25-I de la loi du 6 janvier 1978 modifiée et doit donc faire l’objet d’une autorisation de la Commission.
Sur le responsable de traitement :
La mise en œuvre du traitement projeté par le laboratoire TOXGEN relève de la mission d’expertise ordonnée par requête par l’officier de police judiciaire, le procureur de la République ou par ordonnance de mission du juge d’instruction.
Seules les personnes ayant fait l’objet d’un agrément, conformément au décret n° 97-109 susvisé, procèdent à des identifications par empreintes génétiques. Le directeur du laboratoire, inscrit sur la liste des experts judiciaires de la cour d’appel de Bordeaux, a obtenu une décision favorable en date du 8 septembre 2011 par la Commission chargée d’agréer les personnes habilitées à effectuer des missions d’identification par empreintes génétiques dans le cadre d’une procédure judiciaire. Il est ainsi habilité à effectuer des identifications de personnes à partir des empreintes génétiques, conformément à l’article 16-12 du code civil, au sein du laboratoire TOXGEN.
Aux termes de l’article 706-56 du CPP, l’officier de police judiciaire peut « procéder ou faire procéder sous son contrôle » à un prélèvement biologique destiné à permettre l’identification des personnes visées aux alinéas 1 à 3 de l’article 706-54 du même code. Il peut requérir « toute personne habilitée » pour réaliser cette tâche. Ces réquisitions peuvent également être faites par le procureur de la République ou le juge d'instruction. L’article 158 du CPP, relatif aux expertises que toute juridiction d'instruction ou de jugement, dans le cas où se pose une question d'ordre technique, peut ordonner, prévoit quant à lui que la décision qui ordonne l'expertise mentionne la mission confiée à l’expert, en l’espèce l’analyse d’un prélèvement biologique destiné à permettre l'analyse d'identification des empreintes génétiques, sans pour autant préciser les finalités et les moyens du traitement de données à caractère personnel de gestion administrative et technique devant être mis en œuvre pour accomplir cette mission. Les articles 60 et 77-1 du même code confèrent des pouvoirs similaires au procureur de la République et à l’officier de police judiciaire dans le cadre des enquêtes préliminaires ou de flagrance.
Par conséquent, seul le laboratoire détermine les finalités et les moyens de traitement nécessaires pour accomplir sa mission. La Commission considère dès lors que le laboratoire TOXGEN est le responsable du traitement au sens de l’article 3-I de la loi du 6 janvier 1978 modifiée.
Sur la finalité du traitement :
Le traitement envisagé a pour finalité, d’une part, d’assurer la gestion administrative des réquisitions judiciaires aux fins d’analyses d’identification par empreintes génétiques, la gestion des données réceptionnées par l’intermédiaire du dossier judiciaire, l’enregistrement, la conservation et le suivi des renseignements administratifs et des actes techniques réalisés. Il permettra la conservation des informations relatives aux analyses réalisées en prévision d’un éventuel recours en responsabilité à l’encontre du laboratoire, laquelle est de droit commun en application de l’article 2224 du code civil.
D’autre part, le traitement mis en œuvre par le laboratoire TOXGEN permet de réduire les risques d’erreur d’identification en faisant des recherches de contamination. Lors des manipulations techniques d’un échantillon biologique en cours d’analyse réalisées par le personnel du laboratoire, un risque de contamination de cet échantillon est en effet envisageable. Il en résulte que l’identification de la personne mise en cause ou dont l’échantillon biologique a été prélevé sur une scène d’infraction pourrait être perturbée ou entraîner un résultat erroné.
Cette finalité de recherche de contamination nécessite la conservation des empreintes génétiques ainsi que les données d’identité des salariés du laboratoire TOXGEN et des personnes susceptibles d’être en contact avec les échantillons dans le laboratoire (visiteurs, etc.). Le résultat des analyses effectuées est ainsi comparé avec ces données afin de vérifier que le résultat n’est pas erroné.
Enfin, la Commission prend acte que la transmission dématérialisée des résultats d’analyse génétique par les laboratoires, prévue par l’article 706-56 alinéa 3 du  CPP, n’est pas au nombre des finalités poursuivies par le traitement mis en œuvre par le laboratoire TOXGEN. Le traitement permet de gérer exclusivement les aspects administratifs et techniques aboutissant à l’enregistrement des résultats de l’analyse.
La Commission considère que les finalités du traitement sont déterminées, explicites et légitimes, conformément aux dispositions de l’article 6 de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
Les données collectées et enregistrées dans le traitement sont issues de la réquisition ou de l’ordonnance de mission par l’intermédiaire du dossier judiciaire. Il s’agit, en cas de prélèvement sur une personne identifiée, de l’état-civil de la personne concernée (nom, prénoms, date et lieu de naissance) mais aussi des données génétiques et des données relatives à des infractions.
Le laboratoire, agissant en tant qu’expert judiciaire, c’est-à-dire en tant qu’auxiliaire de justice et pour les stricts besoins de l’exercice des missions qui lui sont confiées par la loi, est habilité en application des dispositions de l’article 9-2° de la loi du 6 janvier 1978 modifiée à traiter des données d’infractions (qualification et nature de l’infraction, numéros d’instruction et de procès-verbal, numéro attribué par le parquet et code barre du scellé). La Commission relève que les données relatives à la qualification et à la nature de l’infraction sont nécessaires à la procédure d’analyse des empreintes génétiques dans le cadre d’une réquisition judiciaire, afin de cibler les actes d’analyse à effectuer et de restituer les résultats à l’autorité requérante.
L’état civil ainsi que les données génétiques des victimes peuvent également être collectées, afin de pouvoir les différencier des autres profils.
A la suite de l’analyse d’identification du prélèvement biologique, le profil génétique de l’individu, permettant d’individualiser chaque personne, est inscrit dans le traitement du laboratoire et le résultat est envoyé ensuite au Fichier National Automatisé des Empreintes Génétiques (FNAEG) pour inscription ou comparaison.
Les empreintes génétiques et les données d’identité des agents employés dans le laboratoire TOXGEN ainsi que des autres personnes dont la présence dans le laboratoire est susceptible de contaminer les échantillons d'ADN seront collectées, à des fins de recherche de contamination.
La Commission estime que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le traitement envisagé.
Sur la durée de conservation des données :
Afin d’entourer le traitement des données génétiques de garanties suffisantes, il importe que les garanties prévues par le CPP pour le FNAEG soient apportées au traitement des mêmes données par le laboratoire, notamment s’agissant des données relatives aux infractions, des scellés ou des données relatives à l’identité des personnes concernée par l’analyse.
Ainsi, à titre liminaire, la Commission rappelle que les scellés répondant aux conditions de l’article R. 53-20 du code de procédure pénale ne doivent pas être conservés par le laboratoire TOXGEN, la mission de conservation de ces scellés étant réservée au service central de préservation des prélèvements biologiques (SCPPB).
Elle estime en outre que certaines données devront être supprimées à l’issue de l’analyse et de la transmission des résultats à l’autorité judiciaire.
D’une part, les données relatives à la nature et à la qualification de l’infraction doivent être effacées à l’issue de l’analyse et de la transmission des résultats au FNAEG et du rapport d’expertise à l’autorité requérante. En effet, si ces données, en tant que circonstances dans lesquelles la trace ADN à analyser a été produite, sont utiles pour l’établissement d’un profil à partir de traces, leur conservation une fois les analyses faites n’apparaît plus nécessaire. Elles n’apparaissent pas davantage nécessaire à des fins contentieuses ou si une contre-expertise doit être réalisée, dans la mesure où ces informations seront accessibles si besoin via le dossier de procédure.
D’autre part, en cas d’analyse sur une personne identifiée, l’état-civil de la personne concernée (nom, prénoms, date et lieu de naissance) sera également effacé à l’issue de l’analyse. En cas de contestation du profil établi par le laboratoire TOXGEN, la contre-expertise pourra être réalisée à partir d’un nouveau prélèvement. Il en résulte que ces données ne sont pas nécessaires au-delà de la réalisation de l’analyse au vue des finalités assignées au traitement.
En revanche, certaines données pourront être conservées à l’issue de l’analyse et de la transmission des résultats au FNAEG et du rapport d’expertise à l’autorité requérante, pour une durée de cinq ans, conformément à l’article 2224 du code civil relatif au délai de prescription de l’action civile.
Il s’agit, d’une part, des identifiants de la procédure (numéros d’instruction et de procès-verbal, numéro attribué par le parquet, code barre du prélèvement génétique) et des données relatives au traitement de la réquisition (dates de réception, date de traitement, date de rédaction et de transmission du rapport et des scellés). Il  s’agit, d’autre part, du profil génétique, dès lors que les données se rapportant à la personne concernée ont préalablement été effacées. Le laboratoire peut le conserver à titre de gestion de la preuve, en cas d’erreur ou de dysfonctionnement dans la transmission du profil au FNAEG ou dans l’enregistrement par celui-ci. Le profil génétique initialement établi pourra par ailleurs être identifié par la seule référence au code barre.
La conservation de ces données pendant cinq ans à l’issue des opérations réalisées pour l’identification par empreintes génétiques permettra au laboratoire d’assurer un suivi financier, technique et administratif des affaires traitées et, si besoin, d’identifier les réquisitions traitées à une période donnée en vue de vérifier l’hypothèse d’une éventuelle contamination en cas de contestation du résultat d’une analyse.
À des fins de recherche d’une éventuelle contamination des échantillons analysés, les données des salariés et des visiteurs sont quant à elles conservées deux ans après le départ du salarié ou après la constitution du profil pour les visiteurs.
Afin de s’assurer que les données ne seront pas utilisées à d’autres fins que celles prévues, la Commission rappelle qu’une séparation doit être effectuée sur le serveur de stockage du laboratoire entre les dossiers en cours et ceux conservés aux fins probatoires dans une éventuelle procédure contentieuse. Ainsi, les dossiers en cours doivent être accessibles tout le temps de la procédure et les dossiers archivés doivent être conservés sur un serveur sécurisé indépendant, dont l’accès n’est ouvert qu’en cas de contentieux pour retrouver les données de l’opération en cause et, si besoin, d’identifier les réquisitions et ordonnances de commission d’expert traitées à une période donnée, qu’aux seules personnes spécifiquement habilitées.
La Commission considère que ces durées de conservation sont conformes aux dispositions de l’article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les destinataires des données :
Les personnes habilitées à accéder aux données enregistrées dans le traitement sont des salariés du laboratoire TOXGEN ayant suivi une période de formation et faisant l’objet d’une habilitation technique spécifique. Afin de se conformer aux exigences de l’article 34 de la loi du 6 janvier 1978 modifiée, les accès à l’application doivent être protégés par des profils d’habilitation et par un mot de passe renouvelé tous les six mois. Celui-ci doit être d’une longueur minimale de huit caractères et contenir des lettres minuscules et majuscules, des chiffres et des caractères spéciaux.
Les autres destinataires des données collectées et conservées dans le traitement mis en œuvre par le laboratoire TOXGEN sont les magistrats, les juges et les procureurs de la République ainsi que les officiers de police judiciaire ayant formulé la réquisition ou l’ordonnance de commission d’expert, conformément aux articles 60, 77-1, 156 et suivants et à l’article 706-56 du Code de procédure pénale.
Ces destinataires n’appellent pas d’observation de la part de la Commission.
Sur les droits des personnes :
Le traitement est mis en œuvre dans le cadre d’une procédure judiciaire, soumis au secret de l’instruction prévu par l’article 11 du code de procédure pénale. Dès lors, l’information des personnes concernées par une procédure judiciaire s’avère impossible, au titre du secret de l’instruction, au sens de l’article 32-III de la loi du 6 janvier 1978 modifiée, ce qui exonère le laboratoire TOXGEN de son obligation d’information.
En revanche, les personnels du laboratoire ainsi que les visiteurs devront être informés des modalités d’exercice de leurs droits d’accès et de rectification.
S’agissant du recueil du consentement des salariés du laboratoire TOXGEN, la Commission rappelle que celui-ci n’est pas nécessaire dans la mesure où le laboratoire, en tant qu’auxiliaire de justice, participe à la mission de service public de la justice. La Commission estime que le laboratoire devrait toutefois obtenir, dans une démarche positive, le plein accord des personnes concernées.
En outre, les droits d’opposition pour motifs légitimes, d’accès et de rectification, prévus aux articles 38 à 40 de la loi du 6 janvier 1978 modifiée, s’exercent directement auprès du laboratoire TOXGEN, sous réserve qu’ils ne portent pas atteinte au bon déroulement des procédures en cours.
Sur la sécurité des données et la traçabilité des actions :
Au sein du laboratoire, environ dix personnes sont habilitées à accéder aux données collectées et traitées. Seules deux personnes sont habilitées à l’administration de ces données et à la gestion des habilitations d’accès (le responsable informatique et la personne nommément habilitée à l’expertise génétique judiciaire).
Pour les modalités de contrôle d’accès logique, le laboratoire s’engage à respecter les recommandations de la Commission sur la gestion des mots de passe.
La Commission recommande la mise en œuvre de trois niveaux d’habilitation distincts pour :
- l’accès à la base de données active contenant les dossiers en cours d’expertise et les données utiles pour la recherche de contamination ;
- l’accès à une base de données intermédiaire distincte contenant les dossiers clos dans lesquels les analyses ont été effectuées et dont des informations peuvent être demandées ultérieurement ;
- l’accès aux données archivées sur support externe conservé dans un coffre sécurisé.
Elle rappelle en outre la nécessité d’apporter des mesures de sécurité renforcées concernant les résultats des analyses génétiques. Afin de se conformer à cette exigence, elle recommande au laboratoire TOXGEN d’appliquer une mesure de chiffrement sur ces données ou toute autre mesure équivalente, à l’état de l’art et dont les risques de sécurité sont régulièrement réévalués.
Enfin, la Commission relève que l’absence de journalisation des accès et des actions sur les données est liée à une incapacité de l’outil logiciel utilisé. Elle prend acte de l’engagement du laboratoire TOXGEN à faire évoluer les outils utilisés dans les meilleurs délais afin d’être en capacité d’effectuer une telle journalisation.
Au regard des mesures relevées et des engagements du laboratoire TOXGEN, les mesures de sécurité mises en place sont donc conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée.
La Commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Dans ces conditions, la Commission autorise le laboratoire TOXGEN à mettre en œuvre un traitement de données à caractère personnel ayant pour finalité la gestion des données administratives et techniques relatives à l’établissement d’empreintes génétiques dans le cadre des expertises judiciaires.
La Présidente
I. FALQUE-PIERROTIN