La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le décret n° 2011-110 du 27 janvier 2011 autorisant la création d'un traitement automatisé de données à caractère personnel dénommé Logiciel de rédaction des procédures de la police nationale (LRPPN) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment ses articles 230-6 à 230-11, 803-1, R. 40-23 à R. 40-34 et R. 15-33-77 à R. 15-33-82 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 30 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2011-110 du 27 janvier 2011 portant création d'un traitement automatisé de données à caractère personnel dénommé LRPPN 2 ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis relative à un projet de décret modifiant le décret n° 2011-110 du 27 janvier 2011 portant création d'un traitement automatisé de données à caractère personnel dénommé LRPPN 2. Les modifications projetées visent à ajouter de nouvelles données. Conformément aux dispositions des articles 26 et 30 de la loi du 6 janvier 1978 modifiée, les modifications des dispositions relatives au traitement LRPPN 2 doivent faire l'objet d'un décret en Conseil d'Etat pris après avis motivé et publié de la commission.
L'article ler du projet de décret vise tout d'abord à modifier l' annexe du décret du 27 janvier 2011 susvisé afin d'enregistrer dans LRPPN 2 l'adresse de messagerie et les numéros de téléphone des personnes physiques mises en cause et victimes, des témoins et des plaignants, des personnes faisant l'objet d'une enquête pour recherches des causes de la mort ou d'une disparition ainsi que des personnes physiques faisant l'objet d'une enquête administrative.
En premier lieu, la commission relève, s'agissant des victimes, que cette modification s'inscrit dans le cadre de l' article 803-1 du code de procédure pénale (CPP), permettant la mise en œuvre de la communication électronique en matière pénale.
Depuis 2007, l'article 803-1 du CPP permet l'utilisation de moyens de communication électronique au cours de la procédure pénale entre les avocats des parties et les autorités judiciaires. L'article 14 de la loi du 16 février 2015 susvisée a complété cet article 803-1 du CPP afin de généraliser le recours à la communication électronique au cours de la procédure pénale.
Le CPP détaille les cas dans lesquels il peut être recouru à la communication électronique, les conditions préalables au recours à cette communication électronique ainsi que, pour certains types d'envoi, des contraintes techniques spécifiques, notamment d'horodatage à valeur probante. Par ailleurs, l'article 803-1 du CPP prévoit que l'envoi par voie électronique ne peut intervenir qu'à la condition que la personne y ait préalablement consenti par une déclaration expresse recueillie au cours de la procédure, cet accord devant préciser le mode de communication électronique accepté par la personne (en pratique, l'envoi de messages écrits au numéro de téléphone indiqué ou l'envoi de courriels à une adresse de messagerie électronique).
Cette nouvelle fonctionnalité a dans un premier temps été expérimentée sur un périmètre très réduit et s'est notamment appuyée sur la pré-plainte en ligne. Au moment du dépôt de la pré-plainte en ligne, la personne concernée saisit son adresse électronique et son numéro de téléphone portable, qui sont intégrées aux logiciels de rédaction des procédures lors de l'entretien d'officialisation lequel permet de valider la déclaration en ligne. Les enquêteurs recueillent, conformément aux exigences de l'article 803-1 du CPP, le consentement de la personne concernée pour la mise en œuvre de la communication électronique pénale.
Ces données sont ensuite transmises, via des échanges inter-applicatifs, au traitement Cassiopée. De cette manière, l'utilisateur de Cassiopée pourra générer un courrier électronique à destination de la personne concernée afin de l'aviser des suites de la procédure la concernant.
Or, pour permettre la mise en œuvre concrète de cette communication électronique en matière pénale, les autorités judiciaires doivent disposer au sein de Cassiopée de l'adresse électronique et des numéros de téléphone de la personne concernée. En pratique, les logiciels de rédaction de procédure de la police et de la gendarmerie nationales (LRPPN 2 et LRPGN) permettent une transmission automatisée au parquet des informations contenues dans les procédures judiciaires, par l'intermédiaire d'une interconnexion avec le traitement Cassiopée. Dès lors, ce sont ces logiciels de rédaction des procédures qui vont enrichir le traitement Cassiopée des données nécessaires à la mise en œuvre de cette fonctionnalité de communication électronique en matière pénale (adresse électronique et numéros de téléphone).
Dans ce contexte, l' annexe au décret n° 2011-110 du 27 janvier 2011 relative aux données collectées doit être modifiée afin de prévoir la collecte et l'enregistrement de ces données dans LRPPN 2.
La commission estime, s'agissant des victimes, que ces données sont adéquates, pertinentes et non excessives au regard des finalités assignées au traitement LRPPN 2, l'article 1er du décret du 27 janvier 2011 faisant expressément de LRPPN 2 un vecteur d'alimentation d'autres traitements.
Néanmoins, dans la mesure où il s'agit notamment de mettre en œuvre l'article 803-1 du CPP, la commission estime qu'il conviendrait également d'ajouter, au titre des données enregistrées, l'accord de la personne concernée pour la mise en œuvre de la communication électronique pénale. En effet, le consentement de la personne de la personne est une condition préalable nécessaire au recours à la communication électronique en matière pénale, expressément prévue par l'article 803-1 du CPP. Elle prend dès lors acte de l'engagement de modifier le projet de décret afin d'ajouter, au titre des données collectées, l'accord de la personne concernée pour la mise en œuvre de la communication électronique pénale, dans les conditions prévues au II de l'article 803-1 .
En deuxième lieu, la commission relève que la communication électronique peut concerner les parties à la procédure (parties civiles, personnes mises en examen, témoins assistés, prévenus), les personnes concernées par cette procédure qui ne sont pas des parties (témoins), ainsi que les personnes condamnées.
Elle prend dès lors acte que, si la communication électronique en matière pénale est pour l'instant limitée aux victimes, l'enregistrement des numéros de téléphone et de l'adresse de messagerie concernant ces catégories de personnes vise à anticiper les évolutions fonctionnelles de LRPPN et la mise en œuvre généralisée de cette communication électronique. La commission demande à être informée, conformément aux dispositions de l'article 30 de la loi du 6 janvier 1978 modifiée, du déploiement progressif de cette fonctionnalité.
Le ministère précise par ailleurs que, au-delà la mise en œuvre de la communication électronique en matière pénale, ces données constituent des éléments faisant l'objet d'investigations de la part des enquêteurs et permettant soit de confondre les auteurs de faits, de déterminer la présence de complice ou a contrario de mettre hors de cause des personnes initialement mises en cause. La commission relève enfin, par comparaison, que ces données sont enregistrées dans le logiciel de rédaction des procédures de la gendarmerie nationale (LRPGN), la collecte de ces données n'ayant fait l'objet d'aucune réserve de sa part.
En troisième lieu, l'enregistrement de ces mêmes données concernant les personnes faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition répond, pour le ministère de l'intérieur, à des besoins opérationnels et ne s'inscrit dès lors pas dans le cadre de la communication électronique en matière pénale. Ces données peuvent ainsi permettre de procéder à la géolocalisation du matériel et d'identifier les interlocuteurs de la personne disparue ou décédée.
En dernier lieu, la collecte de l'adresse de messagerie et des numéros de téléphone concernant les personnes physiques faisant l'objet d'une enquête administrative répond, d'après le ministère, à un besoin opérationnel. Il s'agit ainsi de faciliter et de fluidifier les échanges entre les services de police et les personnes concernées. La commission rappelle que des mesures de sécurité adéquates doivent être prises pour assurer la sécurité et la confidentialité des échanges intervenant dans le cadre des enquêtes administratives. Elle estime qu'il est d'autant plus nécessaire d'entourer ces échanges électroniques de mesures de sécurité strictes et de définir des procédures internes en la matière que ces échanges, contrairement à ceux prévus dans le cadre de la communication électronique en matière pénale, ne font l'objet d'aucun encadrement.
Par ailleurs, il est prévu d'ajouter, au titre des données collectées, des données relatives à la garde à vue (date et heure du début de la garde à vue, date et heure des prolongations de la garde à vue, date et heure de fin de la mesure). La commission relève que cette modification s'inscrit dans le cadre de l'alimentation, par LRPPN 2, du traitement dénommé Informatisation de la garde à vue (IGAV), créé par décret du 26 octobre 2016 susvisé pris après avis motivé et publié de la commission.
Dans son avis en date du 26 mai 2016, la commission avait ainsi relevé que le traitement iGAV, qui repose sur l'utilisation d'une application nationale, doit être interconnecté avec les logiciels de rédaction de procédures de la police et de la gendarmerie nationale (LRPPN 2 et LRPGN), créés par les décrets du 27 janvier 2011 susvisés. Il est ainsi prévu que les données concernant l'identité de la personne, son placement en garde à vue, les éventuelles prolongations et la fin de la mesure soient importées de ces traitements .
L'enregistrement de ces données dans LRPPN n'appelle dès lors pas d'observation de la part de la commission.
Pour la présidente :
Le vice-président délégué,
M.-F. Mazars