La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret modifiant le décret n° 87-249 du 8 avril 1987 modifié relatif au fichier automatisé des empreintes digitales géré par le ministre de l'intérieur ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L. 611-1-1, L. 611-4 et L. 611-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26 et 27 ;
Vu la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure ;
Vu la loi n° 2012-1560 du 31 décembre 2012 relative à la retenue pour vérification du droit au séjour et modifiant le délit d'aide au séjour irrégulier pour en exclure les actions humanitaires et désintéressées ;
Vu le décret n° 87-249 du 8 avril 1987 modifié relatif au fichier automatisé des empreintes digitales (FAED) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2012-125 du 30 janvier 2012 relatif à la procédure extrajudiciaire d'identification des personnes décédées,
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis portant sur un projet de décret en Conseil d'Etat modifiant le décret n° 87-249 du 8 avril 1987 modifié relatif au fichier automatisé des empreintes digitales (FAED).
Le FAED, commun à la police et à la gendarmerie nationale, est un fichier de police judiciaire dit d'identification, qui ne peut actuellement être utilisé à des fins de police administrative. Il a pour finalités de faciliter la recherche et l'identification, par les services de police judiciaire, des auteurs de crimes et de délits et de faciliter la poursuite, l'instruction et le jugement des affaires dont l'autorité judiciaire est saisie. Plus précisément, il permet d'identifier les auteurs de crime ou de délit, par comparaison biométrique des traces et empreintes relevées sur des lieux de commission d'infractions, et de s'assurer de la véritable identité des personnes mises en cause dans une procédure pénale ou condamnées à une peine privative de liberté, afin d'éviter les erreurs judiciaires et de détecter les fausses identités et les cas de récidive.
Les modifications envisagées visent notamment à prendre en compte de nouvelles dispositions législatives, qui ont assigné de nouvelles finalités au FAED. Par ailleurs, les modalités d'exercice des droits des personnes, principalement le droit d'effacement des données, sont substantiellement modifiées, afin de se conformer à l'arrêt de la Cour européenne des droits de l'homme (CEDH) M.K. c. France du 18 avril 2013. Le ministère a donc procédé à une refonte du décret du 8 avril 1987 modifié afin de tirer les conséquences de ces évolutions et, d'une manière générale, de rendre ce décret plus lisible,
En application des dispositions des articles 26, 27 et 30 de la loi du 6 janvier 1978 modifiée, ces modifications doivent faire l'objet d'un décret en Conseil d'Etat pris après avis motivé et publié de la commission.
Sur les finalités du traitement :
La commission relève tout d'abord que l'article 1er du décret, tel que prévu par le projet de décret, listera désormais de manière exhaustive les finalités assignées au FAED, lesquelles n'apparaissent dans le décret du 8 avril 1987 modifié qu'au travers des données pouvant être enregistrées et non à l'article 1er relatif aux finalités assignées au FAED. Ces modifications rendent ainsi le dispositif plus lisible.
Elle relève en premier lieu que la finalité de  faciliter la poursuite, l'instruction et le jugement des affaires dont l'autorité judiciaire est saisie  est modifiée afin de faire apparaître un champ infractionnel limité.
Dans sa décision du 18 avril 2013 (Affaire M.K. c. France), la CEDH a en effet relevé qu'il n'est pas clairement indiqué que cette finalité se limite aux crimes et délits. En visant également  les personnes, mises en cause dans une procédure pénale, dont l'identification s'avère nécessaire  (article 3 [2°] du décret en vigueur), le texte serait susceptible d'englober de facto toutes les infractions, y compris les simples contraventions, dans l'hypothèse où cela permettrait d'identifier des auteurs de crimes et de délits selon l'objet de l'article 1er du décret.
Aussi, afin de prendre en compte cet arrêt, le ministère envisage de mentionner expressément le caractère criminel et délictuel des affaires dont est saisie l'autorité judiciaire. Les contraventions sont donc exclues du FAED, tant au stade de la consultation de ce dernier que de l'enregistrement des empreintes dans ce traitement, ce qui constitue une évolution notable du traitement dont la commission prend acte.
En deuxième lieu, de nouvelles finalités sont assignées au FAED.
Ainsi, le fichier permettra désormais de  faciliter l'identification des personnes décédées et des personnes découvertes grièvement blessées dont l'identification n'a pu être établie . La loi du 14 mars 2011 (dite  LOPPSI II ) a en effet permis le recueil et l'exploitation des empreintes digitales aux fins d'identification de cadavres non identifiés ou en cas de découverte de personnes disparues en dehors de toute procédure pénale. Le décret susvisé du 30 janvier 2012 précise les modalités de recueil de ces données.
Le FAED pourra donc être utilisé dans le cadre d'enquêtes diligentées en application de l'article 74 du CPP ainsi que dans les procédures extrajudiciaires d'identification des personnes décédées, notamment, selon les précisions du ministère de l'intérieur, pour les décès intervenus lors de catastrophes naturelles.
En outre, deux nouvelles finalités sont assignées au FAED, qui permettent uniquement la collecte des empreintes aux fins de comparaison avec celles déjà enregistrées dans le FAED, mais non leur enregistrement dans le fichier. Il s'agit, d'une part, de  garantir le droit au séjour des ressortissants étrangers en situation irrégulière et de lutter contre l'entrée et le séjour irrégulier en France des ressortissants étrangers  et, d'autre part, de  permettre l'identification des personnes dans le cadre de la procédure de vérification d'identité de l'article 78-3 du code de procédure pénale .
Il s'agit ainsi d'intégrer la nouvelle procédure de vérification du droit au séjour des étrangers dans le décret relatif au FAED et de formaliser la procédure prévue à l'article 78-3 du CPP (vérification d'identité).
La loi du 31 décembre 2012 susvisée a en effet créé un dispositif similaire à la retenue pour vérification d'identité prévue à l'article 78-3 du CPP. Cette nouvelle mesure de retenue administrative pour vérification du droit au séjour d'un étranger permet de retenir un étranger qui ne peut pas justifier de son droit de séjourner en France ou qui refuse de le faire (article L. 611-1-1 du code de l'entrée et du séjour des étrangers et du droit d'asile - CESEDA). Si l'étranger ne fournit pas d'éléments permettant d'apprécier son droit de circulation ou de séjour, les opérations de vérification peuvent donner lieu, après information du procureur de la République, à la prise d'empreintes digitales ou de photographies lorsque celle-ci constitue l'unique moyen d'établir la situation de cette personne.
La commission observe que cette consultation du FAED à des fins administratives a été expressément autorisée par le législateur. Elle relève en outre qu'elle ne donnera pas lieu à enregistrement des empreintes dans le FAED, ce qui est une garantie importante et cohérente au regard de l'objet de ce fichier : le FAED n'a en effet pas pour finalité de conserver en mémoire les empreintes digitales des personnes dont le séjour irrégulier est soupçonné ou même avéré, ce seul séjour n'étant d'ailleurs pas constitutif d'une infraction.
La commission estime que les finalités assignées au FAED sont déterminées, explicites et légitimes, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Sur la nature des données traitées :
L'article 3 du projet de décret, relatif aux données collectées, modifie l'actuel article 3 du décret du 8 avril 1987 afin de prendre en compte les nouvelles finalités assignées au FAED.
D'une part, seront désormais collectées les traces relevées dans le cadre des enquêtes relevant de l'article 74 du CPP. Les traces correspondent à des empreintes dont le  propriétaire  n'est pas identifié. La commission prend acte des justifications apportées par le ministère, à savoir que l'enregistrement immédiat des traces et indices ainsi relevés s'inscrit dans le cadre des articles 55 (protection de la scène de crime) et 55-1 (opérations de prélèvements externes) du CPP. Elle estime que cet ajout est pertinent au regard des nouvelles finalités assignées au traitement, puisque l'article 1er tel que prévu par le projet de décret prévoit que pourra être autorisé le traitement des traces et empreintes  en vue de faciliter l'identification des personnes décédées et des personnes découvertes grièvement blessées dont l'identité n'a pu être établie .
D'autre part, la nouvelle utilisation du FAED à des fins d'identification des personnes décédées et des personnes découvertes grièvement blessées dont l'identité n'a pu être établie nécessite la collecte de nouvelles empreintes digitales et palmaires. Seront ainsi désormais collectées et enregistrées dans le FAED les empreintes digitales et palmaires de telles personnes relevées dans le cadre judiciaire (3° de l'article 3 du projet d'article 3°) ainsi que celles relevées dans le cadre des procédures extrajudiciaires d'identification des personnes décédées (6° de l'article 3 du projet d'article 3).
La commission estime que les données sont pertinentes et non excessives au regard des finalités assignées au traitement et relève qu'un effacement anticipé de celles-ci est en outre prévu lorsque le service gestionnaire du FAED est informé de l'identification de la personne concernée.
Les traces et les empreintes sont accompagnées d'informations, définies à l'article 4 du projet de décret. Ces données sont associées aux données biométriques lors des opérations de signalisation. Elles sont relatives à la personne concernée (lorsqu'elle est identifiée), au service ayant procédé au relevé et à la procédure. D'une manière générale, elles sont identiques à celles énumérées dans l'actuel décret, la seule modification notable visant à prendre en compte le cas des cadavres ou des personnes découvertes blessées dont l'identité n'a pu être établie.
Enfin, la commission relève que le projet de décret ne prévoit pas de disposition spécifique relative à la collecte et au traitement des données et empreintes des personnes mineures, alors même que le FAED est un traitement de police judiciaire qui contient des données biométriques, d'une particulière sensibilité.
Interrogé sur les modalités de traitement de ces données, le ministère a précisé que, dans le cadre d'une procédure judiciaire diligentée à l'encontre d'un mineur, l'autorité judiciaire procède à une appréciation au cas par cas, ce qui constitue pour lui une modalité de traitement des données et des empreintes digitales adaptée aux caractéristiques de la délinquance des mineurs.
La commission estime que ce pouvoir d'appréciation du procureur de la République, qui devrait prendre en compte plusieurs critères, comme par exemple l'âge du mineur au moment des faits, la gravité de l'infraction ou les éventuels antécédents judiciaires, et qui permet de garantir que les données relatives aux mineurs ne seront pas systématiquement enregistrées, devrait expressément apparaître dans le projet de décret.
Sur la durée de conservation des données :
L'article 5 du décret du 8 avril 1987 en vigueur prévoit une durée de conservation des données de principe de 25 ans, s'il n'a pas été préalablement procédé à leur effacement (à la demande de la personne concernée ou si le service gestionnaire du traitement a été informé du décès de la personne en cause ou de sa découverte, lorsqu'il s'agit d'une personne disparue). Cette même durée de conservation s'applique également aux informations transmises par les organismes de coopération internationale ou par un service de police étranger.
A la suite des demandes de la commission, le projet de décret modifie substantiellement les dispositions relatives aux durées de conservation. La commission relève en effet que la durée de conservation des données à caractère personnel est désormais proportionnée à la gravité des infractions concernées, ce qui constitue une évolution importante par rapport aux dispositions actuelles du décret du 8 avril 1987 modifié. Le ministère a ainsi prévu des durées différentes, variant de 10 à 25 ans, selon plusieurs critères : la nature de l'infraction, la qualité de la personne (âge de la personne concernée, personne détenue ou mise en cause, cadavre ou personne non identifiée) et l'origine des données (organisme international ou procédure nationale).
En premier lieu, le projet de décret prévoit expressément une durée de conservation des traces enregistrées dans le FAED, ce qui n'est pas le cas dans le décret actuellement en vigueur. Les traces seront ainsi conservées 15 ans par principe, indépendamment de la prescription de l'action publique, avec possibilité d'allonger cette durée de conservation dans certains cas. A cet égard, le 10 de l'article 5 du décret modifié indique qu'un allongement de la durée de conservation des traces au-delà des 15 ans peut être décidé par le procureur de la République ou le magistrat instructeur, sans que le ministère n'ait apporté de précisions sur les éventuels critères justifiant cet allongement. La commission estime dès lors que le projet de décret devrait être clarifié sur ce point.
En deuxième lieu, les durées de principe les plus longues (25 ans) concernent les cadavres non identifiés (ainsi que les personnes découvertes grièvement blessées dont l'identité n'a pu être établie), que ce soit dans un cadre judiciaire ou extrajudiciaire. La commission estime que cette durée de conservation, particulièrement longue, est pertinente au regard des finalités pour lesquelles les données ont été collectées, d'autant qu'elles sont effacées lorsque le service gestionnaire est informé de l'identification de la personne.
Cette durée de conservation de 25 ans est également applicable aux données collectées dans le cadre d'une procédure portant sur les infractions d'une particulière gravité (ce qui recouvre les infractions de nature sexuelle à l'encontre d'un mineur et celles liées à la criminalité et à la délinquance organisées), aussi bien pour les traces que pour les empreintes digitales. Cette durée est également applicable aux données transmises par les organismes de coopération internationale, conformément à ce qui est actuellement prévu dans ce même décret.
En troisième lieu, le ministère a prévu des durées spécifiques aux données relatives aux mineurs, plus courtes, ce dont la Commission se félicite. Elle rappelle en effet que dans sa décision n° 2010-25 QPC du 16 septembre 2010 relative au FNAEG, le Conseil constitutionnel a formulé une réserve d'interprétation, en considérant qu' il appartient au pouvoir réglementaire de proportionner la durée de conservation de ces données personnelles, compte tenu de l'objet du fichier, à la nature ou à la gravité des infractions concernées tout en adaptant ces modalités aux spécificités de la délinquance des mineurs .
Enfin, les données et empreintes peuvent être effacées avant l'expiration de ces durées de conservation dans les conditions prévues aux articles 7 et 7-1 du décret ou si le service gestionnaire est informé de la découverte de la personne disparue, du décès de la personne concernée ou de l'identification de la personne concernée.
Au regard de l'ensemble de ces éléments, la commission considère que ces durées de conservation modulées sont conformes aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée et répondent par ailleurs aux observations formulées par le Conseil constitutionnel dans sa décision du 16 septembre 2010 susmentionnée.
Elle relève néanmoins que l'application de ces durées de conservation est différée au ter mars 2017, dans l'attente notamment de la mise en œuvre de l'interconnexion avec le traitement Cassiopée du ministère de la justice. Elle invite dès lors les ministères concernés à mettre en œuvre cette interconnexion dans les meilleurs délais, afin de garantir une mise à jour effective des données et le respect de ces nouvelles durées de conservation, et rappelle par ailleurs que la mise à jour devra porter sur les données déjà existantes enregistrées dans le FAED.
Sur les destinataires des données :
L'article 8 du décret du 8 avril 1987 modifié distingue les personnels habilités à accéder aux données à caractère personnel et aux informations contenues dans le traitement pour procéder aux opérations d'identification à la demande de l'autorité judiciaire, des officiers de police judiciaire de la police nationale ou de la gendarmerie nationale, ou des agents des douanes habilités à effectuer des enquêtes judiciaires, de ceux habilités à recevoir communication des résultats des opérations d'identification dont ils ont demandé la réalisation en vue des finalités définies à l'article 1er du décret.
Le projet de décret modifie cet article, afin de prévoir, conformément aux nouvelles finalités assignées au FAED, que les personnels habilités à accéder aux données enregistrées peuvent y accéder aux fins de réaliser les nouvelles opérations d'identification (2°, 3° et 4° du nouvel article 8) correspondant à ces nouvelles finalités.
De même, l'article 9 du projet de décret crée un nouvel article 8-1 relatif aux personnels habilités à recevoir communication de données enregistrées dans le FAED, afin de prévoir de nouveaux destinataires, conformément aux nouvelles finalités. Les officiers de police judiciaire de la police et de fa gendarmerie nationales et les agents des douanes habilités à effectuer des enquêtes judiciaires en application de l'article 28-1 du CPP ayant demandé la réalisation d'opération de vérification d'identité au titre de l'article 78-3 du CPP et de l'article L. 611-1-1 du CESEDA pourront ainsi être destinataires des résultats. Il en est de même pour les personnels ayant demandé la réalisation d'opération d'identification dans le cadre d'une procédure extrajudiciaire d'identification de personnes décédées.
La commission estime que ces personnels ont un intérêt légitime à connaître des données collectées.
Sur les droits des personnes :
Les dispositions du projet de décret relatif aux modalités d'exercice des droits d'accès et de rectification, qui s'exerceront de manière directe (article 6), n'appellent pas d'observation particulière de la part de la commission. Il en est de même de l'exclusion du droit d'opposition, prévue par l'article 6 du projet de décret.
Conformément à l'article 32-VI de la loi du 6 janvier 1978 modifiée, le droit d'information ne s'applique pas aux traitements de données ayant pour objet fa prévention, la recherche, la constatation ou la poursuite d'infractions pénales, comme cela est le cas du FAED. Toutefois, la commission appelle l'attention du ministère sur la nécessité, pour les personnes concernées, de connaître les modalités d'exercice de leurs droits telles que ces dernières sont prévues par le présent projet de décret. Cette information est en effet un préalable nécessaire à l'exercice des droits d'accès, de rectification et d'effacement, qui constituent des garanties essentielles à la proportionnalité du dispositif.
Les modalités d'effacement des données à la demande de la personne concernée sont substantiellement modifiées par le projet de décret, notamment afin de prendre en compte la décision précitée de la CEDH.
En premier lieu, le projet de décret rappelle le principe d'effacement des données et des empreintes palmaires et digitales des personnes mises en cause ou détenues, à leur demande, lorsque leur conservation n'apparaît plus nécessaire pour des raisons liées à la finalité du fichier (alinéa 2 du nouvel article 7-1). Le projet de décret précise désormais les critères permettant d'apprécier l'opportunité de l'effacement des données ou de leur maintien dans le FAED : il s'agit de la  nature ou des circonstances de commission de l'infraction ou de la personnalité de la personne concernée .
En deuxième lieu, et afin de se mettre en conformité avec la décision de la CEDH, le projet de décret prévoit des cas d'effacement anticipé à la demande de la personne concernée, en cas de  suite favorable  à la procédure judiciaire concernée.
Ainsi, en cas de décision de relaxe ou d'acquittement devenue définitive, les empreintes digitales et palmaires ainsi que les données sont effacées de plein droit sur demande de l'intéressé. La commission estime que cette disposition constitue une garantie essentielle pour les personnes concernées. Ainsi, en ne prévoyant pas la possibilité pour le procureur de la République de maintenir ces données dans le FAED pour des raisons liées aux finalités assignées au FAED, le projet de décret opère une distinction fondée sur l'existence ou non d'une condamnation, écartant le risque de stigmatisation relevé à plusieurs reprises par la CEDH.
En cas de décision de non-lieu, de classement sans suite pour absence d'infraction, pour insuffisance de charges ou pour auteur inconnu, les empreintes sont effacées, sauf si le procureur de la République en prescrit le maintien pour des raisons liées à la finalité du fichier (au regard des éléments cités précédemment).
La commission relève que cette modification permet de prendre en compte la réserve de la CEDH à ce sujet, qui relevait que le décret du 8 avril 1987 modifié n'opérait aucune distinction fondée sur l'existence ou non d'une poursuite par le ministère public.
En ce qui concerne les classements sans suite pour d'autres motifs, c'est-à-dire ceux qui, d'une manière générale, ne permettent pas d'écarter la responsabilité de la personne concernée dans la commission des faits, la commission relève qu'ils font l'objet du régime d'effacement de droit commun prévu au deuxième alinéa du nouvel article 7-1. Il en est de même des différentes décisions d'irresponsabilité pénale pour cause de trouble mental, qui ne constituent plus un motif de non-lieu ou de classement sans suite depuis 2008.
Enfin, un nouveau cas d'effacement a été ajouté : en cas d'identification de la personne découverte grièvement blessée dont l'identité n'avait pas pu être établie ou de la découverte de la personne disparue, les empreintes et les données sont effacées de plein droit à la demande de la personne concernée.
Cette disposition est complémentaire de l'article 5 du décret FAED tel que modifié par le projet de décret : l'article 5 prévoit en effet que les traces et informations mentionnées au 1° et 3° de l'article 3 sont effacées par le service gestionnaire dès réception par celui-ci d'un avis l'informant de la découverte ou de l'identification de la personne concernée. Dès lors, même en cas de non-transmission de cet avis, la personne concernée pourra demander l'effacement de ses données en application de l'article 7-1.
Enfin, la commission relève que le projet de décret est muet sur les modalités d'effacement des données et des empreintes digitales et palmaires relevées dans le cadre des procédures extrajudiciaires d'identification des personnes décédées, prévues au 6° de l'article 3. Or, la conservation de ces données une fois la personne identifiée semble disproportionnée au regard de la finalité pour laquelle les données ont été collectées. Par ailleurs, il semble nécessaire de prévoir la possibilité, pour la famille de la personne décédée, de pouvoir demander l'effacement des données, dans les cas où le service gestionnaire n'aurait pas été informé de l'identification de la personne. La commission prend acte de l'engagement du ministère de modifier le projet de décret en ce sens.
A titre général, les modalités d'exercice de ce droit d'effacement (requête adressée au procureur, dont la décision est susceptible de recours devant le juge des libertés et de la détention puis devant le président de la chambre de l'instruction) ne sont pas modifiées. La commission relève que l'article 7-1 du décret du 8 avril 1987 modifié est en effet précis à ce sujet, détaillant la procédure à suivre.
Sur la sécurité des données et la traçabilité des actions :
Aucune modification relative aux mesures de sécurité encadrant le traitement n'a été portée à la connaissance de la commission.
Le nouveau projet de décret prévoit néanmoins, en son article 10, que le FAED pourra être interconnecté avec le traitement Cassiopée du ministère de la justice, dont les conditions de mise en œuvre sont prévues aux articles 48-1 et R. 15-33-66-4 à R. 15-33-66-13 du code de procédure pénale,  aux seules fins d'alimentation et de mise à four  du FAED.
La commission relève que cette interconnexion permettra une mise à jour effective du FAED, notamment s'agissant des suites judiciaires et de la qualification des infractions, qui conditionne les durées de conservation des données.
Toutefois, aucune précision sur les modalités techniques et les mesures de sécurité entourant cette interconnexion n'a été portée à la connaissance de la commission, qui n'est donc pas en mesure d'apprécier sa conformité au regard des exigences de sécurité prévues par l'article 34 de la loi du 6 janvier 1978 modifiée.
Les modalités pratiques de mise en œuvre de cette interconnexion n'ont en effet, à ce stade, pas encore été déterminées par les ministères de l'intérieur et de la justice, justifiant d'ailleurs l'entrée en vigueur différée au 1er mars 2017 du nouvel article 5 relatif aux durées de conservation.
Au regard de l'importance de cette interconnexion dans la mise à jour du FAED, la commission demande à recevoir au plus vite ces spécifications techniques, afin de lui permettre d'examiner leur conformité aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
La présidente,
I. Falque-Pierrotin