La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet d’arrêté autorisant la création d’un traitement de données à caractère personnel dénommé gestion des contrôles judiciaires (GECOJ) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code de procédure pénale et notamment ses articles 138 et R. 17-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu l’ordonnance n° 45-174 du 2 février 1945 relative à l’enfance délinquante ;
Vu le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu l’arrêté du 22 août 2012 autorisant la création de traitements de données à caractère personnel dénommés contrôle judiciaire ;
Vu la délibération n° 2012-059 du 8 mars 2012 portant avis sur un projet d’arrêté autorisant la création de traitements de données à caractère personnel dénommés contrôle judiciaire ;
Après avoir entendu Mme Sophie LAMBREMON, commissaire en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie pour avis par le ministre de l’intérieur d’un projet d’arrêté autorisant la création d’un traitement de données à caractère personnel dénommé gestion des contrôles judiciaires (GECOJ).
Le traitement projeté vise à centraliser au sein d’un dispositif unique, l’ensemble des contrôles judiciaires prononcés en matière de terrorisme impliquant, pour la personne concernée, une obligation de se présenter régulièrement dans un service de police ou de gendarmerie, conformément à l’article 138 du code de procédure pénale. Ce traitement a par ailleurs vocation à centraliser les contrôles judiciaires prononcés par les juridictions parisiennes en matière de droit commun.
La Commission relève qu’elle s’est déjà prononcée sur un projet d’arrêté autorisant la création de traitements de données à caractère personnel dénommés contrôle judiciaire . L’arrêté du 22 août 2012 susvisé, qui encadre la mise en œuvre de ces traitements, constitue par ailleurs un acte réglementaire unique au sens de l’article 31- IV de la loi du 6 janvier 1978 modifiée.
La Commission prend acte qu’à terme, le dispositif GECOJ a vocation à porter sur l’ensemble des mesures de contrôle judiciaire prononcées en matière de droit commun et de terrorisme, et ce, sur l’ensemble du territoire national, se substituant ainsi en partie au dispositif actuellement encadré par l’arrêté du 22 août 2012 précité. Dans cette attente, elle relève que les finalités ainsi que les conditions de mise en œuvre du traitement qui lui est soumis diffèrent de celles prévues au sein de ce même arrêté, ce qui justifie qu’il fasse l’objet d’un acte réglementaire distinct.
Elle relève à cet égard que si, à terme, il est envisagé d’intégrer la totalité de ces mesures dans le traitement GECOJ , les contrôles judiciaires de droit commun n’ont pas vocation à être intégrés au dispositif de supervision nationale, les modalités de gestion de ces mesures restant mises en œuvre à l’échelon territorial. Si le calendrier de développement de cette évolution n’a pas pu être communiqué, la Commission rappelle qu’elle devra être saisie de toute modification relative aux caractéristiques essentielles du traitement qui résulterait des évolutions apportées au dispositif, dans les conditions prévues à l’article 33 de la loi du 6 janvier 1978 modifiée.
Dans la mesure où la Commission estime que le traitement GECOJ est mis en œuvre principalement à des fins de poursuite d’infractions pénales, elle considère qu’il relève du champ d’application de la directive (UE) 2016/680 du 27 avril 2016 susvisée (ci-après la directive ) et qu’il doit être examiné au regard des dispositions des articles 87 et suivants de la loi du 6 janvier 1978 modifiée. Au regard de ces éléments, et dans la mesure où aucune donnée sensible, au sens de l’article 6 de la loi du 6 janvier 1978 modifiée n’a vocation à être collectée dans le traitement, celui-ci doit faire l’objet d’un arrêté pris après avis motivé et publié de la Commission, conformément aux dispositions de l’article 89 de la loi du 6 janvier 1978 précitée.
Sur les finalités du traitement
L’article 1

d’assurer la mise en œuvre et le suivi au niveau local et, le cas échéant, au niveau national, du respect par les personnes soumises à un contrôle judiciaire prononcé par un juge d’instruction ou toute autre juridiction de l’obligation de se présenter périodiquement à un service de police nationale ou une unité de gendarmerie nationale prévue au 5° de l’article 138 du code de procédure pénale ;
de vérifier et déterminer les modalités d’exécution de ces mesures, pour les besoins des enquêtes pénales dont sont saisies les services de la police nationale et les unités de gendarmerie nationale ainsi que pour les besoins des missions de prévention du terrorisme et de prévention de la criminalité et de la délinquance organisées dont ils sont chargés.
D’emblée, la Commission relève que le dispositif projeté, contrairement à ce que prévoit actuellement l’acte réglementaire unique encadrant les traitements portant sur les contrôles judiciaires, vise à permettre aux services de renseignement d’être destinataires des données enregistrées dans le traitement aux fins de vérification et de détermination des modalités d’exécution des mesures et ce, pour les besoins de leurs missions.
La Commission estime, au regard des justifications apportées par le ministère, que les missions de ces services peuvent justifier qu’ils aient communication des informations enregistrées dans le traitement GECOJ . Elle demeure toutefois réservée quant à l’ajout d’une telle finalité au regard de la nature du traitement qui constitue un outil de gestion et de suivi des obligations de pointage des personnes soumises à une mesure de contrôle judiciaire.
Cette réserve générale formulée, l’article premier du projet d’arrêté appelle les observations suivantes.
En ce qui concerne la première finalité, la Commission prend acte des précisions apportées par le ministère selon lesquelles il s’agit principalement de renforcer et d’améliorer le suivi des contrôles judiciaires par la supervision des pointages et permettre ainsi aux services concernés de garantir une réactivité opérationnelle en cas de carence d’une part, et d’informer dans les meilleurs délais l’autorité judiciaire de l’exécution de la mesure d’autre part.
S’agissant de la seconde finalité, elle prend acte des justifications apportées selon lesquelles le traitement, a, à ce titre, vocation à mettre à disposition des services de police judiciaire et des services de renseignement les informations relatives aux modalités d’exécution des mesures de contrôle judiciaire, ces données pouvant, par exemple, s’avérer nécessaires à titre probatoire, lorsque la mesure a pris fin. Elle relève par ailleurs que le traitement GECOJ ne pourra en aucun cas être consulté dans le cadre de la réalisation d’enquêtes administratives.
La Commission relève que l’article 1


détermination des modalités d’exécution des mesures
Enfin, la Commission relève que les dispositions du code de procédure pénale et de la loi du 6 janvier 1978 modifiée permettent déjà,

Sur les données collectées
La Commission rappelle tout d’abord que le dispositif GECOJ ayant vocation à traiter des mesures de contrôles judiciaires relatives aux obligations de pointage uniquement, les mineurs de 13 à 18 ans ne pouvant pas être soumis à ce type de mesures ne seront pas concernés par le dispositif, conformément à l’article 10-2 de l’ordonnance du 2 février 1945 susvisée.
Elle prend par ailleurs acte que les informations enregistrées dans le traitement sont celles qui figurent sur une ordonnance de contrôle judiciaire (directement transmise par le magistrat mandant), ou celles renseignées par la personne concernée. Elle relève que, dans l’hypothèse où une personne refuserait de communiquer aux services compétents les informations complémentaires ne figurant pas dans l’ordonnance, ces données ne seront pas renseignées dans le traitement.
Enfin, elle souligne qu’en cas d’indisponibilité de l’application ou lorsque la personne chargée de recueillir le pointage n’est pas en mesure de l’utiliser, l’enregistrement est différé et une inscription au format papier est réalisée. Dans cette hypothèse, l’identité de la personne, sa signature, ainsi que la date et l’heure de la présentation au service sont consignées au format papier en vue de leur enregistrement dans le traitement GECOJ . Sans remettre en cause les justifications apportées par le ministère, à savoir que l’intégration des données ainsi collectées dans le traitement est effectuée
dans les meilleurs délais
Ces éléments généraux rappelés, l’article 2 du projet d’arrêté appelle les observations suivantes.
En premier lieu,
Si la collecte de ces données n’appelle pas d’observation particulière, la Commission prend toutefois acte que les informations de contact de la personne (numéro de téléphone et adresse électronique) doivent uniquement permettre de la joindre en cas de carence dans l’exécution de la mesure de contrôle judiciaire.
En second lieu,
le numéro de dossier GECOJ ;
les informations relatives à l’autorité judiciaire mandante (nom, prénom, qualité, juridiction, numéro de parquet ou d’instruction) ;
l’infraction reprochée à la personne poursuivie et/ou code NATINF ;
la date de la décision ordonnant le contrôle judiciaire ;
les dates de début, de maintien et de fin de mesure ;
la date d’audience ;
les modalités d’exécution des obligations dont le contrôle ou la mise en œuvre sont confiées au service de police nationale ou à l’unité de gendarmerie nationale, notamment l’identité et l’adresse de la personne hébergeant la personne soumise au contrôle.
La Commission prend acte que les données relatives à l’autorité judiciaire mandante sont plus précisément relatives au magistrat ayant décidé de la mesure, tel que mentionné dans l’ordonnance de contrôle judiciaire, et que cette collecte a pour seule objet de lui adresser les éléments relatifs au respect de l’obligation à laquelle la personne est soumise.
Elle relève que par
modalités d’exécution des obligations
Enfin, la Commission prend acte que la collecte de l’identité et de l’adresse de la personne hébergeant la personne soumise au contrôle sera uniquement possible dans le cas où l’individu faisant l’objet de la mesure est domicilié chez une personne désignée par le magistrat.
Sous réserve des observations précédemment formulées, la Commission considère que la collecte des données précitées est conforme aux dispositions de l’article 4-3° de la loi du 6 janvier 1978 modifiée.
Sur la mise en relation avec le traitement d’antécédents judiciaires (TAJ)
L’article 2 du projet d’arrêté prévoit que la photographie de la personne soumise au contrôle judiciaire pourra faire l’objet d’une collecte et précise en outre que
le traitement ne comporte pas de dispositif de reconnaissance faciale à partir de l’image numérisée de la photographie
A ce titre, le ministère entend mettre en relation le traitement GECOJ avec le traitement d’antécédents judiciaires (TAJ) et ce, aux fins d’intégrer la photographie de la personne concernée dans le dispositif projeté.
En premier lieu
Si elle souligne que cette mise en relation aura pour unique objet d’extraire la photographie du TAJ lorsque celle-ci est disponible,
dans les seules situations où la photographie de la personne serait nécessaire pour assurer la bonne vérification de l'exécution du contrôle judiciaire
En second lieu
La Commission considère que les modalités techniques d’importation de la photographie portées à sa connaissance par le ministère sont susceptibles d’entraîner des risques particuliers liés au traitement manuel de la photographie, des difficultés quant à la mise à jour des données ainsi collectées ou encore quant à la possibilité de leur conservation pour une durée illimitée. Compte tenu de ce qui précède, elle est au demeurant réservée sur les modalités de collecte de la photographie.
En tout état de cause, elle considère que si le ministère entendait toutefois mettre en œuvre une telle mise en relation, il serait hautement souhaitable que le projet d’arrêté soit modifié afin d’en faire expressément mention et que des mesures particulières soient prises afin de limiter les risques et les éventuelles conséquences négatives pour les personnes concernées, résultant notamment de la conservation illégitime de leurs données. A cet égard, elle considère que des mesures permettant l’effacement sécurisé et systématique des fichiers concernés sur les postes des agents réalisant l’extraction, devraient

Sur les durées de conservation
L’article 3 du projet d’arrêté prévoit que
les catégories de données à caractère personnel et informations enregistrées dans le traitement sont conservées deux ans à compter du terme du contrôle judiciaire
les données ne peuvent être consultées que dans le cadre d’une procédure de police judiciaire
Si la Commission estime que la durée de conservation prévue par le projet d’arrêté est proportionnée au regard des finalités du traitement, elle recommande que des directives claires soient adressées aux personnels visés à l’article 4, afin de rappeler l’interdiction d’accéder aux données en dehors de tout cadre judiciaire et ce, dès lors que la mesure a pris fin.
Sans remettre en cause la durée de conservation telle que prévue par le projet d’arrêté, la Commission relève que dans l’hypothèse où une personne enregistrée dans le traitement ferait l’objet d’une décision judiciaire définitive de non-lieu, de relaxe ou d’acquittement, seule l’information par l’autorité judiciaire du service gestionnaire est de nature à conduire les services à effacer, de manière manuelle, les données enregistrées dans le traitement.
A cet égard, la Commission rappelle qu’indépendamment des contraintes fonctionnelles évoquées, il incombe au responsable de traitement de traiter des données exactes et tenues à jour, et de les conserver pendant une durée n’excédant pas celle nécessaire aux finalités pour lesquelles elles sont traitées.
Sous réserve des observations formulées ci-dessus, la Commission estime que la durée de conservation de deux ans, à compter du terme du contrôle judiciaire, prévue à l’article 4 du projet d’arrêté, est conforme aux dispositions de l’article 4-5° de la loi du 6 janvier 1978 modifiée.
Enfin, le projet d’arrêté précise que
les opérations de collecte, de modification, de consultation, de communication, d’interconnexion et de suppression des données à caractère personnel et informations font l’objet d’un enregistrement comprenant l’identification de l’auteur, la date, l’heure et la nature de l’opération. Ces informations sont conservées six ans
A cet égard la Commission rappelle que, sauf justification particulière, la durée de conservation des traces préconisée est de six mois. Si elle prend acte des éléments apportés par le ministère, elle estime qu’une durée inférieure à six ans aurait pu être retenue s’agissant de la conservation de ces journaux. Elle considère par ailleurs qu’une telle durée ne semble pas justifiée dès lors que les données de traçabilité ne permettront pas de déterminer les données auxquelles il aura été précisément accédé ayant été effectivement été consultées au-delà des deux ans pendant lesquelles ces données seront conservées.
Sur les destinataires
L’article 4 du projet d’arrêté prévoit qu’ont seuls accès à tout ou partie des données et informations mentionnées à l’article 2, à raison de leurs attributions et dans la limite du besoin d’en connaitre : les personnels affectés dans les services de police nationale ou unités de gendarmerie nationale chargés de la mise en œuvre et du suivi des mesures au niveau local d’une part, ou de la supervision des mesures, d’autre part.
A ce titre, la Commission souligne que les contrôles judiciaires prononcés en matière de terrorisme et de droit commun ne relèvent pas du même ressort, et ne sont pas supervisées par les mêmes services. Dès lors, elle prend acte que l’accès aux données enregistrées dans le traitement sera cloisonné pour chaque service accédant au regard de sa compétence. Dans ces conditions, un tel accès n’appelle pas d’observation particulière.
Le projet d’arrêté prévoit par ailleurs que peuvent être destinataires des données enregistrées dans le traitement :
les magistrats et les personnels du ministère de la justice relevant de leur autorité ayant à connaitre du déroulement de l’exécution des mesures ;
les personnels de la police nationale et de la gendarmerie nationale pour les besoins d’une procédure pénale ;
les personnels des services du ministère de l’intérieur mentionnées aux articles L. 811-2 et L. 811-4 du code de la sécurité intérieure (CSI) au titre des finalités mentionnées aux 4° et 6° de l’article L. 811-3 du même code, sur demande expresse adressée aux services mentionnées au 2° du I du présent article.
Si la première catégorie de personnes, à savoir les magistrats et personnels du ministère de la justice, n’appelle pas d’observation particulière, la Commission rappelle la réserve précédemment formulée quant aux finalités pour lesquelles les personnels de la police et de la gendarmerie nationales, ainsi que les services visés aux articles L. 811-2 et L. 811-4 du CSI peuvent avoir communication des données enregistrées dans le traitement GECOJ .
Sur les droits des personnes concernées
L’article 6 du projet d’arrêté précise que
le droit d’opposition prévu à l’article 110 de la loi du 6 janvier 1978 susvisées ne s’applique pas au présent traitement
conformément aux articles 104 à 106 de la même loi, les droits d’information, d’accès, de rectification et d’effacement des données mentionnées à l’article 2 s’exercent directement auprès du ministère de l’intérieur
La Commission considère que l’exercice de l’ensemble de ces droits, pour lesquels le ministère n’entend pas appliquer de restrictions particulières, n’appelle pas d’observation. Toutefois, si elle prend acte
que les personnes seront informées

Sur les mesures de sécurité
Concernant les modalités d’authentification des agents, la Commission prend acte que celle-ci sera réalisée par la carte agent de façon systématique pour la gendarmerie nationale, et de façon préférentielle pour la police nationale. Dans les cas où l’authentification sera réalisée par le biais d’un mot de passe, la Commission relève que celle-ci ne sera pas systématiquement réalisée de façon conforme à ses préconisations usuelles, et invite dès lors le ministère à mettre en œuvre des mesures complémentaires permettant de garantir que l’ensemble des moyens d’authentification sont suffisamment sécurisés.
Concernant les briques logicielles utilisées, la Commission relève que le ministère a indiqué qu’il utilisait des systèmes d’exploitation et des logiciels obsolètes depuis plusieurs années, et sans pour autant présenter un calendrier d’évolutions dans l’analyse d’impact relative à la protection des données (AIPD) transmise. Elle considère que de telles pratiques ne sont pas conformes à l’état de l’art, en tant qu’elles sont de nature à faciliter la compromission des systèmes concernés. En tout état de cause, elle invite le ministère à s’assurer de la mise à jour régulière des logiciels utilisés conformément au guide des bonnes pratiques de l’informatique édité par l’Agence nationale de la sécurité des systèmes d’information (ANSSI).
S’agissant des objectifs de sécurité déterminés par le ministère dans l’AIPD réalisée, si la Commission prend acte que le ministère considère que le besoin d’intégrité des données est maximal, elle s’interroge cependant sur l’estimation réalisée concernant la disponibilité et la confidentialité des données. En effet, la nature du traitement et des données collectées, sont susceptibles de faire peser des risques pour les personnes concernées en cas d’atteinte à la confidentialité, ce qui justifierait un besoin majeur en termes de sécurité. Par ailleurs, compte tenu des risques pour les personnes en cas de perte des pointages au format papier, il ne semble pas possible de considérer qu’une indisponibilité totale de l’application est sans aucun effet sur les personnes concernées.
Sous ces réserves, la Commission estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l’exigence de sécurité prévue par l’article 99 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. À cet égard, elle rappelle qu’il conviendra d’apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour de l’analyse d’impact.
La Présidente
M-L. DENIS