La Commission nationale de l'informatique et des libertés ;
Saisie par le ministre de la Défense d'un projet de décret en Conseil d'Etat portant création du "système d'information judiciaire JUDEX" et faisant application à ce traitement du troisième alinéa de l'article 31 de la loi du 6 janvier 1978 ;
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le code pénal ;
Vu le code de procédure pénale;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu la loi du n° 95-73 21 janvier 1995 modifiée, et notamment son article 17-1 ;
Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application des chapitres Ier à IV et VII de la loi du 6 janvier 1978 précitée ;
Vu le décret n° 79-1160 du 28 décembre 1979 fixant les conditions d'applications aux traitements automatisés d'informations nominatives intéressant la sûreté de l'Etat, la défense et la sécurité publique de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2001-583 du 5 juillet 2001 pris pour l'application des dispositions du troisième alinéa de l'article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et portant création du système de traitement des infractions constatées ;
Vu la délibération n° 00-064 du 19 décembre 2000 relatif à un projet de décret en Conseil d'Etat portant création du "système de traitement des infractions constatées" (STIC) et application des dispositions du troisième alinéa de l'article 31 de la loi du 6 janvier 1978 ;
Après avoir entendu Monsieur François GIQUEL, commissaire, en son rapport et Madame Charlotte-Marie PITRAT, commissaire du gouvernement, en ses observations ;

La Commission est saisie pour avis par le ministère de la Défense d'un projet de décret en Conseil d'Etat portant création du "système d'information judiciaire JUDEX" et faisant application à ce traitement du troisième alinéa de l'article 31 de la loi du 6 janvier 1978, alors qu'un projet de loi comportant plusieurs dispositions visant à définir les modalités de fonctionnement de tels fichiers de police judiciaire est actuellement examiné au Parlement.
En application des dispositions des articles 15 et 31 de la loi du 6 janvier 1978, la Commission estime cependant devoir rendre son avis, en l'état du droit positif, sur les dispositions régularisant le fichier JUDEX dans la mesure où, conformément aux demandes réitérées de la Commission, la mise en oeuvre de ce fichier doit être assurée dans le respect des règles de protection des données.
La Commission rappelle à cet égard que l'ensemble des fichiers de données personnelles actuellement mis en oeuvre par les services de la gendarmerie nationale doivent de la même façon être rendus conformes aux dispositions de la loi du 6 janvier 1978. Il en est ainsi en particulier du fichier alphabétique des renseignements.
Le système d'information judiciaire JUDEX est un fichier national de même nature que le "système de traitement des infractions constatées" (STIC) mis en oeuvre par la police nationale dans le cadre de ses missions de police judiciaire. Dès lors, la Commission considère que cette nouvelle centralisation d'informations de police judiciaire impose que le ministère de la Défense prévoie des garanties aussi protectrices que celles demandées par la Commission dans sa délibération du 19 décembre 2000 pour la mise en oeuvre, par le ministère de l'Intérieur, du système STIC.
- sur la finalité du système d'information judiciaire JUDEX
Aux termes de l'article 1er du projet de décret, le système d'information judiciaire JUDEX a pour seule finalité l'exploitation des informations contenues dans les procédures établies par les unités de gendarmerie aux fins de recherches criminelles.
La Commission prend note que le système JUDEX est appelé à enregistrer des informations relatives aux crimes, aux délits et à six catégories de contraventions de cinquième classe limitativement énumérées (les violences volontaires avec incapacité totale de travail inférieure ou égale à huit jours, le racolage, la destruction ou la dégradation volontaire d'un bien appartenant à autrui avec dommage léger, le port ou l'exhibition d'uniformes, d'insignes ou d'emblèmes rappelant ceux d'organisations ou de personnes responsables de crimes contre l'humanité, l'intrusion dans les établissements scolaires, la provocation non publique à la discrimination, à la haine ou à la violence raciale).
La Commission relève également que seules les personnes mises en cause dans une procédure judiciaire, au sens de l'article 105 du code de procédure pénale, et les victimes d'infractions donnant lieu à l'ouverture d'une enquête judiciaire sont susceptibles d'être inscrites dans le système JUDEX, à l'exclusion de toute autre personne, et en particulier des témoins.
La Commission rappelle cependant que les personnes mineures mises en cause ne peuvent être inscrites dans ce fichier que dans les cas où, conformément aux dispositions du code de procédure pénale et à celles de l'ordonnance du 2 février 1945 relative à l'enfance délinquante, leur responsabilité est susceptible d'être engagée devant les juridictions répressives.
Il conviendrait donc, dans un souci de clarté, d'insérer, au premier alinéa de l'article 2, après les mots : "... lorsqu'elles concernent des personnes ..." les mots : "majeures ou mineures âgées de plus de dix ans ...".
- sur le contrôle de l'alimentation du fichier
La Commission prend acte que si le fichier JUDEX est mis en oeuvre par le ministère de la Défense (direction générale de la gendarmerie nationale), le projet de décret précise que le traitement des informations nominatives est effectué sous le contrôle du procureur de la République territorialement compétent. Cette garantie est conforme aux dispositions de l'article 12 du code de procédure pénale qui précise que la police judiciaire s'exerce sous la direction du procureur de la République.
La Commission prend note qu'afin d'assurer un contrôle de la qualification des faits, les informations nominatives concernant les personnes mises en cause et les victimes sont transmises avec la procédure au procureur de la République territorialement compétent afin qu'il puisse user, le cas échéant, du pouvoir qui lui est reconnu par l'article 3 du projet de décret de demander la rectification ou l'effacement des informations enregistrées.
- sur les conditions de consultation du système JUDEX à des fins administratives
L'article 6 du projet de décret prévoit que, par dérogation aux dispositions de l'article R. 156 du code de procédure pénale et sous réserve des dispositions de l'article 17-1 de la loi du 21 janvier 1995, les informations figurant dans le traitement peuvent être consultées "dans le cadre de missions de police administrative ou de sécurité", à la condition que "la nature de ces missions ou les circonstances particulières dans lesquelles elles doivent se dérouler comportent des risques d'atteinte à l'ordre public ou à la sécurité des personnes".
Comme dans le décret du 5 juillet 2001 portant création du STIC, cette consultation est entourée de plusieurs conditions énumérées à l'article 6 :
- elle ne peut concerner des procédures en cours ;
- elle ne peut porter ni sur des informations relatives à des victimes, ni sur des données ayant fait l'objet d'une mise à jour par le procureur de la République ;
- elle est réservée aux personnels de la gendarmerie nationale ;
- ceux-ci doivent être individuellement désignés et spécialement habilités à cette fin par le directeur général de la gendarmerie ou l'autorité déléguée par lui ;
- cette habilitation comporte deux niveaux d'accès et précise le niveau qui est conféré à son titulaire par l'autorité compétente.
Dès lors que l'article 17-1 de la loi du 21 janvier 1995 prévoit expressément la possibilité de consulter à des fins administratives les informations figurant dans les fichiers de police judiciaire, y compris pour les procédures en cours, la Commission prend acte que cette garantie n'a plus à recevoir application, mais estime cependant que les autres conditions énoncées à l'article 6 ont lieu de s'appliquer, y compris lorsque les informations sont consultées dans le cadre des enquêtes administratives prévues par l'article 17-1 de, la loi du 21 janvier 1995.
- sur les catégories d'informations traitées et sur les données sensibles
Les informations nominatives enregistrées dans JUDEX sont, s'agissant des personnes mises en cause, l'identité (nom, nom marital, nom d'emprunt officiel, prénoms, sexe), les surnoms et les alias s'il y a lieu, les date et lieu de naissance, la situation familiale, la filiation, la nationalité, l'adresse, l'état de la personne (modes opératoires et informations relevant de l'article 31 de la loi lorsque ces renseignements sont susceptibles d'éclairer le mode opératoire ou les mobiles de l'infraction, références des affaires judiciaires pour lesquelles la personne est mise en cause, suites judiciaires transmises par le procureur de la République territorialement compétent dans les conditions du projet de décret), la profession, le signalement et la photographie.
S'agissant des victimes, sont enregistrés : identité (nom, nom marital, nom d'emprunt officiel, prénoms, sexe), date et lieu de naissance, situation familiale, nationalité, adresse, profession, état de la personne (références des affaires judiciaires dans lesquelles la personne est victime, suites judiciaires transmises par le procureur de la République territorialement compétent dans les conditions du projet de décret), signalement et photographie pour les personnes disparues et les corps non identifiés uniquement.
Sont également enregistrées des informations non nominatives ou indirectement nominatives concernant les faits objets de l'enquête, les lieux, dates et modes opératoires, ainsi que des informations et images relatives aux objets.
Certaines informations nominatives pouvant faire apparaître, directement ou indirectement, des données relevant de l'article 31 de la loi de la loi du 6 janvier 1978, le projet de décret fait également application des dispositions du troisième alinéa de cet article.
La Commission considère que la finalité du fichier justifie la collecte et l'enregistrement pour des motifs d'intérêt public d'informations nominatives relevant de l'article 31 de la loi, à la condition toutefois que cette collecte et cet enregistrement, ainsi que le prévoit l'article 1er du projet de décret, ne soient effectués que dans les seuls cas où ces informations résultent de la nature ou des circonstances de l'infraction ou se rapportent à des signes physiques particuliers, objectifs et permanents, en tant qu'éléments de signalement des personnes et dès lors que ces éléments sont nécessaires à la recherche et à l'identification des auteurs des infractions répertoriées dans le système JUDEX.
sur les destinataires
Seuls peuvent être destinataires des informations enregistrées dans le système JUDEX les personnels des unités de la gendarmerie nationale et des services de la police nationale exerçant des missions de police judiciaire et ayant fait l'objet d'une désignation par l'autorité hiérarchique, ainsi que les magistrats du parquet, pour les seules informations relatives à la procédure en cours.
- sur la communication de données à des Etats ou à des organismes intergouvernementaux et communautaires
Le projet de décret prévoit que les informations traitées au niveau central (bases "JUDEX- AFFAIRES et "JUDEX-PERSONNES MISES EN CAUSE") peuvent être communiquées aux "autorités d'Etats ou organismes intergouvernementaux ou communautaires liés à la France par un accord international ou un acte de l'Union Européenne lorsque cette transmission est prévue par cet accord ou cet acte".
La Commission estime que les transferts de données envisagés doivent faire l'objet d'une disposition spécifique, distincte de celle relative aux destinataires, dans la mesure où ils ne concernent que des communications ponctuelles et ne visent pas à permettre un accès en temps réel aux bases du système JUDEX.
La Commission considère en outre qu'il serait souhaitable de préciser que ces communications d'informations ne peuvent s'effectuer qu'à la condition de présenter, pour la protection des données personnelles, des garanties équivalentes à celles du droit français.
- sur la mise à jour
Le projet de décret prévoit la mise à jour des informations nominatives enregistrées dans les hypothèses suivantes :
- décisions de relaxe et d'acquittement devenues définitives effacement par le gestionnaire du fichier des informations concernant les personnes mises en cause ;
- décisions de non-lieu : mise à jour par le gestionnaire du fichier pouvant aller jusqu'à la suppression des informations concernant les personnes mises en cause ;
- décisions de classement sans suite motivées par une insuffisance de charges mise à jour par le gestionnaire du fichier des informations concernant les personnes mises en cause ;
- possibilité, à l'initiative de la personne mise en cause, de substitution de la qualification initialement choisie par celle finalement retenue par l'autorité judiciaire ;
- mise à jour, à l'initiative de la personne mise en cause et dans les conditions décrites ci-dessus, en cas d'intervention d'une mesure de classement sans suite pour insuffisance de charges, de non-lieu, de relaxe ou d'acquittement.
La Commission prend note de ce que le ministère de la Défense s'engage à lui rendre compte chaque année de ses activités de vérification, de mise à jour et d'effacement des informations enregistrées dans le traitement.
- sur la durée de conservation
Le projet de décret précise que les données concernant les personnes majeures mises en cause seront, en principe, conservées vingt ans à compter de la date d'établissement de la procédure. Toutefois, les informations concernant certains crimes et délits figurant sur une liste annexée au décret seront conservées pendant quarante ans. En tout état de cause, les données relatives aux personnes âgées de plus de soixante quinze ans seront systématiquement supprimées du fichier.
Par dérogation à ces règles, les informations relatives aux six catégories de contraventions de cinquième classe, aux délits routiers, aux délits d'abandon de famille et de non représentation d'enfant et aux délits d'usage de stupéfiant seront conservées pendant cinq ans.
S'agissant des mineurs, le projet de décret prévoit que la durée de conservation de principe est de cinq ans, exception faite de certains crimes et délits graves énumérés dans deux listes annexées au décret, qui déterminent des durées de conservation, respectivement, de dix et vingt ans.
Le projet de décret prévoit, enfin, s'agissant des personnes mises en cause, que, dans l'hypothèse où une nouvelle infraction serait commise avant l'expiration de ces durées, l'ensemble des informations enregistrées serait alors conservé pendant le délai le plus long.
La durée de conservation des informations concernant les victimes est au maximum de quinze ans, sous réserve de la faculté qui leur est ouverte de demander la suppression des informations qui les concernent dès lors que l'auteur de l'infraction aura été définitivement condamné. Cette durée est prolongée jusqu'à la découverte des objets lorsque l'infraction porte sur des oeuvres d'art, des bijoux ou des armes.
Dans leur principe, de telles durées paraissent justifiées par la finalité de recherche d'identification des auteurs d'infractions, dès lors que les informations enregistrées sont mise jour ou effacées selon les règles précédemment définies.
- sur l'information des personnes et l'exercice de leur droit d'accès Les personnes concernées sont informées de la collecte des informations nominatives les concernant par une mention sur le service télématique et sur le site web de la gendarmerie nationale, par un affichage dans le local d'accueil du public de chaque unité élémentaire et par une mention sur l'attestation de dépôt de plainte remise aux victimes.
La Commission estime que ces mesures sont satisfaisantes au regard de la finalité du fichier et de l'importance de la population concernée et mettent les victimes en mesure d'exercer leur droit d'opposition à figurer dans le fichier après la condamnation définitive de l'auteur de l'infraction.
Dans la mesure où le traitement intéresse la sûreté de l'Etat, la défense et la sécurité publique, le droit d'accès s'exercera de manière indirecte, par l'intermédiaire des membres de la Commission appartenant ou ayant appartenu au Conseil d'Etat, à la Cour de cassation ou à la Cour des Comptes, conformément aux dispositions de l'article 39 de la loi du 6 janvier 1978. Toutefois, si le commissaire constate, en accord avec le ministère de la Défense et le procureur de la République compétent, et à la condition que la procédure concernée soit judiciairement close, que les informations ne mettent pas en cause la sûreté de l'Etat, la défense et la sécurité publique, celles-ci pourront être communiquées à l'intéressé.
Afin d'améliorer les modalités pratiques d'exercice du droit d'accès indirect, la Commission estime qu'il y a lieu d'envisager la possibilité pour les personnes ne faisant pas ou plus l'objet d'un signalement dans JUDEX d'en être informées à l'occasion de l'exercice de leur droit d'accès indirect et de prévoir, pour les personnes signalées dans le système JUDEX en tant que victimes, la communication du contenu de leur fiche JUDEX, après accord du ministère de la Défense.
- sur les mesures de sécurité adoptées
Afin de prévenir toute utilisation du système JUDEX à des fins étrangères à ses finalités, une procédure d'habilitation individuelle est mise en place. Cette habilitation comporte deux niveaux en matière de consultation à des fins administratives lorsque celles-ci sont autorisées.
Un système de journalisation des interrogations permet de conserver trace des connexions pendant trois ans et un historique des requêtes effectuées est mis en oeuvre au niveau central.
De même, toute mise à jour (création, modification, suppression) provoquera l'enregistrement pendant trois ans des informations relatives au personnel qui y aura procédé.
EMET UN AVIS CONFORME au projet de décret sous les réserves suivantes :
- à l'article 2, premier alinéa, après les mots : "lorsqu'elles concernent des personnes" insérer les mots : "majeures ou mineures âgées de plus de dix ans" ;
- à l'article 5, disjoindre le 2° relatif à la communication de données à des Etats ou à des organismes intergouvernementaux et communautaires et le faire figurer dans un nouvel article.
DEMANDE au ministère de la Défense :
- d'envisager la possibilité pour les personnes ne faisant pas ou plus l'objet d'un signalement dans JUDEX d'en être informées à l'occasion de l'exercice de leur droit d'accès indirect et de prévoir, pour les personnes signalées dans le système JUDEX en tant que victimes, la communication du contenu de leur fiche JUDEX ès accord du ministère de la Défense ;
- de confirmer que les communications de données prévues vers les autorités d'Etats ou organismes intergouvernementaux ou communautaires liés à la France par un accord international ou un acte de l'Union Européenne ne sont réalisées qu'à la condition de présenter, pour la protection des données personnelles, des garanties équivalentes à celles du droit français.
Le Président, Michel GENTOT