La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales le 16 décembre 2009 d'un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel relatif à l'aide à la rédaction des procédures et des écrits dénommé ICARE ;
Vu la Convention n°108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 8, 26, 32, 41 et 42 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n°78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et
Mme Elisabeth ROLIN commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission a été saisie le 16 décembre 2009 par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales d'une demande d'avis relative à la mise en œuvre d'un traitement dénommé ICARE , lequel comporte un projet de décret en Conseil d'Etat portant création dudit traitement, en application des dispositions du II de l'article 26 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004.
Sur l'application ICARE
Sur les finalités
Aux termes de l'article 1

ICARE est donc un logiciel de rédaction des procédures et un vecteur d'alimentation d'autres traitements.
La Commission prend acte de ce que le ministère de l'intérieur a précisé que les procédures administratives mentionnées à l'article 1

La Commission estime néanmoins nécessaire que les procédures administratives visées à l'article 1

Sur les données conservées
•- Sur la rédaction des procédures judiciaires
Il est précisé aux termes du second alinéa de l'article 1

Elle prend acte de ce que le ministère a précisé que ces données ne sont pas accessibles par un index ou un autre système automatisé de recherche. Elles ne sont pas non plus éligibles pour l'alimentation des fichiers de police judiciaire.
Elle considère néanmoins qu'il devrait être précisé aux termes du projet de décret que les données précitées pourront être traitées dans le cadre de l'établissement de documents de procédure à partir du recueil des déclarations des personnes entendues et s'agissant des zones formatées de saisie, dans les seuls cas où elles concerneront les personnes mises en cause ou les victimes.
En outre, à l'instar de ce qui est prévu aux termes du second alinéa de l'article 1


l'application peut traiter des données à caractère personnel de la nature de celles mentionnées à l'article 8 de la loi du 6 janvier 1978 dans les seuls cas où ces informations résultent de la nature ou des circonstances de l'infraction ou se rapportent à des signes physiques particuliers , objectifs et permanents, en tant qu'éléments de signalement des personnes, dès lors que ces éléments sont nécessaires à la recherche et à l'identification des auteurs des infractions pénales objet des procédures judiciaires
Si la Commission relève que le ministère a précisé qu'aucune recherche ne peut être effectuée dans l'application à partir des données sensibles, elle estime toutefois que l'article 2 du projet de décret devrait être complété de façon à préciser dans un premier alinéa que l'accès aux données n'est possible que par l'intermédiaire du numéro de procédure, à l'exclusion de tout autre mode de recherche.
Elle prend acte que seul un thésaurus relatif aux professions est exploité par cette application et qu'il ne contient aucune donnée sensible.
•- Sur la rédaction des procédures administratives
La Commission se félicite que les données collectées dans le cadre de l'exécution des procédures administratives fassent l'objet d'un traitement distinct de celles enregistrées à l'occasion de procédures judiciaires.
Elle prend acte des précisions apportées par le ministère énumérant les procédures administratives pouvant être concernées par le recueil de données sensibles, à savoir les enquêtes administratives, la recherche dans l'intérêt des familles et les accidents de la route.
Elle considère néanmoins qu'un tel recueil de données ne peut être envisagé qu'à raison de circonstances particulières et dans des cas très exceptionnels, définis en fonction de la nature des procédures administratives concernées et, à tout le moins, ne devrait pouvoir être envisagé, s'agissant des données relatives aux opinions politiques, philosophiques, religieuses ou à l'appartenance syndicale, que dans les seuls cas où leur manifestation extrémiste est susceptible de porter atteinte à la sécurité publique ou à la sûreté de l'Etat.
•- Sur le mécanisme de rappel d'identité
La Commission prend acte qu'une fois que le numéro d'identification de la procédure (dit numéro UPVA) est renseigné, il est possible au sein de cette procédure d'accéder à un mécanisme de rappel d'identité. Ce dispositif permet alors à l'agent d'accéder à un certain nombre d'informations concernant l'identité de la personne présente devant lui et déjà enregistrée au sein de cette même procédure, lui évitant d'avoir à ressaisir les données relatives à son identité.
Elle prend bonne note que le mécanisme de rappel d'identité ne donne pas lieu au croisement du module relatif aux procédures administratives avec celui relatif aux procédures judiciaires.
Sur les durées de conservation
Aux termes de l'article 3 du projet de décret, les données relatives aux personnes faisant l'objet d'une procédure sont effacées dès la clôture de la procédure et sa transmission aux autorités compétentes.
La Commission se félicite de cette disposition et prend acte qu'il est impossible techniquement, une fois la procédure clôturée, de retrouver ces informations même en cas de nouvelle pièce rédigée sous le même numéro de procédure.
Elle relève que les données relatives aux rédacteurs des procédures et aux correspondants sont conservées jusqu'à la rupture du lien fonctionnel entre la personne concernée et l'unité de gendarmerie.
Sur les interconnexions
La Commission prend acte de l'engagement du ministère de la saisir des futures interconnexions de l'application ICARE lorsqu'elles seront mise en œuvre avec les applications ARIANE, CASSIOPEE et FOVeS.
Elle estime que les mises en relation d'ICARE avec le fichier des personnes recherchées, le fichier national des permis de conduire, le fichier national des automobilistes, le fichier des véhicules volés, ainsi qu'avec le système d'information des véhicules constituent des interconnexions et devraient dès lors être visées à l'article 4 du projet de décret.
Sur les destinataires
La Commission prend acte de la liste des destinataires définie à l'article 5 du projet de décret, à savoir :
•- Les militaires individuellement et spécialement habilités, affectés dans une unité ; mettant en œuvre le traitement ICARE ;
•- les magistrats ;
•- les personnels chargés d'une procédure de police administrative.
Sur les droits des personnes
La Commission relève qu'aux termes de l'article 7 du projet de décret, les victimes dans le cadre d'une procédure judiciaire et les personnes faisant l'objet d'une procédure administrative sont informées de leur droits par des mentions d'informations portées sur chaque pièce de procédure et par un affichage dans chaque unité de gendarmerie.
Sur les sécurités
La Commission observe qu'aux termes de l'article 6 du projet de décret il est prévu que toute opération fasse l'objet d'un enregistrement comprenant l'identification de l'utilisateur la date et l'heure et la nature de l'action.
Elle prend acte que ces traces sont conservées pour une durée de cinq ans.
Elle observe que le ministère a indiqué vouloir doter chaque agent à partir du mois de juin 2010 d'une carte d'identité électronique à puce qui permettra de les authentifier pour accéder à l'application ICARE.
Elle rappelle que le traitement qui servira de support à l'utilisation de cette carte devra lui être soumis.
Le Président