La Commission Nationale de l'Informatique et des Libertés,
Vu la Convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le Code Pénal, notamment son article 378 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, notamment son article 27 ;
Vu la loi n° 83-634 du 13 juillet 1983 portant droits et obligations des fonctionnaires ;
Vu la loi n° 85-835 du 7 août 1985 relative à la modernisation de la police nationale ;
Vu le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres I à IV et VII de la loi du 6 janvier 1978 ;
Vu le décret n° 86-592 du 18 mars 1986 portant code de déontologie de la police nationale ;
Vu le décret n° 91-336 du 4 avril 1991 modifiant le décret n° 78-774 du 17 juillet 1978 pris pour l'application des chapitres I à IV et VII de la loi du 6 janvier 1978 ;
Vu la circulaire du Ministre de l'Intérieur en date du 29 novembre 1963 relative au fonctionnement des commissariats de police ;
Vu sa délibération n° 84-33 du 2 octobre 1984 portant avis sur la mise en oeuvre dans les commissariats de police d'un traitement automatisé d'informations nominatives concernant les faits constatés et élucidés ;
Vu le projet d'arrêté du Ministre de l'Intérieur ;
Après avoir entendu Monsieur Jean-Pierre MICHEL en son rapport et Madame Charlotte-Marie PITRAT, commissaire du gouvernement en ses observations ;
Considérant que la Commission est saisie par le Ministère de l'Intérieur d'un projet d'arrêté portant création d'un traitement automatisé d'Informations nominatives relatif à la gestion des registres de main courante détenus par les commissariats de police constituant un modèle-type national de référence ;
Sur la finalité du traitement
Considérant que le ministère de l'Intérieur envisage de mettre en oeuvre un traitement automatisé d'informations nominatives relatif à la gestion automatisée des registres de main courante dans les commissariats de police dont la finalité est d'assurer :
- la gestion administrative simple des personnels en tenue du commissariat ;
- la gestion opérationnelle des emplois des fonctionnaires ;
- la gestion statistique non nominative des heures sur le ou les emplois tenus au cours de chaque vacation de service ;
- la gestion des événements et des déclarations prises au poste de police ;
Considérant que les personnes concernées par le traitement sont les personnels en tenue des commissariats pour leur gestion et l'ensemble des administrés susceptibles de se présenter dans un commissariat de police pour y effectuer une déclaration mais hors le cas du dépôt d'une plainte, ou d'être impliqués dans des faits pour lesquels une intervention de police est diligentée, à des titres divers, en tant que victime, témoin ou mis en cause ;
Considérant par conséquent que le fichier "main courante" comprendra deux applications distinctes, une application "gestion du personnel" et une application "gestion des personnes en cause" ;
Sur les catégories d'informations collectées
Considérant que les informations collectées sont :
- pour l'application "gestion du personnel du commissariat" :
les nom, prénoms, matricule, grade, groupe, adresse, date et lieu de naissance, téléphone, numéro de carte professionnelle, type et numéro d'arme et personne à prévenir en cas d'accident ;
- pour l'application "gestion des personnes en cause" : les nom, nom marital, prénoms, catégories (requérant, témoin, plaignant, victime ou mis en cause), date et lieu de naissance, filiation, adresse et nationalité française (oui/non) ;
Considérant que ce traitement concerne la tenue de la main courante du commissariat hors le cas du dépôt d'une plainte ; que par conséquent la mention de la catégorie "plaignant" apparaît inadéquate et devra être supprimée du projet d'acte réglementaire ;
Considérant par ailleurs que le traitement mis en oeuvre prévoit la collecte de l'information relative à la filiation des "personnes en cause" que la collecte de cette information n'apparaît pas justifiée compte tenu de la finalité du traitement et que par conséquent sa mention devra être supprimée du projet d'acte réglementaire ;
Considérant ensuite que l'usage de la terminologie "personnes mises en cause " ne semble pas tout à fait adéquat dans la mesure où ce terme est utilisé, avec un tout autre sens, dans les nouvelles dispositions modifiant le Code Pénal et la procédure pénale ; qu'il convient d'attirer l'attention du ministère de l'Intérieur sur ce point ;
Considérant enfin que le dossier de demande d'avis indique que des informations relatives à la gestion des horaires des fonctionnaires des commissariats de police figureront dans le traitement ; qu'il conviendra par conséquent de les mentionner en complétant l'article 2 du projet d'acte réglementaire ;
Considérant que l'article 27 de la loi du 6 janvier 1978 dispose que "Les personnes auprès desquelles sont recueillies des informations nominatives doivent être informées :
- du caractère obligatoire ou facultatif des réponses ;
- des conséquences à leur égard d'un défaut de réponse ;
- des personnes physiques ou morales destinataires des informations ;
- de l'existence d'un droit d'accès et de rectification.
Lorsque de telles informations sont recueillies par voie de questionnaires, ceux-ci doivent porter mention de ces prescriptions. (...)" ;
Considérant que le ministère de l'Intérieur devra informer les personnes concernées préalablement à la mise en oeuvre du traitement selon les modalités portées à la connaissance de la Commission dans le dossier de demande d'avis ;
Sur les destinataires des informations
Considérant que les destinataires des informations sont les personnes concernées exclusivement ; qu'il conviendra toutefois de modifier l'article 3 du projet d'acte réglementaire en indiquant que les destinataires directs sont les services de police des commissariats ;
Considérant que par ailleurs, les personnes concernées, les magistrats de l'ordre judiciaire et les avocats éventuels pourront être destinataires des informations lorsqu'ils en feront la demande en tant que tiers autorisés ;
Sur la durée de conservation des données
Considérant que la durée de conservation des informations est limitée à ce qui est strictement nécessaire aux différentes finalités du traitement pour les personnels des commissariats ; que pour les personnes en cause, les informations sont conservées 14 mois avant effacement systématique ; que ces durées de conservation des informations se justifient en raison de l'établissement des statistiques annuelles destinées au ministère de l'Intérieur et aux municipalités intéressées le cas échéant ;
Sur le droit d'accès
Considérant que le Ministère de l'Intérieur prévoit un accès direct aux fichiers envisagés, conformément aux dispositions de l'article 34 de la loi du 6 janvier 1978 ; que le droit d'accès s'exerce auprès du service des secrétariats des commissariats de police ;
Considérant que le ministère de l'Intérieur s'est engagé à ce qu'aucune demande d'accès d'une personne en cause ne puisse avoir comme conséquence la divulgation d'informations nominatives concernant les personnels du commissariat ;
Considérant que pour les personnes à prévenir en cas d'accident, le ministère de l'Intérieur s'est également engagé à ce que celles-ci ne puissent avoir accès qu'aux informations les concernant à l'exclusion des données relatives aux fonctionnaires de police et, bien évidemment, de celles recueillies au titre de l'application "personnes en cause" ; que de ce fait, les personnels de police sont totalement protégés quant aux informations nominatives les concernant ;
Considérant que les personnes en cause ne pourront avoir accès qu'aux informations les concernant, sous réserve des droits des tiers conformément aux dispositions de l'article 43 de la loi du 6 janvier 1978 ;
Sur les mesures de sécurité
Considérant que le Ministère de l'Intérieur prévoit des mesures garantissant une protection physique et logique des données ;
Considérant toutefois que le traitement envisagé constitue un modèle-type susceptible d'être mis en oeuvre au sein de chaque commissariat de police ; que chacun d'entre eux pourra soit directement appliquer ces dispositions, soit les adapter à sa situation particulière ;
Considérant par conséquent qu'il paraît nécessaire que soit fournie, conjointement à la déclaration de conformité préalable à la mise en oeuvre du traitement, une annexe portant sur les mesures de sécurité adoptées par chacun des commissariats ;
Sur l'interconnexion du traitement
Considérant que le ministère de l'Intérieur s'est engagé à ce que le traitement ne soit interconnecté avec aucun autre fichier automatisé ;
Prend acte que :
- le Ministère de l'Intérieur s'est engagé à informer les personnes concernées de la mise en oeuvre du traitement "MAIN COURANTE" selon les modalités décrites dans le dossier de demande d'avis soumis à la Commission ;
- chaque commissariat de police qui souhaitera mettre en oeuvre le présent traitement devra préalablement présenter à la CNIL une déclaration portant engagement de conformité ainsi qu'une annexe précisant le lieu exact d'implantation du traitement, les mesures prises pour assurer la sécurité et la confidentialité des informations ainsi que le lieu d'exercice du droit d'accès ;
Attire l'attention du ministère de l'intérieur
- sur la terminologie employée à l'article 2 du projet d'acte réglementaire relative aux "personnes mises en cause" et aux éventuels contre-sens qui pourraient en découler compte tenu des termes du nouveau Code Pénal et des nouvelles dispositions de procédure pénale ;
Demande au ministère de l'intérieur
- de compléter l'article 2 du projet d'acte réglementaire en y faisant figurer le cas échéant les informations relatives à la gestion des horaires des fonctionnaires des commissariats de police ;
- de modifier l'article 2 du projet d'acte réglementaire pour supprimer la mention relative aux "plaignants", dans la mesure où le traitement mis en oeuvre concerne la gestion automatisée des registres de main courante hors cas de prise de plainte ;
- de modifier l'article 2 du projet d'acte réglementaire pour supprimer la mention relative à la "filiation" des personnes en cause, dans la mesure où cette information n'est pas pertinente au regard de la finalité du traitement ;
- de veiller à ce que les modalités de mise en oeuvre du droit d'accès soient élaborées sous réserve des droits des tiers conformément aux dispositions de l'article 43 de la loi du 6 janvier 1978 de façon à ce que chaque personne ne puisse accéder qu'aux seules informations nominatives la concernant ; que dès lors les applications "gestion du personnel" et "gestion des personnes en cause" soient gérées séparément ;
- de modifier l'article 3 du projet d'acte réglementaire afin de préciser que les seuls destinataires directs seront les services de police du Commissariat et que les personnes concernées, les autorités judiciaires et les avocats éventuels ne seront destinataires des informations que lorsque ils en feront la demande ;
Emet, sous réserve des observations précitées, UN AVIS FAVORABLE au projet d'arrêté du Ministre de l'Intérieur portant création d'une application de gestion automatisée des registres de main courante détenus par les commissariats de police.