La Commission nationale de l'informatique et des libertés, 
 Saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet d'arrêté autorisant la création de traitements de données à caractère personnel dénommés « assignation à résidence » ;
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
 Vu le code de l'entrée et du séjour des étrangers et du droit d'asile ;
 Vu le code de procédure pénale ;
 Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-1 (2°) et 26-IV ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 Vu le décret n° 2011-638 du 8 juin 2011 relatif à l'application de gestion des dossiers des ressortissants étrangers en France et aux titres de séjour et aux titres de voyage des étrangers ;
 Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
      Emet l'avis suivant :
 La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre de l'intérieur, de l'outre-mer, des collectivités locales et de l'immigration d'un projet d'arrêté autorisant la création de traitements de données à caractère personnel dénommés « assignation à résidence ».
 Il y a lieu de faire application des dispositions de l'article 26-1 (2°) de la loi du 6 janvier 1978 modifiée qui soumet à une autorisation par arrêté ministériel pris après avis motivé et publié de la commission les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et qui ont pour objet l'exécution des mesures de sûreté.
 En outre, et conformément aux dispositions de l'article 26-IV de la loi du 6 janvier 1978 modifiée, le projet d'arrêté a vocation à constituer un acte réglementaire unique, auquel devront se référer les engagements de conformité adressés à la commission.
 Il s'agit en effet de traitements mis en œuvre, pour leur majorité, au niveau local (commissariats et unités territoriales de gendarmerie) et sous format papier, qui font actuellement l'objet d'une démarche de régularisation et d'informatisation par le ministère de l'intérieur.
   Sur les finalités des traitements :
 L'article 1er du projet d'arrêté autorise le directeur général de la police nationale, le directeur général de la gendarmerie nationale ainsi que le préfet de police à mettre en œuvre localement des traitements de données à caractère personnel dénommés « assignation à résidence » dont la finalité est, d'une part, « d'assurer le suivi des dossiers des personnes qui, dans le cadre d'une mesure d'assignation à résidence prononcée par ordonnance du juge des libertés et de la détention ou par arrêté préfectoral, doivent se présenter périodiquement aux autorités responsables du traitement » ; et de « vérifier, pour les besoins des enquêtes pénales dont sont saisis les services de la police et des unités de la gendarmerie nationales, les modalités d'exécution de ces mesures », d'autre part. La commission souligne que seules les mesures d'assignation à résidence prévues par les dispositions du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) sont concernées par ces traitements.
 Elle estime que la finalité de suivi des dossiers relatifs aux personnes qui, assignées à résidence en application des dispositions du CESEDA, doivent se présenter périodiquement aux forces de l'ordre n'appelle pas d'observation particulière.
 La commission s'est en revanche interrogée sur l'utilité de la seconde finalité mentionnée dans le projet d'arrêté. En effet, les dispositions du code de procédure pénale relatives aux réquisitions judiciaires et le II de l'article 3 de la loi du 6 janvier 1978 modifiée permettent déjà à l'autorité judiciaire d'avoir communication, à des fins d'enquête dans le cadre d'une procédure judiciaire, des données issues de tout traitement de données à caractère personnel, sans qu'il soit nécessaire de lui assigner une telle finalité.
 En outre, les informations relatives aux mesures d'assignation à résidence décidées en application des dispositions du CESEDA sont enregistrées dans d'autres traitements, par exemple le traitement AGDREF 2 créé par le décret n° 2011-638 susvisé, et sont donc à la disposition des services enquêteurs sur simple réquisition.
 Dans ces conditions, la commission a sollicité des précisions auprès du ministère de l'intérieur. Celui-ci a indiqué que cette finalité est nécessaire à l'utilisation des données enregistrées dans les traitements dans le cadre de procédures judiciaires. A défaut, ces informations ne pourraient être conservées au-delà de la période d'exécution de l'assignation à résidence, rendant ainsi sans effet toute réquisition judiciaire. En outre, le ministère a indiqué qu'il convient de permettre aux services enquêteurs de vérifier ultérieurement les modalités d'exécution de ces mesures et d'accéder rapidement à ces informations dans le cadre de leur mission de police judiciaire.
 La commission considère que la justification avancée par le ministère n'est pas suffisamment convaincante. En tout état de cause, elle estime que si cette seconde finalité devait être maintenue, le ministère devrait mettre en place des garanties complémentaires, notamment en termes de durée de conservation des données et de sécurité. Ainsi, les consultations devront faire l'objet d'une traçabilité effective pour permettre à la commission, dans le cadre de ses missions de contrôle diligentées en application de l'article 44 de la loi du 6 janvier 1978 modifiée, d'assurer le nécessaire contrôle de l'utilisation des fichiers concernés à des fins de police judiciaire.
 Enfin, la commission prend acte que ces traitements locaux n'ont aucune finalité statistique.
   Sur les données à caractère personnel traitées :
 L'article 2 du projet d'arrêté prévoit que les données à caractère personnel pouvant être enregistrées dans les traitements « assignation à résidence » sont les suivantes :
 ― quant à l'identité de la personne assignée à résidence : nom, prénom, alias, date et lieu de naissance, nationalité, adresses, profession, numéros de téléphone, lieu de travail ;
 ― quant à l'identité de la personne assurant l'hébergement : nom, prénom, date et lieu de naissance, nationalité, adresses, lieu de travail ;
 ― quant aux informations en rapport avec la décision d'assignation : indication de l'autorité ayant prononcé la mesure d'assignation, motif de l'assignation, modalités de l'assignation à résidence.
 La commission relève que les références du passeport ou du document justifiant l'identité de la personne assignée à résidence seront enregistrées dans le traitement si de tels documents sont remis par l'intéressé. Elle prend acte que le projet d'acte réglementaire sera modifié en ce sens.
 S'agissant des informations en rapport avec la décision d'assignation, la commission prend acte que les traitements ont vocation à traiter de l'ensemble des mesures d'assignation prévues par le code de l'entrée et du séjour des étrangers et du droit d'asile.
   Sur la durée de conservation des données :
 L'article 3 du projet d'arrêté prévoit que les données sont conservées dix ans à compter de la date de fin de l'assignation à résidence, mais qu'à compter de la fin de la mesure, elles ne peuvent être consultées que dans le cadre d'une procédure judiciaire.
 La commission observe que la durée de conservation de dix ans est prévue au regard de la finalité d'aide à l'enquête judiciaire assignée aux traitements. Or elle considère que cette durée de conservation doit être proportionnée à la finalité principale des traitements concernés, à savoir le suivi des personnes assignées à résidence en application des dispositions du CESEDA par les services de police ou de gendarmerie. La commission estime que les informations devraient donc être supprimées au terme d'un délai raisonnable à compter de l'exécution de la mesure, par exemple dans un délai de deux ans.
 En outre, elle observe que, compte tenu du caractère non automatisé de la plupart de ces traitements, aucun dispositif technique de restriction des accès ne peut être mis en place. Elle prend cependant acte de l'engagement du ministère d'adresser des directives aux personnels pour rappeler l'interdiction d'accéder à ces données en dehors de tout cadre judiciaire passée la période d'exécution de la mesure.
 Enfin, dans la mesure où ces traitements locaux prendront majoritairement la forme de registres papier, la commission observe qu'aucun mécanisme d'effacement automatique des informations ne peut être mis en œuvre. Elle demande qu'une telle procédure soit mise en place s'agissant des traitements informatisés.
   Sur les destinataires des traitements :
 L'article 4 du projet d'arrêté distingue les personnels bénéficiant d'un accès direct aux données des personnels à qui ces informations peuvent être communiquées.
 En ce qui concerne les premiers, il s'agit des agents des services de la police nationale et les militaires et de la gendarmerie nationale, individuellement désignés et spécialement habilités, affectés dans les services ou unités mettant en œuvre ces traitements, en fonction de leurs attributions et dans la limite du besoin d'en connaître.
 Les personnels auxquels les informations peuvent être communiquées sont les agents des préfectures en charge de l'application de la législation relative aux étrangers. La commission relève que le ministère n'a pas entendu faire figurer à cet article les magistrats et fonctionnaires du ministère de la justice ayant à connaître du déroulement de l'exécution de la mesure, alors même qu'ils constituent bien des destinataires au sens de l'article 3-II de la loi du 6 janvier 1978 modifiée, lesquels doivent figurer dans l'acte réglementaire en application de l'article 29 de cette même loi.
   Sur les droits des personnes concernées :
 La commission prend acte que les personnes faisant l'objet d'une mesure d'assignation à résidence seront informées du traitement de leurs données, soit par mention sur la convocation, soit par affichage dans les locaux. Elle rappelle que les personnes assurant leur hébergement devront également bénéficier de cette information.
 En ce qui concerne les droits d'accès et de rectification des personnes concernées, le ministère considère que, dès lors que les traitements ont notamment pour finalité l'utilisation des données à des fins d'enquête judiciaire, il y a lieu d'appliquer le régime juridique prévu aux articles 41 et 42 de la loi du 6 janvier 1978 modifiée (droit d'accès indirect). Néanmoins, le ministère entend mettre en place un droit d'accès direct aux données, sur le fondement des dispositions du dernier alinéa de l'article 41 de la loi du 6 janvier 1978 modifiée.
 Or la commission observe que les traitements dénommés « assignation à résidence » ont pour finalité principale l'exécution de mesures de sûreté et non l'utilisation des données à des fins d'enquête judiciaire. A ce titre, ils ne relèvent ni de l'article 41 ni de l'article 42 de la loi du 6 janvier 1978 modifiée. Dès lors, et dans la mesure où le ministère entend en pratique permettre un droit d'accès direct au traitement, la commission estime nécessaire de modifier le projet d'arrêté en mentionnant les dispositions de droit commun prévues aux articles 39 et 40 de cette même loi.
 Le projet d'arrêté précise par ailleurs que ces droits s'exercent directement « auprès du responsable de traitement ». A cet égard, la commission souligne que les responsables des traitements « assignation à résidence » sont les directeurs généraux de la police et de la gendarmerie nationales ainsi que le préfet de police. L'article 6 du projet d'arrêté serait donc utilement modifié, afin de prévoir que les droits d'accès et de rectification s'exercent directement auprès des services ou unités mettant en œuvre les traitements concernés, et non auprès des responsables de ceux-ci.
 La commission relève par ailleurs que le ministère entend écarter le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée.
   Sur la procédure d'engagement de conformité :
 En application de l'article 26-IV de la loi du 6 janvier 1978 modifiée, l'article 7 du projet d'arrêté prévoit que la mise en œuvre des traitements « assignation à résidence » par le directeur général de la police nationale (DGPN), le directeur général de la gendarmerie nationale (DGGN) ou le préfet de police est subordonnée à l'envoi à la commission d'un engagement de conformité faisant référence à l'arrêté.
 La commission prend acte de l'engagement du ministère de lui communiquer un état précis des traitements mis en œuvre à l'occasion de la transmission de ces engagements de conformité.
   Sur l'architecture et les mesures de sécurité :
 La commission observe que ces traitements locaux prennent majoritairement la forme de registres papier et ne donnent pas lieu à un traitement informatique. Selon les indications du ministère, seule la préfecture de police dispose à ce jour d'un outil élaboré, et l'architecture technique et les mesures de sécurité qui ont été portées à la connaissance de la commission ne concernent donc que les traitements mis en œuvre par la préfecture de police. Il est cependant prévu que les traitements « assignation à résidence » soient progressivement informatisés.
 Les traitements autorisés en vertu d'un acte réglementaire unique peuvent varier dans leur architecture technique et dans les mesures de sécurité précisément mises en œuvre, sous réserve que tous ces traitements bénéficient d'un niveau adéquat de sécurité.
 A cet égard, la commission relève que pour tous les traitements automatisés, des mesures suffisantes de traçabilité seront mises en œuvre. L'article 5 du projet d'arrêté prévoit en effet que « les consultations font l'objet d'un enregistrement comprenant l'identification du consultant ainsi que les dates et heures de la consultation. Ces données sont conservées trois ans ».
 Elle prend également acte de l'engagement du ministère de transmettre, à l'occasion de l'envoi des engagements de conformité relatifs aux traitements de la DGPN et de la DGGN, une présentation des sécurités techniques de ces traitements, informatisés ou non.
La présidente,
I. Falque-Pierrotin