Après avoir entendu M. Gaëtan GORCE, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de la Justice d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 20 janvier 2012 portant création d'un traitement automatisé dénommé AGRASC destiné à la gestion et au recouvrement des biens saisis et confisqués par l'Agence de gestion et de recouvrement des avoirs saisis et confisqués.
L'Agence de gestion et de recouvrement des avoirs saisis et confisqués (ci-après « l'Agence ») est un établissement public à caractère administratif placé sous la tutelle conjointe du ministre de la Justice et du ministre chargé du Budget, créé par la loi du 9 juillet 2010 susvisée.
Elle a principalement pour missions d'assurer la gestion centralisée de toutes les sommes saisies lors des procédures pénales, qu'il s'agisse de sommes inscrites au crédit d'un compte bancaire, de fonds saisis en numéraire ou de créances exigibles sur des tiers, de procéder à l'aliénation des biens vendus avant jugement en vertu des articles 41-5 et 99-2 du code de procédure pénale (CPP), de procéder à l'ensemble des publications aux bureaux des hypothèques des décisions opérant des saisies pénales immobilières, de veiller à l'information préalable des créanciers et de gérer, sur mandat de justice, certains biens. Enfin, dans les mêmes conditions que celles prévues en droit interne, elle assure la gestion des biens saisis, procède à l'aliénation ou à la destruction des biens saisis ou confisqués et procède à la répartition du produit de la vente en exécution de toute demande d'entraide ou de coopération émanant d'une autorité judiciaire étrangère.
L'article 706-161 du CPP prévoit que l'« Agence met en œuvre un traitement de données à caractère personnel qui centralise les décisions de saisie et de confiscation dont elle est saisie quelle que soit la nature des biens, ainsi que toutes les informations utiles relatives aux biens visés, à leur localisation et à leurs propriétaires ou détenteurs ».
Ce traitement, dénommé AGRASC, a été créé par l'arrêté du 20 janvier 2012 susvisé, pris après l'avis de la commission en date du 11 novembre 2011. Le présent projet d'arrêté vise à modifier les finalités de ce traitement, les données qui y sont enregistrées et leur durée de conservation, les destinataires de ces données ainsi que les modalités d'exercice des droits des personnes. En application des dispositions des articles 26-l et 30 de la loi du 6 janvier 1978 modifiée, ces modifications doivent faire l'objet d'un arrêté ministériel pris après avis motivé et publié de la commission.
Sur la nouvelle finalité :
L'article 1er du projet d'arrêté vise à ajouter une finalité au traitement AGRASC, en prévoyant qu'il aura désormais pour finalité supplémentaire « le suivi comptable des opérations enregistrées dans la base ».
L'Agence est en effet soumise à la comptabilité budgétaire définie par le décret du 7 novembre 2012 susvisé relatif à la gestion budgétaire et comptable publique. Les modalités d'exercice du contrôle budgétaire de I'AGRASC sont prévues par l'arrêté du 11 mai 2015. A ce titre, elle est soumise au contrôle de la Cour des comptes, qui, en application des dispositions de l'article L. 111-3 du code des juridictions financières, a récemment procédé à son contrôle afin d'apprécier la gestion de cet établissement public et, à travers elle, le potentiel du dispositif de confiscation des avoirs criminels.
L'AGRASC est ainsi dotée d'une agence comptable, dont le comptable public est chargé de la gestion des différents comptes, ouverts au Trésor Public ou à la Caisse des dépôts et consignations (CDC), du contrôle des dossiers de restitution et de versement aux parties civiles, ainsi que des états de versement à la mission interministérielle de lutte contre les drogues et les conduites addictives (MILDECA) et au budget général de l'État, ainsi que le paiement de ces versements. Elle reçoit, contrôle et exécute les oppositions des créanciers publics et sociaux visant à appréhender les sommes que l'Agence est chargée de leur restituer.
Le traitement AGRASC, en permettant l'enregistrement de données relatives à la gestion par l'Agence des biens saisis ou confisqués ainsi qu'à leur devenir (vente, affectation des sommes, destruction, etc.), doit désormais permettre au comptable public d'exercer ses missions et de contrôler la régularité des différentes opérations engagées, dans le respect des normes comptables applicables aux établissements publics.
Le traitement AGRASC permettra ainsi à l'Agence de répondre aux exigences de traçabilité et de transparence vis-à-vis du juge des comptes. La commission estime dès lors que cette nouvelle finalité est déterminée, explicite et légitime, conformément aux dispositions de l'article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur l'ajout de nouvelles données :
L'article 2 du projet d'arrêté vise à modifier l'article 2-111-c de l'arrêté susvisé du 20 janvier 2012, afin de permettre la collecte et l'enregistrement de nouvelles données relatives aux biens saisis ou confisqués : il s'agit des données relatives aux locataires ou aux occupants des immeubles (noms, prénoms, références bancaires, références de leur dossier à la caisse d'allocations familiales).
L'Agence est amenée à gérer les biens, notamment immeubles, des personnes condamnées dans le cadre d'une procédure judiciaire, après la confiscation définitive de ces biens. A compter de la date de cette confiscation, I'AGRASC représente alors l'État, propriétaire du bien, et se substitue au bailleur pour réaliser l'ensemble des actes nécessaires à la gestion de ce dernier (actes d'entretien, perception des loyers, réalisation de la vente).
Dès lors, en cas de présence de locataires dans l'immeuble confisqué, I'AGRASC recueille auprès d'eux les informations nécessaires à la gestion des biens et les enregistre dans le traitement qu'elle met en œuvre, ce dernier ayant été enrichi de fonctionnalités permettant un suivi de la gestion des loyers ou, si le locataire bénéficie d'une aide personnalisée au logement, le paiement des allocations.
La commission estime que ces données sont adéquates, pertinentes et non excessives au regard des finalités poursuivies par le traitement.
Sur les nouveaux destinataires des données :
L'article 4 de l'arrêté du 20 janvier 2012 susvisé énumère les personnels habilités à recevoir communication de données enregistrées dans le traitement. L'article 3 du projet d'arrêté vise à modifier cet article afin d'ajouter de nouveaux destinataires. il s'agit :
- des commissaires-priseurs judiciaires, des huissiers de justice ainsi que des courtiers assermentés dans le cadre des procédures de ventes de biens meubles ;
- des notaires dans le cadre des procédures de ventes d'immeubles confisqués suite à une décision définitive de justice ;
- des mandataires et administrateurs judiciaires.
L'AGRASC étant un établissement public de taille modeste, le ministère a indiqué qu'il lui est nécessaire, dans l'exercice de ses missions, d'avoir recours à ces professions réglementées pour procéder à la vente des biens confisqués. D'une part, ces professionnels sont répartis sur le territoire national, ce qui permet à I'AGRASC de gérer de manière plus efficace les biens saisis. D'autre part, le ministère précise que ce sont des professionnels assermentés, garantissant à l'Agence qu'elle s'entoure de garanties sérieuses concernant la confidentialité des données ainsi échangées.
La commission prend acte que seules les données relatives aux caractéristiques des biens à administrer pourront être communiquées à ces nouveaux destinataires, conformément aux finalités du traitement. Le traitement AGRASC est en effet une base de données qui porte à titre principal sur les biens qui relèvent de la compétence de I'AGRASC et non sur les personnes propriétaires ou locataires desdits biens : s'il est nécessaire de détenir des informations à caractère personnel sur ces derniers et sur les infractions pour lesquelles elles sont poursuivies ou condamnées, c'est uniquement à des fins de gestion ou d'affectation de ces biens. La commission prend dès lors acte qu'aucune donnée relative aux personnes mises en cause et condamnées ou à la décision de justice à l'origine de la confiscation ne sera communiquée à ces professionnels.
La transmission de ces données à ces derniers interviendra par courriers ou courriels. La commission rappelle que des mesures de sécurité adéquates doivent être mises en œuvre afin de permettre un échange sécurisé des données entre l'Agence et ces nouveaux partenaires.
Sur la modification de la durée de conservation des données :
L'article 5 de l'arrêté du 20 janvier 2012 susvisé prévoit que les données sont conservées trois ans à compter de la date à laquelle la gestion des biens confiés à l'agence est clôturée par l'affectation des sommes produites par sa gestion. L'article 4 du projet d'arrêté vise à modifier cette durée de conservation, en la portant à six ans.
L'augmentation de la durée de conservation est la conséquence de l'assignation au traitement AGRASC d'une finalité de suivi comptable. Le ministère de la Justice justifie ainsi cette modification par les obligations qui pèsent sur le comptable public, notamment dans le cadre des justifications qu'il doit apporter à la Cour des comptes.
Le décret précité du 7 novembre 2012 susvisé prévoit en effet que les « comptables publics sont personnellement et pécuniairement responsables des actes et contrôles qui leur incombent (…) en application des dispositions des articles 18, 19 et 20, dans les conditions fixées par l'article 60 de la foi du 23 février 1963 ».
Or, l'article 60 de la loi no 63-156 du 23 février 1963 de finances pour 1963 modifiée, relatif à la responsabilité pécuniaire des comptables publics, prévoit que « le premier acte de la mise en jeu de la responsabilité ne peut plus intervenir au-delà du 31 décembre de la cinquième année suivant celle au cours de laquelle le comptable a produit ses comptes au juge des comptes ou, lorsqu'il n'est pas tenu à cette obligation, celle au cours de laquelle il a produit les justifications de ses opérations.
Dès lors qu'aucune charge n'a été notifiée dans ce délai à son encontre, le comptable est déchargé de sa gestion au titre de l'exercice concerné. Dans le cas où Je comptable est sorti de fonction au cours de cet exercice et si aucune charge n'existe ou ne subsiste à son encontre pour l'ensemble de sa gestion, il est quitte de cette gestion ».
Ainsi, les données liées à l'ensemble des opérations comptables doivent être à la disposition du comptable public pendant six ans, sa responsabilité pouvant être engagée devant le juge des comptes pour toute opération effectuée durant les six années précédentes.
Le point de départ de cette durée de conservation reste la date à laquelle la gestion des biens confiés à l'Agence est clôturée par l'affectation des sommes produites par sa gestion. La durée de conservation reste dès lors spécifique à chaque bien, et non à chaque affaire, qui peut porter sur plusieurs biens.
La commission estime que cette nouvelle durée de conservation est non excessive au regard de la nouvelle finalité de suivi comptable assignée au traitement AGRASC par le présent projet d'arrêté. En revanche, elle considère que des garanties complémentaires doivent être mises en œuvre concernant les modalités de conservation des données.
En effet, dans la mesure où l'allongement de la durée de conservation est uniquement justifié par la nouvelle finalité de suivi comptable des opérations, il devrait être envisagé de ne conserver, à l'expiration de la durée initiale de trois ans et pour une durée supplémentaire de trois ans, que les seules données nécessaires à cette finalité de suivi comptable.
Si toutefois l'identification précise de ces données s'avérait difficile, il devrait être envisagé, une fois le délai initial de trois ans écoulé, de transférer l'ensemble des données, pour trois ans supplémentaires, sur une base inactive à laquelle n'aurait accès que le comptable à des fins de suivi comptable des opérations.
En tout état de cause, la commission invite le ministère à prévoir des modalités de conservation des données conformes aux dispositions de l'article 6-5° de la loi du 6 janvier 1978 modifiée.
Sur les modalités d'exercice des droits des personnes :
L'article 7 de l'arrêté du 20 janvier 2012 précité prévoit que, pour l'ensemble des personnes concernées (personnes physiques et morales mises en cause dans la procédure judiciaire, personnes concourant à la procédure de saisie et de confiscation, parties civiles ou créanciers publics), les droits d'accès et de rectification s'exercent de manière directe.
L'article 5 du projet d'arrêté visait initialement à modifier cette disposition afin d'instituer un droit d'accès mixte, c'est-à-dire un droit d'accès direct pour les personnes concourant à la procédure de saisie et de confiscation et un droit d'accès indirect pour les personnes mises en cause, les victimes, les parties civiles et les personnels des administrations partenaires de l'Agence.
Toutefois, interrogé sur ces modifications, le ministère de la justice a finalement indiqué que les droits d'accès et de rectification s'exerceront de manière directe pour l'ensemble des personnes concernées par le traitement. La commission prend dès lors acte que les dispositions de l'article 7 de l'arrêté du 20 janvier 2012 ne sont pas modifiées.
Le ministère a enfin précisé que les informations relatives aux tiers seront occultées dans le cadre de l'exercice de ces droits. La commission rappelle que cette limitation est conforme aux dispositions des articles 39-1-4o et 40 de la loi « Informatique et Libertés », lesquelles prévoient que seules les données concernant la personne qui en fait la demande peuvent lui être communiquées ou être rectifiées.
La commission prend acte que les modalités d'exercice des droits d'opposition et d'information, prévues à l'article 7 de l'arrêté du 20 janvier 2012 précité ne seront pas non plus modifiées.
En revanche, elle relève que le traitement pourra concerner une nouvelle catégorie de personnes (locataires des immeubles géré par l'Agence après la confiscation définitive de ceux-ci). Elle invite dès lors le ministère de la justice à compléter l'article 7 de l'arrêté du 20 janvier 2012 afin de mentionner expressément les modalités d'exercice de leurs droits, en indiquant qu'ils seront informés du traitement de leurs données et qu'ils pourront exercer de manière directe leurs droits d'accès et de rectification.
Sur l'architecture, les mesures de sécurité et de traçabilité :
Le traitement dénommé AGRASC évolue vers une application web couplée à une base de données. Elle sera déployée au sein du réseau privé virtuel justice (RPVJ) du ministère et hébergée sur des serveurs de celui-ci.
La transmission des données entre le poste client et le serveur est sécurisée au moyen du protocole TLS, qui est le protocole de référence en matière d'échanges sécurisés sur Internet.
Chaque fichier conservé en base est chiffré individuellement. Le secret est au séquestre au niveau du responsable de la sécurité des systèmes d'information (RSSI) de la Sous-direction de l'informatique et des télécommunications (SOIT) du ministère de la justice.
Le contrôle d'accès logique se fait au moyen de certificats logiciels « clients » installés dans une « carte agent ». Des profils d'habilitation définissent pour chaque utilisateur les fonctions autorisées ou les catégories d'informations accessibles.
Les données sont répliquées entre deux sites distants via une connexion sécurisée. Ces sauvegardes sont également conservées quelques semaines sur des cartouches, stockées dans un coffre.
Une traçabilité est mise en œuvre via une journalisation des données de connexion, de l'identifiant du poste de travail, de l'identifiant de l'utilisateur ainsi que de la référence des données accédées. L'article 6 de l'arrêté du 20 janvier 2012 prévoit que ces traces sont conservées trois ans.
La commission prend acte que le rapport concernant l'analyse de risque est mis à sa disposition pour consultation dans les locaux du ministère.
Elle estime que les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.