La Commission nationale de 1'informatique et des libertés,
Saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret modifiant le décret n° 2014-1162 du 9 octobre 2014 relatif à la création de la « plate­ forme nationale des interceptions judiciaires » ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, notamment ses articles 230-45, R. 40-42 à R. 40-56 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-II et 30 ;
Vu la loi n° 2016-731 du 3 juin 2016 renforçant la lutte contre le crime organisé, le terrorisme et leur financement, et améliorant l'efficacité et les garanties de la procédure pénale, notamment son article 88 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2007-115 du 30 juillet 2007 modifié portant création d'un traitement automatisé de données à caractère personnel dénommé « Système de transmission d'interceptions judiciaires » ;
Vu la délibération n° 2015-358 du 15 octobre 2015 portant avis sur un projet de décret en Conseil d'Etat modifiant le décret n° 2014-1162 du 9 octobre 2014 portant création d un traitement automatisé de données à caractère personnel dénommé « Plate-forme nationale des interceptions judiciaires » ;
Après avoir entendu M. Gaëtan GORCE, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission a été saisie par le ministre de la justice d'une demande d'avis concernant un projet de décret modifiant le décret n° 2014-1162 du 9 octobre 2014 portant création d'un traitement automatisé de données à caractère personnel dénommé « Plate-forme nationale des interceptions judiciaires » (PNIJ), pris après avis de la Commission en date du 16 janvier 2014.
L'article 1er dudit décret, relatif aux modalités de mise en œuvre du traitement PNIJ, a été codifié aux articles R. 40-42 à R. 40-56 du code de procédure pénale (CPP). L'article 4 du même décret prévoit l'abrogation du décret du 30 juillet 2007 susvisé relatif au « Système de transmission d'interceptions judiciaires » (STIJ), auquel la PNIJ a vocation à succéder.
Il était initialement prévu que le STIJ soit supprimé six mois après la mise en œuvre de la plate-forme nationale des interceptions judiciaires, constatée par arrêté du garde des sceaux, ministre de la justice, et au plus tard le 31 décembre 2015.
Au cours de l'année 2015, le ministère a souhaité reporter la date de suppression du STI.J, en raison de la complexité du déploiement de la PNIJ, au 31 décembre 2016. La Commission s'était prononcée sur cette modification dans son avis susvisé en date du 15 octobre 2015.
Le présent projet de décret vise à reporter une nouvelle fois la date de suppression de ce traitement. Il prévoit ainsi que le décret du 30 juillet 2007 précité devra être abrogé au plus tard le 31 décembre 2017. En application des dispositions des articles 26-II et 30 de la loi du 6 janvier 1978 modifiée, cette modification doit faire l'objet d'un décret en Conseil d'Etat pris après avis motivé et publié de la Commission. Le présent projet de décret appelle dans ce cadre les observations suivantes.
Le ministère a indiqué que le déploiement des interceptions a posé des difficultés techniques, notamment en raison du nombre très important d'interceptions effectuées de manière simultanée.
La Commission prend dès lors acte de la nécessité, au regard des dysfonctionnements de la PNIJ, de décaler le calendrier de sa montée en charge en matière d'interception et estime que cette modification ne soulève pas de difficulté particulière.
En revanche, elle estime que la suppression du STIJ devra s'accompagner de l'effacement de l'ensemble des données qui y sont enregistrées et, concernant les données provenant dudit traitement et qui ont vocation à être transférées sur les postes de travail des enquêteurs, de la mise en œuvre de mesures permettant de garantir qu'elles sont traitées conformément aux dispositions des articles R. 40-42 à R. 40-56 du CPP.
La Commission rappelle que ces observations avaient déjà été formulées dans son avis en date du 15 octobre 2015 précité et relève qu'elle n'a pas été tenue informée, comme elle le demandait, des mesures prises ou envisagées par les ministères de l'intérieur et de la justice, ni en 2015 ni dans le cadre de la présente saisine. A cet égard, elle prend acte que, à sa demande, ces éléments lui seront communiqués au plus tard dans le cadre de la saisine à venir concernant les modifications des dispositions réglementaires du CPP relatives à la PNIJ suite à l'adoption de la loi du 3 juin susvisée.
Ladite loi a en effet modifié le cadre réglementant la PNIJ à plusieurs égards, en introduisant un nouvel article 230-45 au CPP qui entrera en vigueur le 1er janvier 2017.
Le deuxième alinéa de l'article 230-45 du CPP prévoit ainsi que l'ensemble des « réquisitions et demandes » adressées à des fins d'obtention des données de connexions, de géolocalisation ou des interceptions devront désormais, « sauf impossibilité technique », obligatoirement être formulées par l'intermédiaire de la PNIJ, qui en organisera la centralisation et l'exécution. Le placement sous scellé des données relatives aux interceptions judiciaires et aux mesures de géolocalisation en temps réel, ainsi que l'établissement d'un procès-verbal de destruction des enregistrements de ces données, sont en outre exclus. Enfin, l'article 230-45 du CPP prévoit que des données de connexion, des interceptions ou des données de géolocalisation recueillies dans de nouveaux cadres devront être traitées par l'intermédiaire de la PNIJ.
La Commission relève qu'un décret, pris après son avis motivé et publié, devra modifier les articles R. 40-42 et suivants du même code pour la bonne application de ces nouvelles dispositions.
Elle considère que ces dispositions devront notamment permettre de s'assurer de l'étanchéité des données collectées dans des cadres différents et préciser les modalités d'accès des agents de l'administration pénitentiaire à la PNIJ ainsi que les mesures de sécurité entourant le traitement des données en cas d'indisponibilité technique de la plate-forme.
Enfin, le ministère s'était engagé à communiquer à la Commission le rapport annuel établi par la personnalité qualifiée en charge du contrôle de la PNIJ prévu à l'articleR. 40-53 du CPP, ce dont elle avait pris acte dans son avis en date du 15 octobre 2015 précité. A cet égard, le ministère a indiqué que ce rapport sera rendu au garde des sceaux au début de l'année 2017, soit un an après le début effectif de la mission de contrôle de la personnalité qualifiée et qu'il sera communiqué à la Commission, ce dont elle prend acte.