La Commission nationale de l'informatique et des libertés, 
 Saisie pour avis par le ministère de la justice et des libertés, le 1er avril 2011, d'un projet d'arrêté portant création d'un traitement automatisé dénommé « AGRASC » destiné à la gestion et au recouvrement des biens saisis et confisqués par l'Agence de gestion et de recouvrement des avoirs saisis et confisqués ;
 Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
 Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
 Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, notamment son article 26-1 (2°) ;
 Vu la loi n° 2010-768 du 9 juillet 2010 visant à faciliter la saisie et la confiscation en matière pénale ;
 Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
 Vu le décret n° 2011-134 du 1er février 2011 relatif à l'Agence de gestion et de recouvrement des avoirs saisis et confisqués ;
 Vu le code de procédure pénale, notamment les articles 706-159 à 706-165 et R. 54-1 à R. 54-9 ;
 Après avoir entendu Mme Claire DAVAL, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
     Emet l'avis suivant :
 La commission a été saisie pour avis par le ministère de la justice et des libertés d'un projet d'arrêté portant création d'un traitement automatisé dénommé « AGRASC » destiné à la gestion et au recouvrement des biens saisis et confisqués par l'Agence de gestion et de recouvrement des avoirs saisis et confisqués (ci-après « l'agence »).
 Ce traitement est prévu par l'article 4 de la loi n° 2010-768 du 9 juillet 2010 susvisée, codifiée à l'article 706-161 du code de procédure pénale, il va permettre à l'agence de remplir les différentes missions qui lui ont été assignées par cette même loi, missions qu'elle exerce aussi bien en cours d'enquêtes ou d'instructions préparatoires qu'après le prononcé d'une décision au fond. La création de l'agence accompagne la refonte des règles applicables en matière de saisie opérée par la loi (création d'un cadre d'investigation affecté aux saisies conservatoires ; réglementation de certaines saisies conservatoires ; consécration des saisies fictives, etc.).
 L'Agence est un établissement public à caractère administratif placé sous la tutelle conjointe du ministre de la justice et du ministre chargé du budget. Le décret du 1er février 2011 susvisé précise son organisation interne. Elle a ainsi principalement pour missions d'assurer la gestion centralisée de toutes les sommes saisies lors des procédures pénales, qu'il s'agisse de sommes inscrites au crédit d'un compte bancaire, de fonds saisis en numéraire ou de créances exigibles sur des tiers, de procéder à l'aliénation des biens vendus avant jugement en vertu des articles 41-5 et 99-2 du code de procédure pénale, de procéder à l'ensemble des publications aux bureaux des hypothèques des décisions opérant des saisies pénales immobilières, de veiller à l'information préalable des créanciers, de gérer, sur mandat de justice, certains biens ainsi que des missions relevant de la coopération internationale.
   Sur les finalités :
 L'article 1er du projet d'arrêté prévoit plusieurs finalités : celle de « centralisation des décisions de saisie et de confiscation dont elle est saisie quelle que soit la nature des biens ainsi que toutes les informations utiles relatives aux bien visés, à leur localisation et à leur propriétaire ou détenteurs », et celle de « gestion et de recouvrement de ces biens ». La commission prend ainsi acte que ces finalités correspondent aux missions qui ont été attribuées à l'agence par la loi du 9 juillet 2010 susvisée et que ce traitement sera l'un des outils qui lui permettra de remplir ses missions dans les meilleures conditions possibles.
 La commission relève, s'agissant de la finalité statistique, que les statistiques ne porteront pas sur des données à caractère personnel, mais permettront, essentiellement, de répondre à l'obligation faite à l'agence d'établir un rapport annuel d'activité comprenant, entre autres, un bilan statistique.
 La commission prend ainsi acte de la position du ministère sur ce traitement, qu'il considère comme un traitement de gestion : la base de données est axée sur les biens, et non sur les personnes. S'il est nécessaire de détenir des informations à caractère personnel sur ces personnes et sur les infractions pour lesquelles elles sont poursuivies, c'est uniquement pour gérer ces biens ou les affecter. Enfin, le ministère précise que ce traitement répond à des exigences de traçabilité à l'égard des juges ou des juridictions mandants et de transparence vis-à-vis de la Cour des comptes.
 Au regard de l'ensemble de ces éléments, la commission estime que ces finalités sont déterminées, explicites et légitimes.
   Sur les données enregistrées :
 L'article 2 du nouveau projet d'arrêté dresse la liste des données susceptibles d'être enregistrées dans le traitement, qui relèvent de quatre catégories.
 Informations relatives aux personnes physiques et morales mises en cause dans la procédure judiciaire.
 Tout d'abord, la commission prend acte des précisions du ministère, selon lesquelles l'expression « personne mise en cause dans la procédure judiciaire » est plus large que les notions de « mis en examen » ou de « personne poursuivie ». Les personnes physiques ou morales interposées (intermédiaires qui prennent la forme de prête-nom, de société d'interposition, etc.) peuvent être mises en examen ou poursuivies en tant que complices, blanchisseurs ou sur le fondement de la non-justification de ressources. Le ministère a ajouté que si elles ne le sont pas pour des raisons d'opportunité, elles apparaissent toutefois dans la procédure pénale puisque, par hypothèse, il y a eu une décision de saisie ou de confiscation d'un de leurs biens.
 En outre, la commission observe que ces cas d'interposition de personnes ou de sociétés ont bien été pris en compte, puisqu'en application de l'article 706-161, alinéa 5, du code de procédure pénale, « l'agence met en œuvre un traitement de données à caractère personnel qui centralise les décisions de saisie et de confiscation dont elle est saisie quelle que soit la nature des biens, ainsi que toutes les informations utiles relatives aux biens visés, à leur localisation et à leurs propriétaires ou détenteurs ».
 Les données à caractère personnel concernant l'identité n'appellent pas d'observation particulière de la commission.
 S'agissant de l'« indicateur de qualité de propriétaire, de détenteur du bien saisi et la nature du droit réel (indivision, nue-propriété, usufruit) et noms des propriétaires indivis », la commission considère que ces informations sont indispensables aux formalités de publicité foncière assignées à l'agence en cas de saisie immobilière, notamment afin de rendre ces décisions opposables au tiers.
 Informations relatives aux personnes concourant à la procédure de saisie et de confiscation.
 La commission prend acte que seront enregistrées à ce titre des informations concernant les officiers de police judiciaire (nom, prénom, unité d'affectation), les douaniers appartenant au service de la douane judiciaire (nom, prénom, unité d'affectation), les magistrats (nom, prénom, fonction et juridiction) et les autorités étrangères (nom, prénom, service d'appartenance).
 Informations relatives à la procédure et au bien saisi et/ou confisqué.
 L'agence doit, à tout moment, être en mesure de rattacher un bien avec une procédure. Aussi, seront enregistrées les informations liées à l'affaire : les identifiants de la procédure, la date de la saisine de l'agence, le type de procédure (enquête de flagrance, enquête préliminaire ou instruction), le numéro de parquet ainsi que la date et la nature des décisions judiciaires intervenues sur les biens saisis et confisqués (décision définitive ; décision définitive n'ayant pas statué sur la confiscation ou décision frappée d'un appel ou d'un pourvoi).
 La commission prend acte que sera également enregistrée la nature des infractions servant de base légale à la saisie ou à la confiscation. La donnée d'infraction est par ailleurs indispensable puisqu'elle déterminera l'affectation des sommes à l'issue de la gestion du bien, les sommes confisquées dans le cadre de procédures pénales diligentées du chef d'infraction à la législation sur les stupéfiants devant abonder le fonds de concours « stupéfiants » créé par le décret n° 95-322 du 17 mars 1995, et non le budget général de l'Etat.
 Enfin, des informations relatives au bien saisi et/ou confisqué seront enregistrées. A ce titre, seront enregistrés dans le traitement le « numéro de scellé », et la « nature du bien », renseignée sous la forme d'un menu déroulant. Les « caractéristiques du bien » (description, valeur, localisation, registre cadastral, date d'acquisition du bien, mentions figurant à la conservation des hypothèques, ville, bureau, numéro de volume, hypothèque, privilège de prêteur de deniers) sont plus nombreuses pour les immeubles que pour les meubles : l'agence est en effet chargée de procéder à l'ensemble des publications aux bureaux des hypothèques territorialement compétents et au livre foncier du lieu de situation de l'immeuble pour les départements du Bas-Rhin, du Haut-Rhin et de la Moselle, au nom du procureur ou du magistrat instructeur, des décisions opérant des saisies pénales immobilières. A cet égard, certaines mentions doivent être obligatoirement renseignées, en vertu du décret n° 55-22 du 4 janvier 1955 sur la publicité foncière. Seront également renseignés la « date et lieu de saisie », les « diligences de l'agence à la suite du mandat de gestion » et « l'affectation des sommes à l'issue de la gestion du bien au budget général de Ulm ou au fond de concours "stupéfiants” ».
 Informations relatives aux parties civiles pouvant être indemnisées ou aux créanciers publics pouvant être informés des restitutions.
 La commission observe que le ministère a fait évoluer la rédaction du projet d'arrêté, afin de compléter les informations qui seront enregistrées à ce titre, notamment s'agissant des créanciers publics. L'agence a en effet un rôle d'information des administrations publiques pouvant détenir des créances notamment fiscales, douanières ou sociales : le fait de les informer, avant la restitution du bien, leur permettra de mettre en œuvre les voies d'exécution leur permettant d'obtenir paiement. Seront donc enregistrés à ce titre les « nom et adresse du créancier public, adresse, montant de la créance, date de saisine de l'agence ».
 L'agence a en outre un rôle d'information à l'égard des victimes et des parties civiles, justifiant la collecte de leurs « nom, prénom, adresse, montant de la créance, date de saisine de l'agence ».
 La commission estime que l'ensemble de ces informations sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
   Sur les destinataires :
 L'article 3 du projet d'arrêté prévoit que « les personnes qui dans le cadre légal de l'accomplissement de leur mission, ont directement accès aux données (...) sont les agents qui exercent leur activité au sein de l'Agence de gestion et de recouvrement des avoirs saisis et confisqués et qui sont habilités à les enregistrer ». La commission prend donc acte que peu d'agents seront habilités à accéder directement au traitement, puisque qu'il est prévu que l'agence sera composée d'une dizaine d'agents, qui seront issus de la magistrature, du budget et des services enquêteurs (gendarmerie, police et douane judiciaire). Par ailleurs, les personnes habilitées auront accès au traitement pour les seules affaires dont elles ont la charge.
 En outre, l'article 4 du projet d'arrêté prévoit que, dans le cadre de ses missions légales, l'agence pourra rendre destinataires des données plusieurs organismes. La commission constate que cet article a également été complété par rapport aux deux projets d'arrêté qui lui avaient été initialement soumis. Ces destinataires sont les suivants :
 ― les juridictions mandantes ;
 ― ses correspondants au sein des services enquêteurs (plate-forme d'identification des avoirs criminels et service national de douane judiciaire) en ce qui concerne l'identification des avoirs saisis et confisqués et de leur titulaire ;
 ― la direction nationale d'interventions domaniales pour la vente des biens saisis et confisqués ;
 ― le fonds de garantie des victimes des actes de terrorisme et d'autres infractions pour l'indemnisation des parties civiles prévue par l'article 706-164 du code de procédure pénale ;
 ― ses correspondants au sein des administrations publiques pouvant être titulaires de créances en cas de restitution, en application de l'article 706-161, alinéa 4, du code de procédure pénale.
 La commission observe que ces destinataires sont des partenaires de l'agence, avec qui elle entretient des liens étroits de collaboration, et qui l'accompagneront en matière d'indemnisation, de gestion des biens saisis et confisqués ou de lutte contre la fraude. Elle prend acte que l'agence, avec l'aide de la délégation nationale à la lutte contre la fraude (DNLF), a élaboré des protocoles avec les administrations concernées afin de prévoir une procédure d'échanges d'informations.
 La liste de ces destinataires est exhaustive et n'appelle pas de remarque particulière de la commission au regard des finalités poursuivies par le traitement.
   Sur la durée de conservation :
 L'article 5 du nouveau projet d'arrêté prévoit une durée de conservation de trois ans « à compter de la date à laquelle la gestion des biens confiés à l'agence est clôturée par l'affectation des sommes produites par sa gestion ». La clôture de l'affaire est définie comme la fin de la gestion du bien, une fois l'affectation opérée (budget général de l'Etat ou fonds de concours « stupéfiants »), ou la fin de la gestion des sommes produites par la gestion du bien ou par sa restitution par voie de justice ou de la somme équivalente si le bien a été vendu.
 Le ministère justifie cette durée de conservation de trois ans, au-delà de la clôture de l'affaire, par diverses raisons : demandes des parties civiles à des fins d'indemnisation, interrogations ou mises en causes contentieuses concernant ses actes de gestion, contrôles de la Cour des comptes.
 Par ailleurs, les mises à jour seront réalisées en cas d'amnistie, de réhabilitation ou de grâce.
   Sur les droits des personnes :
 L'article 7 du projet d'arrêté prévoit les modalités d'exercice des droits des personnes concernées.
 Le ministère a entendu exclure pour partie le droit d'information, puisque l'article 7 du projet d'arrêté prévoit que seules les personnes dont les données sont traitées en tant que personne concourant à la procédure de saisie et de confiscation, et en tant que parties civiles pouvant être indemnisées ou créanciers publics pouvant être informés des restitutions, sont informées du traitement de leurs données. Or, la commission considère qu'en l'espèce, le traitement projeté ne répond pas aux exigences posées par les V et VI de l'article 32.
 Dans le premier cas, si le traitement a bien pour objet, de manière incidente, « l'exécution de condamnations pénales » (la peine de confiscation, dont la saisie est le préalable), il apparaît à la commission qu'une telle limitation au droit d'information n'est pas nécessaire au respect des fins poursuivies par le traitement, contrairement aux exigences posées par le V de l'article 32 de la loi du 6 janvier 1978 modifiée. S'agissant du VI de l'article 32, il convient de rappeler que le traitement projeté n'a pas pour objet « la prévention, la recherche, la constatation ou la poursuite d'infractions pénales ». Au regard de l'ensemble de ces éléments, la commission invite le ministère à faire application de l'article 32 de la loi du 6 janvier 1978 modifiée dans toutes les hypothèses où cela s'avère matériellement possible.
 S'agissant du droit d'accès, le projet d'arrêté prévoit un droit d'accès mixte : un droit d'accès indirect pour les personnes physiques et morales mises en causes ainsi que pour les victimes/parties civiles et créanciers publics et un droit d'accès direct pour les personnes concourant à la procédure. Or, seul l'accès aux traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique est par principe indirect (article 41 de la loi du 6 janvier 1978 modifiée). Pour les traitements mis en œuvre aux fins de prévention, recherche ou constatation des infractions, l'accès indirect ne constitue qu'une possibilité, assortie d'une condition formelle (prévoir ce droit dans l'acte autorisant la mise en œuvre du traitement), conformément à l'article 42 de la loi du 6 janvier 1978 modifiée.
 Or, il convient de rappeler que le traitement projeté n'a pour objet ni l'un (sûreté de l'Etat, défense ou sécurité publique) ni l'autre (prévention, recherche ou constatation des infractions). Aussi, la commission prend acte de la modification acceptée par le ministère d'aménager pour tous un droit d'accès direct, conformément à l'article 39 de la loi du 6 janvier 1978 modifiée.
 La commission retient que le droit des personnes de s'opposer à l'enregistrement de leurs données dans le traitement, prévu à l'article 38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas au traitement projeté.
   Sur l'architecture du traitement, les sécurités et la traçabilité :
 La commission prend tout d'abord acte qu'aucune interconnexion, rapprochement ou toute autre forme de mise en relation avec d'autres traitements n'est prévu, notamment avec le fichier immobilier tenu par la conservation des hypothèques ou avec les registres cadastraux s'agissant des biens immobiliers saisis, ni avec le système d'immatriculation des véhicules (SIV) ou le fichier des véhicules volés (FVV) s'agissant des véhicules saisis, ni avec aucun des traitements mis en œuvre par les services enquêteurs, ou avec le traitement Cassiopée, qui permet la gestion des scellés.
 En outre, la commission se félicite que le ministère ait fait évoluer le projet d'arrêté en mentionnant expressément les mesures de traçabilité, comme elle le lui avait suggéré. Désormais, l'article 6 du projet d'arrêté prévoit que les consultations du traitement font l'objet d'une traçabilité, comprenant l'identifiant du consultant ainsi qu'un horodatage (date et heure). Le dossier laisse apparaître que les créations et les mises à jour le seront également ; la commission considère que les suppressions devraient l'être aussi et estime que l'ensemble des actions faisant l'objet de traçabilité devrait apparaître dans le projet d'acte réglementaire. La commission prend donc acte de l'engagement du ministère de préciser dans l'acte réglementaire les actions qui seront tracées (créations, modifications, suppressions et consultations), même si ces informations ne figurent pas au nombre de celles exigées par l'article 29 de la loi du 6 janvier 1978 modifiée.
 Ces traces sont conservées un an (un mois sur support électronique, puis éditées sur support papier et stockées onze mois). La commission est réservée sur ce point, dans la mesure où il est particulièrement difficile, voir impossible, d'exploiter des traces conservées sur papier. La commission préconise plutôt de les archiver sur un autre support, par exemple sur DVD, afin de permettre une meilleure exploitation de ces traces, et ainsi une meilleure détection des usages anormaux.
 En outre, au regard des biens gérés par l'agence (importantes sommes d'argents, biens immobiliers, véhicules de luxe, etc.) et des enjeux en matière d'appréhension des avoirs criminels, une traçabilité et une transparence de l'ensemble des opérations effectuées sur ces biens sont indispensables. Aussi, afin de pouvoir exploiter au mieux ces traces, la commission a proposé au ministère de porter cette durée de conservation des traces à trois ans, durée qui correspond par ailleurs à la durée de prescription de l'infraction de détournement de finalité, prévue à l'article 226-21 du code pénal. La commission prend acte que cette dernière durée de conservation a finalement été retenue par le ministère.
 La commission prend acte des modalités d'authentification, qui sont satisfaisantes au regard de l'article 34 de la loi du 6 janvier 1978 modifiée, mais invite le ministère à mettre en œuvre dans les meilleurs délais des moyens techniques destinés à assurer le renouvellement périodique et la robustesse des mots de passe.
 Concernant les mesures de blocage automatique du poste client, la commission encourage vivement le ministère à poursuivre ses tests afin que ce blocage automatique puisse intervenir rapidement.