# La CNIL rappelle à l'ordre concernant le fichier automatisé des empreintes digitales (FAED)

Alexandre Barbey et Eva Cellina, le 2 novembre 2021

Dans une décision prononcée le 24 septembre 2021, la CNIL a sanctionné le ministère de l'Intérieur pour sa mauvaise gestion du fichier automatisé des empreintes digitales (FAED).

Délibération de la formation restreinte no SAN-2021-016 du 24 septembre 2021 concernant le ministère de l'Intérieur

Le fichier automatisé des empreintes digitales (FAED) est un fichier de police judiciaire d'identification recensant les empreintes digitales et palmaires de personnes mises en cause dans des procédures pénales ainsi que les traces d'empreinte relevées sur les scènes de crime ou de délit. Il est mis en œuvre par le service central de la police technique et scientifique au ministère de l'Intérieur (art. 2 du décret n°87-249 du 8 avril 1987 relatif au fichier automatisé des empreintes digitales géré par le ministère de l'Intérieur) et permet de relier une personne à plusieurs identités ou alias et aux précédentes procédures dans lesquelles ses empreintes ont été relevées.

Suite à plusieurs contrôles effectués auprès des services de la police technique et scientifique, la formation restreinte, organe de la Commission Nationale de l'Informatique et des Libertés (CNIL) chargé de prononcer les sanctions (art. 16 de la loi Informatique et Libertés) constate cinq manquements dans la manière dont les données du FAED sont traitées par le ministère de l'Intérieur.

### (1) Conservation de données non prévues dans la législation

L'art. 4 du décret n°87-249 prévoit une liste limitative des informations pouvant figurer dans le FAED.

La CNIL constate que des informations supplémentaires sont traitées dans le FAED, comme le nom de la victime ou le numéro d'immatriculation d'un véhicule. Pour la formation restreinte, le fait que ces informations soient enregistrées sous la forme d'images (ne pouvant pas faire l'objet d'une recherche) n'enlève pas le caractère illicite d'un tel traitement dans la mesure où il n'est pas prévu dans la loi, en particulier dans le décret n°87-249.
De plus, sept millions de fiches de signalisations sont conservées en format papier dans un fichier dit « manuel » contenant tant des fiches anciennes datant de plus de dix ans que des fiches plus récentes qui sont destinées à être scannées et ajoutées dans le FAED. Quand bien même ce fichier n'est plus alimenté depuis 2017, l'art. 1 du décret n°87-249 couvre uniquement le traitement automatisé de traces et empreintes digitales et palmaires, à l'exclusion de tout fichier manuel au format papier. La conservation d'un tel fichier n'est pas non plus prévue dans une autre disposition législative. Ainsi, la CNIL en conclut qu'un tel traitement est illicite.

En outre, la CNIL estime que la volonté du ministère de l'Intérieur de procéder à la destruction dans les quatre prochaines années des fiches contenues dans le fichier manuel qui sont anciennes n'est pas suffisante, dans la mesure où aucun calendrier précis n'est fourni et que la durée de quatre ans n'est pas admissible au regard de l'ancienneté des fiches concernées, de la durée du manquement et de la nature des données concernées. De plus, la CNIL estime que même les fiches récentes qui sont destinées à être scannées et ajoutées dans le FAED ne peuvent pas être conservées, faute de légitimité pour le fichier manuel, et ce même dans l'hypothèse où les données en question pourraient légitimement figurer dans le FAED.

Ainsi, la CNIL constate un manquement de l'art. 89 de la loi Informatique et Libertés

(2) Conservation de données pour une durée non prévue dans la législation

L'art. 4 de la loi Informatique et Libertés prévoit que les données personnelles qui sont conservées sous une forme permettant l'identification des personnes concernées ne doivent pas être conservées pour une durée excédant ce qui est nécessaire au regard des finalités du traitement.

Depuis le 1er mars 2017, suite à une modification législative, l'art. 5 du décret n°87-249 fixe la durée de conservation des traces et des empreintes. Celle-ci est en principe de quinze ans (dix ans pour les empreintes des mineurs) et peut être de vingt-cinq ans (quinze ans pour les empreintes de mineurs) sur décision de l'autorité judiciaire ou au regard de la qualification de l'infraction. Avant le 1er mars 2017, les données étaient conservées pour une durée de vingt-cinq ans dès l'établissement de la fiche.

La CNIL constate que les modalités de conservation des données du FAED ne tiennent pas compte de la modification entrée en application en 2017. De plus, le point de départ de cette durée est calculé à partir de la dernière signalisation de la personne concernée, et non à compter de l'établissement de chaque fiche. Une purge automatique intervient après vingt-
cinq ans si une personne n'avait pas à nouveau été signalisée.

La CNIL constate ainsi que deux millions de fiches sont conservées au-delà des durées de conservations prévues par la loi.

Les mesures prises et les corrections effectuées par le ministère de l'Intérieur ont permis de ne plus avoir aucune fiche du traitement automatisé qui soit conservée au-delà de durée prévue dans la loi. Toutefois, la CNIL estime que ces mesures ont été prises tardivement au vu des nouvelles règles de conservation des données entrées en application depuis 1er mars 2017.

Ainsi, la CNIL constate un manquement de l'art. 4 de la loi Informatique et Libertés.

(3) Conservation de données relatives à des personnes ayant bénéficié d'un acquittement, d'une relaxe, d'un non-lieu ou d'un classement

L'art. 7-1 du décret n°87-249 prévoit que les données sont effacées du FAED lorsqu'une décision de relaxe ou d'acquittement devient définitive et qu'elles sont en principe effacées en cas de décision de non-lieu ou de classement sans suite, sauf en cas de décision contraire du procureur de la République. Le service gestionnaire du FAED doit recevoir ces décisions par le biais de « fiches navettes » afin de supprimer les données qui n'ont plus à y figurer. Cependant, la CNIL constate qu'en raison de pratiques très variables entre les différentes institutions judiciaires, le service gestionnaire n'était pas informé desdites décisions et ne pouvait donc pas tenir le FAED d'une manière qui soit conforme à l'art. 7-1 du décret n°87-249.

Le ministère de l'Intérieur argue qu'une circulaire et une dépêche rappelant les règles de suppression des données avaient été mises en circulation en 2016. Cependant, la CNIL considère que cela n'est pas suffisant pour le responsable du traitement, qui ne pouvait par ce seul moyen, s'assurer de l'exactitude des données. Le ministère doit mettre en place un système permettant d'avoir la certitude du bon acheminement des « fiches navettes » au service gestionnaire du FAED. Autrement dit, ni le simple envoi de circulaires rappelant les obligations découlant du décret n°87-249, ni leur simple existence, ne permettent de remplir les exigences relatives à l'exactitude des données posées pas l'art. 97 de la loi Informatique et Libertés. Une information proactive régulière par le ministère de l'Intérieur aux institutions judiciaires, rappelant leurs obligations d'avis au service gestionnaire, aurait dû être mise en place.
De plus, le contenu de la circulaire est également problématique, car celui-ci prévoit un renversement du principe donné à l'art. 7-1 du décret n°87-249 selon lequel le procureur de la République peut se prononcer en faveur du maintien des données dans le FAED, alors que celles-ci devraient être supprimées. Il nous faut rappeler qu'une circulaire n'a pas force de loi. Elle n'existe que pour des raisons pratiques, mais ne peut en aucun cas supplanter le contenu des textes légaux. Là aussi, un manquement à l'art. 97 de la loi Informatique et Libertés a été constaté par la CNIL.

### (4) Sécurité des données insuffisante

La CNIL a constaté un manquement dans les mesures de sécurité prises par le ministère de l'Intérieur (art. 99 de la loi Informatique et Libertés). Les empreintes digitales et palmartes enregistrées dans le FAED sont des données biométriques au sens de l'art. 6 de la loi Informatique et Libertés. Elles doivent donc bénéficier de mesures de protection appropriées aux traitements de données sensibles. Deux problèmes ont été constatés.

Tout d'abord, le FAED était accessible depuis les postes de police, de gendarmerie et de douane, au moyen d'un simple identifiant combiné à un mot de passe. Or, cela ne constitue pas une mesure de protection appropriée en raison de la présence de personnes ne faisant pas partie des forces de l'ordre dans ces locaux. Un accès au FAED par le biais de « cartes-agent », uniques et identifiantes, que tout fonctionnaire de police a déjà en sa possession, couplées à un code PIN est préconisé en tant que processus d'authentification fort.

Ensuite, l'existence du FAED implique que les données biométriques à inscrire ne doivent pas être enregistrées en amont sur un serveur local, ni sous format papier. En effet, les standards de sécurité ne sont alors pas suffisants. Ainsi, seules une conservation et une manipulation de ces données sensibles au sein du FAED sont possibles.

### (5) Absence d'information des personnes concernées

La CNIL a finalement constaté un manquement relatif à l'information des personnes concernées (art. 104 de la loi Informatique et Libertés). Aucune information à propos du traitement de données engendré par le FAED n'était communiquée aux personnes concernées, que ce soit directement lors de la procédure, ni même par le biais d'un affichage dans les locaux de garde à vue, sans qu'une restriction du droit à l'information n'existe.

Même s'il était possible pour les personnes concernées d'avoir accès aux documents renseignant le traitement de données sur le site web du ministère de l'Intérieur, cela seul ne peut
être considéré comme remplissant l'obligation d'information. Être conscient du fait que nos données personnelles font l'objet d'un traitement reste l'un des problèmes majeurs lorsqu'aucune information n'est fournie. Le responsable du traitement ne peut attendre des personnes concernées qu'elles effectuent elles-mêmes les recherches aux fins de s'informer.

## Conclusions de la CNIL

La CNIL a formulé plusieurs injonctions à l'encontre du ministère de l'Intérieur et lui a fixé un délai pour se mettre en conformité au 31 octobre 2021, ainsi qu'un délai au 31 décembre 2022 s'agissant de la suppression du « fichier manuel ».

## Et en Suisse ?

En Suisse, le pendant au FAED est le système automatique d'identification des empreintes digitales (AFIS), géré par l'Office fédéral de la police (fedpol) et par le Secrétariat d'État aux migrations (art. 1er et 3 al. 1 de l'ordonnance sur le traitement des données signalétiques biométriques). Les droits des personnes concernées sont régis par la LPD (art. 5 de l'ordonnance). La sécurité des données doit se faire à l'aune des dispositions de l'OLPD (art. 14 de l'ordonnance). L'AFIS contient uniquement des données signalétiques biométriques (art. 7 et 8 de l'ordonnance), qui peuvent être reliées à d'autres données relatives à des personnes figurant dans d'autres registres par le service chargé de la gestion d'AFIS (art. 15 de l'ordonnance).

Proposition de citation : Alexandre BARBEY / Eva CELLINA, La CNIL rappelle à l'ordre concernant le fichier automatisé des empreintes digitales (FAED), 2 novembre 2021 in www.swissprivacy.law/99

<figure><img src="image_1.png" /></figure>