Délibération n°2009-170 du 26 mars 2009 portant avis sur un projet de décret en Conseil d’Etat relatif au bureau d’ordre national automatisé des procédures judiciaires et au traitement dénommé « Cassiopée ».
Nature: Avis

(saisine n°09001675)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de la justice, le 20 janvier 2009 d’un projet de décret en Conseil d’Etat relatif au bureau d’ordre national automatisé des procédures judiciaires et au traitement dénommé « Cassiopée » ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n°2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par le décret n°2007-401 du 25 mars 2007 ;
Vu le code pénal ;
Vu le code de procédure pénale, notamment son article 48-1 ;
Après avoir entendu Mme Claire DAVAL, commissaire, en son rapport et Mme Pascale COMPAGNIE, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie le 20 janvier 2009 pour avis par le ministère de la justice d’un projet de décret en Conseil d’Etat relatif au bureau d’ordre national automatisé des procédures judiciaires et au traitement dénommé « Cassiopée » et d’un dossier de formalités.
Le dispositif envisagé s’inscrit dans un plan de développement des nouvelles technologies dans les juridictions et constitue, après la numérisation des procédures pénales, l’un des chantiers majeurs de la politique de modernisation du fonctionnement de l’institution judiciaire, lequel doit permettre l’amélioration du traitement des dossiers et la fluidité des transmissions entre les différents acteurs concernés.
Il convient également de souligner que le déploiement de l’application « Cassiopée » au sein des juridictions est un projet particulièrement ambitieux qui s’inscrit dans un contexte marqué par de profondes mutations, qu’il s’agisse de la réforme de la carte judiciaire ou des réformes annoncées de l’instruction et de la justice des mineurs. 
La mise en œuvre du traitement « Cassiopée » devrait permettre de concrétiser le processus d’uniformisation des chaînes pénales, dont le principe ressort des dispositions de l’article 48-1 du code de procédure pénale, consacré au bureau d’ordre national automatisé des procédures judiciaires.  En cela, il se substituera à l’ensemble des applications pénales déjà utilisées au sein des tribunaux de grande instance, qu’elles reposent sur un support national (Micro-pénale, Mini-pénale et EPWIN) ou des développements locaux (INSTRU, WINSTRU, WINEURS).
Selon le ministère de la justice, la mise en œuvre du traitement « Cassiopée » devrait permettre à terme de mieux  assurer la maîtrise de la totalité du processus pénal incluant l’assistance éducative des mineurs, ainsi que l’enregistrement de procédures civiles et commerciales des parquets.
Il permet d’assurer notamment la gestion des audiences, l’élaboration des décisions des juridictions de jugement et des pièces associées, la gestion des voies de recours et des recours en grâce, la gestion des requêtes, la gestion des scellés et des objets en gardiennage, la gestion de l’exécution des peines, la gestion des agendas, les systèmes d’alertes /relances, le système d’édition des documents, l’archivage électronique, les recherches/consultation intra et inter-juridictions.
La Commission déplore que le projet « Cassiopée » ait été expérimenté sans que l’avis préalable de la CNIL ait été recueilli et regrette qu’un bilan de cette expérimentation ne lui ait pas été adressé.
Sur les finalités.
Le projet de décret en Conseil d’Etat, soumis pour avis à l’examen de la Commission, vise à déterminer les modalités d’application de l’article 48-1 du code de procédure pénale, qui a pour objet le bureau d’ordre national automatisé des procédures judiciaires. Le traitement « Cassiopée » concrétise ainsi ce bureau d’ordre national automatisé des procédures judiciaires. 
Il répond donc aux finalités assignées au bureau d’ordre national automatisé des procédures judiciaires telles qu’elles sont définies aux termes du premier alinéa de l’article 48-1 précité, lequel dispose, notamment, que « le bureau d'ordre national automatisé des procédures judiciaires constitue une application automatisée, placée sous le contrôle d'un magistrat, contenant les informations nominatives relatives aux plaintes et dénonciations reçues par les procureurs de la République ou les juges d'instruction et aux suites qui leur ont été réservées, et qui est destinée à faciliter la gestion et le suivi des procédures judiciaires par les juridictions compétentes, l'information des victimes et la connaissance réciproque entre les juridictions des procédures concernant les mêmes faits ou mettant en cause les mêmes personnes, afin notamment d'éviter les doubles poursuites ».
Outre ces finalités, le traitement « Cassiopée », mis en œuvre dans les tribunaux de grande instance, est destiné, conformément aux dispositions de l’article R.15-33-61 du code de procédure pénale créé par l’article 1er du projet de décret, à « améliorer la qualité de traitement des affaires pénales et d’assistance éducative par une harmonisation du traitement des procédures », à « faciliter et optimiser le travail des fonctionnaires et des magistrat des tribunaux de grande instance ayant en charge le traitement des procédures pénales et d’assistance éducative », « rationaliser le travail de greffe par la mutualisation des informations saisie par les services et par des gains en efficacité dans les tâches à accomplir dans les dossiers », et à « assurer l’enregistrement des procédures civiles et commerciales des parquets ».
Au cours de l’instruction de la demande d’avis, des précisions ont été sollicitées auprès du ministère.
Il a ainsi été souligné qu’il n’était pas fait mention aux termes de l’article R.15-33-61 (nouveau) du code de procédure pénale des procédures administratives conduites par le juge des libertés et de la détention alors que ces dernières étaient visées à l’article R.15-33-64 (nouveau) du même code, qui aborde la question des durées de conservations des données contenues dans le traitement. Compte tenu de ces observations, le ministère de la justice a indiqué à la Commission qu’il entendait compléter l’article R.15-33-61 (nouveau) sur ce point en y ajoutant un nouvel alinéa indiquant que le traitement avait également vocation à « assurer l’enregistrement des procédures administratives du juge des libertés et de la détention ».
En revanche, interrogé sur le point de savoir si la gestion de l’entraide pénale internationale avait vocation à être intégrée à l’application « Cassiopée », le ministère de la justice a précisé qu’elle était couverte par les dispositions des troisième et quatrième alinéas de l’article R.15-33-61 (nouveau) du code de procédure pénale et qu’il n’y avait donc pas lieu de le compléter à ce propos.
Au vu des éléments qui précèdent, la Commission considère que les finalités du traitement n’appellent pas, en l’état, d’observations particulières.
Sur les données enregistrées.
L’article R.15-33-63 (nouveau) du code procédure pénale définit trois catégories de données à caractère personnel susceptibles d’être enregistrées dans le traitement : les informations  relatives aux personnes physiques, les informations relatives aux procédures commerciales des parquets et les informations relatives aux infractions, condamnations ou mesures de sûreté.
L’ensemble des catégories de données énoncées aux termes de cet l’article ne feront pas systématiquement l’objet d’un enregistrement. Ce dernier  sera conditionné aux nécessités des différentes procédures engagées. 
La Commission prend acte de ce que, à sa demande, le ministère a pris l’engagement de compléter l’article R.15-33-63 du code de procédure pénale, par la phrase suivante : « Dans la stricte mesure où elles sont nécessaires à la poursuite des finalités mentionnées à l’article R.15-33-61, les données suivantes sont enregistrées dans l’application Cassiopée ».
Sur les données dites « sensibles ».
Il convient de relever que le projet de décret ne comporte aucune mention particulière relative à la collecte et au traitement de données dites « sensibles », au sens de l’article 8 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004. 
Interrogé sur ce point, le ministère de la justice a indiqué qu’aucune disposition spécifique n’avait été prévue en la matière dès lors que les seules données sensibles qui auraient « vocation à apparaître indirectement dans le traitement sont celles relatives aux qualifications des infractions et plus particulièrement aux infractions aggravées » et rappelé que, hormis ces cas, le principe de l’interdiction serait rappelé aux magistrats ainsi qu’aux fonctionnaires des greffes, au moyen notamment d’une fiche de consigne.
Néanmoins, si l’on ne peut que se réjouir de la volonté affichée par le ministère de la justice d’opérer une sensibilisation des magistrats et des fonctionnaires des greffes sur ce point, il n’en demeure pas moins que, dans un souci de transparence, le principe de l’interdiction de la collecte des données sensibles devrait être rappelé aux termes du projet de décret avant que ne soit précisé les cas dans lesquels celle-ci est, à l’évidence, envisagée.
En effet, il devrait être expressément mentionné que de telles données ne pourront être collectées et traitées que dans le cadre du renseignement des rubriques de l’application consacrées aux infractions, condamnations ou mesures de sûreté. 
Enfin, dans la mesure où il apparaît que certaines pièces de procédure seront éditées à partir de l’application et pourront être conservées dans cette dernière, il conviendrait que le projet de décret fasse également état de ce que des données « sensibles » pourront également être enregistrées dans le traitement à raison de leur mention dans lesdites pièces.
Sur les données bancaires
En ce qui concerne la collecte et le traitement des données bancaires, notamment pour les témoins assistés et les personnes mises en examen, il a été indiqué que « l’usage de ces informations [servait] à élaborer la qualification développée de certaines infractions ». Toutefois, la Commission émet des réserves quant à la pertinence de l’enregistrement de telles données dans les rubriques de l’application elle-même (ce qui n’exclut en rien qu’elles soient mentionnées dans les pièces de la procédure). En tout état de cause, cette collecte ne devrait être autorisée que pour les infractions financières ou dans les cas où la procédure le justifie. 
La Commission prend acte de ce que, à sa demande, le ministère a pris l’engagement de compléter l’article R.15-33-61 du code de procédure pénale, par la phrase suivante : « les données bancaires ne sont enregistrées dans l’application que dans la stricte mesure où elles sont nécessaires aux finalités poursuivies à l’article R.15-33-61 ».
Sur les informations relatives aux infractions, condamnations ou mesures de sûreté.
Au cours de l’instruction de la demande d’avis, des précisions ont été sollicitées auprès du ministère de la justice s’agissant de la rubrique portant sur l’état des personnes et des modalités de collecte des données relatives aux antécédents judiciaires.
Sur la rubrique portant sur l’état des personnes, il semble que cette dernière ne renvoie qu’au statut des personnes au cours de la procédure (mis en examen, prévenu, accusé, témoin, partie civile,…), comme en attestent les thésaurus transmis par le ministère de la justice. En cela, cette rubrique se distingue nettement de celles utilisées sous le même vocable dans certains traitements de police judiciaire. 
La Commission prend acte de ce que, à sa demande, le ministère s’est engagé à remplacer le terme « état des personnes » par « statut juridique des personnes au cours de la procédure ».
En ce qui concerne les données relatives aux antécédents judiciaires, il a été précisé que les rubriques dédiées seraient alimentées à partir des déclarations des personnes concernées ou de l’interrogation classique du casier judiciaire. 
La Commission prend acte des précisions apportées sur ce point.
Sur les durées de conservation.
Conformément au projet de décret, l’article R.15-33-64 (nouveau) du code de procédure pénale définit l’ensemble des durées de conservation des données enregistrées dans le traitement. Il les désigne en deux paragraphes, le premier étant applicable aux procédures pénales, le second aux procédures civiles ou commerciales.
Le ministère de la justice a indiqué que les durées de conservation prévues par cet article sont tantôt fondées sur le régime législatif et réglementaire applicable aux archives judiciaires, tantôt sur le régime applicable à la prescription.
Toutefois, la Commission observe que l’article 48-1-4° du code de procédure pénale relatif au bureau d’ordre national, prévoit que les informations contenues dans le traitement sont « conservées, à compter de leur dernière mise à jour enregistrée, pendant une durée de dix ans ou, si elle est supérieure, pendant une durée égale au délai de la prescription de l’action publique ou, lorsqu’une condamnation a été prononcée, au délai de la prescription de la peine ».
La Commission observe que l’article R.15-33-64 prévoit que « les informations sont conservées dix ans, à compter du dernier enregistrement concernant la procédure ou de la dernière mise à jour enregistrée » et estime que cette rédaction est trop large sur ce dernier point.
La Commission souhaite que le décret soit complété afin de préciser les critères et les modalités de calcul des délais de conservation en fonction de la nature des mises à jour enregistrées.
La Commission prend acte de ce que le ministère s’est engagé à compléter l’article R.15-33-64 pour mentionner les articles du code de procédure pénale et du code pénal fixant pour chacune des procédures concernées les délais de prescription.
Le I de cet article sera modifié comme suit :
« A vingt ans lorsqu’une condamnation a été prononcée en matière criminelle, conformément aux règles de prescription prévues par les dispositions de l’article 133-2 du code pénal ;
A vingt ans si la procédure porte sur des crimes mentionnés à l’article 706-47 ou le crime prévu par l’article 222-10 du code pénal commis sur un mineur, conformément aux règles de prescription prévues par les dispositions du 3ème alinéa de l’article 7 du présent code ;
A vingt ans si la procédure porte sur des délits de terrorisme ou de trafic de stupéfiants prévus par les articles 706-16 ou 706-26 ;, conformément aux règles de prescription prévues par les dispositions du deuxième alinéa des article 706-25-1 et 706-31 ;
à 30 ans si la procédure porte sur des crimes de terrorisme ou de trafic de stupéfiants prévus par les articles 706-16 ou 706-26., conformément aux règles de prescription prévues par les dispositions du premier alinéa des article 706-25-1 et 706-31 . »
S’agissant des procédures civiles et commerciales visées au II de l’article R-15-33-64 du projet de décret, la durée de conservation des données dans le traitement ne devrait pas excéder le délai de prescription des actions.
Sur les destinataires.
Les personnes habilitées à accéder au traitement ainsi que les destinataires sont définies à l’article R15-33-65 (nouveau) du code de procédure pénale.
Parmi les personnes habilitées à accéder au traitement, une distinction est établie selon qu’il s’agit d’informations relatives à des procédures pénales ou d’informations relatives aux autres procédures. Ainsi il n’est pas spécifié, s’agissant de ces dernières, que les personnes concernées ne seraient habilitées à y accéder que dans la mesure où elles seraient liées au traitement des procédures dont elles sont saisies, comme c’est le cas pour les informations relatives aux procédures pénales.
La Commission estime que cette distinction n’est pas justifiée et considère que cette garantie devrait concerner toutes les procédures et propose que le dernier paragraphe de l’article R.15-33-65 soit complété afin de préciser que « peuvent directement accéder aux autres informations enregistrées dans le traitement Cassiopée, pour les nécessités liées aux seules procédures dont ils sont saisis, les magistrats et les agents des greffes des tribunaux de grande instance ».
La Commission prend acte de ce que, à sa demande, le ministère s’est engagé à modifier l’article R.15-33-65 du code de procédure pénale, afin de différencier les destinataires suivant qu’ils interviennent dans le cadre d’une procédure pénale ou dans celui d’une procédure civile ou commerciale.
Cet article sera modifié comme suit :
Un I sera introduit au début du 1er alinéa
Un II ainsi rédigé sera  substitué au dernier alinéa :
« II. Peuvent directement accéder aux autres informations enregistrées dans le traitement Cassiopée, pour les nécessités des seules procédures dont ils sont saisis, les magistrats et les agents des greffes des tribunaux de grande instance ».
Sur les droits des personnes.
Selon l’article R.15-33-67 (nouveau) du code de procédure pénale, le droit d’accès et de rectification prévu aux articles 39 et 40 de la loi du 6 janvier 1978, modifiée par le loi du 6 août 2004, s’exerce auprès du procureur de la République pour les affaires civiles, commerciales et pénales et auprès du président de la dernière juridiction régulièrement saisie du dossier pour les affaires d’assistance éducative.
La Commission relève que le ministère de la justice n’envisage pas de modalités spécifiques d’information des personnes. Elle estime que, dans la mesure où est prévu un droit d’accès direct, les personnes concernées devraient être informées de l’existence même du traitement et des modalités d’exercice de leurs droits. 
Sur l’architecture du traitement et les sécurités.
Le traitement « Cassiopée » repose sur une base nationale centralisée de toutes les procédures judiciaires, alimentée par les 175 tribunaux de grande instance. 
L’authentification des utilisateurs est basée sur la saisie d’un login et d’un mot de passe individuels. La politique de mot de passe prescrit une longueur de huit caractères, une durée de vie de trois mois, un blocage du compte au bout de trois essais infructueux ainsi que l’interdiction de réutiliser les trois mots de passe précédents.
Le ministère a été interrogé sur l’opportunité qu’il y aurait à mettre en place des mécanismes d’authentification forts. En réponse, il a été indiqué à la Commission que cette hypothèse avait été écartée, essentiellement pour des raisons de coût financier.
Par ailleurs, le dossier technique transmis à l’appui de la demande d’avis indique qu’une politique d’habilitation sera mise en place afin de limiter l’accès aux données en fonction des profils des utilisateurs. Il est également indiqué que les accès au système seront journalisés. Il n’est cependant pas précisé quelles actions seront menées afin de détecter les usages anormaux du traitement « Cassiopée ».
Les données ne feront pas l’objet de mesures de chiffrement pendant leur stockage que ce soit en base de production ou lors des sauvegardes. Techniquement possibles, elles ont été jugées inappropriées par le ministère de la justice au regard du rendement attendu de l’application (performances, mise en œuvre et coût).
La Commission déplore dès lors, que de tels dispositifs n’aient pas été envisagés, compte tenu de la sensibilité des données enregistrées dans le traitement et du grand nombre d’agents habilités à y accéder.
Elle rappelle l’importance qu’elle attache à la mise en œuvre de mesures de sécurité fortes et appropriées au traitement et estime en conséquence que le ministère doit mettre en place le plus rapidement possible et à tout le moins lors de la prochaine évolution du système, les dispositifs nécessaires pour assurer le chiffrement de la base, permettre l’analyse des journaux d’exploitation ainsi qu’une remontée d’alertes et enfin instaurer un mécanisme d’authentification fort.
         Le Président,
Alex TURK.