Délibération n° 2018-355 du 13 décembre 2018 portant avis sur un projet de décret autorisant la mise en œuvre par la direction du renseignement militaire d’un traitement automatisé de données à caractère personnel dénommé « DOREMI » (demande d’avis n° 2203871)

Nature: Avis

La Commission nationale de l'informatique et des libertés,
Saisie par la ministre des armées d’une demande d’avis concernant un projet de décret autorisant la mise en œuvre par la direction du renseignement militaire d’un traitement automatisé de données à caractère personnel dénommé DOREMI ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code de la défense, notamment son article L. 2381-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu le décret du 2 août 2017 autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel dénommé BIOPEX ;
Vu l’arrêté du 22 septembre 1994 relatif au traitement automatisé d’informations nominatives de personnes étrangères mis en œuvre par la direction du renseignement militaire ;
Vu la délibération n° 93-069 du 6 juillet 1993 portant avis sur le projet d’arrêté présenté par le ministère de la défense relatif au traitement automatisé d’informations nominatives mis en œuvre par la direction du renseignement militaire ;
Vu la délibération n° 2017-216 du 13 juillet 2017 portant avis sur un projet de décret autorisant la mise en œuvre d’un traitement automatisé de données à caractère personnel dénommé BIOPEX ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Émet l’avis suivant :
La Commission a été saisie par la ministre des armées d’une demande d’avis relative à un projet de décret autorisant la mise en œuvre par la direction du renseignement militaire (DRM) d’un traitement automatisé de données à caractère personnel dénommé DOREMI (données du renseignement militaire).
Ce traitement doit permettre de collecter, de conserver et de traiter des données à caractère personnel afin d’apprécier le comportement et la vulnérabilité des personnes qui, en raison de leurs fonctions ou de leurs activités, déterminent conduisent ou exécutent les missions exercées par les forces armées ou les forces de sécurité d’un Etat étranger, ou qui agissent au sein ou pour le compte de groupes armés non étatique (appartenance à un groupe terroriste ou aide ponctuelle à un tel groupe) ou d’organismes en lien avec la défense de cet Etat (tels que des agences gouvernementales). Ce traitement doit également permettre d’apprécier le comportement et la vulnérabilité des personnes impliquées dans le dispositif français de renseignement militaire alors même qu’elles n’appartiennent pas au personnel des différents services de renseignement français.
La Commission relève que ce traitement a vocation à se substituer au traitement automatisé de données à caractère personnel dénommé PERSETRAN , sur lequel elle s’est prononcée dans sa délibération n° 93- 069 du 6 juillet 1993 susvisée et dont la finalité est de centraliser des informations nominatives sur des personnalités étrangères, civiles et militaires en relation avec la politique de défense ou avec les forces armées de leur pays.
Dans la mesure où le traitement DOREMI intéresse la défense et la sûreté de l’Etat, et que des données mentionnées au I de l’article 8 de la loi du 6 janvier 1978 modifiée sont susceptibles d’être enregistrées, celui-ci doit dès lors faire l’objet d’un décret en Conseil d’Etat, pris après avis de la Commission conformément aux dispositions des articles 8-I, 26- II de la loi du 6 janvier 1978 modifiée.
En application des dispositions du III de l’article 26 de la loi du 6 janvier 1978 modifiée, l’arrêté du 22 septembre 1994 portant création de ce traitement a fait l’objet d’une dispense de publication et figure ainsi à l’article 2 du décret n° 2007-914 du 15 mai 2007 susvisé. Dès lors, conformément aux dispositions des articles 26-III et 30 de la loi du 6 janvier 1978 modifiée, seul le sens de l’avis de la Commission devra être publié, dans les conditions prévues par l’article 83 du décret n° 2005-1309 du 20 octobre 2005 modifié.
Elle relève également que, comme pour le traitement PERSETRAN, le ministère souhaite en outre que le traitement ne soit pas soumis au contrôle prévu à l’article 44 de la loi du 6 janvier 1978 modifiée.
D’une manière générale, la Commission considère que les dispositions de la loi du 6 janvier 1978 modifiée permettant d’écarter le principe de publication d’un acte réglementaire, de limiter les informations qui lui sont communiquées sur un projet de traitement ou d’écarter l’exercice de son contrôle a posteriori ne doivent être utilisées que dans la stricte mesure où des considérations liées à la sûreté de l’Etat et à la défense nationale l’exigent. Elle souligne que la sensibilité des traitements qui peut, dans des circonstances spécifiques, justifier de préserver la confidentialité des conditions de leur mise en œuvre, appelle tout autant de garanties fortes permettant d’assurer la compatibilité des mesures tendant à préserver la sûreté de l’Etat et la défense nationale avec le respect du droit à la protection de la vie privée et des données personnelles.
En l’espèce, elle relève tout d’abord que l’absence d’éléments précis sur les conditions de mise en œuvre du dispositif prive la Commission de la possibilité d’apprécier le respect de l’ensemble des principes posés par la loi du 6 janvier 1978 modifiée.
En outre, si les finalités particulières poursuivies par le traitement DOREMI peuvent justifier la dispense de publication du décret autorisant sa création, la Commission regrette compte tenu de la sensibilité du dispositif projeté, que le ministère entende exclure l’exercice de son pouvoir de contrôle a posteriori. Elle rappelle qu’une telle exclusion n’est aucunement rendue obligatoire par la loi du 6 janvier 1978 modifiée, qui offre une simple faculté au pouvoir réglementaire en la matière, que les membres et agents de la Commission sont astreints par la loi au secret professionnel, qu’une partie d’entre eux disposent d’une habilitation au secret de la défense nationale et que les modalités d’exercice de ce contrôle pourraient être simplement adaptées au regard de la sensibilité du traitement.
Au-delà de ces éléments généraux, le projet de décret autorisant la mise en œuvre du traitement DOREMI appelle les observations suivantes.
Sur les finalités du traitement :
L’article premier du projet de décret prévoit que le traitement DOREMI a pour finalités la collecte, la conservation et le traitement des données à caractère personnel nécessaires pour apprécier le comportement et la vulnérabilité : 
1° des personnes qui, en raison de leurs fonctions ou de leurs activités, déterminent, conduisent ou exécutent les missions exercées par les forces armées ou les forces de sécurité d’un Etat étranger ou qui agissent au sein ou pour le compte de groupes armés non étatiques ou d’organismes en lien avec la défense de cet Etat ;
2° des personnes impliquées dans le dispositif français de renseignement militaire .
La Commission relève que le traitement projeté doit permettre à la DRM, dans un contexte où les menaces auxquelles sont confrontées les forces armées présentent un caractère transnational, d’améliorer l’efficacité de la collecte et de l’exploitation du renseignement d’intérêt militaire, l’aide au commandement pour l’élaboration d’analyses, de synthèses et de statistiques, la réduction des délais de transmission et de traitement de tels renseignements, le renforcement de la sécurité des informations contenues dans la base de données, et l’optimisation de la gestion du renseignement d’intérêt militaire.
A cet égard, elle prend acte que l’optimisation de la gestion du renseignement militaire nécessite de s’intéresser à l’ensemble des acteurs et à leur environnement, susceptibles de provoquer l’emploi de moyens militaires ou d’avoir des conséquences sur les forces armées et les intérêts nationaux. 
La Commission relève néanmoins qu’en procédant à la refonte du traitement PERSETRAN, le ministère entend élargir les finalités poursuivies par ce dernier. A ce titre, elle rappelle qu’aux termes de l’arrêté du 22 septembre 1994 susvisé, ce traitement vise uniquement les renseignements concernant les étrangers qui, en raison de leurs fonctions ou de leurs activités, déterminent, conduisent ou exécutent les missions confiées aux forces armées de leur pays ou d’autres pays ou qui agissent au sein d’organismes gouvernementaux œuvrant pour la défense .
Elle observe également que les modifications envisagées conduisent à élargir tant le champ des personnes concernées que celui des données à caractère personnel qui peuvent être collectées.
En particulier, la Commission relève que le traitement initialement mis en œuvre par la DRM ne vise que les personnes de nationalité étrangère et non les ressortissants français. Elle prend acte des précisions apportées par le ministère selon lesquelles cet élargissement doit permettre de tenir compte de l’évolution du type de menaces auxquelles sont confrontées les forces armées et, en pratique, de pouvoir assurer le suivi de djihadistes de nationalité française repérés sur les théâtres d’opérations extérieures.
Si cette modification n’appelle pas d’observation particulière, la Commission souligne en revanche qu’en permettant la collecte de données à caractère personnel afin d’apprécier le comportement et la vulnérabilité des personnes impliquées dans le dispositif français de renseignement militaire , le nombre de personnes susceptibles d’être enregistrées dans le traitement DOREMI est de nature à augmenter de manière significative.
Dans ce contexte, elle prend acte des précisions apportées par le ministère selon lesquelles sont ainsi visées les personnes qui n’appartiennent pas au personnel des différents services de renseignement français et dont le suivi serait justifié afin de s’assurer de l’intégrité d’une personne occupant des fonctions présentant un intérêt pour le renseignement militaire et garantir dès lors que le degré de confiance qu’il est possible de lui accorder est suffisant.
La Commission observe que le suivi des personnes visées dans cette hypothèse est étroitement lié au poste occupé par celles-ci, sans pour autant qu’un lien direct avec les missions exercées par les forces armées ou les forces de sécurité d’un Etat étranger, les activités de groupes armés non étatiques ou d’organismes en lien avec la défense d’un Etat étranger soit établi. Sans remettre en cause la légitimité d’une telle finalité, elle estime, au regard du nombre de personnes potentiellement concernées, que le projet de décret devrait être précisé afin de prendre en compte les précisions apportées par le ministère et définir ainsi strictement ce qu’il faut entendre par les personnes impliquées dans le dispositif français de renseignement militaire .
Sur les données collectées et la mise en relation avec le traitement BIOPEX :
L’article 2 du projet de décret prévoit l’enregistrement des catégories de données et informations suivantes :
les informations ayant trait à l’état civil ;
les titres d’identité ou autres documents administratifs ;
les photographies comportant des caractéristiques techniques permettant de recourir à un dispositif de reconnaissance faciale (photographie du visage de face et de profil) ;
les descriptions physiques et les signes physiques particuliers ;
les adresses physiques, numéros de téléphone et adresses électroniques ;
la situation militaire ;
la situation familiale ;
les activités professionnelles et extra-professionnelles ;
les langues parlées ;
les informations économiques et financières ;
les déplacements et séjours en France et à l’étranger ;
les informations relatives aux antécédents judiciaires ;
les appréciations relatives aux vulnérabilités de la personne ;
les données relatives à l’environnement de la personne, notamment aux personnes entretenant ou ayant entretenu des relations directes et non fortuites avec elle ;
l’immatriculation des véhicules ;
les motifs de l’enregistrement des données au regard des conditions énoncées à l’article 1er relatif aux finalités poursuivies par le traitement DOREMI.
L’article 2 précise également que ces informations ne doivent être enregistrées que dans la stricte mesure où elles sont nécessaires à la poursuite des finalités mentionnées à l’article 1er du projet de décret , ce dont la Commission prend acte, tout en rappelant que cette précision ne peut constituer une garantie de la proportionnalité du dispositif que dans la mesure où les finalités du traitement sont définies de manière suffisamment explicite et précise pour encadrer rigoureusement la collecte réalisée.
La Commission rappelle, en outre, que la même exigence de stricte proportionnalité devra être appliquée s’agissant de la collecte de données sensibles mentionnées au I de l’article 8 de la loi du 6 janvier 1978 modifiée, autorisée par le II de l’article 2 du projet de décret, à l’exception des données génétiques qui ne pourront pas être enregistrées dans le traitement DOREMI. Elle prend ainsi acte des précisions apportées par le ministère selon lesquelles la collecte, par exemple, d’informations relatives à la santé de la personne concernée, à sa vie sexuelle ou encore à son orientation sexuelle ne sera pas systématique.
Ces éléments généraux rappelés, plusieurs points appellent des observations ou réserves de la part de la Commission.
En premier lieu, la Commission prend acte de ce que les informations ayant trait à l’état civil ou à l’identité déclarée reprennent pour l’essentiel les données mentionnées par l’arrêté du 22 septembre 1994 susvisé, soit le nom, le prénom, la date de naissance, le lieu de naissance, la nationalité, les liens de parenté et l’adresse personnelle. Elle observe qu’il est prévu que ces données puissent être collectées au moyen d’autres documents administratifs que les titres d’identité, tels que les cartes de combattant ou les cartes de visite des personnes concernées afin de pallier aux difficultés résultant des situations dans lesquelles il ne sera pas possible d’obtenir des informations sur l’état- civil des personnes concernées.
En deuxième lieu, le projet de décret prévoit la collecte des photographies comportant des caractéristiques techniques permettant de recourir à un dispositif de reconnaissance faciale (photographie du visage de face et de profil).
La Commission rappelle que si la collecte de la photographie est actuellement autorisée dans le cadre de la mise en œuvre du traitement PERSETRAN, le ministère entend désormais permettre de recourir à un dispositif de reconnaissance faciale. A cet égard, le projet de décret précise que les données biométriques collectées sont celles enregistrées dans le traitement prévu par le décret du 2 août 2017 susvisé avec lequel le présent traitement est mis en relation , à savoir le traitement BIOPEX, sur lequel la Commission s’est prononcée dans sa délibération n° 2017-216 du 13 juillet 2017.
A titre liminaire, elle relève que l’acte encadrant le traitement BIOPEX prévoit la mise en relation de ce fichier avec les traitements mis en œuvre par les services de renseignement du ministère de la défense , incluant à ce titre le traitement DOREMI.
Elle prend acte des précisions selon lesquelles :
la mise en relation de ces deux traitements doit permettre de procéder à des comparaisons entre les photographies contenues dans DOREMI et celles conservées dans BIOPEX, afin de procéder au rapprochement des informations contenues dans ces deux fichiers, à l’exception des données génétiques et des autres données biométriques contenues dans BIOPEX ;
la collecte des photographies des personnes concernées ne se limitera pas à celles contenues dans le traitement BIOPEX ;
la mise en relation de ces deux traitements pourra porter sur d’autres catégories de données enregistrées dans BIOPEX.
De manière générale, la Commission rappelle que les hypothèses d’utilisation de données à caractère personnel, a fortiori de données biométriques, doivent être précisément et limitativement définies. A cet égard, si elle prend acte que ces données doivent permettre d’identifier les personnes dont la DRM est en charge d’apprécier le comportement et la vulnérabilité dans le cadre de sa mission de recherche et d’exploitation du renseignement d’intérêt militaire, la Commission estime que les cas d’usage de ces données devraient être précisés afin de s’assurer de la proportionnalité d’une telle collecte avec les finalités poursuivies par le traitement DOREMI.
En tout état de cause, elle prend acte des garanties suivantes entourant la mise en relation du fichier BIOPEX, avec le traitement DOREMI :
de la garantie selon laquelle aucune donnée biométrique ne pourra être collectée et conservée dans le traitement en dehors de celles provenant du fichier BIOPEX ;
de ce qu’aucune transmission automatique ne sera réalisée.
S’agissant en particulier de la mise en relation envisagée avec les autres catégories de données enregistrées dans le traitement BIOPEX, la Commission prend acte qu’elle s’inscrit dans le cadre de l’article L. 2381-1 du code de la défense qui prévoit la possibilité, pour les membres des forces armées et des formations rattachées, de procéder à des relevés signalétiques aux fins d'établir l'identité d’une personne, lorsqu'elle est inconnue ou incertaine, ainsi que sa participation antérieure aux hostilités, dans le cadre d'une opération mobilisant des capacités militaires se déroulant à l'extérieur du territoire français. 
Le ministère a précisé que les informations susceptibles d’être transmises dans cette hypothèse ont trait à l’état civil, aux titres d’identité, ainsi qu’aux numéros d’abonnement et aux identifiants techniques, lorsque de telles informations seront nécessaires aux finalités poursuivies par le traitement DOREMI.
La Commission considère dès lors que cette mise en relation, pour ces autres catégories de données, ne pourra intervenir que dans le cadre strictement prévu par l’article L. 2381-1 précité. Elle demande à ce que la transmission prévue dans cette hypothèse et dans ces conditions soit expressément mentionnée au sein du projet de décret. A cet égard, elle prend acte de l’engagement du ministère de modifier le projet de décret afin de prévoir que le traitement DOREMI peut être mis en relation avec le traitement prévu par le décret du 2 août 2017 pour les seules catégories de données ou informations communes aux deux traitements et dans la stricte mesure où elles sont nécessaires à la poursuite des finalités propres à chacun de ces traitements .
En troisième lieu, en ce qui concerne la collecte d’informations relatives aux antécédents judiciaires, la Commission souligne que ces informations peuvent être issues du traitement d’antécédents judiciaires (TAJ) prévu à l’article 230-6 du code de procédure pénale et pour lequel la DRM dispose d’un accès dans le cadre des enquêtes administratives réalisées sur les sources des agents de la DRM , en application de l’article R. 234-1 du code de la sécurité intérieure (CSI). Elle estime dès lors que l’enregistrement de données relatives aux antécédents judiciaires dans le traitement DOREMI doit se limiter à cette seule hypothèse. La Commission rappelle, en tout état de cause, que la conservation d’extraits du TAJ soulève des problématiques liées à la mise à jour des données et souligne d’une part, que la conservation de tels extraits au-delà de la réalisation du contrôle élémentaire ne doit être envisagée que dans la stricte mesure où elle est justifiée par les finalités du traitement et, d’autre part, qu’elle ne doit pas conduire à une nouvelle utilisation des données sans actualisation préalable. Elle rappelle qu’il reviendra au ministère d’être vigilant sur ces points.
En dernier lieu, en ce qui concerne les informations économiques et financières et les données relatives à l’environnement de la personne, notamment aux personnes entretenant ou ayant entretenu des relations directes et non fortuites avec elle , la Commission relève qu’aucune précision n’a été apportée sur les données effectivement collectées à ce titre.
Sur la durée de conservation des données : 
A titre liminaire, la Commission rappelle que lorsqu’elle a examiné les conditions de mise en œuvre du traitement PERSETRAN, elle a estimé que la durée de conservation de dix ans prévue par l’acte réglementaire qui lui était soumis pour avis, était proportionnée au regard des finalités poursuivies par ce traitement.
Si le projet de décret encadrant la création du traitement DOREMI ne définit pas la durée de conservation des données enregistrées dans le traitement, le ministère a apporté des précisions sur ce point à la Commission. Il a ainsi indiqué que la durée de conservation retenue ne saurait se limiter à dix ans compte tenu de l’âge de certaines cibles de la DRM et de la durée de leur implication dans des activités mettant en jeu le renseignement d’intérêt militaire.
Dans ce contexte, si la Commission prend acte de ce que la mission de renseignement à titre préventif implique une permanence et un suivi qui rendent difficile de fixer a priori une date pour l’effacement des données, elle rappelle que conformément à l’article 6-5° de la loi du 6 janvier 1978 modifiée, les données collectées doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée qui n’excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées .
Sans remettre en cause les nécessitées opérationnelles exprimées par le ministère afin de justifier de la conservation des données enregistrées dans le traitement pour une durée non déterminée, la Commission estime que la conservation à titre préventif de l’ensemble des données enregistrées dans le traitement alors même qu’aucun élément objectif ne permettrait de supposer l’existence d’une menace pour la sécurité ou la sûreté de l’Etat, ne permet pas de considérer qu’une durée de conservation des données figurant dans le traitement a effectivement été définie au regard des finalités pour lesquelles elles sont collectées et traitées.
Sur les destinataires :
L’article 3 du projet de décret prévoit que seuls les agents de la DRM individuellement désignés et spécialement habilités par le directeur du renseignement militaire sont autorisés, dans la limite du besoin d’en connaître, à accéder à l’ensemble des données enregistrées dans le traitement, ce qui n’appelle pas d’observation particulière de la part de la Commission au regard des missions que ces agents sont amenées à exercer. Elle souligne toutefois que le ministère n’a pas été en mesure de lui transmettre un nombre, même approximatif, d’agents de la DRM qui seraient alors autorisés à accéder au traitement dans les conditions précitées.
Ce même article précise que les personnels ou les agents suivants, individuellement désignés et spécialement habilités par l’autorité dont ils relèvent, peuvent être destinataires de tout ou partie des données enregistrées dans le traitement :
des états-majors, directions et services du ministère de la défense, dans la mesure exclusive où cette communication et rendue nécessaire pour répondre aux finalités du traitement ;
du secrétariat général de la défense et de la sécurité nationale ;
des services spécialisés de renseignement mentionnés à l’article R. 811-1 du CSI ;
des services placés sous l’autorité des ministères de l’intérieur, de la défense et de la justice, mentionnées à l’article R. 811-2 du même code.
Dans la mesure où la Commission n’a pas eu communication d’éléments permettant de justifier davantage de la communication de tout ou partie des données enregistrées dans le traitement aux destinataires précités, elle ne peut que souligner que la transmission des données biométriques à ces personnes est expressément exclue par le projet de décret.
Sur les droits des personnes concernées :
L’article 5 du projet de décret prévoit que l’obligation d’information prévue à l’article 32 de la loi du 6 janvier 1978 modifiée, de même que le droit d’opposition prévu à l’article 38 de la même loi, ne s’appliquent pas au traitement DOREMI, ce qui n’appelle pas d’observation de la Commission.
Il en est de même des dispositions prévues à l’article 6 du projet de décret relatives à l’exercice des droits d’accès et de rectification qui s’exercent de manière indirecte auprès de la Commission nationale de l’informatique et des libertés, dans les conditions prévues à l’article 41 de la loi du 6 janvier 1978 précitée.
Sur les mesures de sécurité :
L’article 4 du projet de décret prévoit que toute opération relative au traitement automatisé autorisé par le présent décret fait l’objet d’un enregistrement comprenant l’identification de l’utilisateur, la date, l’heure et la nature de l’intervention dans ce traitement . Cet article prévoit également que ces informations sont conservées pendant une durée d’un an. Compte tenu de la sensibilité de ce traitement, la Commission estime que la durée de conservation de ces traces devrait être plus importante et qu’une procédure automatique d’exploitation de ces traces devrait être mise en œuvre par le ministère afin de détecter tout détournement de finalité. 
En dehors de cette observation, compte tenu de l’absence d’informations sur les mesures mises en œuvre par le ministère pour assurer la sécurité du système, la Commission n’est pas en mesure d’apprécier le respect de l’exigence de sécurité prévue à l’article 34 de la loi du 6 janvier 1978 modifiée. Elle observe à cet égard que si le ministère n’était effectivement pas obligatoirement tenu de lui transmettre ces informations, il aurait néanmoins été opportun pour la Commission d’avoir connaissance des mesures de sécurité envisagées, en particulier dans la mesure où le traitement projeté permet la collecte de données biométriques et que le ministère entend écarter l’exercice de son contrôle a posteriori.
Au regard de l’ensemble de ces éléments, le sens de l’avis de la Commission qui devra être publié en même temps que le décret autorisant la dispense de publication de l’acte réglementaire autorisant la mise en œuvre du traitement DOREMI et modifiant le décret du 15 mai 2017 susvisé devra donc porter la mention : favorable avec réserve .
 
La Présidente
I. FALQUE-PIERROTIN