Source: https://www.donneespersonnelles.fr/deliberations-cnil/deliberation-2005-188
Timestamp: 2016-10-21 12:59:53+00:00

Document:
DELIBERATION 2005-188 - Données personnelles
Leave a Comment DELIBERATION 2005-188 La Commission nationale de l'informatique et des libertés ;
Saisie par le ministre de la Défense d'un projet de décret en Conseil d'Etat pris pour l'application de l'article 26 II de la loi du 6 janvier 1978 modifiée et portant création du "système d'information judiciaire JUDEX" ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 et notamment ses articles 26 et 41 ;
Vu la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure, et notamment ses articles 21, 22 et 24 ;
Vu le décret n° 78-774 du 17 juillet 1978 modifié pris pour l'application des chapitres Ier à IV et VII de la loi du 6 janvier 1978 précitée;
Vu le décret n° 79-1160 du 28 décembre 1979 fixant les conditions d'application aux traitements automatisés d'informations nominatives intéressant la sûreté de l'Etat, la défense et la sécurité publique de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2003-01 du 9 janvier 2003 portant avis conforme sur le projet de décret en Conseil d'Etat portant création du "système d'information judiciaire JUDEX" et faisant application à ce traitement du troisième alinéa de l'article 31 de la loi du 6 janvier 1978 ;
Vu le projet de décret transmis par le ministère de la Défense ;
Le ministère de la Défense, conformément à l'article 21 V de la loi n° 2003-239 du 18 mars 2003 pour la sécurité intérieure et à l'article 26 II la loi n° 78-17 du 6 janvier 1978 modifiée, a saisi pour avis la Commission du projet de décret prévu par cette disposition et du dossier de formalités préalables relatif au système d'information judiciaire JUDEX.
Le système d'information judiciaire JUDEX, comme le "système de traitement des infractions constatées" (STIC) mis en oeuvre par la police nationale, constituent des traitements de données à caractère personnel dont les principes de fonctionnement sont fixés par la loi du 18 mars 2003 s'agissant en particulier des finalités de ces fichiers, de leurs modalités d'alimentation et de mise à jour, des catégories de personnes susceptibles d'être inscrites dans ces fichiers et des destinataires des informations.
En outre, l'article 26 II de la loi du 6 janvier 1978 modifiée prévoit que les traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique et qui portent sur des données sensibles relevant de l'article 8 de la loi doivent être autorisés par décret en Conseil d'État pris après avis motivé et publié de la CNIL.
- sur les finalités du système d'information judiciaire JUDEX
Aux termes de l'article 1er du projet de décret et conformément à l'article 21 de la loi du 18 mars 2003, le système d'information judiciaire JUDEX a pour finalité de "faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs".
A cette fin, l'article 2 du projet de décret prévoit que le système JUDEX est alimenté à partir des procédures établies par les unités de la gendarmerie nationale et par les services de la police lorsqu'une unité de gendarmerie est appelée à en assurer la continuation ou la conduite commune, ainsi que par les agents des douanes habilités à exercer des missions de police judiciaire.
Dès lors elle estime qu'il y a lieu de modifier la rédaction de cet article de façon à prévoir que les procédures permettant d'alimenter le système JUDEX sont "établies par les unités de la gendarmerie nationale et par les services de la police ou par les agents des douanes habilités à exercer des missions de police judiciaire, lorsqu'une unité de la gendarmerie est appelée à en assurer la continuation ou la conduite commune".
- sur les modalités de consultation du système JUDEX à des fins d'enquêtes administratives
Conformément à l'article 17-1 de la loi du 21 janvier 1995 modifié, l'article 6 du projet de décret définit les conditions de consultation du fichier dans le cadre des enquêtes administratives effectuées notamment lors de l'instruction des demandes d'acquisition de la nationalité française et de délivrance et de renouvellement des titres de séjour et des procédures de recrutement, d'autorisation, d'agrément ou d'habilitation, concernant certains emplois, dont les emplois publics participant à l'exercice des missions de souveraineté de l'Etat et les emplois publics ou privés relevant du domaine de la sécurité ou de la défense, d'une part, et pour l'exercice de certaines missions ou interventions de police administrative, d'autre part.
Tout en prenant acte que le projet de décret prévoit que la consultation à des fins administratives ne peut porter ni sur les données relatives aux victimes ni sur les données concernant des personnes mises en cause ayant fait l'objet d'une mise à jour ordonnée par le procureur de la République, la Commission estime toutefois que des dispositions doivent être prévues afin que le résultat de la consultation ne puisse être communiqué à l'autorité compétente qu'après que le responsable du fichier s'est assuré auprès du procureur de la République compétent qu'aucune décision judiciaire n'est intervenue qui appellerait la mise à jour de la fiche de l'intéressé ou encore qu'aucune requalification judiciaire n'est intervenue qui justifierait la rectification des informations figurant sur cette fiche.
Relevant que le législateur n'a admis la consultation administrative des fichiers de police judiciaire que "dans la stricte mesure exigée par la protection de la sécurité des personnes et la défense des intérêts fondamentaux de la nation", La Commission estime qu'il convient de s'interroger sur le bien fondé d'une consultation systématique à des fins administratives des fichiers de police judiciaire s'agissant des personnes mises en cause pour des faits relevant d'une contravention de cinquième classe ou de certains délits, qui ne mettraient pas en cause la sécurité des personnes ou la défense des intérêts fondamentaux de la nation.
Enfin, lorsque le fichier est consulté par des personnels investis de missions de police administrative, comme le prévoit l'article 7 du projet de décret, la Commission estime que pour garantir le caractère limité de cette consultation, le deuxième alinéa de cet article du projet de décret doit être complété de la façon suivante : "Dans ce cas, l'accès à l'information est limité à la seule connaissance de l'enregistrement de l'identité de la personne concernée dans le traitement en tant que mis en cause".
La Commission observe que sont susceptibles d'être inscrites dans le système JUDEX les personnes mises en cause - telles que définies à l'article 21 de la loi du 18 mars 2003, et les victimes, et en aucun cas les témoins.
Elle constate ensuite que, conformément à l'article 21 de la loi précitée, les infractions susceptibles de donner lieu à inscription dans le système JUDEX concernent non seulement les crimes et délits, mais également la totalité des contraventions de cinquième classe contre les biens (articles R. 635-1 à R. 635-8), contre les personnes (articles R. 625-1 à R. 625-9) et contre la nation, l'Etat ou la paix publique (articles R. 645-1 à 645-12).
La Commission estime devoir appeler à nouveau l'attention du ministère de la Défense et du ministère de la Justice sur les risques que comporte une telle centralisation, dans un fichier national, d'informations de police judiciaire, eu égard d'une part, à l'extrême diversité des infractions visées, tant par leur nature que part leur degré de gravité et, d'autre part, à leur utilisation dans le cadre de multiples enquêtes administratives, et sur la nécessité de prendre des mesures particulières destinées à prévenir tout fichage non contrôlé, erroné ou abusif des personnes et tout usage d'un tel fichier à des fins étrangères à celles pour lesquelles il est constitué.
En ce qui concerne les contraventions de cinquième classe, la Commission considère à cet égard que si le législateur a permis d'étendre la liste des contraventions de cinquième classe susceptibles de donner lieu à un signalement dans le système JUDEX, il ressort néanmoins des travaux préparatoires que le gouvernement ne devrait pouvoir faire usage de cette possibilité que lorsque cette extension est rendue nécessaire par la sauvegarde de la sécurité intérieure. Or, une telle nécessité n'apparaît pas pouvoir être invoquée pour l'ensemble des contraventions visées au projet de décret.
La Commission observe qu'en vertu de la loi le système JUDEX est placé sous le contrôle du procureur de la République territorialement compétent qui peut décider que les informations figurant dans ces fichiers doivent être effacées, complétées ou rectifiées.
La Commission appelle à nouveau fermement l'attention des ministères concernés sur la nécessité de mettre en place rapidement des liaisons informatiques sécurisées entre les parquets et le ministère de l'Intérieur, afin d'assurer un contrôle effectif des parquets sur le fonctionnement des fichiers de police judiciaire et ne mise à jour sans délai de ce fichier.
Les données à caractère personnel enregistrées dans JUDEX sont, pour les personnes mises en cause, l'identité (nom, nom marital, nom d'emprunt officiel, prénoms, sexe), les surnoms et les alias s'il y a lieu, les date et lieu de naissance, la situation familiale, la filiation, la nationalité, l'adresse, l'état de la personne (modes opératoires et informations relevant de l'article 8 de la loi du 6 janvier 1978 modifiée lorsque ces renseignements sont susceptibles d'éclairer le mode opératoire ou les mobiles de l'infraction, références des affaires judiciaires pour lesquelles la personne est mise en cause, suites judiciaires transmises par le procureur de la République territorialement compétent dans les conditions du projet de décret), la profession, le signalement et la photographie.
La Commission considère que la finalité du fichier justifie la collecte et l'enregistrement pour des motifs d'intérêt public de données à caractère personnel relevant de l'article 8 de la loi, à la condition toutefois que cette collecte et cet enregistrement, ainsi que le prévoit l'article 4 du projet de décret, ne soient effectués que dans les seuls cas où ces informations résultent de la nature ou des circonstances de l'infraction ou se rapportent à des signes physiques particuliers, objectifs et permanents, en tant qu'éléments de signalement des personnes et dès lors que ces éléments sont nécessaires à la recherche et à l'identification des auteurs des infractions répertoriées dans le système JUDEX.
Le projet de décret précise que les données concernant les personnes majeures mises en cause seront, en principe, conservées vingt ans à compter de la date d'établissement de la procédure. Toutefois, les informations concernant certains crimes et délits figurant sur une liste annexée au décret seront conservées pendant quarante ans et les informations relatives aux contraventions de cinquième classe, aux délits routiers, aux délits d'abandon de famille et de non-représentation d'enfant et aux délits d'usage de stupéfiant seront conservées pendant cinq ans.
S'agissant des mineurs, le projet de décret prévoit que la durée de conservation de principe est cinq ans, exception faite de certains crimes et délits graves énumérés dans deux listes annexées au décret, qui déterminent des durées de conservation, respectivement, de dix et vingt ans.
Peuvent être destinataires des informations enregistrées dans le système JUDEX, pour les besoins des enquêtes judiciaires et conformément au paragraphe IV de l'article 21 de la loi du 18 mars 2003 :
les personnels des services de la gendarmerie nationale et de la police nationale, ainsi que les agents des douanes habilités à effectuer des missions de police judiciaire, qui exercent des missions de police judiciaire et ont fait l'objet d'une désignation par l'autorité hiérarchique,
- les autres personnels de l'Etat investis par la loi d'attributions de police judiciaire,
En outre, conformément à l'article 17-1 de la loi du 21 janvier 1995 modifié par l'article 25 de la loi du 18 mars 2003, le projet de décret prévoit que les personnels de la gendarmerie et de la police spécialement habilités, ainsi que les personnels investis de missions de police administrative désignés selon les mêmes procédures puissent avoir accès aux fichiers à des fins administratives.
La Commission estime en conséquence que le projet de décret devrait être complété de façon à préciser que ces personnels doivent être individuellement désignés et spécialement habilités et à indiquer l'autorité qui la délivre, la nature des données auxquelles l'habilitation donne accès, les catégories de personnels ou de fonctions bénéficiant de cette habilitation.
Elle considère qu'il doit en être de même d'une part pour les personnels des services de police et de gendarmerie susceptibles d'avoir accès au fichier à des fins administrative et qui doivent être "spécialement habilités à cet effet" selon la loi et, d'autre part, pour les personnels administratifs qui doivent être "désignés selon les mêmes procédures".
L'article 8 du projet de décret relatif au système JUDEX prévoit que "le droit d'accès s'exerce d'une manière indirecte, dans les conditions prévues par l'article 41 de la loi du Janvier 1978 susvisée, par demande portée devant la Commission nationale de l'informatique et des libertés, pour l'ensemble des données". Son second alinéa dispose que "la Commission peut constater, en accord avec le ministère de la défense, que des données à caractère personnel enregistrées ne mettent pas en cause la sûreté de l'Etat, la défense ou la sécurité publique et qu'il y a donc lieu de les communiquer à la personne intéressée, sous réserve que la procédure soit judiciairement close et après accord du procureur de la République".
Dès lors que la loi du 18 mars 2003 ouvre au gestionnaire du fichier concerné une possibilité de communiquer directement aux requérants les informations dont la communication ne mettrait pas en cause la finalité du fichier considéré, la Commission estime qu'il y a lieu de prévoir, pour les personnes inscrites dans le système JUDEX en tant que victimes, la communication directe par les soins du ministère de la Défense du contenu de leur fiche.
Pour tenir compte des dispositions du premier alinéa de l'article 41 de la loi du 6 janvier 1878 modifiée, et dans le même souci de répondre plus rapidement et plus efficacement aux requérants, la Commission considère en outre que la rédaction nouvelle de l'article 41 de loi n'impose plus de subordonner l'exercice du droit d'accès indirect au recueil de l'accord du procureur de la République ni à l'exigence que la procédure soit judiciairement close.
En conséquence, l'article 8 du projet de décret relatif à JUDEX devrait être modifié de façon, d'une part, à prévoir l'exercice du droit d'accès direct pour les victimes et, d'autre part, à supprimer les deux conditions supplémentaires prévues par cet article pour permettre la communication, avec l'accord du ministère de la Défense, des données les concernant aux personnes mises en cause.
Le ministère de la Défense invoque les dispositions de l'article 32 VI de la loi du 6 janvier 1978 modifiée qui prévoit une dérogation à l'obligation générale d'information des personnes s'agissant des traitements de données ayant pour objet la prévention, la recherche, la constatation ou la poursuite d'infractions pénales.
La Commission considère en conséquence que le décret doit être complété afin que toutes dispositions soient prises pour que les personnes concernées soient clairement et précisément informées de leurs droits et tout particulièrement des conditions d'exercice de leur droit d'accès, de leur droit de demander, le cas échéant, que la qualification judiciaire des faits soit substituée à la qualification initiale telle qu'elle est enregistrée dans le système JUDEX, ainsi que du droit de s'adresser au procureur de la République territorialement compétent pour solliciter la mise à jour des informations les concernant.
Ainsi il pourrait être envisagé qu'outre des mesures d'information générale, par exemple sur le site internet de la gendarmerie nationale, un affichage dans le local d'accueil du public de chaque unité élémentaire de gendarmerie et une mention sur l'attestation de dépôt de plainte remise aux victimes soient notamment prévus, ainsi que le prévoyait le dossier de formalités préalables relatif à la création du système JUDEX qui a été soumis à la Commission au mois de janvier 2003.
Le projet de décret prévoit que les informations du fichier JUDEX peuvent faire l'objet d'une cession aux organismes de coopération internationale en matière de police judiciaire (INTERPOL, EUROPOL, SCHENGEN) et aux services de police étrangers qui présentent un niveau de protection suffisant, dans le respect des engagements internationaux dont ces données font l'objet ou peuvent faire l'objet, d'autre part, à permettre à ces organismes d'alimenter indirectement le fichier JUDEX.
Ces différents échanges ne peuvent être effectués qu'à la condition, expressément inscrite à l'article 24 de la loi du 18 mars 2003, que les services concernés "présentent, pour la protection des données personnelles, des garanties équivalentes à celles du droit interne, dans le cadre des engagements internationaux régulièrement introduits dans l'ordre juridique interne" Dès lors ils n'appellent pas d'observations de fond.
La Commission estime en conséquence que pour être conforme à ces dispositions il y aurait lieu de reprendre, à l'article 10 du projet de décret, les termes de l'article 24 de la loi.

References: l'article 26
 l'article 31
 l'article 21
 l'article 26
 l'article 26
 l'article 8
 l'article 1
 l'article 21
 l'article 2
 l'article 17
 l'article 6
 l'article 7
 l'article 21
 l'article 21
 l'article 8
 l'article 8
 l'article 4
 l'article 21
 l'article 17
 l'article 25

L'article 8
 l'article 41
 l'article 41
 l'article 41
 l'article 8
 l'article 32
 l'article 24
 l'article 10
 l'article 24