La commission a été saisie le 18 février dernier par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales d'un dossier de déclaration de modification du fichier national des empreintes génétiques, accompagné d'un projet de décret en Conseil d'Etat.
Le projet de décret en Conseil d'Etat modifie les dispositions réglementaires relatives au FNAEG. Ces modifications résultent, notamment, de l'entrée en vigueur du traité de Prüm, signé par l'Allemagne, la Belgique, l'Espagne, la France, le Luxembourg et les Pays-Bas, le 7 mai 2005, dont la ratification a été autorisée par la loi n° 2007-1160 du 1er août 2007, parue au Journal officiel du 2 août 2007.
Le traité vise à approfondir la coopération transfrontalière policière, notamment dans les domaines du terrorisme, de la criminalité organisée et de la migration illégale, et institue une « coopération renforcée » de fait entre Etats membres de l'Union européenne souhaitant intensifier certains axes majeurs de la coopération policière.
Dans cette perspective, il comporte notamment des dispositions inédites dans le domaine des échanges d'informations en matière d'empreintes génétiques, en instituant un mécanisme de consultations automatisées et réciproques entre les bases de données des Etats signataires.
Le projet de décret a donc pour objet de prendre en considération ces stipulations mais aussi, comme le précise le projet de rapport au Premier ministre, d'« anticiper sur les évolutions à venir ».
A cet égard, il est prévu d'autoriser des recherches dans le FNAEG fondées sur la nature de l'affaire, lesquelles sont actuellement prohibées aux termes de l'article R. 53-11 du code de procédure pénale.
En outre, le projet de décret entend modifier les dispositions de l'article R. 53-18 du code de procédure pénale, qui limite l'accès aux informations, l'alimentation et la réalisation des opérations de rapprochements effectuées grâce au FNAEG, aux seuls personnels de police et de gendarmerie nationales dûment habilités, affectés au sein du service gestionnaire du fichier. Il vise ainsi à ouvrir des droits en consultation pour la réalisation d'opérations de rapprochement à des personnels d'organismes de coopération internationale, de services de police ou de justice étrangers, lorsqu'un engagement international le prévoit.
Enfin, il modifie l'article R. 53-19 du code de procédure pénale, qui interdit toute forme d'interconnexion ou de mise en relation avec d'autres traitements automatisés d'informations nominatives. Il vise ainsi à autoriser que de tels rapprochements puissent être effectués dans le cas où un engagement international les prévoit.
Sur les engagements internationaux et leurs implications
Si le projet de décret entend modifier les textes réglementaires relatifs au PNAEG afin de les adapter aux engagements pris par la France dans le cadre du traité de Prüm, la commission observe que sa rédaction revêt un caractère plus général, que le ministère de l'intérieur justifie par la nécessité d'« anticiper sur les évolutions à venir ».
En effet, les dispositions du projet de décret ont vocation à permettre la mise en œuvre de mécanismes d'échanges d'informations en matière d'empreintes génétiques autres que ceux prévus aux termes du traité de Prüm.
Il aurait donc pour effet de rendre possible la mise en œuvre d'échanges de données en matière d'empreintes génétiques, « en application d'engagements internationaux », avec des « organismes de coopération internationale en matière de police judiciaire ainsi que les services de police ou de justice des Etats qui présentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux ».
Or, la commission observe que, aux termes du premier alinéa de l'article 68 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, « le responsable d'un traitement ne peut transférer des données à caractère personnel vers un Etat n'appartenant pas à la Communauté européenne que si cet Etat assure un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux des personnes à l'égard du traitement dont ces données font l'objet ou peuvent faire l'objet ».
Dès lors, il y a lieu de s'assurer que les transferts de données génétiques s'effectueront conformément aux dispositions du deuxième alinéa de l'article 68 précité, qui dispose que « le caractère suffisant du niveau de protection assuré par un Etat s'apprécie en fonction notamment des dispositions en vigueur dans cet Etat, des mesures de sécurité qui y sont appliquées, des caractéristiques propres du traitement, telles que ses fins et sa durée, ainsi que de la nature, de l'origine et de la destination des données traitées ».
Or, à ce stade, la commission n'a connaissance ni du contenu des accords internationaux évoqués par le ministère de l'intérieur ni des pays concernés par lesdits accords.
A cet égard, la commission tient à souligner qu'elle n'a été saisie que des spécifications techniques concernant les échanges d'informations génétiques résultant de l'entrée en vigueur du traité de Prüm, « régulièrement introduit dans l'ordre juridique interne ».
En conséquence, eu égard à la sensibilité des informations susceptibles d'être transmises et aux garanties spécifiques qui doivent être prises pour assurer la protection des données génétiques, la commission émet les plus vives réserves quant à la possibilité qui pourrait ainsi être donnée d'élargir la liste des destinataires du FNAEG en conséquence de l'entrée en vigueur de nouveaux engagements internationaux.
Aussi considère-t-elle que le décret ne peut ni ne doit autoriser que les échanges d'informations prévus aux termes du traité précité et que sa rédaction doit être modifiée en ce sens.
En toute hypothèse, la commission demande à être associée à la préparation et à la définition de la position française dans les négociations internationales susceptibles d'avoir une incidence sur la liste des destinataires du FNAEG, en application des dispositions de l'article 11-4 (d) de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, et à être consultée sur les éventuels projets de loi de ratification des traités conclus à la suite desdites négociations, conformément aux dispositions de l'article 11-4 (a) de la même loi.
Par ailleurs, la commission rappelle que les articles 69 de la loi du 6 janvier 1978, modifiée par la loi du 6 août 2004, et 103 du décret du 20 octobre 2005 modifié par le décret du 25 mars 2007, pris pour l'application de ladite loi, disposent que les transferts de données à caractère personnel vers des pays ne présentant pas « un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux » doivent faire l'objet d'un décret en Conseil d'Etat pris après avis de la commission.
Sur les données conservées
Le projet de décret dont la commission a été saisie le 18 février 2008 prévoyait de modifier, dans son article 2, les dispositions du dernier alinéa du I de l'article R. 53-11 du code de procédure pénale afin de rendre possibles les recherches dans le FNAEG fondées sur la nature de l'affaire, dès lors qu'elles sont prévues aux termes d'engagements internationaux.
A cet égard, la commission rappelle que, aux termes du 5° de l'article précité, l'information portant sur la nature de l'affaire ne peut être exploitée qu'en vue d'un traitement à des fins statistiques et qu'elle ne peut apparaître en cas de consultation ni servir de critère de recherche nominative.
Aux termes de sa délibération en date du 7 octobre 2003, la commission avait d'ailleurs souligné qu'une telle disposition était « de nature à garantir que le FNAEG ne serait utilisé que pour faciliter l'identification et la recherche des auteurs d'infractions et non pour connaître les antécédents judiciaires des personnes qui y figurent ».
Elle observe également que cette possibilité de recherche par la nature de l'affaire n'est pas prévue par le traité de Prüm et qu'elle ne dispose, à ce stade, d'aucune information se rapportant aux engagements internationaux évoqués par le ministère de l'intérieur.
Dans ces conditions, la commission prend acte de l'engagement pris par le ministère de l'intérieur de retirer l'article 2 du projet de décret.
Enfin, elle relève que, en l'état, le projet de décret ne semble pas faire de distinctions entre les échantillons biologiques contenus dans le FNAEG.
Aussi, il pourrait être possible d'effectuer des échanges de données relatifs aux échantillons biologiques prélevés sur les ascendants et les descendants d'un personne disparue, conformément aux dispositions du I-5° de l'article R. 53-10 du code de procédure pénale.
Or, la commission tient à indiquer que les autorisations qui pourraient être données par les personnes concernées en vue de la comparaison de leur empreinte génétique ne porte que sur les traces et empreintes génétiques enregistrées dans le fichier lui-même et considère que le FNAEG devrait être structuré de telle façon que les données concernant les ascendants et les descendants de personnes puissent être traitées et consultées de façon distincte.
Sur les destinataires
Le projet de décret entend modifier l'article R. 53-18 du code procédure pénale en insérant à la suite du premier alinéa un nouvel alinéa rédigé comme suit : « Peuvent également avoir accès aux données à caractère personnel et aux autres informations enregistrées dans le présent traitement et procéder aux opérations de rapprochement en application d'engagement internationaux les organismes de coopération internationale en matière de police judiciaire ainsi que les services de police ou de justice des Etats qui présentent un niveau de protection suffisant de la vie privée, des libertés et des droits fondamentaux ».
La commission considère que devraient être seules destinataires, au sein des organes précités, les personnes individuellement désignées et spécialement habilitées par les autorités compétentes et que le projet de décret devra être modifié en conséquence.
A cet égard, la commission observe que l'article 39 du traité de Prüm stipule expressément que : « la consultation ou la comparaison automatisées ne peuvent être réalisées que par des fonctionnaires des points de contact nationaux particulièrement habilités à cet effet ».
Enfin, il est précisé aux termes du même article que : « sur demande, la liste des fonctionnaires habilités à la consultation ou à la comparaison automatisées est mise à la disposition des autorités de surveillance visées au paragraphe 5, ainsi que des autres Parties contractantes ».
Sur les modalités d'échanges d'informations
S'agissant des conditions de mise en œuvre de l'échange d'informations, la commission tient à rappeler que, aux termes de sa délibération en date du 28 septembre 2006, portant avis sur le projet de loi autorisant la ratification du traité de Prüm, elle avait insisté sur la nécessité qu'il y aurait à exiger de la partie nationale requérante qu'elle motive sa demande avant toute transmission de données.
Sur les sécurités
La commission estime que les modalités techniques prévues pour assurer la concordance entre un profil ADN transmis et un profil ADN enregistré dans le fichier d'analyse de la partie contractante sont conformes aux stipulations du traité de Prüm et aux accords d'exécution.
Elle prend acte de ce que l'accès au système serait réservé à des agents habilités, l'accès aux locaux protégé par badge et l'accès à l'application par un mot de passe, cependant que le réseau utilisé pour les échanges serait lui-même sécurisé.
La commission rappelle que l'article 39 du traité de Prüm impose un processus de journalisation assurant une traçabilité des opérations effectuées et précise un certain nombre de données qui doivent être journalisées.
Les données de journalisation à conserver incluent notamment pour toute requête biométrique les données transmises, la raison de la demande, la référence de l'agent ayant réalisé la consultation ainsi que de l'agent ayant été à l'origine de la demande ou de la transmission.
Or, la commission relève que le dispositif prévu n'est pas conforme aux dispositions précitées dans la mesure où il ne permet pas d'identifier l'agent qui se trouve être à l'origine de la demande.
Enfin, elle relève qu'en application de l'article 39-5 du traité de Prüm, les autorités de protection des données sont responsables du « contrôle juridique de la transmission ou de la réception de données à caractère personnel ». A cet égard, « toute personne peut en vertu du droit national demander à ces autorités de vérifier la légitimité du traitement de données la concernant. Indépendamment de telles demandes, ces autorités ainsi que les autorités compétentes pour la journalisation doivent également effectuer des contrôles aléatoires pour vérifier la légitimité des transmissions, à l'aide des dossiers qui ont été à la base des consultations ».
En conséquence, la commission demande au ministère de l'intérieur de prendre toutes les dispositions techniques pour lui permettre d'exercer ce contrôle.