La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales le 4 juin 2010 d'un projet de décret en Conseil d'Etat autorisant la création d'un traitement de données à caractère personnel dénommé « exécution des services commandés pour la réalisation des transfèrements et extractions » ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé de données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment ses articles 26, 32, 40, 41 et 42 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie le 4 juin 2010 par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales d'une demande d'avis relative à un projet de décret en Conseil d'Etat portant création d'un traitement de données à caractère personnel, dénommé « Escorte » (exécution des services commandés pour la réalisation des transfèrements et extractions). Cette demande est présentée sur le fondement de l'article 26-11 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004.
Sur la finalité du traitement :
Le projet de décret soumis pour avis à l'examen de la commission vise à créer le traitement Escorte qui a pour finalité la planification, l'organisation, la gestion et le compte rendu des missions d'extractions et de transfèrements des personnes détenues conformément aux dispositions de l'article D. 290 du code de procédure pénale. Ce traitement a également une finalité statistique et comptable de ces missions.
La commission note que cette dernière finalité porte sur des recherches d'informations relatives au nombre de missions accomplies, interrompues et annulées, au nombre de tentatives d'évasion, aux évasions, aux outrages, à la répartition des missions accordées par catégorie. La recherche d'informations porte également sur la nature des services réalisés.
Elle prend acte que les données transmises au niveau central du ministère de la justice sont anonymisées, seules des données quantitatives et qualitatives liées aux missions clôturées étant exportées. Elle estime que le projet de décret pourrait être complété à l'article 4 afin de le préciser.
Sur les données traitées :
Aux termes de l'article 2 du projet de décret, les données à caractère personnel pouvant être enregistrées ont trait aux personnels effectuant les missions, aux donneurs d'ordre, à l'organisation et à l'exécution de la mission ainsi qu'aux personnes faisant l'objet du transfèrement et de l'extraction.
Concernant les données relatives aux gendarmes, sont enregistrés : le numéro d'identification gendarmerie, grade, nom, prénom, unité d'affectation, unité d'emploi, fonction au sein de cette dernière.
Concernant les données relatives au donneur d'ordre et au bénéficiaire de la demande, sont enregistrées : le nom, prénom, qualité, lieu d'exercice professionnel, numéro de télécopie, adresse courriel.
Les données relatives aux personnes faisant l'objet du transfèrement ou de l'extraction sont le nom, prénom, sexe, date et lieu de naissance, lieu de détention, lieu de destination, niveau de classification du détenu (particulièrement signalé ou non), banditisme, terrorisme, médiatisation, à séparer de, préconisation ou non de l'emploi de la force, donneur d'ordre, handicap, mesure prophylactique à prendre, préconisation d'un renfort en personnel.
La commission prend acte qu'il n'existe aucun rapprochement entre l'application Escorte et le fichier national des détenus (FND), le fichier des détenus particulièrement signalés (DPS) le traitement de gestion informatisées des personnes écrouées (Gide) et Cassiopée. Elle relève que les données relatives aux détenues sont communiquées par des fax transmis par l'administration pénitentiaire aux forces de gendarmerie.
Elle appelle toutefois l'attention du ministère sur la nécessité de procéder aux formalités préalables correspondantes lorsqu'une mise en relation de l'application Escorte avec le fichier national des détenus sera effective.
S'agissant du traitement des données sensibles :
La commission relève que le projet de décret ne précise pas que le traitement contient des données sensibles qui relèvent de l'article 8 de la loi du 6 janvier 1978 modifiée en août 2004. Elle estime que ce point devrait être précisé aux termes du projet de décret quand bien même seules les données relatives à la santé du détenu sont susceptibles d'être enregistrées.
Elle prend acte que le ministère s'engage à compléter le projet de décret afin de préciser à l'article 2 : « les données relatives à l'état de santé du détenu peuvent, en application du IV de l'article 8 de la loi du 6 janvier 1978, être enregistrées dans le présent traitement, dans la limite des finalités définies à l'article 1er ».
Elle prend acte que les données relatives au détenu sont renseignées sous la forme des cases à cocher suivantes : « affaire médiatique/mesures prophylactiques à prendre handicap/grand banditisme et terrorisme, détenu suivi pour grande violence/à séparer de.../ ».
Elle souligne qu'aucune zone de commentaire libre spécifique n'est rattachée à l'un des champs précédemment énumérés. Seule une zone de commentaire libre générale est prévue s'agissant de l'organisation de la mission proprement dite visant à indiquer les types de mesures prophylactiques à prévoir ou les précautions pratiques et matérielles nécessaires à mettre en œuvre si le handicap le nécessite.
Sur les interconnexions ou mises en relation :
La commission prend acte qu'aux termes de l'article 4 du projet de décret le traitement Escorte alimente le traitement de gestion du service des unités pour le suivi des horaires des personnes ayant participé au transfèrement et aux extractions. Elle relève également que les informations relatives aux personnels et aux unités de gendarmerie sont issues du traitement dénommé « gestion du service des unités ».
La commission souligne qu'aucune donnée relative aux personnes détenues n'est échangée entre ces applications.
Sur les durées de conservation, la mise à jour et l'effacement des données :
Aux termes de l'article 3 du projet de décret, les données à caractère personnel relatives aux autorités administratives et judiciaires et aux gendarmes exécutant la mission sont conservées deux ans à compter de la clôture de la mission. Les données relatives à la personne faisant l'objet du transport sont conservées trois mois à compter de la date d'exécution de la mission.
La commission prend acte qu'une fois les missions clôturées, des données quantitatives et qualitatives anonymisées liées à ces dernières sont conservées dans la base statistique centrale de la gendarmerie.
S'agissant des destinataires :
Aux termes de l'article 5 du projet de décret, sont destinataires des données les personnels de la gendarmerie nationale individuellement désignés et spécialement habilités ainsi que les autorités judiciaires et administratives lorsque les données sont en rapport avec les modalités d'exécution des missions mentionnées à l'article 1er du projet de décret. De même, les personnels de l'administration centrale du ministère de la justice peuvent être destinataires de données dans le cadre du suivi comptable de ces missions.
La commission prend acte que le ministère s'engage à compléter l'article 5 du projet de décret afin de préciser que seules les autorités judiciaires et administratives donneuses d'ordre peuvent recevoir communication des données anonymisées issues de l'application Escorte.
Sur l'exercice des droits des personnes :
La commission prend acte que les droits d'accès et de rectification s'exercent auprès de la commission conformément aux dispositions des articles 40, 41 et 42 de la loi du 6 janvier 1978 modifiée en août 2004 et que le droit d'opposition ne s'applique pas au présent traitement.
Sur les sécurités :
La commission prend acte que les accès à l'application sont sécurisés et que la politique de droit d'accès définie repose sur neuf profils différents. Elle relève que la procédure de gestion des traces fonctionnelles est fondée sur une séparation des pouvoirs qui permet de garantir l'intégrité et la confidentialité de ces traces, contenant des données à caractère personnel. Elle prend acte que les traces fonctionnelles sont conservées sur une durée de trois ans à compter de leur création.
La commission prend acte que le contrôle de l'accès se fait au moyen d'un mot de passe de huit caractères. Elle recommande, toutefois, qu'une durée de vie des mots de passe soit définie et qu'un blocage de l'accès à un compte après cinq tentatives de connexion infructueuses soit mis en œuvre.
Elle note qu'une carte professionnelle électronique devrait être prochainement utilisée à la place du login et mot de passe actuellement utilisé et qu'elle permettra le blocage de l'accès à l'application après trois saisies de mot de passe infructueux. A cet égard, elle appelle l'attention du ministère sur la nécessité de procéder aux formalités préalables adéquates lors de déploiement de cette carte qui devra se conformer aux préconisations du référentiel général de sécurité.