La commission a été saisie par le ministère de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet de décret en Conseil d'Etat relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé « traitement de procédures judiciaires » (TPJ).
Ce « traitement de procédures judiciaires », initialement développé sous l'acronyme ARIANE (application de rapprochement, d'identification et d'analyse pour les enquêteurs), sera un fichier d'antécédents au sens des articles 230-6 et suivants du code de procédure pénale, dispositions introduites par la loi du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure.
Conformément à l'objectif défini par cette loi d'optimisation de l'action des forces de sécurité intérieure par leur rapprochement, le traitement TPJ aura vocation à devenir le fichier d'antécédents commun à la police et à la gendarmerie nationales. A ce titre, il remplacera, après une période transitoire, les deux fichiers d'antécédents actuellement mis en œuvre par ces services, à savoir le système de traitement des infractions constatées (STIC) de la police nationale, créé par le décret susvisé du 5 juillet 2001, et le système judiciaire de documentation et d'exploitation (JUDEX) de la gendarmerie nationale, créé par le décret du 20 novembre 2006, textes pris après avis de la CNIL.
A titre préliminaire, la commission souligne que, si le projet de décret qui lui a été soumis présente une rédaction proche de celle des textes régissant les fichiers STIC et JUDEX, le traitement TPJ se distingue de ces fichiers sur plusieurs aspects. D'une part, les conditions de mise à jour du traitement présentent des garanties qui faisaient justement défaut aux traitements STIC et JUDEX. En effet, la conception du traitement TPJ est l'une des réponses apportées par le ministère aux recommandations formulées par la commission dans son rapport de 2009 sur le contrôle du fichier STIC. Des contrôles réalisés en 2007 et 2008 avaient alors démontré l'existence de graves dysfonctionnements dans la mise en œuvre de ce traitement, tout particulièrement quant à la mise à jour des données. Le dossier de formalités préalables présenté à la commission dans le cadre du projet de traitement TPJ atteste d'avancées significatives dans ce domaine, notamment avec la prise en compte de nouvelles exigences issues de la loi n° 2011-267 du 14 mars 2011 d'orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI). D'autre part, le traitement TRI offrira à ses utilisateurs des fonctionnalités d'identification des personnes (comme la reconnaissance biométrique du visage), ainsi que d'analyse et de rapprochement des données (recherches d'éléments communs dans des procédures différentes) que ne permettent pas les traitements STIC et JUDEX. La commission sera particulièrement attentive aux conditions de mise en œuvre de ces nouvelles fonctionnalités.
Sur les finalités du traitement :
Le traitement TPJ est un fichier de police judiciaire. En effet, conformément à l'article 14 du code de procédure pénale, sa finalité principale sera de faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs. La commission prend acte que TPJ constituera un fichier d'antécédents au sens des articles 230-6à 11 du code de procédure pénale.
Cependant, le traitement TPJ ne peut être réduit à une base de données recensant les antécédents judiciaires des personnes. En effet, il constitue un véritable outil d'investigation grâce à ses fonctionnalités d'exploitation des données traitées, notamment d'identification, d'analyse et de rapprochement. Ainsi, les modules de recherche proposés par l'application permettent d'interroger la base de données selon de nombreux critères (photographie du visage, signalement des personnes, mode opératoire, mobile, nature de l'infraction, date et lieu des faits), éventuellement sous la forme de requêtes périodiques automatisées générant une alerte en cas de recherche fructueuse. Par ailleurs, l'application offre la possibilité de faire ressortir automatiquement les liens et similitudes entre différentes fiches sélectionnées, notamment quant au mode opératoire.
Or, depuis la loi susvisée du 14 mars 2011, le législateur a redéfini et codifié le régime juridique des traitements automatisés tendant à établir des liens entre les enquêtes judiciaires. Dorénavant, il convient de différencier en ce domaine deux régimes juridiques distincts. Il s'agit, d'une part, du régime des fichiers d'analyse sérielle, prévu par les articles 230-12 et suivants du code de procédure pénale, qui ne concerne que les crimes et certains délits graves, et, d'autre part, de celui des logiciels de rapprochement judiciaire prévu aux articles 230-20 et suivants du même code, qui s'applique à toutes les infractions quelle que soit leur gravité. Chacun de ces régimes relève d'un cadre juridique précis défini par le législateur et précisé, quant aux logiciels de rapprochement judiciaire, par le Conseil constitutionnel (décision n° 2011-625DC du 10 mars 2011).
La commission observe que TPJ constitue assurément un fichier d'antécédents au sens du code de procédure pénale. Elle considère en outre, après avoir obtenu des compléments d'information sur ce point, que la mise en œuvre des fonctionnalités de rapprochement et d'analyse offertes par TPJ ne relève pas, en l'état, des cadres juridiques des fichiers d'analyse sérielle et des logiciels de rapprochement judiciaire. Afin de s'assurer de la pérennité de cette conclusion, et sans préjudice des contrôles qu'elle pourra être amenée à effectuer dans les conditions prévues par l'article 44 de la loi du 6 janvier 1978 modifiée, la commission demande à être informée, à l'occasion de la remise du rapport annuel de fonctionnement prévu par le projet de décret, de l'utilisation faite de ces fonctionnalités ainsi que de leurs éventuelles évolutions techniques.
Par ailleurs, le traitement TPJ poursuit aussi une finalité administrative. En effet, conformément à l'article 17-1 de la loi susvisée du 21 janvier 1995, le traitement TPJ pourra être consulté dans le cadre des enquêtes administratives préalables à une décision de recrutement, d'autorisation, d'agrément ou d'habilitation concernant certains emplois, à l'occasion de l'instruction des demandes d'acquisition de la nationalité française et de délivrance de titres de séjour ou lors de missions ou interventions des forces de l'ordre comportant un risque d'atteinte à l'ordre public ou à la sécurité des personnes ou des biens.
La commission rappelle qu'il convient de proscrire tout systématisme quant à cette utilisation administrative des fichiers d'antécédents dès lors que la disposition légale précitée prévoit leur consultation « dans la stricte mesure exigée par la protection de la sécurité des personnes et la défense des intérêts, fondamentaux de la nation ». Par ailleurs, la commission souligne à nouveau l'existence de risques graves d'exclusion sociale et d'atteinte aux libertés individuelles, ainsi qu'au respect des droits des personnes que comporte cette utilisation administrative des fichiers de police judiciaire. La commission rappelle que, conformément à l'article 10 de la loi du 6 janvier 1978 modifiée et aux exigences constitutionnelles encore récemment rappelées (décision n° 2011-652DC du 10 mars 2011 renvoyant à la décision n° 2003-467DC du 13 mars 2003), la seule inscription dans un fichier d'antécédents ne saurait suffire à fonder une décision administrative. La commission prend acte que le ministère partage cette préoccupation comme le montre la circulaire ministérielle du 30 mai 2010 relative à la consultation du fichier STIC pour les besoins d'enquêtes administratives.
Toutefois, dans l'attente de l'interconnexion entre TPJ et le traitement CASSIOPEE du ministère de la justice, créé par le décret n° 2009-528 du 11 mai 2009 pris après avis de la CNIL, qui permettra la mise à jour automatisée des suites judiciaires, la commission rappelle que des dispositions devront être prévues afin que le résultat de la consultation ne puisse être communiqué à l'autorité compétente qu'après que le responsable du fichier s'est assuré auprès du procureur de la République compétent qu'aucune décision judiciaire n'est intervenue qui appellerait la mise à jour de la fiche de l'intéressé ou encore qu'aucune requalification judiciaire n'est intervenue qui justifierait la rectification des informations figurant sur cette fiche.
Enfin, sur l'aspect statistique du traitement, la commission relève que le traitement TPJ alimentera en données les traitements « statistiques 4001 » et « statistiques opérationnelles » du ministère de l'intérieur. En revanche, elle prend acte que les données transmises dans ce cadre seront préalablement anonymisées.
Sur le cadre de la collecte :
Le traitement TPJ étant un fichier d'antécédents, le cadre de la collecte des données est défini par l'article 230-6 du code de procédure pénale. Ainsi, le traitement portera uniquement sur les données recueillies dans le cadre des procédures judiciaires établies par les personnels de la police nationale et les militaires de la gendarmerie nationale. Par ailleurs, le projet de décret précise que les données issues des procédures judiciaires établies par les agents des douanes habilités à exercer des missions de police judiciaire pourront être traitées lorsqu'un service de police ou une unité de gendarmerie aura été appelé à y participer.
Les procédures judiciaires dont il est question sont celles prévues par le code de procédure pénale, à savoir les enquêtes de police judiciaire menées sous le contrôle du procureur de la République (enquêtes préliminaires ou de flagrance, de recherche des causes de la mort, de blessures graves ou d'une disparition) ou les investigations exécutées sur commission rogatoire d'un juge (instruction préparatoire, instruction pour recherche des causes de la mort ou d'une disparition).
Alors que toutes les procédures judiciaires pour crime ou délit établies par ces services ont vocation à alimenter le traitement, tel ne sera pas le cas des procédures de nature contraventionnelle. En effet, les contraventions des quatre premières classes seront exclues du traitement et seules certaines contraventions de cinquième classe visées dans le projet de décret pourront alimenter le traitement. Pour autant, la commission note que la liste des contraventions visées dans le projet recouvre la majorité des contraventions de cinquième classe prévues par le code pénal.
La collecte des données s'opérera automatiquement par la mise en relation de TPJ avec les traitements de rédaction des procédures LRPPN de la police nationale (anciennement dénommé ARDOISE) et LRPGN de la gendarmerie nationale (anciennement dénommé ICARE), traitements créés par les décrets n° 2011-110 et 111 du 27 janvier 2011 pris après avis de la CNIL. La commission prend acte que, si les données renseignées dans les logiciels de rédaction des procédures relatives aux faits et aux victimes seront transmises en temps réel à TPJ, celles concernant les personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une infraction ne le seront que lors de la clôture, partielle ou définitive, de la procédure. Ainsi, ce n'est qu'à l'occasion de la validation, dans la police nationale, du compte rendu d'enquête et, dans la gendarmerie nationale, du bordereau d'envoi judiciaire que les données relatives à ces personnes seront transmises au traitement TPJ. La commission souligne l'opportunité d'une telle transmission différée afin d'éviter que des personnes abusivement mises en cause voient leurs données traitées dans TPJ lorsque l'enquête aura finalement démontré qu'il n'existe pas d'indices graves ou concordants de participation à une infraction.
Sur les personnes concernées :
Conformément à l'article 230-7 du code de procédure pénale, le traitement ne portera que sur les données relatives aux personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une de ces infractions ainsi que, le cas échéant, aux victimes de ces infractions. La commission relève que l'utilisation dans le projet de décret de l'expression « personne mise en cause » pour évoquer les personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une infraction est impropre, dès lors qu'une personne peut être mise en cause dans une plainte ou une dénonciation sans pour autant qu'il existe à son encontre les indices graves ou concordants exigés par la loi. La commission demande donc que le projet de décret soit modifié sur ce point. Par ailleurs, les données relatives aux personnes faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition pourront être traitées. La commission prend acte que les données relatives aux témoins ou aux auteurs de dénonciations ne seront pas enregistrées dans le traitement.
Comme le prévoit la disposition précitée du code de procédure pénale, le traitement des données ne sera pas limité eu égard à l'âge des personnes, notamment s'agissant des mineurs. Pour autant, la commission rappelle que les données traitées doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l'article 6-3° de la loi du 6 janvier 1978. Or l'appréciation de cette proportionnalité devra notamment se fonder sur l'âge de l'intéressé et la gravité des faits au regard des conséquences importantes et durables attachées à l'inscription d'une personne dans un fichier d'antécédents.
Sur la nature des données traitées :
Le projet de décret renvoie à une annexe déterminant la nature des données traitées. Concernant les personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une infraction, ces données seront l'identité (nom, nom marital, nom d'emprunt officiel, prénom, sexe), les surnoms et alias, les date et lieu de naissance, la situation familiale, la filiation, la nationalité, l'adresse, la profession, l'état de la personne, le signalement et la photographie.
Concernant les victimes et les personnes faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition, les données traitées seront l'identité (nom, nom marital, nom d'emprunt officiel, prénom, sexe), les date et lieu de naissance, la situation familiale, la nationalité, l'adresse, la profession et l'état de la personne. Le signalement et la photographie des victimes ne feront pas l'objet d'un traitement. En revanche, s'agissant spécifiquement des personnes faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition, le signalement et la photographie seront traités.
Par ailleurs, le traitement portera aussi sur des informations relatives aux faits ayant donné lieu aux enquêtes, aux lieux et dates des infractions, aux modes opératoires, aux objets et images des objets. La commission rappelle que ces informations, dès lors qu'elles sont en lien avec des données directement ou indirectement identifiantes, sont des données à caractère personnel au sens de l'article 2 de la loi du 6 janvier 1978 modifiée. Elle relève par ailleurs que les suites judiciaires réservées aux procédures ainsi que les références de celles-ci ne sont pas mentionnées et invite le ministère à modifier le projet de décret sur ce point.
Le traitement pourra en outre porter sur des données relevant de l'article 8 de la loi du 6 janvier 1978 modifiée, à savoir celles laissant apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. La commission prend acte que de telles données ne pourront être traitées que dans les cas où elles résultent de la nature ou des circonstances de l'infraction ou se rapportent à des signes physiques particuliers, objectifs et permanents, en tant qu'élément de signalement des personnes, dès lors que ces éléments sont nécessaires à la recherche et à l'identification des auteurs d'infractions. La commission invite le ministère à faire apparaître dans le projet de décret qu'il sera impossible de sélectionner dans le traitement une catégorie particulière de personnes à partir d'une donnée « sensible ».
Les données relatives au signalement des personnes seront d'ailleurs encadrées dans des menus déroulants dits « thesaurus » dénommés « type personne », « dominance latéralité », « lierne générale visage », « aspect visage », « couleur des yeux », « abondance cheveux », « aspects cheveux », « longueur cheveux », « coiffure », « type pilosité », « accent », « défaut prononciation », « nature signe particulier » et « localisation signe particulier ». La commission note qu'aucun élément de signalement ne résultera d'une analyse automatisée des photographies enregistrées. En outre, la commission observe que ces données de signalement, si elles laissent apparaître, directement ou indirectement, les origines ethniques ou raciales réelles ou supposées des personnes, ne pourront donner lieu à un traitement spécifique, notamment statistique, conformément à la décision du Conseil constitutionnel du 15 novembre 2007 (DC n° 2007-557).
De la même manière, les données relatives à l'état de la personne seront encadrées dans un thesaurus. La commission prend acte que les données qui pourront y être renseignées sont, pour la plupart, relatives à un état particulier de vulnérabilité de la personne. La commission considère que le sens que recouvre la catégorie de données « état de la personne » pourrait être précisé dans le projet de décret, soit en modifiant sa dénomination, soit en faisant apparaître son contenu. Par ailleurs, la commission relève que certaines données de ce thesaurus sont relatives à la santé ou à la vie sexuelle des personnes au sens de l'article 8 de la loi du 6 janvier 1978 modifiée. A ce titre, et conformément au projet de décret, elle prend acte que ces données ne pourront être traitées que lorsqu'elles résultent de la nature ou des circonstances de l'infraction.
Le traitement TPJ permettra l'enregistrement des photographies des personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une infraction ou celles faisant l'objet d'une enquête ou d'une instruction pour recherche des causes de la mort ou d'une disparition. Ces photographies seront issues de la procédure judiciaire, qu'il s'agisse de documents photographiques préexistants saisis durant l'enquête ou de photographies signalétiques prises par les services de police et de gendarmerie dans les conditions prévues à l'article 55-1 alinéa 2 du code de procédure pénale. La commission relève que, dans la police nationale, ces photographies signalétiques seront enregistrées dans le traitement GASPARD (gestion automatisée des signalements et des photographies anthropométriques répertoriés et distribuables), lequel enrichira le traitement TPJ de données photographiques via le traitement LRPPN. Sur ce point, elle souligne que le traitement GASPARD n'a pas fait l'objet des formalités prévues par la loi du 6 janvier 1978 modifiée.
La commission souligne que l'application TPJ permettra la comparaison automatisée de photographies, notamment la comparaison biométrique de l'image du visage des personnes. La commission, qui a déjà eu l'occasion de se prononcer sur ces technologies de reconnaissance faciale, notamment utilisées dans le secteur privé à des fins de contrôle d'accès à des locaux, relève que c'est la première fois qu'elle est saisie par un service de l'Etat d'une demande d'avis sur un traitement reposant sur cette technologie. Outre la détection des fausses identités dans TPJ lorsqu'un même visage renverra à plusieurs fiches, cette fonctionnalité de reconnaissance faciale sera utilisée à des fins d'identification des auteurs d'infractions. En effet, l'application TPJ permettra de comparer à la base des photographies signalétiques du traitement, les images du visage de personnes impliquées dans la commission d'infractions captées via des dispositifs de vidéoprotection. La commission prend acte que ces comparaisons seront soumises aux règles régissant le traitement TPJ, notamment quant à sa finalité et au cadre de la collecte des données.
Néanmoins, la commission considère que cette fonctionnalité d'identification, voire de localisation, des personnes à partir de l'analyse biométrique de la morphologie de leur visage, présente des risques importants pour les libertés individuelles, notamment dans le contexte actuel de multiplication du nombre des systèmes de vidéoprotection. Sans préjudice des contrôles qu'elle pourra être amenée à effectuer dans les conditions prévues par l'article 44 de la loi du 6 janvier 1978 modifiée, la commission demande à être informée, à l'occasion de la remise du rapport annuel de fonctionnement prévu par le projet de décret, de l'utilisation faite de cette fonctionnalité ainsi que de son éventuelle évolution technique.
Sur la durée de conservation des données :
Le projet de décret soumis à la commission mentionne une durée de conservation de principe de vingt ans pour les majeurs et de cinq ans pour les mineurs. La commission prend acte que ces durées courront à compter de l'enregistrement des données et souhaite que cela soit précisé dans le projet de décret. Il existera aussi des durées dérogatoires plus courtes (cinq ans) ou plus longues (quarante ans pour les majeurs, dix et vingt ans pour les mineurs) lorsque la personne sera mise en cause pour certaines infractions déterminées. Par ailleurs, en cas de pluralité d'infraction, c'est la durée de conservation la plus longue qui s'applique à l'ensemble des données d'antécédents.
La commission prend acte que ces durées, parfois très importantes et en tout état de cause bien supérieures aux délais de prescription de l'action publique, peuvent être justifiées par la finalité de police judiciaire du traitement, à savoir faciliter la constatation des infractions à la loi pénale, le rassemblement des preuves de ces infractions et la recherche de leurs auteurs, tout particulièrement en cas de récidive ou de réitération. Sous réserve de l'exactitude des données traitées, et tout particulièrement de leur mise à jour régulière, ainsi que de l'effectivité des droits offerts aux personnes, la commission considère que ces durées de conservation peuvent apparaître proportionnées à la finalité.
La commission prend acte que le projet de décret définit un régime de conservation des données propre aux personnes mineures à l'encontre desquelles il existe des indices graves ou concordants de participation à une infraction, afin de concilier l'identification des auteurs d'infractions et la recherche du relèvement éducatif et moral des mineurs délinquants conformément aux exigences constitutionnelles (décision n° 2011-652 DC du 10 mars 2011 renvoyant à la décision n° 2003-467 DC du 13 mars 2003). La commission, qui rappelle que le « droit à l'oubli » doit être particulièrement garanti concernant les mineurs, prend acte du fait que le régime qui leur est applicable se distingue nettement de celui auquel sont soumis les majeurs. En revanche, afin de garantir l'effectivité de ce régime, elle considère que la règle selon laquelle, en cas de pluralité d'infractions, la durée de conservation la plus longue s'applique à l'ensemble des données d'antécédents ne devrait pas s'appliquer aux données résultant de faits commis par une personne mineure.
La commission relève que, si la liste des qualifications pénales entraînant l'application de durées de conservation plus courtes est précise dès lors qu'elle fait référence au texte fondant l'infraction, tel n'est pas le cas des listes de qualifications permettant d'allonger ces délais. En effet, celles-ci font parfois référence à des catégories d'infractions aux contours mal définis. Au regard de l'importance de ces qualifications sur la durée de conservation des données, la commission invite le ministère à définir avec la même rigueur, à savoir par référence précise au texte fondant l'infraction, toutes les qualifications pénales entraînant l'application d'une durée dérogatoire.
La commission observe que c'est la qualification pénale retenue qui détermine la durée de conservation des données, les suites judicaires pouvant éventuellement conduire à leur effacement. Ainsi, conformément à l'article 230-8 du code de procédure pénale, une décision définitive de relaxe ou d'acquittement conduit à l'effacement des données, sauf si le procureur de la République s'y oppose. En revanche, ce principe est renversé en cas de décision de non-lieu ou de classement sans suite. Dans un tel cas, les données sont maintenues dans le traitement mais sont complétées par une mention relative à ces suites. Par exception, les données peuvent être effacées à la demande du procureur de la République en cas de décision de non-lieu ou de classement sans suite pour insuffisance de charges.
En tout état de cause, la commission souligne l'importance du rôle de l'autorité judiciaire quant à la définition de la durée de conservation des données dans TPJ dès lors que, conformément à l'article 230-8 du code de procédure pénale, « Le traitement des données à caractère personnel est opéré sous le contrôle du procureur de la République territorialement compétent qui demande qu'elles soient effacées, complétées ou rectifiées, notamment en cas de requalification judiciaire. La rectification pour requalification judiciaire est de droit. ». Ainsi, il appartiendra aux procureurs de la République de veiller à la rigueur juridique de la qualification pénale retenue dans le traitement CASSIOPEE du ministère de la justice, quelle que soit l'issue de cette procédure, dès lors que cette qualification se répercutera ensuite dans le traitement TPJ, via l'interconnexion entre ces traitements, et y sera déterminante quant à la durée de conservation des données.
Le dossier soumis à la commission laisse apparaître que la durée sera automatiquement calculée à partir du code de nature d'infraction dit « NATINF » saisi par l'enquêteur lors de l'enregistrement des données dans les logiciels de rédaction des procédures, puis éventuellement modifié par la suite en cas de requalification judiciaire. La commission prend acte que la table des codes NATINF de l'application TPJ sera régulièrement mise à jour, suivant les indications fournies par le ministère de la justice dont dépend cette codification, afin de tenir compte de la création et de l'abrogation de certains textes d'incrimination.
L'échéance du terme entraînera, au terme du mois courant, l'effacement des données relatives aux noms et prénoms, aux date et lieu de naissance, au sexe, à la situation familiale, à la filiation, à la nationalité, à l'adresse, à la profession, à l'état de la personne, au signalement et à l'ensemble des photographies. La commission considère que l'effacement de ces données peut effectivement conduire à rendre impersonnelles les informations conservées, à savoir les données relatives à l'infraction et aux circonstances de sa commission. Pour autant, elle invite le ministère à s'assurer que ces informations ne contiendront pas de données à caractère personnel, même indirectement identifiantes.
Par ailleurs, le projet de décret laisse apparaître que les données relatives aux victimes seront conservées durant quinze ans maximum. S'agissant des personnes faisant l'objet d'une enquête de recherche des causes de la mort ou d'une disparition, les données seront effacées lorsque l'enquête aura permis de retrouver la personne disparue ou d'écarter toute suspicion de crime ou délit, conformément à l'article 230-7 du code de procédure pénale.
La commission relève que l'application TPJ permettra aux enquêteurs de disposer d'un espace personnel ou partagé dans lequel il sera possible, dans le cadre d'une enquête, de conserver des documents, notamment des dossiers de synthèse constitués à partir de données collectées dans le traitement. La commission prend acte que ces documents seront détruits au terme d'une durée de trois années, sous le contrôle de l'autorité hiérarchique.
Sur les destinataires des données :
Le projet de décret distingue les destinataires selon qu'ils accéderont ou non au traitement. Ainsi, accéderont au traitement TPJ les agents de la police nationale, les militaires de la gendarmerie nationale et les agents du service national de la douane judiciaire, ainsi que les magistrats du parquet et les agents des services judiciaires. Tous ces personnels devront être individuellement désignés et spécialement habilités. Par ailleurs, pourront être destinataires des données sans accéder directement au traitement les autres agents de l'Etat investis par la loi d'attributions de police judiciaire, les magistrats chargés de l'instruction et les personnels des organismes de coopération internationale. La commission prend acte de la définition par le ministère de profils d'accès selon la qualité et le besoin d'en connaître de ces personnels dans le cadre de leurs attributions judiciaires.
S'agissant spécifiquement de l'utilisation du traitement à des fins administratives, le projet de décret ajoute que le traitement sera directement accessible aux agents de la police nationale et aux militaires de la gendarmerie nationale dans le cadre des missions, enquêtes ou interventions prévues à l'article 17-1 de la loi du 21 janvier 1995 susvisée. En outre, le projet de texte prévoit un accès au traitement aux personnels de l'Etat chargés de missions de police administrative. Cet accès sera alors limité à la seule connaissance de l'identité des personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une infraction. La commission note, au regard du dossier qui lui a été soumis, que ces personnels accéderont aussi à l'adresse et à la profession des personnes. Elle demande que le projet de décret soit complété sur ce point.
La commission prend acte qu'une consultation administrative ne permettra d'accéder qu'aux données relatives aux personnes à l'encontre desquelles il existe des indices graves ou concordants de participation à une infraction lorsque la fiche n'aura pas fait l'objet d'une « mention » au sens de l'article 230-8 du code de procédure pénale, à savoir lorsque la procédure judiciaire est en cours ou que la personne a fait l'objet d'une décision juridictionnelle définitive de déclaration de culpabilité. Autrement dit, la consultation en mode administratif ne permettra en aucun cas d'accéder aux données lorsque les personnes auront fait l'objet d'une mesure de classement sans suite (même précédée d'une mesure alternative aux poursuites) ou d'une décision juridictionnelle définitive de non-lieu, de relaxe ou d'acquittement. En tout état de cause, ce mode de consultation ne permettra pas d'accéder aux données relatives aux victimes.
Sur la mise à jour des données et leur exactitude :
Conformément aux dispositions du code de procédure pénale, le projet de décret rappelle le rôle primordial de l'autorité judiciaire, qu'il s'agisse du procureur de la République ou du « magistrat référent » de l'article 230-9 du code de procédure pénale, dans le contrôle du traitement et plus particulièrement de sa mise à jour. Le projet indique que les personnes pourront exercer, auprès du procureur de la République compétent, leur droit de rectification dans les conditions prévues à l'article 230-8 du code de procédure pénale. La commission rappelle que cette disposition fait obligation à l'autorité judiciaire de demander que les données soient effacées, complétées ou rectifiées, notamment en cas de requalification judiciaire, sans attendre que les intéressés exercent leurs droits.
La commission souhaite rappeler la gravité des dysfonctionnements qu'elle a constatés lors des contrôles auxquels elle a procédé, dans les conditions prévues à l'article 44 de la loi du 6 janvier 1978 modifiée, auprès du système de traitement des infractions constatées (STIC) de la police nationale en 2007 et 2008. En effet, il était alors notamment apparu que l'autorité judiciaire ne communiquait pas, ou seulement exceptionnellement, au service gestionnaire du fichier STIC les fiches « navettes » permettant de renseigner dans le fichier les suites judiciaires apportées aux procédures établies par la police nationale. Ainsi, la commission avait conclu à l'existence, dans ce fichier, d'une très large majorité de données inexactes ou incomplètes. Au regard des conséquences gravissimes de cette situation sur l'emploi des personnes lorsque celui-ci est soumis à enquête administrative préalable, comme dans le secteur de la sécurité privée, cette situation avait été portée à la connaissance du Premier ministre par un rapport remis en janvier 2009.
La commission souligne que le traitement TPJ est présenté par le ministère comme une solution à ces dysfonctionnements. En effet, le dossier soumis à la commission laisse apparaître un projet d'interconnexion entre les traitements TPJ du ministère de l'intérieur et CASSIOPEE du ministère de la justice qui permettra une mise à jour automatisée du traitement TPJ quant aux suites judiciaires et aux éventuelles requalifications décidées par l'autorité judiciaire. La commission prend acte que, dans l'attente de cette interconnexion prévue pour 2012, les services régionaux de documentation criminelle (SRDC) de la police nationale et le service technique de recherches judiciaires et de documentation (STRJD) de la gendarmerie nationale seront spécialement chargés de mettre à jour les données à partir des informations adressées par les procureurs de la République. Par ailleurs, ces derniers pourront contrôler l'effectivité de ces mises à jour par un accès dédié au traitement TPJ. Afin d'éviter que les dysfonctionnements constatés ne se poursuivent durant les premiers mois de mise en œuvre du traitement TPJ, la commission souhaite que l'attention des procureurs de la République soit particulièrement attirée sur l'importance de la transmission des suites judiciaires au gestionnaire du traitement TPJ dans l'attente de la mise en œuvre de l'interconnexion TPJ-CASSIOPEE.
La commission, par principe attentive au respect de la finalité des traitements et à la sécurité des données traitées en cas d'interconnexion, de rapprochement ou de mise en relation de traitements, tient à souligner l'opportunité de cette interconnexion entre les traitements TPJ et CASSIOPEE qui est de nature à résoudre en grande partie les dysfonctionnements constatés en matière de mise à jour des données d'antécédents. Pour autant, la commission souhaite que le ministère mette en place différents processus de contrôle, manuels ou automatisés, permettant de s'assurer régulièrement de l'effectivité des mises à jour résultant de cette interconnexion. Malgré le fait qu'une telle mention ne soit pas exigée par l'article 29 de la loi du 6 janvier 1978 modifiée, la commission regrette que cette interconnexion n'apparaisse pas dans le projet de décret qui lui a été soumis eu égard à son importance dans le traitement TPJ.
En revanche, il ressort du dossier soumis à la commission que le traitement TPJ reprendra l'intégralité des données issues des traitements STIC de la police nationale et JUDEX de la gendarmerie nationale. Au regard des conclusions de son rapport de contrôle du fichier STIC remis en 2009, la commission estime que des mesures concrètes devront être prises pour que les données reprises soient exactes et mises à jour. Tout en soulignant les efforts fournis ces dernières années par l'autorité judiciaire pour renseigner le gestionnaire du fichier STIC sur les suites judiciaires et par le ministère de l'intérieur pour effacer les données inexactes, la commission considère que la reprise des données des traitements STIC et JUDEX n'est pas envisageable sans qu'un important travail de mise à jour soit effectué sur les données reprises, notamment les plus anciennes. La commission souhaite être informée des mesures qui seront prises pour en garantir l'exactitude et, en tout état de cause, éviter que le traitement TPJ ne soit affecté, dès sa mise en œuvre, par les dysfonctionnements auxquels il est justement censé mettre un terme.
Sur les droits des personnes :
Le traitement TPJ ayant notamment pour objet la recherche et la constatation des infractions pénales au sens du VI de l'article 32 de la loi du 6 janvier 1978 modifiée, l'obligation d'information des personnes ne s'applique pas. Toutefois, le projet de décret prévoit que les personnes dont les données sont traitées en tant que victime sont informées de leurs droits d'accès et d'opposition. La commission souligne l'opportunité de cette mesure d'information qui sera assurée par affichage dans les locaux de la police nationale et de la gendarmerie nationale ainsi que par la remise d'une notice individuelle. Par ailleurs, elle invite le ministère à compléter cette information en faisant apparaître le droit de rectification de ces personnes.
Conformément à l'article 42 de la loi du 6 janvier 1978 modifiée, le projet de décret prévoit que le droit d'accès des personnes s'exercera indirectement auprès de la CNIL, dans les conditions prévues à l'article 41 de la loi précitée, pour l'ensemble des données. S'agissant d'un fichier d'antécédents, la procédure applicable aux demandes d'accès aux données du traitement TPJ sera donc celle prévue à l'article 87-1 du décret du 20 octobre 2005 susvisé. Le projet de décret précise que la CNIL peut constater, en accord avec le responsable du traitement, que les données à caractère personnel enregistrées ne mettent pas en cause la sûreté de l'Etat, la défense ou la sécurité publique et qu'il y a donc lieu de les communiquer à la personne intéressée, après accord du procureur de la République lorsque la procédure n'est pas judiciairement close. La commission prend acte de ces modalités d'accès. Toutefois, afin de réduire les délais de réponse aux demandes d'accès des personnes, elle invite le ministère à permettre aux personnes, dans les conditions prévues à l'alinéa 4 de l'article 41 de la loi du 6 janvier 1978 modifiée, d'exercer leur droit d'accès directement auprès du gestionnaire du fichier concernant les procédures judiciairement closes ou encore lorsque la demande ne porte que sur les données traitées en qualité de victime.
Le droit de rectification des données prévu à l'article 40 de la loi du 6 janvier 1978 modifiée s'exercera dans les conditions prévues à l'article 230-8 du code de procédure pénale. Le projet de décret précise que l'intéressé pourra exiger que la qualification des faits finalement retenue par l'autorité judiciaire soit substituée à la qualification initialement enregistrée dans le traitement. La commission rappelle sur ce point l'importance de la qualification finalement retenue dans le traitement TPJ dès lors qu'elle détermine la durée de conservation des données. Le projet de texte précise aussi que les personnes ayant bénéficié d'une mesure de classement sans suite, d'une décision de non-lieu, de relaxe ou d'acquittement pourront demander que le fichier soit mis à jour compte tenu de ces suites judiciaires. La commission relève que celles-ci, à l'exception des mesures de classement sans suite pour un autre motif que l'insuffisance de charges, pourront donner lieu à l'effacement des données, sauf à ce que le procureur de la République s'y oppose. En tout état de cause, la commission rappelle que, conformément à l'article 230-8 du code de procédure pénale, il appartiendra à l'autorité judiciaire d'assurer la mise à jour des données traitées, sans attendre l'exercice par les personnes de leur droit de rectification. Par ailleurs, elle souligne que les attributions de contrôle de la mise à jour des données, notamment par le traitement des demandes de rectification, relèveront concurremment des procureurs de la République territorialement compétents, conformément à l'article 230-8 du code de procédure pénale, et du « magistrat référent » visé à l'article 230-9 de ce même code. La commission souhaite que le rôle de chacun soit précisé, éventuellement par voie de circulaire, afin d'éviter que des décisions contradictoires ne soient prises dans le cas de saisines multiples.
Enfin, le projet de décret écarte l'application du droit d'opposition des personnes conformément à l'article 38 de la loi du 6 janvier 1978 modifiée. Cependant, conformément à l'article 230-7 du code de procédure pénale, les personnes dont les données sont traitées en qualité de victime pourront s'y opposer, avant le terme de la durée de quinze ans, lorsque l'auteur des faits aura été définitivement condamné.
Sur les interconnexions, la traçabilité des actions et la sécurité du traitement :
Le traitement TPJ sera mis en relation en amont avec les traitements de rédaction des procédures LRPPN de la police nationale et LRPGN de la gendarmerie nationale et interconnecté en aval avec le traitement CASSIOPEE du ministère de la justice. Comme précédemment rappelé au sujet de la mise à jour des données, la commission considère que cette automatisation de la chaîne pénale pourra contribuer à éviter les graves dysfonctionnements constatés lors des contrôles menés sur le traitement STIL. En revanche, il ressort du dossier soumis à la commission l'existence d'un projet d'interconnexion entre TPJ et un traitement dénommé FOVES (fichier des objets et véhicules signalés), lequel n'a pas encore fait l'objet des formalités préalables prévues par la loi du 6 janvier 1978 modifiée. Sur cette mise en relation, la commission réserve son avis dans l'attente du dossier de formalités relatif à ce traitement.
Le projet de décret indique que les consultations effectuées feront l'objet d'un enregistrement comprenant l'identifiant du consultant, la date et l'heure de la consultation ainsi que sa nature administrative ou judiciaire et que ces données seront conservées durant trois ans. Le dossier soumis à la commission laisse apparaître une conservation des ces données durant cinq ans. Elle demande donc que le projet de décret soit modifié sur ce point. La commission prend acte que des contrôles internes réguliers seront réalisés sur ce fichier de traces afin de déceler d'éventuelles utilisations abusives du traitement. Elle invite le ministère à informer la commission des vérifications réalisées dans le fichier de traces à l'occasion de la remise à la CNIL, prévue par le projet de décret, d'un rapport annuel sur le fonctionnement du traitement TPJ. Par ailleurs, la commission observe qu'au sein des centres d'information et de commandement (CIC) de la police nationale et des centres opérationnels de renseignement (CORG) de la gendarmerie nationale des dispositifs permettront de conserver la trace des consultations du traitement TPJ opérées par les agents et militaires habilités de ces services à la demande, formulée par voie téléphonique ou radiophonique, d'un autre agent ou militaire habilité. La commission relève que ces mesures de traçabilité, particulièrement élaborées, sont satisfaisantes au regard de la particulière sensibilité du traitement et de l'importance du nombre des personnes y accédant.
La sécurité du traitement « TPJ » est assurée par un ensemble de mesures particulièrement appropriées. Ainsi, le traitement est hébergé dans des conditions de sécurité physique d'un niveau élevé. S'agissant de l'infrastructure technique, les serveurs mettent en œuvre une version d'un système d'exploitation libre dont la sécurité est renforcée par des composants de sécurité additionnels. L'architecture applicative est basée sur des logiciels à la robustesse éprouvée. L'administration fonctionnelle sera assurée par le service central de documentation criminelle (SCDC) de la police nationale et le service technique de recherches judiciaires et de documentation (STRJD) de la gendarmerie nationale. L'accès à l'application n'est possible qu'après identification puis authentification des utilisateurs via les systèmes PROXIMA dans la gendarmerie nationale (identification par carte à puce, authentification par code PIN) et CHEOPS dans la police nationale (identification par matricule, authentification par mot de passe). La commission note que ce dernier système sera bientôt remplacé par le système PASSAGE.
La commission invite le ministère à faire réaliser, dès sa mise en œuvre, un audit de sécurité du traitement TPJ par l'Agence nationale de la sécurité des systèmes d'information (ANSSI).