La Commission nationale de l'informatique et des libertés a été saisie pour avis par le ministre de l'intérieur, de l'outre-mer, des collectivités locales et de l'immigration d'un projet d'arrêté autorisant la création de traitements de données à caractère personnel relatifs aux procédures d'appel à témoins.
Il y a lieu de faire application des dispositions de l'article 26-1 (2°) de la loi du 6 janvier 1978 modifiée qui soumet à une autorisation par arrêté ministériel pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et intéressant notamment la prévention, la recherche, la constatation ou la poursuite des infractions pénales.
En outre, et conformément aux dispositions de l'article 26-IV de la loi du 6 janvier 1978 modifiée, le projet d'arrêté a vocation à constituer un acte réglementaire unique, auquel devront se référer les engagements de conformité adressés à la commission.
Il s'agit en effet de traitements mis en œuvre, pour leur majorité, au niveau local (commissariats et unités territoriales de gendarmerie) et sous format papier, qui font actuellement l'objet d'une démarche de régularisation et d'informatisation par le ministère de l'intérieur.
Sur la finalité des traitements :
L'article ler du projet d'arrêté autorise le directeur général de la police nationale, le directeur général de la gendarmerie nationale ainsi que le préfet de police à mettre en œuvre des traitements dont la finalité est « l'enregistrement et l'exploitation des communications reçues dans le cadre de procédures d'appels à témoins ouvertes par les services de la police et les unités de la gendarmerie nationales ».
Ces appels à témoins visent à susciter des témoignages afin d'orienter une enquête judiciaire en cours. La notion d'appel à témoin recoupe trois procédures différentes (appel à témoins, alerte enlèvement, alerte attentat).
Les « appels à témoins » classiques consistent, à la demande des services enquêteurs et dans le cadre d'une procédure judiciaire, à susciter des témoignages afin d'accélérer la résolution d'une enquête ou d'une information. La procédure « alerte enlèvement » est inspirée du dispositif américain « Amber Alert ». Il convient de noter que certains critères, strictement définis et précisés dans une convention élaborée par le ministère de la justice, doivent être réunis afin qu'un tel appel à témoin puisse être déclenché. Cette procédure autorise la communication au public, via les médias, des éléments relatifs à la victime d'un enlèvement en vue de susciter des témoignages et favoriser ainsi la localisation et la libération de la victime. Enfin, la procédure « alerte attentat » a pour objet de collecter des renseignements lorsque des attentats terroristes ont été commis sur le territoire national.
Enfin, la commission prend acte que ces traitements n'ont aucune finalité statistique.
Sur les données à caractère personnel traitées :
Les services de police et les unités de gendarmerie mettent à la disposition du public, par le biais de différents vecteurs médiatiques (presse, radio, télévision, internet, etc.), un numéro de téléphone et une adresse électronique qui permettent de centraliser les témoignages.
La commission observe que les données seront donc collectées directement auprès des personnes concernées, sur la base d'une démarche volontaire.
L'article 2 du projet d'arrêté prévoit de traiter deux catégories de données, l'une relative à l'identité de la personne répondant à l'appel à témoin, l'autre relative à l'enregistrement des informations et données transmises, par tout support, aux services de la police et aux unités de la gendarmerie nationale.
S'agissant des informations relatives à l'identité des personnes, la commission prend acte que le ministère entend compléter l'acte réglementaire afin d'ajouter aux informations déjà mentionnées (nom, prénom, coordonnées téléphoniques), l'adresse, la date et lieu de naissance ainsi que l'adresse électronique.
La commission observe que l'« enregistrement des informations et données transmises, par tout support, aux services de la police et aux unités de gendarmerie » recouvre à la fois le contenu de l'enregistrement ainsi que l'enregistrement lui-même, que le témoignage soit réalisé par courrier traditionnel, électronique ou par téléphone.
En outre, la commission relève que seuls ces témoignages sont enregistrés et non pas les éventuels procès-verbaux des déclarations des témoins réalisés à l'occasion de leurs auditions ultérieures.
Sur la durée de conservation des données :
Dans le projet d'arrêté soumis à l'examen de la commission, il est prévu que « les données et informations mentionnées à l'article 2 [soient] conservées au maximum un an à compter de leur enregistrement sans préjudice de leur conservation pour les besoins d'une procédure pénale ». Le ministère a néanmoins considéré que cette rédaction était ambigüe ; aussi, la commission prend acte qu'il entend reformuler la rédaction de cet article de la manière suivante : « Les données à caractère personnel et informations mentionnées à l'article 2 sont conservées jusqu'à la clôture de l'enquête ou au plus tard jusqu'à la prescription de l'action publique ou l'extinction des voies de recours ».
Dans la mesure où ces traitements locaux prendront majoritairement la forme de registres papier, la commission relève qu'il n'est pas prévu d'effacement automatique. En revanche, s'agissant des traitements informatisés, elle demande qu'une telle procédure soit mise en place.
Sur les destinataires des traitements :
L'article 4 du projet d'arrêté prévoit que seuls les agents des services de la police nationale et les militaires et de la gendarmerie nationale, individuellement désignés et spécialement habilités, affectés dans les services ou unités mettant en œuvre ces traitements, peuvent accéder aux informations qui y sont enregistrées, en fonction de leurs attributions et dans la limite du besoin d'en connaître.
Ces dispositions n'appellent pas de remarque particulière de la part de la commission.
Sur les droits des personnes concernées :
La commission prend acte que le ministère entend écarter le droit d'information, en application des dispositions de l'article 32-VI de la loi du 6 janvier 1978 modifiée. Elle souligne toutefois que, lors d'un témoignage téléphonique, les personnes appelant les services de police ou de gendarmerie seront informées de l'enregistrement de la conversation téléphonique.
En ce qui concerne les droits d'accès et de rectification, la commission prend acte qu'ils s'exerceront de manière indirecte auprès de la commission s'agissant de la procédure d'« appel attentat ». En revanche, pour les autres procédures d'appel à témoins, ces droits s'exerceront directement auprès du service ou de l'unité mettant en œuvre le traitement, conformément à l'alinéa 4 de l'article 41 de la loi du 6 janvier 1978 modifiée.
La commission relève par ailleurs que le ministère entend écarter le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée.
Sur la procédure d'engagement de conformité :
En application de l'article 26-IV de la loi du 6 janvier 1978 modifiée, l'article 6 du projet d'arrêté prévoit que la mise en œuvre des traitements relatifs aux procédures d'appel à témoins par le directeur général de la police nationale (DGPN), le directeur général de la gendarmerie nationale (DGGN) ou le préfet de police est subordonnée à l'envoi à la commission d'un engagement de conformité faisant référence à l'arrêté.
La commission prend acte de l'engagement du ministère de lui communiquer un état précis des traitements mis en œuvre à l'occasion de la transmission de ces engagements de conformité.
Sur l'architecture et les mesures de sécurité :
La commission observe que ces traitements locaux prennent majoritairement la forme de registres papier et ne donnent pas lieu à un traitement informatique. Selon les indications du ministère, seule la préfecture de police dispose à ce jour d'un outil élaboré et l'architecture technique et les mesures de sécurité qui ont été portées à la connaissance de la commission ne concernent donc que les traitements mis en œuvre par la préfecture de police. Il est cependant prévu que les traitements relatifs aux procédures d'appel à témoins soient progressivement informatisés.
Les traitements autorisés en vertu d'un acte réglementaire unique peuvent varier dans leur architecture technique et dans les mesures de sécurité précisément mises en œuvre, sous réserve que tous ces traitements bénéficient d'un niveau adéquat de sécurité.
A cet égard, la commission relève que pour tous les traitements automatisés, des mesures suffisantes de traçabilité seront mises en œuvre. L'article 5 du projet d'arrêté prévoit en effet que « les consultations effectuées font l'objet d'un enregistrement comprenant l'identifiant du consultant, les dates et l'heures de la consultation. Ces données sont conservées trois ans ».
Elle prend également acte de l'engagement du ministère de transmettre, à l'occasion de l'envoi des engagements de conformité relatifs aux traitements de la DGPN et de la DGGN, une présentation des sécurités techniques de ces traitements, informatisés ou non.