La commission a été saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté portant autorisation à titre expérimental d'un traitement de données à caractère personnel dénommé « Fichier des objets et des véhicules signalés » (FOVeS).
Le FOVeS se substituera à la partie « objets » du STIC de la police nationale et au fichier des objets signalés (FOS/JUDEX) de la gendarmerie nationale. Le STIC et le JUDEX doivent être tous les deux abrogés prochainement, conformément au décret n° 2012-652 du 4 mai 2012 relatif au traitement d'antécédents judiciaires. A terme, le FOVeS remplacera le fichier des véhicules volés (FVV). Commun à la police et à la gendarmerie, ce traitement s'inscrit dans le cadre de la modernisation et de la rationalisation des fichiers de la police et de la gendarmerie nationales.
L'article 9 du projet d'arrêté prévoit que l'expérimentation est autorisée pour une durée de deux ans et qu'il sera procédé à son évaluation. La commission prend acte qu'un rapport lui sera transmis. A cet égard, elle estime que ce rapport devra mentionner a minima :
― une description des conditions des mises en œuvre technique et opérationnelle des différents lots ;
― des éléments chiffrés sur le contenu de la base, sur le nombre de consultations, sur les conditions de mise à jour des données et sur les demandes de droits d'accès indirect ;
― une description précise des différentes interconnexions du FOVeS avec d'autres traitements et des modalités d'échanges avec ces autres traitements, certaines d'entre elles n'étant pas encore finalisées ;
― des éléments de conclusion généraux relatifs au fonctionnement du traitement, aux éventuelles difficultés rencontrées, aussi bien juridiques que techniques ;
― si, au regard de ces conclusions, une fonctionnalité d'archivage sera mise en œuvre lors de la généralisation et, le cas échant, ses modalités précises.
Un prolongement de l'expérimentation ou une pérennisation de ce traitement devra entraîner de nouvelles formalités préalables de la part du ministère de l'intérieur.
Sur la formalité préalable
Le traitement envisagé comporte des zones de texte libre ainsi qu'un champ libre prévu pour l'inscription des surveillances. La commission prend acte que dans le cadre de ces champs libres, aucune donnée relevant de l'article 8 de la loi du 6 janvier 1978 modifiée ne sera traitée.
Dès lors, conformément à l'article 26-1 de la loi du 6 janvier 1978, ce traitement doit être autorisé par arrêté pris après avis motivé et publié de la CNIL.
Sur la finalité du traitement
Le FOVeS aura pour objet de constituer une base unique et homogène des signalements, qu'il s'agisse des véhicules ou objets volés, placés sous surveillance ou perdus, mais également d'offrir aux enquêteurs une interface ergonomique unique de contrôle de l'état d'un objet identifiable (volé, surveillé, perdu), que le signalement provienne d'une autorité française ou d'un Etat partie aux accords de Schengen. Il permettra enfin d'alimenter d'autres systèmes d'information.
Aussi, l'article 1er du projet d'arrêté assigne au traitement projeté la finalité de « faciliter les recherches (...) pour :
― la découverte et la restitution des véhiculés volés ;
― la surveillance des véhicules et objets signalés dans le cadre de missions répressives ou préventives ;
― la découverte et la restitution des objets perdus ou volés ».
La commission relève que le FOVeS reprend logiquement certaines des finalités assignées au FW, telles que prévues par l'arrêté du 15 mai 1996 susvisé et sur lesquelles la commission s'est déjà prononcée.
Ont en outre été ajoutées la découverte et la restitution des objets perdus ou volés ainsi que la surveillance des objets signalés. Ces finalités s'inscrivent logiquement dans certaines des finalités assignées aux différents traitements que le FOVeS aura vocation à remplacer (« STIC objet » et le FOS).
Même si « l'identité de la personne susceptible d'utiliser le véhicule ou l'objet » sera collectée s'agissant des véhicules et objets volés et ceux qui sont sous surveillance, la commission prend acte que, contrairement au FW, le FOVeS n'a pas pour finalité « la recherche et la surveillance des personnes susceptibles d'utiliser un véhicule volé ou signalé » ; en effet, l'organisation des recherches sur les personnes susceptibles d'utiliser le véhicule ou l'objet seront prises en charge exclusivement par le fichier des personnes recherchées (FPR). A ce égard, le FOVeS ne permettra d'ailleurs pas de faire une recherche à partir du nom ou d'un identifiant d'une personne.
La commission considère que les finalités assignées au traitement aux termes de l'article 1er du projet d'arrêté sont déterminées, explicites et légitimes.
Le dossier laisse enfin apparaître que le FOVeS sera mis en relation avec plusieurs traitements relatifs aux procédures judiciaires (LRP, TAJ), des traitements relatifs à la coopération internationale (N-SIS et deux fichiers gérés par Interpol) et avec divers traitements du ministère de l'intérieur (FAETON, AGRIPPA, SIV, LAPI, SCA, etc.). La commission considère que s'il s'agit de l'un des objectifs du traitement, le projet d'arrêté devrait être modifié afin que cette finalité apparaisse explicitement.
Sur le cadre de la collecte et la nature des données traitées
L'article 2 du projet d'arrêté détaille les procédures à l'occasion desquelles les données sont recueillies. Il s'agit des procédures judiciaires diligentées pour des faits de vol établis par les services de la police ou les unités de la gendarmerie nationale, les mesures de surveillances exécutées dans le cadre de leurs missions répressives ou préventives ainsi que celles exécutées par les agents des douanes, les déclarations de perte ainsi que les données à caractère personnel issues des traitements gérés par les organismes de coopération internationale.
Interrogé sur le périmètre et la définition exacte des « mesures de surveillance exécutées dans le cadre des missions répressives ou préventives », le ministère a précisé qu'il s'agissait d'actes d'enquête effectués dans le cadre des missions de police judiciaire dévolues aux fonctionnaires de police et militaires de gendarmerie nationales par l'article 14 du code de procédure pénale et par l'article 99 de la convention d'application de l'accord de Schengen (CAAS). Les agents de la douane administrative disposent également des prérogatives similaires, en application du code des douanes. Si l'arrêté du 15 mai 1996 relatif au fichier des véhicules volés a consacré l'outil nécessaire à l'exercice de ces attributions, la commission regrette néanmoins que le ministère n'ait pas apporté plus d'informations sur cette notion de surveillance.
Les données seront issues de la reprise de données des systèmes existants relatifs aux objets (STlC objet et FOS), de la reprise des données du fichier des véhicules volés (il s'agit du deuxième lot, qui n'a pas encore été développé), des logiciels de rédaction des procédures de la police (LRPPN, ex-ARDOISE) et de la gendarmerie (LRPGN, ex-ICARE) et des signalements directement saisis dans l'application.
Les catégories de données sont définies dans une annexe au projet d'arrêté. Elles diffèrent selon l'état de l'objet (volé, surveillé, perdu). Conformément aux finalités assignées au traitement, dédié aux objets et non aux personnes physiques, les données collectées sont, à titre principal, relatives aux objets (nature, numéro de série et autre numéro d'identification, photographie) et, le cas échéant, à leur propriétaire, au plaignant ou à leur titulaire (état civil et coordonnées) ainsi qu'à la procédure judiciaire dont ils sont l'objet (numéro de procédure, date et heure de plainte, coordonnées du service, etc.). La commission considère que les données collectées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
En outre, elle prend acte que le traitement n'enregistrera aucune copie de procès-verbaux, mais seulement les données qui en sont issues. Plus généralement, aucune pièce de procédure ne figurera dans le traitement, à l'exception, le cas échéant, des photographies des objets.
Sur la procédure d'inscription et de mise à jour
Aux termes de l'article 3 du projet d'arrêté, l'inscription au FOVeS est effectuée par les services de police ou les unités de la gendarmerie nationale, qui sont donc habilités à inscrire au FOVeS l'ensemble des mesures prévues à l'article 1er du projet d'arrêté (vol, perte, surveillance).
En revanche, les mesures de surveillance sont les seules mesures qui peuvent être inscrites par les services des douanes, ces services n'ayant pas la compétence pour recevoir des plaintes pour vol ou des déclarations de perte. Dès lors, en cas de découverte, lors de leurs missions, d'un objet ou véhicule volé ou perdu, les services des douanes devront immédiatement informer le service de police ou de gendarmerie saisi initialement, lequel se chargera d'apporter les modifications nécessaires au sein du FOVeS.
S'agissant des véhicules ou objets déclarés volés, cette inscription doit être faite dans les meilleurs délais après le dépôt de plainte. En pratique, l'alimentation du FOVeS se fera automatiquement à partir des logiciels de rédaction des procédures de la gendarmerie et la police nationales.
L'article 6 du projet d'arrêté précise quant à lui la procédure de mise à jour des données et les personnels habilités à procéder à cette mise à jour. Il s'agit des services habilités des directions générales de la police et de la gendarmerie nationales ainsi que ceux de la direction générale des douanes et droits indirects.
En pratique, concernant les véhicules volés, la rédaction et l'enregistrement du PV de découverte dans les logiciels de rédaction des procédures, mis en relation avec le FOVeS, permettra de mettre à jour ce dernier. S'agissant des objets perdus, volés ou mis sous surveillance, la mise à jour interviendra par la saisie manuelle des données, effectuée directement dans le FOVeS par le gestionnaire.
S'agissant de la radiation des véhicules et objets volés, perdus ou surveillés, et conformément à ce qui est déjà prévu dans l'arrêté du 15 mai 1996 relatif au fichier des véhicules volés, leur radiation devra être effectuée sans délai avant restitution ou dès que la mesure de surveillance devient sans objet. La commission prend acte de la précision apportée par le ministère de l'intérieur, à savoir que la mise à jour de l'application antérieurement à la restitution du véhicule ou de l'objet à son propriétaire répond à la volonté de garantir un retour « en possession » sans un trouble de jouissance lié au maintien d'une inscription erronée dans le FOVeS.
D'une manière générale, la commission relève que lorsque la découverte des objets ou véhicules signalés (volés, perdus) ou la demande de cessation d'une surveillance intervient avant l'expiration de la durée de conservation prévue, les données ne sont effacées du FOVeS qu'à compter d'une période de latence de quatre mois, qui s'incrémente immédiatement dans le FOVeS qui est garante de l'effacement des fiches. Pendant cette période, qui permet éventuellement de corriger l'information ou de réactiver le signalement, la consultation de la fiche est possible, mais n'entraîne aucune alerte en cas d'interrogation. En revanche, dans le cas où les durées de conservation arrivent à leur terme, les données sont supprimées immédiatement et automatiquement.
Sur la durée de conservation des données
L'article 5 du projet d'arrêté prévoit des durées de conservation différentes en fonction de l'état du bien (volé, perdu, surveillé), mais également, au sein de ces catégories, en fonction de la nature du bien.
D'une manière générale, la commission relève que les durées de conservation sont justifiées, pour le ministère de l'intérieur, par des intérêts opérationnels ou par alignement sur les durées de conservation prévues dans le système d'information chengen de deuxième génération (SIS II).
Il est ainsi prévu que les données relatives aux objets multimédia, aux moyens de paiement et aux objets divers qui ont été volés seront conservées cinq ans.
Les données relatives aux véhicules volés (véhicules terrestres, bateaux et aéronefs), aux documents, conteneurs et équipements industriels, plaques d'immatriculation, certificats d'immatriculation et moteurs de bateau seront conservés dix ans. Il convient de relever que les données relatives aux véhicules volés sont conservées, au sein du FW, cinq ans en base active. La commission prend acte que cette durée de conservation de dix ans est alignée sur la durée de conservation prévues par l'article 45 de la décision 2007/533/JAI du Conseil du 12 juin 2007 sur l'établissement, le fonctionnement et l'utilisation du système d'information Schengen de deuxième génération (SIS II).
Les informations relatives aux billets de banques volés seront quant à elles conservées vingt ans, leur usage étant envisageable à long terme ; celles relatives aux armes, munitions, explosifs, bijoux, montre, horlogeries et objets d'art seront conservées cinquante ans, justifiées par la dangerosité de toute arme et par la valeur marchande des bijoux et objets d'art qui ne se déprécient pas avec le temps.
La commission considère que ces durées de conservation sont proportionnées aux finalités assignées au traitement. Toutefois, elle note que, si la décision du 12 juin 2007 ne prive pas chaque Etat membre d'avoir des durées de conservation propres, il n'en demeure pas moins qu'un alignement partiel sur les durées de conservation prévues par cette décision ne participe pas de la lisibilité du dispositif.
S'agissant des objets perdus, la commission relève tout d'abord que tous les signalements ne seront pas enregistrés, mais uniquement ceux relatifs aux armes et aux documents (documents vierges ou délivré ; certificat d'immatriculation). Les données relatives aux armes seront conservées cinquante ans et dix ans pour les documents.
En outre, l'article 5 du projet d'arrêté prévoit que la « durée de conservation des données concernant les véhicules et les objets surveillés est de six mois renouvelables ». La commission relève qu'aux termes de ces six mois le service ayant sollicité cette mesure est contacté par le gestionnaire du traitement pour avis sur sa prolongation pour une nouvelle durée de six mois.
Enfin, la commission estime que si le ministère envisage, lors de la pérennisation du traitement, de mettre en place une procédure d'archivage des données à l'issue des durées de conservation prévues par l'acte réglementaire, la nouvelle demande d'avis devra détailler les durées, le périmètre ainsi que les modalités techniques de cet archivage.
Sur les destinataires des données
L'article 4 du projet d'arrêté liste les destinataires des données enregistrées dans le traitement, en distinguant les personnels bénéficiant d'un accès direct aux données (art. 4-1 du projet d'arrêté) des personnels à qui ces informations pourront être communiquées (art. 4-11 du projet d'arrêté). Les personnels habilités à accéder directement au traitement n'appellent pas d'observations particulières.
Les catégories de personnels à qui ces informations pourront être communiquées sont au nombre de cinq. Il s'agit tout d'abord des autorités des préfectures, de la direction des libertés publiques et des affaires juridiques (OLPAJ) ainsi que de la direction de la modernisation et de l'action territoriale (OMAT) du ministère de l'intérieur (art. 4-11 [1°]), pour l'immatriculation des véhicules, la gestion des titres sécurisés et la délivrance d'autorisation de détention et d'acquisition d'armes. La commission considère que ces autorités administratives, au regard des missions qui sont les leurs, sont légitimes à recevoir communications des données enregistrées dans le FOVeS.
Les organismes de coopération internationale en matière de police judiciaire ou des services de police étrangers sont également amenés à recevoir communication d'information enregistrées dans le FOVeS, conformément à l'article L. 235-1 du code de la sécurité intérieure.
Les agents de police municipale pourront être destinataires des données enregistrées dans le FOVeS, dans le cadre des recherches des véhicules volés.
Ainsi la commission prend acte que ces agents seront destinataires de données enregistrées dans le FOVeS dans les mêmes conditions qu'ils le sont déjà pour le FW, telles qu'elle les a examinées dans sa délibération n° 2010-299 du 15 juillet 2010 portant avis sur un projet d'arrêté du ministère de l'intérieur, de l'outre-mer et des collectivités territoriales modifiant l'arrêté du 15 mai 1996 modifié relatif au fichier des véhicules volés (FW).
Le 4° de l'article 4-11 du projet d'arrêté prévoit en outre que les organismes d'assurance liés par un protocole d'accord en date du 24 août 2010 avec le ministère de l'intérieur seront destinataires de données enregistrées dans FOVeS, limitées aux seules informations relatives aux véhicules volés, comme c'est déjà d'ailleurs le cas à l'article 4 de l'arrêté du 15 mai 1996 relatif au fichier des véhicules volés ou découverts. La commission prend acte que la transmission de données se fait quotidiennement au moyen d'un processus informatisé sécurisé.
Par ailleurs, les constructeurs automobiles ou l'Observatoire national de la délinquance et des réponses pénales (ONDRP) pourront ponctuellement être destinataires d'informations statistiques relatives aux vols de véhicules.
La commission estime que les destinataires prévus à l'article 4-11 ont un intérêt légitime à connaître des données enregistrées dans le traitement projeté ; elle rappelle toutefois qu'ils sont tenus à une obligation d'assurer la sécurité, l'intégrité et la confidentialité des informations transmises.
Sur les droits des personnes
L'article 8 du projet d'arrêté prévoit que le droit d'accès s'exerce indirectement auprès de la CNIL, pour les véhicules et objets surveillés. Il s'exercera en revanche de manière directe auprès de la DGPN ou de la DGGN pour les véhicules volés et les objets perdus ou volés.
La commission constate que ce droit d'accès mixte est cohérent par rapport à ce qui est prévu déjà par l'arrêté du 15 mai 1996 relatif au fichier des véhicules volés géré par le ministère de l'intérieur.
Les droits d'information et d'opposition ne s'appliquent pas au traitement projeté. La commission estime qu'il pourrait néanmoins être envisagé un droit d'information pour les victimes de vol ou les propriétaires d'objets perdus.
Sur la sécurité des données, la mise en relation avec d'autres traitements et la traçabilité des actions
La commission note que des profils d'habilitation pour accéder et modifier le fichier FOVeS ont été définis. De plus, les mots de passe utilisés par les services de gendarmerie et de police pour l'authentification des utilisateurs sont conformes aux exigences de la commission, depuis le déploiement généralisé de la carte professionnelle.
Si le projet d'arrêté ne fait pas mention des différentes mises en relation, conformément à l'article 29 de la loi du 6 janvier 1978 modifiée, le dossier fait cependant état de plusieurs interconnexions. En effet, il est prévu plusieurs mises en relation du FOVeS avec des traitements relatifs aux procédures judiciaires (les logiciels de rédaction des procédures de la gendarmerie et de la police nationales ainsi que le traitement des antécédents judiciaires), avec des traitements relatifs à la coopération internationale (N-SIS et les bases ASF-SMV et ASF-STLD d'Interpol), avec le FAETON et AGRIPPA, ainsi qu'avec plusieurs traitements relatifs aux véhicules (SIV, LAPI, SCA, BSW).
La mise en relation avec les logiciels de rédaction de la police et de la gendarmerie nationale (LRPPN et LRPGN) permettra d'alimenter le FOVeS automatiquement par des informations issues de ces traitements, relatives à des objets identifiés dans le cadre d'une procédure de vol ou de découverte. En outre, le FOVeS transmettra au TAJ les informations relatives à la découverte d'un objet déclaré ou volé.
Par ailleurs, pour répondre aux exigences de la convention d'application des accords de Schengen, le FOVeS transmettra en temps réel au N-SIS les données concernant les objets et véhicules éligibles au système d'information Schengen. Il s'agit des armes à feu, des billets de banque, des documents vierges ou délivrés et des véhicules terrestres immatriculés. En outre, une consultation « couplée » du système d'information Schengen à travers le FOVeS est prévue.
Il est en outre prévu des mises en relation avec deux bases de données gérées par Interpol : d'une part, avec la base ASF (Automatic Search Facility)-SMV (Stolen Mobile Vehicles), afin de transmettre à cette base les signalements concernant les véhicules volés inscrits dans le FOVeS et, d'autre part, avec la base ASF (Automatic Search Facility)-SL TD (Stolen and Lost Travel Documents), afin de transmettre les signalements concernant les documents de voyages volés, voire perdus. Le principe de cession de données du FW à la base ASF-SMV est prévu par l'article 4-1 de l'arrêté du 15 mai 1996 relatif au fichier des véhicules volés.
Le FOVeS sera en outre mis en relation avec le système d'information FAETON (nouveau permis de conduire européen) ; il s'agira d'une interrogation transparente du système FAETON, afin d'obtenir le numéro de série du document, indispensable à la cession des informations relatives aux documents volés dans le N-SIS ou les bases de données d'Interpol. Le FOVeS transmettra quant à lui ses signalements de vol à FAETON.
La mise en relation avec le traitement AGRIPPA permettra, depuis l'application FOVeS, de rapatrier directement des identifiants de l'arme ou du document d'autorisation.
Enfin, il sera mis en relation avec divers traitements relatifs aux véhicules (système d'immatriculation des véhicules ; lecture automatisée de plaque d'immatriculation, système de contrôle automatisé ; base satellite des véhicules volés).
La commission considère que ces interconnexions apparaissent nécessaires aux finalités du traitement et participent en outre à la bonne mise à jour des informations qui y sont enregistrées, conformément aux exigences prévues par l'article 6 de la loi du 6 janvier 1978 modifiée. En outre, pour certaines, ces interconnexions sont déjà mises en œuvre avec le traitement FW.
Concernant la sécurité de ces échanges, la commission relève que les modalités d'échanges avec d'autres traitements ne sont pas encore toutes spécifiées à ce jour, étant donné le caractère expérimental du traitement FOVeS. A cet égard, la commission rappelle la nécessité, pour tout traitement même expérimental, de « prendre toutes précautions utiles, au regard de la nature des données et des risques présentés par le traitement, pour préserver la sécurité des données et, notamment, empêcher qu'elles soient déformées, endommagées ou que des tiers non autorisés y aient accès », conformément à l'article 34 de la loi du 6 janvier 1978 modifiée.
La commission relève qu'une fonctionnalité de journalisation des opérations de consultation, création, mise à jour et suppression a été définie, étant précisé que les données journalisées (traces) sont conservées cinq ans.
Sous réserve des observations de la commission, les mesures de sécurité décrites par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée.
La commission rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.