Après avoir entendu Mme Sylvie ROBERT, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La Commission a été saisie par le ministre de la justice concernant un projet de décret en Conseil d'Etat relatif au service d'accueil unique du justiciable et aux personnes habilitées à accéder au bureau d'ordre national automatisé des procédures judiciaires.
Le traitement Cassiopée, dont les modalités de mise en oeuvre sont prévues aux articles 48-1 et R. 15-33-66-4 à R. 15-33-66-13 du code de procédure pénale (CPP), est déployé dans tous les tribunaux de grande instance.
Constituant le bureau d'ordre national automatisé des procédures judiciaires, cette application enregistre « les informations nominatives relatives aux plaintes et dénonciations reçues par les procureurs de la République ou les juges d'instruction et aux suites qui leur ont été réservées » et est « destinée à faciliter la gestion et le suivi des procédures judiciaires par les juridictions compétentes, l'information des victimes et la connaissance réciproque entre les juridictions des procédures concernant les mêmes faits ou mettant en cause les mêmes personnes, afin notamment d'éviter les doubles poursuites », conformément aux termes de l'article 48-1 du CPP.
Au-delà de la modification des dispositions réglementaires du code de l'organisation judiciaire (COJ) afin de prendre en compte la création du service d'accueil unique du justiciable (SAUJ) et de préciser les diligences et actes de procédures que les agents de greffe affectés dans ce service seront habilités à recevoir ou accomplir, le projet de décret vise à modifier l'article R. 15-33-66-8 du CPP, relatif aux personnels habilités à accéder directement aux données enregistrées dans le traitement Cassiopée. Il s'agit ainsi d'ajouter de nouveaux destinataires habilités à accéder aux données enregistrées dans le traitement Cassiopée, notamment afin de permettre l'application des dispositions des lois du 3 juin 2016 et du 18 novembre 2016 susvisées.
En application des articles 48-1 du CPP et 26-II et 30 de la loi du 6 janvier 1978 modifiée, les modifications envisagées doivent être autorisées par un décret en Conseil d'Etat pris après avis motivé et publié de la Commission.
A titre liminaire, la Commission relève que si certains de ces nouveaux accès ont été expressément prévus par le législateur, ces modifications ont pour conséquence d'augmenter de manière importante les personnels habilités à accéder au traitement Cassiopée. Au regard de la sensibilité des données et des finalités assignées audit traitement, la Commission appelle l'attention du ministère de la justice sur les risques liés à un élargissement régulier des personnes ayant accès aux données enregistrées dans ce traitement. Elle rappelle dès lors que de sérieuses garanties doivent accompagner cette extension des accès à Cassiopée.
Si ces garanties n'ont pas nécessairement vocation à apparaître dans le projet de décret, la Commission rappelle qu'elles doivent recevoir une application concrète effective, notamment par la création de profils spécifiques adéquats, une gestion rigoureuse des habilitations, la mise en oeuvre de mesures de traçabilité et un contrôle de la bonne application de l'ensemble de ces mesures de sécurité.
Sur l'application de dispositions législatives :
En premier lieu, le projet de décret vise à prendre en compte la création du service d'accueil unique du justiciable (SAUJ) par la loi du 18 novembre susvisée, laquelle a inséré un article L. 123-3 au COJ. Cette disposition prévoit qu'il est institué un « service d'accueil unique du justiciable dont la compétence s'étend au-delà de celle de la juridiction où il est implanté. [Il] informe les personnes sur les procédures qui les concernent et reçoit de leur part des actes afférents à ces procédures ».
Pour l'accomplissement de ces missions d'information et de réalisation de certains actes, les agents de greffe affectés dans un tel service doivent avoir accès à divers traitements de données à caractère personnel, mis en oeuvre sous la responsabilité du ministère de la justice, et notamment au traitement Cassiopée, comme le prévoit expressément l'article 48-1 du CPP dans sa version modifiée par la loi du 18 novembre 2016 précitée.
Le projet de décret vise ainsi à modifier l'article R. 15-33-66-8 du CPP relatif aux personnels habilités à accéder au traitement Cassiopée, afin d'y ajouter les agents de greffe affectés dans un SAUJ, pour les besoins de leurs attributions. Ces agents seront, en application de l'article R. 123-27 du COJ tel que prévu par le présent projet de décret, désignés par le directeur de greffe.
La Commission estime que plusieurs limitations devraient être mises en place, tant concernant le périmètre géographique que les types de procédures auxquelles ils auront accès.
Ainsi, le ministère a précisé que la compétence du SAUJ sera, dans un premier temps, limitée territorialement à l'arrondissement judiciaire. Il en résulte que les agents de greffe de ce service accompliront les diligences et actes de procédures pour le compte du TGI dans le ressort duquel le service est implanté ou de tout tribunal d'instance ou conseil des prud'hommes situé dans le même ressort.
La Commission estime dès lors que le profil d'accès en consultation des agents de greffe affectés dans un SAUJ devrait en conséquence être restreint aux procédures diligentées dans l'arrondissement judiciaire de leur compétence et, d'une manière générale, que les profils d'accès des destinataires doivent être adaptés à l'état du déploiement effectif du dispositif.
En outre, certaines catégories de procédures enregistrées dans le traitement Cassiopée ne relèvent pas de la compétence du SAUJ (procédures commerciales) telle que fixée par le présent projet de décret. La Commission estime dès lors que les agents de greffe affectés dans un tel service ne devraient pouvoir accéder qu'aux procédures pénales et civiles enregistrées dans Cassiopée, conformément aux missions qui leur sont assignées. A cet égard, elle prend acte de l'engagement du ministère de la justice de modifier le projet d'article R. 15-33-66-8-V du CPP tel que prévu par le projet de décret, afin de prévoir expressément que l'accès de ces personnels s'inscrit dans l'exercice de leurs attributions définies à l'article L. 123-3 du COJ et au projet d'article R. 123-28 du même code tel que prévu par le projet de décret.
En deuxième lieu, l'article 4 du projet de décret vise à permettre à certains personnels de l'Agence de recouvrement des avoirs saisis et confisqués (AGRASC) d'accéder aux données enregistrées dans le traitement Cassiopée, conformément à l'article 706-161 du CPP tel que modifié par la loi du 3 juin 2016 susvisée.
La Commission relève à cet égard que l'article 706-161 du CPP ne mentionne que les « magistrats et greffiers affectés au sein de l'Agence », tandis que le projet de décret évoque plus largement « les magistrats, les agents du greffe et les personnes habilitées affectées au sein de l'Agence ».
Or, certains personnels de l'AGRASC relèvent du ministère de l'économie et des finances et non du ministère de la justice. Dans la mesure où les dispositions législatives du CPP prévoient expressément que les informations figurant dans le traitement Cassiopée ne sont accessibles qu'aux autorités judiciaires, la Commission estime que le projet de décret devrait être modifié afin de limiter cet accès direct à Cassiopée aux seuls magistrats et greffiers de l'AGRASC. Elle prend dès lors acte de l'engagement du ministère de la justice de modifier le projet de décret en ce sens.
S'agissant des modalités d'accès de ces agents au traitement, la Commission estime que les mesures présentées par le ministère de la justice lors de la dernière modification des dispositions réglementaires relatives au traitement Cassiopée et qui portaient notamment sur l'accès des agents de l'AGRASC, sur lesquelles elle s'est prononcée dans un avis en date du 16 juillet 2015, devront être mise en oeuvre. Ainsi, l'accès devra intervenir via le Réseau privé virtuel justice (RPVJ), les actions de ces personnels devront être tracées et les personnels concernés devront accéder à Cassiopée avec un profil « titulaire parquet », leur permettant d'avoir accès aux seules données enregistrées dans Cassiopée concernant des affaires traitées dans le ressort du TGI de l'affaire concernée. En outre, elle estime que les profils d'accès de ces nouveaux personnels devraient être limités aux seules procédures pénales enregistrées dans Cassiopée, conformément aux missions de l'AGRASC.
Sur l'accès à Cassiopée par d'autres personnels :
En premier lieu, le projet de décret vise à compléter l'alinéa 5 du I de l'article R. 15-33-66-8 du CPP, relatif à l'accès à Cassiopée par le représentant national auprès d'Eurojust. Il est en effet prévu d'y ajouter « les magistrats, agents du greffe et personnels habilités pour l'assister ». La Commission relève que ces assistants ont déjà accès, en pratique, au traitement Cassiopée : elle a ainsi relevé, dans un avis en date du 21 juillet 2011, qu'un compte spécifique serait créé pour le représentant français et ses assistants, le « représentant national » visé dans le projet de décret renvoyant alors à l'institution et non aux personnes. Au-delà de la formalisation de cette pratique dans l'article R. 15-33-66-8 du CPP, elle estime que la création de profils d'accès individuels pour le représentant français et chacun de ses assistants permettra une traçabilité plus effective des actions effectuées.
La Commission rappelle néanmoins que cet accès devrait être limité à des personnels, magistrats ou greffiers, relevant du ministère de la justice. Une habilitation restreinte aux consultations nationales devrait en outre être prévue, sans que les titulaires de ces comptes ne puissent modifier les données enregistrées, ce qui n'apparaît pas nécessaire à l'exercice de leurs missions.
En second lieu, le projet de décret prévoit d'ajouter, au titre des personnels habilités à accéder directement aux données enregistrées dans le traitement, les magistrats du siège des cours d'appel, pour les procédures pénales, civiles et commerciales.
Le traitement Cassiopée n'a en effet été déployé, dans un premier temps, que dans les juridictions de première instance, de sorte que les juridictions pénales, civiles ou commerciales qui relèvent de la cour d'appel et de la Cour de cassation n'y avaient jusque-là pas accès.
Cette extension n'appelle aucune réserve de la part de la Commission, dans la mesure où ces accès s'inscrivent directement dans le cadre des finalités poursuivies par le traitement. En outre, l'abandon des anciennes applications mises en oeuvre dans les juridictions d'appel au profit de l'utilisation de Cassiopée permettra, par l'intermédiaire de l'interconnexion entre ce traitement et le TAJ, de mettre à jour le fichier d'antécédents, conformément aux dispositions de l'article 230-8 du CPP et répondant ainsi à une préoccupation constante de la Commission. Néanmoins, des mesures de restriction des accès ainsi que des mesures de sécurité devront être prévues.
Enfin, pour l'ensemble des nouveaux destinataires prévus par le projet de décret, la Commission rappelle que les habilitations devront régulièrement être contrôlées et leurs actions systématiquement tracées. Il appartient également au ministère de la justice de s'assurer du caractère effectif de ces mesures de sécurité et de confidentialité.