(Demande d'avis n° 1402947)

La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de l'intérieur, de l'outre-mer et des collectivités territoriales, le 16 décembre 2009, d'un projet d'arrêté d'un traitement de données à caractère personnel dénommé «gestion des MIS et des BAA » ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 24 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n° 2007-451 du 25 mars 2007 ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Sur la mise en œuvre de l'application Pulsar :
La commission prend acte que l'application Pulsar est une évolution de l'application Bureautique Brigade 2000 et que cette future application centralisée permettra aux unités territoriales de la gendarmerie nationale de gérer sur le plan administratif, à travers quatre modules : le service et les registres des unités de gendarmerie, les amendes forfaitaires ainsi que la production des messages d'information statistiques (MIS) relatifs à la délinquance et les bulletins d'analyse des accidents relatifs à l'accidentalité (BAA).
Sur les finalités :
Aux termes de l'article 1er du projet d'arrêté, l'application « gestion des MIS et des BAA » a pour objet d'alimenter les bases statistiques de suivi de l'évolution de la délinquance et de l'accidentalité et d'orienter le pilotage des actions de lutte contre la délinquance et de l'insécurité routière.
La commission note que les messages d'information statistique (MIS) et les bulletins d'analyse des accidents (BAA) sont construits à partir d'une nomenclature des données statistiques déterminée respectivement par l'Observatoire national de la délinquance et par l'Observatoire national interministériel de sécurité routière.
Elle prend acte qu'ils visent en premier lieu à alimenter la base statistique de l'infocentre de la gendarmerie puis, dans un second temps, à alimenter à partir cette base la base statistique de l'Observatoire national de la délinquance ainsi que celui de l'Observatoire national interministériel de sécurité routière.
La commission prend acte de ces finalités, qui apparaissent légitimes.
Sur les données conservées :
Il est précisé aux termes de l'article 2 du projet d'arrêté que les données enregistrées pour le message d'information statistique et concernant les victimes et les mis en cause sont : sexe, nom, prénom, date de naissance, nationalité, commune de résidence, profession, suite judiciaire donnée, type de victime.
Pour le bulletin d'analyse des accidents et concernant les personnes directement impliquées dans l'accident : sexe, pays de naissance, catégorie (tué, blessé, indemne, gravité des blessures occasionnées, facteur usager, alcoolémie, taux d'alcoolémie, dépistage drogue, qualité de militaire, position en service, place à bord du véhicule, profession trajet suivi, type de permis de conduire, type de sécurité dans le véhicule, utilisation du type de sécurité, qualité de piéton, action du piéton et localisation du piéton, la responsabilité présumée), la date d'obtention du permis de conduire.
La commission relève que le numéro de procès-verbal n'est pas cité aux termes de l'article 2 du projet d'arrêté, or ce numéro est bien enregistré dans la base concernant les messages d'information statistique (MIS).
La commission relève que si les MIS transmis à la base statistique de la gendarmerie ne contiennent plus de données directes d'identification, ils comportent cependant le numéro de procédure qui constitue une donnée indirectement nominative.
Elle considère en conséquence que ce numéro devrait être supprimé de l'infocentre de la gendarmerie dès la clôture de la procédure, afin de garantir l'anonymat des données statisques.
Par ailleurs, elle relève que le dossier de demande d'avis indique que les nom, prénom et date de naissace sont renseignés pour les MIS ainsi que les bulletins d'analyse des accidents (BAA), que le numéro de plaque d'immatriculation, la marque et le type de véhicule utilisé sont renseignés dans le module BAA, alors que le projet d'arrêté n'en fait pas état.
Dès lors, la commission estime que l'article 2 du projet d'arrêté devrait être complété afin de faire mention de ces données.
Sur les durées de conservation :
La commission prend acte qu'aux termes de l'article 3 du projet d'arrêté les MIS sont conservés jusqu'à la clôture de la procédure et, concernant les BAA, que les données sont conservées trente et un jours à compter de leur enregistrement.
Sur les destinataires :
La commission prend acte que seuls les agents de la gendarmerie, individuellement désignés et spécialement habilités, auront accès aux données énumérées à l'article 2 du projet d'arrêté.
Sur les sécurités :
La commission prend acte que les applications Pulsar sont mises en œuvre sur le site de la gendarmerie de Rosny-sous-Bois et que les accès à ce site ainsi qu'aux salles informatiques sont protégés.
Elle note que des accès différenciés au réseau ont été définis selon le rôle des utilisateurs et que ces accès font l'objet d'une journalisation.
La commission considère que dans la mesure où le dossier de demande d'avis indique que les consultations dudit traitement font l'objet de mesures de traçabilité strictes, il serait souhaitable que le projet d'arrêté comporte une mention selon laquelle les consultations font l'objet d'un enregistrement comprenant l'identifiant du consultant, la date et l'heure de la consultation.