La Commission nationale de l'informatique et des libertés,

Saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé « gestion des étrangers en situation irrégulière » (GESI) ;

Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;

Vu la directive 2008/115/CE du Parlement européen et du Conseil du 16 décembre 2008 relative aux normes et procédures communes applicables dans les Etats membres au retour des ressortissants de pays tiers en séjour irrégulier ;

Vu le code de procédure pénale, notamment ses articles 78-1 et suivants ;

Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L. 621-1 et L. 624-1 ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26 ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi du 6 janvier 1978, modifiée par la loi n° 2004-810 du 6 août 2004 ;

Vu l'arrêté du 6 juin 2006 modifié portant règlement général d'emploi de la police nationale, notamment son article 2121-9 ;

Vu l'arrêt de la Cour de justice de l'Union européenne du 28 avril 2011 dans l'affaire C-61/11 PPU (Flassen El Dridi) ;

Après avoir entendu M. Sébastien HUYGHE, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,

Emet l'avis suivant :

La commission a été saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration d'une demande d'avis concernant un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé « gestion des étrangers en situation irrégulière » (GESI).

Ce traitement sera mis en œuvre par la préfecture de police. Aux termes de l'article 2121-9 de l'arrêté du 6 juin 2006 susvisé, la direction du renseignement de la préfecture de police est en effet compétente en matière de lutte contre l'immigration clandestine et les infractions liées à l'emploi des étrangers. Au sein de cette direction existe ainsi un service spécifiquement chargé de la lutte contre l'immigration irrégulière et le travail illégal des étrangers, dont les officiers et agents de police judiciaire exercent leurs attributions dans les départements de Paris, des Hauts-de-Seine, du Val-de-Marne et de la Seine-Saint-Denis, conformément à l'article R. 15-19 du code de procédure pénale.

Sur les finalités et le fondement juridique du traitement :

Aux termes de l'article 1er du projet d'arrêté, le traitement GESI a pour finalité la gestion des procédures judiciaires relatives aux étrangers en situation irrégulière, de leur interpellation par les services compétents de la préfecture de police à l'exécution de l'éventuelle mesure d'éloignement décidée à leur encontre. Ce traitement sera mis en œuvre par le service chargé de la lutte contre l'immigration irrégulière et le travail illégal des étrangers de la préfecture de police.

Les agents de ce service sont notamment chargés de constater les infractions à la loi pénale, en particulier aux articles L. 621-1 et L. 624-1 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA), respectivement relatifs à l'entrée et au séjour irréguliers des ressortissants étrangers et à la méconnaissance des mesures d'éloignement, d'en rassembler les preuves et d'en rechercher les auteurs. Il appartient ensuite au procureur de la République territorialement compétent de se prononcer sur l'opportunité des poursuites, sur la base des informations fournies par ce service. Dans le cas où aucune poursuite n'est exercée, ces agents ont pour mission d'assurer la liaison entre les services intervenant dans la mise en œuvre d'une mesure d'éloignement décidée par l'autorité administrative compétente.

Dans ce contexte, le traitement GESI constituera un outil opérationnel de police judiciaire à la disposition des agents de ce service, leur permettant d'assurer un suivi en temps réel des procédures judiciaires en cours. Dès lors, la commission estime que ce traitement a pour objet la constatation et la poursuite d'infractions pénales et non la gestion administrative des étrangers faisant l'objet d'une mesure d'éloignement, qui constitue la finalité du traitement ELOI créé en application de l'article L. 611-3 du CESEDA. Dans la mesure où le traitement GESI ne porte pas sur des données sensibles au sens de l'article 8 de la loi du 6 janvier 1978 modifiée, sa création doit donc être autorisée par arrêté du ministre de l'intérieur, pris après avis de la CNIL, conformément aux dispositions du I (2°) de l'article 26 de la loi du 6 janvier 1978 modifiée.

Cependant, la commission relève que l'arrêt susvisé de la Cour de justice de l'Union européenne (CJUE), relatif à l'interprétation des articles 15 et 16 de la directive 2008/115/CE du 16 décembre 2008 (dite « directive retour »), semble remettre en cause le principe de la pénalisation de la méconnaissance des mesures d'éloignement. Sans préjuger de ce point, qui ne relève pas de sa compétence, la commission observe que certaines des infractions, dont le traitement GESI a précisément pour objet la constatation et la poursuite, pourraient dès lors nécessiter d'être redéfinies afin de se conformer aux dispositions de la « directive retour », par exemple dans le cadre de la transposition en droit français de celle-ci.

Le ministère de l'intérieur devra dès lors l'informer, le cas échéant et dans les conditions prévues au II de l'article 30 de la loi du 6 janvier 1978 modifiée, des éventuelles modifications du traitement GESI que de telles évolutions pourraient engendrer.

Par ailleurs, la commission relève que le traitement GESI comporte une finalité statistique, expressément mentionnée à l'article 1er du projet d'arrêté. Il s'agit notamment de permettre de répondre aux demandes ponctuelles ou permanentes de données statistiques (nombre de personnes interpellées par département, par âge, par nationalité, etc., nombre de personnes placées en garde à vue, faisant l'objet de poursuites pénales, etc.), émanant des autorités ministérielles, du cabinet du préfet de police ou du directeur du renseignement. La commission prend acte que ces statistiques seront produites à partir d'informations et d'agrégats non nominatifs extraits de la base de données.

Sur les données enregistrées et leur durée de conservation :

L'article 2 du projet d'arrêté liste les catégories de données à caractère personnel qui seront enregistrées dans le traitement GESI. Il s'agit des informations relatives à l'identité de l'étranger (nom, prénom, âge, date et lieu de naissance, nationalité, sexe), à son numéro AGDREF, au service interpellateur, aux « données factuelles en rapport avec les procédures judiciaires en cours » ainsi qu'au domicile d'assignation à résidence et aux coordonnées du vol de retour du reconduit.

S'agissant de ces deux dernières catégories de données, la commission relève qu'elles ne pourront être enregistrées dans le traitement GESI que dans le cas où elles concernent des ressortissants étrangers ayant fait l'objet d'une mesure d'éloignement décidée par l'autorité administrative compétente. Elle prend donc acte que la rédaction de l'article 2 du projet d'arrêté sera modifiée sur ce point.

En ce qui concerne l'enregistrement du numéro AGDREF dans le traitement GESI, la commission rappelle tout d'abord que la décision n° 312051 du 30 décembre 2009 du Conseil d'Etat a annulé les dispositions réglementaires relatives au traitement ELOI permettant l'enregistrement de ce numéro, au motif que la pertinence et l'adéquation de cette donnée aux finalités du traitement n'étaient pas établies.

Cependant, la commission relève que le traitement GESI doit permettre aux officiers et agents de police judiciaire concernés de recueillir toutes les informations utiles à leur enquête et de porter à la connaissance de l'autorité judiciaire les éléments susceptibles de l'éclairer sur les suites à donner aux procédures judicaires ainsi engagées. Parmi ces informations figurent la situation des personnes concernées au regard de la nationalité et de l'entrée et du séjour en France ainsi que les éventuels antécédents administratifs qui figurent dans le traitement AGDREF (titre de séjour antérieur, mesure d'éloignement, etc.). Selon le ministère de l'intérieur, il est donc indispensable de pouvoir se référer, tout au long de la procédure judiciaire ou administrative, au dossier administratif unique et exhaustif du ressortissant étranger concerné.

Dans ces conditions, la commission considère que l'enregistrement du numéro AGDREF dans le traitement GESI est, en l'espèce, adéquat et pertinent au regard des finalités de ce traitement.

Par ailleurs, elle prend acte de la liste des informations susceptibles d'être enregistrées dans le traitement GESI au titre de la catégorie « données relatives aux procédures judiciaires en cours », qui n'appelle pas d'observation particulière de sa part.

L'ensemble des données enregistrées dans le traitement seront conservées, aux termes de l'article 3 du projet d'arrêté, « trois mois à partir de la date du dernier lait enregistré pour une même affaire ». La commission considère que cette durée est pertinente au regard de la finalité de gestion en temps réel des étrangers en situation irrégulière interpellés par les services compétents de la préfecture de police. Afin de s'assurer de l'effectivité de cette durée de conservation, elle demande cependant que l'effacement des données soit réalisé de manière automatique.

Sur les destinataires du traitement :

Dans la mesure où le traitement GESI sera mis en œuvre, au sein de la préfecture de police, par le service chargé de la lutte contre l'immigration irrégulière et le travail illégal des étrangers, seuls les officiers et agents de police judiciaire qui y sont affectés seront autorisés, dans la limite du besoin d'en connaître, à accéder directement aux informations enregistrées dans le traitement.

La commission relève que ces données seront uniquement accessibles sur le réseau interne de la préfecture de police et que seuls douze postes permettront d'accéder au traitement. Celui-ci comprend des fonctionnalités de journalisation (trace des connexions et journal d'accès) des opérations de création, de modification et de suppression des données. La commission demande dès lors que les accès en simple consultation fassent également l'objet de mesures de traçabilité.

Elle observe en outre que les personnels mentionnés au deuxième alinéa de l'article 4 du projet d'arrêté peuvent être destinataires des données du traitement, dans la limite du besoin d'en connaître. Il s'agit des officiers et agents de police judiciaire des directions et services actifs de la préfecture ayant procédé aux opérations de contrôle et de vérification d'identité, des fonctionnaires affectés à la direction de l'ordre public et de la circulation qui sont chargés des opérations de transfert des étrangers en situation irrégulière, des agents de la direction chargée de la police des étrangers (direction de la police générale de la préfecture) ainsi que des magistrats du parquet et de l'instruction. Dans la mesure où ces accès sont justifiés au regard de la finalité du traitement, la liste de ces destinataires n'appelle pas d'observation particulière de la commission. Tout comme pour les accès en consultation du traitement, elle demande cependant que les transmissions d'informations à ces destinataires puissent être tracées dans l'application.

Sur les droits des personnes :

En vertu des dispositions du VI de l'article 32 de la loi du 6 janvier 1978 modifiée, la préfecture de police n'est pas tenue d'informer les personnes concernées du traitement de données dont ils feront l'objet. La commission prend cependant acte que, afin de faciliter l'exercice des droits d'accès et de rectification des personnes, il est prévu que celles-ci soient informées oralement par les fonctionnaires de police, lors de la garde à vue, de l'enregistrement de leurs données personnelles dans le traitement GESI. En outre, cette information sera complétée par une affiche apposée dans les salles d'audition, qui mentionnera les modalités d'exercice des droits d'accès et de rectification aux données qui les concernent.

En ce qui concerne ces droits, l'article 5 du projet d'arrêté prévoit que, conformément aux dispositions des articles 41 et 42 de la loi du 6 janvier 1978 modifiée, ils s'exerceront indirectement, c'est-à-dire en adressant une demande écrite à la commission qui sera chargée de mener les investigations utiles et de procéder aux éventuelles modifications nécessaires. Interrogé par la commission sur la possibilité de prévoir un droit d'accès direct aux données, en application des dispositions du dernier alinéa de l'article 41 de la loi du 6 janvier 1978 modifiée, le ministère de l'intérieur a indiqué que l'exercice indirect de ces droits permettra de vérifier, en accord avec la commission, que la communication des données du traitement ne met pas en cause le déroulement des procédures judiciaires en cours. La commission prend donc acte des modalités prévues d'exercice des droits d'accès et de rectification des personnes.

Elle prend également acte que le droit d'opposition ne s'appliquera pas au traitement GESI, comme le prévoit l'article 6 du projet d'arrêté.

Sur les sécurités du traitement :

En ce qui concerne l'architecture du réseau informatique tout d'abord, la commission estime, compte tenu du caractère local du traitement, qu'il convient de s'assurer de l'impossibilité de se connecter depuis le réseau d'une autre préfecture, en restreignant les accès à l'application au moyen d'une liste blanche par exemple.

Elle relève par ailleurs que la préfecture de police n'a pas prévu de système de gestion des habilitations pour l'accès au traitement GESI, de sorte que chaque utilisateur du système aura accès, en lecture et en modification, à l'intégralité des données. Compte tenu de l'échelle réduite du traitement et du faible nombre d'utilisateurs, la commission considère que cette absence de gestion des habilitations n'est pas contraire aux dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée, sous réserve cependant que la sécurité de ces accès soit mieux assurée.

En effet, elle observe que ces accès seront conditionnés à la fourniture de mots de passe de six caractères minimum, contenant des lettres et des chiffres, mais sans durée de validité. Ces modalités d'accès n'apparaissent pas suffisantes au regard des obligations de sécurité incombant au responsable du traitement. La commission demande donc que la préfecture de police prévoit l'utilisation de mots de passe de huit caractères, contenant des lettres en majuscule et en minuscule ainsi que des chiffres et des caractères spéciaux, qui soient valables pour une durée limitée, de trois mois par exemple.

Les autres mesures de sécurité relatives à l'architecture du traitement informatique et à la sécurité des données traitées n'appellent pas d'observation particulière de sa part.

Enfin, la commission prend acte que le traitement GESI ne fera l'objet d'aucune mise en relation, rapprochement ou interconnexion avec un autre traitement de données à caractère personnel.

Le président,

A. Türk