La Commission nationale de l'informatique et des libertés,

Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté portant autorisation de traitements de données à caractère personnel dénommés « gestion du dépôt » ;

Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes a l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;

Vu le code de procédure pénale, notamment ses articles 63-1 à 63-3-1 et 803-2 et 803-3 ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 26-1 (2°) et 26-IV ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative a l'informatique, aux fichiers et aux libertés ;

Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations,

Emet l'avis suivant :

La commission a été saisie d'une demande d'avis concernant un projet d'arrêté portant autorisation de traitements de données à caractère personnel dénommés « , gestion du dépôt ». II constituera un acte réglementaire unique permettant la déclaration de plusieurs traitements mis en œuvre localement par les directions générales de la police et de la gendarmerie nationales ainsi que par la préfecture de police.

A ce titre, le ministère a déjà adressé à la commission le dossier de présentation relatif au traitement « gestion informatisée du dépôt » (GIDEP) mis en œuvre par la préfecture de police de Paris.

Ces traitements sont destinés principalement à la gestion administrative des personnes placées au dépôt, ce qui inclut trois aspects : le pointage, c'est-à-dire le suivi des mouvements de la personne entre le dépôt et ses convocations, les écrous, c'est-à-dire l'enregistrement des renseignements relatifs à la procédure judiciaire de l'individu, et la fouille, permettant quant à elle de dresser l'inventaire des effets personnels des personnes concernées.

Sur les finalités et les personnes concernées :

Deux finalités différentes sont assignées aux traitements projetés : « assurer la gestion administrative des personnes déférées ou gardées à vue et placées sous la surveillance des fonctionnaires de la police nationale ou militaires de la gendarmerie nationale dans les dépôts des palais de justice », d'une part, et « permettre le suivi comptable de ces missions », d'autre part.

S'agissant de la finalité principale, la commission relève que les traitements projetés permettront au ministère de l'intérieur de gérer les différentes phases du parcours des personnes déférées ou gardées à vue et accueillies dans les dépôts : l'enregistrement des informations relatives à la procédure judiciaire de l'individu, le suivi des allées et venues de la personne entre le dépôt et ses convocations et la fouille.

Le code de procédure pénale exige à cet égard la tenue de registres spéciaux, tels que le registre dit « Perben » (art. 803-3 du code de procédure pénale) ou le registre imposé par l'article 64-II de ce même code. Or, la rédaction du projet d'arrêté ne fait pas explicitement état de ces registres obligatoires. Des lors, et afin de respecter l'exigence de caractère déterminé et explicite des finalités posée par l'article 6 (2°) de la loi du 6 janvier 1978 modifiée, la commission invite le ministère à modifier le projet d'acte réglementaire en ce sens.

S'agissant des personnes concernées, ces traitements porteront sur l'ensemble des personnes gardées à vue au dépôt ou déférées, y compris les personnes mineures, et non pas exclusivement sur celles qui sont déférées pour la journée judiciaire du lendemain et pour lesquelles la conduite au dépôt s'effectue la veille (art. 803-3 du code de procédure pénale). Elle invite le ministère à modifier les visas du projet d'arrêté en ce sens, afin de mentionner également l'article 803-2 du code de procédure pénale relatif aux personnes déférées à l'issue de la garde à vue et qui doivent comparaître le jour même. La commission prend acte que les personnes en rétention administrative sont néanmoins exclues du champ d'application de ces traitements.

La commission relève que le dépôt du palais de justice de Paris connaît une situation particulière, qui a des conséquences sur le champ d'application du traitement GIDEP. En effet, certains locaux du palais de justice de Paris relèvent non seulement de la préfecture de police, mais également de l'administration pénitentiaire (la « Souricière », donc les locaux sont distincts). Inversement, la surveillance des personnes hospitalisées et placées dans des locaux différents du palais de justice (salle Cusco de l'Hôtel-Dieu) relève de la préfecture de police (compagnie de garde du dépôt du palais de justice de Paris). A cet égard, la pénitentiaire (la « Souricière », donc les locaux sont distincts). Inversement, la surveillance des personnes hospitalisées et placées dans des locaux différents du palais de justice (salle Cusco de l'Hôtel-Dieu) relève de la préfecture de police (compagnie de garde du dépôt de Paris). A cet égard, la commission prend acte que les données relatives aux détenus gardés à la « Souricière » ne seront pas enregistrées dans le traitement, à la différence des personnes déférées ou gardées à vue et placées, pour des raisons de santé, dans la salle Cusco de l'Hôtel-Dieu. Toutefois, en raison de contrainte technique, l'utilisation du traitement pour ces dernières personnes sera faite à partir du dépôt.

Sur les données traitées :

Les données collectées relatives à la personne placée au dépôt n'appellent pas d'observation particulière, de même que les données relatives aux infractions et à l'enquête, à la nature de la décision à l'origine du placement au dépôt et aux mesures de sécurité prévues par l'article 63-6 du code de procédure pénale. Toutefois, elle considère que le projet d'arrêté devrait mentionner plus clairement que des données relatives aux mouvements de garde à vue ou du déféré sont également enregistrées, et pas uniquement des données relatives à la procédure judiciaire proprement dite.

D'une manière générale, la commission rappelle que sous peine de faire entrer ces traitements dans le champ matériel de l'article 8 de la loi du 6 janvier 1978 modifiée, ils ne pourront faire apparaître des données dites « sensibles ». Ainsi, seule l'information selon laquelle un médecin à été contacté pourra apparaître, à l'exclusion par exemple de tout constat ou diagnostic effectué par la personne surveillante ; de même, les informations relatives au repas ne doivent pas avoir pour conséquence de faire apparaître les opinions religieuses des personnes concernées.

En application des articles 63-1 à 63-3-1 et 803-3 du code de procédure pénale, la personne déférée ou gardée a vue jouit de plusieurs droits, justifiant la collecte de l'identité et des coordonnées des personnes qu'elle souhaite aviser (médecin, avocat, famille. employeur). La commission considère néanmoins que les informations collectées à ce titre devraient être strictement limitées aux données nécessaires pour les contacter (numéro de téléphone ou de fax professionnels).

Enfin, le projet d'arrêté prévoit que des données relatives aux fonctionnaires de police ou de gendarmerie sous la responsabilité desquels les personnes sont placées au dépôt puissent être enregistrées.

La commission relève que l'application GIDEP de la préfecture de police pourra comporter des consignes et observations, notamment pour organiser la relève. A cet égard, elle rappelle que ces données devront, dans l'hypothèse de l'exercice du droit d'accès, être communiquées à l'intéressé, conformément à l'article 39 de la loi du 6 janvier 1978 modifiée.

Sur la durée de conservation des données :

L'article 3 du projet d'arrêté prévoit de conserver les données pendant deux ans à compter de leur enregistrement.

La commission prend acte des justifications du ministère sur ce point, à savoir du besoin d'assurer la mémoire du service et de pouvoir justifier de l'exercice des droits et de l'exécution des obligations de l'Etat, par exemple en cas de contentieux. En outre, cette conservation se justifie également en cas de requête administrative (dans un but statistique) ou judiciaire ultérieure.

Enfin, dans la mesure où ces traitements locaux prendront majoritairement la forme de registres non informatisés, la commission observe qu'aucun mécanisme d'effacement automatique des informations ne peut être mis en œuvre. Le ministère a néanmoins indiqué que des instructions seront adressées aux services afin de s'assurer du respect des dispositions de l'arrêté.

Concernant l'application GIDEP de la préfecture de police, la suppression des données est actuellement faite manuellement, mais une automatisation de la fonction sera mise en œuvre prochainement. La commission invite le ministère à mettre en place cette fonctionnalité dans les plus brefs délais, l'effacement automatique étant la garantie que la durée de conservation prévue est respectée. Elle demande, par ailleurs, à être informée de la mise en place de cette fonctionnalité.

Sur les destinataires des données :

L'article 4 du projet d'arrêté liste les destinataires des données enregistrées dans les traitements, en distinguant les personnels bénéficiant d'un accès direct aux données des personnels à qui ces informations peuvent être communiquées. En ce qui concerne les premiers, iI s'agit des agents des services de la police nationale et des militaires de la gendarmerie nationale chargés de l'encadrement et de la surveillance des personnes déférées ou gardées a vue dans les dépôts des palais de justice.

La commission prend acte de l'engagement du ministère de compléter le projet d'arrêté afin de mentionner, parmi les destinataires du traitement, l'Association de politique criminelle appliquée et de réinsertion sociale (APCARS) qui réalise pour les majeurs les enquêtes sociales. D'une manière générale, l'APCARS n'étant habilitée que par certains tribunaux, le ministère est invité à mentionner, parmi les destinataires, ces associations qui, au sein des dépôts, réalisent les enquêtes sociales pour les personnes majeures déférées.

En outre, la commission estime que les unités éducatives auprès des tribunaux pour enfants (UEAT), qui dépendent de la protection judiciaire de le jeunesse et réalisent les enquêtes relatives aux mineurs déférés, devraient, au même titre, figurer parmi les destinataires.

La commission prend ainsi acte qu'aucun autre destinataire n'est prévu.

Sur les droits des personnes :

Le droit d'opposition prévu a l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas aux traitements projetés.

Les droits d'accès et de rectification s'exerceront directement, en application des articles 39 et 40 de cette même loi, auprès du responsable du service mettant en œuvre le traitement.

La commission relève que le ministère entend délivrer une information aux personnes concernées, notamment par voie d'affichage.

Sur la sécurité des données et la traçabilité des actions :

La commission observe que ces traitements locaux prennent majoritairement la forme de registres papiers et ne donnent pas lieu à un traitement informatique. Seule la préfecture de police dispose à ce jour d'un outil élaboré, et l'architecture technique et les mesures de sécurité qui ont été portées à la connaissance de la commission ne concernent donc que le traitement mis en œuvre par la préfecture de police.

Les traitements autorisés en vertu d'un acte réglementaire unique peuvent varier dans leur architecture technique et dans les mesures de sécurité précisément mises en œuvre, sous réserve qu'ils bénéficient tous d'un niveau adéquat de sécurité. A cet égard, la commission relève que l'article 7 du projet d'arrêté rappelle que des mesures nécessaires doivent être prises pour préserver la sécurité des données à l'occasion de leur recueil, de leur consultation, de leur communication et de leur conservation, conformément aux exigences de l'article 34 de la loi du 6 janvier 1978 modifiée.

En outre, la commission relève que pour tous les traitements automatisés, des mesures suffisantes de traçabilité seront mises en œuvre. L'article 5 du projet d'arrêté prévoit en effet que « les consultations effectuées font l'objet d'un enregistrement comprenant l'identification du consultant, les dates et heures de la consultation. Ces données sont conservées trois ans ».

Elle prend acte de l'engagement du ministère de transmettre, à l'occasion de l'envoi des engagements de conformité, un dossier technique complet lorsque les traitements seront informatisés. Elle invite par ailleurs le ministère à modifier le projet d'arrêté en ce sens.

S'agissant plus spécifiquement du traitement GIDEP, la commission prend acte de l'engagement du ministère de la rendre destinataire, au moment de l'engagement de conformité, d'un dossier technique complet démontrant que les exigences de sécurité prévues par l'article 34 de la loi du 6 janvier 1978 modifiée sont respectées.

La présidente,

I. Falque-Pierrotin