La Commission nationale de l'informatique et des libertés,

Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 22 juin 2011 portant autorisation de traitements automatisés de données à caractère personnel dénommés « nouvelle main courante informatisée »,

Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu le code de l'action sociale et des familles, notamment son article L. 121-1-1 ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-1 (1°) ;

Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

Vu l'arrêté du 24 février 1995 modifié autorisant la création dans les commissariats de police d'un traitement automatisé du registre dit de main courante ;

Vu l'arrêté du 22 juin 2011 modifié portant autorisation de traitements automatisés de données à caractère personnel dénommés « nouvelle main courante informatisée » ;

Vu la délibération n° 2011-125 du 5 mai 2011 portant avis sur un projet d'arrêté relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé « nouvelle main courante informatisée » (N-MCI) ;

Vu le dossier et ses compléments ;

Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,

Emet l'avis suivant :

La Commission nationale de l'informatique et des libertés a été saisie pour avis, par le ministre de l'intérieur, d'un projet d'arrêté modifiant l'arrêté du 22 juin 2011 portant autorisation de traitements automatisés de données à caractère personnel dénommés « nouvelle main courante informatisée » (N-MCI).

Ces traitements, mis en œuvre par le directeur général de la police nationale, ont vocation à remplacer le traitement automatisé du registre de main courante informatisée (MCI), mis en œuvre dans les commissariats de police et créé par l'arrêté du 24 février 1995 susvisé, pris après avis de la commission. Ils reposent sur une centralisation nationale des bases de données locales et sont mis en œuvre par plusieurs services centraux de la direction générale de la police nationale et de la préfecture de police dont les personnels accèdent directement au traitement.

Les traitements N-MCI, qui doivent permettre le suivi de l'activité de services de police, poursuivent les finalités suivantes : faciliter le traitement des déclarations des usagers et des événements traités par les services de police afin d'assurer une meilleure efficacité des interventions, faciliter la direction opérationnelle des services de police et de leurs agents ainsi que le contrôle et l'évaluation de leur activité, améliorer la qualité de l'accueil du public et produire des statistiques sur l'activité des services.

Ces traitements, qui relèvent de l'article 26-1 (1°) de la loi du 6 janvier 1978 modifiée, ont été autorisés par l'arrêté du 22 juin 2011 susvisé, pris après l'avis de la commission du 5 mai 2011. Il est prévu de modifier la liste des destinataires des données contenues dans ces traitements. Conformément aux dispositions des articles 26 et 30-II de la loi du 6 janvier 1978 modifiée, ces modifications doivent être autorisées par arrêté ministériel pris après avis motivé et publié de la commission.

A titre liminaire, la commission relève que les traitements N-MCI font l'objet d'un déploiement progressif. Pour des raisons d'ordre technique, l'application centralisée N-MCI pourrait ne pas être déployée dans l'ensemble des services de sécurité publique avant un délai de deux ans, durant lequel les dispositions de l'arrêté du 24 février 1995 précité demeurent applicables à l'échelon départemental.

En premier lieu, l'article 1er du projet d'arrêté vise à permettre aux agents de la police nationale affectés dans les services relevant de la direction centrale de la police judiciaire (DCPJ) ou de la direction régionale de la police judiciaire de Paris (DRPJ) de bénéficier dorénavant d'un accès direct aux données du traitement N-MCI, à l'exception de celles relatives aux agents des services de la police nationale. Actuellement, ces agents peuvent être destinataires, dans certaines conditions, des données contenues dans le traitement N-MCI, en application des dispositions de l'article 4-1I de l'arrêté du 22 juin 2011 précité.

Le ministère estime en effet nécessaire de renforcer les échanges d'informations et le partage du renseignement afin d'améliorer la coordination des services de police. Il a ainsi indiqué que cet accès direct doit permettre de mutualiser les moyens confiés à ces deux directions en leur permettant de mener à bien leurs missions, notamment en matière de lutte contre la délinquance.

Si la commission n'entend pas remettre en cause les besoins opérationnels portés à sa connaissance, elle observe que cette modification conduit à un élargissement substantiel du nombre de personnels pouvant accéder aux traitements N-MCI et aux données qu'ils contiennent et, en l'espèce, à permettre un tel accès à des agents investis principalement d'une mission de police judiciaire. Néanmoins, la commission prend acte que cet accès direct doit leur permettre de remplir les missions qui leur sont confiées, sans avoir à mobiliser les agents des commissariats situés dans leur ressort de compétence territoriale.

Elle estime dès lors qu'un tel accès, qui poursuit des objectifs légitimes, doit s'accompagner de garanties effectives. En particulier, la commission considère qu'il doit s'agir d'un accès ponctuel et limité à l'obtention d'informations strictement nécessaires à une enquête déterminée.

Néanmoins, selon les précisions du ministère de l'intérieur, la consultation de la N-MCI doit également pouvoir être effectuée « dans le cadre de la détection de phénomènes émergents, notamment quand plusieurs faits similaires auront été commis sur des circonscriptions différentes, ayant nécessité l'ouverture de plusieurs procédures auprès de services différents ».

Si la commission prend acte que seul un nombre limité d'agents de la police judiciaire chargés de ce recoupement pourra bénéficier d'un accès à la N-MCI à ce titre, il résulte de cette modification des accès que la N-MCI n'a plus uniquement vocation à constituer un traitement de suivi de l'activité quotidienne des services de police mais également un fichier qui poursuit des finalités judiciaires.

La commission estime qu'une telle finalité est légitime. Néanmoins, elle relève que celle-ci ne figure pas au titre des finalités énumérées à l'article 1er de l'arrêté du 22 juin 2011 précité. Or, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée, les finalités d'un traitement doivent être « déterminés, explicites et légitimes ». En application des dispositions de l'article 29 de cette même loi, l'acte réglementaire autorisant la création d'un traitement doit en outre préciser les finalités poursuivies par le traitement projeté.

La commission estime dès lors, d'une part, qu'une telle finalité doit expressément apparaître aux termes de l'arrêté du 22 juin 2011 modifié et, d'autre part, que les situations dans lesquelles un tel accès est possible ainsi que les conditions à respecter doivent être strictement définies et précisées dans l'arrêté, afin d'éviter notamment toute consultation abusive.

En deuxième lieu, le projet d'arrêté prévoit que peuvent avoir accès aux données relatives aux « personnes déposant en main courante ou concernées par un événement », énumérées au II de l'annexe de l'arrêté du 22 juin précité, les intervenants sociaux, affectés au sein des commissariats de police, employés par une association ou un organisme ayant signé une convention de mise à disposition et de partenariat avec l'Etat dans le cadre de l'exercice de missions d'aide aux victimes et de prévention de la délinquance.

La commission relève que cet accès ne leur permettra pas de se voir communiquer davantage de données que celles qui peuvent actuellement leur être transmises dans le cadre de la N-MCI. Elle prend en outre acte des précisions apportées par le ministère, selon lequel cet accès doit leur permettre d'optimiser leur mission de soutien aux victimes, prévue à l'article L. 121-1-1 du code de l'action sociale et des familles, en leur conférant, à la discrétion du chef du commissariat, un profil d'accès ad hoc à certaines données.

En tout état de cause, la commission rappelle qu'un accès direct aux données contenues dans les traitements N-MCI doit être subordonné à la mise en œuvre de garanties suffisantes de nature à s'assurer que cet accès est limité au strict nécessaire. Au regard des données enregistrées dans ce traitement, il importe en effet d'éviter d'étendre, de manière généralisée et indifférenciée, le nombre et les catégories de personnels pouvant accéder à ce traitement qui repose sur une centralisation nationale des données.

A cet égard, elle rappelle tout d'abord que, comme elle l'avait relevé dans sa délibération précitée du 5 mai 2011, l'existence d'une politique élaborée de profils d'accès aux données est de nature à limiter l'extension du nombre de destinataires et des données qui leur sont accessibles. Il est ainsi prévu qu'en fonction de la direction à laquelle il est rattaché, de sa position hiérarchique et de ses fonctions, un utilisateur ne peut accéder qu'à certaines données du traitement N-MCI, en consultation ou en modification, après qu'il a été individuellement désigné et habilité.

Ainsi, la commission prend acte que les nouveaux accès directs conférés aux agents de la DCPJ, de la DRPJ et aux intervenants sociaux seront limités à la seule consultation des données, à partir de profils d'accès adaptés pour tenir compte des attributions qui leur sont confiées.

Elle relève en outre que cette consultation sera subordonnée au respect de leurs attributions et du principe du besoin d'en connaître, et que ces nouveaux accédants feront l'objet d'une désignation et d'une habilitation individuelles.

Enfin, elle prend acte que les profils d'accès ainsi définis permettront de garantir la traçabilité et la sécurité des connexions de ces nouveaux accédants.

Dans ces conditions et sous réserve du respect des garanties précédemment énumérées, elle considère qu'il est légitime pour l'ensemble de ces catégories de personnels de bénéficier d'un accès direct, dans certaines conditions, aux données contenues dans les traitements N-MCI.

Enfin, le présent projet d'arrêté ne prévoit aucune modification des autres conditions de mise en œuvre de la N-MCI, lesquelles demeurent donc inchangées.