La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet d'arrêté modifiant l'arrêté du 24 février 1995 autorisant la création dans les commissariats de police d'un traitement automatisé du registre dit de main courante,
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'action sociale et des familles, notamment son article L. 121-1-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 26-1 (1°) ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 24 février 1995 modifié autorisant la création dans les commissariats de police d'un traitement automatisé du registre dit de main courante ;
Vu l'arrêté du 22 juin 2011 modifié portant autorisation de traitements automatisés de données à caractère personnel dénommés « nouvelle main courante informatisée » ;
Vu la délibération n° 94-005 du 8 février 1994 portant avis sur un projet d'acte réglementaire présenté par le ministère de l'intérieur autorisant la création dans les commissariats de police d'un traitement automatisé du registre dit de « main courante » ;
Vu la délibération n° 2011-125 du 5 mai 2011 portant avis sur un projet d'arrêté relatif à la mise en œuvre d'un traitement de données à caractère personnel dénommé « nouvelle main courante informatisée » (N-MCI) ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La Commission nationale de l'informatique et des libertés a été saisie pour avis, par le ministre de l'intérieur, d'un projet d'arrêté modifiant l'arrêté du 24 février 1995 autorisant la création, dans les commissariats de police, d'un traitement automatisé du registre dit de main courante (MCI).
Il se compose, d'une part, du fichier du personnel pour chaque unité du commissariat de police et, d'autre part, du fichier des personnes en cause, qui doit notamment permettre d'enregistrer des données relatives à l'identité, l'état civil ou la qualité de ces dernières (requérant, témoin, victime, auteur).
Ce traitement, qui a été créé pour que les policiers assurant des missions de sécurité publique y consignent quotidiennement les différents événements traités, poursuit les finalités suivantes : la gestion des événements de manière chronologique pour faciliter ensuite les recherches opérationnelles, la production de statistiques ainsi que la gestion nominative de l'activité du personnel en fonction des règles d'emploi en vigueur. Les informations contenues dans le fichier des personnes en cause sont accessibles aux services du commissariat de police ainsi qu'à l'autorité judiciaire.
Le traitement MCI, qui relève de l'article 26-I (1°) de la loi du 6 janvier 1978 modifiée, a été autorisé par l'arrêté du 24 février 1995 susvisé, pris après l'avis de la commission du 8 février 1994. Il est prévu de modifier la liste des destinataires des données contenues dans ce traitement. Conformément aux dispositions des articles 26 et 30-II de la loi du 6 janvier 1978 modifiée, ces modifications doivent être autorisées par arrêté ministériel pris après avis motivé et publié de la commission.
A titre liminaire, la commission rappelle que le traitement MCI a vocation à être remplacé par la mise en œuvre des traitements automatisés de données à caractère personnel dénommés « nouvelle main courante informatisée » (N-MCI), créés par arrêté du 22 juin 2011 pris après l'avis de la CNIL du 5 mai 2011 susvisé. Pour des raisons d'ordre technique, l'application centralisée N-MCI pourrait ne pas être déployée dans l'ensemble des services de sécurité publique avant un délai de deux ans, durant lequel les dispositions de l'arrêté du 24 février 1995 précité demeurent applicables à l'échelon départemental. C'est pourquoi le ministère estime nécessaire d'uniformiser le régime applicable sur l'ensemble du territoire national en apportant des modifications à cet arrêté.
En premier lieu, l'article ler du projet d'arrêté prévoit que les agents des services de la police nationale affectés dans un service mettant en œuvre un traitement automatisé du registre dit de main courante ont accès à la totalité ou à une partie des données qu'il contient. La commission relève que cette modification vise uniquement à préciser la rédaction de l'arrêté autorisant la création du traitement MCI et à l'harmoniser avec celle retenue dans la N-MCI, sans que cela ne modifie pour autant le champ des personnels pouvant actuellement être destinataires des données contenues dans la main courante informatisée.
Si la commission relève que cet accès direct est strictement encadré, elle rappelle que, dans la mesure où le traitement MCI est mis en œuvre localement, il demeure indispensable de s'assurer que seuls les agents dûment habilités du commissariat au sein duquel il est mis en œuvre accèdent effectivement aux données qu'il contient.
De même, la commission considère qu'un utilisateur ne doit accéder qu'à certaines données du traitement MCI, en fonction de la direction à laquelle il est rattaché, de sa position hiérarchique et de ses fonctions, en consultation ou en modification.
L'article 1er du projet d'arrêté vise en deuxième lieu à permettre aux agents de la police nationale affectés dans les services relevant de la direction centrale de la police judiciaire (DCPJ) ou de la direction régionale de la police judiciaire de Paris (DRPJ) de bénéficier dorénavant d'un accès aux données relatives au fichier des personnes en cause.
Le ministère estime en effet nécessaire de renforcer les échanges d'informations et le partage du renseignement afin d'améliorer la coordination des services de police. Il a ainsi indiqué que cet accès direct doit permettre de mutualiser les moyens confiés à ces deux directions en leur permettant de mener à bien leurs missions, notamment en matière de lutte contre la délinquance.
Si la commission n'entend pas remettre en cause les besoins opérationnels portés à sa connaissance, elle observe que cette modification conduit à un élargissement substantiel du nombre de personnels pouvant accéder au traitement MCI et aux données qu'il contient et, en l'espèce, à permettre un tel accès à des agents investis principalement d'une mission de police judiciaire. Néanmoins, la commission prend acte que cet accès direct doit leur permettre de remplir les missions qui leur sont confiées sans avoir à mobiliser les agents des commissariats situés dans leur ressort de compétence territoriale.
Elle estime dès lors qu'un tel accès, qui poursuit des objectifs légitimes, doit s'accompagner de garanties effectives. En particulier, la commission considère qu'il doit s'agir d'un accès ponctuel et limité à l'obtention d'informations strictement nécessaires à une enquête déterminée.
Néanmoins, selon les précisions du ministère de l'intérieur, la consultation de la MCI doit également pouvoir être effectuée « dans le cadre de la détection de phénomènes émergents, notamment quand plusieurs faits similaires auront été commis sur des circonscriptions différentes, ayant nécessité l'ouverture de plusieurs procédures auprès de services différents ».
Si la commission prend acte que seul un nombre limité d'agents de la police judiciaire chargés de ce recoupement pourra bénéficier d'un accès à la MCI à ce titre, il résulte de cette modification des accès que la MCI n'a plus uniquement vocation à constituer un traitement de suivi de l'activité quotidienne des services de police mais également un fichier qui poursuit des finalités judiciaires.
La commission estime qu'une telle finalité est légitime. Néanmoins, elle relève que celle-ci ne figure pas au titre des finalités énumérées à l'article 1er de l'arrêté du 24 février 1995 précité. Or, conformément aux dispositions de l'article 6 (2°) de la loi du 6 janvier 1978 modifiée, les finalités d'un traitement doivent être « déterminés, explicites et légitimes ». En application des dispositions de l'article 29 de cette même loi, l'acte réglementaire autorisant la création d'un traitement doit en outre préciser les finalités poursuivies par le traitement projeté.
La commission estime dès lors, d'une part, qu'une telle finalité doit expressément apparaître aux termes de l'arrêté du 24 février 1995 modifié et, d'autre part, que les situations dans lesquelles un tel accès est possible ainsi que les conditions à respecter doivent être strictement définies et précisées dans l'arrêté, afin d'éviter notamment toute consultation abusive.
En troisième lieu, le projet d'arrêté prévoit que peuvent avoir accès aux données relatives au fichier des personnes en cause les intervenants sociaux, affectés au sein des commissariats de police, employés par une association ou un organisme ayant signé une convention de mise à disposition et de partenariat avec l'Etat dans le cadre de l'exercice de missions d'aide aux victimes et de prévention de la délinquance.
Ces personnels peuvent actuellement être destinataires des données contenues dans le traitement N-MCI relatives aux « personnes déposant en main courante ou concernées par un événement », lesquelles correspondent en partie aux données contenues dans le fichier des personnes en cause de la MCI. La commission relève que cet accès ne leur permettra pas de se voir communiquer davantage de données que celles qui peuvent leur être transmises dans le cadre du traitement N-MCI. Elle prend en outre acte des précisions apportées par le ministère, selon lequel cet accès doit leur permettre d'optimiser leur mission de soutien aux victimes, prévue à l'article L. 121-1-1 du code de l'action sociale et des familles, en leur conférant, à la discrétion du chef du commissariat, un profil d'accès ad hoc à certaines données.
En tout état de cause, la commission rappelle qu'un accès direct aux données contenues dans le traitement MCI doit être subordonné à la mise en œuvre de garanties suffisantes de nature à s'assurer que cet accès est limité au strict nécessaire. Au regard des données enregistrés dans ce traitement, il importe en effet d'éviter d'étendre, de manière généralisée et indifférenciée, le nombre et les catégories de personnels pouvant accéder à ce traitement.
A cet égard, elle considère que l'extension du nombre des destinataires du traitement MCI et des données qui leur sont accessibles est cependant limitée par l'existence d'une politique élaborée de profils d'accès aux données, de même nature que celle qui est mise en œuvre dans le cadre du traitement « nouvelle main courante informatisée ».
Ainsi, la commission prend acte que les nouveaux accès directs conférés aux agents de la DCPJ, de la DRPJ et aux intervenant sociaux seront limités à la seule consultation des données, à partir de profils d'accès adaptés pour tenir compte des attributions qui leur sont confiées.
Elle relève en outre que cette consultation sera subordonnée au respect de leurs attributions et du principe du besoin d'en connaître, et que ces nouveaux accédants feront l'objet d'une désignation et d'une habilitation individuelles.
Enfin, elle prend acte que les profils d'accès ainsi définis permettront de garantir la traçabilité et la sécurité des connexions de ces nouveaux accédants.
En quatrième lieu, l'article 1er du projet d'arrêté prévoit que tout autre agent d'un service de police nationale ou militaire de la gendarmerie nationale peut être destinataire des données contenues dans la MCI, comme c'est déjà le cas dans le cadre du traitement N-MCI et dans des conditions identiques.
La commission rappelle à cet égard que ces agents, qui agissent dans le respect des attributions qui leur sont confiées, doivent justifier d'un besoin d'en connaître. La communication des données est précédée d'une demande expresse hiérarchiquement validée précisant l'identité du consultant, l'objet et les motifs de la consultation.
Dans ces conditions et sous réserve du respect des garanties précédemment énumérées, la commission considère qu'il est légitime pour l'ensemble de ces catégories de personnels de bénéficier d'un accès direct ou d'être destinataires, dans certaines conditions, des données contenues dans le traitement MCI.
Par ailleurs, le projet d'arrêté vise également à mettre à jour les dispositions de l'arrêté du 24 février 1995 modifié autorisant la création du traitement MCI, en supprimant les références d'articles obsolètes, ce qui n'appelle pas d'observation particulière.
Enfin, le présent projet d'arrêté ne prévoit aucune modification des autres conditions de mise en œuvre de la MCI, lesquelles demeurent donc inchangées.