Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis relative à un projet d'arrêté portant création d'un traitement automatisé de données à caractère personnel dénommé « interface de levée de l'anonymat des agents de la police et de la gendarmerie nationales et des douanes dans les actes de procédure » (IDPV).
Le traitement projeté doit permettre l'identification des agents apparaissant dans des actes de procédure sous un numéro d'immatriculation administrative en application des articles 15-4 du code de procédure, 55 bis du code des douanes et L. 229-2 du code de la sécurité intérieure, qui visent à protéger les agents contre tout risque d'atteinte à leur intégrité physique ou à celle de leur entourage. Ce projet, fondé sur l'article 26-I (1°) de la loi du 6 janvier 1978 modifiée, doit être autorisé par arrêté, pris après avis motivé et publié de la commission.
Sur les finalités du traitement :
Aux termes de l'article 1er du projet d'arrêté soumis à la commission, le traitement, qui doit être mis en œuvre par la Direction générale de la police nationale (DGPN) et la Direction générale de la gendarmerie nationale (DGGN) du ministère de l'intérieur, a pour finalité « de permettre aux autorités judiciaires ainsi qu'aux agents de la police et de la gendarmerie nationales et des douanes, dans le cadre des procédures dont ils sont saisis et dans la limite du besoin d'en connaître, d'identifier un agent apparaissant dans un acte de procédure sous un numéro d'immatriculation administrative en application des articles 15-4 du code de procédure pénale, 55 bis du code des douanes et L. 229-2 du code de la sécurité intérieure ».
Ce projet s'explique par l'adoption récente de plusieurs dispositions législatives permettant aux agents de la Police nationale, de la Gendarmerie nationale ainsi que des douanes, de ne pas s'identifier dans des actes de procédure par leurs nom et prénom et d'y substituer un numéro d'immatriculation administrative, complété par leur qualité et leur service d'affectation. Cette faculté, dont la mise en œuvre est conditionnée par l'autorisation du responsable hiérarchique, vise à protéger les agents concernés de risques de représailles par des délinquants ou des criminels faisant l'objet de procédures judiciaires ou administratives.
Initialement réservée aux seuls officiers et agents de police judiciaire affectés dans les services spécialement chargés de la lutte contre le terrorisme, la possibilité de ne pas être identifié par ses nom et prénom dans des actes de procédure a été étendue par la loi n° 2017-258 du 28 février 2017 relative à la sécurité publique :

- aux agents de la police nationale, de la gendarmerie nationale, des douanes ou des services fiscaux habilités à effectuer des enquêtes judiciaires, dans le cadre des procédures relatives à un crime ou un délit puni d'au moins trois ans d'emprisonnement (article 15-4 du code de procédure pénale) ;
- aux agents de la police nationale, de la gendarmerie nationale, des douanes ou des services fiscaux habilités à effectuer des enquêtes judiciaires, dans le cadre des procédures relatives à un crime ou un délit puni de moins de trois ans lorsqu'en raison de circonstances particulières dans la commission des faits ou de la personnalité des personnes mises en cause, la révélation de l'identité de l'agent est susceptible de mettre en danger sa vie ou son intégrité physique ou celle de ses proches (article 15-4 du code de procédure pénale) ;
- aux agents de la douane administrative (article 55 bis du code des douanes).

La loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme a ensuite étendu cette possibilité, en matière de police administrative, aux procès-verbaux relatant les opérations de visite et saisie effectuées aux seules fins de prévenir la commission d'actes de terrorisme (article L. 229-2 du code de la sécurité intérieure).
Dès lors qu'un certain nombre d'actes de procédure ne comporteront plus les nom et prénom des agents ayant participé à leur accomplissement, l'autorité judiciaire ainsi que les agents de la Police nationale, de la Gendarmerie nationale ou des douanes devant connaître des procédures concernées doivent pouvoir accéder aux nom et prénom des agents identifiés par un numéro d'immatriculation. Le traitement IDPV projeté doit précisément répondre à cette nécessité.
La DGPN et la DGGN souhaitent plus précisément mettre en œuvre une interface unique permettant d'accéder, à partir du numéro d'immatriculation administrative complété, le cas échéant, par le numéro de la procédure, aux données à caractère personnel nécessaires à l'identification de l'agent et de son service d'affectation. Ces données sont actuellement enregistrées dans les traitements de gestion mis en œuvre par chaque direction concernée, à savoir :

- le traitement « RIO » - référentiel des identités et de l'organisation ayant pour finalité la gestion des cartes professionnelles sécurisées - pour les agents de la police nationale ;
- le traitement « Agorha » relatif à la gestion des ressources humaines de la gendarmerie pour les agents de la gendarmerie nationale, autorisé par le décret n° 2012-895 du 19 juillet 2012 susvisé ;
- le traitement dénommé « identification des agents des douanes dans les actes de procédure » (IDdouane), qui doit prochainement être créé, pour les agents de la Direction générale des douanes et des droits indirects.

Il est donc prévu que l'interface IDPV interroge ces trois traitements, ce dont la commission prend acte.
La commission prend également acte que le traitement IDPV sera uniquement utilisé dans les hypothèses suivantes :

- lorsqu'une partie à la procédure considère que la connaissance des nom et prénom d'une personne ayant été autorisée à s'identifier par un numéro d'immatriculation est nécessaire à l'exercice des droits de la défense, notamment en raison de la contestation des faits énoncés dans les procès-verbaux et rapports ou des conditions de leur recueil et que le juge d'instruction ou le président de la juridiction de jugement ordonne la révélation de ces informations ;
- en cas de demande d'annulation d'un acte de procédure fondée sur la violation des formes prescrites par la loi dont l'appréciation nécessite la révélation de l'identité des personnes qui sera communiquée au juge d'instruction, au président de la chambre de l'instruction ou au président de la juridiction, qui statueront sans verser ces éléments dans le cadre du débat contradictoire ni indiquer l'identité des personnes dans leur décision ;
- en cas de poursuite d'une enquête par un autre service ou en cas d'enquête en co-saisine, les agents de la police, de la gendarmerie nationale et de la douane désignés par un numéro d'immatriculation devant pouvoir être identifiables par les autres agents amenés à connaître de la procédure judiciaire ou administrative ;
- pour permettre au juge qui a autorisé une saisie sur le fondement de l'article L. 229-2 du CSI et aux juridictions saisies à cet effet de connaître l'identité des agents qui ont procédé à la visite et à la saisie.

Au regard de l'ensemble de ces précisions, la commission considère que les finalités poursuivies par le traitement IDPV sont déterminées, explicites et légitimes, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
Elle rappelle toutefois que, contrairement à ce que pourrait laisser penser la terminologie employée par certains passages du dossier et la page d'accueil de l'interface, qui évoque un « numéro d'anonymat », l'utilisation d'un numéro d'immatriculation administrative ne constitue pas une technique d'anonymisation mais uniquement de pseudonymisation, les actes de procédure comportant de tels numéros, a fortiori complétés par la qualité de l'agent et son service d'affectation, comportant toujours des données à caractère personnel au sens de l'article 2 de la loi du 6 janvier 1978 modifiée.
Sur les données traitées :
L'article 3 du projet d'arrêté prévoit que les données relatives à l'agent apparaissant dans un acte de procédure qui sont rendues accessibles par le traitement IDPV sont :

- le grade, le nom, le prénom et la qualité judiciaire de l'agent ;
- le service ou le'unitédans lequel il est affecté ;
- l'adresse électronique professionnelle et le numéro de téléphone du service ou de l'unité.

L'accès à de telles informations apparaît pertinent à la commission, compte tenu des finalités du traitement.
En outre, la commission prend acte que les données à caractère personnel rendues accessibles par l'interface de consultation IDPV seront uniquement conservées dans les fichiers propres à chaque administration consultés par le traitement IDPV (RIO, AGORHA, IDdouane), pendant la durée prévue par les actes autorisant la mise en œuvre de ces traitements.
Ainsi, le traitement IDPV n'enregistrera aucune donnée, à l'exception de celles relatives à la traçabilité des opérations. Concernant ces dernières, le projet d'arrêté prévoit que les consultations font l'objet d'un enregistrement comprenant l'identification de l'auteur de la consultation, le numéro d'immatriculation objet de la requête, la date et l'heure. Il précise que ces informations seront conservées pendant six ans ce qui, compte tenu de l'objet du traitement, n'apparaît pas excessif à la commission.
Sur les destinataires du traitement :
Le projet d'arrêté prévoit que peuvent avoir accès à tout ou partie des données consultables par le biais de l'interface IDPV

- des magistrats du ministère public, des juridictions d'instruction, des juridictions répressives de jugement et des juridictions d'application des peines ainsi que les greffiers qui les assistent ;
- des agents et officiers de police judiciaire et fiscaux de la Direction générale de la police nationale, de la Direction générale de la gendarmerie nationale, de la préfecture de police et les agents de la douane judiciaire ; des agents spécialisés, techniciens et ingénieurs de police technique et scientifique et les agents de la gendarmerie nationale agissant en qualité de personne qualifiée ou d'expert ;
- des agents de la direction générale de la sécurité intérieure.

Le projet d'arrêté précise que ces différents personnels n'auront accès aux données que dans le cadre de l'exercice de leurs missions, pour une procédure dont ils sont saisis et dans la limite du besoin d'en connaître.
S'agissant des agents spécialisés, techniciens et ingénieurs de police technique et scientifique et les agents de la gendarmerie nationale agissant en qualité de personne qualifiée ou d'expert, le ministère a précisé que leur accès au traitement à des fins d'identification d'un agent pouvait être nécessaire dans le cadre de l'exploitation de scellés, ce dont la commission prend acte.
Elle prend également acte, qu'à l'exception de l'hypothèse dans laquelle ils rechercheraient le nom et le prénom d'agents de leur propre direction, les agents de la DGSI, n'auront accès qu'aux seules informations relatives au service ou unité d'affectation de l'agent et au numéro à contacter.
Elle prend acte, enfin, s'agissant de l'accès aux informations relatives à des agents de la DGSI que seuls les magistrats et les agents de la DGSI pourront accéder aux informations nominatives, les autres destinataires ayant uniquement accès aux informations relatives au service ou unité d'affectation de l'agent et au numéro de téléphone à contacter.
Cette même restriction sera mise en œuvre concernant les agents et militaires des unités d'intervention spécialisées dans la lutte contre le terrorisme (RAID, GIGN, BRI), pour lesquels seules les données relatives au service ou à l'unité et aux coordonnées téléphoniques seront consultables via l'interface.
Dans ces conditions, l'accès à tout ou partie des données par les destinataires précités apparaît justifié à la commission.
En dehors de ces destinataires, le projet d'arrêté prévoit, à des fins d'identification d'agents relevant de la DGPN et de la préfecture de police, l'utilisation de l'interface IDPV par des agents relevant de l'Inspection générale de la police nationale (IGPN). De même, il est prévu que les agents relevant de l'Inspection générale de la gendarmerie nationale (IGGN) puissent accéder au traitement pour l'identification des agents relevant de la Gendarmerie nationale.
Dans la mesure où la seule mention d'un numéro d'immatriculation dans un acte de procédure pourrait faire obstacle au bon exercice par ces corps d'inspection de leurs missions respectives, la commission juge justifiées les consultations ainsi envisagées.
Sur l'information et les droits des personnes concernées :
Le projet d'arrêté dispose que le droit à l'information prévu à l'article 32 de la loi du 6 janvier 1978 modifiée s'applique au traitement IDPV. La commission prend acte que l'information des agents ayant recours au numéro d'immatriculation administrative et étant donc susceptibles d'être identifiés par le traitement IDPV sera réalisée par le biais des mentions figurant dans le formulaire à compléter pour obtenir l'autorisation de ne pas être identifié par leurs nom et prénom dans un acte de procédure.
Le projet d'arrêté prévoit en outre que le droit d'accès prévu à l'article 39 de la même loi s'exerce auprès de la DGPN et de la DGGN. La commission prend acte que les intéressés pourront, dans le cadre de l'exercice de ce droit, demander s'ils ont fait l'objet d'une demande d'identification par l'interface IDPV.
Le projet d'arrêté précise toutefois que « le droit de rectification prévu à l'article 40 de la même loi ne s'applique pas ». Si la commission prend acte que l'intention du ministère est de souligner que les données consultées par le biais du traitement IDPV seront uniquement enregistrées dans les traitements Aghora, RIO et IDdouane précités, elle souligne qu'a été prévu l'exercice d'un droit d'accès aux données du traitement IDPV dans les conditions définies à l'article 39 de la loi du 6 janvier 1978 modifiée, compte tenu de l'enregistrement des traces de consultation, qui comportent notamment des données d'identification relatives aux utilisateurs de l'interface. Dans ces conditions, elle estime que doit être supprimée du projet d'arrêté la disposition précisant que le droit de rectification ne s'applique pas au traitement. Elle prend acte que le ministère s'engage à procéder à cette suppression.
Le projet d'arrêté prévoit également que le droit d'opposition prévu à l'article 38 de la même loi ne s'applique pas au traitement, ce qui n'appelle pas d'observation de la part de la commission.
Sur les mesures de sécurité du traitement :
La commission prend acte que le traitement consiste en une interface web de consultation et qu'il est hébergé au sein d'une zone militaire sécurisée.
Elle prend également acte que l'accès à l'interface de consultation est opéré par l'intermédiaire des portails informatiques du ministère de l'intérieur « CHEOPS NG » (Police nationale) et « PROXYMA » (Gendarmerie nationale), qui intègrent un dispositif de contrôle des habilitations individualisées.
Les échanges sont sécurisés au moyen de SSL.
Le traitement IDPV met en œuvre une traçabilité des opérations de consultation.
Dans ces conditions, la commission considère que les mesures prévues par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.