Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis relative à un projet d'arrêté modifiant l'arrêté du 30 novembre 2011 portant autorisation d'un traitement automatisé de données à caractère personnel dénommé « pré-plainte en ligne » (PPEL).
Ce traitement, qui est qualifié de téléservice par l'article 1er de l'arrêté du 30 novembre 2011 précité, permet à la victime ou à son représentant légal, d'une part, d'effectuer une déclaration en ligne pour des faits constitutifs d'atteintes aux biens contre auteur inconnu et, d'autre part, d'obtenir un rendez-vous auprès d'un service de la police nationale ou d'une unité de la gendarmerie nationale de son choix pour déposer et signer sa plainte.
L'arrêté du 30 novembre 2011 précité a été pris sur le fondement de l'article 26-l-2° de la loi du 6 janvier 1978 modifiée. après l'avis de la CNIL susvisé en date du 25 octobre 2011. C'est sur ce même fondement que la commission est aujourd'hui saisie d'un projet d'arrêté visant à modifier certaines des conditions de mise en œuvre de ce traitement.
Sur l'extension de la liste des faits susceptibles de faire l'objet d'une déclaration en ligne :
Le traitement PPEL, mis en œuvre par le directeur de la police nationale, le directeur général de la gendarmerie nationale et le préfet de police, permet actuellement à des victimes ou leur représentant de déclarer en ligne des faits constitutifs d'atteintes aux biens et de prendre rendez-vous dans un service de la police nationale ou d'une unité de la gendarmerie pour procéder au dépôt formel d'une plainte.
L'objet du projet soumis à la commission est tout d'abord de compléter la liste des faits susceptibles de faire l'objet d'une déclaration en ligne par le biais de ce téléservice. En effet, il est prévu de redéfinir les finalités du traitement pour étendre, à titre expérimental, la possibilité d'utiliser le téléservice pour déclarer des faits constitutifs des infractions suivantes :

- délits de provocation à la discrimination, à la haine ou à la violence à l'égard d'une personne à raison de son origine ou de son appartenance ou de sa non-appartenance à une ethnie, une nation, une race ou une religion ou à raison de son sexe, de son orientation sexuelle, de son identité de genre ou de son handicap, prévus par l'article 24 de la loi du 29 juillet 1881 sur la liberté de la presse ;
- délits de diffamation ou d'injure à l'égard d'une personne à raison de son origine ou de son appartenance ou de sa non-appartenance à une ethnie, une nation, une race, une religion ou à raison de son sexe, de son orientation sexuelle, de son identité de genre ou de son handicap, prévus aux articles 32 et 33 de la loi du 29 juillet 1881sur la liberté de la presse ;
- discriminations dont la sanction est prévue par les articles 225-1 et suivants du code pénal.

Cette extension doit faciliter les démarches des victimes de telles infractions, mais également l'établissement formalisé du procès-verbal de plainte lors de la réception de l'usager au commissariat de police ou à la brigade de gendarmerie, puisque les données déclarées par le biais du téléservice sont transmises aux logiciels de rédaction des procédures de la police nationale (LRPPN) et de la gendarmerie nationale (LRPGN), autorisés par les décrets du 27 janvier 2011 susvisés.
La commission prend acte, en outre, que l'expérimentation envisagée, d'une durée de six mois, doit être suivie d'une évaluation et de l'élaboration d'un rapport communiqué à la commission.
Dans ces conditions, la commission considère que l'expérimentation d'un dispositif de pré-plainte en ligne pour les infractions précitées poursuit des finalités déterminées, explicites et légitimes, conformément à l'article 6 (2°) de la loi du 6 janvier 1978 modifiée.
La commission relève toutefois que l'évolution envisagée des conditions de mise en œuvre du téléservice suppose que les victimes décrivent notamment, dans un champ libre et de la manière la plus précise possible, des faits constitutifs d'infractions liées à leur origine, leur appartenance à une ethnie ou une supposée race, leur religion, leur orientation sexuelle, ou encore leur handicap. Une telle description peut impliquer, pour le responsable de traitement, la collecte de données sensibles mentionnées au I de l'article 8 de la loi du 6 janvier 1978 modifiée. Ces données seront, en outre, relatives à des personnes identifiées, à savoir les usagers du téléservice.
Le ministère de l'intérieur fait valoir que le traitement comporterait de telles données sans « porter sur » ces mêmes données au sens de l'article 26-II de la loi du 6 janvier 1978 modifiée, dans la mesure où le traitement n'a vocation qu'à assurer la « transmission » d'informations aux services compétents de la police et de la gendarmerie nationales.
La commission souligne toutefois qu'une telle interprétation n'est pas compatible avec la définition large retenue par la loi elle-même pour la notion de traitement. En effet, aux termes du troisième alinéa de l'article 2 de la loi du 6 janvier 1978 modifiée, « constitue un traitement de données à caractère personnel toute opération ou tout ensemble d'opérations portant sur de telles données, quel que soit le procédé utilisé », ce qui couvre notamment les opérations de « communication par transmission ». La loi du 6 janvier 1978 modifiée ne soumet à aucun régime spécifique les traitements qui auraient pour unique objet la transmission de données à caractère personnel qui peuvent, par eux-mêmes, soulever des enjeux substantiels du point de vue de la protection des données. Au regard de l'ensemble de ces éléments, la mise en œuvre d'un dispositif de pré-plainte en ligne portant notamment sur des faits discriminatoires doit être autorisé par un décret en Conseil d'Etat, conformément aux dispositions de l'article 26-II de la loi du 6 janvier 1978 modifiée.
De manière plus subsidiaire, la commission relève que l'expérimentation envisagée par le ministère doit conduire à une modification de la page du formulaire de pré-plainte en ligne relative à la description des faits en offrant aux usagers uniquement un choix entre deux options, « atteinte aux biens » ou « fait discriminatoire », alors qu'une partie des faits auxquels le téléservice doit être étendu à titre expérimental n'entre pas dans la catégorie juridique des discriminations. Dans la mesure où le choix entre les deux options, qui conditionnera l'accès à la suite du formulaire, sera obligatoire pour les usagers et pour prévenir toute confusion sur la qualification des faits susceptible d'être effectivement retenue par la suite, la commission recommande, soit de substituer à l'expression « fait discriminatoire » une expression plus générique, soit de compléter les choix proposés.
Sur la mise en œuvre de la communication électronique :
Le projet d'arrêté soumis à la commission prévoit également de modifier l'article 1er de l'arrêté du 30 novembre 2011 pour permettre la mise en œuvre de la communication électronique en matière pénale prévue par l'article 803-1 du CPP et faciliter ainsi la communication entre les autorités judiciaires et les justiciables. Le II de l'article 803-1 du CPP prévoit en effet que lorsque « des avis, convocations ou documents sont adressés à une personne par l'autorité judiciaire par tout moyen, par lettre simple, par lettre recommandée ou par lettre recommandée avec demande d'avis de réception, l'envoi peut être effectué par voie électronique ».
Le projet d'arrêté prévoit dès lors de compléter les finalités du traitement pour prévoir que le téléservice peut être utilisé par la victime pour « être informée par les autorités compétentes des suites réservées à sa plainte ».
Une telle modification, qui doit contribuer à la simplification et à la modernisation des modes d'information des justiciables, apparaît légitime à la commission.
Elle rappelle toutefois que des envois ne peuvent être réalisés par voie électronique en application de l'article 803-1 du CPP qu'« à la condition que la personne y ait préalablement consenti par une déclaration expresse recueillie au cours de la procédure », étant précisé que « cet accord précise le mode de communication électronique accepté par la personne », à savoir l'envoi de messages écrits au numéro de téléphone indiqué ou l'envoi de courriels à une adresse de messagerie électronique. La commission relève qu'une telle procédure n'implique pas la collecte de nouvelles catégories de données, le numéro de téléphone mobile et l'adresse de électronique des usagers étant déjà mentionnés par l'annexe à l'arrêté du 30 novembre 2011, mais invite néanmoins le ministère à adopter l'ensemble des mesures requises pour que soit systématiquement recueilli, conformément aux exigences de l'article 803-1 du CPP, le consentement de la personne concernée.
Sur la clarification des durées de conservation des données :
Le projet d'arrêté soumis à la commission a en outre pour objet de définir plus précisément la durée de conservation des données enregistrées dans le traitement. La rédaction actuelle de l'article 4 de l'arrêté du 30 novembre 2011 ne couvre en effet que deux hypothèses, celle dans laquelle la victime a signé sa plainte, auquel cas les informations sont supprimées dès cette signature, et celle dans laquelle la victime ne se rend pas au rendez-vous fixé, les données étant alors effacées trente jours après la réception de la déclaration. Ainsi, l'article 4 précité ne couvre pas les hypothèses dans lesquelles la victime s'est rendue à son rendez-vous mais n'a pas signé sa plainte, ce qui peut être le cas si les faits ne sont pas pénalement caractérisés, s'ils sont requalifiés en une infraction n'entrant pas dans le champ de la pré-plainte en ligne ou encore si les faits donnent lieu à une main courante. Pour que l'arrêté du 30 novembre 2011 définisse également la durée de conservation devant être respectée dans de telles hypothèses, le projet d'arrêté prévoit de modifier la rédaction de son article 4 en indiquant, de manière générale, que lorsque la victime n'a pas signé sa plainte, les données à caractère personnel sont effacées trente jours après la réception de la déclaration.
Une telle clarification apparaît opportune à la commission, qui estime en outre que la durée de conservation de trente jours n'excède pas la durée nécessaire aux finalités pour lesquelles les données sont collectées et traitées, conformément à l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Les autres modifications envisagées de l'arrêté du 30 novembre 2011 et tendant, d'une part, à prévoir la collecte d'une nouvelle catégorie de données relatives à la prise de connaissance par le déclarant des conditions générales d'utilisation du site internet et, d'autre part, à ajouter les commandants de gendarmerie dans les départements, collectivités et territoires d'outre-mer et en Nouvelle-Calédonie parmi les autorités pouvant habiliter des personnes à accéder au traitement, n'appellent pas d'observations de la part de la commission.