Après avoir entendu le rapport de Mme Christine MAUGÜÉ, commissaire, et les observations de M. Benjamin TOUZANNE, commissaire du Gouvernement,
Etant rappelés les éléments de contexte suivants :
La Commission nationale de l'informatique et des libertés (ci-après « la Commission ») a été saisie par le ministère de la justice d'un projet de décret portant création d'un traitement automatisé de données à caractère personnel dénommé « Système Informatisé de Recoupement, d'Orientation et de Coordination des procédures de Criminalité Organisée » (SIROCCO).
Le projet de décret doit permettre aux juridictions inter-régionales spécialisées (JIRS) et à la juridiction nationale chargée de la lutte contre la criminalité organisée (JUNALCO) de combattre plus efficacement les phénomènes criminels d'une grande complexité dont elles ont la charge, en leur permettant de coordonner leurs actions. Il vise ainsi à leur permettre de disposer d'une base de données exhaustive relative aux enquêtes et instructions qu'elles mènent, de faciliter le suivi des procédures relevant de la criminalité organisée par les JIRS et leurs parquets généraux et d'assurer le recoupement des informations nécessaires à la direction des enquêtes entre ces juridictions et la JUNALCO.
Les JIRS, mises en place à compter du 1er octobre 2004, ont pour objectif de lutter contre des phénomènes criminels complexes, dépassant généralement le ressort d'une même cour d'appel. La JUNALCO, créée par la loi n° 2019-222 du 23 mars 2019 de programmation et de réforme pour la justice, dispose d'une compétence nationale concurrente pour traiter les affaires de très grande complexité de la criminalité organisée, notamment celles étendues au-delà du ressort d'une seule JIRS.
Un tel projet est ainsi justifié, d'une part, par la compétence concurrente des JIRS qui s'exerce sur des ressorts territoriaux élargis et, d'autre part, par le fait que la présence d'organisations criminelles sur les ressorts de plusieurs de ces JIRS ou sur l'ensemble du territoire rend nécessaire un traitement judiciaire global et coordonné.
Selon le ministère, les bénéfices attendus tendent à permettre une coordination entre les JIRS mais aussi entre les JIRS et la JUNALCO :

- par une saisine cohérente des différentes JIRS : l'existence d'un outil dédié pourra permettre de recenser les affaires dont la JIRS s'est saisie et d'en dégager des tendances criminelles ainsi que réévaluer sa position sur les affaires qui lui auront été signalées (si elle souhaite finalement se saisir de l'affaire) ;
- une coordination réelle des JIRS entre elles : un outil commun pourra permettre de générer des alertes lorsque des individus visés par des procédures apparaîtront également dans celles des autres JIRS ;
- une coordination entre les JIRS et la JUNALCO : l'outil permettra notamment à la JUNALCO de prendre attache avec les JIRS concernées par un même phénomène et d'apporter une réponse judiciaire adaptée à des phénomènes globaux ;
- une mise en lumière de l'activité et de l'action de chaque JIRS, de la JUNALCO et de leur ensemble par la mise à disposition de données chiffrées, fiables et exhaustives, concernant les affaires signalées et traitées.

Chaque JIRS pourra ainsi créer une nouvelle affaire dans SIROCCO lorsqu'elle sera avisée. Les JIRS seront libres de déterminer en interne qui effectuera cette tâche (greffe, assistants spécialisés ou parquetiers). Ensuite, les dossiers créés dans SIROCCO seront remplis manuellement au fur et à mesure de l'évolution de la procédure par les acteurs de ces juridictions.
Le traitement SIROCCO disposera d'un module d'« infocentre », qui sera alimenté par un flux automatique depuis l'application SIROCCO et comportera la quasi- intégralité des données de manière pseudonymisée. Le module d'infocentre doit permettre de :

- offrir aux utilisateurs des JIRS/de la JUNALCO la possibilité de réaliser des requêtes sur les données de pilotage ;
- réaliser, pour les chargés d'études statistiques, des études sur l'activité des JIRS et l'évaluation de la politique pénale.

Emet l'avis suivant sur le projet de décret :
Sur le régime juridique applicable et les finalités du traitement :
L'article 1er du projet de décret précise les finalités assignées au traitement SIROCCO :

- le suivi des procédures relevant de la criminalité organisée par les JIRS et leurs parquets généraux ;
- le recoupement des informations nécessaires à la direction des enquêtes entre lesdites juridictions et la juridiction nationale chargée de la lutte contre la criminalité organisée.

En premier lieu, le traitement ne permettra pas d'établir des recoupements sur la base de liens ou de comportements au sens des fichiers d'analyse sérielle tels que prévus par les articles 230-12 à 230-18 du code de procédure pénale (CPP).
Des recoupements seront uniquement possibles selon les modalités suivantes :

- une fonction de recherche manuelle, qui pourra s'effectuer sur toute la base SIROCCO, sauf sur les données d'identité renseignées ;
- une fonction de recoupement automatique, qui pourra uniquement porter sur l'identité du mis en cause. En cas de recoupement positif, l'utilisateur recevra une alerte dans SIROCCO et il sera invité à prendre attache avec le service à l'origine de ce recoupement. Aucune autre information ne sera fournie pour cette recherche automatique, les témoins ainsi que les victimes seront exclus de cette modalité.

En deuxième lieu, le traitement permettra de construire des statistiques consolidées qui pourront être réalisées, d'une part, par chacune des JIRS ou le parquet général de la JIRS concernée, et d'autre part, par la direction des affaires criminelles et des grâces (DACG) sur la base de données pseudonymisées s'agissant de l'activité des huit JIRS et de la JUNALCO, sur l'ensemble des items contenus dans SIROCCO à l'exclusion des champs libres. Le ministère n'a pas estimé nécessaire de mentionner dans l'acte réglementaire la finalité statistique de l'outil, celle-ci étant selon lui intrinsèque à tout traitement de données à caractère personnel.
La Commission rappelle que, si elle a déjà admis, dans certains cas, que des statistiques puissent être calculées à partir des données d'un traitement public dont l'acte réglementaire qui le régit ne prévoit pas explicitement cette finalité, elle recommande qu'une telle finalité soit explicitement indiquée dans celui-ci. Les statistiques constituent en effet, le plus souvent, des données anonymes, dont l'usage n'est plus encadré par les règles de protection des données à caractère personnel et dépasse donc potentiellement les finalités initiales du traitement. En l'espèce, le traitement SIROCCO contiendra un module dédié pour la réalisation de statistiques qui poursuivront une finalité propre, permettre la mesure de l'efficience des politiques pénales en matière de criminalité organisée et l'adaptation de ces politiques pénales localement, distincte des finalités énumérées par l'acte réglementaire. Les calculs envisagés comprenant notamment l'agrégation d'informations associées à des mis en cause dont les données les concernant peuvent être reliées entre elles grâce à leur identifiant pseudonyme, les données contenues à cette fin dans l'infocentre sont des données à caractère personnel. La Commission invite en conséquence le ministère à prévoir expressément cette finalité au regard de l'article 4-2° de la loi du 6 janvier 1978 modifiée, en précisant qu'il s'agit d'une finalité tendant à la production de statistiques, en indiquant le caractère anonyme ou a minima pseudonyme de chacune des données et, si possible, en encadrant l'usage de ces statistiques. Elle prend acte de l'engagement du ministère d'ajouter dans le projet de décret la finalité relative à la production de statistiques. En tout état de cause, elle invite le ministère à s'assurer que les noms des mis en cause ne puissent être facilement retrouvés à partir des identifiants techniques pseudonymes utilisés.
En troisième lieu, la Commission relève que le module d'infocentre aura seulement pour finalité le développement de statistiques afin de fournir des indicateurs et des tableaux de bord pour le pilotage de l'activité des JIRS notamment. Si le traitement ne donne lieu à aucun envoi d'informations en vue de poursuivre des infractions ou des manquements, le module d'infocentre vise néanmoins exclusivement, par ces statistiques, à permettre d'améliorer la lutte contre les infractions relevant de la criminalité organisée et d'assurer une meilleure répression des infractions pénales. La finalité statistique de l'outil relève par conséquent du régime de la directive (UE) n° 2016/680 du 27 avril 2016.
Sous réserve de ce qui précède, la Commission estime que les finalités projetées sont déterminées, explicites et légitimes conformément à l'article 4-2° de la loi du 6 janvier 1978 modifiée.
Sur les mises en relation projetées :
Il ressort des éléments transmis que SIROCCO pourra faire l'objet de deux mises en relation manuelles avec les traitements « CASSIOPEE » (Chaine applicative supportant le système d'information oriente procédure pénale et enfants) et le « dossier pénal numérique » (DPN).
D'une part, la Commission prend acte de ce que, pour le traitement « CASSIOPEE », il s'agira uniquement de reporter dans SIROCCO le « numéro CASSIOPEE » de la procédure associée. Le ministère précise en effet que ce numéro commun est utilisé pour identifier un dossier tout au long de la chaîne pénale et qu'il constitue la seule référence officielle apposée sur les actes judiciaires.
D'autre part, si le traitement offre la possibilité de joindre des pièces de procédure afin de permettre un suivi de l'avancement de la procédure, il n'est pas envisagé que la totalité du dossier pénal issu de DPN soit joint au dossier SIROCCO. Il est à cet égard prévu de diffuser aux juridictions une doctrine d'emploi relative aux pièces jointes.
Sans remettre en cause la légitimité de ces mises en relation, la Commission rappelle que la communication des éléments figurant dans les procédures d'enquête ou d'instruction est encadrée par des dispositions légales et n'est permise que sous certaines conditions. Elle estime également qu'il reste essentiel que l'intégralité des traitements précités ne soient pas dupliqués dans SIROCCO et que les actes créant CASSIOPEE et DPN devront, le cas échéant, être modifiés afin de permettre les mises en relation avec le traitement SIROCCO.
Sur les données collectées :
L'article 2 du projet de décret liste les personnes concernées par le traitement :

- les personnes mises en cause, mises en examen, placées sous le statut de témoin assisté et poursuivies, qu'elles fassent par la suite l'objet d'un classement sans suite, d'une décision de non-lieu ou que ces personnes soient par la suite condamnées, relaxées ou acquittées ;
- les victimes ;
- les témoins ;
- les personnels du ministère de la justice en fonction dans les JIRS ou la JUNALCO, ou des membres de services d'enquête en charge du dossier ;
- toute personne pouvant apparaître dans les pièces de procédure et autres documents insérés dans le traitement.

A titre liminaire, la Commission appelle l'attention du ministère sur la formulation ambigüe du projet de décret s'agissant de la première catégorie de personnes concernées par le traitement, dans la mesure où des personnes poursuivies ne peuvent pas faire l'objet d'un classement sans suite.
En premier lieu, le ministère précise que SIROCCO disposera d'un module d'infocentre, qui sera alimenté quotidiennement par un flux automatique depuis l'application SIROCCO et comportera la quasi-intégralité des données de manière pseudonymisée. Il est également indiqué que l'infocentre ne contient aucune donnée d'identité et que les données « seront totalement anonymisées ».
La Commission prend acte de ce que les données éventuellement contenues dans les zones de champs libres du traitement SIROCCO ne seront pas transmises à l'infocentre.
A l'expiration de la durée de conservation prévue pour les données contenues dans SIROCCO, la correspondance entre les données de l'infocentre et celles traitées dans SIROCCO ne pourra plus être effectuée dans la mesure où la fiche correspondante de la personne dans SIROCCO aura été supprimée.
La Commission relève qu'au vu des catégories de données concernées (infraction, date de début et de fin des faits, etc.) qui seront transmises à l'infocentre, et l'existence d'un identifiant technique permettant de relier entre elles les affaires concernant un même mis en cause, une réelle anonymisation semble difficile à atteindre. Pour autant, afin de protéger les personnes concernées, la précision de certaines informations pourrait être diminuée au moyen de techniques d'agrégation statistique ou en réduisant la granularité des données. La Commission prend acte de l'engagement du gouvernement de ne conserver que l'année dans les dates des évènements décrits dans les données de l'infocentre après l'expiration de la durée de conservation des données dans SIROCCO. Bien qu'elle considère que cette mesure permette de réduire les risques de réidentification à partir des données de l'infocentre, elle invite le Gouvernement à réaliser une analyse des risques de réidentification selon l'avis n° 05/2014 sur les techniques d'anonymisation adopté par le groupe de l'article 29 (G29) le 10 avril 2014.
En deuxième lieu, le traitement peut enregistrer des données dites « sensibles » au sens du I de l'article 6 de la loi du 6 janvier 1978 modifiée dans la stricte mesure où cet enregistrement est nécessaire à la finalité qui lui est assignée.
Dans l'éventualité où de telles données pourraient être renseignées dans les zones de champs libres, et conformément à l'article 88 de la loi du 6 janvier 1978 modifiée, le traitement de telles données n'est possible qu'en cas de « nécessité absolue, sous réserve des garanties appropriées pour les droits et libertés de la personne concernée ». Il conviendra de pré-renseigner ces champs libres avec une information relative à la manière de les renseigner. Si le ministère a pris l'engagement de mettre en œuvre un mécanisme d'alerte de l'utilisateur par un message à première connexion rappelant l'exclusion de principe des données sensibles dans les champs libres, sauf nécessité absolue, la Commission rappelle qu'un contrôle strict devra être assuré.
A cet égard, le ministère indique qu'un contrôle aléatoire du traitement sera réalisé par le référent « Informatique et Libertés » de la DACG pendant la période initiale de mise en service de l'applicatif. Le ministère souhaite toutefois que ces contrôles soient par la suite réalisés par les chefs de juridiction et non par un membre de la DACG dans un double objectif de responsabilisation et d'efficacité.
La mise en place de ce contrôle constitue une garantie participant à la mise en conformité du traitement « SIROCCO » aux exigences en matière de protection des données à caractère personnel. La Commission prend acte de ce que ces contrôles seront institués par la doctrine d'emploi et qu'ils devront être réalisés par les chefs de juridiction ou leurs représentants deux fois par an.
En troisième lieu, le projet de décret prévoit la collecte des données d'identification des victimes et des témoins, qui seront renseignées manuellement dans SIROCCO par les utilisateurs du traitement. Selon le ministère, si le traitement n'a pas vocation à traiter systématiquement des données relatives à ces personnes, ces données pourront apparaître dans les notes de suivi de la procédure et, s'agissant des victimes, elles pourront éventuellement apparaître dans les champs libres si elles sont mises en cause dans une autre procédure enregistrée dans SIROCCO ou dans la dénomination de l'affaire, pour identifier la procédure.
La Commission appelle l'attention du ministère sur le fait que, dans la mesure du possible, les données d'état civil relatives aux victimes ne devraient pas être utilisées pour le nommage des affaires, eu égard aux risques de confusion que cela entraînerait. Elle recommande que cela soit indiqué dans la doctrine d'emploi qui sera diffusée auprès des juridictions et prend acte de l'engagement du ministère sur ce point.
Les autres catégories de données à caractère personnel collectées n'appellent pas d'observations de la part de la Commission.
Sous réserve de ce qui précède, les données traitées sont adéquates, pertinentes et non excessives au regard des finalités poursuivies.
Sur la durée de conservation des données :
L'article 4 du projet de décret prévoit les durées de conservation des informations et des données à caractère personnel enregistrées dans le traitement :

- dix ans à compter de la dernière actualisation de l'état de la procédure judiciaire ;
- cette durée est portée à dix ans après une condamnation définitive en matière délictuelle et à quinze ans après une condamnation définitive en matière criminelle ou, si cette durée est plus tardive, à dix ans après la date de fin effective de la peine.

En premier lieu, la notion de « dernière actualisation de l'état de la procédure judiciaire » vise l'état de la procédure judiciaire (enquête, instruction, audiencement, jugement, appel) et un rapprochement entre deux affaires n'est pas susceptible de faire courir un nouveau délai de conservation des données.
En deuxième lieu, ces durées de conservation sont justifiées par le ministère par le souhait de retenir une durée de conservation identique à celle retenue dans le cadre de l'applicatif « Recensement des affaires terroristes » (RECAT). Le ministère indique que, par ces durées de conservation, il a entendu opérer un arbitrage entre la durée de conservation nécessairement significative afin de permettre de s'adapter à la spécificité du traitement de la criminalité organisée, sollicitée par les professionnels en juridiction, et l'impératif de limitation du traitement des données à caractère personnel.
En outre, le projet de décret prévoit que, en cas de décision de relaxe ou d'acquittement devenue définitive, les données sont effacées. Par ailleurs, il existe une fonction de suppression automatique des données de l'affaire ou du dossier, respectant des critères et un délai défini.
La Commission considère que, globalement, ces durées de conservation des données sont adaptées mais recommande au ministère de compléter son projet par des garanties pour les personnes mineures, ainsi qu'elle l'avait souligné dans sa délibération n° 2020-101 du 1er octobre 2020 portant avis sur un projet de décret portant création d'un traitement de données à caractère personnel dénommé RECAT.
En troisième lieu, les données de l'infocentre ne pouvant être considérées a priori comme anonymes, la Commission souligne que la loi du 6 janvier 1978 modifiée impose qu'une durée de conservation limitée leur soit appliquée. Au-delà du délai convenu, les données pourraient être supprimées ou anonymisées par un procédé conforme à l'avis du G29 sur les techniques d'anonymisation. Elle prend acte de l'engagement du ministère d'insérer dans le projet de décret une durée de conservation des données de l'infocentre.
Sur les accédants et les destinataires :
L'article 5 du projet de décret liste les personnes pouvant avoir accès à tout ou partie du traitement et informations enregistrées dans le traitement, à raison de leurs attributions et dans la limite du besoin d'en connaître.
A titre liminaire, la Commission comprend du projet de décret que les personnes mentionnées comme « accédants » ne seront pas seulement chargées d'accéder aux données mais pourront enregistrer des données dans le traitement. La Commission invite dès lors le ministère, pour éviter toute ambiguïté, à indiquer dans le projet de décret que ces « accédants » pourront avoir accès aux données et seront également autorisés à enregistrer certaines données dans le traitement.
En premier lieu, les accédants au traitement SIROCCO et les accédants au module d'infocentre sont identiques. L'étendue de leurs droits variera en fonction de la matrice d'habilitation définie.
En deuxième lieu, la Commission s'interroge sur les raisons ayant conduit le ministère à reconnaître un accès au traitement au « président près un tribunal judiciaire - à cet égard, elle s'interroge également sur la pertinence de cette expression et se demande si cela désigne le président du tribunal judiciaire - dont la compétence est étendue au ressort d'une ou plusieurs cours d'appels en application de l'article 706-75 du CPP ». Elle ne voit pas les circonstances dans lesquelles ce président aurait besoin de connaître les éléments de la procédure d'enquête ou d'instruction.
En troisième lieu, la Commission prend acte de ce que le projet de décret sera complété afin d'ajouter les chargés d'études statistiques de la sous-direction de la statistique et des études (SDSE), service de statistique ministériel du ministère de la justice, afin de permettre leur habilitation par le secrétaire général du ministère de la justice, dans la limite du besoin d'en connaître.
Elle relève que des chargés d'études statistiques du pôle d'évaluation des politiques pénales de la DACG ont aussi vocation à accéder aux données enregistrées dans le traitement au titre des fonctionnaires et agents individuellement désignés et dûment habilités par le directeur des affaires criminelles et des grâces.
En troisième lieu, la Commission prend acte de ce que, si les données issues de l'applicatif pourraient être éventuellement utilisées par les chefs de juridiction et chefs de cour dans le cadre des dialogues de gestion avec la direction des services judiciaires, cette dernière ne se verra pas communiquer des données brutes issues du traitement mais aura seulement connaissance lors de ces échanges de données statistiques anonymisées.
Sur les droits des personnes concernées :
En premier lieu, s'agissant de l'information des personnes concernées, l'article 6 du projet de décret prévoit que, conformément aux dispositions de l'article 107-II-1° de la loi du 6 janvier 1978 modifiée, le droit à l'information est limité aux informations prévues par le I de l'article 104 de ladite loi.
La Commission s'est interrogée sur les raisons ayant conduit le ministère à déroger au droit à l'information des personnes concernées dans la mesure où une information générale sur un site web est envisagée et que le décret portant création du traitement sera publié. Elle prend acte de ce que le ministère renonce à se prévaloir de cette dérogation et que le projet de décret sera modifié en conséquence.
En deuxième lieu, s'agissant des autres droits, il est prévu que « conformément aux dispositions de l'article 111 la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, l'accès aux données visées à l'article 2 et à celles qui figurent dans les documents mentionnés aux 1° et 2° de l'article 2, et les conditions de leur rectification ou de leur effacement sont régis par les dispositions du code de procédure pénale ».
La Commission prend acte de ce qu'une correction formelle sera apportée à cette disposition dans la mesure où il s'agit en réalité des documents mentionnés aux 1° et 2° de l'article 3 (prévoyant les pièces, actes et documents enregistrés dans le traitement) et non de l'article 2 (prévoyant les données collectées en fonction des catégories de personnes concernées) du projet de décret.
Elle prend également acte de ce qu'il a été décidé de faire application de l'article 111 de la loi du 6 janvier 1978 modifiée afin de permettre de protéger le secret des enquêtes et des instructions, les données enregistrées dans SIROCCO étant issues des dossiers de procédure judiciaire.
Il s'agira toutefois d'une application limitée de cet article 111. D'une part, s'agissant des données relatives à des documents utiles et pertinents en lien avec une procédure enregistrée dans le traitement (le 3° de l'article 3), les droits d'accès, de rectification d'effacement et de limitation s'exercent de manière directe auprès de la DACG. Ils peuvent faire l'objet de restrictions, en application des 2° et 3° du II et du III de l'article 107 de la loi du 6 janvier 1978 modifiée afin d'éviter de gêner des enquêtes, des recherches et des procédures judiciaires et de nuire à la détection d'infractions pénales, aux enquêtes et aux poursuites en la matière ou à l'exécution de sanctions pénales. La personne concernée par ces restrictions devra alors exercer ses droits auprès de la Commission dans les conditions prévues à l'article 108 de ladite loi.
D'autre part, il est prévu par le projet de décret que les droits d'accès, de rectification, d'effacement et de limitation relatifs aux données s'agissant des personnels du ministère de la justice en fonction dans les JIRS ou la JUNALCO s'exercent directement auprès de l'autorité hiérarchique leur ayant délivré l'habilitation.
En troisième lieu, le projet de décret prévoit que le droit d'opposition ne s'applique pas au présent traitement, ce qui n'appelle pas d'observations.
Sur les mesures de sécurité :
En ce qui concerne le chiffrement, la Commission prend acte de ce qu'un chiffrement est prévu lors de la communication des données ainsi que lors de leur réplication. Toutefois, eu égard à la nature des données concernées, la Commission recommande que l'intégralité des sauvegardes de la base SIROCCO fasse l'objet d'un chiffrement au repos. Elle prend acte des précisions apportées par le ministère selon lesquelles les sauvegardes de la base de données SIROCCO sont bien chiffrées au repos.
La Commission recommande que l'identité des mis en cause ne puisse être facilement retrouvée à partir des identifiants techniques pseudonymes utilisés dans le module d'infocentre.
Les autres mesures de sécurité n'appellent pas d'observations particulières.