Article (sans numéro) JORFARTI000055021084
N° de demande d'avis : 26012549 | Thématiques : politiques pénales prioritaires, parquet, coordination |
Organisme(s) à l'origine de la saisine : ministère de la justice | Fondement de la saisine : articles 89 et suivants de la loi du 6 janvier 1978 modifiée |
L'essentiel : 1. L'intégration au traitement SISPoPP de nouvelles politiques pénales prioritaires s'inscrit dans la politique du garde des sceaux. La CNIL attire l'attention du ministère sur le fait qu'il sera nécessaire de supprimer les données du traitement et mettre à jour le décret en conséquence lorsque certaines de ces politiques pénales seront dépriorisées. 2. La CNIL recommande également d'encadrer les futures interconnexions avec d'autres traitements, notamment Cassiopée et GENESIS, afin de s'assurer que ne seront transmises que les catégories de données entrant dans le champ de SISPoPP. 3. Elle considère également qu'au regard de l'importante quantité de données contenues dans le traitement, de leur sensibilité et de leur impact potentiel pour les personnes concernées, le ministère devra assurer une forte sécurisation du traitement notamment grâce à la mise en place d'un système robuste et en temps réel de traçabilité des consultations ainsi que des modalités d'authentification forte pour les accédants ne disposant pas d'une carte agent.
La Commission nationale de l'informatique et des libertés, Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés (« loi informatique et libertés »), notamment ses articles 89 et suivants ; Après avoir entendu le rapport de M. Vincent Lesclous, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement, Adopte la délibération suivante :
I. - La saisine A. - Le contexte
Le ministre de la justice conduit la politique pénale déterminée par le Gouvernement et, à cet effet, adresse aux parquets des instructions fixant les infractions à l'encontre desquelles une attention particulière doit être portée. Les modalités de mise en œuvre de ces politiques pénales dites « prioritaires » sont ensuite déclinées localement. Les juridictions, en particulier les parquets, ont exprimé le besoin de bénéficier d'un outil de pilotage des politiques pénales prioritaires pour centraliser les informations et les pièces de procédures pertinentes pour le suivi des situations et à la prise de décision, par personne et non exclusivement par procédure. A cette fin, le traitement de données à caractère personnel dénommé « Système informatisé de suivi de politiques pénales prioritaires » (SISPoPP) est mis en œuvre, sous la responsabilité du ministère de la justice (direction des affaires criminelles et des grâces - DACG) dans le ressort de chaque tribunal judiciaire et cour d'appel. Il permet aux utilisateurs de disposer d'informations complètes en leur évitant de consulter systématiquement les différents traitements et documents concernant la personne pour reconstituer sa situation. Cet applicatif ne peut être utilisé que pour les politiques pénales prioritaires limitativement énumérées dans le décret autorisant le traitement. La DACG sélectionne, parmi l'ensemble des politiques pénales prioritaires, celles qui figurent au traitement SISPoPP. Compte tenu des priorités fixées par le garde des sceaux, notamment dans la circulaire de politique pénale générale du 27 janvier 2025 et dans la circulaire du 23 mai 2026 relative au traitement judiciaire des violences sexuelles et sexistes commises sur les mineurs en milieu scolaire ou périscolaire, le ministère souhaite faire évoluer la liste des politiques pénales prioritaires prévues par le décret autorisant le traitement.
B. - L'objet de la saisine
La CNIL est saisie d'un projet de décret modifiant le décret n° 2023-935 du 10 octobre 2023 autorisant la création d'un traitement automatisé de données à caractère personnel dénommé « SISPoPP ». En premier lieu, ce projet prévoit d'intégrer au traitement trois nouvelles politiques pénales prioritaires, à savoir la lutte contre les violences sexuelles, contre les infractions commises en milieu scolaire et périscolaire et contre les discriminations. Il prévoit également d'étendre la politique prioritaire de lutte contre le trafic de stupéfiants à la lutte contre l'ensemble de la criminalité organisée. En second lieu, ce projet fixe un nouveau point de départ pour le calcul de la durée de conservation des données relatives aux personnes signalées à l'autorité judiciaire et à l'encontre desquelles aucune procédure judiciaire n'est engagée. Les autres modifications prévues concernent les catégories de données collectées, ainsi que de nouvelles interconnexions du traitement.
II. - L'avis de la CNIL A. - Sur le périmètre du traitement
L'ajout de nouvelles politiques pénales prioritaires dans le champ du traitement SISPoPP, correspondant aux orientations définies par le garde des sceaux, n'appelle pas en soi d'observations de la part de la CNIL. Cependant, le projet dont la CNIL est saisie démontre que ce traitement SISPoPP est susceptible d'intégrer un nombre croissant de politiques pénales prioritaires alors qu'il s'agit d'ores et déjà d'un traitement de grande ampleur, regroupant un volume important de données, dont certaines sensibles, et ouvert à un nombre particulièrement élevé d'accédants et de destinataires, de surcroît interconnecté avec d'autres traitements tout aussi lourds. A cet égard, la CNIL considère, en premier lieu, que, dans l'hypothèse où des politiques pénales seraient dépriorisées, la conservation des données correspondantes ne serait plus nécessaire au regard des finalités poursuivies, quand bien même la politique pénale concernée continuerait à être appliquée sans priorisation. Dès lors, ces données devraient être supprimées n'ayant plus de base légale, et le décret autorisant le traitement modifié, afin de tenir compte de la dépriorisation des politiques pénales concernées. La CNIL rappelle que dans sa délibération n° 2023-055 du 15 juin 2023, elle avait appelé le ministère à clarifier la rédaction du décret à cet égard. Elle ne peut, en l'état du texte, que réitérer cette recommandation. En second lieu, la CNIL appelle l'attention du ministère sur l'importance de la charge que représentera la nécessaire gestion actualisée de cet ensemble de données et donc sur la nécessité d'accompagner l'extension du champ de SISPoPP de moyens techniques et humains suffisants pour en garantir la sécurité, la pertinence au regard de ses finalités et la régularité vis-à-vis des prescriptions des textes applicables.
B. - Sur les catégories de données
Le projet de décret prévoit que le traitement puisse collecter une nouvelle catégorie de données à savoir « les informations relatives aux faits », et plus précisément le « fondement de l'infraction à caractère discriminatoire ». Le ministère précise que cette nouvelle catégorie est nécessaire pour établir l'intention de l'auteur et caractériser l'élément matériel de l'infraction qui inclut le fondement de la discrimination. Il ajoute que ce champ ne sera pas requêtable et ne permettra pas d'effectuer des recherches ni des statistiques à partir de cette catégorie de données. La CNIL observe que ce champ impliquera nécessairement la collecte de données sensibles au sens de l'article 6 de la loi « informatique et libertés » (informations révélant notamment les opinions politiques, les convictions religieuses ou philosophiques ou encore des données concernant l'orientation sexuelle). La CNIL recommande, dès lors, que la doctrine d'emploi diffusée auprès des utilisateurs du traitement apporte des précisions sur le bon usage de ce champ qui devra être limité aux données strictement nécessaires à la qualification de la discrimination.
C. - Sur les durées de conservation des données
En premier lieu, pour les personnes faisant l'objet d'une procédure judiciaire, le projet de décret prévoit une durée de conservation maximale de trois ans à compter de la dernière actualisation de la fiche de suivi de la personne concernée, c'est-à-dire la dernière modification enregistrée. A l'issue de ce délai, la fiche et ses données seront automatiquement effacées. La CNIL rappelle que dans sa délibération précédente, elle recommandait, concernant cette durée de conservation de trois ans à compter de la dernière actualisation de la fiche de suivi, la mise en œuvre de garanties particulières pour les personnes mineures, notamment afin d'adapter les durées de conservation des données les concernant conformément à sa doctrine constante sur le sujet. En l'absence de prise en compte de cette demande dans le texte, elle ne peut que réitérer cette observation en insistant sur la nécessité de prévoir un régime spécifique pour les données concernant les mineurs, en l'état de cette durée significative de conservation de trois ans. En deuxième lieu, pour les personnes faisant l'objet d'un signalement à l'autorité judiciaire et à l'encontre desquelles aucune procédure judiciaire n'est ouverte, les données sont conservées pour une durée de trois mois à compter de l'enregistrement initial. En dernier lieu, pour les personnes faisant l'objet d'un suivi dans le cadre d'une instance de concertation, le projet de décret modificatif prévoit que le point de départ du calcul du délai de conservation des données court à compter de la fin du suivi du dossier. Le ministère estime que les situations examinées dans le cadre des instances de concertation justifient ce nouveau point de départ pour le calcul des durées de conservation, afin de déterminer les suites qu'il convient d'apporter à ces situations. Le ministère précise que ces instances de concertation, telles que « les groupes d'évaluation départementaux » (structures de suivi de la radicalisation), peuvent rester saisies des situations pendant de nombreux mois. La CNIL observe que, dans le cas où le suivi est en cours dans une instance de concertation, les données n'ont aucun délai maximal de conservation. Elle considère dès lors que, dans cette hypothèse, la doctrine d'emploi du traitement devrait prévoir une révision périodique du dossier.
D. - Sur les accédants et les destinataires
Le projet de décret ne prévoit pas de nouvelles catégories d'accédants ou de destinataires par rapport au cadre déjà existant. A l'occasion de la première saisine de 2023, la CNIL avait recommandé de modifier les actes règlementaires des traitements mis en relation avec SISPoPP (Cassiopée, GENESIS, ainsi que les dispositifs de bracelet anti-rapprochement BAR et le téléphone grave danger TGD) afin, notamment, de rendre leurs utilisateurs accédants des données qu'ils contiennent. Les modifications en question ont été effectuées par le ministère de la justice en ce qui concerne Cassiopée et GENESIS. En ce qui concerne le BAR et le TGD, le ministère précise que les personnels de juridictions n'ayant pas accès à ces traitements mais étant simplement destinataires, le cadre juridique existant est suffisant pour permettre leur mise en relation avec SISPoPP. La CNIL prend acte de ces précisions et accueille favorablement les modifications règlementaires relatives à GENESIS et Cassiopée. En outre, la CNIL relève que la doctrine d'emploi prévoit une revue des habilitations accordées, à l'initiative des procureurs. Elle estime que cette obligation devrait être expressément prévue par le projet de décret.
E. - Sur les mises en relation
Le ministère précise qu'une interconnexion effective de SISPoPP avec Cassiopée et GENESIS est prévue d'ici fin 2026 ou début 2027. Cette interconnexion est justifiée par la nécessité de diminuer les gestes métier impliqués par les mises en relations manuelles entre ces traitements, notamment au regard de l'importante charge de saisine des juridictions. Cette interconnexion permettra notamment de récupérer automatiquement les dates de condamnation dans Cassiopée et les dates de sortie de détention dans GENESIS. La CNIL estime que cette interconnexion est légitime et justifiée au regard des finalités du traitement. Elle considère toutefois qu'au regard de l'importante quantité de données contenues dans GENESIS, il sera nécessaire d'exclure de la collecte les catégories de données n'ayant aucun rapport avec les finalités de SISPoPP, et de prendre acte de cette limitation dans l'AIPD qui devrait préciser les catégories de données interconnectées avec SISPoPP. En outre, les AIPD de Cassiopée et GENESIS pourraient utilement mentionner la modalité de l'interconnexion avec SISPoPP, ce que le ministère s'engage à faire.
F. - Sur les mesures de sécurité
S'agissant de l'utilisation d'une authentification multifacteur des accédants au traitement SISPoPP, la CNIL prend acte de la confirmation du ministère concernant la mise en œuvre d'une authentification par carte agent au plus tard au 31 décembre 2026. La CNIL prend également acte de la confirmation du ministère du fait que les accédants externes (notamment les associations d'aide aux victimes) mentionnés au titre du décret, et ne possédant pas de carte agent, n'auront un accès effectif au traitement SISPoPP qu'après déploiement d'une solution technique d'authentification présentant un niveau de sécurité équivalent. Du fait des nombreux accédants au traitement, le ministère confirme qu'une vérification de la cohérence des droits délivrés avec les habilitations octroyées sera réalisée mensuellement. La CNIL prend acte de l'ambition du ministère de mettre en œuvre, à moyen terme, une mesure technique et organisationnelle d'analyse en temps réel des journaux d'évènements. Le ministère s'engage à mettre à jour l'AIPD qui prévoira la mise en œuvre de cette mesure. La CNIL rappelle sa recommandation, déjà formulée à de nombreuses reprises, à l'égard de plusieurs traitements relevant du ministère de la justice, sur le déploiement d'une mesure technique de surveillance active des journaux applicatifs, en vue de permettre la détection immédiate d'actions malveillantes au sein du traitement. Cette exigence s'impose d'autant plus que le traitement SISPoPP concerne un nombre particulièrement élevé de données à caractère personnel dont la divulgation serait susceptible d'avoir d'importantes conséquences sur la sécurité des personnes concernées ou de tiers et la bonne fin d'opérations de sécurité publique ou d'enquêtes. La CNIL estime que le déploiement de cette mesure devrait être priorisé en l'état du nombre croissant de violations de données dans des fichiers de service public. Dans le cadre de sa volonté de faire migrer les rapprochements manuels vers des solutions d'interconnexions plus fiables et plus sécurisées, le ministère pourra prendre en compte la recommandation technique relative à l'utilisation des interfaces de programmation applicatives (API) pour le partage sécurisé de données à caractère personnel. La CNIL rappelle également le besoin de mettre en œuvre des solutions de gestion d'intégrité et de qualité des données adéquates au sein de SISPoPP. Les autres dispositions du projet de décret n'appellent pas d'observations.