(Demande d'avis no 1523046)
La Commission nationale de l'informatique et des libertés,
Saisie pour avis par le ministère de l'intérieur, de l'outre-mer, des collectivités territoriales et de
l'immigration le 22 juillet 2011 d'un projet d'arrêté portant autorisation d'un traitement automatisé de données
à caractère personnel dénommé « pré-plainte en ligne » ;
Vu la convention no 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement
automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection
des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces
données ;
Vu la loi no 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée,
notamment son article 26-1 (2°) ;
Vu le décret no 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi no 78-17 du
6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret no 2008-1109 du 29 octobre 2008 portant création à titre expérimental d'un traitement
automatisé dénommé « pré-plainte en ligne » ;
Vu la délibération no 2008-102 du 29 avril 2008 portant avis sur un projet de décret en Conseil d'Etat
autorisant la création d'un traitement automatisé dénommé « pré-plainte en ligne » ;
Après avoir entendu M. Jean-Marie Cotteret, commissaire, en son rapport et Mme Elisabeth Rolin,
commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministère de l'intérieur, de l'outre-mer, des collectivités territoriales et de
l'immigration d'un projet d'arrêté portant autorisation d'un traitement automatisé de données à caractère
personnel dénommé « pré-plainte en ligne ».
La commission a déjà eu l'occasion de se prononcer sur ce traitement, lors de l'examen du projet de décret
en Conseil d'Etat qui en portait création à titre expérimental, en 2008. Ce téléservice permet aux personnes se
considérant comme victimes d'effectuer une déclaration en ligne pour des faits d'atteintes aux biens contre
auteur inconnu, d'une part, et d'obtenir un rendez-vous auprès d'un service de police ou d'une unité de
gendarmerie nationale de leur choix pour signer leur plainte, d'autre part.
Le dispositif est destiné à améliorer les conditions d'accueil du public, dès lors qu'il doit permettre de
supprimer les délais d'attente auxquels sont confrontées les victimes lorsqu'elles se rendent dans un service de
la police nationale ou une unité de gendarmerie pour y déposer plainte. Il doit également contribuer à réduire le
temps nécessaire à l'enregistrement de la plainte par les personnels de police ou de gendarmerie.
L'expérimentation a été autorisée pour une durée d'un an à compter de la publication du décret no 2008-1109
du 29 octobre 2008 susvisé, dans les départements des Yvelines et de la Charente-Maritime. Or, il apparaît au
regard du dossier que l'expérimentation a été poursuivie au-delà du terme prévu par le décret du
29 octobre 2008. Dès lors, la commission regrette de ne pas avoir été saisie, à l'expiration de cette période
d'un an, concernant la prolongation de l'expérimentation.
Le projet d'arrêté soumis à l'examen de la commission vise à pérenniser et généraliser ce dispositif. La
commission avait demandé, lors de l'examen du projet de décret en Conseil d'Etat, à être rendue destinataire
des conclusions de l'évaluation de cette expérimentation, prévue par le décret du 29 octobre 2008 susvisé.
Cette évaluation, comportant des éléments statistiques de la direction générale de la police nationale (DGPN) et
de la direction générale de la gendarmerie nationale (DGGN) ainsi que des informations sur la perception du
dispositif par les plaignants, les agents de la police nationale ainsi que les militaires de la gendarmerie, lui a été
communiquée à l'appui du dossier de demande d'avis. En substance, il en ressort que peu de « pré-plaintes »
ont finalement été déposées ; la perception du dispositif par les différents intervenants est néanmoins très
positive.
En outre, la commission prend acte qu'avant la généralisation du dispositif au plan national, prévue en début
d'année 2012, l'expérimentation sera dans un premier temps élargie à deux nouveaux départements, la Haute-
Garonne et le Bas-Rhin.
Le traitement et le projet d'acte réglementaire soumis à l'examen de la commission ne comportent que peu
de modifications par rapport à l'expérimentation.
Sur les finalités :
L'article 1er du projet d'arrêté reprend les finalités initialement prévues pour l'expérimentation, à savoir
« effectuer une déclaration en ligne pour des faits d'atteintes aux biens contre auteur inconnu », d'une part, et
« obtenir un rendez-vous auprès d'un service de la police nationale ou d'unité de la gendarmerie nationale de
son choix pour déposer et signer sa plainte », d'autre part. A cet égard, la commission rappelle que la
déclaration en ligne ne constitue pas formellement une plainte, et le fait que le ministère ait ajouté le terme
« déposer » permet de confirmer que cette « pré-plainte » doit nécessairement s'accompagner d'un déplacement
dans les services de la police ou de la gendarmerie nationale : la plainte ne prend effet que lors de sa signature.
La commission observe toutefois que le terme « téléservice » n'apparaît plus dans le projet d'acte
réglementaire, alors que le dossier administratif nomme le traitement comme tel, et que le décret du
29 octobre 2008 susvisé fait référence à ce terme. Or, certaines conséquences sont attachées à cette
qualification le « téléservice » (respect du référentiel général de sécurité, par exemple, prévu par l'ordonnance
no 2005-1516 du 8 décembre 2005 et le décret no 2010-112 du 2 février 2010). Aussi, la commission prend acte
de l'engagement du ministère de réintroduire cette mention de « téléservice » dans le projet d'arrêté.
La commission observe, en outre, que le périmètre de la « pré-plainte en ligne » est inchangé (faits
d'atteintes aux biens contre auteur inconnu). Enfin, elle relève qu'aucune finalité statistique propre à ce
traitement ne lui est assignée.
Sur les données collectées :
Les catégories de données à caractère personnel n'apparaissent plus dans le projet d'acte réglementaire,
comme c'était le cas pour le décret du 29 octobre 2008, mais dans une annexe. La commission prend note,
s'agissant du déclarant (la victime, et, le cas échéant, son représentant légal) que de nouvelles données sont
collectées : sont désormais traitées « la situation familiale » et le « lien de parenté ou relation de droit ou de
fait existant avec la victime en cas de représentation ». S'agissant de cette dernière catégorie, elle recoupe la
représentation des mineurs ou bien encore des majeurs incapables ou des personnes morales. La commission
note toutefois que l'annexe est muette s'agissant des informations collectées quant à la personne morale, qui
apparaissaient pourtant au 20 de l'article 2 du décret du 29 octobre 2008 susvisé. Le ministère justifie cette
absence en expliquant que la loi du 6 janvier 1978 modifiée ne s'appliquant qu'aux personnes physiques, il n'a
pas jugé nécessaire de mentionner ces données dans le projet d'acte réglementaire. Sans préjudice de cette
précision, la commission souhaiterait que ces données apparaissent dans l'annexe, par cohérence avec le décret
du 29 octobre 2008.
La commission prend acte qu'aucune donnée nouvelle n'est ajoutée à la catégorie de données relatives aux
faits rapportés par le déclarant. La commission tient néanmoins à réitérer la position qu'elle avait formulée
dans sa la délibération du 29 avril 2008 susvisée concernant les zones de commentaires libres portant sur « les
éléments susceptibles d'orienter l'enquête », à savoir qu'il doit être rappelé qu'elles ne peuvent servir de
support à la désignation nominative de l'auteur présumé des faits, et que si l'identité de ce dernier est connu de
la victime, elle doit se rendre directement dans les services de la police ou de la gendarmerie nationale.
La commission observe qu'une nouvelle catégorie de données est collectée, concernant les « données à
caractère personnel et informations relatives au propriétaire d'un bien, objet de l'infraction signalée, lorsqu'il
n'est pas le déclarant ». Sont enregistrées à ce titre l'identité (nom de naissance, nom d'épouse, prénoms), date
et lieu de naissance et adresse. La commission estime que cette modification n'appelle pas d'observation
particulière.
Enfin, la commission note que n'apparaissent pas non plus dans l'annexe la localisation du service de police
ou de l'unité de gendarmerie nationales choisi par le déclarant pour signer sa plainte et le numéro identifiant
délivré automatiquement audit déclarant par le traitement. Le ministère précise que le numéro d'identifiant ne
permet d'identifier que la plainte et ne constitue pas une donnée à caractère personnel. La commission prend
acte que le ministère a néanmoins répondu favorablement à sa demande d'ajouter ces informations dans
l'annexe, par cohérence avec le décret du 29 octobre 2008 susvisé.
Sur les destinataires :
La commission prend acte de ce que seuls les agents individuellement désignés et spécialement habilités par
le chef de service de la police nationale ou commandant de groupement de la gendarmerie nationale pourront
accéder aux données enregistrées dans le traitement, comme il était initialement prévu durant l'expérimentation.
Sur la durée de conservation :
Comme lors de l'expérimentation, les données enregistrées seront effacées à l'occasion de la signature de la
plainte par le déclarant ou, à défaut, passé un délai maximum de trente jours à compter de la réception de la
déclaration. La commission estime que cette durée de conservation est pertinente au regard des finalités du
traitement, conformément à l'article 6 (5°) de la loi du 6 janvier 1978 modifiée.
Sur les droits des personnes :
Aux termes de l'article 32-VI de la loi du 6 janvier 1978 modifiée, aucune obligation d'information des
personnes n'incombe au responsable d'un traitement ayant pour objet la prévention, la recherche, la
constatation ou la poursuite d'infractions pénales, or la commission constate que les mentions d'information
prescrites par l'article 32 de la loi du 6 janvier 1978 modifiée, ainsi que les modalités d'exercice du droit
d'accès et de rectification, apparaîtront sur le site internet. Elle souligne ainsi l'opportunité de cette
information, qui constitue un préalable nécessaire à l'exercice des droits d'accès et de rectification.
Par ailleurs, la commission note qu'à plusieurs reprises, sur la page d'accueil du site ou à l'occasion de la
finalisation de la « pré-plainte » en ligne, il est rappelé à la victime les finalités du dispositif, son périmètre ou
les risques encourus en cas de dénonciation calomnieuse.
En outre, la commission prend acte que, comme durant l'expérimentation, le droit d'accès est direct et
s'exercera directement auprès du service de la police nationale ou de l'unité de gendarmerie nationale où la
plainte doit être signée. A ce sujet, la commission constate que si le droit d'accès reste direct, le ministère a
néanmoins fait évoluer le fondement juridique de ce droit d'accès, alors que le décret du 29 octobre 2008
susvisé fait référence au régime de droit commun du droit d'accès (article 39 de la loi du 6 janvier 1978
modifiée), le projet d'arrêté s'appuie désormais sur l'article 41 de la loi du 6 janvier 1978 modifiée (droit
d'accès indirect), et particulièrement sur son dernier alinéa qui prévoit, de manière dérogatoire, un droit d'accès
direct lorsque la communication des informations enregistrées ne met pas en cause la finalité du traitement.
Or, la commission rappelle qu'en ce qui concerne les traitements mis en oeuvre aux fins de prévention,
recherche et constatation des infractions pénales, l'accès indirect prévu par l'article 41 ne constitue qu'une
possibilité, et en aucun cas le principe, conformément à l'article 42 de la loi du 6 janvier 1978 modifiée. En
outre, et puisque le ministère entend mettre en oeuvre un droit d'accès direct, il apparaît plus opportun de faire
référence aux dispositions de droit commun (droit d'accès direct prévu par l'article 39) plutôt qu'à l'exception
au droit d'accès indirect (dernier alinéa de l'article 41). C'est pourquoi la commission invite le ministère à faire
référence, dans le projet d'arrêté, aux dispositions de droit commun prévues par l'article 39 de la loi du
6 janvier 1978 modifiée.
Enfin, elle prend acte que le droit des personnes de s'opposer à l'enregistrement de leurs données dans le
traitement, prévu à l'article 38 de la loi du 6 janvier 1978 modifiée, ne s'applique pas au traitement projeté.
Sur les interconnexions :
La commission prend acte que le projet d'arrêté ne prévoit aucune interconnexion avec des traitements
existants, en particulier avec d'autres fichiers de police (fichier des véhicules volés, fichiers des objets volé,
STIC, etc.).
Toutefois, la commission relève que les services de police et de gendarmerie pourront procéder à un import
des données issues de la « pré-plainte en ligne », grâce au numéro de dossier, dans les logiciels de rédaction
des procès-verbaux.
Sur l'architecture du dispositif, les sécurités et la traçabilité :
La commission estime que l'architecture prévue, les mesures de sécurité et d'authentification sont conformes
aux exigences de l'article 34 de la loi du 6 janvier 1978 modifiée. La commission constate qu'une
journalisation des consultations a bien été prévue, sans que ces mesures apparaissent dans le projet d'arrêté.
Elle prend donc acte de l'engagement du ministère de compléter le projet d'arrêté en ce sens.
Par ailleurs, la commission rappelle que le dispositif « pré-plainte en ligne » constitue un téléservice et qu'a
ce titre il doit être conforme au référentiel général de sécurité (RGS), prévu par l'ordonnance no 2005-1516 du
8 décembre 2005 et le décret no 2010-112 du 2 février 2010. Il appartient à l'Agence nationale de la sécurité
des systèmes d'information (ANSSI) de juger de la conformité au RGS d'un téléservice.
Pour la présidente :
Le vice-président délégué,
E. DE GIVRY