Type de juridiction : CNIL

Juridiction : CNIL

Thématique : Création du traitement DataJust

Le Décret n° 2020-356 du 27 mars 2020 a créé un traitement automatisé de données à caractère personnel dénommé « DataJust ». Ce traitement repose sur l’extraction, de manière automatique, des données contenues dans les décisions de justice afin de constituer un outil de restitution et de diffusion des montants d’indemnisation du préjudice corporel des victimes. Les finalités du traitement DataJust doivent permettre une meilleure administration de la justice et la mise à disposition des justiciables d’un outil leur permettant d’effectuer des choix de manière plus éclairée quant à la pertinence ou non d’engager un contentieux ou d’accepter ou non les offres d’indemnisation proposées par les assureurs.

Évaluation du préjudice des victimes

En d’autres termes, il
s’agit de développer un algorithme destiné à permettre l’évaluation
rétrospective et prospective des politiques publiques en matière de
responsabilité civile et administrative, l’élaboration d’un référentiel
indicatif d’indemnisation des préjudices corporels, l’information des parties
et l’aide à l’évaluation du montant de l’indemnisation à laquelle les victimes
peuvent prétendre afin de favoriser un règlement amiable des litiges, ainsi que
l’information ou la documentation des juges appelés à statuer sur des demandes
d’indemnisation des préjudices corporels.

Avis de la CNIL

A noter que la CNIL par
Délibération n° 2020-002 du 9 janvier 2020
a émis un avis mitigé sur la question. La CNIL avait rappelé que, compte tenu de
la particulière sensibilité des informations susceptibles d’être traitées,
relatives tant à des personnes majeures que mineures, ainsi que du périmètre
particulièrement large du traitement projeté, une attention particulière devait
être portée aux évolutions envisagées de l’algorithme et plus particulièrement
à la présence d’éventuels biais (pratiques discriminatoires liées par exemple à
l’origine ethnique, au genre ou encore à la situation géographique). Une attention
particulière devra être portée aux principes cardinaux de vigilance et de
loyauté tout au long du développement de ce traitement.

La CNIL a aussi rappelé qu’il était indispensable
que des garanties soient mises en œuvre afin que seules les données qui ont un
lien avec l’indemnisation du préjudice subi ne soient effectivement traitées
et, à cet égard, elle estime qu’une vigilance particulière devra être portée
aux données sensibles au sens de la loi du 6 janvier 1978 modifiée (données
relatives à la santé et/ou à la vie sexuelle) qui pourront être collectées au
titre de la catégorie des données et informations relatives aux préjudices
subis.

Périmètre de la collecte

En premier lieu, s’agissant de la
collecte des noms et prénoms des personnes physiques mentionnées dans les
décisions de justice, la CNIL a relevé que les décisions qui seront transmises
par la Cour de cassation et le Conseil d’Etat feront en principe l’objet d’une
pseudonymisation partielle avant leur transmission au ministère. Les noms et
prénoms des personnes physiques parties aux instances concernées seront ainsi
occultés avant cette transmission et ne pourront pas faire l’objet d’un
enregistrement dans le traitement. En
deuxième lieu, seules les données strictement nécessaires aux finalités
poursuivies par le traitement devront être collectées et traitées (date de
naissance, genre, lien de parenté et lieu de résidence). En
troisième lieu, des données relatives à des infractions et condamnations
pénales pourront être collectées. Pourra notamment être collectée la mention
des condamnations pénales, par exemple dans les affaires dans lesquelles le
Fonds de garantie des victimes des actes de terrorisme et d’autres infractions
(FGTI) exerce son recours subrogatoire contre le responsable des faits visés à
l’article 706-3 du code de procédure pénale après une décision pénale.