Le Décret n° 2024-928 du 11 octobre 2024
Le Décret n° 2024-928 du 11 octobre 2024 a mis en place un traitement automatisé de données à caractère personnel dénommé « Logiciel de rédaction spécialisé du judiciaire » (LRSDJ).
1. Le logiciel de rédaction spécialisé du judiciaire (LRSDJ) est mis en œuvre à des fins de transmission de procédures non classifiées ni spécialisées à l’autorité judiciaire, en vue de l’enquête et de la poursuite d’infractions visées au code pénal. Ses finalités sont précises et légitimes et relèvent du régime du titre III de la loi « informatique et libertés » (directive « police-justice »).
2. Le LRSDJ enregistre des données sensibles, à l’exception des données génétiques et biométriques. La CNIL recommande de ne permettre aucune recherche à partir des données sensibles contenues dans le LRSDJ et notamment dans les champs libres, afin d’éviter tout détournement de finalités.
3. Le décret prévoit une durée de conservation de cinq ans. Cette durée est proportionnée à la spécificité du champ infractionnel concerné et à la nécessité de suivi des procédures.
Le décret autorise le ministre de l’intérieur à mettre en œuvre un traitement dénommé « Logiciel de rédaction spécialisé du judiciaire » (LRSDJ) qui a pour finalité de faciliter et permettre d’assurer la clarté et l’homogénéité de la rédaction des procédures judiciaires que les agents de la direction générale de la sécurité intérieure ont en charge de conduire dans l’exercice de leurs missions de police judiciaire et de permettre la collecte des informations nécessaires à la conduite de ces procédures en vue de leur transmission aux autorités judiciaires chargées de les exploiter.
Le décret définit également la nature et la durée de conservation des données enregistrées ainsi que des catégories de personnes y ayant accès ou en étant destinataires. Il précise également les modalités de traçabilité des opérations et d’exercice des droits des personnes concernées.
Périmètre du Logiciel de rédaction spécialisé du judiciaire
Le « Logiciel de rédaction spécialisé du judiciaire » (ci-après « LRSDJ ») est un outil d’aide à la rédaction des procédures par les agents chargés de missions de police judiciaire au sein de la Direction générale de la sécurité intérieure (DGSI). Il permet aux enquêteurs de renseigner toutes les informations nécessaires pour générer les procès-verbaux des actes judiciaires qu’ils sont habilités à réaliser dans le cadre de leurs attributions (par exemple, procès-verbal de placement en garde à vue, de perquisition, de réquisition).
Le traitement permet de réduire les risques d’erreurs inhérents à la gestion de certaines procédures complexes et contraignantes (par exemple, les mesures privatives de liberté), ainsi que d’homogénéiser la forme des procès-verbaux. Compte tenu du besoin de confidentialité et de la sensibilité particulière attachée aux procédures judiciaires qu’elle met en œuvre (terrorisme, atteintes aux intérêts fondamentaux de la Nation), la DGSI a développé son propre outil. Le nombre de procédures annuelles ainsi rédigées est estimé à deux cents.
L’Avis de la CNIL
En amont, le ministère de l’intérieur a saisi la Commission nationale de l’informatique et des libertés (ci-après « la CNIL »), sur le fondement de l’article 31 de la loi du 6 janvier 1978 modifiée (ci-après loi « informatique et libertés »), du projet de décret portant autorisation du traitement LRSDJ.
Le projet de décret reprend la structure des actes d’autorisation des précédents logiciels de rédaction de procédure et prévoit notamment :
– la liste des catégories de données à caractère personnel et informations pouvant être enregistrées dans le traitement et notamment de données sensibles ;
– la durée de conservation de cinq ans des données à caractère personnel et informations collectées dans le traitement à compter de la date de transmission de la procédure à l’autorité judiciaire.
Le régime juridique applicable et les finalités du traitement
Le traitement LRSDJ a pour finalités de :
– faciliter et assurer la clarté et l’homogénéité de la rédaction, par les agents de la DGSI chargés de missions de police judiciaire, des actes de procédure dans le cadre des procédures judiciaires qui leur sont confiées ;
– permettre la collecte des informations issues de ces procédures, en vue de leur transmission aux autorités judiciaires chargées de les exploiter.
Il ressort de l’analyse d’impact relative à la protection des données (AIPD) que les procédures rédigées par le service judiciaire de la DGSI ont un champ infractionnel restreint. Elles portent sur des faits susceptibles d’être qualifiés de délits ou de crimes au titre des dispositions suivantes du code pénal (CP) :
– les infractions portant atteinte aux intérêts fondamentaux de la Nation visées au titre II du livre IV du CP (trahison, sabotage, espionnage et enquêtes cyber) ;
– les infractions relatives au terrorisme visées au titre III du même livre du CP ;
– les infractions relatives aux atteintes aux systèmes de traitement automatisés des données visées aux articles 323-1 à 323-8 du CP ;
– l’ensemble des infractions de droit commun du CP lorsque les personnes mises en cause sont des agents de la direction.
Le ministère précise que le traitement LRSDJ se limite aux procédures déclenchées sur saisine exclusive de l’autorité judiciaire. Il n’a pas vocation à être utilisé dans le cadre de la rédaction des procédures administratives ou d’enquêtes de renseignement. En outre, cet outil opérationnel ne permet pas l’archivage des procès-verbaux. Il constitue seulement une aide à la rédaction des procès-verbaux des actes d’enquêtes, notamment pour les actes les plus coercitifs, au formalisme exigeant.
Il résulte de ce qui précède que le LRSDJ, en ce qu’il permet exclusivement la rédaction de procédures non classifiées et spécialisées, poursuit des objectifs opérationnels aux contours délimités. La CNIL estime que les finalités sont précises et légitimes.
Le traitement LRSDJ est mis en œuvre à des fins de transmission des procédures aux magistrats de l’ordre judiciaire, en vue de l’enquête et de la poursuite d’infractions visées au code pénal. Dès lors, les finalités poursuivies relèvent du régime du titre III de la loi « informatique et libertés » (directive « police-justice »).
Les catégories de données traitées
1. Sur le suivi d’activité
La mise en œuvre du traitement LRSDJ permet également le suivi de l’activité du service judiciaire de la DGSI. Il peut être requêté aux fins de déterminer le nombre de gardes à vue ou d’auditions réalisées au cours d’une période de référence, la durée des gardes à vue, ainsi que la répartition géographique par entité de la DGSI.
Il ressort de l’AIPD que cet outil de suivi de gestion statistique :
– ne contient aucune donnée à caractère personnel ;
– et ne peut pas être utilisé pour prendre des décisions à l’égard des personnes faisant l’objet de ces procédures.
La CNIL prend acte de ce que le suivi d’activité du service ne peut être réalisé que sur la base de données agrégées ne permettant pas la réidentification les personnes concernées.
2. Concernant la domiciliation à la DGSI et la distinction entre les données des différentes catégories de personnes
L’annexe au projet de décret liste les données à caractère personnel pouvant être enregistrées dans le traitement selon la distinction entre les différentes catégories de personnes (victimes, mis en cause, témoins ou plaignants et personnes morales).
Concernant les personnes victimes, mises en cause, témoins ou plaignants, l’annexe prévoit, dans certaines hypothèses, la collecte de « la domiciliation à la direction générale de la sécurité intérieure sur autorisation du procureur de la République ou du juge d’instruction dans les conditions prévues par l’article 706-57 du code de procédure pénale ».
Le ministère a précisé que cette information concerne le dispositif d’anonymisation que peut demander un témoin ou une victime susceptibles d’apporter des éléments de preuve intéressant la procédure. Il ne s’applique qu’aux personnes à l’encontre desquelles il n’existe aucune raison plausible de soupçonner qu’elles ont commis ou tenté de commettre une infraction.
La CNIL prend acte de ce qu’une distinction des données susceptibles d’être collectées selon le statut de la personne concernée sera opérée. Elle relève que la référence à l’article 706-57 du CPP permet de clarifier la notion de domiciliation à la DGSI. Le périmètre de cette collecte, limité aux victimes et aux témoins, est ainsi délimité conformément à l’article 98 de la loi « informatique et libertés ».
La collecte de données sensibles
Le traitement LRSDJ peut enregistrer des données sensibles, à l’exception des données génétiques et biométriques.
La CNIL rappelle que conformément à l’article 88 de la loi « informatique et libertés », le traitement de telles données n’est possible qu’en cas de « nécessité absolue, sous réserve des garanties appropriées pour les droits et libertés de la personne concernée ».
Le ministère a indiqué que le recours à des champs formatés ou à des menus déroulants sera privilégié. La présence de champs libres demeure toutefois, dans certains cas, nécessaire en raison de l’impossibilité de prévoir les informations recherchées au cas d’espèce dans le cadre des investigations judiciaires.
Concernant les champs libres, la CNIL invite le ministère à prendre des mesures pour s’assurer que seules les données pertinentes et nécessaires au regard des finalités seront collectées (par exemple, formation des agents avec point de sensibilisation spécifique, contrôle hiérarchique, information spécifique relative à la manière de renseigner ces champs, doctrine d’emploi).
Elle prend acte de la garantie selon laquelle aucune requête permettant d’interroger les données figurant dans ces champs libres n’est possible. Néanmoins, la CNIL recommande plus largement de ne permettre aucune recherche à partir des données sensibles contenues dans le LRSDJ afin d’éviter tout détournement de finalités.
L’annexe au projet de décret prévoit notamment la collecte par champs libres des informations relatives aux « éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure judiciaire ». C’est une catégorie susceptible de recouvrir une grande variété de données à caractère personnel. Elles sont issues des auditions des personnes concernées, des constatations sur les lieux d’infraction et faisant suite aux diverses investigations des enquêteurs.
La collecte de cette catégorie de données est légitime malgré sa formulation imprécise. En effet, la CNIL rappelle qu’elle est consciente de la difficulté particulière qui s’attache à l’énumération de tous les types de données à caractère personnel pouvant être traitées dans le cadre d’un logiciel devant permettre la rédaction d’actes relatifs aux faits les plus divers, en lien avec l’ensemble des procédures auxquelles participe le service judiciaire de la DGSI (CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié).
S’agissant de la catégorie de données relative au « signalement et, le cas échéant, mode opératoire, signes physiques particuliers et objectifs », un menu déroulant est déployé comme cela est décrit dans l’AIPD. La collecte de photographies est également prévue par l’annexe au projet de décret concernant :
– la personne mise en cause : elle permet d’alimenter la procédure afin de renseigner sur les caractéristiques physiques et les signes particuliers de la personne. Les photographies peuvent également se révéler nécessaires dans le cadre d’infractions d’atteintes aux personnes (violences) ou aux biens (par exemple pour le procès-verbal de perquisition) ;
– ou pour la personne victime : la collecte est limitée aux seules hypothèses d’atteintes aux personnes (par exemple, en cas de violences volontaires, des photographies de la victime peuvent constituer un élément de preuve).
La CNIL prend acte de ce qu’aucun dispositif de reconnaissance faciale n’est appliqué dans l’outil.
Les durées de conservation des données
Les données à caractère personnel et les informations enregistrées dans le traitement sont conservées cinq ans à compter de la date de transmission de la procédure à l’autorité judiciaire (clôture initiale).
Le ministère indique que la majorité des procédures traitées par le service sont des procédures criminelles avec instruction préparatoire obligatoire aux délais échelonnés, notamment pour les infractions de terrorisme. Il justifie ainsi cette durée de conservation par la nécessité de :
– reprendre l’enquête en cas de faits nouveaux découverts par les enquêteurs ;
– ou procéder à des investigations complémentaires commandées par l’autorité judiciaire.
Au regard du nombre d’accédants (200) et d’enquêtes annuelles ouvertes dans le service judiciaire de la DGSI, le ministère estime qu’un système d’archivage intermédiaire n’est pas nécessaire. Les droits d’accès sont distribués par les chefs hiérarchiques en fonction de l’attribution des enquêtes.
Cette durée de cinq ans est proportionnée à la spécificité du champ infractionnel concerné par les procédures traitées par le service judiciaire de la DGSI et à la nécessité de leur suivi.
La CNIL prend acte de ce qu’un dispositif d’effacement automatique à échéance quotidienne des données à caractère personnel sera mis en œuvre à l’expiration des durées réglementaires prévues. Ce dispositif sera effectif dès la publication du décret et doit garantir le respect des durées de conservation.
Les rapprochements avec d’autres traitements
Pour les besoins d’investigation, les enquêteurs peuvent être amenés à effectuer des rapprochements manuels avec d’autres traitements. Des consultations ou des comparaisons peuvent être effectuées (sur un ou plusieurs traitements, y compris ceux relevant d’administrations tierces voire d’entreprises privées). Dans ce cadre, seuls les éléments utiles à l’enquête ou à la régularité de la procédure sont intégrés manuellement dans LRSDJ.
Dès lors, le traitement LRSDJ :
– ne fait pas l’objet d’une alimentation automatisée par d’autres fichiers (en dehors des codes numériques issus de la nomenclature des natures d’infractions (NATINF) par injection manuelle) ;
– et n’alimente de manière automatique aucun autre fichier.
Au regard de la diversité des enquêtes judiciaires et des besoins d’investigation, le ministère indique qu’il est difficile de déterminer de manière exhaustive la liste des traitements qui pourront être consultés par les enquêteurs. Seuls les fichiers susceptibles d’être le plus fréquemment consultés, au regard notamment de la nature des infractions traitées par le service judiciaire de la DGSI, sont listés dans l’AIPD.
La CNIL rappelle que l’AIPD devra lister de manière aussi exhaustive que possible les mises en relation, telles qu’elles sont connues et envisagées à la date de rédaction de l’analyse, en précisant leurs conditions de mise en œuvre (finalités, nature des données transmises, nécessité, conditions de transmission, sécurité des opérations, etc.). Ces rapprochements ne pourront être réalisés que si de telles opérations sont conformes au regard des finalités de ces traitements et seulement par les agents habilités à les consulter. Elle appelle tout particulièrement l’attention du ministère sur la nécessité de vérifier que l’ensemble des mises en relation qu’il envisage est conforme aux dispositions réglementaires régissant les autres traitements, et plus largement, celles en matière de protection des données à caractère personnel. Elle estime qu’à défaut, il ne pourra être procédé à certaines des mises en relation indiquées dans l’AIPD, sauf à modifier préalablement les actes réglementaires en cause (CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié).
A cet égard, elle relève que l’article 7 du projet de décret modifie l’article R. 53-19 du CPP afin de permettre une mise en relation entre le traitement LRSDJ et le fichier national automatisé des empreintes génétiques (ci-après « FNAEG »).
L’information des personnes
L’article 6 du projet de décret prévoit que, conformément à l’article 111 de la loi « informatique et libertés », pour les personnes dont les données figurent soit dans une décision judiciaire, soit dans un dossier judiciaire faisant l’objet d’un traitement lors d’une procédure pénale, l’accès aux données et les conditions de leur rectification ou de leur effacement sont régis par les dispositions du code de procédure pénale.
Une information générale des personnes concernées est prévue et sera publiée sur le site web interieur.gouv.fr ou celui de la DGSI.
Par ailleurs, la CNIL prend acte de ce que pour les agents de la DGSI, dont les numéros d’anonymisation figurent dans le traitement, un bandeau d’information est mis en œuvre directement dans l’application LRSDJ. Celui-ci délivre les informations relatives au traitement de leurs données et précise les modalités d’exercice de leurs droits.
Les mesures de sécurité
Sur les mesures de chiffrement, la CNIL considère que la nature des données traitées exige que celles-ci fassent l’objet de mesures de chiffrement à l’état de l’art, tant des flux que des données stockées, et ce durant tout le cycle de vie de la donnée. Elle prend acte de ce que la mise en œuvre d’une solution de chiffrement d’une zone intra-cloud est actuellement en cours d’étude de faisabilité.
Sur les mesures de contrôle d’accès, elle prend acte de ce que le LRSDJ est accessible soit via le Réseau interministériel de l’Etat soit via un VPN et que cet accès est, dans tous les cas, soumis à l’utilisation d’une carte agent, combinée avec un code PIN individuel.
Sur les mesures de journalisation des accès, une solution d’extraction et de transfert des logs aux services d’inspections internes de la DGSI est en cours de construction. À terme, il est prévu une mise à disposition de l’ensemble des opérations effectuées, telles que la consultation, la modification, la suppression de pièces de procédures et la génération de procès-verbaux. Si elle ne remet pas en cause cette possibilité, la CNIL rappelle toutefois l’utilité de prévoir des mesures d’analyse automatique des données de traçabilité afin de garantir la détection rapide d’éventuels détournements du traitement. Enfin, elle relève que le ministère a fixé la durée de conservation des données de journalisation à trois ans. Cette durée est justifiée par la nécessité de vérifier la légalité de l’utilisation du fichier, dans le cadre d’enquêtes disciplinaires ou judiciaires, ou dans le cadre des procédures de contrôle interne.
La CNIL prend acte de ce qu’une autorisation provisoire d’emploi, assortie d’un plan d’actions en vue de l’homologation, a été accordée jusqu’en juillet 2024 par l’autorité qualifiée en sécurité des systèmes d’information du ministère. Elle recommande au ministère de déployer les efforts nécessaires à la mise en œuvre du plan d’action permettant de réunir les conditions nécessaires pour une homologation.
Elle rappelle enfin que les exigences de sécurité prévues à l’article 99 de la loi « informatique et libertés » nécessitent la mise à jour régulière de l’AIPD et de ses mesures de sécurité au regard de la réévaluation régulière des risques.
