Délibération n° 2007-326 du 8 novembre 2007 portant avis sur un projet de décret en Conseil d'Etat modifiant la partie réglementaire du code de procédure pénale et relatif au fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAIS) et au casier judiciaire national automatisé

La Commission nationale de l'informatique et des libertés,
Saisie pour avis le 16 avril 2007 par le ministre de la justice d'un projet de décret en Conseil d'Etat modifiant la partie réglementaire du code de procédure pénale et relatif au fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAIS) et au casier judiciaire national automatisé ;
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de procédure pénale, et notamment ses articles 706-53-1 à 706-53-12 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés modifiée, et notamment son article 26 ;
Vu le décret n° 2005-627 du 30 mai 2005 relatif au fichier judiciaire national automatisé des auteurs d'infractions sexuelles et au casier judiciaire ;
Vu la délibération n° 2005-039 du 10 mars 2005 de la CNIL sur le projet de décret en Conseil d'Etat relatif aux modalités de fonctionnement du FIJAIS ;
Vu le projet de décret transmis par le ministre de la justice ;
Après avoir entendu M. François Giquel, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
Le ministère de la justice a, conformément à l'article 706-53-12 du code de procédure pénale, saisi pour avis la Commission d'un projet de décret en Conseil d'Etat, modifiant la partie réglementaire du code de procédure pénale et relatif au fichier judiciaire national automatisé des auteurs d'infractions sexuelles ou violentes (FIJAIS) et au casier judiciaire national automatisé.
La Commission s'est prononcée par délibération n° 2005-039 du 10 mars 2005 sur le projet de décret en Conseil d'Etat relatif aux modalités de fonctionnement de FIJAIS, fichier créé par la loi du 9 mars 2004, pour prévenir le renouvellement des infractions à caractère sexuel visées à l'article 706-47 du code de procédure pénale, faciliter l'identification des auteurs de ces mêmes infractions et les localiser rapidement à tout moment. Les personnes inscrites dans le FIJAIS ont l'obligation de justifier de leur adresse une fois par an et de déclarer leurs changements d'adresse dans les quinze jours. Les auteurs d'infractions les plus graves doivent, tous les mois, justifier en personne de leur adresse.
Le projet de décret dont est aujourd'hui saisie la Commission complète les dispositions du décret du 30 mai 2005 afin de tenir compte des dispositions de la loi du 9 mars 2004 portant adaptation de la justice aux évolutions de la criminalité, de la loi du 12 décembre 2005 relative au traitement de la récidive des infractions pénales et de la loi du 5 mars 2007 relative à la prévention de la délinquance.
Ce fichier, placé sous le contrôle du magistrat qui gère le casier judiciaire national, enregistre les informations relatives à l'identité et aux adresses des personnes concernées ainsi qu'à la décision ou la mesure justifiant l'inscription au FIJAIS (lieu et date de faits, nature de l'infraction justifiant les poursuites ou la condamnation, nature et date de la décision, peines ou mesures prononcées, juridiction les ayant prononcées). Il est à cet effet alimenté directement par les magistrats intervenant dans la procédure pénale ainsi que par les services de police ou les unités de gendarmerie pour ce qui concerne les justifications d'adresse ou les changements d'adresse dont ils ont eu connaissance.
Aux termes de la loi, le FIJAIS peut être directement interrogé par les autorités judiciaires, les officiers de police judiciaire, les préfets et les administrations de l'Etat.
Ainsi, l'article 3 du projet de décret a pour objet de fixer, conformément à l'article 706-53-12 du code de procédure pénale, la liste des administrations d'Etat autorisées, aux termes de la loi du 9 mars 2004 (art. 706-53-7 [3°]), à accéder directement au fichier « pour l'examen des demandes d'agrément concernant des activités ou professions impliquant un contact avec des mineurs ainsi que pour le contrôle de l'exercice de ces activités ou professions ». Cette consultation se fera à partir de la seule identité d'une personne et permettra non seulement de savoir si telle personne est connue du FIJAIS, mais aussi les motifs de la décision judiciaire et les circonstances de l'infraction.
Les administrations de l'Etat concernées sont les suivantes :
― la direction du ministère de l'éducation nationale, de l'enseignement supérieur et de la recherche chargée de la gestion des ressources humaines ;
― les rectorats et les inspections académiques ;
― les directions régionales de la protection judiciaire de la jeunesse ou, dans les départements d'outre mer :
― les directions départementales de la protection judiciaire de la jeunesse ;
― les directions régionales des services pénitentiaires ;
― les directions départementales des affaires sanitaires et sociales ;

― les directions départementales de la jeunesse et des sports ;
― les directions départementales du travail, de l'emploi et de la formation professionnelle.
La Commission estime que compte tenu du caractère extrêmement spécialisé de ce fichier, de l'extrême diversité des professions et activités concernées et de la gravité des conséquences qui peuvent résulter de sa consultation à des fins administratives, les modalités selon lesquelles il est prévu d'ouvrir le FIJAIS aux administrations doivent faire l'objet d'un encadrement particulièrement rigoureux.
La Commission considère en outre que la possibilité, reconnue par la loi, pour les administrations de l'Etat précitées, d'accéder directement au fichier, à la différence du casier judiciaire national, accroît sa sensibilité et rend indispensable l'adoption de mesures de confidentialité particulièrement strictes.
Sur le champ d'application de la consultation administrative du FIJAIS :
La Commission relève que l'article 706-53-7 (3°) du code de procédure pénale dispose que les préfets et les administrations de l'Etat ont directement accès au FIJAIS « pour l'examen des demandes d'agrément concernant des activités ou professions impliquant un contact avec des mineurs ainsi que pour le contrôle de l'exercice de ces activités ou professions ».
Or, le projet de décret ne précise pas les professions ou activités pouvant donner lieu à la consultation du FIJAIS, par les administrations concernées, pour l'examen de ces demandes d'agrément.
En outre, il ressort des informations fournies, à la demande de la Commission, par les différents ministères, que si tous les personnels cités par ces derniers exercent une profession ou une activité impliquant un contact avec des mineurs, une grande partie de ces professions ou activités ne relèvent pas d'une procédure d'agrément telle qu'elle est instituée par de nombreux textes spécifiques, de nature législative ou réglementaire, par exemple, dans le domaine de l'action sociale, pour encadrer et contrôler l'exercice de certaines activités ou professions.
Aussi, et afin de répondre à la finalité précise assignée par le législateur à cette consultation à des fins administratives, validée par le Conseil constitutionnel dans sa décision n° DC 2004-492 du 2 mars 2004, la Commission considère-t-elle nécessaire que le décret prévoie des dispositions d'application afin que soient énumérées les professions et activités concernées, en faisant référence aux textes applicables qui fondent la compétence de l'administration concernée en matière d'agrément, comme c'est le cas, par exemple, pour ceux qui autorisent la délivrance du bulletin n° 2 du casier judiciaire.
Sur les conséquences individuelles de la consultation administrative du FIJAIS :

Si la prévention du renouvellement des infractions sexuelles, qui est une des finalités assignées au FIJAIS par la loi, justifie une vigilance toute particulière des administrations à l'égard des personnes postulant ou exerçant des professions ou des activités en contact avec des mineurs et soumises à un agrément de l'Etat ou à son contrôle, la Commission observe que le projet de décret ne précise pas les conséquences individuelles, à l'égard de la situation professionnelle de ces personnes, d'une consultation du FIJAIS qui se révèlerait positive. La loi est d'ailleurs muette sur ce point.
Or, l'article 10 de la loi informatique et libertés du 6 janvier 1978 modifiée dispose qu'aucune décision produisant des effets juridiques à l'égard d'une personne ne peut être prise sur le seul fondement d'un traitement automatisé de données destiné à définir le profil de l'intéressé ou à évaluer certains aspects de sa personnalité.
La Commission estime en conséquence que le projet de décret devrait indiquer que des mesures d'application préciseront les modalités selon lesquelles le résultat d'une consultation du FIJAIS est pris en compte dans l'appréciation de la demande d'agrément ou du contrôle de l'exercice de l'activité professionnelle d'une personne et comment cette décision administrative s'articule avec les peines accessoires ou complémentaires d'interdiction d'exercer une profession ou une activité prononcées par une juridiction.
Sur les modalités d'accès au FIJAIS par les administrations :
La Commission relève d'abord qu'il n'a pu lui être indiqué avec précision le nombre de personnes susceptibles d'accéder au FIJAIS au titre de la consultation administrative, qui s'ajoutera aux 39 000 personnes d'ores et déjà autorisées à accéder au FIJAIS au titre des missions de police judiciaire.
En ce qui concerne les modalités d'habilitation, le projet de décret prévoit que peuvent directement interroger le fichier, par un système de télécommunications sécurisé, les responsables, ainsi que les chefs de services ou agents individuellement désignés et spécialement habilités par eux à cette fin, des administrations de l'Etat.
Le ministère de la justice, sous l'autorité duquel est placé le fichier, estime qu'il appartient aux administrations concernées de formaliser les procédures de désignation. Or, les informations fournies à la demande de la Commission montrent que les modalités de la délivrance des habilitations d'accéder au FIJAIS n'ont pas encore été toutes précisément définies.
La Commission estime en conséquence qu'il y a lieu pour chaque ministère concerné de lui communiquer les procédures d'habilitation qui auront été définies avant la mise en œuvre de l'accès au fichier.
Elle considère en outre que le projet de décret devrait être complété de façon à préciser quelles sont les personnes responsables au sein de chaque administration de la délivrance des habilitations d'accès au FIJAIS.
S'agissant des mesures prises pour assurer la sécurité des accès au FIJAIS par ces administrations, il appartient à la Commission de s'assurer que ce degré de sécurité sera au moins équivalent à celui qui est en place aujourd'hui ; qu'en tout état de cause les personnels habilités devront disposer d'un code et d'un mot de passe personnel distribués selon une procédure elle-même sécurisée.
La Commission prend acte que la consultation du FIJAIS devrait s'effectuer via le réseau sécurisé dénommé « AdER », qui permet une interconnexion entre les intranets des administrations sans passer par internet ou des réseaux ouverts et que la sécurité du transport des données sera assurée.
La Commission estime toutefois qu'une procédure d'évaluation de la sécurité, destinée à garantir qu'une demande d'accès au FIJAIS est sécurisée, devrait être établie et lui être communiquée.
Cette procédure devrait porter, notamment, sur la sécurité des postes de travail se connectant au fichier au sein des administrations de l'Etat, sur le point de savoir si l'interconnexion à AdER est directe entre le poste et AdER ou, au contraire, si les flux utilisent un réseau spécifique de l'administration sans passer par AdER et si l'administration concernée met en place des mesures techniques de sécurité particulières.
S'agissant de l'exploitation des traces des interrogations du FIJAIS, qui sont conservées pendant trois ans, la Commission rappelle qu'une exploitation régulière des interrogations du fichier est indispensable pour s'assurer du respect effectif de la confidentialité du fichier.
Enfin, compte tenu de l'élargissement considérable de l'accès direct au fichier, la Commission considère que les requêtes de consultation doivent comporter, de façon systématique, l'indication de la profession pour laquelle il est procédé à la consultation du fichier et la référence au texte qui fonde l'agrément, et que l'article R. 53-8-25 du code de procédure pénale, qui définit les procédures de journalisation, doit être expressément complété sur ce point.
Sur l'information des personnes :
Si les modalités d'exercice du droit d'accès (par ailleurs prévu à l'article 706-53-9 du code de procédure pénale) sont précisées sur le document notifiant à l'intéressé son obligation de justifier de l'adresse de son domicile, il doit cependant être relevé que cette notification ne comporte aucune des autres mentions prévues par l'article 32 de la loi informatique et libertés. En particulier, elle n'indique pas les administrations destinataires des données.
Sans méconnaître les dispositions de l'article 32-VI de la loi du 6 janvier 1978 modifiée qui prévoit une dérogation à l'obligation générale d'information des personnes s'agissant des traitements de données ayant pour objet la prévention, la constatation ou la poursuite d'infractions pénales, la Commission estime que dans la mesure où les personnes concernées par le FIJAIS sont informées de leur inscription dans le FIJAIS, puisque c'est la notification de cette inscription qui fonde leur obligation de justifier régulièrement leur adresse, aucun motif ne semble de nature à faire obstacle à ce qu'elles soient averties individuellement que leurs données sont consultables par des administrations, ce qui au demeurant ne peut que concourir à l'effet dissuasif recherché.
En conséquence, la Commission demande que les personnes concernées par le FIJAIS puissent être informées des destinataires des données.
Elle estime nécessaire aussi, à l'instar de la procédure suivie, par exemple, pour les décisions de refus d'embauche faisant suite à une consultation du système de traitement des infractions constatées (STIC), que les décisions de refus d'agrément prises à la suite d'une consultation du FIJAIS, lorsqu'elles sont notifiées, comportent également une information sur le fait que ce fichier a été consulté.
Sur les autres modifications :
Les autres modifications dont est saisie la Commission ont tout d'abord pour objet d'étendre le fichier aux auteurs de certains crimes de meurtre, d'assassinat ou de tortures. Les infractions visées par l'article 706-47 du code de procédure pénale ne sont plus seulement des infractions commises à l'encontre de mineurs et ne sont plus uniquement des infractions de nature sexuelle. Elles concernent aussi désormais certains crimes commis à l'encontre de majeurs dès lors que leur auteur est en état de récidive légale.
Sur ce point, l'article 2 du projet de décret soumis à l'avis de la Commission a pour seul objet de compléter la partie réglementaire du code de procédure pénale (deuxième partie : Décrets en Conseil d'Etat) par les mots : « ou violentes ».
L'article 4 du projet de décret a pour objet de tenir compte des dispositions de la loi du 5 mars 2007 relative à la prévention de la délinquance, qui institue une obligation de présentation mensuelle, et non semestrielle ou annuelle, à l'égard des condamnés les plus dangereux, et notamment les récidivistes, et prend en compte la modification opérée à l'article 706-53-5 par la loi du 12 décembre 2005, qui permet que le condamné exécute son obligation de présentation auprès du commissariat ou de l'unité de gendarmerie de son domicile.
L'article 5 du projet de décret modifie par coordination l'article R. 70 relatif au casier judiciaire pour tenir compte des nouvelles dispositions des articles 769, 798 et 798-1 issues de la loi du 5 mars 2007 relative à la prévention de la délinquance, en prévoyant le maintien au bulletin n° 1 du casier judiciaire des condamnations réhabilitées, sauf décision expresse de la juridiction ordonnant leur effacement.
Ces modifications n'appellent pas d'observations au regard de la loi du 6 janvier 1978 modifiée.
Fait à Paris, le 8 novembre 2007.

Le président,


A. Türk