Délibération n° 2023-069 du 6 juillet 2023 portant avis sur un projet de décret modifiant le décret n° 2010-569 du 28 mai 2010 relatif au fichier des personnes recherchées

Date de l'avis : 6 juillet 2023
N° de la délibération : 2023-069
N° de demande d'avis : 23003599
Texte concerné : projet de décret modifiant le décret n° 2010-569 du 28 mai 2010 relatif au fichier des personnes recherchées
Thématiques : police administrative, police judiciaire, personnes recherchées, signalements, système d'information Schengen
Fondement de la saisine : article 31 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés
L'essentiel :
1. Le projet de décret modifie plusieurs caractéristiques essentielles du fichier des personnes recherchées (FPR) et met à jour les modalités d'exercice des droits.
2. La Commission nationale de l'informatique et des libertés (CNIL) accueille favorablement l'évolution des dispositions du décret à des fins de mise en conformité avec la réglementation relative à la protection des données. Elle observe également que certaines évolutions du fichier sont justifiées par :



- la création de nouvelles mesures de police administrative par le législateur ; et
- l'évolution des dispositions encadrant le système d'information Schengen.



3. A ce titre, la CNIL souligne les efforts faits pour concevoir une architecture qui permette de ne pas dupliquer les empreintes digitales du fichier des empreintes digitales (FAED), qui constituent des données biométriques, dans le FPR.
4. Néanmoins, elle estime en particulier que :



- la détermination du régime juridique applicable à chaque catégorie de fiche enregistrée dans le FPR devra être effectuée plus finement ;
- les dispositions sur les destinataires devraient être précisées ;
- le respect des durées de conservation, notamment en cas d'effacement anticipé des données, devra faire l'objet d'une vigilance particulière.



La Commission nationale de l'informatique et des libertés,
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Après avoir entendu le rapport de Mme Sophie LAMBREMON, commissaire, et les observations de M. Damien MILIC, commissaire du Gouvernement adjoint,
Adopte la délibération suivante :



I. - La saisine
A. - Le contexte



Le fichier des personnes recherchées (FPR) a pour finalité de faciliter les recherches, les surveillances et les contrôles effectués par les services de la police nationale, les unités de la gendarmerie nationale et les agents des douanes exerçant des missions de police judiciaire ou des missions administratives, ainsi que par les agents de la cellule de renseignement financier nationale Tracfin.
L'inscription au FPR intervient pour des motifs judiciaires (exécution de mandats d'arrêt, de condamnations, d'un contrôle judiciaire, etc.) et administratifs (application de réglementations spécifiques de police administrative comme, par exemple, les mesures d'expulsion ou la prévention de menaces contre la sécurité publique ou la sûreté de l'Etat).
Le FPR est divisé en sous-fichiers regroupant les personnes recherchées en fonction du fondement juridique de la recherche. Il comprend ainsi plusieurs catégories de fiches comme, par exemple :



- la catégorie « S » relative à la sûreté de l'Etat ;
- la catégorie « J » relative aux recherches de justice (mandat d'arrêt, par ex.) ;
- la catégorie « E » relative aux recherches de police générale des étrangers (obligations de quitter le territoire ou expulsions, par ex.) ;
- la catégorie « G » relative aux mesures administratives concernant les permis de conduire.



Les données pouvant être enregistrées dans chaque fiche sont l'état-civil de la personne recherchée, son signalement et sa photographie, le motif de la recherche et la conduite à tenir si la personne est retrouvée. Cette conduite à tenir donne des instructions précises qui conditionnent l'action des services de police sur le terrain ou l'action administrative dans le cadre de la délivrance de certains documents.
Certaines fiches du FPR alimentent le traitement européen « système d'information Schengen » (SIS). Ce traitement vise à assurer un niveau de sécurité élevé au sein des États membres en permettant aux autorités nationales de saisir et de consulter des signalements concernant des personnes ou des objets.
Le FPR a fait l'objet de plusieurs extensions depuis sa création. Ces modifications ont conduit à une augmentation du volume du fichier et à une diversification des motifs d'inscription et des hypothèses de consultation. Ainsi, une vigilance particulière s'impose à l'égard de toute modification du traitement soumise pour avis à la CNIL.



B. - L'objet de la saisine



Le ministère de l'intérieur a saisi la CNIL d'un projet de décret modifiant le décret encadrant le FPR en vue, notamment :



- de mettre en conformité le traitement avec la réglementation relative à la protection des données à caractère personnel ;
- d'ajouter de nouveaux motifs d'inscription ;
- de permettre l'enregistrement de nouvelles catégories de données à caractère personnel ;
- d'allonger les durées de conservation des données ;
- d'étendre la liste des accédants aux données du traitement.



II. - L'avis de la CNIL
A. - Sur le régime juridique du FPR



Au regard des finalités qu'il poursuit, le FPR relève de différents régimes juridiques.
Le ministère estime que le traitement est mis en œuvre à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales (titre III de la loi n° 78-17 du 6 janvier 1978 modifiée, dite loi « informatique et libertés »), sauf pour ce qui concerne :



- les recherches pour prévenir des menaces graves pour la sécurité publique ou la sûreté de l'Etat et les mesures individuelles de contrôle administratif et de surveillance (ou « MICAS »). Elles sont régies par les dispositions du titre IV de la loi informatique et libertés ;
- certaines procédures intéressant les étrangers (par exemple : expulsion - arrêté notifié ; interdiction administrative du territoire - décision notifiée ; interdiction de circuler sur le territoire national - arrêté notifié ; reconduite à la frontière - arrêté notifié ou à notifier) et d'autres mesures administratives (concernant les débiteurs envers le trésor public, par exemple). Celles-ci relèvent du règlement général sur la protection des données (RGPD).



Au-delà des exemples cités par le ministère, la CNIL estime que d'autres fiches concernent des mesures administratives qui n'entrent pas dans le périmètre du titre III de la loi « informatique et libertés » et qui pourraient donc relever du RGPD. Il s'agit notamment :



- de certaines mesures concernant les ressortissants étrangers (obligation de quitter le territoire, recherche d'un demandeur de protection internationale devant être transféré vers l'Etat membre responsable de sa demande et considéré comme en fuite) ;
- des mesures administratives concernant le permis de conduire.



La CNIL estime que l'analyse du ministère devrait être complétée afin de déterminer précisément le régime juridique de chaque fiche, ce qui contribuerait à créer un cadre transparent et protecteur pour les personnes. Il y a également lieu de prendre en compte les difficultés pratiques de cette multiplicité de régimes pour assurer que l'exercice des droits puisse être compréhensible et accessible pour les personnes.



B. - Sur les données enregistrées dans le FPR et les personnes concernées



a) Les nouveaux motifs d'inscription :
i. L'inscription de demandeurs d'asile :
Le projet de décret autorise l'inscription au FPR des étrangers demandeurs d'une protection internationale (ci-après, « demandeurs d'asile ») :



- dont la demande a été transférée à un autre Etat membre, et,
- pour lesquels le délai de transfert vers cet Etat a été prolongé « à dix-huit mois au maximum si la personne concernée prend la fuite » (art. 29.2 du règlement (UE) n° 604/2013 du 26 juin 2013 établissant les critères et mécanismes de détermination de l'Etat membre responsable d'une demande de protection internationale, dit règlement « Dublin »).



Le ministère précise qu'un individu est considéré comme étant en fuite dès lors que, de manière intentionnelle et systématique, il ne s'est pas présenté aux convocations adressées par l'administration en vue d'exécuter son transfert. Une inscription de ces personnes viserait à faciliter leur appréhension sous un délai de dix-huit mois, au cours duquel le transfert doit être effectué et au-delà duquel la France devient responsable de la demande de protection.
La CNIL ne remet pas en cause ce nouveau motif d'inscription mais estime que, eu égard à la nécessité de protéger particulièrement les données des demandeurs d'asile, certaines précautions devraient être prises. Il conviendrait ainsi :



- de limiter le traitement de données aux seules informations nécessaires pour appréhender la personne (données d'état civil, notamment) ;
- de mettre en place des mesures techniques pour garantir l'effacement sans délai des données lorsque la personne est retrouvée et, à défaut, à la date d'extinction du délai de transfert.



ii. L'inscription de « personnes recherchées inconnues » :
L'article 40 du règlement 2018/1862 (SIS « police ») prévoit que les Etats membres peuvent introduire dans le SIS des signalements concernant des personnes recherchées inconnues ne contenant que des données dactyloscopiques. Ces données doivent être collectées dans les conditions suivantes :



- elles doivent avoir été découvertes sur les lieux d'infractions terroristes ou d'autres infractions graves faisant l'objet d'une enquête ;
- il doit y avoir un degré très élevé de probabilité qu'elles appartiennent à l'auteur de l'infraction.



Pour permettre la transmission au SIS de tels signalements, le projet de décret autorise l'inscription au FPR de « personnes recherchées inconnues » dans le cadre d'une enquête préliminaire, d'une enquête de flagrance ou d'une commission rogatoire.
Les fiches relatives à ces personnes ne contiendront qu'un « numéro d'identification de trace » renvoyant à la donnée dactyloscopique contenue dans le fichier automatisé des empreintes digitales (FAED). Le ministère précise que :



- le numéro d'identification, généré par le FAED, sera transmis au FPR pour être inscrit dans la fiche correspondant à la personne recherchée inconnue ;
- la fiche créée dans le FPR sera ensuite transmise au SIS ;
- le SIS interrogera enfin le FAED pour obtenir la donnée dactyloscopique correspondante et compléter le signalement au niveau européen.



La CNIL souligne que l'architecture ainsi retenue permet de ne pas dupliquer, au sein du FPR, des données dactyloscopiques issues du FAED. La CNIL accueille favorablement l'architecture retenue qui est conforme à sa doctrine. En effet, dès lors que ces données constituent des données biométriques, qui permettent l'identification d'une personne de façon unique et non révocable, la constitution de bases centralisées de telles données présente par nature des risques élevés pour les personnes en cas de compromission. Il est donc préférable, chaque fois que cela est possible, de ne pas multiplier les bases de données biométriques.
Le dispositif projeté implique le traitement d'un identifiant correspondant à la donnée biométrique inscrite dans le FAED. Cet identifiant constitue donc une donnée à caractère personnel qui doit figurer parmi la liste des données prévue par le décret. La donnée biométrique du FAED sera en revanche copiée dans un autre fichier, le SIS. Le dispositif mis en place permet ainsi, notamment, l'inscription de personnes inconnues mais identifiées comme des individus dont les données biométriques sont susceptibles de correspondre à celles de l'auteur de l'infraction.
La CNIL rappelle que :



- l'inscription au SIS pour ce nouveau motif doit être subsidiaire : elle ne doit intervenir que si le recours à d'autres moyens existants (tels qu'une recherche dans le système automatisé d'identification par empreintes digitales des autres Etats membres prévu par la décision 2008/615/JAI ou « Prüm ») n'a pas permis d'identifier l'auteur d'une infraction grave ;
- des critères objectifs, permettant de retenir les seules données dactyloscopiques pour lesquelles il existe un « degré très élevé de probabilité qu'elles appartiennent à un auteur de l'infraction » (article 40 du règlement 2018/1862), devraient être fixés et diffusés aux agents concernés ;
- la liste des infractions correspondant dans le droit français à la décision cadre de l'UE n° 2002/584/JAI du 13 juin 2002 devra être préalablement clarifiée ; le ministère a confirmé que des travaux étaient en cours pour diffuser cette liste.



b) Les nouvelles catégories de données :
i. Nécessité de l'extension de la liste des données :
Le projet de décret étend de manière significative la liste des données pouvant être enregistrées dans le FPR. Il ajoute plus d'une dizaine de catégories de données aux cinq catégories actuellement prévues par le décret. Sont par exemple ajoutées, en fonction des finalités de chaque type de fiche, des données relatives aux titulaires de l'autorité parentale, aux objets présentant un lien direct avec la personne inscrite au FPR, aux titres d'identité et de voyage et au permis de conduire de cette personne, et aux victimes d'usurpation d'identité.
Le ministère précise que cette extension vise à tenir compte des exigences découlant de l'évolution du système d'information Schengen.
ii. Pertinence de certaines catégories de données :
En premier lieu, le projet de décret autorise l'enregistrement de « l'évaluation de la dangerosité ou de la vulnérabilité de la personne » au regard d'une série de critères (par exemple : personne « armée », « violente », « s'est enfuie ou échappée », « présente un risque de suicide »). Ces critères sont repris de l'article 20.3.j du règlement 2018/1862.
Or l'appréciation de la dangerosité ou de la vulnérabilité d'une personne pourra, dans certains cas, impliquer une part de subjectivité. En outre, le traitement de ces informations implique l'enregistrement de données susceptible d'avoir un impact sur les droits et libertés des personnes concernées.
La CNIL prend acte de ce que la liste de six critères à partir desquels une personne peut être inscrite au titre de personne « dangereuse » ou « vulnérable » est limitative.
Par ailleurs, elle souligne que des mesures devront être mises en place pour limiter le traitement de ces données aux seuls cas nécessaires pour atteindre l'objectif d'un signalement (formation des agents avec point de sensibilisation spécifique, contrôle hiérarchique, etc.).
En second lieu, le projet de décret autorise l'enregistrement de données relatives aux victimes d'usurpation d'identité. En effet, l'article 62 du règlement 2018/2862 prévoit que, « lorsqu'il est possible de confondre la personne visée par un signalement et une personne dont l'identité a été usurpée, l'État membre signalant ajoute dans le signalement, avec le consentement explicite de la personne dont l'identité a été usurpée, des données concernant cette dernière afin d'éviter les conséquences négatives résultant d'une erreur d'identification ».
La CNIL rappelle que des mesures devront être mises en place pour, conformément aux dispositions du règlement précité, assurer le consentement de la personne à l'enregistrement de ses données dans le SIS, « pour chaque catégorie de données », ainsi que l'information de cette dernière quant à la possibilité de retirer son consentement.
c) Les durées de conservation des données :
Les données enregistrées dans le traitement sont « effacées sans délai en cas d'aboutissement de la recherche ou d'extinction du motif de l'inscription ».
En dehors de ces hypothèses, le ministère a fixé des durées de conservation par défaut pour les différentes catégories de fiches. Ces durées de conservation maximales ont été portées à la connaissance de la CNIL.
Il apparaît à cet égard que certaines durées, et notamment celles relatives aux décisions administratives concernant les étrangers, peuvent atteindre quarante ans.
La CNIL souligne qu'une telle durée doit être limitée aux mesures administratives qui sont prises sans limitation de durée (arrêtés d'expulsion non exécutés, ou encore interdictions administratives du territoire).
Pour ce qui concerne, par exemple, les arrêtés d'expulsion, il est néanmoins possible que la personne qui en fait l'objet soit assignée à résidence, ou que l'arrêté d'expulsion soit annulé par le juge administratif ou abrogé après réexamen par l'administration. De même, les interdictions administratives du territoire sont assorties d'une obligation de réexamen quinquennal et de la possibilité pour la personne concernée de demander le retrait de l'interdiction.
Dès lors, il est essentiel d'assurer la mise à jour des données relatives à ces mesures et de garantir qu'elles seront effacées sans délai du fichier dans toutes les hypothèses où ces mesures sans limitation de durée sont abrogées. La CNIL souligne que ces mises à jour sont en pratique particulièrement difficiles à réaliser pour les services concernés lorsqu'elles ne reposent pas sur des mécanismes automatisés. Or le fait d'être maintenu dans le fichier des personnes recherchées après abrogation de la mesure peut causer un préjudice très important aux personnes. Il est donc indispensable que des procédures précises soient mises en place pour que, en application du décret, les personnes chargées de la mise à jour du FPR soient informées de toute abrogation d'une mesure administrative concernant les étrangers.



C. - Sur l'accès aux données du FPR



a) Le cadre de consultation du traitement :
L'article 1er du décret définit les finalités et le cadre de consultation du FPR.
Le ministère précise que cette disposition doit être interprétée comme permettant de consulter le FPR dans le cadre de toute mission de police administrative ou judiciaire. Par ailleurs, s'agissant des enquêtes administratives, la disposition énumère de façon limitative les enquêtes dans le cadre desquelles le FPR peut être consulté.
La CNIL considère que le décret devrait préciser, au sein des dispositions relatives aux destinataires, les attributions dans le cadre desquelles l'accès aux données du traitement peut être accordé (en ce sens, v. CNIL, SP, 18 mai 2017, avis sur projet de décret, FPR, n° 2017-154, publié).
En outre, l'AIPD pourrait illustrer les contextes d'usage de pouvoirs de police administrative ou judiciaire pouvant donner lieu à une consultation du FPR, dans le respect de ses finalités.
b) L'extension du périmètre des accédants :
i. Accès au FPR dans le cadre d'enquêtes administratives :
Les agents du service national des enquêtes d'autorisation de voyage (SNEAV) pourront accéder aux données du FPR. Ce service est chargé de procéder à l'examen manuel de certaines demandes d'autorisation de voyage et « de conduire les consultations sécuritaires relatives aux demandes de visas, notamment en consultant des traitements de données à caractère personnel relatifs à la prévention du terrorisme ou des atteintes à la sécurité et à l'ordre public » (art. 2 du décret n° 2021-1138 du 1er septembre 2021).
Les agents du SNEAV pourront, dans le cadre des enquêtes administratives relevant de leur compétence, consulter la majorité des catégories de fiches inscrites dans le traitement.
Or, la CNIL rappelle avoir déjà souligné que « l'accès des agents en charge des enquêtes administratives doit être restreint aux sous-fichiers dont les motifs d'inscription sont en lien avec l'objectif de prévention des atteintes à la sécurité des personnes, à la sécurité publique ou à la sûreté de l'Etat » (CNIL, SP, 18 mai 2017, avis sur projet de décret, FPR, n° 2017-154, publié).
Au regard des spécificités des missions du SNEAV et de la nature des fichiers devant être consultés dans ce cadre (v. art. 2 du décret n° 2021-1138), le périmètre des catégories de fiches accessibles devrait être davantage circonscrit et exclure les types de fiches ne comprenant que des données sans rapport avec les enquêtes menées par ce service.
ii. Accès des services de renseignement :
Les agents du service national du renseignement pénitentiaire sont ajoutés parmi les accédants aux données du traitement. Le ministère précise que les agents relevant de ce service pourront accéder, dans le cadre de leurs missions de renseignement, à la quasi-totalité des catégories de fiches du FPR.
Par ailleurs, le projet de décret supprime les agents des services spécialisés du renseignement du ministère des armées de la liste des destinataires pour les ajouter aux accédants aux données du traitement.
Ces services auront accès au FPR dans le cadre, d'une part, des enquêtes administratives de sécurité dont ils ont la charge et, d'autre part, de la recherche, de la collecte, de l'exploitation et de la mise à disposition du Gouvernement des renseignements relatifs aux enjeux géopolitiques et stratégiques ainsi qu'aux menaces et aux risques susceptibles d'affecter la vie de la Nation. Les agents concernés auront accès à une large part des catégories de fiches inscrites au FPR.
La CNIL souligne que les différents accès doivent être limités aux seules catégories de fiches pertinentes et nécessaires au regard des missions particulières des agents relevant de chacun de ces services.



D. - Sur les mises en relation



a) Sur les mises en relation existantes ou projetées :
Le ministère indique que le FPR fait l'objet d'une mise en relation avec vingt-deux traitements.
La CNIL rappelle que les opérations de traitement en cause doivent être conformes aux finalités, aux données et aux accédants et destinataires fixés par les actes réglementaires encadrant chacun des traitements mis en relation (sur ce point, v. CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié).
Dans cette perspective, les textes régissant certains traitements doivent être modifiés pour permettre leur mise en relation avec le FPR. La CNIL prend acte de l'intention du ministère de modifier les textes encadrant le système informatique national du système d'information Schengen (N-SIS) et le fichier automatisé des empreintes digitales (FAED), notamment.
b) Sur les opérations de traitement susceptibles d'impliquer de nouvelles mises en relation :
Certaines opérations de traitement semblent impliquer des mises en relation avec d'autres fichiers.
Par exemple, le projet de décret prévoit l'inscription au FPR du « numéro de dossier du permis de conduire » et de données relatives au permis de conduire. Dans la mesure où ces données seraient issues du Système national des permis de conduire (SNPC), leur inscription dans le FPR impliquerait une mise en relation avec ce traitement.
Il n'est par ailleurs pas exclu que des mises en relation soient effectuées avec, en particulier, le traitement « NATALI » (mis en œuvre dans le cadre de l'instruction des demandes relatives à la nationalité française).
Au regard de ces éléments, la CNIL invite le ministère à :



- identifier et lister dans l'AIPD, de façon exhaustive, les traitements susceptibles d'être mis en relation avec le FPR ;
- s'assurer de la conformité de ces mises en relation avec les textes encadrant chaque traitement.



Elle prend acte de l'engagement du ministère de mettre à jour le tableau des mises en relation joint à l'AIPD.



E. - Sur l'information des personnes



Les informations relatives au traitement seront mises à disposition des personnes concernées sur le site web du ministère de l'intérieur. Cette modalité d'information des personnes vaut tant pour les opérations de traitement encadrées par le RGPD, que pour celles relevant du titre III de la loi informatique et libertés.
Or les articles 13 et 14 du RGPD prévoient que le responsable de traitement « fournit » ces informations à la personne concernée. L'article 104 de la loi informatique et libertés prévoit une « mise à disposition » de l'information.
La CNIL estime que :



- les personnes dont les données sont traitées dans les conditions prévues par le RGPD devront être directement informées du traitement. Des mentions d'information devront, pour les mesures faisant l'objet d'une notification, être portées sur les courriers afférents ;
- une information directe des personnes dont les données relèvent du titre III de la loi informatique et libertés pourrait, dans certains cas, être assurée. Dès lors qu'elle ne porterait pas atteinte à la poursuite des finalités du traitement, cette information serait, le cas échéant, fournie à la personne concernée lors de la notification de la décision fondant son inscription au FPR.



F. - Sur les mesures de sécurité



En premier lieu, le ministère indique avoir engagé un processus d'homologation de sécurité du système d'information mis en œuvre dans le cadre du traitement.
La CNIL rappelle la nécessité de mettre à jour l'AIPD à l'issue de la démarche d'homologation du système d'information.
Elle rappelle également l'importance d'inclure les interconnexions mises en œuvre avec le traitement FPR dans le périmètre des audits de sécurité, afin de vérifier que les systèmes tiers accédant aux données du traitement présentent des garanties de sécurité appropriées concernant la gestion des habilitations, la traçabilité, et la détection proactive des incidents de sécurité et violations de données.
En deuxième lieu, le ministère indique avoir mis en place un dispositif de journalisation, qui est obligatoire pour les traitements relevant du titre III de la loi informatique et libertés, et conserver les données de traçabilité du traitement principal pendant trois ans, afin de pouvoir en disposer lors d'enquêtes disciplinaires ou judiciaires. La CNIL estime que cette durée de conservation peut se justifier, en raison de la gravité et de la vraisemblance du risque de détournement des finalités du traitement principal, ainsi que pour permettre le traitement des alertes provenant des interconnexions avec le FPR.
En troisième lieu, s'agissant de l'authentification des accédants aux données du FPR, la CNIL estime que le niveau de sécurité des différents systèmes permettant de se connecter à l'application devrait être harmonisé, en recourant notamment à une authentification forte systématique.
Enfin, compte-tenu de la sensibilité des données concernées par le traitement FPR, la CNIL recommande de prévoir des mesures complémentaires de chiffrement de ces données, y compris concernant les données au repos et leurs sauvegardes, ainsi que, dans la mesure du possible, pour les échanges entre les différentes briques du traitement FPR, à l'aide d'algorithmes et de procédures de gestion des clés réputés sûrs, conformément aux recommandations de la CNIL et de l'agence nationale de la sécurité des systèmes d'information (ANSSI) en la matière.

La présidente,


M.-L. Denis