Décret GENESIS : nouveau cadre RGPD pour les données des personnes écrouées

1. Cadre juridique et finalités du traitement GENESIS

1.1. Le décret no 2026-444 du 2 juin 2026, publié au Journal officiel de la République française du 5 juin 2026, modifie en profondeur le titre IV du livre II du code pénitentiaire en instituant un traitement de données à caractère personnel dénommé « Gestion nationale des personnes écrouées pour le suivi individualisé et la sécurité » (GENESIS). Pris sur le rapport du garde des sceaux, ministre de la justice, après avis des comités sociaux d’administration de l’insertion et de la probation et de l’administration pénitentiaire (1er et 15 juillet 2025), ainsi que de la Commission nationale de l’informatique et des libertés (CNIL, avis du 27 novembre 2025), ce texte vise à assurer la conformité du traitement GENESIS à la réglementation applicable en matière de protection des données, notamment la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, son article 31 et son titre III.

1.2. L’article R. 240-1 du code pénitentiaire, dans sa nouvelle rédaction, autorise le ministre de la justice à mettre en œuvre le traitement GENESIS. Les finalités sont précisément énumérées : préparation et exécution des décisions judiciaires relatives aux personnes écrouées (1o), aide à la décision judiciaire pour l’application et l’individualisation de la peine et le suivi des mesures de sûreté (2o), prise en charge et suivi des personnes écrouées dans leurs parcours pénitentiaire et d’exécution de peine ainsi que pour l’exécution des décisions administratives (3o), gestion de l’accès aux droits et des activités de réinsertion des personnes détenues (4o), et sécurité des personnes détenues, des personnels, des intervenants, des victimes et des établissements pénitentiaires (5o). Le traitement se situe donc au croisement de la gestion pénitentiaire, de la sécurité et du suivi individualisé, ce qui justifie l’ampleur des données collectées et la structuration fine des accès.

1.3. Le décret s’inscrit dans un environnement juridique plus large : il renvoie au code de la justice pénale des mineurs, au code de procédure pénale, au décret no 2019-341 du 19 avril 2019 relatif à l’usage du numéro d’inscription au répertoire national d’identification des personnes physiques (NIR) et à la consultation de ce répertoire, et il modifie plusieurs références dans le code pénitentiaire et le code de procédure pénale. Il s’agit d’un texte autonome dont l’entrée en vigueur est fixée au lendemain de sa publication, mais qui réorganise en profondeur le titre IV du livre II du code pénitentiaire et renomme le traitement antérieur de « système de gestion nationale des personnes détenues en établissement pénitentiaire » en « gestion nationale des personnes écrouées pour le suivi individualisé et la sécurité ».

2. Catégories de données à caractère personnel traitées dans GENESIS

2.1. L’article R. 240-2 détaille de manière exhaustive les données à caractère personnel pouvant être enregistrées. Pour les personnes écrouées, sont d’abord visées les données d’identité et d’identification : nom de naissance ou identité déclarée, prénoms, nom marital, surnoms, alias, nationalités, date et lieu de naissance, sexe, titres d’identité ou de séjour (numéro, dates de délivrance et d’expiration, autorité, ville et pays de délivrance à l’étranger), photographie d’identité numérisée (avec interdiction explicite de tout dispositif de reconnaissance faciale à partir de cette photographie), ainsi que des informations physiques (taille, couleur des cheveux et des yeux, signes physiques particuliers) et les éléments d’écrou (lieu d’incarcération, numéro d’écrou initial et courant).

2.2. Le traitement couvre ensuite des données relatives à la vie personnelle et familiale : filiation (nom, prénoms, date et lieu de naissance du père et de la mère), situation familiale (état matrimonial, nombre d’enfants), adresses et coordonnées personnelles. Des informations sur les langues parlées sont intégrées (aptitude à la lecture et à l’écriture du français, tests de compétence, aptitude dans une autre langue, pré-repérage de l’illettrisme), ainsi que des données sur la scolarité, la formation et la vie professionnelle (niveau d’étude, diplômes, qualifications, emplois et professions exercées avant la détention), la situation militaire et la situation électorale (inscription sur les listes électorales, modalités de vote). Ces éléments montrent que GENESIS ne se limite pas à la dimension pénale, mais intègre des composantes sociales et civiques nécessaires à la réinsertion et à la gestion des droits.

2.3. Sur le plan pénal, sont enregistrées la situation pénale (décisions judiciaires concernant la personne écrouée, dates, durées et lieux de détention), les liens familiaux et tiers (informations relatives aux liens déclarés avec la famille et des tiers), ainsi que le positionnement déclaré face à l’infraction et à la peine, recueilli par le service pénitentiaire d’insertion et de probation ou le service de la protection judiciaire de la jeunesse. Le traitement inclut aussi des données concernant la santé ayant un impact sur les modalités de gestion de la détention ou nécessaires à la prise en charge : antécédents de placement en hospitalisation d’office, unités pour malades difficiles, services médicaux psychologiques régionaux, suivi somatique, psychologique ou psychiatrique antérieur, en cours ou nécessaire, régimes alimentaires particuliers, grèves de la faim ou de la soif, prescription de douche médicale, automutilations graves, addictions, aptitude au sport ou au travail, problèmes de santé nécessitant des soins, situation de handicap. Ces données, particulièrement sensibles, sont justifiées par les finalités de sécurité et de prise en charge individualisée.

2.4. Un volet important concerne l’évaluation de la dangerosité, de la vulnérabilité et du risque suicidaire des personnes détenues. Sont pris en compte des facteurs relatifs à la situation judiciaire, administrative et pénitentiaire, des facteurs liés à l’environnement social et familial et aux moyens financiers (rupture affective ou sentimentale, éloignement familial, absence ou perte de soutien extérieur, deuil récent, perte ou séparation dans l’enfance, rupture de scolarité ou de formation, perte d’emploi, perte de logement, placement récent des enfants, maltraitance ou négligence pendant l’enfance, victimisation par abus physique ou sexuel, agression ou menace récente), des facteurs sanitaires issus des données de santé, des facteurs relatifs au risque de passage à l’acte suicidaire (antécédents, évaluation de l’urgence, moyens envisagés, mesures de protection immédiates) et d’autres facteurs de vulnérabilité (minorité, régime de protection juridique, profession exposée à un risque en détention, victime de violence en détention, médiatisation de l’affaire). Cette granularité illustre la volonté de structurer une politique de prévention du suicide et de gestion des risques au sein des établissements pénitentiaires.

2.5. Les données relatives à la détention sont également très détaillées : procédures d’affectation en établissement, d’orientation et de transfert ; décisions d’affectation en cellule et identification des codétenus ; procédures d’isolement administratif d’office ou à la demande ; décisions, planification et rapports relatifs aux fouilles des locaux et de la personne détenue ; contenu du vestiaire ; informations sur les activités sportives, cultuelles, socioculturelles, d’enseignement, de formation professionnelle, d’insertion professionnelle et de travail ; audiences, rendez-vous, convocations et entretiens ; requêtes (demandes formulées par la personne détenue et réponses des services) ; informations sur les correspondances postales (expéditeurs et destinataires, pour la mise en œuvre des consignes de l’autorité judiciaire) ; visites (personnes extérieures, permis de visite, jours et heures, type de parloir) ; procédures et décisions disciplinaires ; commissions pluridisciplinaires uniques et décisions afférentes ; motifs et modalités d’entrée et de sortie, avec ou sans levée d’écrou ; procédure d’inscription au répertoire des personnes détenues particulièrement signalées (DPS). Ces informations structurent la traçabilité du parcours carcéral et la gestion quotidienne de la détention.

2.6. GENESIS intègre aussi des consignes judiciaires et pénitentiaires permettant de définir les modalités de gestion des personnes écrouées, des données relatives aux décisions administratives concernant les personnes écrouées de nationalité étrangère, ainsi que des informations d’ordre économique et financier : gestion des opérations courantes du compte nominatif et des bijoux et valeurs, gestion des livrets d’épargne ouverts durant la détention et des relevés d’identité bancaire, gestion des condamnations pécuniaires et des titres exécutoires, opérations comptables de répartition des sommes perçues entre la part disponible du pécule, le pécule de libération et la part destinée aux parties civiles, éléments liés à l’activité et à la rémunération. Le numéro d’inscription au répertoire national des personnes physiques (NIR) est explicitement mentionné, ce qui justifie le renvoi au décret no 2019-341.

3. Données relatives aux tiers : visiteurs, proches, intervenants, personnels et victimes

3.1. Le traitement ne se limite pas aux personnes écrouées. Il couvre les visiteurs (données d’identité, adresses et coordonnées personnelles, lien avec la personne écrouée, profession, consignes des autorités judiciaires relatives aux modalités de visite, suspensions ou retrait du permis de visite, interdictions de communiquer ou de contact). Sont également enregistrées les données de la personne à prévenir en cas d’incident et de la personne prenant en charge la personne écrouée en cas de permission de sortir (identité, adresses et coordonnées, lien avec la personne écrouée). Ces informations sont essentielles pour la gestion des visites, des permissions de sortir et des situations d’urgence.

3.2. Concernant les intervenants en détention, GENESIS enregistre les données d’identité (nom, prénoms), les adresses et coordonnées professionnelles, ainsi que la fonction exercée au sein de l’établissement pénitentiaire. Pour les personnels pénitentiaires intervenant dans la gestion et le suivi des personnes écrouées, sont collectés le nom, les prénoms, le matricule, le service d’affectation et la fonction exercée. Ces données permettent de tracer les interventions et de structurer les habilitations au sein du traitement.

3.3. Les victimes des personnes écrouées font également l’objet d’un enregistrement : nom, prénoms, adresses et coordonnées personnelles, ainsi que des informations liées aux sommes dues au titre de l’indemnisation (montant des dommages et intérêts réglés et restant dus, informations bancaires relatives au bénéficiaire). Cette dimension illustre la prise en compte des droits des victimes et la nécessité de suivre l’exécution des décisions civiles. Les magistrats chargés des procédures (nom, prénoms, fonction, numéro d’affaire, identifiants de procédure) et les avocats des personnes écrouées (nom, prénoms, cabinet, barreau de rattachement, adresses et coordonnées professionnelles) sont également intégrés, ce qui renforce la cohérence de la chaîne pénale dans le système d’information.

4. Données sensibles, base légale et durée de conservation

4.1. L’article R. 240-3 précise que le traitement peut comprendre des données à caractère personnel de la nature de celles mentionnées à l’article 6 de la loi no 78-17 du 6 janvier 1978, c’est-à-dire des données dites sensibles (notamment données de santé, données relatives à la vie sexuelle ou à l’orientation sexuelle, opinions, etc.), mais uniquement dans la stricte mesure où ces données sont nécessaires aux finalités assignées à GENESIS. Cette clause de proportionnalité est centrale pour la conformité au cadre de la protection des données et pour encadrer la collecte de données particulièrement intrusives.

4.2. L’article R. 240-4 organise la durée de conservation des données. Les données et informations sont conservées pendant deux ans à compter de la date de la levée d’écrou consécutive à la libération ou au décès de la personne écrouée. À l’issue de ce délai, elles sont conservées pendant huit ans en base d’archivage intermédiaire. Dans cette phase, l’accès est strictement limité à des personnels individuellement désignés et spécialement habilités de la direction générale de l’administration pénitentiaire, des directions interrégionales des services pénitentiaires, des greffes pénitentiaires et des régies des comptes nominatifs, ainsi qu’aux magistrats et greffiers exerçant des fonctions pénales habilités. Les missions justifiant cet accès sont la mise à exécution des décisions de justice et le suivi de l’application des peines et des mesures de sûreté, la gestion des contentieux pénaux et administratifs, le traitement des valeurs pécuniaires et non pécuniaires des personnes décédées, la prise en charge individualisée en cas de réincarcération et la constitution des dossiers pour les droits à retraite.

4.3. Par ailleurs, lorsque les données de GENESIS figurent dans la fiche pénale, le registre d’écrou ou le registre alphabétique, elles sont conservées pendant cinquante ans à compter de la date de la levée d’écrou, de la libération ou du décès de la personne écrouée. Cette durée très longue s’explique par les besoins de traçabilité pénale, de recherche d’antécédents et de gestion de certaines conséquences juridiques à long terme. L’articulation entre conservation opérationnelle, archivage intermédiaire et conservation dans les registres pénitentiaires illustre une stratégie graduée de conservation adaptée aux différentes finalités.

5. Accès au traitement GENESIS et destinataires des données

5.1. L’article R. 240-5 définit les catégories de personnes pouvant accéder au traitement, dans la limite du besoin d’en connaître, à raison de leurs attributions, et sous réserve d’une désignation individuelle et d’une habilitation spéciale. Sont concernés : les personnels de la direction générale de l’administration pénitentiaire et des directions interrégionales, les personnels exerçant au sein des établissements pénitentiaires et des services pénitentiaires d’insertion et de probation, les agents de l’Agence du travail d’intérêt général et de l’insertion professionnelle des personnes placées sous main de justice, les agents du service national du renseignement pénitentiaire, les magistrats du ministère public, les magistrats du siège, les greffiers, attachés de justice et assistants spécialisés exerçant des fonctions pénales dans les tribunaux judiciaires et les cours d’appel, les agents des services déconcentrés de la protection judiciaire de la jeunesse prenant en charge des mineurs écroués, les inspecteurs de l’inspection générale de la justice pour leurs missions de contrôle, ainsi que certains agents de l’administration centrale du ministère de la justice (contentieux administratif, entraide pénale internationale, exécution des peines et des grâces). Les prestataires de gestion déléguée, les praticiens hospitaliers, les personnels médicaux ou hospitaliers et les enseignants et agents du ministère chargé de l’éducation nationale concourant au service public pénitentiaire peuvent également accéder au traitement.

5.2. L’article R. 240-6 énumère les destinataires des données et informations, c’est-à-dire les acteurs pouvant recevoir des données issues de GENESIS, toujours « à raison de leurs attributions et dans la limite du besoin d’en connaître ». Sont notamment visés : les avocats et mandataires agréés assistant une personne détenue dans le cadre de la procédure contradictoire des articles R. 313-1 et R. 313-2, les assesseurs de la commission de discipline, les agents du Fonds de garantie des victimes et du Fonds de garantie des victimes des actes de terrorisme et d’autres infractions, la famille de la personne détenue et les personnes justifiant d’un intérêt pour les permis de visite, les titulaires de l’autorité parentale ou représentants légaux des personnes détenues mineures (information sur les demandes de permis de visite, modifications du régime de détention, procédures disciplinaires, gestion du compte nominatif du mineur), les services départementaux de protection et d’aide sociale à l’enfance, les mandataires judiciaires à la protection des majeurs, les agents relevant de l’autorité militaire, les agents du service du casier judiciaire national, les agents des mairies pour les démarches administratives et l’exercice du droit de vote, les agents de l’INSEE et d’autres instituts français de statistique pour la production et la publication de statistiques sur les personnes écrouées inscrites sur les listes électorales.

5.3. D’autres destinataires sont associés à la gestion des droits sociaux, de l’insertion professionnelle et des finances : personnels de l’organisme chargé du service national pour le recensement et la journée de défense et citoyenneté, agents de France Travail et des missions locales, organismes et structures de formation et d’insertion professionnelle, entreprises privées gérant des activités de réinsertion, structures d’hébergement et de placement extérieur, visiteurs de prison, aumôniers et bénévoles d’aumônerie, bénévoles d’associations socioculturelles et d’enseignement, agents des directions régionales des finances publiques, personnels de la Banque de France et de l’organisme bancaire retenu pour les comptes et livrets d’épargne, organismes de base du régime général de sécurité sociale, agents du service national des enquêtes administratives de sécurité. Enfin, les forces de sécurité intérieure (police nationale, gendarmerie nationale), les services des douanes, les préfectures de département, la direction générale des étrangers en France, ainsi que les magistrats et greffiers du parquet sont destinataires pour des finalités de recherche d’éléments de signalement, d’enquêtes, de commissions rogatoires, de recherches d’antécédents judiciaires, de renfort des escortes, de gestion des permissions de sortir, de mesures d’éloignement du territoire national et d’information sur le lieu de résidence des personnes condamnées à des peines d’emprisonnement significatives.

6. Droits des personnes, information et traçabilité des opérations

6.1. L’article R. 240-7 encadre les droits des personnes concernées. Une information générale sur le traitement est délivrée sur le site internet justice.fr et par affichage dans chaque établissement pénitentiaire. Le droit d’opposition prévu à l’article 110 de la loi no 78-17 ne s’applique pas à GENESIS, ce qui s’explique par la nature régalienne du traitement et ses finalités de sécurité et d’exécution des décisions de justice. En revanche, les droits d’accès, de rectification, d’effacement et à la limitation des données s’exercent directement auprès du chef de l’établissement pénitentiaire, sous réserve des restrictions prévues aux 2o et 3o du II et au III de l’article 107 de la loi de 1978, pour les motifs mentionnés aux 1o, 2o et 3o du I du même article (notamment la prévention des infractions, la sécurité publique, la protection des droits et libertés d’autrui). En cas de restrictions, la personne exerce ses droits auprès de la CNIL, conformément à l’article 108 de la loi.

6.2. Pour les personnes mentionnées à l’article R. 240-4 (notamment les personnels habilités), les droits d’accès, de rectification, d’effacement et à la limitation s’exercent directement auprès de l’autorité ayant délivré leur habilitation. Cette distinction reflète la dualité entre les personnes écrouées et les autres catégories de personnes dont les données sont traitées dans GENESIS. L’article R. 240-8 impose une traçabilité des opérations : toute opération de collecte, consultation, modification, communication, interconnexion et effacement des données fait l’objet d’un enregistrement comprenant l’identifiant de l’auteur, le motif, la date et l’heure de l’opération et, le cas échéant, les destinataires. Ces données de journalisation sont conservées pendant trois ans à compter de l’opération, ce qui permet des contrôles a posteriori et renforce la sécurité du traitement.

7. Modifications corrélatives dans les codes et portée globale du décret

7.1. L’article 2 du décret modifie l’article R. 113-58 du code pénitentiaire en remplaçant la référence au « système de gestion nationale des personnes détenues en établissement pénitentiaire » par la nouvelle dénomination du traitement de données à caractère personnel GENESIS. L’article 3 adapte le code de procédure pénale : aux troisième et dernier alinéas de l’article R. 50-54 et dans l’intitulé du chapitre XII du titre II du livre V, les mots « détenues en établissement pénitentiaire » sont remplacés par « écrouées pour le suivi individualisé et la sécurité (GENESIS) », et à l’article R. 57-9-18, la même substitution est opérée. L’article 4 procède à une modification similaire dans le code de la justice pénale des mineurs, à l’article R. 124-15, en remplaçant « détenues en établissement pénitentiaire » par « écrouées pour le suivi individualisé et la sécurité ».

7.2. L’article 5 réorganise les tableaux de correspondance des articles R. 752-1, R. 762-1 et R. 772-1 du code pénitentiaire, en scindant l’ancienne ligne « R. 113-15 à R. 113-64 » en plusieurs lignes distinctes, dont une explicitement rattachée au décret no 2026-444 du 2 juin 2026. De même, la ligne « R. 234-25 à R. 240-9 » est remplacée par deux lignes, dont « R. 240-1 à R. 240-8 – Décret no 2026-444 du 2 juin 2026 », ce qui ancre formellement les nouveaux articles dans l’architecture réglementaire. Des ajustements de références sont également opérés à l’article R. 251 du code de procédure pénale (remplacement de la référence « no 2025-1407 du 30 décembre 2025 » par « no 2026-444 du 2 juin 2026 ») et aux articles D. 721-1, D. 722-1 et D. 723-1 du code de la justice pénale des mineurs (remplacement de « no 2025-1256 du 19 décembre 2025 » par « no 2026-444 du 2 juin 2026 »). L’article 6 confie l’exécution du décret au garde des sceaux, ministre de la justice, et à la ministre des outre-mer.

7.3. L’ensemble de ces dispositions montre que le décret no 2026-444 ne se limite pas à un simple ajustement technique : il refonde le traitement national des personnes écrouées autour de la logique de suivi individualisé et de sécurité, en intégrant des données très diverses (identité, vie personnelle et familiale, santé, vulnérabilité, situation pénale, activités, finances, liens avec les tiers, victimes, intervenants, personnels, magistrats, avocats) et en organisant de manière détaillée les accès, les destinataires, les durées de conservation, les droits des personnes et la traçabilité. La référence constante à la loi no 78-17 du 6 janvier 1978 et aux mécanismes de contrôle (CNIL, enregistrements des opérations, habilitations individuelles) vise à concilier la nécessité de gestion pénitentiaire et de sécurité avec les exigences de protection des données à caractère personnel.