LRPPN et CNIL : nouveaux encadrements clés pour les données pénales et la police

Lecture rapide

Le traitement « LRPPN » vise à assurer la clarté et l’homogénéité des procédures judiciaires et administratives de la police nationale, ainsi que leur archivage et l’exploitation des informations. Le projet de décret supprime la référence à la reconnaissance faciale, élargit et réorganise les catégories de données, encadre les données sensibles, précise les droits des personnes, impose l’authentification multifacteur et renforce l’analyse des journaux d’évènements.

Analyse juridique

1. Objet du projet de décret relatif au logiciel de rédaction des procédures de la police nationale (LRPPN)

1. La Commission nationale de l’informatique et des libertés (CNIL), dans sa délibération no 2026-030 du 19 mars 2026, rend un avis sur un projet de décret modifiant le décret no 2011-110 du 27 janvier 2011 autorisant la création d’un traitement automatisé de données à caractère personnel dénommé Logiciel de rédaction des procédures de la police nationale (LRPPN). Ce traitement, mis en œuvre par le ministère de l’intérieur, est destiné à « assurer la clarté et l’homogénéité de la rédaction des procès-verbaux en matière judiciaire et administrative » et constitue le socle du « Nouveau système d’information dédié à l’investigation (NS2i) ».

2. Le projet de décret, soumis à la CNIL sur le fondement de l’article 31 de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, vise notamment à préciser le périmètre des finalités du traitement, à réorganiser et élargir les catégories de données traitées et à mettre à jour les dispositions relatives aux droits des personnes concernées. La CNIL souligne que ce traitement poursuit des finalités relatives à la prévention et la détection des infractions pénales, aux enquêtes, aux poursuites et à l’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique, ce qui le place sous le régime du titre III de la loi « informatique et libertés ».

2. Clarification des finalités du traitement LRPPN et module GASPARD

3. L’article 1er du décret du 27 janvier 2011 prévoit que le traitement LRPPN a pour finalités : « de permettre aux services de police d’assurer la clarté et l’homogénéité de la rédaction des procédures judiciaires et administratives », de réaliser l’archivage de ces procédures, de permettre la collecte des informations issues de ces procédures « en vue de leur diffusion et de leur exploitation », et de permettre « la mise en relation avec des traitements de données relatives aux procédures judiciaires ». Le projet de décret envisage de supprimer la dernière finalité relative à la mise en relation du LRPPN avec d’autres traitements.

4. La CNIL considère que la « capacité de mettre en relation le traitement “LRPPN” avec d’autres traitements constitue une simple fonctionnalité et non une finalité en soi », de sorte qu’elle n’a pas à être mentionnée dans l’acte réglementaire. Cette modification « n’appelle pas d’observations ». En revanche, la Commission s’attarde sur l’intégration d’un module dénommé « gestion automatisée des signalements et des photographies anthropométriques répertoriées et distribuables » (GASPARD). Ce module, via le thème « signalisation » du logiciel, permet d’alimenter le traitement des antécédents judiciaires (TAJ) et le fichier automatisé des empreintes digitales (FAED). La CNIL souligne que les opérations de traitement réalisées au moyen de GASPARD ne peuvent relever du LRPPN qu’à condition d’être conformes aux dispositions encadrant ce traitement, notamment en matière de finalités, de catégories de données et de durées de conservation.

5. Il ressort de l’analyse d’impact relative à la protection des données (AIPD) que le module GASPARD permet principalement de collecter des données dans le cadre d’opérations de signalisation judiciaire. Ces données, à l’exception des données biométriques, sont ensuite transmises au module « signalisation » afin d’être intégrées dans la procédure judiciaire en cours. La CNIL estime que, bien que la rédaction large des finalités permette d’inclure ce module, les finalités pourraient être davantage explicitées, par exemple en précisant que le traitement vise à « faciliter les opérations de signalisation judiciaire » au sens de l’article 4-2o de la loi « informatique et libertés ».

3. Élargissement et encadrement des catégories de données traitées

6. Le projet de décret élargit le périmètre des catégories de données à caractère personnel pouvant être collectées et les réorganise en fonction de la procédure visée et des personnes concernées. Il autorise notamment le traitement des « éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure » et des « pièces et documents numérisés accompagnant [une telle] procédure » administrative ou judiciaire. La CNIL relève que ces formulations sont susceptibles de couvrir une grande variété de données, y compris des données sensibles au sens de l’article 6 de la loi « informatique et libertés ».

7. Tout en reconnaissant que ces catégories sont en principe trop imprécises pour un traitement régi par un acte réglementaire, la CNIL admet qu’il est « particulièrement difficile d’identifier tous les types de données » susceptibles d’être traités dans le cadre de la rédaction d’actes relatifs à des faits très divers. Dans ce cas particulier, la formulation proposée « n’appelle pas d’observations ». Toutefois, « en vue d’assurer la minimisation des données », la Commission invite le ministère à prévoir des garanties supplémentaires concernant le traitement des pièces et documents numérisés, en s’appuyant notamment sur ses avis antérieurs (par exemple, l’avis sur le projet de décret « infoParquet », no 2025-103).

4. Photographies, reconnaissance faciale et flux vers le TAJ

8. Le décret du 27 janvier 2011 en vigueur prévoyait, dans le cadre des procédures judiciaires, la possibilité d’enregistrer des photographies comportant « les caractéristiques techniques permettant le recours à un dispositif de reconnaissance faciale » pour les personnes mises en cause et celles faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort ou d’une disparition. Le projet de décret supprime cette référence. L’AIPD précise que les photographies relatives aux personnes mises en cause « ne font l’objet d’aucun dispositif de reconnaissance faciale dans le traitement “LRPPN” ».

9. La CNIL « accueille favorablement cette évolution » qui exclut le déploiement d’un dispositif de reconnaissance faciale dans l’outil. Elle relève toutefois que le module GASPARD permet d’alimenter, via le LRPPN, le TAJ, lequel contient un dispositif de reconnaissance faciale. La Commission prend acte de ce que les flux de données sont unidirectionnels, « ne pouvant être opérés que depuis le LRPPN vers le TAJ ». Cette architecture limite les risques de réutilisation non maîtrisée des données du TAJ dans le LRPPN, mais souligne l’importance d’un encadrement strict des interconnexions.

5. Données relatives aux signes physiques particuliers et fouilles de sécurité

10. Le projet de décret autorise la collecte, dans le cadre des procédures judiciaires, d’informations relatives aux « signes physiques particuliers, objectifs et permanents en tant qu’éléments de signalement » des personnes victimes, mises en cause ou faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort ou d’une disparition. Selon l’AIPD, ces données sont collectées lorsqu’il est nécessaire de rassembler des éléments permettant d’identifier une victime ou une personne recherchée, notamment au moment de l’audition ou à la suite des investigations. Pour les personnes mises en cause, ces données sont recueillies lors d’une opération de signalisation via le module GASPARD.

11. La CNIL relève que la description physique ou l’enregistrement du signalement peut conduire à révéler des données sensibles au sens de l’article 6 de la loi « informatique et libertés ». Sans remettre en cause les besoins opérationnels, elle rappelle que ces données ne doivent être traitées qu’« en cas de nécessité absolue » et ne doivent pas porter une atteinte disproportionnée à la vie privée. Outre les formations délivrées aux utilisateurs, la Commission recommande la mise en place de mesures supplémentaires, par exemple « qu’un message d’avertissement relatif à la nature particulièrement sensible des données relatives aux signes physiques particuliers puisse incrémenter l’écran au moment de la saisie ».

12. S’agissant des informations relatives aux « fouilles de sécurité », le projet de décret prévoit, pour les personnes physiques mises en cause, la collecte de données visant à rendre compte des investigations menées par les enquêteurs, notamment les objets résultant de la fouille. La CNIL estime que la notion de « fouilles de sécurité », « susceptible de faire l’objet d’une interprétation large », devrait être précisée. Elle recommande d’indiquer dans le décret la nature des données concernées et, a minima, de préciser que ces données seraient « limitées aux résultats des fouilles ».

6. Information des personnes et exercice des droits

13. La CNIL examine les modalités d’information des personnes concernées et d’exercice de leurs droits. L’information générale est assurée par une publication sur le site web du ministère et par voie d’affichage au sein des commissariats de police. Pour certaines catégories de personnes, des mentions d’information sont prévues au niveau de formulaires, comme la « notice victime ». Afin d’assurer l’effectivité des droits, la Commission recommande que l’information soit réalisée « directement auprès des personnes concernées lorsque cela est matériellement possible ».

14. Le projet de décret modifie également les dispositions relatives aux droits des personnes concernées pour les mettre en conformité avec la réglementation. Pour les données traitées dans le cadre de procédures administratives, les droits s’exercent directement auprès de la direction générale de la police nationale, sauf restrictions en application de l’article 107 de la loi « informatique et libertés ». Pour les données traitées dans le cadre des procédures judiciaires, le projet fait application de l’article 111 de la même loi et prévoit que les droits sont régis par les dispositions du code de procédure pénale (CPP). L’article 111 soumet en effet aux seules dispositions du CPP l’exercice des droits lorsque les données figurent « dans un dossier judiciaire faisant l’objet d’un traitement lors d’une procédure pénale ».

15. Compte tenu de la variété des données concernées, la CNIL recommande que l’AIPD explicite « de la façon la plus exhaustive possible » les cas dans lesquels l’article 111 ou les restrictions de l’article 107 ont vocation à s’appliquer, afin d’orienter le responsable de traitement dans l’instruction des demandes. Pour garantir une information claire, les mentions d’information diffusées pourraient expliciter les cas d’application de l’article 111, en s’inspirant notamment de l’avis rendu sur le projet de décret « SISPoPP » (no 2023-055).

7. Mesures de sécurité, journalisation et qualité des données

16. Sur le plan de la sécurité, la CNIL prend acte de la confirmation du ministère quant à l’utilisation de l’authentification multifacteur comme moyen d’accès au LRPPN. Elle rappelle que, dans les cas exceptionnels où une authentification via des modalités alternatives est utilisée, il est nécessaire de prévoir des mesures de sécurité techniques et organisationnelles complémentaires pour conserver un niveau de sécurité équivalent.

17. La Commission « accueille favorablement l’ambition du ministère de mettre en œuvre une mesure technique et organisationnelle d’analyse des journaux d’évènements ». Elle réitère sa recommandation de déployer une mesure technique de surveillance active des journaux applicatifs, afin de permettre la détection immédiate d’actions malveillantes au sein du traitement. Cette exigence est d’autant plus importante que le LRPPN « collecte un nombre particulièrement élevé de données à caractère personnel dont la divulgation serait susceptible d’avoir d’importantes conséquences sur la sécurité des personnes concernées ».

18. Concernant la qualité des données, la CNIL note qu’« en l’état, la majorité des interconnexions sont réalisées par le biais de rapprochements manuels ». Elle retient la confirmation du ministère quant à la mise en œuvre de tests de cohérence manuels, réalisés par les responsables hiérarchiques, entre les données saisies et les données reçues. Cette approche vise à limiter les erreurs de rapprochement et à renforcer la fiabilité des informations utilisées dans les procédures judiciaires et administratives.

8. Appréciation globale de la CNIL sur le projet de décret LRPPN

19. Dans son « essentiel », la CNIL souligne qu’elle « accueille favorablement la précision du périmètre des finalités du traitement ainsi que la suppression de la possibilité de recourir à un dispositif de reconnaissance faciale ». Ces évolutions répondent à des préoccupations récurrentes en matière de protection des données et de respect des libertés publiques dans le contexte des traitements de données policières.

20. Toutefois, la Commission émet plusieurs observations : la nécessité de préciser certaines catégories de données, d’encadrer davantage le traitement de données sensibles, de clarifier les modalités d’exercice des droits au regard de l’article 111 de la loi « informatique et libertés », et de renforcer les mesures de sécurité et de journalisation. L’avis illustre ainsi l’équilibre recherché entre les besoins opérationnels du ministère de l’intérieur en matière de rédaction des procédures administratives et judiciaires et les exigences de la protection des données à caractère personnel dans un environnement marqué par la multiplication des traitements automatisés et des interconnexions.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.