LRPPN : nouvelles données police et droits CNIL, quels risques à gérer ?

Lecture rapide

Décret no 2026-605 du 8 juillet 2026 modifiant le décret no 2011-110 autorisant le traitement automatisé de données à caractère personnel « Logiciel de rédaction des procédures de la police nationale (LRPPN) ». Il précise les catégories de données collectées pour les procédures judiciaires et administratives, les personnes autorisées à y accéder, la traçabilité des opérations, les droits d’accès, de rectification et d’effacement, ainsi que les restrictions possibles pour protéger enquêtes et sécurité.

Analyse juridique

1. Contexte juridique et finalités du décret no 2026-605 relatif au Logiciel de rédaction des procédures de la police nationale (LRPPN)

1.1. Le décret no 2026-605 du 8 juillet 2026, publié au Journal officiel de la République française du 10 juillet 2026, modifie le décret no 2011-110 du 27 janvier 2011 autorisant la création d’un traitement automatisé de données à caractère personnel dénommé Logiciel de rédaction des procédures de la police nationale (LRPPN). Il s’inscrit dans le cadre de la loi no 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 31 et son titre III, et vise à mettre en conformité le fichier avec les exigences relatives aux droits des personnes.

1.2. Les publics concernés sont, d’une part, les personnels affectés au sein de la police nationale et, d’autre part, les personnes concernées par le traitement (victimes, personnes mises en cause, témoins, plaignants, personnes faisant l’objet d’une enquête ou d’une instruction, personnes morales). Le texte précise que le décret est un texte autonome et qu’il entre en vigueur le lendemain de sa publication.

1.3. Le décret est pris sur le rapport du ministre de l’intérieur, après avis de la Commission nationale de l’informatique et des libertés (CNIL) en date du 19 mars 2026 et après audition du Conseil d’Etat (section de l’intérieur). Il modifie en profondeur les dispositions de l’article 2 du décret de 2011 relatives aux données à caractère personnel pouvant être enregistrées dans le LRPPN, ainsi que les règles d’accès, de traçabilité et d’exercice des droits.

2. Extension et précision des données issues des procédures judiciaires (article 2, I)

2.1. Le nouveau article 2, I du décret de 2011, tel que remplacé par le décret no 2026-605, définit de manière détaillée les données à caractère personnel et informations issues des procédures judiciaires pouvant être enregistrées. Il distingue les personnes physiques (victimes, mises en cause, personnes faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort ou d’une disparition, témoins, plaignants) et les personnes morales, ainsi que les éléments de procédure.

2.2. Pour les personnes physiques victimes, mises en cause, faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort ou d’une disparition ou témoins et plaignants, le texte autorise l’enregistrement de données relatives à l’identité (noms, nom marital, prénoms, identité d’emprunt officielle, surnom, alias, sexe, date et lieu de naissance, nationalité), des coordonnées postales, téléphoniques et électroniques, des documents d’identité (nature, numéro, date et autorité de délivrance, date d’expiration), de la situation familiale, des données relatives à la filiation (nom et prénoms des parents, représentant légal), des informations relatives aux mesures de protection (type, durée, tuteur ou curateur), des données relatives à l’intervention d’un interprète (nom, prénoms, langue traduite, juridiction d’assermentation), ainsi que des éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure judiciaire et des informations relatives aux permis de conduire et aux véhicules possédés ou utilisés.

2.3. Pour les personnes physiques victimes, le texte ajoute, outre les données précédentes, la possibilité d’enregistrer des photographies, l’état de la personne, l’accord de la personne concernée pour la mise en œuvre de la communication électronique pénale dans les conditions prévues au II de l’article 803-1 du code de procédure pénale, la situation professionnelle et les informations relatives à l’employeur, les titres et autorisations détenus, l’assurance de responsabilité civile (compagnie, nature du contrat, numéro de police), les informations relatives aux armes et les signes physiques particuliers, objectifs et permanents en tant qu’éléments de signalement.

2.4. Pour les personnes physiques mises en cause, le dispositif est encore plus étendu : il inclut le parcours scolaire et universitaire (études effectuées, niveau d’études atteint, diplômes obtenus), des photographies, l’état de la personne, l’accord pour la communication électronique pénale, la validité de l’identité (identité déclarée, confirmée ou manifestement fausse), les signes physiques particuliers, objectifs et permanents, le comportement, le mobile apparent et, le cas échéant, le mode opératoire, limités à des constatations objectives, la situation professionnelle et les informations relatives à l’employeur, la situation financière, les informations relatives au domicile (nature de l’occupation, nom et adresse du propriétaire), la situation militaire, les informations relatives aux armes, aux décorations, distinctions, pensions, les titres et autorisations détenus, l’assurance de responsabilité civile, les informations relatives à la mesure privative de liberté, aux fouilles de sécurité et aux suites judiciaires.

2.5. Pour les personnes faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort ou d’une disparition, le texte prévoit, outre les données d’identité, l’enregistrement de photographies, du signalement, des signes physiques particuliers et objectifs, ainsi que des informations relatives au décès, à l’autopsie et à l’inhumation. Pour les témoins et plaignants ne relevant pas du régime des victimes, peuvent être enregistrées la situation professionnelle, les informations relatives à l’employeur et l’accord pour la communication électronique pénale.

2.6. S’agissant des personnes morales mises en cause, victimes ou citées, le LRPPN peut contenir des données sur leur implication (victime, mise en cause, citée) et les informations nécessaires à la procédure : secteur d’activité, dénomination, raison sociale, enseigne commerciale, forme juridique, lieu du siège social, numéro SIRET, numéro d’immatriculation au registre du commerce et des sociétés, sigle, coordonnées postales, téléphoniques et électroniques.

2.7. Enfin, pour les éléments enregistrés dans le cadre d’une procédure judiciaire, le texte mentionne le numéro de procédure, le code, la nature, les circonstances, la date et le lieu de l’infraction, les caractéristiques des objets dérobés, dégradés ou découverts, les pièces ou documents numérisés accompagnant la procédure, l’identité des personnels intervenant ou cités (nom, prénoms, grade, numéro d’identification administrative, qualité), les coordonnées postales et téléphoniques du service d’affectation, ainsi que le nom, les prénoms et la qualité du magistrat saisi de la procédure ou contrôlant son déroulement.

3. Données issues des procédures administratives (article 2, II) et données sensibles (article 2, III)

3.1. Le II de l’article 2 étend le champ du LRPPN aux données issues des procédures administratives. Pour les personnes physiques faisant l’objet d’une procédure administrative, peuvent être enregistrées les données d’identité (noms, nom marital, identité d’emprunt officielle, prénoms, surnom, alias, sexe, date et lieu de naissance, nationalité), les coordonnées postales, téléphoniques et électroniques, le parcours scolaire et universitaire, la situation familiale, les données relatives à la filiation, les informations relatives aux mesures de protection, les données relatives à l’intervention d’un interprète, les éléments issus des constatations et investigations strictement nécessaires à la conduite de la procédure administrative, les informations relatives au permis de conduire et aux véhicules, la situation professionnelle, la situation financière, les informations relatives au domicile, à la situation militaire, aux armes, aux décorations, distinctions, pensions, ainsi que les titres et autorisations détenus et l’assurance de responsabilité civile.

3.2. Pour les personnes physiques citées ou entendues dans une procédure administrative, le texte autorise l’enregistrement des données d’identité, des coordonnées, de la situation familiale, des données relatives à la présence d’un interprète et de la situation professionnelle avec les informations relatives à l’employeur. Pour les personnes morales faisant l’objet d’une procédure administrative ou citées, sont visées les informations nécessaires à la procédure (secteur d’activité, raison sociale, dénomination, enseigne commerciale, sigle, forme juridique, numéro d’inscription au registre du commerce et des sociétés, lieu du siège social, numéro SIRET, coordonnées postales, téléphoniques et électroniques).

3.3. Les éléments enregistrés dans le cadre d’une procédure administrative comprennent le numéro de dossier, les pièces ou documents numérisés accompagnant la procédure, ainsi que l’identité des personnels intervenants ou cités (nom, prénoms, grade, numéro d’identification administrative, qualité). Cette structuration rapproche le régime des procédures administratives de celui des procédures judiciaires, tout en maintenant une distinction claire dans le texte entre I (judiciaire) et II (administratif).

3.4. Le III de l’article 2 précise que les données enregistrées dans ce traitement sont susceptibles de faire apparaître, directement ou indirectement, des données mentionnées au I de l’article 6 de la loi no 78-17 du 6 janvier 1978, c’est-à-dire des données dites sensibles, mais uniquement dans la stricte mesure où ces données sont nécessaires à la poursuite des finalités définies à l’article premier. Cette clause encadre la présence éventuelle de données relatives, par exemple, aux opinions, à la santé ou à la vie sexuelle, en les subordonnant à une stricte nécessité au regard des finalités du traitement.

4. Accès au traitement, destinataires et traçabilité des opérations (article 4 et article 5)

4.1. Le nouvel article 4 du décret de 2011, tel que modifié, renforce l’encadrement des accès au traitement. Le premier alinéa est remplacé par la formule : « Sont autorisés à accéder au traitement mentionné à l’article premier à raison de leurs attributions et dans la limite du besoin d’en connaître ». Cette référence explicite au besoin d’en connaître traduit une exigence de proportionnalité dans l’accès aux données à caractère personnel, en lien avec les missions des personnels concernés.

4.2. Le texte procède à une harmonisation terminologique en remplaçant, au deuxième alinéa du I, le mot « agents » par « personnels », et, au troisième alinéa du I, le mot « militaires » par « personnels ». Cette évolution reflète une volonté d’unifier la catégorie des personnes habilitées, tout en conservant la référence à leurs attributions.

4.3. Le II de l’article 4 est entièrement réécrit pour préciser les destinataires des données : « Peuvent être destinataires de tout ou partie des données à caractère personnel et informations mentionnées à l’article 2, à raison de leurs attributions : – les magistrats ; – les personnels chargés d’une procédure de police administrative ou judiciaire. » Le III de l’article 4 est supprimé, ce qui simplifie la structure du dispositif et recentre la liste des destinataires sur les magistrats et les personnels en charge des procédures.

4.4. Le nouvel article 5 renforce la traçabilité des opérations sur les données. Il prévoit que les opérations de collecte, de modification, de consultation, de communication, d’interconnexions et d’effacement font l’objet d’un enregistrement. Les opérations de consultation et de communication doivent établir l’identifiant de l’auteur, la date, l’heure, le motif de l’opération et, le cas échéant, les destinataires des données. Ces informations sont conservées pendant trois ans, ce qui permet un contrôle a posteriori des accès et des flux de données, en cohérence avec les exigences de la loi du 6 janvier 1978.

5. Droits des personnes, restrictions et articulation avec la loi du 6 janvier 1978 (article 6)

5.1. Le nouvel article 6 organise l’exercice des droits d’accès, de rectification, d’effacement et de limitation en distinguant les données issues des procédures judiciaires (I de l’article 2) et les données issues des procédures administratives (II de l’article 2). Pour les premières, le texte renvoie à l’article 111 de la loi du 6 janvier 1978 et précise que ces droits sont régis par les dispositions du code de procédure pénale. Cette articulation consacre la primauté des règles spécifiques de la procédure pénale sur le régime général des droits des personnes.

5.2. Pour les données prévues par le II de l’article 2, c’est-à-dire les données issues des procédures administratives, l’article 6 renvoie aux articles 105 et 106 de la loi du 6 janvier 1978. Les droits d’accès, de rectification, d’effacement et de limitation s’exercent directement auprès de la direction générale de la police nationale. Toutefois, afin d’éviter de gêner des enquêtes, des recherches ou des procédures administratives ou judiciaires, de ne pas nuire à la prévention ou à la détection d’infractions pénales, aux enquêtes ou poursuites, à l’exécution de sanctions pénales, de protéger la sécurité publique ou la sécurité nationale ou de protéger les droits et libertés d’autrui, ces droits peuvent faire l’objet de restrictions en application des 2o et 3o du II et du III de l’article 107 de la même loi.

5.3. Lorsque de telles restrictions sont mises en œuvre, la personne concernée exerce ses droits auprès de la Commission nationale de l’informatique et des libertés, dans les conditions prévues à l’article 108 de la loi du 6 janvier 1978. Le texte précise en outre, au III de l’article 6, que le droit d’opposition prévu à l’article 110 de la loi du 6 janvier 1978 ne s’applique pas au présent traitement. Cette exclusion du droit d’opposition est justifiée par la nature du LRPPN, outil central de la police administrative et judiciaire, dont le fonctionnement ne peut être subordonné au consentement individuel.

6. Adaptations territoriales, références actualisées et portée géographique (article 7 et suppression de l’annexe)

6.1. Le 6o de l’article 1er du décret no 2026-605 actualise la référence figurant à l’article 7 du décret de 2011, en remplaçant les mots « décret no 2017-1454 du 9 octobre 2017 » par les mots « décret no 2026-605 du 8 juillet 2026 ». Cette mise à jour assure la cohérence des renvois internes et signale que le présent décret devient la nouvelle référence de modification.

6.2. L’article 7 est complété par un alinéa qui précise les adaptations territoriales pour la Polynésie française, la Nouvelle-Calédonie et les îles Wallis et Futuna. Pour l’application du texte dans ces collectivités, la référence au numéro SIRET est remplacée, respectivement, par la référence au numéro du répertoire Tahiti, au numéro RIDET et au numéro du répertoire des entreprises applicable dans les îles Wallis et Futuna. Cette précision garantit l’opérationnalité du LRPPN dans les territoires d’outre-mer en tenant compte des systèmes d’identification des entreprises propres à chaque collectivité.

6.3. Le 8o de l’article 1er supprime l’annexe du décret de 2011. La suppression de cette annexe traduit un recentrage du dispositif sur les dispositions normatives directement intégrées dans le corps du texte, ce qui facilite la lisibilité et la mise à jour du cadre juridique du Logiciel de rédaction des procédures de la police nationale (LRPPN).

7. Responsabilités ministérielles et portée institutionnelle du décret

7.1. L’article 2 du décret no 2026-605 désigne les autorités chargées de son exécution : le ministre de l’intérieur, le garde des sceaux, ministre de la justice, et la ministre des outre-mer, chacun en ce qui le concerne. Le texte est signé par le Premier ministre, Sébastien Lecornu, et contresigné par le ministre de l’intérieur Laurent Nunez, le garde des sceaux, ministre de la justice Gérald Darmanin, et la ministre des outre-mer Naïma Moutchou. Cette pluralité de signataires souligne la dimension à la fois intérieure, judiciaire et outre-mer du dispositif.

7.2. En modifiant en profondeur les articles 2, 4, 5, 6 et 7 du décret de 2011, le décret no 2026-605 redéfinit le cadre juridique du Logiciel de rédaction des procédures de la police nationale (LRPPN) autour de trois axes : une définition exhaustive des catégories de données (identité, coordonnées, situation familiale, situation professionnelle, situation financière, armes, mesures de protection, mesures privatives de liberté, fouilles de sécurité, suites judiciaires, éléments de procédure), un encadrement renforcé des accès et des destinataires (besoin d’en connaître, magistrats, personnels chargés de procédures) et une traçabilité systématique des opérations (enregistrement des consultations, communications, interconnexions, effacements, conservation des journaux pendant trois ans).

7.3. L’articulation explicite avec la loi no 78-17 du 6 janvier 1978 et ses articles 105, 106, 107, 108, 110 et 111 montre que le LRPPN est conçu comme un traitement de données à caractère personnel soumis à un régime spécifique, combinant les exigences de la procédure pénale, de la police administrative et de la protection des droits et libertés. Le décret no 2026-605 du 8 juillet 2026 apparaît ainsi comme un instrument de mise en conformité et de clarification du cadre juridique applicable au Logiciel de rédaction des procédures de la police nationale.

Repères utiles

Les références essentielles de ce texte, en un coup d’œil.

Ce contenu constitue une information documentaire  juridique et ne remplace pas une consultation personnalisée. Pour une analyse appliquée à votre dossier, contactez un avocat partenaire LegalPlanet.