Protection des données policières : la CNIL sanctionne les durées de conservation et la sécurité du fichier biométrique

La formation restreinte retient cinq manquements dans la gestion d’un fichier de police judiciaire contenant des données biométriques et relatives aux infractions. Le traitement d’informations non prévues par l’article 4 du décret n° 87-249, ainsi que la conservation d’un fichier papier dépourvu de base légale, méconnaissent l’article 89 de la loi du 6 janvier 1978.

La conservation excessive des fiches méconnaît l’article 4 de cette loi et l’article 5 du décret n° 87-249 : les durées doivent être calculées pour chaque fiche, selon l’âge de la personne et la nature de l’infraction. Le responsable du traitement doit également garantir l’exactitude des données, conformément à l’article 97, en organisant la transmission complète des décisions judiciaires entraînant un effacement ou une mise à jour. La conservation est le principe d’effacement dans les cas de non-lieu ou de classement sans suite prévus par l’article 7-1 du décret.

L’article 99 impose une sécurité adaptée au risque, renforcée pour les données biométriques. Une authentification par simple identifiant et mot de passe, ainsi que la conservation locale de données, ne suffisent pas. L’article 104 exige une information directement accessible et adaptée aux personnes concernées, notamment aux mineurs ; une information exclusivement disponible en ligne est insuffisante.

Ces manquements justifient un rappel à l’ordre, une injonction de mise en conformité et la publication de la décision sur le fondement de l’article 20 de la loi du 6 janvier 1978.

⬇️Télécharger la décision version officielle

Les contrôles ont révélé l’enregistrement de données non prévues, la conservation irrégulière d’un fichier papier, le dépassement des durées réglementaires, une transmission incomplète des décisions judiciaires et des insuffisances d’authentification et d’information. La formation restreinte a retenu plusieurs manquements à la loi Informatique et Libertés. Elle a prononcé un rappel à l’ordre, une injonction de mise en conformité assortie de délais et la publication de la décision.

Un fichier de police judiciaire recense des empreintes digitales et palmaires de personnes mises en cause, ainsi que des traces relevées sur des scènes d’infraction. Il est utilisé par les services de police, de gendarmerie et des douanes.

À la suite de contrôles menés par la CNIL, plusieurs anomalies sont constatées : enregistrement d’informations non prévues par le décret, conservation d’un important fichier papier sans base légale, dépassement des durées réglementaires, transmission incomplète des décisions judiciaires entraînant l’effacement des données, authentification insuffisante et conservation locale de données sensibles. Les personnes concernées ne reçoivent pas non plus d’information directement accessible sur le traitement.

La formation restreinte retient des manquements aux articles 4, 89, 97, 99 et 104 de la loi Informatique et Libertés. Elle prononce un rappel à l’ordre, une injonction de mise en conformité assortie de délais et la publication de la décision.

• Limiter les informations enregistrées à celles prévues par le décret applicable
• Détruire le fichier papier dépourvu de base légale
• Calculer les durées de conservation pour chaque fiche
• Garantir la transmission de toutes les décisions judiciaires pertinentes
• Mettre en place une sécurité adaptée aux données biométriques
• Fournir une information directement accessible et adaptée aux mineurs

• Constatations des contrôles réalisés dans les services et juridictions
• Présence d’informations supplémentaires dans les fiches traces
• Conservation d’environ sept millions de fiches papier
• Plus de deux millions de fiches conservées au-delà des durées applicables
• Questionnaires révélant la transmission incomplète des décisions judiciaires
• Absence de pièces justifiant les mesures correctrices annoncées

Le responsable du traitement doit mettre le fichier en conformité selon les exigences légales et les délais fixés. La décision impose une organisation documentée des effacements, de la sécurité, de la transmission judiciaire et de l’information des personnes.

• Supprimer les informations non autorisées et détruire le fichier manuel
• Automatiser les purges selon l’âge, l’infraction et chaque fiche
• Organiser la transmission complète des décisions judiciaires définitives
• Imposer une authentification par carte-agent et code PIN
• Sécuriser les données conservées lors des opérations de signalisation
• Afficher une information accessible et adaptée aux personnes concernées

À faire

• Recenser toutes les données non prévues par le décret
• Établir un calendrier documenté de destruction du fichier papier
• Paramétrer les durées de conservation pour chaque fiche
• Formaliser la transmission des décisions judiciaires aux gestionnaires
• Déployer l’authentification forte et l’information des personnes

À éviter

• Conserver des informations supplémentaires sous forme d’image
• Maintenir des fiches papier sans fondement réglementaire
• Recalculer la conservation à partir d’une nouvelle signalisation
• Se limiter à une circulaire ancienne pour garantir les effacements
• Stocker localement des données sans journalisation ni contrôle d’accès

Le champ d’application du titre III de la loi Informatique et Libertés

Le titre III s’applique aux traitements poursuivant des finalités de prévention, de détection ou de poursuite des infractions pénales, lorsqu’ils sont mis en œuvre par une autorité publique compétente. Le fichier, utilisé dans le cadre de procédures pénales par l’autorité responsable, relève donc de ce régime en application de l’article 87 de la loi du 6 janvier 1978 et de l’article 1er de la directive police-justice.

Les conditions de licéité et de conservation des données

L’article 4 du décret n° 87-249 limite les informations pouvant accompagner une empreinte ou une trace. La conservation d’informations supplémentaires et d’un fichier papier non autorisé est illicite. L’article 89 de la loi est méconnu. L’article 4 de cette loi et l’article 5 du décret imposent en outre des durées adaptées, calculées pour chaque fiche selon les critères réglementaires.

Les obligations d’exactitude, de sécurité et d’information

Le responsable doit garantir l’exactitude des données au titre de l’article 97, notamment en assurant la transmission des décisions judiciaires nécessaires aux effacements. L’article 99 impose une sécurité adaptée au risque biométrique, incompatible avec une authentification insuffisante et des stockages locaux non sécurisés. L’article 104 exige une information directement accessible et adaptée, notamment aux mineurs.

Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 22 de la loi n° 78-17 du 6 janvier 1978, Article 87 de la loi n° 78-17 du 6 janvier 1978, Article 89 de la loi n° 78-17 du 6 janvier 1978, Article 97 de la loi n° 78-17 du 6 janvier 1978, Article 99 de la loi n° 78-17 du 6 janvier 1978, Article 104 de la loi n° 78-17 du 6 janvier 1978, Article 107 de la loi n° 78-17 du 6 janvier 1978, Article 1er du décret n° 87-249 du 8 avril 1987, Article 2 du décret n° 87-249 du 8 avril 1987, Article 4 du décret n° 87-249 du 8 avril 1987, Article 5 du décret n° 87-249 du 8 avril 1987, Article 7-1 du décret n° 87-249 du 8 avril 1987, Article 42 du décret n° 2019-536 du 29 mai 2019, Article L. 611-4 du code de l’entrée et du séjour des étrangers et du droit d’asile, Article 78-3 du Code de procédure pénale, Article 6 du règlement (UE) 2016/679, Articles 24 et 25 du règlement (UE) 2016/679