Accès aux fichiers de sûreté de l’État : contrôle secret des données CRISTINA et inapplicabilité du RGPD

Le Conseil d’État rappelle, sur le fondement des articles L. 841-2 du code de la sécurité intérieure et L. 773-1, L. 773-2 et L. 773-8 du code de justice administrative, que sa formation spécialisée connaît des demandes d’accès aux traitements intéressant la sûreté de l’État, dont CRISTINA.

Le juge vérifie lui-même, hors procédure contradictoire lorsque le secret de la défense nationale l’exige, si le requérant figure dans le fichier et, dans l’affirmative, si les données sont pertinentes au regard des finalités poursuivies, adéquates et proportionnées. Il peut relever d’office tout moyen en application de l’article L. 773-5 du code de justice administrative et ordonner la rectification ou l’effacement des données inexactes, incomplètes, équivoques, périmées ou illicitement collectées, utilisées, communiquées ou conservées.

En l’absence d’illégalité constatée, la requête est rejetée sans révéler si l’intéressé figure dans le fichier ni communiquer les éléments protégés. La formation spécialisée a également jugé que le règlement (UE) 2016/679 et la directive (UE) 2016/680 ne sont pas applicables aux données relatives à la sûreté de l’État. Le contrôle exercé au regard de l’article 8 de la convention européenne des droits de l’homme n’a révélé aucune atteinte illégale à la vie privée et familiale.

⬇️Télécharger la décision version officielle

Saisi d’une demande d’accès aux données susceptibles de concerner un particulier dans le fichier CRISTINA, la CNIL a procédé aux vérifications prévues par la loi avant de l’informer de la clôture de la procédure. Le Conseil d’État, après examen des éléments transmis sous réserve du secret de la défense nationale, n’a relevé aucune illégalité concernant l’accès, la rectification ou l’effacement des données.

Un particulier a saisi la CNIL afin d’accéder aux données susceptibles de le concerner dans le fichier CRISTINA, mis en œuvre par la direction générale de la sécurité intérieure. La CNIL a diligenté les vérifications prévues par l’article 118 de la loi du 6 janvier 1978, puis a informé le demandeur que la procédure était terminée sans fournir d’autres indications.

Le demandeur a contesté le refus d’accès révélé par ce courrier et sollicité la communication, la rectification ou l’effacement des données qu’il estimait non pertinentes, inadéquates, excessives ou illégales. Le ministre de l’intérieur et la CNIL ont transmis au Conseil d’État, sous les réserves liées au secret de la défense nationale, les éléments utiles ainsi que l’acte réglementaire créant le fichier.

Après examen par sa formation spécialisée, le Conseil d’État n’a relevé aucune illégalité et a rejeté la requête, y compris la demande d’injonction.

• Vérifier si le requérant figure dans le fichier litigieux
• Apprécier la pertinence des données au regard des finalités du fichier
• Contrôler leur adéquation et leur proportionnalité
• Rechercher une inexactitude, incomplétude, équivoque ou obsolescence des données
• Vérifier la licéité de leur collecte, utilisation, communication ou conservation
• Respecter les exigences liées au secret de la défense nationale

• Éléments communiqués au Conseil d’État par le ministre de l’intérieur
• Éléments transmis par la Commission nationale de l’informatique et des libertés
• Acte réglementaire créant le fichier CRISTINA
• Résultats des investigations diligentées par la CNIL
• Pièces du dossier examinées par la formation spécialisée

Le requérant n’obtient ni communication des données ni injonction de rectification ou d’effacement, aucune illégalité n’ayant été constatée. Le ministre conserve les données litigieuses dans le cadre applicable aux fichiers de sûreté, sous le contrôle spécialisé du Conseil d’État et dans le respect du secret de la défense nationale.

• Rejet de la demande d’accès et des conclusions à fin d’injonction
• Absence de révélation de l’existence ou du contenu du fichier
• Maintien du contrôle de pertinence, d’adéquation et de proportionnalité
• Rectification ou effacement seulement si une illégalité est établie
• Écart du RGPD et de la directive 2016/680 pour ces données

À faire

• Saisir la CNIL pour exercer le droit d’accès indirect
• Identifier précisément le fichier relevant de la sûreté de l’État
• Documenter toute inexactitude ou obsolescence des données
• Invoquer la pertinence, l’adéquation et la proportionnalité
• Présenter des conclusions distinctes de rectification ou d’effacement

À éviter

• Exiger la révélation d’informations couvertes par le secret défense
• Fonder exclusivement la demande sur le RGPD
• Contester sans élément concret la légalité des données
• Confondre contrôle juridictionnel et communication directe du fichier
• Omettre les règles spéciales du code de justice administrative

Le contrôle juridictionnel des fichiers de sûreté de l’État

La formation spécialisée vérifie si le requérant figure dans le fichier puis apprécie la pertinence, l’adéquation et la proportionnalité des données au regard des finalités poursuivies. Elle statue à partir des éléments communiqués hors procédure contradictoire, sans révéler l’existence du fichier ni les informations protégées. En l’absence d’illégalité, les conclusions sont rejetées sans autre précision, conformément à l’article L. 773-8 du code de justice administrative.

Les mesures de rectification ou d’effacement des données illégales

Lorsque les données sont inexactes, incomplètes, équivoques ou périmées, ou que leur collecte, utilisation, communication ou conservation est interdite, le juge en informe le requérant sans divulguer le secret de la défense nationale. Cette constatation implique que l’autorité gestionnaire rétablisse la légalité par rectification ou effacement, dans la mesure nécessaire, sur le fondement de l’article L. 773-8 du code de justice administrative.

L’inapplicabilité du RGPD aux données de sûreté de l’État

Le Conseil d’État écarte utilement le règlement (UE) 2016/679 et la directive (UE) 2016/680, jugés inapplicables au fichier en litige s’agissant des données relatives à la sûreté de l’État. Le contrôle demeure exercé au regard des règles nationales applicables et de l’article 8 de la convention européenne des droits de l’homme. Aucune atteinte illégale à la vie privée et familiale n’a été constatée.

Article 31 de la loi n° 78-17 du 6 janvier 1978, Article 118 de la loi n° 78-17 du 6 janvier 1978, Article L. 841-2 du code de la sécurité intérieure, Article R. 841-2 du code de la sécurité intérieure, Article L. 773-1 du code de justice administrative, Article L. 773-2 du code de justice administrative, Article L. 773-8 du code de justice administrative, Article L. 773-3 du code de justice administrative, Article R. 773-20 du code de justice administrative, Article L. 773-5 du code de justice administrative, Article R. 773-21 du code de justice administrative, Loi n° 78-17 du 6 janvier 1978