France: le gouvernement autorise les captations des données à caractère personnel

Le 20 décembre dernier, le gouvernement a publié un décret ayant pour objectif de permettre aux enquêteurs (police et gendarmerie nationales, pouvoirs publics, justice, douanes), dans le cadre d'une information judiciaire en matière de criminalité et de délinquance organisées et sur autorisation du juge d'instruction, « d'utiliser les moyens techniques permettant de capter en temps réel des données informatiques ». Le décret précise que « les traitements autorisés par le présent décret permettent de collecter, enregistrer et conserver les données informatiques ainsi captées et de les mettre à la disposition des enquêteurs de la police et de la gendarmerie nationales comme de la douane judiciaire ».

Dans son article 1, le décret explique que, afin de permettre la constatation des crimes et délits, « le rassemblement des preuves de ces infractions et l'identification de leurs auteurs, le ministre de l'Intérieur (direction générale de la police nationale, direction générale de la gendarmerie nationale, direction générale de la sécurité intérieure et préfecture de police) et le ministre des Finances et des Comptes publics (direction générale des douanes et droits indirects) sont autorisés à mettre en œuvre des traitements de données informatiques à caractère personnel permettant, sous l'autorité et le contrôle du juge d'instruction, la collecte, l'enregistrement et la conservation de données informatiques captées selon les modalités fixées ».

Bien qu’elles soient placées sous le contrôle d’un juge, l’article 2 prévoit que les opérations vont permettre d’enregistrer « l'ensemble des données captées telles qu'elles s'affichent sur un écran pour l'utilisateur d'un système de traitement automatisé de données, telles qu'il les y introduit par saisie de caractères ou telles qu'elles sont reçues et émises par des périphériques audiovisuels », y compris donc s’il s’agit de données personnelles sensibles.

L’article 3 précise tout de même que « les données à caractère personnel et informations exploitées par les traitements mentionnés à l'article 1^er ne peuvent provenir que de dispositifs techniques autorisés (…)et mis en place sur ordonnance d'un juge d'instruction informant des chefs de l'un des crimes et délits prévus ».

Les magistrats instructeurs accèdent à l'ensemble des données à caractère personnel et informations enregistrées dans le traitement en application dans le cadre des procédures dont ils sont saisis. Pour les besoins exclusifs de l'exécution de la commission rogatoire dans le cadre de laquelle l'ordonnance autorisant l'opération de captation a été délivrée, les officiers de police judiciaire de la police et de la gendarmerie nationales ainsi que les agents des douanes habilités à effectuer des missions de police judiciaire peuvent avoir eux aussi accès à ces données à caractère personnel.

Le décret prévoit que les données enregistrées soient conservées dans le traitement jusqu’à la date de clôture des investigations. À cette date, elles sont placées sous scellés fermés et effacées. Les scellés fermés seront adressés à l’autorité judiciaire ainsi que la transcription des enregistrements effectués par l’officier de police judiciaire ou l’agent des douanes.

Le décret est entré en vigueur dès le lendemain de sa publication.

Alors qu’il ne s’agissait encore que d’un projet de décret, la CNIL a prévenu que « ces dispositifs permettront de collecter des données relatives à d'autres personnes que l'utilisateur du système de traitement automatisé de données, telles que, par exemple, l'identité des personnes en relation avec l'utilisateur du système d'information surveillé. Si le projet de décret mentionne que pourront être captées « l'ensemble des données à caractère personnel rendues disponibles par l'utilisateur », il n'est pas expressément indiqué que pourront être collectées des données tant relatives à l'utilisateur du système d'information qu'aux personnes en relation avec lui ». Elle a émis quelques réserves et a estimé que « sous ces réserves, la commission considère que les données collectées sont pertinentes, adéquates et non excessives au regard des finalités poursuivies ».

Elle a en outre estimé que « « la solution retenue pourra s'adapter à l'environnement applicatif des utilisateurs visés par une enquête (système d'exploitation, applications tierces, etc.). Des tests de fonctionnement seront exécutés afin de s'assurer de la correcte adaptation de l'outil à l'environnement de chaque utilisateur. Une procédure de suppression automatique de l'outil sur les terminaux informatiques visés est prévue. L'architecture de collecte sera en outre pourvue de mesures visant à assurer la sécurité et le cloisonnement des données collectées ».

Source : décret n° 2015-1700, avis de la CNIL sur le décret

Et vous ?

Quel est votre avis sur le sujet ?

Voir aussi :

La France n'interdira pas les connexions Wi-Fi publiques et les communications des réseaux Tor pendant l'état d'urgence