Du panoptique au technoptique : renforcement de l’arsenal de collecte de données

Décret du 2 août 2017 modifiant le décret du 27 juin 2008 portant création au profit de la direction générale de la sécurité intérieure d’un traitement automatisé de données à caractère personnel dénommé « CRISTINA »

La Libye était dotée du programme EAGLE, les États-Unis de XKEYSCORE et de PRISM, et la France est équipée, entre autres, de CRISTINA, un fichier de centralisation du renseignement intérieur pour la sécurité du territoire et des intérêts nationaux.

La loi informatique et libertés n° 78-17 du 6 janvier 1978 prévoit dans sa première disposition que « l’informatique doit être au service de chaque citoyen » et qu’elle « ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques ». Son article 30 envisage alors qu’en matière de collecte ou de traitement de données, les déclarations, demandes d’autorisation et demandes d’avis adressées à la Commission nationale de l’informatique et des libertés (CNIL) devront obéirent à dix commandements. Une exception quant à ces exigences était instaurée par le législateur (L. n° 2006-64, 23 janv. 2006, art 13) concernant les demandes d’avis qui portent sur les traitements intéressant la sûreté de l’État, la défense ou la sécurité publique. Relève de cette catégorie l’acte réglementaire portant création du fichier CRISTINA (décr. n° 2007-914, 15 mai 2007, art. 1, 1°) et celui prévu à l’article 2 du décret du 27 juin 2008 (décr. n° 2008-631, 27 juin 2008) par lequel une restructuration des anciens fichiers des renseignements généraux (RG) et de la Direction de la surveillance du territoire (DST) était opérée dans le cadre de la création de la DCRI à l’époque. Le Conseil d’État, saisi d’une demande d’annulation, avait confirmé au sujet de CRISTINA que le fichier intéresse bien la sûreté de l’État et que les données qu’il contient sont pertinentes au regard des finalités poursuivies, notamment la lutte contre l’espionnage et le terrorisme (CE 16 avr. 2010, n° 320196, Association AIDES et autres, Dalloz actualité, 21 avr. 2010, obs. J.-M. Pastor ; AJDA 2009. 2358 , note T. Grundler ).

Ce dernier acte modificateur du 2 août 2017 est de nouveau dispensé de publication, comme ses prédécesseurs.

Décret n° 2017-1224 du 3 août 2017 portant création d’un traitement automatisé de données à caractère personnel dénommé « ACCReD »

Le ministère de l’intérieur a entendu « faciliter la réalisation des enquêtes administratives » par la création d’un fichier d’automatisation de la consultation centralisée de renseignement et de données (ACCReD), lesquelles sont conduites par la direction générale de la police nationale et par le commandement spécialisé pour la sécurité nucléaire de la direction générale de la gendarmerie nationale.

Saisissant la CNIL d’une demande d’avis, le gouvernement exprimait la nécessaire création d’un tel fichier par un « risque exceptionnel de menace terroriste » et eu égard au fait de « l’adoption de nouveaux dispositifs législatifs imposant la réalisation d’enquêtes administratives conditionnant l’accès à certains emplois ou sites sensibles et, d’autre part, de l’évolution des modalités de réalisation des contrôles réalisés à l’occasion de ces enquêtes » (v. demande d’avis n° 17006644).

Le décret prévoit qu’ACCReD connaîtra trois types de fichiers qui seront conservés pour une durée de cinq années : les données et informations relatives à la demande d’avis de décision (art. 2, 1°) ; les données relatives à la personne faisant l’objet de l’enquête (art. 2, 2°) ; et les données et informations relatives aux résultats de l’enquête (art. 2, 3°). Il liste également les neuf fichiers auxquels ACCReD donnera accès, à l’instar du traitement d’antécédents judiciaires (TAJ), du fichier des personnes recherchées (FPR) ou encore de CRISTINA, la liste n’étant qu’énonciative (art. 7).

Pourront consulter le fichier les agents du service national des enquêtes administratives de sécurité désignés et habilités par le directeur général de la police nationale ou par celui de la gendarmerie nationale, ou encore tout autre agent d’un service du ministère de l’intérieur chargé d’effectuer l’une des enquêtes, les personnes morales ou l’autorité administrative à l’origine de la demande et enfin le préfet de département du lieu d’exercice de l’emploi, de la mission ou de la fonction dans les conditions fixées par l’article 5 de l’acte réglementaire.

Tel que le relevait la CNIL, aura disparu dans la version définitive du décret la mise en place d’une collecte d’informations relatives « aux origines raciales ou ethniques », la Commission considérant que celles-ci « ne renvoient à aucune catégorie de données objectives liées à des agissements ou des comportements [et] ne saurai[en]t être justifié[es] » (v. délib. n° 2017-152, 18 mai 2007). Enfin, elle faisait part d’une réserve relative à l’imprécision rédactionnelle de certaines dispositions, et quant à la nature sensible de certains fichiers.

Décret n° 2017-1231 du 4 août 2017 portant modification du décret n° 2007-914 du 15 mai 2007 pris pour l’application du I de l’article 30 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés

Le renseignement français a souffert durant longtemps d’un encadrement législatif bien imprécis, voire tout simplement absent. À la suite des attentats du 7 janvier 2015 à Paris, le gouvernement décidait le 19 mars 2015 de légiférer dans l’urgence (v. Étude d’impact, 18 mars 2015) en engageant la procédure accélérée (Constit., art. 45, al. 2). La loi renseignement était promulguée au milieu de l’été (L. n° 2015-912, 24 juill. 2015) et venait créer un Titre VIII au code de la sécurité intérieure : « Du renseignement ». Renforçant les pouvoirs d’investigation des six services français de renseignement, elle leur offre un accès élargi aux données collectées et dote les personnes habilitées de moyens d’investigations particulièrement intrusifs.

Par le présent décret, le gouvernement vient compléter la liste des fichiers de traitement automatisé de données à caractère personnel intéressant la sûreté de l’État, la défense ou la sécurité publique dressée par décret du 15 mai 2007 qui compte désormais un 16° avec la création du nouveau fichier BIOPEX dont la mise en œuvre est assurée par la direction du renseignement militaire (DRM). Il complète également la liste des fichiers relevant des dispositions du I de l’article 30 de la loi informatique et libertés dispensés de publication, et BIOPEX s’inscrit désormais au 11° de l’article R. 841-2 du code de la sécurité intérieure dont le contentieux est soumis à la formation spécialisée du Conseil d’État, évinçant par là même le juge judiciaire pourtant gardien des libertés individuelles (Constit., art. 66, al. 2). Il vient alors compléter une liste qui ne cesse de s’enrichir aux côtés, entre autres, de CRISTINA, SIREX et comparses.

En outre, la CNIL émettait un avis favorable avec réserves dont le contenu n’était pas publié une nouvelle fois (v. délib., n° 2017-216, 13 juill. 2017).

Enfin, l’article R. 841-2 s’applique à l’issue de celle nouvelle rédaction du 4 août 2017 en Polynésie française, en Nouvelle-Calédonie, à Wallis-Futuna ainsi que dans les Terres australes et antarctiques françaises (décr. rectif., JORF n° 0193, 19 août 2017).