Le 24 septembre 2021, la formation restreinte de la CNIL a sanctionné le ministère de l’Intérieur pour sa mauvaise gestion du fichier automatisé des empreintes digitales (FAED).
Le FAED est un fichier de police judiciaire d’identification recensant les empreintes digitales de personnes mises en cause dans des procédures pénales. Ces empreintes sont principalement utilisées par les forces de l’ordre dans le cadre de leurs enquêtes.
Les contrôles et la décision de la CNIL
À l’issue de contrôles effectués auprès des services de la police technique et scientifique et de juridictions (tribunaux judiciaires et cours d’appel), la formation restreinte, organe de la CNIL chargé de prononcer les sanctions, a décidé de publiquement rappeler à l’ordre le ministère de l’Intérieur.
Cinq manquements concernant la manière dont étaient traitées les données du FAED ont été relevés par la CNIL :
- la conservation, dans le fichier, de données non prévues par les textes ;
- la conservation de données pendant une durée excédant celle prévue par les textes ;
- la conservation de données relatives à des personnes ayant bénéficié d’un acquittement, d’une relaxe, d’un non-lieu ou d’un classement sans suite ;
- une sécurité des données insuffisante en raison d’un mot de passe peu robuste ;
- l’absence d’information des personnes concernées.
Bien que le ministère de l’Intérieur ait entamé des travaux sur la plupart des manquements, la formation restreinte a néanmoins considéré les moyens engagés comme insuffisants. En conséquence, elle a également décidé d’adopter plusieurs injonctions à l’encontre du ministère.
La CNIL a ainsi enjoint au ministère de l’Intérieur de :
- supprimer les fiches d’un ancien « fichier manuel » qui aurait dû être détruit ;
- effacer les données dont la collecte n’est pas prévue par le décret FAED ;
- supprimer les fiches dont la durée de conservation est atteinte ;
- s’assurer que les décisions de relaxe, d’acquittement et de correctionnalisation (lorsqu’un crime est requalifié en délit) soient répercutées dans le FAED ;
- s’assurer que les décisions de non-lieu et de classement sans suite soient répercutées dans le FAED uniquement en cas de décision expresse du procureur de la République ;
- renforcer la sécurité de la connexion au FAED ;
- délivrer une information aux personnes dont les empreintes sont versées au FAED.
Le ministère doit se mettre en conformité sur ces points au plus tard le 31 octobre 2021, sauf en ce qui concerne la suppression du « fichier manuel » qui devra intervenir le 31 décembre 2022. (...)