Un décret vient de modifier les dispositions réglementaires relatives au fichier automatisé des empreintes digitales (FAED) afin de permettre des interconnexions avec huit autres fichiers français et européens. Il porte également à 40 ans la durée maximale de conservation des données, pour tenir compte de la prescription de 20 ans.
Le ministère de l’Intérieur explique que le décret modifie les dispositions réglementaires relatives au traitement FAED, précise les finalités du FAED et les catégories de données pouvant être enregistrées, actualise les catégories de personnes pouvant accéder au traitement ou être destinataires des données, ainsi que les durées de conservation des données relatives aux infractions les plus graves, et modifie les droits des personnes concernées pour les mettre en conformité avec le RGPD.
Dans son avis, la CNIL relève que le fichier contenait, fin décembre 2022, plus de 6,5 millions d’empreintes de personnes identifiées en tant que mises en cause (contre 4,8 millions en 2014, et 2,25 en 2004), ainsi que 293 831 empreintes d’origine inconnue et non identifiées.
Elle note que le décret met fin à l’ « interdiction de principe » des mises en relation qui prévalait jusqu’alors, dans la perspective d’une interconnexion des fichiers de police aux niveaux national et international. (...)
Comme nous l’avions déjà rapporté, il est prévu que le FAED fasse l’objet d’interconnexions, de rapprochements ou de mises en relation avec plusieurs autres fichiers français et paneuropéens :
- le traitement d’antécédents judiciaires (TAJ), qui comportait en 2018 les données de près de 19 millions de personnes « mises en cause » ;
- les logiciels de rédaction des procédures de la police nationale (LRPPN) et son équivalent de la gendarmerie nationale (LRPGN) ;
- le dossier pénal numérique (DPN), qui vise à rassembler les données et informations collectées tout au long du processus judiciaire pénal ;
- le système national d’information Schengen (N-SIS) qui, en 2019, répertoriait 91 millions de « signalements » et avait fait l’objet de 6,6 milliards de recherches par les États membres ;
- le fichier des personnes recherchées (FPR), qui répertoriait en 2019 « environ 642 000 fiches actives pour 580 000 personnes », une même personne pouvant faire l’objet de plusieurs fiches ;
- le casier judiciaire national (CJN), qui dénombrait 5 119 654 personnes condamnées en 2017 ;
- le système d’entrée et de sortie (EES, pour Entry/Exit System), qui vise à remplacer la pratique actuelle de tamponnage manuel des passeports par l’enregistrement électronique dans une base de données centrale des informations biographiques et biométriques. (...)
Plus d’interconnexions de fichiers = plus d’erreurs (...)
Eu égard à la sensibilité du fichier, au volume de données traitées et aux durées de conservation particulièrement longues, la CNIL « recommande vivement » au ministère d’être transparent vis-à-vis du public, et donc d’expliciter l’ensemble des interconnexions sur son site web.
La CNIL rappelle par ailleurs que, compte tenu de la sensibilité des données biométriques et leur vocation à faciliter l’identification d’auteurs d’infractions, « d’éventuelles erreurs sont susceptibles d’avoir de lourdes conséquences pour les personnes concernées ».
Dès lors, elle insiste pour que toute mise à jour des données contenues dans le FAED soit répercutée dans les autres traitements auxquelles elles ont été transmises.
Le FAED repose sur des briques technologiques « obsolètes »
Compte tenu de la sensibilité des données concernées « et des risques associés à l’utilisation de briques technologiques obsolètes », la CNIL estime que « le FAED devrait disposer d’une homologation de sécurité préalablement à toute interconnexion avec d’autres traitements nationaux ou internationaux ».
Et ce, d’autant que la politique de sécurité des systèmes d’information de l’État (PSSIE) exige que « tout système d’information de l’État [fasse] en principe l’objet d’une décision d’homologation avant sa mise en exploitation », et qu’il soit par la suite « maintenu en condition de sécurité ».
De plus, un décret de 2022 relatif à la sécurité numérique du système d’information et de communication de l’État précise que les systèmes antérieurs à son entrée en vigueur doivent faire l’objet d’une homologation de sécurité « dans un délai de deux ans ».
Or, créé en 1987, « le FAED repose aujourd’hui sur un système d’information ne répondant pas aux exigences actuelles d’une homologation de sécurité ». Et la mise à jour du système « n’est prévue qu’en 2025 », l’homologation de sécurité ne pouvant avoir lieu qu’après. (...)
Eu égard à la sensibilité du fichier, au volume de données traitées et aux durées de conservation particulièrement longues, la CNIL « recommande vivement » au ministère d’être transparent vis-à-vis du public, et donc d’expliciter l’ensemble des interconnexions sur son site web.
La CNIL rappelle par ailleurs que, compte tenu de la sensibilité des données biométriques et leur vocation à faciliter l’identification d’auteurs d’infractions, « d’éventuelles erreurs sont susceptibles d’avoir de lourdes conséquences pour les personnes concernées ».
Dès lors, elle insiste pour que toute mise à jour des données contenues dans le FAED soit répercutée dans les autres traitements auxquelles elles ont été transmises.
Le FAED repose sur des briques technologiques « obsolètes »
Compte tenu de la sensibilité des données concernées « et des risques associés à l’utilisation de briques technologiques obsolètes », la CNIL estime que « le FAED devrait disposer d’une homologation de sécurité préalablement à toute interconnexion avec d’autres traitements nationaux ou internationaux ».
Et ce, d’autant que la politique de sécurité des systèmes d’information de l’État (PSSIE) exige que « tout système d’information de l’État [fasse] en principe l’objet d’une décision d’homologation avant sa mise en exploitation », et qu’il soit par la suite « maintenu en condition de sécurité ».
De plus, un décret de 2022 relatif à la sécurité numérique du système d’information et de communication de l’État précise que les systèmes antérieurs à son entrée en vigueur doivent faire l’objet d’une homologation de sécurité « dans un délai de deux ans ».
Or, créé en 1987, « le FAED repose aujourd’hui sur un système d’information ne répondant pas aux exigences actuelles d’une homologation de sécurité ». Et la mise à jour du système « n’est prévue qu’en 2025 », l’homologation de sécurité ne pouvant avoir lieu qu’après. (...)
Des empreintes conservées jusqu’à 40 ans (...)
Immatriculation des véhicules, identité des victimes
Le décret prévoit en outre la collecte de nouvelles informations, précise la CNIL :
l’immatriculation, la marque, le type de véhicule « faisant l’objet de relevés d’empreintes d’origine inconnue » ;
les nom et prénom de la victime de l’infraction « lorsque les nécessités de l’enquête ou de l’information le justifient ».
Afin d’encadrer leur usage, le ministère indique mettre en œuvre les garanties suivantes :
aucune de ces informations ne pourra faire l’objet d’une requête dans le FAED ;
la collecte des nom et prénoms de la victime ne sera pas systématique, n’interviendra que si elle est nécessaire (« par exemple si l’adresse de la victime ne suffit pas »), et « n’est prévue que pour les seules empreintes digitales et palmaires d’origine inconnue collectées dans le cadre judiciaire ».
(...)
Collecte et identification de la nationalité (...)
Des données effacées automatiquement ou manuellement
La CNIL relève enfin que l’analyse d’impact relative à la protection des données (AIPD) fournie par le ministère précise que les données contenues dans le FAED font l’objet d’un « effacement automatique quotidien » à l’issue des délais réglementaires de conservation, « sauf pour les empreintes d’origine inconnue », pour lesquelles le système propose une liste d’affaires qui arrivent à expiration et que l’opérateur doit valider manuellement.
FAED peut aussi faire l’objet d’un « effacement manuel anticipé » :
en cas d’identification de la personne à laquelle elles se rapportent (auteur d’infraction, personne grièvement blessée ou décédée, etc.) ;
à réception de l’avis de la découverte de la personne disparue, sur instruction du procureur de la République ou du juge d’instruction ou, à leur demande, de l’officier de police judiciaire si la prescription de l’action publique est acquise ;
dès réception d’une information émanant du procureur général ou du procureur de la République (en cas de décision de relaxe ou d’acquittement devenue définitive, de classement sans suite ou de non-lieu sur ordonnance du juge d’instruction) sauf si l’autorité judiciaire en prescrit le maintien ;
ou à la demande du magistrat chargé du contrôle du fichier ou de l’intéressé, lorsque l’autorité judiciaire estime que la conservation n’apparaît plus nécessaire.
(...)