Alors que la proposition de loi relative à la sécurité globale suscite de nombreux débats, le gouvernement autorise l’extension de trois fichiers de police. Il accentue, ce faisant, les inquiétudes des défenseurs de libertés qui ont rapidement dénoncé le franchissement d’une nouvelle étape dans la surveillance de masse.

Le journal officiel du 4 décembre 2020 publie les décrets n°2020-1510, 2020-1511 et 2020-1512 du 2 décembre 2020, ainsi que les avis de la Commission nationale de l’informatique et des libertés (CNIL). Tout en demandant au gouvernement de préciser certains points, elle adopte une position mesurée. La CNIL souligne que le pouvoir réglementaire adapte le droit à des pratiques. D’un côté, l’observateur en déduit qu’une surveillance discutable existait, d’un autre, qu’un encadrement juridique est bienvenu.

Les textes concernent plusieurs dispositions du code de la sécurité intérieure (CSI) applicables aux traitements de données à caractère personnel de trois fichiers : « Enquêtes administratives liées à la sécurité publique » (important pour l’accès à certaines professions) ; « Prévention des atteintes à la sécurité publique » (PASP), et « Gestion de l’information et prévention des atteintes à la sécurité publique » (environ 250 000 fiches en tout). Le GIPASP, et le PASP sont équivalents, le premier étant utilisé par la police, l’autre par la gendarmerie.

Les modifications apportées ne sont pas uniquement techniques. Elles s’inscrivent dans une tendance de fond d’emploi de toutes les facilités offertes par la technologie pour augmenter la mémoire des forces de sécurité intérieure.

En quoi consiste principalement l’extension ?

L’extension est double. Elle a trait, d’une part, aux finalités et, d’autre part, aux données collectées.

Jusqu’à présent, les trois fichiers intéressaient la seule préservation de la sécurité publique. Activité classique de police administrative, elle ne soulève pas, en tant que telle, de difficulté particulière. Dorénavant, les données personnelles stockées pourront aussi servir à prévenir les atteintes à la sûreté de l’État. La dimension est alors différente. Dans le CSI, cette finalité est, par exemple, centrale dans le Livre VIII relatif aux activités de renseignement. De la sorte, le pouvoir réglementaire vise particulièrement la prévention du terrorisme, des atteintes à l’intégrité du territoire ou aux institutions de la République. Au-delà de l’ordre public, il convient de protéger les intérêts fondamentaux de la Nation.

L’autre apport concerne les données. Le PASP et le GIPASP ne contiendront plus seulement des éléments relatifs aux personnes physiques. Les personnes morales et les groupements pourront aussi être fichés. En outre et surtout, le ministère de l’Intérieur autorise la collecte de nouvelles informations. Certaines sont très sensibles puisqu’elles portent, en particulier, sur l’état de santé, les opinions politiques, philosophiques ou religieuses, les habitudes de vie, les activités en ligne. Enfin, le fichage est élargi à l’entourage de la personne principalement concernée.

Quelles sont les critiques formulées ?

Sans surprise, les critiques émanent des associations de défense des libertés. Certaines ont d’ailleurs annoncé leur intention de saisir le Conseil d’État pour obtenir l’annulation des trois décrets. Elles dénoncent plusieurs aspects.

D’abord, en autorisant la collecte de données personnelles au nom de la sûreté de l’État, les textes étendent substantiellement les justifications à la disposition des services de police. La notion est suffisamment englobante pour cela.

Ensuite, l’inquiétude augmente en raison des données traitées. Elles touchent à des éléments essentiels de l’intimité (y compris des données de santé). Certaines sont, en outre, susceptibles d’être interprétées extensivement, comme « le comportement et habitude de vie », les « activités sur les réseaux sociaux », ou encore les « facteurs de fragilité ».
Dans un même ordre d’idées, l’application à l’entourage, y compris aux enfants mineurs (ainsi que les victimes), retient l’attention. Les textes dépassent les personnes ayant eu des liens directs et non fortuits, et le fichage succinct.
À la lecture des dispositions, plus grand-chose ne semble pouvoir échapper aux forces de sécurité. Si le pouvoir réglementaire a pris soin d’énumérer les données concernées, les listes sont tellement longues qu’elles ne laissent pratiquement plus rien de côté. La CNIL n’a pas manqué de le remarquer, tout en notant que les textes autorisent uniquement des collectes strictement nécessaires, ce qu’impose aussi la Cour européenne des droits de l’homme (CEDH).

Enfin, les critiques portent sur la possibilité de croiser manuellement les ressources, en particulier, pour utiliser les photographies contenues dans d’autres fichiers (celui des titres sécurisés). De la sorte, les digues semblent tomber progressivement. L’interconnexion des bases de données combinée aux moyens de surveillance vidéo (caméras individuelles, drones, vidéo protection fixe), et aux technologies de reconnaissance faciale ferait craindre une surveillance de masse. Malgré tout, la CNIL souligne les limites prévues (la consultation uniquement par des agents individuellement habilités par exemple).

S’il est saisi, le juge administratif devrait analyser tout cela au regard des principes bien connus de proportionnalité. Il s’assurerait que les libertés ne sont pas sacrifiées au profit de la sécurité. Il vérifierait l’existence de garanties suffisantes, en particulier la nécessité des dispositifs, et la fiabilité des contrôles.

Quelles possibilités de contentieux pour les personnes fichées ?

Ce point est intéressant même s’il passe plus inaperçu. Dans l’hypothèse d’un fichage au nom de la sécurité publique, les administrés font au besoin valoir leurs droits (effacement, rectification d’erreurs) devant le Tribunal administratif de Paris (CE 6 novembre 2017, n° 409075). Il statue en application de la procédure administrative de droit commun.

En revanche, dans le cas des données qui concernent la sûreté de l’État, seule la formation spécialisée du Conseil d’État est compétente. Créée par la loi du 24 juillet 2015 relative au renseignement, elle intervient après l’exercice du droit d’accès indirect par l’intermédiaire de la CNIL. Elle fonctionne, par ailleurs, en appliquant une procédure asymétrique, au nom de la protection du secret (pas d’accès du demandeur à toutes les pièces par exemple). Cet aménagement s’explique par la sensibilité de certaines données stockées.