L’essentiel :

1. Le projet de décret dont est saisie la CNIL modifie les dispositions encadrant le logiciel de rédaction des procédures de la police nationale (LRPPN). Selon le ministère de l’intérieur, ce traitement est mis en œuvre à des fins de clarification et d’homogénéisation de la rédaction des procédures administratives et judiciaires et permet, à travers les mises en relation effectuées, la fiabilisation des données qui y sont contenues.
2. La CNIL accueille favorablement la précision du périmètre des finalités du traitement ainsi que la suppression de la possibilité de recourir à un dispositif de reconnaissance faciale.
3. Elle émet toutefois des observations concernant :

– certaines catégories de données qu’il conviendrait de préciser ;
– le traitement de données sensibles qui devrait être davantage encadré ;
– les modalités d’exercice des droits qui, au regard de l’applicabilité de l’article 111 de la loi « informatique et libertés », sont à clarifier.

___________________
La Commission nationale de l’informatique et des libertés,
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (« loi informatique et libertés »), notamment son article 31 et son titre III ;
Après avoir entendu le rapport de Mme Sophie Lambremon, commissaire, et les observations de M. Damien Milic, commissaire du Gouvernement,
Adopte la délibération suivante :

I. – La saisine
A. – Le contexte

Encadré par le décret n° 2011-110 du 27 janvier 2011, le traitement dénommé « logiciel de rédaction des procédures de la police nationale » (LRPPN) est destiné aux services de police et a pour objet d’assurer la clarté et l’homogénéité de la rédaction des procès-verbaux en matière judiciaire et administrative. Il constitue le socle d’un écosystème appelé « Nouveau système d’information dédié à l’investigation » (NS2i) et permet de fiabiliser les données enregistrées dans les différentes applications de documentation criminelle avec lesquelles il est mis en relation.

B. – L’objet de la saisine

La CNIL a été saisie pour avis, par le ministère de l’intérieur, d’un projet de décret modifiant le décret n° 2011-110 du 27 janvier 2011 autorisant la création du traitement automatisé de données à caractère personnel dénommé « LRPPN » et portant diverses dispositions relatives aux traitements automatisés de données à caractère personnel du ministère de l’intérieur.
Ce projet de décret modifie plusieurs caractéristiques du traitement « LRPPN ». Il prévoit, notamment, la suppression de la finalité relative à la mise en relation du logiciel avec d’autres traitements, une réorganisation et un élargissement des catégories de données traitées, ou encore une mise à jour des dispositions relatives aux droits des personnes concernées.
Ce traitement, poursuivant des finalités relatives à la prévention et la détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, relève des dispositions du titre III de la loi « informatique et libertés ».

II. – L’avis de la CNIL
A. – Sur les finalités du traitement

L’article 1^er du décret 27 janvier 2011 en vigueur prévoit que le traitement « LRPPN » a pour finalités :

– de permettre aux services de police d’assurer la clarté et l’homogénéité de la rédaction des procédures judiciaires et administratives qu’ils ont compétence pour mettre en œuvre en vertu des lois et règlements ;
– de réaliser l’archivage de ces procédures ;
– de permettre la collecte des informations issues de ces procédures, en vue de leur diffusion et de leur exploitation ;
– de permettre, en vue de leur alimentation, la mise en relation avec des traitements de données relatives aux procédures judiciaires.

En premier lieu, le projet de décret envisage de supprimer la dernière finalité dédiée à la mise en relation du LRPPN avec d’autres traitements.
La capacité de mettre en relation le traitement « LRPPN » avec d’autres traitements constitue une simple fonctionnalité et non une finalité en soi, de sorte qu’elle n’a pas à être expressément mentionnée dans l’acte réglementaire autorisant le traitement (v. CE, 13 avril 2021, LDH e.a., n° 439360, inédit ; v. aussi CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié). Cette modification n’appelle pas d’observations de la CNIL.
En second lieu, il ressort des précisions apportées, qu’au titre des finalités du LRPPN, des opérations de traitement à partir d’un module dénommé « gestion automatisée des signalements et des photographies anthropométriques répertoriées et distribuables » (GASPARD) pourront être réalisées. Ce module du LRPPN permet, via le thème « signalisation » du logiciel, d’alimenter notamment le traitement des antécédents judiciaires (TAJ) et le fichier automatisé des empreintes digitales (FAED).
Les opérations de traitement réalisées au moyen de GASPARD ne peuvent relever du traitement LRPPN qu’à condition qu’elles soient conformes à l’ensemble des dispositions encadrant ce traitement s’agissant notamment des finalités, des catégories de données ou encore des durées de conservation.
En l’espèce, il apparait que le module « GASPARD » permet principalement de collecter des données dans le cadre d’opérations de signalisation judiciaire. Ces données, à l’exception des données biométriques, sont ensuite transmises au module « signalisation » afin d’être intégrées dans la procédure judiciaire en cours.
Bien que la rédaction large des finalités prévue par le décret permette de considérer que ce module contribue à assurer la clarté et l’homogénéité des procédures par les données qu’il collecte et diffuse en vue de leur exploitation, la CNIL estime que les finalités pourraient être davantage explicitées – en précisant par exemple que le traitement vise à faciliter les opérations de signalisation judiciaire (art. 4-2° de la loi « informatique et libertés »).

B. – Sur les catégories de données traitées

Le projet de décret élargit le périmètre des catégories de données à caractère personnel pouvant être collectées et procède à leur réorganisation en fonction de la procédure visée et des personnes concernées.

a) Concernant la minimisation des données collectées au titre de catégories génériques

Le projet de décret autorise le traitement des « éléments issus des constatations et investigations strictement nécessaires à la conduite et à la résolution de la procédure » et des « pièces et documents numérisés accompagnant [une telle] procédure » administrative ou judiciaire.
La formulation de ces catégories est susceptible de couvrir une grande variété de données à caractère personnel, y compris des données sensibles. De telles catégories sont en principe trop imprécises pour fournir un encadrement satisfaisant à un traitement régi par un acte règlementaire. Néanmoins, il apparait en l’espèce particulièrement difficile d’identifier tous les types de données à caractère personnel susceptibles d’être traités dans le cadre de la rédaction d’actes relatifs aux faits les plus divers, en lien avec toutes les procédures auxquelles participent les services de police. Pour cette raison, et dans ce cas particulier, la formulation proposée sur ce point dans le projet de décret n’appelle pas d’observations de la CNIL (v. CNIL, SP, 27 mai 2021, avis sur projet de décret, LRPGN, n° 2021-061, publié).
Au-delà de la rédaction du décret, et en vue d’assurer la minimisation des données, la CNIL invite le ministère à prévoir des garanties supplémentaires concernant le traitement des pièces et documents numérisés accompagnant la procédure (v. CNIL, SP, 23 octobre 2025, avis sur projet de décret, infoParquet, n° 2025-103, publié).

b) Concernant la collecte de photographies

Le décret 27 janvier 2011 en vigueur prévoit, dans le cadre des procédures judiciaires et s’agissant des personnes mises en cause et des personnes faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort ou d’une disparition, la possibilité d’enregistrer des photographies comportant les caractéristiques techniques permettant le recours à un dispositif de reconnaissance faciale.
Le projet de décret envisage de supprimer la référence aux caractéristiques techniques permettant le recours à un dispositif de reconnaissance faciale. L’AIPD précise que les photographies relatives aux personnes mises en cause ne font l’objet d’aucun dispositif de reconnaissance faciale dans le traitement « LRPPN ».
La CNIL accueille favorablement cette évolution de nature à exclure le déploiement d’un dispositif de reconnaissance faciale dans l’outil.
Il apparait toutefois que le module « GASPARD » permet d’alimenter, via le LRPPN, le TAJ – lequel contient un dispositif de reconnaissance faciale. A cet égard, la CNIL prend acte de ce que les flux de données sont unidirectionnels, ne pouvant être opérés que depuis le LRPPN vers le TAJ.

c) Concernant la collecte de données relatives aux « signes physiques particuliers, objectifs et permanents en tant qu’éléments de signalement »

Le projet de décret autorise la collecte, dans le cadre des procédures judiciaires, d’informations relatives aux « signes physiques particuliers, objectifs et permanents en tant qu’éléments de signalement » des personnes victimes, mises en cause ou faisant l’objet d’une enquête ou d’une instruction pour recherche des causes de la mort ou d’une disparition.
Selon l’AIPD, ces données sont collectées lorsqu’il est nécessaire de rassembler des éléments permettant d’identifier une victime, ou encore de permettre l’identification d’une personne recherchée, au moment de l’audition où à la suite des investigations. S’agissant des personnes mises en cause, les données qui correspondent à leur description physique sont recueillies à l’occasion d’une opération de signalisation de l’individu, dans les locaux de police, via le module « GASPARD ».
Il ressort également de l’AIPD que la description physique ou l’enregistrement du signalement d’une personne dans une procédure judiciaire peut conduire à révéler des données de la nature de celles mentionnées à l’article 6 de la loi « informatique et libertés » (ci-après « données sensibles »).
Sans remettre en cause les impératifs liés aux besoins opérationnels relatifs à l’exécution des procédures judiciaires, la CNIL rappelle que ces données ne doivent être traitées qu’en cas de nécessité absolue et ne doivent pas porter une atteinte disproportionnée à la vie privée des personnes concernées. A cet égard, en plus des formations délivrées aux utilisateurs du logiciel, des mesures supplémentaires devraient être mises en place. Elle recommande, par exemple, qu’un message d’avertissement relatif à la nature particulièrement sensible des données relatives aux signes physiques particuliers puisse incrémenter l’écran au moment de la saisie de cette catégorie de données.

d) S’agissant des informations relatives aux « fouilles de sécurité »

Le projet de décret prévoit, pour les personnes physiques mises en cause dans le cadre d’une procédure judiciaire, la collecte d’informations relatives aux « fouilles de sécurité ». L’AIPD précise que le traitement de ces données vise à rendre compte des investigations menées par les enquêteurs en mentionnant, notamment, les objets résultant de la fouille.
La CNIL estime que la notion de « fouilles de sécurité », susceptible de faire l’objet d’une interprétation large, pourrait être précisée. Par conséquent, il conviendrait d’apporter, dans le décret, des précisions quant à la nature des données figurant au titre de cette catégorie, et a minima de préciser que les données seraient limitées aux résultats des fouilles.

C. – Sur les droits des personnes

En premier lieu, s’agissant de l’information des personnes :

– une information générale est assurée par l’intermédiaire d’une publication sur le site web du ministère et par voie d’affichage au sein des commissariats de police ;
– pour certaines catégories de personnes, des mentions d’information sont prévues au niveau de formulaires (c’est le cas, par exemple, de la « notice victime »).

Au regard de ces éléments, et en vue d’assurer l’effectivité des droits, la CNIL recommande que l’information puisse être réalisée directement auprès des personnes concernées lorsque cela est matériellement possible.
En second lieu, le projet de décret modifie pour mettre en conformité avec la réglementation relative à la protection des données les dispositions relatives aux droits des personnes concernées par le traitement.
S’agissant, d’une part, des données traitées dans le cadre de procédures administratives, le projet de décret prévoit que les droits s’exercent directement auprès de la direction générale de la police nationale, sauf en cas de restrictions en application de l’article 107 de la loi « informatique et libertés ».
S’agissant, d’autre part, des données traitées dans le cadre des procédures judiciaires, le projet de décret fait application de l’article 111 de cette même loi et prévoit que les droits des personnes sont régis par les dispositions du code de procédure pénale (CPP).
L’article 111 précité soumet aux seules dispositions du CPP l’exercice des droits des personnes concernées sur leurs données à caractère personnel lorsque celles-ci figurent « dans un dossier judiciaire faisant l’objet d’un traitement lors d’une procédure pénale ».
Compte tenu de la variété des données susceptibles d’être concernées par l’application de ces dispositions, elle recommande que l’AIPD explicite de la façon la plus exhaustive possible les cas dans lesquels l’article 111 ou les restrictions de l’article 107 de la loi « informatique et libertés » ont vocation à s’appliquer afin d’orienter le responsable de traitement dans l’instruction des demandes d’exercice des droits des personnes.
Au regard de ce qui précède, afin de permettre aux personnes concernées de disposer d’une information claire, les mentions d’information qui seront diffusées pourraient expliciter les cas dans lesquels l’article 111 de la loi « informatique et libertés » serait applicable (CNIL, SP, 15 juin 2023, avis sur projet de décret, SISPoPP, n° 2023-055, publié).

D. – Sur les mesures de sécurité

La CNIL prend acte de la confirmation du ministère quant à l’utilisation de l’authentification multifacteur comme moyen d’authentification au traitement LRPPN. Elle rappelle néanmoins que, dans les cas exceptionnels où l’authentification est effectuée via des modalités alternatives, il est nécessaire de prévoir des mesures de sécurité techniques et organisationnelles complémentaires qui permettent de conserver un niveau de sécurité équivalent.
La CNIL accueille favorablement l’ambition du ministère de mettre en œuvre une mesure technique et organisationnelle d’analyse des journaux d’évènements. Elle rappelle néanmoins sa recommandation sur le déploiement d’une mesure technique de surveillance active des journaux applicatifs, en vue de permettre la détection immédiate d’actions malveillantes au sein du traitement. Cette exigence s’impose d’autant plus que le traitement LRPPN collecte un nombre particulièrement élevé de données à caractère personnel dont la divulgation serait susceptible d’avoir d’importantes conséquences sur la sécurité des personnes concernées.
Concernant la qualité des données, en l’état, la majorité des interconnexions sont réalisées par le biais de rapprochements manuels. La CNIL retient néanmoins la confirmation du ministère quant à la mise en œuvre de tests de cohérence manuels, réalisés par les responsables hiérarchiques, entre les données saisies et les données reçues.