Exclusif: Sophie Nerbonne, directrice des affaires juridiques de la Commission informatique et libertés, répond à "Têtu".

L'intégralité de l'interview exclusive pour Têtu de Sophie Nerbonne, directrice adjointe des affaires juridiques de la Cnil (lire aussi Quotidien du 24 juillet). Pourquoi la Cnil a-t-elle rendu un avis sur le projet de décret créant le fichier Edvige souhaité par le ministère de l'Intérieur? Comment cet avis a-t-il été préparé? La Cnil est une autorité administrative indépendante qui doit obligatoirement être consultée par le gouvernement lorsqu'il souhaite mettre en place un traitement de données à caractère personnel. Pour le fichier Edvige, la demande d'avis sur le projet de décret a été présentée par le ministère de l'Intérieur. Un membre de la Cnil a été désigné rapporteur sur le projet de décret. Il a eu de nombreuses réunions de travail avec des responsables due ministère de l'Intérieur. Il a ensuite rédigé un rapport qu'il a soumis à tous les membres de la Cnil et qui a été débattu lors de deux séances plénières. Par une délibération en date du 16 juin 2008, la Cnil a adopté l'avis sur le projet de décret créant Edvige. Dans cet avis du 16 juin 2008, la Cnil a émis de nombreuses réserves. Pourquoi n'a-t-elle pas rendu un "avis défavorable" sur le projet de décret? Parce que, selon la loi qui a créé la Cnil, celle-ci ne pouvait pas émettre un "avis défavorable" ou "favorable", mais seulement un "avis motivé". C'est d'ailleurs ce qu'elle a fait, en insistant sur de nombreuses réserves. À noter que si le gouvernement avait l'obligation de consulter la Cnil, il n'était en revanche pas tenu de suivre l'avis de la Cnil, et notamment de prendre en compte toutes les réserves. Dans son communiqué de presse, la Cnil précise que le ministère de l'Intérieur ne souhaitait pas, à l'origine, que le décret créant Edvige soit publié au Journal officiel, mais que le ministère a finalement accepté de le publier. Dans les réponses adressées à Têtu, le ministère de l'Intérieur précise que le "communiqué de la Cnil est inexact" et que "le ministère a décidé de lui-même la publication du décret". Qu'en est-il? Sans vouloir polémiquer, l'essentiel est de constater qu'il y a bien eu publication au JO. Cela dit, la Cnil maintient ce qu'elle a indiqué dans son communiqué de presse. En effet, le ministère de l'intérieur avait initialement prévu d'inscrire ce fichier dans la liste des fichiers définie par le décret du 15 mai 2007 et de le faire bénéficier à ce titre d'une dispense de publication, ce qui est juridiquement possible. Par souci de transparence et comme cela avait été le cas pour le précédent décret du 14 octobre 1991, la Cnil souhaitait la publication de ce décret.  La Cnil confirme, comme cela avait été mentionné dans son communiqué de presse, que c'est suite aux échanges intervenus avec elle, que le ministère de l'Intérieur a finalement décidé de publier le décret créant le fichier Edvige. La Cnil ne sait pas quelle a été la position du Conseil d'État dont l'avis n'a pas été publié. Dans son avis du 16 juin, la Cnil s'est référée au décret du 14 octobre 1991, relatif aux fichiers gérés par les Renseignements généraux, qui prévoyait une dérogation pour les données dites sensibles, et autorisait "la collecte (…) d'informations nominatives relatives aux personnes majeures qui font apparaître les signes physiques particuliers, objectifs et inaltérables (…) et les activités politiques, philosophiques, religieuses ou syndicales". En clair, ce décret n'autorisait pas expressément l'enregistrement de données relatives à "l'origine raciale ou ethnique, à la santé, ou à la vie sexuelle". Pourtant, dans la réponse adressée à Têtu, le ministère de l'Intérieur a précisé qu'il n'y avait "eu aucun ajout" de données, et que le décret intervenait donc "à droit constant". La Cnil partage-t-elle cette interprétation du ministère de l'Intérieur? Premièrement, dans le décret du 14 octobre 1991 relatif aux fichiers gérés par les Renseignements généraux, les données dites sensibles susceptibles d'être enregistrées étaient expressément listées, alors que ce n'est pas le cas dans le décret du 27 juin 2008. En effet, le décret créant Edvige se contente de préciser que "le traitement peut enregistrer des données à caractère personnel de la nature de celles mentionnées à l'article 8 de la loi du 6 janvier 1978", c'est-à-dire, comme l'a rappelée la Cnil dans son avis du 16 juin 2008 en citant l'article de la loi, "celles qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci". Deuxièmement, le décret du 14 octobre 1991 ne prévoyait pas expressément la possibilité d'enregistrer des données relatives à "l'origine raciale", alors que cette donnée figurait dans la liste des données sensibles prévue par la loi du 6 janvier 1978, dans sa rédaction en vigueur en 1991. En revanche, le décret du 27 juin 2008, par son renvoi à la loi du 6 janvier 1978, prévoit la possibilité d'enregistrer des données relatives "aux origines raciales ou ethniques". Troisièmement, le décret du 14 octobre 1991 ne prévoyait pas la possibilité d'enregistrer des données relatives à la "santé ou à la vie sexuelle" des personnes. Il convient toutefois de préciser que la santé et la vie sexuelle ne figuraient pas dans la liste des données sensibles, telles que définies par la loi du 6 janvier 1978, dans sa rédaction en vigueur en 1991. En effet, la santé et la vie sexuelle ont été ajoutées dans la liste des données sensibles, telles que définies par la loi du 6 janvier 1978, par la loi du 6 août 2004. Quatrièmement, comme l'a souligné la Cnil dans son avis du 16 juin 2008, "les conditions d'enregistrement de ce type de données [NDLR: les données dites sensibles] étaient plus strictement définies aux termes du décret du 14 octobre 1991, dans un souci de préservation des libertés individuelles et de protection de la vie privée". Il résulte de ces précisions que le décret du 27 juin 2008 n'est pas "intervenu à droit constant" car la loi du 6 janvier 1978 a changé entre le décret de 1991 et celui de 2008. De nouvelles données dites sensibles vont pouvoir être enregistrées par rapport à celles qui pouvaient l'être en application du décret du 14 octobre 1991. D'ailleurs, dans son communiqué de presse du 2 juillet, le Cnil précise bien qu'elle "regrette que la possibilité de collecter désormais [souligné par la rédaction] des informations relatives aux origines ethniques, à la santé et à la vie sexuelle des personnes ne soit pas assortie de garanties suffisantes". Pourtant, l'article 2 du décret prévoit que "celles de ces données [NDLR: les données dites sensibles] autres que celles relatives aux opinions politiques, philosophiques ou religieuses ou à l'appartenance syndicale [c'est-à-dire l'origine ethnique ou raciale, la santé ou la vie sexuelle, NDLR] ne peuvent être enregistrées au titre de la finalité de la finalité 1 de l'article 1er que de manière exceptionnelle". N'est-ce pas une garantie supplémentaire? En effet, au titre de la finalité 1 de l'article 1er du décret, c'est-à-dire pour les "personnes ayant sollicité, exercé ou exerçant un mandat politique, syndical ou économique ou qui jouent un rôle institutionnel, économique, social ou religieux significatif", les données relatives à l'origine ethnique ou raciale, à la santé ou à la vie sexuelle de ces personnes ne pourront être enregistrées que de "manière exceptionnelle".  Il convient de souligner que le projet de décret ne prévoyait pas cette restriction. La référence au "caractère exceptionnel" de l'enregistrement a été ajouté au cours des discussions. En revanche, l'enregistrement de données relatives à l'origine raciale ou ethnique, à la santé ou à la vie sexuelle d'une personne au titre de la finalité 2 de l'article 1er du décret, c'est-à-dire pour une personne "susceptible de porter atteinte à l'ordre public", ou au titre de la finalité 3 de l'article 1er du décret, c'est-à-dire pour les enquêtes administratives, n'est pas soumis à la restriction du "caractère exceptionnel" de l'enregistrement. Certes, en vertu de l'article 6 de la loi du 6 janvier 1978 modifiée, toutes les données à caractère personnel, qu'elles soient sensibles ou pas, doivent notamment être "collectées pour des finalités déterminées, explicites et légitimes" et "adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées", c'est-à-dire que la collecte des données doit être proportionnelle au regard de la finalité du traitement. La Cnil regrette toutefois que les conditions de collecte, d'enregistrement et de conservation des données sensibles ne soient pas mieux définies dans le décret. Elle tient à souligner que tant le caractère exceptionnel de cet enregistrement que, de manière générale, la pertinence de l'information collectée (sa proportionnalité) feront l'objet d'un double contrôle, par la Cnil, via son pouvoir de contrôle sur place, et par la juridiction administrative ensuite en cas de contentieux. Que pense la Cnil de la réponse apportée à Têtu par le ministère de l'Intérieur quant à la justification de l'enregistrement des données sensibles que sont la santé et la vie sexuelle? Le ministère de l'Intérieur y précisait (lire Quotidien du 14 juillet) que les données sur la santé ou la sexualité ne seront "pas enregistrées pour elles-mêmes", mais que "leur mention n'est autorisée que pour un besoin (…) lié à une activité. Dans le domaine du renseignement, il s'agit essentiellement (…) du militantisme". Le fait qu'une personne soit militante d'une association de lutte contre le sida, comme Act Up par exemple, ne signifie pas nécessairement que cette personne soit séropositive ou homosexuelle. Dès lors, il ne sera pas possible d'enregistrer des données relatives à la santé ou à la vie sexuelle de cette personne militante sur le seul fondement de son appartenance à cette association. En revanche, le fait d'être militant révèlera une opinion philosophique ou politique, qui est une donnée sensible au sens de l'article 8 de la loi du 6 janvier 1978. Il existe toutefois des hypothèses dans lesquelles des données sur la santé ou la vie sexuelle d'une personne seront enregistrées, notamment si elles ont été rendues publiques par la personne elle-même, par exemple si la personne est membre d'une association de malades ou si elle a révélée publiquement son homosexualité. Dans sa réponse à Têtu, le ministère de l'Intérieur a souligné que la Cnil a "un droit de contrôle sur ce fichier". Quels sont ces pouvoirs de contrôle dont dispose la Cnil? A-t-elle en outre un pouvoir de sanction? La Cnil pourra se rendre au siège de la direction centrale de la Sécurité publique et dans chacune des directions départementales concernées afin de  contrôler comment le fichier est géré par le ministère. Aux termes de la loi du 6 janvier 1978, "la Cnil peut prononcer un avertissement à l'égard du responsable du traitement qui ne respecte pas les obligations découlant de la présente loi". Elle peut d'ailleurs "rendre publics les avertissements qu'elle prononce". La Cnil peut, en outre, "en cas d'urgence, lorsque la mise en Å“uvre d'un traitement ou l'exploitation de données traitées entraîne une violation des droits et libertés mentionnés à l'article 1er [NDLR: cet article dispose que "l'informatique (…) ne doit porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée, ni aux libertés individuelles ou publiques"], (…) informer le Premier ministre pour qu'il prenne, le cas échéant les mesures permettant de faire cesser la violation constatée". Enfin, "en cas d'atteinte grave et immédiate aux droits et libertés mentionnés à l'article 1er, le président de la commission" peut saisir le juge administratif par la voie d'un référé pour lui demander "d'ordonner, le cas échéant sous astreinte, toute mesure de sécurité nécessaire à la sauvegarde de ces droits et libertés". À noter que le Cnil ne peut pas prononcer de sanction pécuniaire, dans la mesure où le fichier Edvige est géré par l'État. Dans une interview accordée à LCI le 2 juillet, Gérard Gachet, le porte parole du ministère de l'Intérieur avait souligné que "malgré les réserves de la Cnil, le Conseil d'Etat, qui est un garant rigoureux des libertés publique a validé ce décret". La Cnil n'a-t-elle pas l'impression que le ministère a semblé vouloir minimiser le rôle de la Cnil, dont l'avis avait été publié, tout en s'abritant derrière l'avis du Conseil d'Etat, qui lui n'a pas été publié? La Cnil ne souhaite pas polémiquer, mais tient à rappeler qu'elle est une institution indépendante qui dispose d'un fondement communautaire puisque pour adhérer à l'Union européenne, il faut disposer d'une loi de protection des données et d'une autorité de protection des données indépendante, ce qui fonde sa légitimité. Elle a un rôle de garant des libertés qui lui a été reconnu tant par le législateur, que par le Conseil constitutionnel, ainsi que le juge lui-même (le Conseil d'État notamment). Il n'est dès lors pas étonnant que cela provoque des mécontentements de la part de ceux qui doivent apporter des modifications à leurs projets initiaux. La Cnil a aussi une mission d'information du public, à laquelle son président, Alex Türk, attache une grande importance. En effet, les citoyens ne sont pas suffisamment informés du travail effectué par toutes les institutions chargées de veiller au respect de leurs droits dans une démocratie. Il est donc fréquent que la Cnil informe les citoyens par la voie de communiqués de presse, qui sont plus courts que les avis, sont donc plus accessibles pour le "grand public". Tout en étant une autorité administrative indépendante, la Cnil rend des comptes aussi bien sur le plan budgétaire devant la Cour des comptes, que sur le plan politique au travers de ses rapports d'activité annuels au président de la République, et aux présidents du Sénat et de l'Assemblée nationale. Elle essaye en outre de renforcer les liens avec les parlementaires et multiplie notamment les auditions. La Cnil a enfin des comptes à rendre devant les juridictions puisque ses décisions sont attaquables. En un mot, elle témoigne d'un souci de transparence, fondamental dans un État de droit. Retrouvez ici toute l'enquête de "Têtu" sur le fichier Edvige.