Expertises des Systèmes d'information - Décembre 2021 - N°474 - Le mensuel du droit de l'informatique et du multimédia - 425

DOCTR INE
DONNÉES PERSONNELLES
Non-conformité
du traitement automatisé
des empreintes digitales
Par une délibération en date du 24 septembre 2021, la
formation restreinte de la Cnil a considéré que le traitement de
données personnelles effectué au sein du fichier automatisé
des empreintes digitales (FAED) par le ministère de l'Intérieur
n'est pas conforme au RGPD. La Cnil a prononcé un rappel à
l'ordre et a enjoint le ministère à se mettre en conformité avec
les dispositions faisant l'objet d'une violation.
U
ne empreinte digitale
se
définit
comme la
marque laissée par les
sillons des pulpes digitales
d'un individu sur un support.
Cette empreinte, utilisée pour la
première fois en France en 1902
pour résoudre une enquête sous
l'impulsion d'Alphonse Bertillon,
alors directeur du « Service de
l'identité judiciaire », est aujourd'hui
l'un des outils principaux utilisés
par les forces de l'ordre dans le cadre
d'une enquête de police.
Afin d'utiliser ce nouvel outil efficacement,
une base de données
a été créée en vue de regrouper
l'ensemble des empreintes précédemment
relevées. Cette base
de données s'appelle le Fichier
automatisé des empreintes digitales
(ci-après dénommé le « FAED »)
et regroupait, en décembre 2018,
les empreintes digitales d'environ
6,3 millions d'individus.
La collecte et l'analyse de ces
données dans le cadre d'un fichier
automatisé constitue un traitement
de données personnelles au sens du
Règlement européen sur la protection
des données (le « RGPD »).
Les empreintes constituant par
ailleurs des données biométriques
permettant l'identification d'une
personne, elles
sont considérées
comme particulièrement sensibles
et sont donc soumises à un encadrement
particulier au sens de
l'article 6 de la loi Informatique et
libertés.
Dans le cadre d'un contrôle effectué
par la Cnil relatif au traitement de
données réalisé au sein du FAED,
la formation restreinte a relevé un
certain nombre de manquements.
En effet, le traitement réalisé par
le ministère de l'Intérieur n'est pas
entièrement conforme aux règles
édictées par le RGPD. Avant d'aborder
les différents manquements
constatés ainsi que les sanctions
édictées par la formation restreinte
de la Cnil, il conviendra donc de
s'intéresser à l'encadrement juridique
dont fait l'objet le FAED.
Contenu et objectif du FAED
Le FAED a été créé en 1987 par le
décret n°87-249 du 8 avril 1987
(relatif au fichier automatisé des
empreintes digitales géré par le
ministère de l'Intérieur), lui-même
modifié par le décret n°2015-1580
du 2 décembre 2015. Il est placé
sous la responsabilité de la Direction
centrale de la police judiciaire du
ministère de l'Intérieur et est réparti
sur différentes zones géographiques.
Le but de ce fichier est de permettre
le traitement automatisé, par les
services de police et de gendarmerie,
des empreintes d'individus
mis en cause dans des procédures
EXPERTISES DÉCEMBRE 2021
pénales. Le FAED est constitué d'une
multitude de fiches, chaque fiche
contenant les empreintes digitales
(doigt), palmaires (main) ou traces
papillaires (marques laissées par les
crêtes papillaires sur un support)
correspondant à un individu
spécifique.
Conformément à l'article 1er de
ce décret, le FAED a pour objet de
permettre la recherche ainsi que
l'identification d'auteurs de crimes
ou de délits, de faciliter la recherche
de personnes disparues ou encore
de permettre l'identification d'un
étranger conformément aux dispositions
de l'article L. 611-4 du code
de l'entrée et du séjour des étrangers
et du droit d'asile. Il contient donc
des
informations
relatives
aux
personnes à l'encontre desquelles
il existe des indices graves ou
concordants rendant vraisemblable
qu'elles aient pu participer à la
commission d'un crime ou d'un
délit, aux personnes mises en cause
dans une procédure criminelle ou
délictuelle, aux personnes détenues
dans un établissement pénitentiaire
qui font l'objet d'une procédure pour
crime ou délit ou encore à certaines
personnes disparues ou décédées.
Le type de données pouvant être
collectées dans le cadre du FAED est
règlementé par l'article 4 du décret
n°87-249 du 8 avril 1987.
425
Expertises des Systèmes d'information - Décembre 2021 - N°474 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Décembre 2021 - N°474 - Le mensuel du droit de l'informatique et du multimédia
