Edvige, Réalité ou Cinéma ?

Le cas de la petite Edvige a tout lieu d'intéresser les citoyens français. Bien sûr, si vous êtes en train de lire cet article c'est que vous cherchez à comprendre. Vous êtes donc convié à lire un extrait cité ci-après du décret n° 2008-632 du 27 juin 2008 portant création d'un traitement automatisé de données à caractère personnel dénommé «EDVIGE».   Pourquoi le Blog Citoyen a-t-il décidé de reprendre cette actualité qu'il avait déjà traité de manière succincte le 24 juillet dernier par un simple renvoi au site de la pétition ? Parce que l'on ne peut rester sur un article aussi court, quand bien même chacun a fait son choix, il en reste un sentiment de manque d'explication. Et pour ce faire, le mieux est encore de reprendre la position de la CNIL qui me conforte dans cet article et qui vous expliquera peut-être mieux les réactions actuelles.
Il est important de relever que le ministère de l'intérieur avait souhaité que le décret de création du fichier « Edvige » ne soit pas publié au Journal officiel. Dans un souci de transparence démocratique et d'information des citoyens, la CNIL consultée sur ce projet de texte[1] a demandé à ce que ce texte soit publié afin que le débat public puisse exister. On ne peut que se féliciter que cette commission souvent décriée ait obtenu satisfaction. Et donc débattre de ce fichier est donc un devoir de citoyen incité par la CNIL elle-même.
Ceux qui s'offusquent qu'il en soit ainsi, devront donc faire avec puisque la liberté d'expression a encore un peu de temps devant elle.
On notera que la CNIL a aussi obtenu que l'enregistrement de données concernant les personnalités publiques, syndicales, religieuses ou politiques (élus locaux et nationaux) soit nettement plus limité que dans le projet de décret initial. Ainsi, le décret ne prévoit plus, notamment, l'enregistrement de données relatives au « comportement » ou aux « déplacements » de ces personnalités.
De même, la CNIL relève avoir obtenu que les données concernant l'orientation sexuelle ou la santé de ces personnalités ne soient enregistrées que de « manière exceptionnelle ». Mais que signifie de « manière exceptionnelle » ? Voilà certainement un débat à approfondir dont le ministre de l'intérieur aurait bien voulu s'affranchir ...
Par ailleurs, dans sa délibération la CNIL relève que « la collecte, la conservation et le traitement des données précitées n'étaient jusqu'alors autorisées que s'agissant de personnes qui pouvaient, en raison de leur activité individuelle ou collective, porter atteinte à la sûreté de l'Etat ou à la sécurité publique, par le recours ou le soutien apporté à la violence ainsi que pour les personnes entretenant ou ayant entretenu des relations directes et non fortuites avec celles-ci » soulignant a fortiori l'extension considérable des motifs pouvant conduire à la collecte de ces données puisque en effet l'article 1 cité ci-après indique « lorsque ces informations sont nécessaires au Gouvernement ou à ses représentants pour l'exercice de leurs responsabilité ». Voilà encore un débat qui serait fructueux de conduire : comment définir cette nécessité ? Voilà une notion tellement large qu'elle peut tout justifier alors que la CNIL indique que nous partons d'un système où la motivation était liée à « la sûreté de l'Etat », la « sécurité publique », le « recours à la violence », des notions qui bien que larges sont tout de même et de manière évidente plus restreintes que celle de « nécessité ». Et dans la perspective de ce débat, la CNIL regrette que la possibilité de collecter désormais des informations relatives aux origines ethniques, à la santé et à la vie sexuelle des personnes ne soit pas assortie de garanties suffisantes. Elle précise qu'elle sera particulièrement vigilante sur ce point et utilisera son pouvoir de contrôle pour s'assurer du caractère pertinent, c'est à dire proportionné  de l'enregistrement de ces données dans le fichier et s'agissant des personnalités précitées, de ce que ces données ne seront enregistrées que de manière exceptionnelle.
Pour bien comprendre l'extrait du texte qui suit, il convient de bien relire la délibération de la CNIL : « Aux termes de l'article 2 du projet de décret, il est indiqué que le traitement pourra "enregistrer des données à caractère personnel de la nature de celles mentionnées à l'article 8 de la loi du 6 janvier 1978 ", c'est-à-dire "celles qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale, ou qui sont relatives à la santé ou à la vie sexuelle" ». La commission estime que les cas exceptionnels dans lesquels les données sensibles (...) seraient susceptibles d'être recueillies devraient être étroitement définis. Manifestement, nous sommes loin de la simple modernisation du fichier des RG. Et çà, ce n'est pas du cinéma !



Décret n° 2008-632 du 27 juin 2008 portant création d'un traitement automatisé de données à caractère personnel dénommé « EDVIGE » (Extrait)[2]   Article 1
« Le ministre de l'intérieur est autorisé à mettre en œuvre un traitement automatisé et des fichiers de données à caractère personnel intitulés EDVIGE (Exploitation documentaire et valorisation de l'information générale) ayant pour finalités, en vue d'informer le Gouvernement et les représentants de l'Etat dans les départements et collectivités :
1. De centraliser et d'analyser les informations relatives aux personnes physiques ou morales ayant sollicité, exercé ou exerçant un mandat politique, syndical ou économique ou qui jouent un rôle institutionnel, économique, social ou religieux significatif, sous condition que ces informations soient nécessaires au Gouvernement ou à ses représentants pour l'exercice de leurs responsabilités ;
2. De centraliser et d'analyser les informations relatives aux individus, groupes, organisations et personnes morales qui, en raison de leur activité individuelle ou collective, sont susceptibles de porter atteinte à l'ordre public ;
3. De permettre aux services de police d'exécuter les enquêtes administratives qui leur sont confiées en vertu des lois et règlements, pour déterminer si le comportement des personnes physiques ou morales intéressées est compatible avec l'exercice des fonctions ou des missions envisagées. »
Article 2 
« Conformément aux dispositions de l'article 6 de la loi du 6 janvier 1978 susvisée, et dans la stricte mesure où elles sont nécessaires à la poursuite des finalités mentionnées à l'article 1er du présent décret,
Les catégories de données à caractère personnel enregistrées dans le traitement mentionné à l'article 1er et concernant des personnes physiques âgées de treize ans et plus sont les suivantes :
-   informations ayant trait à l'état civil et à la profession ; -   adresses physiques, numéros de téléphone et adresses électroniques ; -   signes physiques particuliers et objectifs, photographies et comportement ; -   titres d'identité ; -   immatriculation des véhicules ; -   informations fiscales et patrimoniales ; -   déplacements et antécédents judiciaires ; -   motif de l'enregistrement des données ; -   données relatives à l'environnement de la personne, notamment à celles entretenant ou ayant entretenu des relations directes et non fortuites avec elle. »     Extraits de la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés
Article 6
« Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : 1° Les données sont collectées et traitées de manière loyale et licite ;
 
2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. Toutefois, un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des principes et des procédures prévus au présent chapitre, au chapitre IV et à la section 1 du chapitre V ainsi qu'aux chapitres IX et X et s'il n'est pas utilisé pour prendre des décisions à l'égard des personnes concernées ;
 
3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ;
 
4° Elles sont exactes, complètes et, si nécessaire, mises à jour ; les mesures appropriées doivent être prises pour que les données inexactes ou incomplètes au regard des finalités pour lesquelles elles sont collectées ou traitées soient effacées ou rectifiées ;
 
5° Elles sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées. » Article 8 :
« I. - Il est interdit de collecter ou de traiter des données à caractère personnel qui font apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale des personnes, ou qui sont relatives à la santé ou à la vie sexuelle de celles-ci. II. - Dans la mesure où la finalité du traitement l'exige pour certaines catégories de données, ne sont pas soumis à l'interdiction prévue au I : 1° Les traitements pour lesquels la personne concernée a donné son consentement exprès, sauf dans le cas où la loi prévoit que l'interdiction visée au I ne peut être levée par le consentement de la personne concernée ;
 
2° Les traitements nécessaires à la sauvegarde de la vie humaine, mais auxquels la personne concernée ne peut donner son consentement par suite d'une incapacité juridique ou d'une impossibilité matérielle ;
 
3° Les traitements mis en oeuvre par une association ou tout autre organisme à but non lucratif et à caractère religieux, philosophique, politique ou syndical : - pour les seules données mentionnées au I correspondant à l'objet de ladite association ou dudit organisme ; - sous réserve qu'ils ne concernent que les membres de cette association ou de cet organisme et, le cas échéant, les personnes qui entretiennent avec celui-ci des contacts réguliers dans le cadre de son activité ; - et qu'ils ne portent que sur des données non communiquées à des tiers, à moins que les personnes concernées n'y consentent expressément ; 4° Les traitements portant sur des données à caractère personnel rendues publiques par la personne concernée ;
 
5° Les traitements nécessaires à la constatation, à l'exercice ou à la défense d'un droit en justice ;
 
6° Les traitements nécessaires aux fins de la médecine préventive, des diagnostics médicaux, de l'administration de soins ou de traitements, ou de la gestion de services de santé et mis en oeuvre par un membre d'une profession de santé, ou par une autre personne à laquelle s'impose en raison de ses fonctions l'obligation de secret professionnel prévue par l'article 226-13 du code pénal ;
 
7° Les traitements statistiques réalisés par l'Institut national de la statistique et des études économiques ou l'un des services statistiques ministériels dans le respect de la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques, après avis du Conseil national de l'information statistique et dans les conditions prévues à l'article 25 de la présente loi ;
 
8° Les traitements nécessaires à la recherche dans le domaine de la santé selon les modalités prévues au chapitre IX. III. - Si les données à caractère personnel visées au I sont appelées à faire l'objet à bref délai d'un procédé d'anonymisation préalablement reconnu conforme aux dispositions de la présente loi par la Commission nationale de l'informatique et des libertés, celle-ci peut autoriser, compte tenu de leur finalité, certaines catégories de traitements selon les modalités prévues à l'article 25. Les dispositions des chapitres IX et X ne sont pas applicables.
 
IV. - De même, ne sont pas soumis à l'interdiction prévue au I les traitements, automatisés ou non, justifiés par l'intérêt public et autorisés dans les conditions prévues au I de l'article 25 ou au II de l'article 26.

[1] Délibération n° 2008-174 du 16 juin 2008 portant avis sur un projet de décret en Conseil d'Etat portant création au profit de la direction centrale de la sécurité publique d'un traitement automatisé de données à caractère personnel dénommé « EDVIGE » [2] Pour prendre connaissance du texte complet créant le fichier Edvige, allez sur le site de legifrance