l’expiration d’un certain délai, dont la durée varie en fonction de la nature
des données et de l’atteinte portée à la vie privée34, et, d’autre part, qu’elle
dispose d’un accès permanent et direct aux relevés de destruction établis
par les agents habilités à y procéder35.
L’ensemble des données indûment conservées en 2022 étaient issues de
techniques de recueil de données informatiques.
19 des 23 cas identifiés en 2022 ont concerné le même service. La CNCTR
a constaté que le script d’effacement automatique des données mis en
place par le service avait connu une défaillance. Cette dernière a été
rapidement corrigée et les renseignements illégalement conservés ont été
détruits. La commission s’est, en outre, assurée qu’ils n’avaient donné lieu
à aucune exploitation.
Dans les autres cas, le script d’effacement avait correctement fonctionné
mais le point de départ du délai de conservation des données pris
en compte était erroné. Les mêmes mesures correctives que celles
précédemment décrites ont été appliquées.
La CNCTR souligne que la technique de recueil de données informatiques,
qui est parmi les plus attentatoires à la vie privée, ne bénéficie pas
encore du dispositif de centralisation organisé par le GIC36. Dans ces
conditions, le respect des règles de conservation et d’exploitation des
données collectées repose exclusivement sur la fiabilité et la rigueur des
procédures internes mises en place par les services. Comme l’illustrent les
exemples précédents, les risques de défaillances sont bien réels. En outre,
les moyens matériels et humains limités dont la commission dispose
l’obligent à procéder à des contrôles par échantillonnage sans rapport
avec le volume des données effectivement recueillies.
La CNCTR appelle donc vivement de ses vœux la généralisation du dispositif
de centralisation au GIC et l’accélération des projets de développement
de réseaux informatiques sécurisés capables d’acheminer des données
34. Voir les dispositions de l’article L. 822-2 du code de la sécurité intérieure.
35. Voir les dispositions du 2° de l’article L. 833-2 du code de la sécurité intérieure.
36. Les techniques de recueil de données de connexion par IMSI catcher et de recueil de données informatiques ne sont pas
couvertes par le dispositif de centralisation du GIC. En outre, la DGSI et la DGSE disposent de leur propre dispositif de
centralisation des renseignements recueillis.