Introduction

§1 S’il est bien connu que le casier judiciaire constitue un obstacle important pour la réinsertion¹, l’inscription d’informations personnelles dans les banques de données policières et judiciaires est également source de nombreuses difficultés pour l’individu sortant de prison et cherchant à retrouver une place au sein de la société. De manière plus large, cette problématique concerne toute personne dite « connue » des services de police dès lors que certaines informations la concernant sont enregistrées dans des banques de données, parfois même sans qu’elle n’en ait connaissance ou qu’elle n’ait jamais fait l’objet de poursuites pénales. Cet enregistrement peut non seulement générer un sentiment d’incompréhension mais également provoquer des conséquences désagréables voire pénibles pour la personne visée. Celle-ci peut effet être contrainte de se soumettre à des contrôles d’identité renforcés à l’aéroport impliquant parfois un interrogatoire, subir des fouilles sans justification, ou encore, être dans l’impossibilité d’obtenir une attestation de sécurité dans le cadre de ses activités professionnelles la privant de facto de l’exercice de son métier. Autant d’éléments qui constituent de véritables obstacles à la (ré)insertion. Pourtant, obtenir des renseignements clairs quant à l’origine de ce « fichage » peut s’avérer une véritable gageure.

§2 Comme nous l’examinerons dans le cadre de cette contribution, il existe en effet en Belgique quatre types de banques de données policières opérationnelles² : la banque nationale générale (ci-après B.N.G.), les banques de données de base, les banques de données particulières et les banques de données communes. Les règles relatives au traitement des données sont fixées par la loi sur la fonction de police³ complétées par la loi du 30 juillet 2018 sur la protection des données⁴ qui assure la transposition de la directive 2016/680 dite directive « police-justice »⁵. Le contrôle du respect de ces dispositions est assuré par une autorité indépendante, à savoir, l’Organe de contrôle de l’information policière (ci-après C.O.C.). Nous verrons de surcroit que, pour pouvoir exercer ses droits, la personne concernée doit s’élancer dans un véritable « parcours du combattant ». En effet, même si elle peut exercer ses droits auprès du C.O.C. considérant qu’il peut s’avérer impossible pour la personne « fichée » de déterminer quel est le responsable du traitement de ses données, elle n’a toutefois aucun droit d’accès au contenu des informations emmagasinées, le C.O.C. se limitant à répondre qu’il a « procédé aux vérifications nécessaires » sans donner d’informations complémentaires. Ceci exclut, par conséquent, toute possibilité de débat contradictoire dans l’hypothèse où les services de police y encodent des informations inexactes ou parcellaires et prive a fortiori la personne concernée du droit à la rectification voire à l’effacement de ses données.

Cadre général

Les banques de données policières et judiciaires opérationnelles

§3 Il existe actuellement en Belgique quatre types de banques de données policières et judiciaires opérationnelles : la B.N.G., les banques de données de base, les banques de données particulières et les banques de données communes. Examinons chacune de celles-ci.

La banque nationale générale

§4 La B.N.G. est la banque de données la plus importante, elle contient les données traitées à des fins de police administrative et judiciaire et les informations dont l'ensemble des services de police ont besoin pour exercer leurs missions. Cette banque de données doit permettre, par exemple, d’identifier des personnes et de vérifier leurs antécédents de police administrative et de police judiciaire mais aussi, de manière plus large, d’assurer la coordination et le croisement des données à caractère personnel et des informations policières⁶. Historiquement, c’est en 1998, suite à l’affaire Dutroux − et des nombreuses critiques qui s’ensuivirent sur les échanges d’informations défaillants −, que la B.N.G. fut créée dans le but d’améliorer la circulation de l’information policière entre les différents services de police⁷. Depuis lors, elle rassemble une masse considérable d’informations utiles à des fins judiciaires ou à des fins administratives, telles les informations communiquées par un indicateur concernant les planifications d’un vol à main armée, l’annonce de l’organisation d’une manifestation à Bruxelles pendant un sommet européen, des informations selon lesquelles des hooligans veulent perturber un match de football en agressant leurs adversaires⁸. Le type d’informations encodées est très varié, le critère étant « l’intérêt concret que cette information présente pour l’exécution des missions de police […] »⁹. S’il s’agit d’informations « douces » c’est-à-dire des données relatives à des faits non-concrets, ces données sont encodées sous la forme de comptes-rendus ou de rapports administratifs (RIR) ou encore, sous la forme de rapports judiciaires¹⁰ (RAR). S’il s’agit d’informations « dures » concernant des faits concrets telle l’audition d’une victime ou d’un témoin, ces données sont encodées sous la forme procès-verbaux (ci-après P.V.)¹¹. C’est, en premier lieu, au fonctionnaire de police qui introduit les données dans cette banque de données de s’assurer de la pertinence de celles-ci et d’évaluer si elles sont proportionnelles au but poursuivi¹². D’après les chiffres disponibles − extrêmement opaques, puisque non publiés officiellement in extenso depuis 2008¹³ − le succès de cette banque de données est tel qu’une personne sur cinq en Belgique y serait inscrite¹⁴. En 2017, 2,2 millions de personnes y figureraient. Ce chiffre serait passé à trois millions en 2019¹⁵.

Les banques de données de base et les banques de données particulières

§5 En 2014, le législateur a profondément revu les règles relatives à la gestion de l’information¹⁶, fixant désormais un cadre légal pour les banques de données de base et les banques de données particulières.

Les banques de données de base sont les banques de données policières locales créées au profit de l'ensemble de la police intégrée¹⁷. Elles ont pour finalité de permettre l’exécution des missions de police administrative et de police judiciaire grâce à l’exploitation des données à caractère personnel et des informations qui y sont incluses et en informant les autorités compétentes de l'exercice de ces missions¹⁸. En principe elles ne sont accessibles qu’aux membres des services de police à l’origine des données et informations¹⁹.

Parallèlement aux banques de données de base, les chefs de corps, le commissaire général, les directeurs généraux et/ou les directeurs peuvent « dans des circonstances spécifiques » pour « des besoins particuliers » créer des banques de données particulières²⁰. Ces banques de données peuvent être mises en place dans le cas où il s’avère techniquement impossible d’alimenter la B.N.G.²¹. Ainsi, une banque de donnée particulière a été créée pour énumérer les œuvres perdues ou volées et pouvoir y intégrer des photographies de celles-ci²². De même, la zone de police Bruxelles-Capitale-Ixelles dispose d’une « tagothèque » visant à répertorier et identifier les auteurs de graffitis ou tags apposés sur le territoire de la zone²³. Ces banques de données peuvent également être mises en place pour des raisons fonctionnelles, si celles-ci ne sont pas intégrées dans la B.N.G., telles les banques de données relatives aux phénomènes de police administrative²⁴. Ces banques de données particulières sont extrêmement nombreuses : il en existerait plus de huit cent²⁵.

Les banques de données communes

§6 Suite aux attentats en Belgique et en France de 2014 et 2015 et dans la foulée des recommandations du « Plan d’action Radicalisme » approuvé par le Conseil National de Sécurité le 14 décembre 2015, le législateur a mis en place les banques de données communes afin de faciliter l’enregistrement et les échanges d’informations liées à la radicalisation et au terrorisme²⁶. Elles sont créées par les ministres de l’intérieur et de la justice pour l’exercice conjoint de leurs missions en matière de terrorisme et d’extrémisme pouvant mener au terrorisme à des fins spécifiques déterminées par la loi telles des nécessités stratégiques, tactiques ou opérationnelles²⁷. On peut citer, à cet égard, les banques de données concernant les « Foreign Terrorist Fighters » ²⁸ ou encore les « Propagandistes de haine »²⁹. La mise en place de ce type de banques de données suppose une déclaration préalable auprès du Comité R et du C.O.C., ces derniers devant par la suite émettre un avis dans les trente jours de la réception de la déclaration³⁰. Il appartient alors au conseil des ministres de déterminer, par arrêté royal, les types de données à caractère personnel traitées, les modalités des traitements (consultation de la banque de données, utilisation des informations, conservation, effacement et sécurité) et les règles de responsabilités en matière de protection des données à caractère personnel³¹. Pour chaque banque de données, « un gestionnaire » et un « responsable opérationnel » doivent être désignés par le Roi³².

Les règles générales relatives au traitement

§7 Quelque soit la banque de données visée, les services de police peuvent « traiter »³³ certaines informations pour autant qu’elles présentent un caractère « adéquat, pertinent et non excessif » au regard des finalités pour lesquelles elles sont obtenues et pour lesquelles elles sont traitées ultérieurement³⁴. Pour le surplus, il appartient aux ministres de l’Intérieur et de la Justice, chacun dans le cadre de leurs compétences et sans préjudice des compétences propres des autorités judiciaires, de déterminer par directives contraignantes les mesures nécessaires en vue d'assurer la gestion et la sécurité des données traitées dans les banques de données de base, particulières ou la B.N.G.³⁵. Le ministre de l’Intérieur est en effet le responsable du traitement³⁶ pour ce qui concerne les données traitées dans le cadre de la police administrative³⁷ et le ministre de la Justice l’est pour les données traitées dans le cadre de la police judiciaire³⁸.

§8 Ces deux ministres sont responsables conjointement lorsqu’il s’agit de données traitées dans le cadre de ces deux finalités et pour les banques de données communes. Pour les banques de données particulières, les responsables du traitement sont les chefs de corps, le commissaire général, les directeurs généraux ou les directeurs qui ont décidé de traiter des données collectées et ont déterminé les finalités et les moyens à cet effet³⁹. Sont également déterminées par directives générales et contraignantes des ministres de l’Intérieur et de la Justice, les règles d'accès des membres des services de police à la B.N.G. et aux banques de données particulières⁴⁰, les modalités de communications des informations traitées par les services de police et l’interrogation de la B.N.G.⁴¹ mais aussi, les modalités relatives à l'interconnexion des banques de données opérationnelles ainsi que celles auxquelles les services de police ont accès par ou en vertu de la loi ou de traités internationaux liant la Belgique⁴².

§9 La loi impose par ailleurs de prévoir des « fichiers de journalisation » permettant d’établir notamment le motif de la consultation des données, tel une enquête particulière, ainsi que l’identification de la personne qui a traité ces données⁴³. Ces journaux doivent être mis à la disposition du C.O.C. sur demande⁴⁴, afin qu’il puisse vérifier la licéité de certains traitements et effectuer des contrôles, en ce compris dans le cadre de procédures disciplinaires internes des autorités compétentes⁴⁵. La durée de conservation des fichiers de journalisation diffère selon chaque banque de données⁴⁶. L’implémentation des logs est un outil crucial en protection des données puisqu’il permet de contrôler les opérations effectuées, de retracer l’activité des utilisateurs et de détecter les utilisations abusives recouvrant dès lors, à la fois, un aspect dissuasif et un aspect sanctionnateur⁴⁷. Toutefois, en dépit de ces garanties qui existaient déjà sous l’empire de l’ancienne législation⁴⁸, un rapport du Comité P met en évidence l’importance des consultations illégitimes de banques de données mises à la disposition des services de police et ceci, en particulier, en dehors du cadre professionnel, généralement pour des motifs d’ordre privés comme la curiosité⁴⁹.

Les catégories particulières de données

§10 Les données révélant l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, ou l'appartenance syndicale, ainsi que les données génétiques, les données biométriques aux fins d'identifier une personne physique de manière unique⁵⁰, celles concernant la santé, la vie sexuelle ou l'orientation sexuelle d'une personne physique sont qualifiées de données « sensibles »⁵¹. Compte tenu des risques pour les droits et libertés des personnes physiques et du danger de créer des situations discriminatoires, le traitement de ces données⁵² n’est autorisé qu’en cas de « nécessité absolue »⁵³ et pour autant que ce traitement soit assorti de garanties appropriées et qu’il soit autorisé par une loi, le décret, l'ordonnance, le droit de l'Union européenne ou un accord international⁵⁴. À titre illustratif, un accord de coopération⁵⁵ permet l’intégration des données issues du ‘Passenger Locator Form’⁵⁶ (P.L.F.) dans la B.N.G. en vue de veiller au respect de l’application de la quarantaine obligatoire et du test de dépistage obligatoire des personnes pénétrant sur le territoire belge. En dépit des critiques du C.O.C. quant à l’inscription automatique de ces données dans la banque de données policière⁵⁷, celles-ci sont systématiquement encodées mais dans une application de la B.N.G. dite « CROSS/BNG »⁵⁸ avant d’être effacées après une période de sept jours si aucune infraction n’est constatée⁵⁹. Dans le cas contraire, par exemple parce que le code pour effectuer un test Covid-19 n’a pas été activé, les données P.L.F. font l’objet d’une inscription dans la B.N.G. en raison de la suspicion de la commission d’une infraction pénale⁶⁰.

§11 Depuis l’adoption de la loi du 22 mai 2019⁶¹, dans le cadre des missions de police administrative, judiciaire ainsi qu’en matière de coopération policière internationale, les services de police peuvent traiter certaines catégories particulières de données telles que les données de santé, les données biométriques et les données génétiques⁶². Les données biométriques sont, par exemple, les empreintes digitales, les traits du visage, la voix, l’empreinte des oreilles⁶³. Elles proviennent notamment de l’enregistrement des caractéristiques des personnes suspectées, du relevé de traces sur les scènes de crime, voire de l’échange international de données⁶⁴. La collecte de ces données est particulièrement sensible en raison de la possibilité qu'elles offrent de tirer des conclusions quant à l'origine ethnique et à la santé⁶⁵. Elles ne peuvent être traitées qu’à des fins d’identification des personnes en complément de celles déjà visées par la loi sur la fonction de police et sous réserve du respect de certaines conditions lesquelles diffèrent selon le statut de la personne concernée, qu’elle soit victime ou suspecte, par exemple⁶⁶.

§12 Concernant les données de santé, elles ne peuvent être traitées que pour « comprendre le contexte lié à la personne concernée ainsi que pour assurer la sécurité et protéger la santé de toute personne susceptible d'entrer en contact avec les personnes concernées dans le cadre de l'intervention policière »⁶⁷. Les travaux préparatoires indiquent en effet que lors d’une intervention des services de police, les intervenants – avocat, traducteur, personnel de secours, fonctionnaire de police – « courent toujours le risque d’être contaminés par des maladies hautement contagieuses » pouvant nécessiter un traitement rapide⁶⁸. Ils précisent également qu’il peut s’avérer utile de connaitre, en fonction d’informations obtenues lors de précédentes interpellations, les raisons d’un changement d’humeur soudain ou d’anticiper une réaction de panique dans le cas où la personne doit être enfermée⁶⁹. Bien que la loi impose de mentionner si les données proviennent ou non d’un professionnel de soins de santé⁷⁰, on peut s’inquiéter de la durée de conservation de ces données sans réexamen périodique alors que la santé d’une personne n’est pas figée mais évolue et que l’inexactitude de ces données entraîne un risque de discriminations. Ainsi, en 2003, le Comité P avait déjà constaté dans plusieurs dossiers que ce type d’informations était utilisé sans les précautions suffisantes⁷¹. Dans un cas précis, il s’agissait d’une personne qui aurait été porteuse du virus du sida et aurait eu l’intention de contaminer les fonctionnaires de police lors d’une intervention policière. Il est ressorti de l’enquête menée par le Comité P et par le C.O.C. que l’information enregistrée relative au virus reposait uniquement sur des rumeurs verbales, qu’il n’y avait aucune justification judiciaire ou administrative de procéder à cet enregistrement, que l’information reçue n’avait pas été évaluée de manière approfondie et qu’il n’y avait pas d’intérêt concret à la conserver dans la banque de données⁷².

Les catégories de personnes concernées

§13 L’article 44/5 de la loi sur la fonction de police définit les différentes catégories de personnes dont les données à caractère personnel peuvent être traitées dans la B.N.G., les banques de données de base ou les banques de données particulières⁷³ aux fins, d’une part, de police administrative⁷⁴ et, d’autre part, de police judiciaire⁷⁵. À des fins administratives, il s’agit notamment des données de contact des représentants des associations⁷⁶, des personnes impliquées dans des phénomènes de police administrative⁷⁷, des membres d'un groupement national ou international susceptible de porter atteinte à l'ordre public⁷⁸, des personnes susceptibles de porter atteinte aux personnes ou aux biens mobiliers et immobiliers à protéger⁷⁹, des personnes enregistrées en police judiciaire pour un fait infractionnel commis dans le cadre du maintien de l'ordre public⁸⁰, des personnes faisant l'objet d'une mesure administrative prise par une autorité administrative compétente et que les services de police sont chargés de suivre par ou en vertu de la loi, du décret ou de l'ordonnance⁸¹.

À des fins judiciaires, il s’agit notamment des données relatives aux suspects d'un fait pénal et aux personnes condamnées⁸², des auteurs et suspects d'une infraction sanctionnée administrativement et constatée par la police⁸³, des personnes décédées de manière suspecte⁸⁴, des personnes disparues⁸⁵, des personnes évadées ou qui ont tenté de s'évader⁸⁶, des données relatives à l'exécution des peines et à leurs modalités d'exécution (par exemple, la libération conditionnelle⁸⁷)⁸⁸, des témoins d'un fait pénal⁸⁹, des infiltrants civils, des indicateurs et des témoins menacés⁹⁰, des victimes d'un fait pénal⁹¹ ainsi que les données relatives aux personnes qui se sont constituées partie civiles ou personnes lésées⁹² et les personnes civilement responsables d’un fait pénal⁹³. Pour le traitement des données des mineurs de moins de quatorze ans accomplis, l’autorisation du magistrat compétent est requise⁹⁴, les mineurs de quatorze ans ou plus sont soumis au régime ordinaire, le législateur considérant qu’ils peuvent faire l’objet de sanctions administratives eu égard à la loi du 24 juin 2013 relative aux sanctions administratives communales mais aussi à la loi du 21 décembre 1998 relative à la sécurité lors des matches de football⁹⁵.

La durée de conservation des données

§14 La durée de conservation des données diffère en fonction du type de banques de données, de la catégorie de personne concernée, de la gravité des faits en cause et de la finalité pour lesquelles ces données sont enregistrées à savoir, à des fins de police administrative ou judiciaire.

Pour la B.N.G. par exemple, les données des représentants d’associations traitées à des fins de police administrative, communiquées volontairement par celles-ci ou disponibles publiquement pour permettre la gestion des événements, sont conservées pendant trois ans tandis que les données relatives aux personnes impliquées dans les « phénomènes de police administrative » tels le squattage ou les nuisances autour des gares⁹⁶ sont conservées pendant cinq ans⁹⁷. En revanche, les données traitées dans la B.N.G. à des fins de police judiciaire sont conservées durant un an, dix ans ou trente ans selon qu’il s’agit d’une contravention, d’un délit ou d’un crime, que la personne soit, par exemple, victime, suspecte ou condamnée⁹⁸. Pour les banques de données de base, la loi prévoit qu’en principe, les données relatives aux missions de police administrative sont accessibles durant cinq ans tandis que celles traitées à des fins judiciaires sont accessibles durant quinze ans à dater de leur enregistrement⁹⁹, sous réserve de prolongations¹⁰⁰. Si les données ont été traitées dans le cadre d’une information ou d’une instruction judiciaire, les données sont accessibles durant trente ans, voire quarante ans, à partir du moment où la fin de l’enquête a été communiquée par le magistrat compétent à la police¹⁰¹. Les données traitées dans les banques de données particulières ne sont soumises à aucun délai spécifique considérant que les données doivent être supprimées dès que les besoins particuliers pour lesquels les banques de données ont été érigées disparaissent¹⁰². Pour les banques de données communes, les données sont conservées en principe maximum trente ans après le dernier traitement¹⁰³. Il est toutefois examiné au minimum tous les trois ans si les données présentent toujours un lien direct avec la finalité pour laquelle la banque de données fut mise en place¹⁰⁴.

§15 Une fois, la durée de conservation des données écoulée, ces données doivent être archivées et donc rendues inaccessibles¹⁰⁵, puis, enfin être effacées à l’issue du délai fixé par la loi¹⁰⁶. Pour la B.N.G. par exemple, les données sont archivées pendant trente ans puis effacées¹⁰⁷. Soulignons cependant qu’en théorie, indépendamment de ces périodes de conservation, les données traitées dans les banques de données policières et judiciaires devraient être archivées lorsqu’elles sont devenues non adéquates, non pertinentes ou excessives¹⁰⁸. En effet, il existe, dans le chef de l’inspecteur de police ayant encodé les données, une obligation d’effacer des banques de données les données qui ne remplissent plus ces critères¹⁰⁹. A contrario, la rétention d’informations, soit le fait de ne pas encoder d’informations susceptibles de présenter un intérêt pour l’exécution de missions de police, peut faire l’objet de sanctions pénales à l’égard de l’inspecteur de police concerné¹¹⁰.

En pratique, toutefois, on voit que cela n’a rien d’automatique, certaines informations restant encodées indépendamment de leur validité¹¹¹. Du surcroît, la durée de conservation des données est souvent largement dépassée¹¹². Ces données sont dès lors susceptibles d’être conservées, sans être archivées voire effacées, sans limite de temps¹¹³. En ce sens, dans son rapport d’activités de 2020, le C.O.C. souligne qu’environ 75,69 % des dossiers traités en 2020 (109 dossiers sur 144) introduits sur plainte de la personne concernée, se sont soldés par un archivage/effacement complet ou partiel des enregistrements effectués par la police¹¹⁴. Selon le C.O.C., « il s’agit ni plus ni moins d’un chiffre alarmant qui prouve ce que le C.O.C. observe aussi dans le cadre de ses activités, à savoir que la qualité (l’exactitude et la précision) des banques de données policières laisse encore (trop) à désirer » ¹¹⁵. A cet égard, on lira avec intérêt que, dans l’arrêt M.K. c. France, la Cour européenne des droits de l’Homme a condamné l’Etat français alors qu’il prévoyait un délai de conservation de 25 ans10 alors qu’il s’agit d’un délai inférieur à celui prévu par la loi belge et que, comme nous le verrons infra, demander l’effacement des données peut s’avérer un exercice périlleux.

Le contrôle par une autorité indépendante

§16 Le C.O.C. est chargé de surveiller l’application des dispositions contenues dans le titre 2 de la loi du 30 juillet 2018¹¹⁶, de veiller à la légalité du contenu de la B.N.G., des banques de données de base, des banques de données particulières et des banques de données techniques, ainsi que de la procédure de traitement des données et informations qui y sont conservées¹¹⁷. Il peut également émettre des avis, d’initiative ou sur demande, sur toute question relative à la gestion de l’information policière¹¹⁸.

En outre, le C.O.C. est l’instance compétente pour assurer le suivi des réclamations et des plaintes¹¹⁹. Il est tenu d’informer l’auteur de la réclamation de l’état d’avancement et de l’issue de l’enquête dans un délai raisonnable, notamment si un complément d’enquête ou une coordination avec une autre autorité de contrôle est nécessaire¹²⁰. Il a le pouvoir de rappeler à l’ordre les différentes autorités compétentes soumises à son contrôle en cas de violation d’une disposition de la règlementation relative aux traitements des données à caractère personnel¹²¹ mais aussi d’ordonner de mettre un traitement en conformité avec la réglementation applicable¹²², ou encore d’interdire temporairement ou définitivement un traitement de données¹²³. Ainsi, en 2019, le C.O.C. a adopté une mesure correctrice visant à mettre un terme à la surveillance par caméras avec reconnaissance faciale exercée en toute illégalité par la police fédérale à l’aéroport de Zaventem¹²⁴.

Pour mener à bien ses missions, il dispose d’un service d’enquête pouvant procéder à l’audition de personnes¹²⁵, accéder de manière illimitée aux informations et aux données traitées par les services soumis à son contrôle mais aussi aux locaux où se trouvent ces données¹²⁶. Au besoin, ce service peut requérir l’assistance de la force publique et effectuer les constations qui s’imposent¹²⁷ mais aussi, saisir dans ces lieux tous les objets, documents et données d’un système informatique utiles pour son enquête, à l’exception de ceux qui concernent une information ou une instruction judiciaire en cours¹²⁸. Notons que tous les services de l’Etat, y compris les parquets et les greffes des cours et tribunaux sont tenus, vis-à-vis du C.O.C., de ses membres ou des membres du service d’enquête, de fournir à leur demande tous les renseignements qu’ils estiment utiles au contrôle du respect de la législation dont ils sont chargés, ainsi que de leur produire tous les supports d’information voire des copies sous n’importe quelle forme¹²⁹. Toutefois, si ces renseignements font partie d’une enquête pénale ou judiciaire en cours, ils ne seront transmis que moyennant l’autorisation préalable du magistrat compétent¹³⁰.

Les droits des personnes concernées

§17 Les droits des personnes concernées, à savoir, le droit à l’information, le droit d’accès, le droit à la rectification ou l’effacement, ne sont pas encadrés par la loi sur la fonction de police mais de manière générique, par la loi du 30 juillet 2018¹³¹. Comme nous l’examinerons dans le cadre de cette section, cette carence pose certaines difficultés qui, par voie de conséquence, porte atteinte à l’effectivité des droits des personnes concernées.

Nous verrons également que, de manière spécifique, lorsque les données à caractère personnel figurent dans une décision judiciaire ou un dossier judiciaire, ou font l’objet d’un traitement lors d’une enquête judiciaire et d’une procédure pénale, toute demande d’accès, de rectification ou d’effacement doit être adressée au ministère public ou au juge d’instruction conformément aux modalités fixées par le Code d’instruction criminelle, le Code judiciaire ou les lois particulières¹³².

Le droit à l’information

§18 En principe, afin de garantir l’effectivité de ses droits, la personne concernée doit pouvoir obtenir du responsable du traitement des informations relatives au traitement, de manière accessible, en termes clairs, simples et faciles à comprendre et ce, par tout moyen approprié, y compris par voie électronique¹³³. Plus précisément, le responsable du traitement est tenu de fournir à la personne concernée les informations suivantes : l’identité du responsable du traitement, le cas échéant, les coordonnées du délégué à la protection des données ; l’existence d’un traitement ; les finalités du traitement ; le droit d’introduire une plainte auprès de l’autorité de contrôle et les coordonnées de ladite autorité ; l’existence du droit d’accès, de rectification, d’effacement, de la limitation du traitement ; la base juridique du traitement ; la durée de conservation des données à caractère personnel ou, lorsque cela n’est pas possible, les critères utilisés pour déterminer cette durée ; et, le cas échéant, les catégories de destinataires des données à caractère personnel¹³⁴.

Pour assurer un traitement loyal des données, des informations complémentaires peuvent être fournies à la personne concernée en particulier, lorsque ses données sont collectées à son insu, par des moyens secrets ou non¹³⁵. Selon le législateur, ces informations peuvent figurer sur le site Internet de l’autorité compétente de sorte qu’il ne s’agirait pas d’une obligation de notification individuelle¹³⁶. On peut toutefois se demander si cette approche est conforme à l’esprit de la directive 2016/680 dans la mesure où ces informations complémentaires visent justement à permettre à la personne concernée de faciliter l’exercice de ses droits¹³⁷. Ainsi, dans le cadre d’un avis relatif à la loi sur les sanctions administratives communales, la Commission de la protection de la vie privée recommandait de fournir des informations complémentaires à la personne concernée « dès l’enregistrement des données » lorsque les informations n’étaient pas collectées auprès de celle-ci mais par d’autres moyens tels que la plaque d’immatriculation d’une voiture¹³⁸.

§19 S’agissant du domaine pénal, le législateur peut cependant prévoir qu’aucune information ne pourra être communiquée à la personne concernée lorsqu’une telle mesure est nécessaire et proportionnée par rapport à l’objectif poursuivi, tel que « les nécessités de l’enquête »¹³⁹. Ni la directive 2016/680 ni la loi du 30 juillet 2018 n’indiquent toutefois clairement si cette dernière doit être informée du traitement réalisé dès lors que le refus de fournir ces informations ne se justifie plus par exemple, en raison de la clôture de l’enquête. La CJUE souligne l’importance de cette exigence dans son avis 1/2015, celle-ci estimant qu’« il importe que les passagers aériens soient informés du transfert de leurs données PNR vers le Canada et de l’utilisation de ces données dès le moment où cette communication n’est pas susceptible de compromettre les enquêtes conduites par les autorités publiques » considérant qu’« une telle information s’avère, de fait, nécessaire pour permettre aux passagers aériens d’exercer leurs droits de demander l’accès aux données PNR les concernant et, le cas échéant, la rectification de celles-ci ainsi que d’introduire, conformément à l’article 47, premier alinéa, de la Charte ­[des droits fondamentaux de l’Union européenne]­­, un recours effectif devant un tribunal »¹⁴⁰. En ce sens également, dans le cadre de l’affaire Schrems II, l’avocat général près la CJUE rappelle qu’« il ressort de la jurisprudence que les autorités d’un État membre sont, en principe, tenues de notifier l’accès aux données dès le moment où la notification n’est plus susceptible de compromettre les enquêtes menées. Une telle notification constitue, en effet, un prérequis à l’exercice du droit de recours au titre de l’article 47 de la Charte. Cette obligation est désormais reprise à l’article 23, paragraphe 2, sous h), du RGPD »¹⁴¹. S’agissant d’un droit fondamental, on peut donc regretter que cette obligation de notification individuelle «* a posteriori* » ne soit pas expressément ancrée dans la loi du 30 juillet 2018 afin de faciliter l’exercice de leurs droits.

Le droit d’accès

§20 L’article 38, §1 de la loi du 30 juillet 2018, s’alignant sur la directive 2016/680, consacre le droit d’accès direct, c’est-à-dire auprès du responsable du traitement, en tant que règle générale et ce, conformément à l’article 8, §2 de la Charte¹⁴². Sur demande de la personne concernée, le responsable du traitement doit donc mettre à la disposition de celle-ci dans les meilleurs délais et en tout état de cause dans un délai d’un mois¹⁴³, la copie des données la concernant mais aussi certaines informations telles que : la confirmation que des données à caractère personnel la concernant sont ou ne sont pas traitées ; les données à caractère personnel en cours de traitement et toute information disponible quant à leur source¹⁴⁴. Elle doit également informer la personne concernée de la possibilité d’en demander la rectification, l’effacement voire la limitation du traitement eu cause et au besoin, de la possibilité d’introduire une plainte auprès de l’autorité de contrôle¹⁴⁵.

§21 Conformément à l’article 42, al. 1 de la loi du 30 juillet 2018, vu la difficulté pour la personne concernée d’identifier le responsable du traitement¹⁴⁶, la personne concernée peut exercer son droit d’accès par l’intermédiaire du C.O.C. sans préjudice de l’exercice de ses droits auprès du responsable du traitement. En ce cas, le C.O.C. se limite à indiquer qu’il a été procédé aux vérifications nécessaires sans communiquer d’informations contextuelles voire sans indiquer si des données traitées par les services de police, ont été rectifiées ou supprimées¹⁴⁷. Le C.O.C. justifie cette limitation sur la base de l’article 42, al. 3 et 4 de la loi du 30 juillet 2018 selon lequel certaines informations contextuelles peuvent être communiquées aux personnes concernées selon les modalités fixées par arrêté royal lequel fait toujours actuellement défaut¹⁴⁸. Cette pratique n’est toutefois pas conforme à l’article 38, §2 de cette même loi selon lequel c’est à la loi, le décret ou l’ordonnance de limiter entièrement ou partiellement le droit d’accès de la personne concernée, dès lors et aussi longtemps qu’une telle limitation partielle ou totale constitue une mesure nécessaire et proportionnée dans une société démocratique, en tenant dûment compte des droits fondamentaux et des intérêts légitimes de la personne physique concernée en fonction de l’objectif poursuivi¹⁴⁹. Or, aucune disposition légale spécifique ne limite explicitement le droit d’accès¹⁵⁰. À l’inverse, considérer que l’article 42, al. 1 de la loi du 30 juillet 2018 limite totalement le droit d’accès à l’égard des services de police¹⁵¹ reviendrait à admettre qu’un seul article de cette loi puisse limiter l’exercice des droits des personnes concernées pour l’ensemble des bases de données policières, et sans tenir compte des critères susmentionnés.

§22 Un tel raisonnement aboutirait donc à généraliser un système d’exception à un droit fondamental, ce qui entre en contradiction avec l’esprit de la directive 2016/680¹⁵². Selon nous, l’instauration d’une limitation du droit d’accès à l’égard des banques de données policières suppose nécessairement que celle-ci soit encadrée dans chaque base légale spécifique les régissant dans le respect des critères de nécessité et proportionnalité¹⁵³. En effet, l’accès aux données revêt une importance fondamentale puisqu’il constitue un prérequis pour l’exercice d’autres droits comme le droit à la rectification et le droit à l’effacement¹⁵⁴. En ce sens, à l’occasion de l’arrêt Schrems II, l’avocat général près la CJUE indique : « le droit d’accès implique la possibilité pour une personne d’obtenir des autorités publiques, sous réserve des dérogations strictement nécessaires à la poursuite d’un intérêt légitime, la confirmation du fait qu’elles traitent ou non des données à caractère personnel la concernant »¹⁵⁵. Or, en se limitant à indiquer à la personne concernée que les vérifications nécessaires ont été faites, cette dernière est privée du droit de savoir si des informations la concernant sont traitées par les autorités policières et dès lors, d’en demander la rectification ou l’effacement.

§23 Précisons cependant que, concernant spécifiquement les données traitées dans le cadre d’une enquête pénale, lors d’une information ou d’une instruction, le droit d’accès s’exerce auprès du procureur du Roi ou du juge d’instruction conformément aux modalités fixées par le Code d’instruction criminelle¹⁵⁶. En ce cas, la personne concernée dispose d’un droit d’accès au dossier répressif qui peut être limité pour certains besoins particuliers tels que les « nécessités de l’enquête »¹⁵⁷.

Le droit à la rectification et l’effacement

§24 La personne concernée a également le droit d’obtenir du responsable du traitement, dans les meilleurs délais, la rectification ou la complétion voire l’effacement des données à caractère personnel la concernant lorsque celles-ci sont inexactes¹⁵⁸. Le responsable du traitement peut, au lieu de procéder à l’effacement, limiter le traitement si l’exactitude des données à caractère personnel est contestée par la personne concernée et qu’il ne peut être déterminé si les données sont exactes ou non, ou si les données à caractère personnel doivent être conservées à des fins probatoires¹⁵⁹. Le responsable du traitement informe par la suite la personne concernée par écrit des rectifications effectuées ou, de manière motivée, du refus éventuel de rectifier ou d’effacer ses données¹⁶⁰.

§25 Comme exposé supra pour l’exercice du droit d’accès, lorsque la personne concernée exerce ses droits par l’intermédiaire de l’autorité de contrôle, à savoir, le C.O.C., celui-ci se limite à indiquer systématiquement qu’il a procédé aux vérifications nécessaires¹⁶¹. Il peut donc s’avérer impossible pour la personne concernée de savoir si des données ont été rectifiées ou effacées. Outre le fait que cet approche n’est pas conforme à l’esprit de la directive 2016/680, ceci est interpellant d’autant que dans l’arrêt M.K. c. France du 18 avril 2013, la Cour européenne des droits de l’Homme a condamné l’Etat français entre autres en raison du fait que « l’effacement, qui n’est au demeurant pas un droit, constitue une garantie ‘‘théorique et illusoire’’ et non ‘‘concrète et effective’’ »¹⁶².

§26 Précisons par ailleurs que, pour les catégories d’informations extraites de décisions judiciaires coulées en force de chose jugée susceptibles d’avoir une incidence sur les données traitées dans la B.N.G. telles qu’une décision d’acquittement, un changement de qualification des faits, une ordonnance de non-lieu, la personne concernée peut introduire une requête auprès du procureur du Roi pour demander que ces informations soient transmises auprès des autorités compétentes¹⁶³. Il en est de même pour les catégories d'informations extraites de décisions de classement sans suite pour charges insuffisantes ou pour absence d'infraction, prises par le ministère public¹⁶⁴. En effet, en principe, ces informations sont communiquées endéans les trente jours aux services de police selon les modalités fixées par arrêté royal¹⁶⁵. Toutefois, aucun arrêté royal n’ayant été adopté, la transmission d’informations ne semble toujours pas revêtir un caractère systématique¹⁶⁶. Les informations obsolètes sont donc susceptibles de rester encodées dans les banques de données sans limite de temps en l’absence de proactivité de la personne concernée.

Conclusion

§27 Après l’adoption du titre 2 de la loi du 30 juillet 2018 fixant le cadre général relatif au traitement de données par les services de police, le législateur a complété la loi sur la fonction de police quant aux règles relatives aux traitements de données à caractère personnel par les services de police¹⁶⁷. Même si ces modifications devaient renforcer les garanties applicables en la matière, en pratique, le respect de ces règles n’est pas exempt de critiques. Dans son rapport annuel de 2020, le C.O.C. constate par exemple que « la BNG contient de nombreuses inexactitudes et/ou erreurs, alors qu’il s’agit de la banque de données qui contient des données validées, et notamment : - des délais de conservation (largement) dépassés ; - une qualification erronée conférée aux faits ; - des motifs d’enregistrement erronés ou caducs ; - des rapports d’information dont le délai de conservation est dépassé ou qui n’ont plus aucune pertinence ; - des signalements qui restent ouverts sans aucune valeur ajoutée ni évaluation intermédiaire ; - etc. »¹⁶⁸.

Outre les conséquences préjudiciables qu’un tel fichage peut avoir pour la personne concernée, celle-ci peine à pouvoir exercer ses droits. Comme nous l’avons vu, elle n’est pas en mesure d’être informée si des données la concernant sont traitées par les services de police (ou ont été traitées), ne disposant d’aucun droit à l’information individuelle et ce, même, a posteriori, lorsque l’objectif poursuivi par la limitation ne se justifie plus*.* De surcroît, elle ne peut accéder aux données qui la concerne, le C.O.C. se limitant à indiquer qu’il a procédé aux vérifications nécessaires sans communiquer d’autres informations contextuelles. Par voie de conséquences, elle est également privée de la possibilité de demander la rectification ou l’effacement de ses données et donc, de l’exercice d’un recours effectif au sens de l’article 47 de la Charte. Or, cette limitation systématique de l’exercice d’un droit fondamental garanti par l’article 8, §2 de la Charte des droits fondamentaux entre en contradiction avec le respect des critères de nécessité et de proportionnalité exigés en cas d’ingérence dans ce droit. Enfin, elle prive la personne condamnée voire de manière plus large, la personne « connue » des services de police, de toute possibilité de faire corriger des données susceptibles de porter atteinte à ses projets visant à favoriser sa réinsertion dans la société, réinsertion d’autant plus difficile si elle sort de prison.