AgentPublic/cnil huggingface dataset:
La commission souligne toutefois que le projet de décret qui lui est soumis maintient le principe de la conservation d'une copie partielle du FPR pour permettre la mise en relation précédemment évoquée. La mise en place d'une telle base miroir avait été justifiée par des difficultés techniques et le ministère s'était engagé à mettre en œuvre plusieurs mesures pour limiter les risques attachés à une telle méthode, notamment la limitation des éléments enregistrés à ceux nécessaires pour l'exercice des missions de l'UIP, l'absence d'accès direct des agents de cette unité aux données et la mise à jour au moins hebdomadaire de la copie partielle du FPR.
La commission rappelle toutefois que ce procédé demeure plus risqué, du point de vue de la protection des données, qu'une consultation directe du FPR et ne doit donc être mis en œuvre que dans la mesure où la mise en relation ne peut pas être réalisée autrement. Or, elle relève que, depuis la mise en œuvre de la base miroir du FPR dans le cadre du dispositif API-PNR, des systèmes de criblage ont pu être institués avec une interconnexion entre une base de données, en particulier ACCRED, et le FPR, sans que des difficultés techniques n'y fassent obstacle. Dans ce contexte, la commission prend acte que le ministère s'engage à expertiser dans les meilleurs délais la possibilité d'une interconnexion directe entre le FPR et le système API-PNR et que la mise en œuvre de la base miroir ne sera poursuivie que si l'expertise confirmait que le FPR n'est pas en capacité technique de répondre aux sollicitations massives du système API­ PNR. Elle invite le ministère à l'informer de l'avancée et des conclusions de cette expertise en lui adressant un bilan annuel relatif aux conditions de mise en œuvre du dispositif API-PNR. La commission estime qu'un tel bilan, au-delà de la question de la base miroir du FPR, est justifié par les enjeux majeurs soulevés par le dispositif et la nécessité de favoriser des échanges réguliers sur les voies d'amélioration du système.
Outre le dispositif de criblage, le système API-PNR donne lieu à la mise en œuvre de différentes techniques de ciblage des individus, donc d'analyse des données sur la base de critères objectifs préétablis. Ces modes d'exploitation des données, qui ne sont mis en œuvre que sur demande d'une autorité compétente, permettent de détecter un comportement jugé à risque au regard des finalités définies à l'article L. 232-7 du CSI.
Le projet de décret prévoit expressément que les critères sont définis en coopération avec les autorités mentionnées à l'article R. 232-15 du CSI, qu'ils doivent être ciblés, proportionnés, spécifiques aux infractions et non discriminatoires , qu'ils ne peuvent être fondés sur des données à caractère personnel qui font apparaître, directement ou indirectement, la prétendue origine raciale ou ethnique, les opinions politiques, philosophiques ou religieuses ou l'appartenance syndicale ou celles qui sont relatives à la santé, à la vie sexuelle ou à l'orientation sexuelle des personnes et qu' ils sont régulièrement mis àjour ou redéfinis .
La commission en prend acte.
Elle prend également acte que les techniques de ciblage constituent uniquement un outil d'aide à la décision et qu'aucune décision prise à l'encontre des intéressés ne résulte du seul traitement automatisé. En effet, des vérifications humaines et manuelles sont réalisées par l'UIP lorsqu'elle est saisie d'une requête puis par les services destinataires qui décident de la conduite à tenir et qui peuvent, le cas échéant, effectuer les vérifications complémentaires qu'ils estiment nécessaires. Le projet de décret impose ainsi, en cas de concordance positive obtenue à la suite de l'évaluation réalisée, le réexamen individuel de la situation de l'intéressé par des moyens non automatisés. La commission relève enfin que, comme pour les résultats issus du criblage, les résultats issus de l'analyse des données au regard des critères préétablis ne peuvent être conservés que pour une durée maximale de quatre-vingt-seize heures, aux seules fins d'informer les autorités compétentes de l'existence d'une concordance positive.
Plus généralement, l'article L. 232-7 du CSI prévoit que les données ne peuvent être conservées que pour une durée maximale de cinq ans.
La commission rappelle que les données susceptibles de révéler l'identité des passagers font l'objet d'une garantie supplémentaire, résultant de la mise en œuvre d'une procédure de masquage. Dans le cadre du système API-PNR expérimental, ce procédé de masquage était mis en œuvre à l'expiration d'un délai de deux ans, au terme duquel les données n'étaient plus visibles ni par les agents de l'UIP, ni par les services ayant formulé les requêtes. L'accès à ces données supposait de formuler une demande motivée auprès du directeur de l'UIP qui, seul, pouvait lever le masquage.
La commission prend acte que ce procédé de masquage est maintenu et que cette garantie est renforcée par la réduction du délai de deux ans à six mois, pour assurer la transposition de la directive PNR.
Sur les destinataires :
Sur les modifications relatives à l'articleR. 232-15 du CSI :
L'article 6 du projet de décret a pour objet de modifier les catégories de personnels pouvant être destinataires des données et informations enregistrées dans le traitement, et ce dans la limite de leurs attributions et besoin d'en connaître. La commission relève que, outre les modifications prévues par cet article, la liste des destinataires telle que prévue par le dispositif expérimental est pérennisée.
A titre liminaire, la commission prend acte que le III de l'article R. 232-15 est modifié afin de tenir compte de la directive 2016/681 susvisée et prévoir ainsi que certains agents peuvent être destinataires des données du traitement, par l'intermédiaire d'une requête à l'UIP ou lorsqu'une intervention sur les plateformes aéroportuaires est nécessaire, pour la prévention, constatation et rassemblement des preuves de la recherche des auteurs d'infractions pour les infractions mentionnées à l'annexe II de la directive précitée, supprimant ainsi le renvoi aux dispositions de l'article 695-23 du CPP.
Premièrement, l'article 6 du projet de décret précise que, au titre de la prévention et de la constatation des actes de terrorisme, du rassemblement des preuves de ces actes et de la recherche de leurs auteurs, les services de la direction du renseignement de la préfecture de police, et non uniquement ceux rattachés à la sous-direction chargée de la lutte contre le terrorisme et les extrémismes à potentialité violente, peuvent formuler des requêtes à l'UIP et être destinataires des réponses. Par ailleurs, l'article précité prévoit que ces agents pourront aussi être destinataires de ces données, aux seules fins de prévention des infractions mentionnées à l'annexe II de la directive 2016/681 précitée.
L'article 1er de l'arrêté du 27 juin 2008 relatif à la direction du renseignement de la préfecture de police et modifiant l'arrêté du 6 juin 2006 portant règlement général d'emploi de la police nationale prévoit notamment que la direction du renseignement de la préfecture de police concourt à l'activité de la direction centrale du renseignement intérieur pour la prévention des actes de terrorisme et pour la surveillance des individus, groupes, organisations et phénomènes de société susceptibles, par leur caractère radical, leur inspiration ou leurs modes d'action, de porter atteinte à la sécurité nationale .
Au regard de ces éléments, la commission estime que ces agents sont légitimes à être destinataires des données du traitement API-PNR France dans les conditions prévues à l'article R. 233-15 du CSI et telles qu'envisagées par le projet de décret.
Deuxièmement, et pour la seule finalité de répression des actes de terrorisme, l'article 6 du projet de décret projette que les agents du service national de la douane judicaire, individuellement désignés et spécialement habilités par leur chef de service, pourront être destinataires des données du traitement. A cet égard, l'article 2 de l'arrêté du 5 décembre 2002 portant création du service à compétence nationale dénommé service national de douane judiciaire prévoit que le service national de la douane judiciaire a pour missions : d'effectuer les enquêtes judiciaires dans les conditions fixées à l' article 28-1 du code de procédure pénale, d'animer et de coordonner, à l'échelon national et en matière judiciaire, la lutte contre les auteurs et complices des infractions visées à ce même article, de recueillir et d'exploiter les renseignements nécessaires à l'exercice de ses missions .
La commission estime que les agents ainsi visés, pour les finalités exposées, sont légitimes à être destinataires des données du traitement, sous réserve qu'ils soient habilités dans les conditions prévues par l'article 28-1 du CPP, outre leur désignation individuelle et habilitation spéciale par leur chef de service.
Troisièmement, l'article 6 du projet de décret a pour objet d'introduire la possibilité pour certaines catégories d'agents d'être destinataires des données enregistrées dans le traitement, et ce, au titre de la prévention des actes de terrorisme. Sont ainsi visés les agents de la direction du renseignement militaire, les agents de la direction du renseignement et de la sécurité de la défense, et les agents affectés à la sous-direction de l'anticipation opérationnelle de la direction générale de la gendarmerie nationale.
L'article D. 3126-16 du code de la défense prévoit que la direction du renseignement militaire élabore et met en œuvre les orientations en matière de renseignement d'intérêt militaire . Par ailleurs, les agents affectés à la sous-direction de l'anticipation opérationnelle de la direction générale de la gendarmerie nationale ont notamment pour missions, conformément à l'article 17-1 de l'arrêté du 12 août 2013 portant organisation de la direction générale de la gendarmerie nationale, de traiter l'information interne et externe permettant l'alerte des autorités, ainsi que le suivi des situations sensibles à court terme, de participer à la recherche, au recueil, à l'analyse et à la diffusion des informations de défense, d'ordre public et de sécurité nationale nécessaires à l'exécution des missions de la gendarmerie et d'assurer le traitement du renseignement opérationnel d'ordre public et du renseignement de sécurité économique en métropole et en outre-mer.
La commission relève qu'en tant que telle, la mission de prévention des actes de terrorisme n'apparaît pas au titre des prérogatives confiées à la direction du renseignement militaire, ainsi qu'à la sous-direction de l'anticipation opérationnelle de la direction générale de la gendarmerie nationale. Toutefois, au regard de leurs missions et des finalités du traitement, elle considère que ces services peuvent être destinataires des données du traitement dans les conditions prévues par l'article R. 232-15 du CSI.
En ce qui concerne la possibilité pour les agents de la direction du renseignement et de la sécurité de la défense d'être destinataires des données du traitement, l' article D. 3126-6 du code de la défense prévoit que cette direction a notamment pour mission de prévenir et rechercher les atteintes à la défense nationale telles qu'elles sont définies par le code pénal et le code de justice militaire, notamment en mettant en œuvre des mesures de contre-ingérence pour s'opposer à toute menace pouvant prendre laforme d'activités de terrorisme, d'espionnage, de subversion, de sabotage ou de crime organisé . Toutefois, la commission considère que seuls les agents rattachés à la sous-direction de la contre-ingérence sont légitimes à être habilités, au regard des missions des autres sous-directions, et des prérogatives exposées ci-dessus, telles que prévues par l'arrêté du 22 octobre 2013 portant organisation de la direction de la protection et de la sécurité de la défense.
Quatrièmement, l'article 6 du projet de décret prévoit de permettre aux agents de la direction générale de la sécurité extérieure (DGSE) d'être destinataires des données enregistrées dans le traitement, et ce, au titre de plusieurs finalités.
L' article D. 3126-2 du code de la défense prévoit que la direction générale de la sécurité extérieure a pour mission, au profit du Gouvernement et en collaboration étroite avec les autres organismes concernés, de rechercher et d'exploiter les renseignements intéressant la sécurité de la France, ainsi que de détecter et d'entraver, hors du territoire national, les activités d'espionnage dirigées contre les intérêts français afin d'en prévenir les conséquences .
Le projet de décret a pour objet de rendre destinataires ces agents au titre de la prévention des actes de terrorisme, et au titre de la prévention, de la constatation, du rassemblement de preuves et de la recherche des auteurs des infractions mentionnées à l'annexe II de la directive 2016/681 susvisée.
En outre, le projet précité vise à permettre aux agents de la DGSE et aux agents de la direction générale de la sécurité intérieure (DGSI), d'être destinataires de l'ensemble des données collectées au sein du traitement, pendant une période maximale de vingt­ huit jours, et pour une destination ou une provenance déterminées, selon les modalités prévues au VI de l'article R. 232-15 du CSI et ce, aux fins de définir ou d'actualiser les critères et les éléments de recherche relatifs aux passagers des vols concernés, pour les besoins de la prévention du terrorisme et des seuls crimes et délits mentionnés à l'annexe II de la directive précitée, et au VIII de l'articleR. 232-15 du CSI.
D'une part, la commission relève que les dispositions relatives aux missions de la DGSE ne visent pas explicitement la prévention des actes de terrorisme. Pour autant, au regard des finalités générales du traitement ainsi que des missions relatives à la sécurité de la France de la direction concernée, elle estime que ces agents sont légitimes à être destinataires des données du traitement API-PNR France dans les conditions prévues par l'article 6 du projet de décret.
D'autre part, l' article 2 du décret n° 2014-445 du 30 avril 2014 relatif aux missions et à l'organisation de la direction générale de la sécurité intérieure prévoit que, au titre de ses missions, elle concourt à la prévention et à la répression des actes de terrorisme ou portant atteinte à la sûreté de l'Etat, à l'intégrité du territoire ou à la permanence des institutions de la République . Ainsi, au regard de ces missions, la commission considère que ces agents sont légitimes à être destinataires des données du traitement, dans les conditions prévues par le projet de décret.
Cinquièmement, la commission relève que l'article 6 du projet de décret modifie les catégories d'agents pouvant être destinataires des données du traitement au titre de la prévention des actes terroristes et des atteintes aux intérêts fondamentaux de la nation en ce qu'il supprime les directions dans lesquelles les agents sont affectés au sein de la DGSE, de la DGSI et de la direction du renseignement militaire. Si la commission considère que cette modification n'appelle pas de réserve particulière de sa part, elle rappelle que cela ne doit pas conduire à étendre les catégories de personnels habilités à accéder aux données conformément à ces dispositions et au sein de ces directions, pour les finalités mentionnées.
Enfin, la commission constate que quelques modifications, uniquement formelles, sont apportées à certaines catégories de destinataires, qui n'appellent pas d'observations particulières de sa part.
Sur l'introduction des articles R. 232-16, R. 232-17, R. 232-18 et R. 232-19 :
Les articles 8 et 9 du projet de décret introduisent la possibilité, également prévue par la directive 2016/681 susvisée, de transmettre des données du traitement API-PNR France aux UIP des autres Etats membres, aux autorités compétentes des autres Etats membres au titre des finalités du traitement, à Europol et aux autorités compétentes d'Etats non membres de l'Union européenne. La commission prend acte que les modalités et conditions de transmission des données à ces destinataires ont vocation à prendre en compte la directive 2016/681 précitée et n'appellent pas d'observations particulières de sa part.
Sur les droits et l'information des personnes :
La commission relève que l'obligation d'information des passagers relative au traitement de leurs données s'applique aussi bien aux compagnies aériennes qu'aux UIP conformément à l'article L. 237-7 du CSI qui prévoit que les transporteurs aériens […] informent les personnes concernées par le traitement , et l' article 2 du décret n° 2014-1566 du 22 décembre 2014 portant création de l'UIP qui dispose que l'UIP veille à ce que les transporteurs aériens informent les passagers de leurs droits .
Elle rappelle que le ministère doit s'assurer du fait que cette information est délivrée de manière claire, complète et pédagogique. A cet égard, au titre des garanties mises en œuvre, le ministère a indiqué qu'une information générale est disponible concernant la mise en œuvre du traitement, par l'intermédiaire du site web pnr.gouv.fr et relative notamment à la transmission des données par les transporteurs, aux finalités de l'exploitation de ces données ainsi que de leur durée de conservation. La commission constate que les informations actuellement accessibles sur ce site ne peuvent être considérées comme complètes. Elle prend ainsi acte de l'engagement du ministère d'enrichir son contenu afin de garantir le droit à l'information des personnes concernées, conformément aux exigences de l'article 13 de la directive 2016/68o susvisée.
L'article 11 du projet de décret prévoit que les différents droits des personnes concernées s'exerceront de manière mixte. A cet égard, les droits d'accès, de rectification et d'effacement des données mentionnées à l'articleR. 232-14 s'exercent directement auprès du directeur de l'UIP ou de son adjoint.
L'article précité du projet soumis à la commission prévoit par ailleurs que le droit d'accès pourra être refusé et que les personnes concernées pourront ne pas être informées d'un refus de rectification, d'effacement de leurs données, ou de limitation de leurs données à caractère personnel relatives à la mention connu ou inconnu , dans les traitements mis en relation avec le système API-PNR France et ce, notamment aux fins de protéger la sécurité publique et la sécurité nationale. Ces droits s'exercent auprès de la Commission nationale de l'informatique et des libertés.
Si la commission considère que ces limitations sont nécessaires et justifiées au regard des motifs mentionnés ci-dessus, elle estime que ces dérogations ne doivent en aucun cas se traduire par une restriction systématique des droits des personnes concernées.
Enfin, ce même article prévoit que le droit d'opposition prévu à l'article 38 de la loi du 6 janvier 1978 modifiée ne s'applique pas au traitement projeté.
A cet égard, la commission rappelle que, si les dispositions de la directive 2016/68o du 27 avril 2016 susvisée telles que transposées en droit interne, ne mentionnent pas la possibilité pour les personnes concernées de s'opposer au traitement mis en œuvre, les Etats membres conservent, en tout état de cause, la possibilité de prévoir des garanties plus étendues que celles établies dans ladite directive pour la protection des droits et des libertés des personnes concernées à l'égard du traitement des données à caractère personnel par les autorités compétentes.
Dans ce contexte, elle considère que l'article 38 précité, qui n'a pas été abrogé par la loi relative à la protection des données personnelles et dont l'application aux traitements relevant de la directive précitée, n'est pas davantage exclue par les dispositions des articles 70-1 et suivants de la loi Informatique et Libertés , a également vocation à s'appliquer aux traitements relevant du champ d'application de cette directive. Elle relève à cet égard que cet article 38 prévoit la possibilité d'écarter le droit d'opposition lorsque le traitement répond à une obligation légale ou lorsqu'une disposition expresse de l'acte réglementaire autorisant le traitement l'exclut.
En l'espèce, la commission considère que l'exclusion du droit d'opposition telle que prévue par l'article 11du projet de décret est strictement proportionnée au regard de la finalité poursuivie par le traitement projeté, à savoir la prévention et la constatation de certaines infractions, du rassemblement des preuves de ces infractions ainsi que de la recherche de leurs auteurs. Compte tenu de ce qui précède, elle estime que la limitation portée l'exercice du droit d'opposition s'inscrit strictement dans le cadre des dispositions du droit national relatives à la protection des données à caractère personnel et n'est pas de nature à porter une atteinte excessive aux droit et libertés des personnes concernées.
Enfin, le projet de décret prévoit que l'UIP notifie à la personne concernée ainsi qu'à la commission, toute violation de données à caractère personnel qui serait susceptible d'entraîner un risque élevé pour la protection de ces données ou d'affecter la vie privée de la personne concernée.
Sur la sécurité des données et la traçabilité des actions :
La commission rappelle que les mesures de sécurité entourant la mise en œuvre du système API-PNR France lui ont été soumises à plusieurs reprises. Dans ces conditions, le projet appelle uniquement de sa part les observations et rappels suivants.
Le système API-PNR met en œuvre des profils d'habilitation afin de gérer les accès aux données en tant que besoin. La commission prend acte de ce que le ministère a prévu de mettre en œuvre une revue régulière des accès.
Une journalisation des opérations de consultation, création et modification des données est mise en place. La commission prend acte que l'architecture de celle-ci est centralisée et rappelle que des mesures visant à renforcer la sécurité de ce mécanisme sont nécessaires, notamment par la mise en œuvre de mesures de réduction du risque d'une altération ou modification volontaire ou non de celle-ci.
Elle rappelle également que doivent être prévus des moyens permettant l'analyse des traces.
La commission prend acte que le ministère s'engage à procéder aux modifications nécessaires pour assurer le respect de ses recommandations en matière d'échanges d'informations avec les services destinataires. La commission rappelle que la garantie de la confidentialité des échanges passe par la mise en œuvre de mesures de chiffrement et d'authentification des destinataires.
Dans ces conditions, la commission considère que les mesures prévues par le responsable de traitement sont conformes à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle toutefois que le respect de cette exigence nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
La présidente,
I. Falque-Pierrotin