AgentPublic/cnil huggingface dataset:
Elle observe cependant qu'aucune disposition réglementaire n'était initialement prévue s'agissant des personnes ayant acquis la nationalité française. La Commission considère que la conservation de données à caractère personnel relatives à des ressortissants nationaux n'est pas conforme aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée, dans la mesure où de telles données ne sont ni adéquates, ni pertinentes, au regard des finalités de gestion des dossiers des ressortissants étrangers du traitement AGDREF 2. 
Elle prend donc acte qu'à sa demande, des durées de conservation spécifiques seront précisées dans le projet de décret, afin que les données relatives à ces personnes ne soient pas conservées dans le traitement au-delà de la durée strictement nécessaire aux finalités de celui-ci. La Commission rappelle que ces données sont conservées un an après le décret de naturalisation ou six mois après la date d'enregistrement de la déclaration de nationalité dans l'actuelle application AGDREF. 
Le projet d'article R. 611-7-1 du CESEDA prévoit également que les données relatives à l'éloignement, mentionnées au I (C) du projet d'annexe 6-4 dudit code, sont effacées sans délai en cas de délivrance d'un titre de séjour. A défaut de cette délivrance, et en l'absence de mise à jour du dossier du ressortissant étranger concerné, les données seraient supprimées du traitement à l'issue d'une période de cinq ans.
La Commission relève que ces dispositions sont sensiblement différentes de celles qui régissent actuellement la conservation des données enregistrées dans l'application ELOI : l'article R. 611-28 du CESEDA prévoit en effet que les données relatives à l'étranger faisant l'objet d'une mesure d'éloignement sont effacées trois mois après la date de l'éloignement effectif. Si le décret du 26 décembre 2007 portant création de ce traitement avait initialement prévu une durée de conservation dérogatoire de trois ans pour certaines données, la Commission souligne en outre que le Conseil d'Etat, dans sa décision précitée du 30 décembre 2009, a annulé cette disposition, de sorte que toutes les données actuellement enregistrées dans le traitement ELOI ne peuvent être conservées que pendant trois mois après la date de l'éloignement ou à compter de la date à laquelle il a été mis fin à sa rétention administrative.
Le ministère a cependant indiqué qu'au vu de la finalité plus générale du traitement AGDREF 2 de gestion des dossiers des ressortissants étrangers, tant du point de vue de leur séjour en France que de leur éventuel éloignement, il apparaît nécessaire de prévoir une durée de conservation de ces données plus longue, notamment afin de tenir compte des éloignements antérieurs dans le cadre des demandes de titre de séjour et de fixation des interdictions de retour à temps. Il a également précisé que l'échec et la répétition de nombreuses tentatives d'éloignement rendent nécessaire la conservation de certaines données afin de faciliter la mise en œuvre des éloignements ultérieurs, conformément aux finalités du traitement. Enfin, il a été indiqué qu'il apparaissait préférable de fixer une durée de conservation de ces données semblable à celle qui prévaut pour les autres données enregistrées dans le traitement AGDREF 2, afin de faciliter l'application des règles de conservation ainsi définies, ainsi que pour les données enregistrées dans les autres traitements nationaux et européens utilisés dans le cadre de la gestion des étrangers.
Au vu de ces précisions, et notamment de la nécessité de conserver dans le traitement les données relatives aux mesures d'éloignement prononcées, la Commission prend acte de la durée de conservation de ces données. Elle relève néanmoins que la consultation de certaines données, et en particulier de certaines informations relatives à la détention et à la rétention administrative des étrangers faisant l'objet d'une mesure d'éloignement, ou aux procédures juridictionnelles mises en œuvre dans ce cadre, n'apparaît pas nécessaire à l'issue de la mise en œuvre de la mesure. Dès lors, la Commission prend acte qu'à sa demande, le ministère s'est engagé à réserver la consultation de ces données aux seuls personnels en charge de l'exécution de ces mesures, lorsqu'elle leur est strictement nécessaire. 
Par ailleurs, la Commission prend acte de ce que les données personnelles relatives aux personnes hébergeant un étranger assigné à résidence sont effacées sans délai après la fin de l'assignation à résidence.
Sous réserve des observations précédentes, la Commission considère que les délais d'effacement des données enregistrées dans le traitement prévus par l'article R. 611-7-1 n'excèdent pas la durée nécessaire aux finalités pour lesquelles ces données sont traitées, conformément aux dispositions du 5° de l'article 6 de la loi du 6 janvier 1978 modifiée. Cette durée de conservation devrait en effet permettre aux autorités administratives de mieux lutter contre l'entrée et le séjour irréguliers des étrangers d'une part, et aux personnes en situation régulière de bénéficier de garanties quant à leur droit au séjour, notamment dans le cadre de leurs futurs séjours en France, d'autre part. 
Cependant, au vu de la grande quantité des données enregistrées, du caractère sensible de certaines d'entre elles, et du nombre important de destinataires du traitement projeté, la Commission estime que ces modalités de conservation des données doivent avoir pour nécessaire corollaire la limitation des accès des différents destinataires aux données strictement nécessaires à l'exercice de leurs missions, que le ministère s'est d'ailleurs engagé à mettre en œuvre. Dès lors, la Commission se montrera particulièrement attentive, dans le cadre de l'exercice de ses missions de contrôle a posteriori effectuées en application de l'article 44 de la loi du 6 janvier 1978 modifiée, au respect de cette obligation.
En outre, elle estime que des mécanismes spécifiques doivent être mis en œuvre afin de s'assurer du strict respect des durées de conservation prévues. A cet égard, la Commission rappelle que l'actuelle application AGDREF rencontre d'importantes difficultés de mise à jour et d'apurement, comme elle l'a indiqué à plusieurs reprises au ministère chargé de l'immigration, et comme de récentes missions de contrôle, diligentées à la suite de plaintes reçues par la Commission, ont également permis de le constater, s'agissant en particulier de la conservation dans le système de personnes ayant acquis la nationalité française depuis de nombreuses années. 
Elle souhaite donc, à nouveau, exprimer sa préoccupation sur ce point et rappelle que la mise à jour et l'effacement des données au terme des délais prévus constituent des obligations au titre de l'article 6 de la loi du 6 janvier 1978 modifiée. La Commission demande dès lors expressément au ministère chargé de l'immigration de mettre en œuvre des mécanismes techniques, tels que des modules de suppression automatique des données à l'expiration de leur durée de conservation, ou à tout le moins des alertes automatiques prévenant les services gestionnaires du fichier de la nécessité de procéder à des mises à jour, afin de garantir la suppression des données dans les délais prévus par le projet d'article R.611-7-1 du CESEDA.
Enfin, elle considère que la création du traitement AGDREF 2 doit constituer l'occasion de résoudre ces difficultés de mise à jour des données des personnes concernées, et qu'en aucun cas les problèmes relevés lors des contrôles menés par la Commission ne doivent peser sur le respect des durées de conservation prévues dans le cadre du nouveau traitement. 
Elle souligne en particulier que les contrôles qu'elle a menés ont notamment permis de constater que l'absence d'enregistrement dans le système, par les agents préfectoraux, de la remise physique du titre à l'étranger concerné, a pour conséquence de ne pas mettre à jour dans l'application la situation de celui-ci au regard du séjour. Lors de la consultation du traitement dans le cadre d'un contrôle d'identité par exemple, l'étranger concerné peut ainsi être considéré comme étant en situation irrégulière, dans la mesure où il n'est pas indiqué comme porteur d'un titre de séjour dans l'application. 
Dès lors, la Commission demande que soit dorénavant mise en place une alerte automatique, au moment de la remise physique du titre à son titulaire, prévenant l'agent préfectoral de la nécessité d'enregistrer cette information dans le traitement. Elle demande également que,  s'agissant des personnes déjà titulaires d'un titre de séjour et dont les données seront transférées vers le traitement AGDREF 2, l'enregistrement de cette information soit systématiquement vérifié. 
5. Sur les destinataires du traitement
Les projets d'articles R. 611-5 à R. 611-7 bis du CESEDA précisent les catégories de personnes pouvant accéder aux données à caractère personnel enregistrées dans le traitement AGDREF 2 et dans le composant électronique des titres de séjour et documents de voyage, en distinguant les destinataires pouvant alimenter, consulter et modifier les donnés du traitement des personnels bénéficiant d'un simple accès en consultation aux données.
L'article R. 611-5 prévoit ainsi un accès à l'intégralité des données du traitement, y compris aux données biométriques, des principaux utilisateurs de l'application, soit les agents des administrations centrales concernées par la réglementation des étrangers, les agents préfectoraux, les agents diplomatiques et consulaires chargés des visas, les services de police, de gendarmerie et des douanes chargés du contrôle aux frontières, et les agents en charge de la gestion de la rétention administrative et des mesures d'éloignement. Toutefois, seuls les agents préfectoraux et consulaires ont accès aux données enregistrées dans le composant électronique des titres, aux fins de délivrance et de renouvellement de ces derniers, ainsi que les agents chargés du contrôle aux frontières, aux fins de contrôle de l'authenticité et de la validité des documents détenus par les personnes.
Le projet d'article R 611-6 du CESEDA mentionne tous les agents habilités à obtenir communication des données enregistrées dans le traitement, en consultation, et à l'exclusion des empreintes digitales des étrangers. Les projets d'article R. 611-7 et R. 611-7bis précisent les agents pouvant, par dérogation, accéder à ces données. En ce qui concerne les empreintes digitales enregistrées dans le composant électronique des titres de séjour et de voyage, il s'agit des personnels de la police, de la gendarmerie et des douanes chargés des missions de contrôle de l'identité des personnes et de vérification de validité des titres de séjour et de voyage, ainsi que des agents de l'OFII et de l'OFPRA lorsqu'ils sont chargés de la remise des cartes de séjour. S'agissant des empreintes enregistrées dans la base centrale, il s'agit des agents des personnels de police et de gendarmerie lorsqu'ils procèdent à une vérification d'identité dans les conditions prévues par l'article 78-3 du code de procédure pénale, des personnels techniques chargés de la lutte contre la fraude documentaire, des agents des services anti-terroristes, ainsi que des agents d'organismes de coopération internationale en matière de lutte contre l'immigration irrégulière et d'Etats étrangers.
La Commission rappelle tout d'abord que le traitement AGDREF 2 a notamment pour finalité la mise en relation des services de l'Etat et organismes rattachés intervenant dans la gestion administrative des étrangers, afin d'améliorer la coordination de ces services par un meilleur partage des informations nécessaires à cette gestion. Elle estime dès lors que cet objectif  est de nature à justifier le nombre élevé et la diversité des destinataires du traitement. Sans compter les effectifs des organismes de sécurité sociale, dont les modalités d'accès n'ont pas encore été définitivement arrêtées, plus de 180 000 agents pourront ainsi recevoir communication des données qui y sont enregistrées.
La Commission prend acte que tous ces personnels devront faire l'objet d'une désignation individuelle et d'une habilitation spéciale par leur autorité hiérarchique afin de pouvoir accéder aux données, et que cette procédure est expressément mentionnée dans les dispositions réglementaires projetées.
Elle estime cependant, au vu de cette quantité très importante de destinataires, que deux conditions doivent nécessairement être respectées pour assurer la protection des données à caractère personnel enregistrées dans le traitement AGDREF 2.
En premier lieu, il convient qu'une politique rigoureuse de traçabilité des actions effectuées dans le système soit mise en œuvre, qu'il s'agisse des opérations de création et de modification des dossiers, ou des accès en consultation du système et des communications de données. En effet, l'exploitation de telles données de journalisation apparaît nécessaire aux fins de prévention, par le responsable du traitement, des consultations abusives de celui-ci et de ses éventuels détournements de finalité, ainsi qu'au bon exercice, par la Commission, de ses pouvoirs de contrôle a posteriori. 
Dans ces conditions, la Commission prend acte que le ministère chargé de l'immigration a prévu des mesures de traçabilité effective de ces actions, sensiblement améliorée par rapport au système actuel. Le projet d'article R. 611-7-1 du CESEDA prévoit ainsi que les consultations du traitement feront l'objet d'un enregistrement, et que les informations relatives à ces consultations (identification du consultant, date et heure) seront conservées pendant trois ans. 
Elle prend également acte que, conformément à ses demandes, le ministère a prévu des modalités précises d'accès à ces données de journalisation, qui sera réservé aux personnels habilités à les exploiter, ainsi que des modalités techniques visant à assurer la confidentialité de ces informations, qui seront portées à la connaissance de la Commission.
En second lieu, elle rappelle que le nombre et la diversité des destinataires du traitement imposent la mise en œuvre de mesures juridiques et techniques de nature à garantir des accès restreints aux seules données strictement nécessaires à l'accomplissement de leurs missions. A cet égard, la Commission relève que les finalités présidant à chacun de ces accès sont expressément mentionnées dans les dispositions réglementaires projetées d'une part, et que le ministère a fourni des précisions concernant les modalités techniques d'accès en consultation aux données, de nature à assurer la restriction des accès aux seules données pertinentes pour chaque destinataire, d'autre part. La Commission portera cependant une attention particulière sur ce point, dans le cadre de ses éventuelles missions de contrôle a posteriori du système.
Par ailleurs, la Commission souhaite appeler l'attention du ministère chargé de l'immigration concernant les trois catégories suivantes de destinataires.
En ce qui concerne tout d'abord les accès des agents des organismes chargés de la gestion d'un régime de sécurité sociale et du Pôle Emploi, elle rappelle que les dispositions législatives du code de travail et du code de la sécurité sociale réservent l'inscription sur la liste des demandeurs d'emploi et l'affiliation à un régime obligatoire de sécurité sociale aux étrangers en situation régulière au regard du séjour en France, et imposent aux organismes compétents de vérifier le respect de cette condition. L'article L. 5411-4 du code du travail et l'article L. 115-7 du code de la sécurité sociale prévoient en outre que le Pôle Emploi et les organismes chargés de la gestion d'un régime obligatoire de sécurité sociale assurant l'affiliation, le versement des prestations ou le recouvrement des cotisations, peuvent avoir  accès aux fichiers des services de l'Etat pour obtenir les informations nécessaires à cette vérification . 
Dans ces conditions, la Commission prend acte de ce que ces organismes seront autorisés, en vertu du projet d'article R. 611-6 du CESEDA, à accéder en consultation aux données enregistrées dans le traitement AGDREF 2.
Cependant, elle relève que les informations qui lui ont été communiquées sur les modalités précises de ces accès font état d'un échange de données sous la forme d'une interconnexion entre l'application AGDREF et les systèmes informatiques de ces organismes. Dans la mesure où les traitements ainsi projetés ont pour objet l'interconnexion de fichiers dont les finalités correspondent à des intérêts publics différents, elle rappelle que leur mise en œuvre doit faire l'objet d'une autorisation de la Commission, conformément aux dispositions du I (5°) de l'article 25 de la loi du 6 janvier 1978 modifiée. 
Elle demande donc que des dossiers de formalités préalables lui soient adressés par ces organismes, qui devront notamment indiquer les données précisément transférées de leur système informatique au traitement AGDREF ainsi que les mesures prises pour assurer la traçabilité de ces échanges. 
S'agissant des services chargés des missions de prévention et de répression des actes de terrorisme, la Commission observe que l'article 9 de la loi du 23 janvier 2006 modifiée prévoit en effet un accès de ces agents aux données actuellement enregistrées dans le système AGDREF.
Cependant, elle relève que ledit article ne prévoit, s'agissant des données biométriques mentionnées à l'article L. 611-3 du CESEDA, qu'un accès aux données relatives aux étrangers qui ne remplissent pas les conditions requises d'entrée sur le territoire, et non aux autres catégories de ressortissants étrangers énumérées audit article. C'est d'ailleurs pourquoi l'accès de ces services aux données biométriques enregistrées dans le traitement OSCAR relatif aux bénéficiaires de l'aide au retour n'a pas été autorisé par les dispositions réglementaires portant création de ces traitements, de même que l'accès aux empreintes digitales enregistrées dans le système des passeports biométriques. La Commission s'interroge dès lors sur la validité du fondement juridique permettant d'étendre l'accès de ces services aux données biométriques enregistrées dans AGDREF 2.
Enfin, elle souligne que le ministère chargé de l'immigration a prévu un accès à l'ensemble des données enregistrées dans le traitement, y compris aux données biométriques aux fins d'identification des personnes, pour les agents d'organismes de coopération internationale en matière de lutte contre l'immigration irrégulière et les agents des Etats étrangers. L'article R.611-7 bis dispose ainsi que ces consultations ont lieu dans les conditions prévues par tout engagement liant la France à des organismes internationaux ou à des Etats étrangers, et lorsque ceux-ci assurent un niveau de protection des données adéquat au sens de l'article 68 de la loi du 6 janvier 1978 modifiée. Le ministère chargé de l'immigration a précisé à la Commission que ces dispositions visaient notamment à permettre la bonne application d'accords de coopération signés avec l'Espagne aux fins de lutte contre l'immigration irrégulière, ainsi que de futurs accords similaires.
La Commission relève que la rédaction projetée aurait pour conséquence de ne plus avoir à modifier les dispositions réglementaires du CESEDA relatives au traitement AGDREF 2 en cas de signature de nouveaux accords bilatéraux ou multilatéraux permettant l'échange de données dactyloscopiques, sauf si les Etats ou organismes concernés n'assurent pas un niveau de protection des données suffisant. Dès lors, la Commission serait simplement tenue informée de tout changement affectant les destinataires du traitement et les transferts de données à caractère personnel envisagés, conformément aux dispositions combinées du II de l'article 30 de la loi du 6 janvier 1978 modifiée et de l'article 101 du décret du 20 octobre 2005 modifié. 
Or, elle n'a connaissance ni des pays concernés, ni du contenu de tels accords, et des garanties en termes de protection des données qu'ils pourront comporter. La Commission relève en outre que, malgré ses demandes répétées, elle n'est ni associée à la préparation et à la définition de la position française dans les négociations de ces accords, ni consultée sur les dispositions permettant leur intégration dans l'ordre juridique interne, comme le permettent pourtant les dispositions des articles 11-4-d) et 11-4-a) de la loi du 6 janvier 1978 modifiée.
Dès lors, eu égard au nombre et à la sensibilité des informations enregistrées dans le traitement AGDREF 2 et susceptibles d'être transmises, et aux garanties spécifiques qui doivent être prises pour assurer la protection de ces données, et en particulier des données biométriques des personnes concernées, la Commission émet de sérieuses réserves quant à la possibilité qui pourrait ainsi être donnée d'élargir la liste des destinataires du traitement AGDREF 2 en conséquence de l'entrée en vigueur de nouveaux engagements internationaux.
6. Sur les droits des personnes
En ce qui concerne l'information des personnes concernées tout d'abord, la Commission prend acte de ce que le projet d'article R. 611-7-2 du CESEDA prévoit que la remise du titre de séjour et de voyage s'accompagne d'une copie sur papier des données à caractère personnel enregistrées dans le composant électronique du titre, indiquant notamment le nombre et la nature des empreintes digitales qui y sont enregistrées. Elle prend également acte de ce que les personnes concernées seront également informées des données enregistrées dans le traitement centralisé, par des mentions affichées dans les locaux préfectoraux et figurant également sur les formulaires de demande de titre.
S'agissant de l'information des personnes en situation irrégulière et des personnes faisant l'objet d'une mesure d'éloignement, dont les données seront enregistrées dans le traitement AGDREF 2, la Commission relève en revanche que le ministère chargé de l'immigration ne lui a pas communiqué d'éléments suffisants pour apprécier la conformité des mesures prévues aux dispositions de l'article 32 de la loi du 6 janvier 1978 modifiée, tout en indiquant que l'information de ces personnes serait assurée. 
Enfin, elle rappelle que les personnes tierces devront également faire l'objet d'une information relative à l'enregistrement de leurs données personnelles dans le traitement. Si cette information est notamment prévue pour les garants, par une mention adéquate sur les imprimés d'engagement, la Commission demande que tous les formulaires de collecte remplis par ces personnes fassent état de cet enregistrement. 
En ce qui concerne les droits d'accès et de rectification prévus par les articles 39 et 40 de la loi du 6 janvier 1978 modifiée, la Commission prend acte de l'exercice direct de ces droits, auprès de l'autorité de délivrance s'agissant des titres de séjour et de voyage, et du préfet compétent s'agissant des mesures d'éloignement, prévu par le projet d'article R. 611-7-3 du CESEDA.
Elle relève cependant qu'aucun mécanisme spécifique n'est prévu quant à l'exercice de ces droits par les personnes tierces, qui ne pourront accéder à leurs données que via le nom de l'étranger auquel elles sont liées, dans la mesure où n'est pas envisagée la possibilité d'effectuer des recherches dans la base sur ces personnes. La Commission demande donc la mise en œuvre de mesures permettant de telles recherches, par les seuls personnels spécifiquement habilités à répondre aux demandes d'accès et de rectification des données, afin de mieux permettre l'exercice de ces droits par les personnes concernées. 
Enfin, la Commission prend acte de l'absence de possibilité, pour toutes les personnes concernées par le traitement AGDREF 2, de s'opposer à l'enregistrement de leurs données personnelles.
7. Sur les autres sécurités du dispositif
La Commission relève tout d'abord que le système central sera hébergé dans les locaux du ministère chargé de l'immigration, et que l'application ne sera disponible que sur le réseau interne et sécurisé de celui-ci, ce qui permet d'assurer sa sécurité physique et logique. Elle prend également acte que les utilisateurs ayant des droits de création et de modification sur les dossiers des étrangers seront soumis à une procédure d'identification forte par carte à puce, et devront également saisir un mot de passe pour s'authentifier.