AgentPublic/cnil huggingface dataset:
Dans la mesure où l’article R. 611-19 du CESEDA prévoit l’enregistrement des images numérisées de la photographie et des empreintes digitales des dix doigts des personnes concernées, la Commission considère que ce traitement relève de l’article 27-I. 2° de la loi du 6 janvier 1978 modifiée.
Au vu du bilan de l’expérimentation qui lui a été communiqué, qui révèle la nécessité d’améliorer le dispositif en ce qui concerne notamment les modalités et les critères d’inscription au fichier, les fonctionnalités associées au traitement des données biométriques, ainsi que le développement d’un module de suivi des présentations devant les juridictions, la Commission estime légitime que l’expérimentation soit reconduite.
Elle prend acte de ce que le ministère chargé de l’immigration prévoit d’enregistrer une nouvelle donnée dans l’application, un numéro de maintien en zone d’attente (numéro MZA), afin de faciliter la recherche des dossiers papier archivés et de permettre la mise en œuvre effective du module statistique du FNAD.
En ce qui concerne les données biométriques des ressortissants étrangers non-admis à la frontière, la Commission relève qu’aucune empreinte digitale n’est encore enregistrée dans l’application. A cet égard, elle rappelle qu’elle avait considéré dans son avis du 18 janvier 2007 qu’il importait « que la période d’expérimentation et l’évaluation prévue permettent de mieux cerner les objectifs poursuivis afin d’apprécier la pertinence des procédés mis en œuvre et celle des données recueillies, notamment des données biométriques ».
La Commission demande donc à ce qu’une nouvelle évaluation soit faite dès la fin de la première année de la nouvelle expérimentation projetée, et à être rendue destinataire de ce rapport d’évaluation.
En outre, elle rappelle que la collecte des empreintes digitales n’est pas toujours physiquement possible ni exploitable, d’une part, et que toute comparaison biométrique comporte un taux incompressible de faux rejets, d’autre part. Dès lors, la Commission estime qu’il conviendrait de modifier l’article R. 611-19 du CESEDA, afin de préciser que l’impossibilité de collecte totale ou partielle des empreintes digitales est mentionnée dans le traitement.
Le projet de décret prévoit en outre de permettre aux agents chargés de l’application de la réglementation relative aux étrangers à la direction de l’immigration et au service de l’asile du ministère chargé de l’immigration, individuellement désignés et spécialement habilités par le secrétaire général, l’accès aux données du traitement.
La Commission prend acte de cette modification de l’article R. 611-21 du CESEDA, qui vise à prendre pleinement en compte les compétences du ministère chargé de l’immigration, dont l’administration centrale n’était pas encore organisée lors de la publication du décret autorisant, à titre expérimental, la mise en œuvre du FNAD.
La Commission relève que les modules de l’application ne font pas l’objet de mesures de chiffrement. Elle recommande donc que de telles mesures soient mises en œuvre, en particulier en ce qui concerne les bases qui contiennent les données à caractère personnel des non-admis, ainsi que les espaces de stockage des documents numérisés.
Elle relève également que la procédure d’authentification des agents au portail CHEOPS, qui permet notamment l’accès à l’application FNAD, est basée sur un mot de passe de 4 à 8 caractères. Comme elle l’avait recommandé dans sa délibération du 13 novembre 2008 portant avis sur un projet de décret en Conseil d’Etat relatif au fichier des personnes recherchées, la Commission estime qu’il conviendrait de modifier cette procédure afin que les mots de passe requis soient composés de 8 caractères.
Enfin, la Commission rappelle qu’elle avait considéré, dans sa délibération du 18 janvier 2007, que le document d’information remis aux ressortissants étrangers non-admis devait être complété de l’ensemble des données à caractère personnel mentionnées à l’article R. 611-19. Elle demande à ce que le ministère chargé de l’immigration modifie ce document afin que toutes ces données soient mentionnées.
Le Président
Alex TURK
(Demande d’avis n° 106188)
La Commission nationale de l’informatique et des libertés,
Saisie conjointement par le ministère des affaires étrangères et européennes et par le ministère de l’immigration, de l’intégration, de l’identité nationale et du développement solidaire, d’une demande d’avis portant sur le projet d’arrêté modifiant l’arrêté du 22 août 2001 portant création d’un traitement informatisé d’informations nominatives relatif à la délivrance des visas dans les postes diplomatiques et consulaires ; 
Vu la convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le traité instituant la Communauté européenne, notamment son article 62, ensemble la convention du 19 juin 1990 d’application de l’accord signé à Schengen le 14 juin 1985 relatif à la suppression graduelle des contrôles aux frontières communes ; 
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le règlement (CE) n° 1683/95 modifié du Conseil du 29 mai 1995 établissant un modèle type de visa ;
Vu le règlement (CE) n° 767/2008 du Parlement européen et du Conseil du 9 juillet 2008 concernant le système d’information sur les visas (VIS) et l’échange de données entre les Etats membres sur les visas de court séjour (règlement VIS) ; 
Vu le règlement (CE) n° 390/2009 du Parlement européen et du Conseil du 23 avril 2009 modifiant les instructions consulaires communes concernant les visas adressées aux représentations diplomatiques et consulaires de carrière, en liaison avec l’introduction d’identifiants biométriques et de dispositions relatives à l’organisation de la réception et du traitement des demandes de visa ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, et notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2007-1560 du 2 novembre 2007 portant création d’un traitement automatisé de données à caractère personnel relatives aux étrangers sollicitant la délivrance d’un visa pris pour l’application de l’article L. 611-6 du code de l’entrée et du séjour des étrangers et du droit d’asile et modifiant la partie réglementaire de ce code ;
Vu le décret n° 2009-477 du 27 avril 2009 relatif à certaines catégories de visas pour un séjour en France d’une durée supérieure à trois mois ; 
Vu l’arrêté du 22 août 2001 modifié portant création d’un traitement informatisé d’informations nominatives relatif à la délivrance des visas dans les postes diplomatiques et consulaires ; 
Après avoir entendu M. Sébastien HUYGHE, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du gouvernement, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie conjointement par le ministère des affaires étrangères et européennes et le ministère de l’immigration, de l’intégration, de l’identité nationale et du développement solidaire, d’une demande d’avis relative à un projet d’arrêté modifiant l’arrêté du 22 août 2001 portant création d’un traitement informatisé d’informations nominatives relatif à la délivrance des visas dans les postes diplomatiques et consulaires, sur le fondement du I de l’article 26 de la loi du 6 janvier 1978 modifiée par la loi du 6 août 2004.
L’arrêté du 22 août 2001 a autorisé la création du traitement dénommé Réseau Mondial Visa 2 (RMV 2), dont la finalité est de permettre l’instruction des demandes de visa par les consulats et les sections consulaires d’ambassade, en procédant notamment à des échanges d’informations avec le ministère de l’intérieur et les instances nationales des Etats Schengen. Le traitement RMV 2 est composé d’un ensemble de sous-fichiers (et notamment le fichier des demandes, délivrances et refus de visa, les fichiers d’attention, le fichier des répondants signalés, etc.) dans lesquels sont enregistrées les données à caractère personnel des demandeurs de visa provenant principalement des documents fournis lors du dépôt de leur dossier de demande, et qui sont ensuite complétées au cours de l’instruction de la demande. 
Aux termes de l’article 5 de l’arrêté du 22 août 2001, les destinataires de ces informations sont, dans la limite de leurs attributions, les personnels du ministère des affaires étrangères compétents en matière de délivrance des visas (personnels des consulats et ambassades, et de l’administration centrale), du ministère de l’intérieur (direction des libertés publiques et des affaires juridiques et services de la police aux frontières) du ministère de la défense (direction générale de la sécurité extérieure) et les autorités centrales des Etats Schengen.
Dans ce cadre, le projet d’arrêté modificatif soumis à la Commission vise à régulariser les modifications intervenues ces dernières années dans le fonctionnement du traitement RMV 2 et dans la gestion administrative de la politique française des visas d’une part, et à permettre la bonne application des obligations européennes en la matière, en vigueur ou à venir, d’autre part.
La Commission observe à cet égard que la délivrance des visas de court séjour, qui représentent actuellement une part majoritaire des visas délivrés par les autorités françaises, relève de la pleine compétence communautaire. Dès lors, les mesures prises par ces autorités doivent être pleinement compatibles avec le droit communautaire en vigueur en ce domaine, et en particulier avec les règlements du 9 juillet 2008 relatif au système d’information sur les visas (VIS) et du 23 avril 2009 modifiant les instructions consulaires communes (ICC).
Sur la modification des responsables et des finalités du traitement
Dans la mesure où le ministère chargé de l’immigration et le ministère des affaires étrangères déterminent conjointement la finalité et les moyens du traitement, s’agissant en particulier de ses modalités d’alimentation et de consultation, la Commission prend acte de ce que le traitement RMV 2 relèvera désormais de ces deux ministères.
Compte tenu de l’augmentation des recours se rapportant aux décisions relatives aux visas, elle prend également acte de la modification de l’article 1er de l’arrêté du 22 août 2001 visant à ajouter aux finalités du traitement RMV 2 la facilitation du suivi et du traitement des recours administratifs et contentieux se rapportant aux visas. A cet égard, elle relève que les ministères concernés prévoient de supprimer le fichier de suivi du contentieux mentionné à l’article 2 de l’arrêté du 22 août 2001. 
En outre, la Commission observe que la rédaction de la finalité principale du traitement, l’instruction des demandes de visa, est légèrement modifiée afin de prévoir le versement dans le système VIS d’une copie des données alphanumériques se rapportant aux visas pour un séjour d’une durée inférieure à trois mois délivrés par les autorités françaises. Elle relève que si cette fonctionnalité est explicitement prévue par le règlement communautaire n° 767/2008 du 9 juillet 2008 et ne nécessite donc pas de transposition particulière, cette nouvelle rédaction est de nature à favoriser une meilleure intelligibilité du droit national.
Dès lors, elle estime que cette modification, qui vise à anticiper la prochaine mise en œuvre du VIS au niveau européen, devrait également être prévue dans le cadre du traitement VISABIO, à l’article R. 611-8 du code de l’entrée et du séjour des étrangers et du droit d’asile, dans la mesure où les données biométriques des demandeurs de visa de court séjour qui y sont enregistrées seront également transférées dans le VIS. De même, la Commission considère que l’interrogation systématique du VIS par le traitement RMV 2 lors d’une demande de visa devrait également être mentionnée à l’article 2 de l’arrêté du 22 août 2001 modifié, comme c’est le cas de l’interrogation systématique du fichier d’opposition du système d’information Schengen.  
Sur les données enregistrées
La Commission prend acte de la suppression du fichier des demandes de carte de commerçant, qui vise à tirer les conséquences de l’abrogation des dispositions imposant ce type de carte.
Elle prend également acte de ce qu’il est envisagé de créer un nouveau fichier d’authentification des actes d’état civil, qui permettra de faciliter la détection des tentatives d’usurpation d’identité ou de falsification des documents. A cet égard, elle demande à ce que l’article 2 de l’arrêté du 22 août 2001 soit modifié et prévoie expressément la mise en œuvre dudit fichier.
Elle observe que la nouvelle annexe à l’arrêté du 22 août 2001 modifié prévoit l’enregistrement de données relatives au suivi du retour. Les ministères concernés ont indiqué que cette fonctionnalité était introduite à titre indicatif et n’était pas encore développée. La Commission relève que ces données peuvent bénéficier aux demandeurs, en facilitant notamment la délivrance de visas ultérieurs pour les voyageurs de bonne foi. Elle estime dès lors que ces données ne devraient être enregistrées dans le traitement que dans la mesure où des dispositions législatives ou réglementaires encadrent cette fonctionnalité, et notamment en prévoyant la faculté de demander aux titulaires de visa de se présenter à leur retour dans leur pays de résidence. 
En ce qui concerne la photographie des demandeurs de visa, qui est déjà enregistrée dans le traitement VISABIO, celui-ci prenant en charge sa transmission vers le VIS, la Commission prend acte de ce qu’une image réduite de cette photographie sera cependant conservée dans le traitement RMV 2 durant l’instruction de la demande de visa, notamment aux fins d’édition de la vignette visa, et sera ensuite effacée dudit traitement sans délai.
Enfin, la Commission prend acte de ce que les indicateurs d’inscription au SIS et au FPR figurant dans l’annexe à l’arrêté du 22 août 2001 modifié, ne mentionnent pas les motifs d’inscription auxdits fichiers, et que le traitement RMV 2 ne conserve que l’avis relatif à la demande de visa (accord ou refus).
Sur le recours à des prestataires extérieurs pour collecter les données enregistrées dans le traitement RMV 2
Le projet d’arrêté modificatif prévoit de permettre la collecte des données à caractère personnel enregistrées dans le fichier des demandes, délivrances et refus de visa, « par des prestataires agréés par les autorités chargées de la délivrance des visas et sous la responsabilité de ces dernières », dont les personnels font l’objet d’une habilitation spéciale par ces mêmes autorités. 
A titre liminaire, la Commission relève que les ministères concernés envisagent également de permettre, à titre expérimental, le recours à des prestataires extérieurs pour la collecte des données biométriques des demandeurs de visa enregistrées dans le traitement VISABIO, créé par le décret du 2 novembre 2007 susvisé. Elle a ainsi été saisie pour avis d’un projet de décret en Conseil d’Etat modifiant la partie réglementaire du code de l’entrée et du séjour des étrangers et du droit d’asile afin de permettre cette externalisation.   
La Commission observe en outre que l’externalisation de la collecte des données alphanumériques des demandeurs de visa est déjà pratiquée dans de nombreuses circonscriptions consulaires françaises à l’étranger. Elle regrette à cet égard de n’avoir pu se prononcer sur cette modalité de collecte préalablement à sa mise en œuvre.
Au-delà de la question de savoir si l’activité de collecte des données personnelles des demandeurs de visa relève ou non de l’exercice d’une prérogative exclusive de puissance publique qui ne peut être déléguée, la Commission considère que l’intervention d’un prestataire extérieur dans le processus de collecte des données induit un risque de compromission de l’intégrité du processus de délivrance des visas. Il s’agit notamment du niveau de fiabilité et de sécurité de ce processus, ainsi que des garanties entourant la protection des données personnelles relatives aux demandeurs de visa. La Commission relève  à cet égard que des garanties d’ordre contractuel risquent d’être insuffisantes s’agissant de prestataires étrangers relevant de la souveraineté de leur Etat d’implantation. Or, il convient de relever que le gouvernement a précisément considéré comme essentiel le renforcement du niveau de sécurité du processus de délivrance des visas, en y introduisant des identifiants biométriques.
La Commission exprime donc des réserves sur le principe du recours à des prestataires extérieurs pour collecter les données à caractère personnel des demandeurs de visa. Alors même que l’externalisation de la collecte des données enregistrées dans le RMV 2 est déjà largement pratiquée, la Commission relève en effet qu’elle ne dispose pas d’une évaluation précise de l’efficacité des mesures prises pour assurer le contrôle de l’activité des prestataires et garantir la confidentialité des données traitées. 
Dès lors, elle estime qu’il conviendrait que soient effectués, à intervalles réguliers, des audits internes, qui devraient donner lieu à un bilan communiqué à la CNIL. La Commission demande donc à ce que le projet d’arrêté soit modifié afin de prévoir explicitement de telles évaluations. Celles-ci devraient notamment porter sur la protection des données à caractère personnel des demandeurs de visas, et pourraient par exemple contenir un bilan des contrôles effectués, de leur fréquence et de leurs résultats, ainsi que des éventuels dysfonctionnements rencontrés. Elle s’interroge néanmoins sur le risque que de tels contrôles se heurtent à des textes ou des jurisprudences relevant de la souveraineté des Etats en cause.
Une telle évaluation permettrait en effet de vérifier que ces pratiques d’externalisation sont accompagnées de garanties particulières, de nature à assurer un haut niveau de sécurité. A cet égard, la Commission relève en premier lieu que l’externalisation des données alphanumériques des demandeurs de visa est soumise aux mêmes obligations communautaires que celles qui prévalent en matière de collecte des données biométriques. Ainsi, aux termes du règlement du 23 avril 2009, la possibilité de recourir à des prestataires agréés constitue une solution de dernier ressort, mise en œuvre « dans des circonstances particulières ou pour des raisons liées à la situation locale » et lorsque les formes de coopération entre Etats membres s’avèrent inappropriées. 
C’est pourquoi, et sans méconnaître les difficultés évoquées par les ministères concernés, la Commission estime que des modalités alternatives de collecte des données, et notamment la création de centres communs avec des Etats membres de l’UE de traitement des demandes de visa, devraient également être expérimentées.
En outre, elle rappelle que ledit règlement prévoit explicitement que le prestataire de service extérieur doit appliquer « des normes de protection des données au moins équivalentes à celles qui figurent dans la directive 95/46/CE ». Elle relève à cet égard que les modèles d’agrément et de cahier des charges que s’engagent à respecter les prestataires de service ont été modifiés à sa demande, afin d’être pleinement conformes aux dispositions de l’annexe 19 des instructions consulaires communes. La Commission prend en outre acte de ce que ce cahier des charges contient de nombreuses mesures relatives au contrôle des prestataires agréés, qui semblent de nature à assurer une surveillance effective par les autorités consulaires des activités de ceux-ci. Elle demande cependant à ce que ce cahier des charges soit complété afin de comporter le détail des mesures de sécurité et de contrôle prévues par les ministères concernés.
La Commission considère en outre que les sécurités techniques prévues par les ministères concernés, et notamment les mesures envisagées pour contrôler l’accès et l’utilisation des postes VISANET par les personnels du prestataire agréé, les mesures de sécurisation des transmissions de données entre les prestataires et le serveur central hébergé au ministère des affaires étrangères, ainsi que les mesures de sécurité et de confidentialité appliquées au serveur central VISANET, sont satisfaisantes.
La Commission relève cependant que la confidentialité des échanges entre le poste client et le serveur central VISANET du ministère des affaires étrangères est assurée par l’utilisation du protocole SSL, mécanisme cryptographique qui permet le chiffrement et le contrôle de l’intégrité des communications. A cet égard, elle prend acte de l’engagement des ministères concernés à ne pas permettre l’utilisation de l’application VISANET dans les pays où l’usage du chiffrement des transmissions est interdit. 
La Commission observe également que le ministère des affaires étrangères n’envisage plus la détention obligatoire d’un certificat numérique pour accéder à l’application VISANET. Elle estime que l’accès à cette application devrait être exclusivement réservé à des postes informatiques spécialement habilités à procéder à la saisie des données de demande de visa. Elle demande donc à ce que la nécessité, pour les postes informatiques des prestataires agréés, de disposer d’un certificat pour accéder à l’application VISANET, soit rétablie par les ministères concernés.
Sur les durées de conservation des données
La Commission prend acte de l’insertion d’un nouvel article 4-1 à l’arrêté du 22 août 2001 modifié, qui établit la durée de conservation des données enregistrées au fichier des demandes, délivrances et refus de visa, au fichier central d’attention, au fichier consulaire d’attention, au fichier des répondants signalés et au fichier des interventions.
Ainsi, les données enregistrées au fichier des demandes, délivrances et refus de visa seront conservées pendant une période maximale de cinq ans à compter de la date d’expiration du visa lorsque celui-ci est délivré, de la date de création du dossier lorsque la demande de visa est retirée ou interrompue, et de la date de décision lorsque le visa est refusé ou retiré, conformément aux dispositions du règlement VIS applicable aux visas de court séjour. La Commission prend acte de ce que la même durée de conservation est prévue pour les données enregistrées aux fichiers précités. 
Sur les nouveaux destinataires du traitement et leurs conditions d’accès
La Commission prend acte de ce que les agents de la direction de l’immigration du ministère chargé de l’immigration sont ajoutés à la liste des destinataires des données enregistrées dans le RMV 2, afin de prendre pleinement en compte les attributions dudit ministère.