AgentPublic/cnil huggingface dataset:
(Demande d’avis n° 1 170 779)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’intérieur d’un projet de décret pris pour l’application du deuxième alinéa de l’article L. 611-3 du code de l’entrée et du séjour des étrangers et du droit d’asile, portant création d’un traitement automatisé de données à caractère personnel des ressortissants étrangers qui font l’objet d’une mesure d’éloignement et modifiant la partie réglementaire de ce même code ;
Vu le traité instituant la Communauté européenne, notamment son article 62, ensemble la convention du 19 juin 1990 d’application de l’accord signé à Schengen le 14 juin 1985 entre les gouvernements des Etats de l’Union économique Benelux, de la République fédérale d’Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes dont la ratification a été autorisée par la loi n° 91-737 du 30 juillet 1991 ; 
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ; 
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile, notamment ses articles L. 611-3 et L. 611-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel, notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Après avoir entendu M. François Giquel, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant
La Commission a été saisie le 13 mars 2007 par le ministère de l’intérieur d’une demande d’avis sur un projet de décret en Conseil d’Etat pris pour l’application du deuxième alinéa de l’article L. 611-3 du code de l’entrée et du séjour des étrangers et du droit d’asile (CESEDA). Ce projet de décret porte création d’un traitement automatisé de données à caractère personnel des ressortissants étrangers qui font l’objet d’une mesure d’éloignement et modifiant la partie réglementaire de ce même code.
Le traitement, dénommé ELOI, a pour objet d’assurer la gestion administrative des procédures d’éloignement des personnes interpellées se trouvant en séjour irrégulier sur le territoire national. Il concernerait environ 65 000 personnes par an. Les données seront collectées auprès des différents services intervenant dans ces procédures (préfectures, centres de rétention qui sont gérés par la police ou la gendarmerie nationales, bureau de l’éloignement de la direction centrale de la police aux frontières, DCPAF). Il produit également les actes et pièces nécessaires aux différentes étapes de la procédure d’éloignement.
Ce traitement relève de l’article 26 de la loi du 6 janvier 1978 modifiée.
Sur les finalités du traitement 
Aux termes de l’article premier du projet de décret, les finalités du traitement seront, d’une part, de permettre le suivi et la mise en œuvre des décisions d’éloignement des étrangers se maintenant sans droit sur le territoire, par la gestion des différentes étapes de la procédure et, d’autre part, d’établir des statistiques.
La Commission considère que la finalité de meilleure gestion des procédures d’éloignement est légitime. Elle souligne cependant que la constitution de cette base nationale de gestion administrative des étrangers faisant l’objet d’une procédure d’éloignement doit être accompagnée des garanties de nature à empêcher son utilisation à d’autres fins.
La Commission relève que la finalité relative aux statistiques semble permettre, en l’état, de procéder à de multiples requêtes, en particulier à partir d’éléments indirectement nominatifs.  La Commission prend acte, qu’à sa demande, le décret sera complété des termes suivants : « les résultats issus des requêtes statistiques ne doivent pas permettre d’identifier les personnes ».
Sur les données enregistrées
L’article premier du projet de décret prévoit de créer un article R. 611-40 du CESEDA qui précisera les données enregistrées par le traitement. 
Le projet de décret énumère les données relatives à l’étranger faisant l’objet d’une mesure d’éloignement : identité de la personne (nom, prénom, sexe), date et lieu de naissance, nationalité,  filiation (nom et prénom du père et de la mère, nom, prénom et date de naissance des enfants), situation professionnelle, langues parlées, références du document d’identité, nécessité éventuelle d’une surveillance particulière au regard de l’ordre public. Seront également enregistrées les données sur l’hébergeant en cas d’assignation à résidence (nom, prénom, sexe, adresse) ;  ainsi que celles relatives aux visiteurs en cas de placement en centre de rétention administrative (nom, prénom, adresse complète).
Le traitement comporte aussi les données relatives :
à l’interpellation (date et heure de l’interpellation, le motif de l’interpellation ; date et heure d’interpellation, la préfecture de suivi, le service interpellateur, le service chargé de la procédure, la surveillance particulière, les résultats des interrogations STIC, FPR, SIS, présence d’une fiche d’identité judiciaire, numéro AGDREF) ; 
à la mesure d’éloignement (type, date de prononcé, préfecture, notification) ;
à l’interdiction de territoire (type, instance, durée, date, présentation au juge des libertés et de la détention, assignation à résidence, placement en centre pour mineur, placement en rétention, maintien en rétention, la libération) ; 
au recours et aux demandes de l’étranger (type, instance, audience, décision, appel, clôture du dossier, refus d’identification, demandes au consulat, demande d’asile, demande de réadmission, expertise médicale, hospitalisation) ;
aux moyens pour l’éloignement  (moyen, date, pays de destination, lieu de départ, refus d’embarquer, service chargé de l’éloignement et escorte) ;
au non-respect d’une assignation à résidence, à la soustraction à la mesure d’éloignement ;  
au séjour en centre de rétention (affectation, gestion des effets personnels et numéraires,  incidents au centre) ; 
à la peine éventuelle (nature de l’infraction, dates, récidive, commission d’expulsion (COMEX), centre pénitentiaire, remise de peine).
Le même article du projet de décret précise que le traitement comportera aussi la photographie numérisée de l’étranger concerné. La Commission prend acte qu’il est mentionné qu’il n’y aura  pas de reconnaissance faciale.
La Commission considère, au regard des éléments d’informations fournis par le ministère de l’intérieur, que les mentions, dans le traitement, des résultats des interrogations du système de traitement des informations constatées (STIC), du fichier des personnes recherchées (FPR) ou du système d’information Schengen (SIS) ne sont pas pertinentes au regard de la finalité du traitement. En effet, quand les données concernant l’étranger sont saisies dans le fichier ELOI, la décision d’éloignement a déjà été prononcée. Dés lors, la prise en compte des antécédents judiciaires éventuels de l’étranger (ou de son seul signalement) dans le STIC, comme le fait de figurer dans le fichier des personnes recherchées (FPR) ou le SIS ne sont plus nécessaires puisqu’ils ont été préalablement utilisés dans la décision administrative ou judiciaire. La Commission prend acte des engagements donnés par le commissaire du Gouvernement, au nom du responsable du traitement,  que les résultats de ces interrogations ne seront pas conservés.
La Commission prend acte que les coordonnées des intervenants prévus à l’article L. 551-2 du CESEDA (interprètes, médecins, avocats, consuls),  des membres des organismes de contrôles nationaux et internationaux en charge de la rétention administrative et des lieux de privation de liberté, ainsi que de toute personne qui, en raison de la nature de ses fonctions,  a  le droit de s’entretenir avec un étranger en situation irrégulière,  ne sont pas enregistrées dans le fichier. 
Sur les destinataires
Les destinataires du traitement sont :
les agents des services centraux concernés du ministère de l’intérieur (direction des libertés publiques (DLPAJ), direction centrale de la police aux frontières (DCPAF) et direction centrale de la sécurité publique (DCSP) ; 
les agents des préfectures  chargés des procédures d’éloignement ;
les agents des services de la police et de la gendarmerie nationales chargés de la gestion des lieux de rétention administrative et de l’exécution des mesures d’éloignement.
Les agents des services centraux accèderont à toutes les informations. En revanche, les agents affectés dans un département n’auront accès qu’aux dossiers relevant de ce territoire. La Commission considère que l’accès à toutes les informations contenues dans le traitement par ces agents, même limité localement à un département, sans distinction de leur rôle dans la procédure d’éloignement, paraît excessif alors que 1500 postes informatiques environ seront potentiellement reliés à l’application. 
La Commission prend acte des engagements du gouvernement visant à modifier le projet d’article R 611-42 du CESEDA afin qu’il précise que seuls les agents individuellement désignés et spécialement habilités aient un accès aux informations nécessaires eu égard à leur niveau de compétence et d’intervention dans la procédure d’éloignement. 
Sur la durée de conservation des données
La durée de conservation des données initialement prévue dans le projet de décret était de trois ans à compter de la clôture de la procédure, pour les informations relatives à la personne faisant l’objet d’une mesure d’éloignement et à celle qui l’héberge.
Le traitement envisagé étant destiné à assurer le suivi et la mise en œuvre des décisions d’éloignement, il apparaît qu’à l’issue de cette procédure, c’est-à-dire quand la mesure d’éloignement est devenue effective, les données à caractère personnel collectées n’ont pas vocation à être conservées dans le traitement. Cela ne remet nullement en cause la conservation des informations relatives aux interdictions du territoire, judiciaires ou administratives, qui sont conservées dans d’autres fichiers dont c’est la fonction et la finalité.
La Commission prend donc acte des engagements du commissaire du Gouvernement, au nom du responsable du traitement, précisant que la durée de conservation serait de trois ans, à compter de l’éloignement effectif, pour les informations relatives à l’identité de la personne visée, au prononcé de la mesure d’éloignement, à certaines des procédures juridictionnelles de mise en oeuvre ainsi qu’au laissez-passer consulaire et de trois mois, à compter de la sortie définitive du dernier lieu de rétention administrative, pour les autres informations. 
La Commission demande que, dans le cas des étrangers dont la mesure d’éloignement a été retirée ou abrogée, les données soient immédiatement effacées.
La Commission relève que la durée de conservation des données des visiteurs est de trois mois à compter de la date de sortie définitive du centre de rétention administrative. La Commission prend acte de cette modification importante par rapport au dossier initial de juillet 2006 qui précisait que toutes les données étaient conservées trois ans. 
Sur l’information des personnes et les modalités des droits d’accès et de rectification
Le ministère de l’intérieur prévoit que les intéressés seront informés de leurs droits à la fois sur les courriers de notification qui leur sont adressés ainsi que par un affichage dans les centres de rétention administrative.  La Commission prend acte de ces mesures d’information et de leur diffusion, par affichage ou notes d’information, dans au moins six langues étrangères. Elle note également que ces informations d’information préciseront que le traitement concerne aussi les visiteurs et qu’elles indiqueront la durée de conservation des données.
Le Président
Alex TURK
(Demande d’avis n° 1207095)
La Commission nationale de l’informatique et des libertés,
Saisie le 20 novembre 2006 d’un projet d’arrêté du directeur général des douanes et droits indirects du ministère de l’Economie, des Finances et de l’Industrie relatif au fichier d’identification des dossiers d’enquêtes douanières (FIDE) ;
Vu la convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel; 
Vu ensemble la convention sur l’emploi de l’informatique dans le domaine des douanes du 26 juillet 1995, le protocole du 12 mars 1999, relatif au champ d’application du blanchiment de revenus dans la convention sur l’emploi de l’informatique dans le domaine des douanes et à l’inclusion du numéro d’immatriculation du moyen de transport dans la convention et le protocole rectifié du 8 mai 2003, modifiant, en ce qui concerne la création d’un fichier d’identification des dossiers d’enquêtes douanières, et la convention sur l’emploi de l’informatique dans le domaine des douanes ; 
Vu la directive n° 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physique à l’égard du traitement des données à caractère personnel et à la libre circulation des données ; 
Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié par le décret n°2007-451 du 25 mars 2007 ;
Vu l’arrêté du 15 septembre 2005 relatif au « système d’information des douanes » ; 
Vu le projet d’arrêté du directeur général des douanes et droits indirects du ministère de l’Economie, des Finances et de l’Industrie relatif au fichier d’identification des dossiers d’enquêtes douanières ;
Après avoir entendu, M. Jean MASSOT, commissaire, en son rapport et Mme Catherine POZZO DI BORGO, commissaire adjointe du gouvernement adjoint, en ses observations ;
Emet l’avis suivant :
La Commission a été saisie le 20 novembre 2006 d’un projet d’arrêté du directeur général des douanes et droits indirects du ministère de l’Economie, des Finances et de l’Industrie relatif au fichier d’identification des dossiers d’enquêtes douanières (FIDE) ;
Afin que ce projet d’arrêté indique clairement l’identité du responsable du traitement, au sens de l’article 3 de la loi du 6 janvier 1978 modifiée, la Commission demande que la première phrase de son article 1er soit complétée par la formule : « …mise en œuvre au sein de la direction générale des douanes et droits indirects du ministère de l’Economie, des Finances et de l’Industrie ».
Cette saisine fait suite à l’approbation, par une loi du 25 janvier 2006, d’un protocole du 8 mai 2003 modifiant la convention européenne du 26 juillet 1995 sur l’emploi de l’informatique dans le domaine des douanes et créant un fichier d’identification des dossiers d’enquêtes douanières au sein du système d’information des douanes créé par ladite convention.
La convention modifiée par ce protocole prévoit expressément que, sans préjudice de ces dispositions, spécifiques au « FIDE », « toutes les dispositions de la présente convention s’appliquent également au fichier d’identification des dossiers d’enquêtes douanières ».
Ce protocole, qui constitue la base juridique du fichier, définit également la finalité qui lui est assignée, les catégories de données traitées, les destinataires et les modalités d’interrogation du fichier et les délais de conservation de ces données.
Aux termes de l’article 12 A de la convention, repris à l’article 1er du projet d’arrêté, la finalité de la base « FIDE » est de « permettre aux autorités compétentes d’un Etat membre en matière d’enquêtes douanières […] qui ouvrent un dossier d’enquête ou qui enquêtent sur une ou plusieurs personnes ou entreprises, d’identifier les autorités compétentes des autres Etats membres qui enquêtent ou ont enquêté sur ces personnes ou entreprises afin d’atteindre, par le biais d’informations sur l’existence de dossiers d’enquêtes, les objectifs » de la convention européenne du 26 juin 1995, qui sont « d’aider à prévenir, rechercher et poursuivre les infractions graves aux lois nationales en renforçant, par une diffusion plus rapide des informations, l’efficacité des procédures de coopération et de contrôle des administrations douanières des Etats membres ».
La Commission considère en conséquence qu’il y a lieu de faire application des dispositions de l’article 26-I-2° de la loi du 6 janvier 1978 modifiée relatives aux modalités de déclaration des traitements mis en œuvre pour le compte de l’Etat et qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales, notamment.
La Commission prend acte que, conformément aux conditions posées par les articles 12 A et 12 B rectifiés de la convention et reprises dans le projet d’arrêté, le fichier projeté concernera uniquement les personnes ou entreprises faisant ou ayant fait l’objet d’une enquête concernant les infractions punies « d’une peine privative de liberté ou d’une mesure de sûreté privative de liberté d’un maximum d’au moins douze mois » ou « d’une amende d’au moins 15 000 euros ». Elle demande que l’article 2 du projet d’arrêté reprenne expressément cette précision.
Elle demande à cet égard que la liste des infractions concernées que chaque Etat membre doit, en application de l’article 12 A, paragraphe 3, de la convention, transmettre aux autres Etats membres et au comité institué par l’article 16 de la même convention, lui soit communiquée.
Les données à caractère personnel susceptibles d’être traitées dans le fichier projeté sont limitativement énumérées à l’article 2 du projet d’arrêté, par référence aux dispositions de l’article 12 B, paragraphe 2 de la convention.
Elles sont limitées aux noms, nom de jeune fille, prénoms et noms d’emprunt, date et lieu de naissance, nationalité et sexe, pour les personnes physiques et, pour les entreprises, à la raison sociale, au nom utilisé par l’entreprise dans le cadre de son activité, à son siège social et à son identifiant TVA.
La Commission prend acte que l’article 2 du projet d’arrêté, par référence aux dispositions de l’article 12 B de la convention, impose la création d’un registre spécifique pour enregistrer les données relatives à chaque personne ou chaque entreprise et l’impossibilité d’établir de liens entre ces registres et qu’en outre, chaque registre spécifique doit comporter le domaine concerné par le dossier d’enquête, ainsi que le nom, la nationalité et les coordonnées de l’autorité de l’Etat membre traitant et le numéro du dossier.
La Commission prend également acte que l’article 12 D de la convention encadre strictement les possibilités d’interrogation de la base en définissant de manière limitative les critères qui peuvent utilisés à cette fin.
Les destinataires des informations traitées sont, conformément aux dispositions de l’article 12 D de la convention, les agents des douanes françaises.
La Commission prend acte que compte tenu du nombre limité d’habilitations délivrées par la Commission européenne, seuls les agents issus des services d’enquête et des services d’orientation des contrôles bénéficient d’un accès direct au fichier selon les modalités prévues à l’article 3 de l’arrêté du 15 septembre 2005 relatif au « système d’information des douanes ».
La Commission rappelle que cette disposition spécifique au fichier « FIDE » et traduite à l’article 4 du projet d’arrêté, doit se combiner avec les autres dispositions de la convention applicables en la matière, et notamment ses articles 7 et 8, et que la communication d’informations issues du fichier à des autorités nationales de pays tiers, ainsi qu’à des organisations internationales ou régionales désirant s’en servir ne peut avoir lieu qu’aux conditions posées par le paragraphe 4 de cette dernière disposition.
A cet égard, la Commission rappelle que, sauf circonstances exceptionnelles exigeant la communication ponctuelle d’une information nécessaire à la sauvegarde de l’intérêt public, les conditions des transferts organisés d’informations à caractère personnel vers des Etats ne répondant pas aux conditions de l’article 68 de la loi du 6 janvier 1978 doivent être fixées par décret en Conseil d’Etat pris après avis motivé et publié de la Commission.
La Commission demande à avoir communication des instructions adressées aux services sur le traitement des demandes de consultation indirecte et sur la tenue des registres correspondants.
Les différentes durées de conservation prévues par la convention et figurant à l’article 3 du projet d’arrêté varient, selon l’état d’avancement du dossier d’enquête concerné, de trois à dix ans, à compter de la date d’introduction dans la base. Ainsi, cette durée est au maximum de trois ans si aucune infraction n’a été constatée par procès-verbal dans un dossier d’enquête en cours, de six ans s’agissant d’une enquête close si l’infraction a donné lieu à un jugement ou à une procédure de transaction et de dix ans si elle a donné lieu à un jugement devenu définitif.
La Commission prend acte que, dans la première hypothèse, les informations enregistrées ne peuvent être conservées si plus d’un an s’est écoulé depuis le dernier acte d’enquête et que, dans tous les cas, si une personne ou une entreprise est mise hors de cause, et ce quelle que soit l’étape de la procédure considérée, les données la concernant doivent être immédiatement effacées.
La Commission prend également acte que l’administration des douanes a l’obligation de procéder à un examen annuel des données traitées afin de déterminer si leur conservation est encore nécessaire.
La Commission considère que les mesures de sécurité, tant physiques que logiques, qui sont prévues à la fois par la convention, l’arrêté du 15 septembre 2005 précité et le dossier accompagnant le projet d’arrêté portant création du traitement « FIDE » apparaissent satisfaisantes au regard des dispositions de la loi.
Enfin, s’agissant d’un traitement mis en œuvre pour le compte de l’Etat et qui a pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales, le projet d’arrêté, conformément aux dispositions de l’article 38 de la loi du 6 janvier 1978 modifiée, écarte le droit d’opposition des personnes concernées.
De même, et conformément aux dispositions de la convention européenne, les personnes concernées exerceront leur droit d’accès selon les modalités prévues à l’article 41 de la loi du 6 janvier 1978 modifiée.
Le président
Alex TURK