AgentPublic/cnil huggingface dataset:
Ces dispositions restent en effet nécessaires à la transposition en droit interne des obligations spécifiques prévues en la matière par la Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (dite e-privacy ). Néanmoins, il est prévu que ladite directive soit prochainement abrogée par un règlement, dans lequel ne figurerait pas d’obligation spécifique en matière de violation de données et qui renverrait aux dispositions de droit commun prévu par le Règlement en ce domaine.
La coexistence de ces deux régimes de notification des violations, dont les conditions et modalités diffèrent sur plusieurs points, produit ainsi un effet peu satisfaisant en termes de lisibilité de l’état du droit et en termes opérationnels pour les professionnels devant mettre en œuvre concurremment les deux dispositifs.
En tout état de cause, ces dispositions doivent néanmoins être modifiées pour permettre la notification des violations de données au sens du Règlement par voie exclusivement électronique et la Commission demande donc que l’article 91-1 du décret du 20 octobre 2005 modifié soit modifié en ce sens.
Sur les traitements de données relatives aux condamnations pénales, aux infractions et aux mesures de sûreté connexes
L’article 26 du projet de décret vise à faire application des dispositions prévues au 1° de l’article 9 de la loi du 6 janvier 1978 modifiée, en fixant la liste des catégories de personnes morales de droit privé collaborant au service public de la justice autorisées à mettre en œuvre des traitements portant sur de telles données.
La Commission estime à titre général que la liste projetée est adéquate et proportionnée, dans la mesure où elle couvre les catégories de personnes morales de droit privé collaborant au service public de la justice connues de la Commission dont les missions nécessitent le traitement de données relatives à des infractions.
Elle s’interroge néanmoins sur la catégorie prévue au 3° de l’article 26 du projet de décret, et plus précisément sur les établissements et services mentionnés au 2° de l’article L. 312-1 du code de l’action sociale et des familles, dont les missions n’apparaissent pas nécessairement, en l’état des éléments transmis à la Commission et sous réserve de compléments, exiger le traitement de telles données. A l’inverse, la mention, au 4° du même article 26, des seuls établissements médicaux ou médico-pédagogiques habilités mentionnés aux articles 15 et 16 de l’ordonnance n° 45-174 du 2 février 1945 relative à l’enfance délinquante, semble écarter la possibilité pour les autres organismes mentionnés aux mêmes articles, et notamment aux institutions et établissements privés d'éducation ou de formation professionnelle et aux internats appropriés aux mineurs délinquants d'âge scolaire, de traiter de telles données, qui apparaissent pourtant nécessaires à l’exercice de leurs missions. Le projet de décret serait don utilement modifié sur ces deux points.
Enfin, la Commission estime que les dispositions prévues à l’article 26 du projet de décret seraient utilement intégrées au décret du 20 octobre 2005 modifié, afin d’améliorer la lisibilité du cadre juridique en la matière.
 
La Présidente
 
 
 
I. FALQUE-PIERROTIN
La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret relatif au système API-PNR France et modifiant le code de la sécurité intérieure (partie réglementaire) ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 2004/82/CE du Conseil de l'Europe concernant l'obligation pour les transporteurs de communiquer les données relatives aux passagers ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l'égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu la directive 2016/681 du Parlement européen et du Conseil du 27 avril 2016 relative à l'utilisation des données des dossiers passagers (PNR) pour le prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière ;
Vu le code de la sécurité intérieure, notamment son article L. 232-7 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés;
Vu le décret n° 2014-1566 du 22 décembre 2014 portant création d'un service à compétence nationale dénommé Unité Information Passagers (UIP) ;
Vu la délibération n° 2013-219 du 18 juillet 2013 portant avis sur un projet de loi relative à la programmation militaire pour les années 2014 à 2019 et portant diverses dispositions concernant la défense et la sécurité nationale ;
Vu la délibération n° 2014-308 du 17 juillet 2014 portant avis sur un projet de décret relatif à la création d'un traitement de données à caractère personnel dénommé système API-PNR France pris pour l'application de l' article L. 232-7 du code de la sécurité intérieure et fixant les modalités de transmission au service à compétence nationale Unité Information Passagers des données relatives aux passagers par les transporteurs aériens ;
Vu la délibération n° 2015-230 du 9 juillet 2015 portant avis sur un projet de décret portant modification des articles 5 du décret n° 2010-569 du 28 mai 2010 et R. 232-14 et R. 232-15 du code de la sécurité intérieure ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et Mme Nacima BELKACEM, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis relative à un projet de décret relatif au système API-PNR France et modifiant le code de la sécurité intérieure (CSI).
A titre liminaire, la commission rappelle que l'article L. 232-7 du CSI, dans sa version issue de la loi n° 2013-1168 du 18 décembre 2013 relative à la programmation militaire pour les années 2014 à 2019, a autorisé, à titre expérimental et jusqu'au 31 décembre 2017, le traitement des données d'enregistrement (dites API ou Advance Passenger Information ) relatives aux passagers des vols à destination et en provenance du territoire national, à l'exception des vols reliant deux points de la France métropolitaine, ainsi que des données relatives aux passagers enregistrées dans les systèmes de réservation des transporteurs aériens (dites PNR ou Passenger Name Record ).
Ce dispositif expérimental devait permettre de répondre aux besoins des services opérationnels des agents de la police nationale, de la gendarmerie nationale et des douanes ainsi que des services de renseignement spécialisés, dans le cadre des finalités limitativement énumérées à l'article L. 232-7 du CSI à savoir la prévention et la constatation des actes de terrorisme, des infractions mentionnées à l' article 695-23 du code de procédure pénale (CPP) et des atteintes aux intérêts fondamentaux de la nation, le rassemblement des preuves de ces infractions et de ces atteintes ainsi que la recherche de leurs auteurs.
Pour la mise en œuvre de ce dispositif, une Unité d'Information Passagers (UIP), service à compétence nationale rattaché au ministre chargé des douanes et créé par le décret n° 2014-1566 du 22 décembre 2014 susvisé, a été chargée de recueillir les données transmises par les compagnies aériennes, de les exploiter et de transmettre le résultat de cette exploitation aux services demandeurs.
Le traitement API-PNR , qui permet d'effectuer un rapprochement entre les données collectées et d'autres fichiers de police judiciaire ou administrative, relatifs à des personnes ou des objets recherchés ou surveillés, devait également permettre d'expérimenter de nouvelles modalités d'exploitation de ces données, en particulier, le ciblage des individus sur le fondement de différents critères préétablis et leur classement sur une échelle de risques, grâce à l'utilisation d'un outil de scoring.
La commission s'est prononcée sur ce dispositif expérimental et ses conditions de mise en œuvre à trois reprises, par ses délibérations susvisées n° 2013-219 du 18 juillet 2013, n° 2014-308 du 17 juillet 2014 et n° 2015-230 du 9 juillet 2015.
La loi n° 2017-1510 du 30 octobre 2017 renforçant la sécurité intérieure et la lutte contre le terrorisme a toutefois modifié l'article L. 232-7 du CSI pour pérenniser le dispositif API-PNR et transposer la directive (UE) 2016/681 du Parlement européen et du Conseil du 27 avril 2016 relative à l'utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière (ci-après directive PNR ), dont le délai de transposition était fixé au 25 mai 2018.
Le projet de décret aujourd'hui soumis à la commission vise à finaliser la transposition de cette directive et, au-delà des modifications rendues nécessaires par cette transposition, redéfinir sur plusieurs points les conditions de mise en œuvre du dispositif API-PNR.
Elle relève par ailleurs que le projet qui lui est soumis pour avis relevait, à la date de la saisine, des dispositions de l'article 26-I-2° de la loi du 6 janvier 1978 modifiée qui prévoit qu'un arrêté, pris après avis motivé et publié de la commission, autorise les traitements de données à caractère personnel mis en œuvre pour le compte de l'Etat et qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sureté. Il découle du VI de l'article L. 232-7 du CSI que les conditions de mise en œuvre du traitement API-PNR France doivent être définies par un décret en Conseil d'Etat, pris après avis motivé et publié de la commission. Compte-tenu de l'évolution du cadre juridique relatif à la protection des données à caractère personnel résultant notamment de la prise en compte des dispositions de la directive (UE) 2016/68o du 27 avril 2016 susvisée, la commission considère que le traitement qui lui est soumis doit faire l'objet d'un examen au regard de ces nouvelles dispositions.
Le projet appelle de la part de la commission les observations suivantes.
Sur les finalités du traitement et le champ d'application du système API-PNR France :
Les finalités du système API-PNR France sont définies au I de l'article L. 232-7 du CSI, qui autorise le ministre de l'intérieur, le ministre de la défense, le ministre chargé des transports et le ministre chargé des douanes à mettre en œuvre un traitement de données à caractère personnel pour les besoins de la prévention et de la constatation de certaines infractions ainsi que de la recherche de leurs auteurs .
Le même article précise que les infractions concernées sont les actes de terrorisme, les atteintes aux intérêts fondamentaux de la nation ainsi que les infractions mentionnées à l'annexe II de la directive (UE) 2016/681 du Parlement européen et du Conseil du 27 avril 2016 relative à l'utilisation des données des dossiers passagers (PNR) pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière, lorsqu'elles sont punies d'une peine privative de liberté d'une durée égale ou supérieure à trois ans d'emprisonnement ou d'une mesure de sûreté privative de liberté d'une durée égale ou supérieure à trois ans .
Cette version de l'article L. 232-7 du CSI, issue de la loi n° 2017-1510 du 30 octobre 2017 précitée, ne comporte plus de référence aux infractions mentionnées à l'article 695-23 du CPP, mais procède à un renvoi à l'annexe II de la directive PNR transposée, qui mentionne vingt-six infractions ou catégories d'infractions, parmi lesquelles figurent la participation à une organisation criminelle, la traite des êtres humains, la corruption, la fraude, les infractions graves contre l'environnement, y compris le trafic d'espèces animales menacées, l'aide à l'entrée et au séjour irréguliers, les meurtres, coups et blessures graves, le trafic de substances hormonales, le viol ou encore l'espionnage industriel.
Les finalités définies par l'article L. 232-7 du CSI demeurent toutefois plus larges que celles découlant de la directive PNR puisque le dispositif API-PNR France conserve une finalité de prévention des atteintes aux intérêts fondamentaux de la nation, non couverte par la directive précitée. La commission prend acte que les fonctionnalités issues de la transposition de la directive PNR, telles que le transfert de données PNR à l'UIP d'un autre Etat membre de l'Union européenne ou la possibilité pour l'UIP, sur sollicitation des autorités mentionnées à l'articleR. 232-15 du CSI, de demander aux transporteurs aériens de transmettre des données en dehors des créneaux de transmission imposés, ne seront dès lors pas mises en œuvre à des fins de prévention des atteintes aux intérêts fondamentaux de la nation, du rassemblement des preuves de ces atteintes ainsi que de la recherche de leurs auteurs.
En outre, la commission relève que le système API-PNR France dispose également d'un champ d'application plus large que celui imposé par la directive en tant qu'il ne concerne pas uniquement les transporteurs aériens, mais également les agences de voyage et opérateurs de voyage ou de séjour affrétant tout ou partie d'un aéronef , auxquels le dernier alinéa du II de l'article L. 232-7 du CSI, dans sa version issue de la loi du 30 octobre 2017 précitée, prévoit que le ministre de l'intérieur, le ministre de la défense, le ministre chargé des transports et le ministre chargé des douanes peuvent demander (…) de transmettre les données relatives aux passagers enregistrées dans leur système de réservation , donc des données PNR.
La commission prend acte que le ministère souhaite mettre en œuvre cette faculté, évoquée au considérant 33 de la directive PNR, en prévoyant dans le projet de décret l'obligation pour les agences de voyage et opérateurs de voyage ou de séjour affrétant tout ou partie d'un aéronef de transmettre les données de réservation à l'UIP, une première fois quarante-huit heures avant le départ du vol et une seconde fois immédiatement après la clôture du vol, par envoi électronique sécurisé.
Elle prend également acte que les obligations auxquelles le projet de décret soumet ces agences et opérateurs sont moins nombreuses que celles applicables aux transporteurs aériens et qu'ils n'auront pas, en particulier, à transmettre de données en dehors des créneaux précités.
Enfin, le projet de décret soumis à la commission prévoit de modifier plusieurs articles du CSI relatifs au dispositif API-PNR pour mentionner la collecte et l'exploitation de données API relatives aux membres d'équipage. Ces modifications visent à compléter, d'une part, la mention données des passagers par et des membres d'équipage , à l'article R. 232-13 du CSI, et d'autre part, l'expression données d'enregistrement par des passagers aériens ainsi que des membres d'équipage au b du I de l'article R. 232-14 du CSI. Dans sa version actuelle, l'article R. 232-14 du CSI, relatif aux données traitées dans le cadre du dispositif API-PNR, prévoit uniquement la collecte et 1'exploitation de données relatives aux passagers tout en mentionnant au sein d'une parenthèse située au 11° du b du Ide cet article un statut de membre d'équipage .
Si cette rédaction, selon le ministère, permet de fonder la collecte de donnés API relative aux membres d'équipage, elle demeure ambiguë et source d'une certaine confusion, que le ministère entend résoudre en autorisant expressément la collecte et l'exploitation de ces données.
La commission relève toutefois que les dispositions de l'article L. 232-7 du CSI sur lequel se fonde le projet de décret qui lui est soumis, autorisent uniquement la collecte de données relatives aux passagers aériens. Elle souligne en outre que la directive API et la directive PNR, que ces dispositions législatives transposent, ne mentionnent également que la collecte de données relatives aux passagers. Elle observe enfin que la directive PNR, à son article 3, définit expressément la notion de passager comme excluant celle de membre d'équipage.
Dans ces conditions, et sans préjudice de l'appréciation qui pourrait être portée sur la proportionnalité du dispositif, la commission s'interroge sur la possibilité pour le ministère de prévoir la collecte des données API relatives aux membres d'équipage.
Sur la nature des données traitées, les conditions de leur exploitation et leur durée de conservation :
La commission rappelle en premier lieu que, conformément à l'article L. 232-7 du CSI, seules doivent être transmises à l'UIP les données liées aux déplacements à destination et en provenance du territoire national, à l'exception des déplacements reliant deux points de la France métropolitaine.
Le même article du CSI exclut que soient traitées dans le cadre du système API-PNR des données à caractère personnel susceptibles de révéler la prétendue origine raciale ou ethnique d'une personne, ses convictions religieuses ou philosophiques, ses opinions politiques, son appartenance à un syndicat, ou les données qui concernant sa santé ou la vie sexuelle de l'intéressé. Sur ce point, la commission prend acte que le dispositif de filtrage automatique initialement mis en œuvre pour rendre inaccessibles les éventuelles données sensibles qui seraient par erreur transmises à l'UIP sera maintenu.
La commission rappelle également que, s'agissant des passagers, les données que les transporteurs aériens ont l'obligation de recueillir et de transmettre sont tant les données d'enregistrement relatives aux passagers de ces déplacements (API), que les données relatives aux passagers enregistrées dans leurs systèmes de réservation (données PNR).
Les données PNR sont celles fournies par les voyageurs au stade de la réservation commerciale et correspondent principalement aux données relatives à l'identité des passagers aériens (nationalité, nom, prénom, date de naissance), à l'itinéraire emprunté, au nombre et noms des autres voyageurs figurant dans le dossier passager ainsi que d'autres informations concernant le passager (numéro de siège, informations relatives aux bagages, moyens de paiement, etc.).
Les données API, quant à elles, sont des données d'enregistrement et d'embarquement présentes dans les systèmes d'information des compagnies aériennes ou des plateformes aéroportuaires. Elles sont essentiellement composées des données relatives à l'identité des passagers aenens (nationalité, nom, prénom, date de naissance, sexe), au document de voyage utilisé (type, numéro), au vol emprunté (numéro, point de passage frontalier, code de transport, date du vol, heures et point de départ et d'arrivée, point d'embarquement et de débarquement, nombre total de personnes transportées) ainsi que d'autres informations concernant le passager (statut de la personne embarquée, numéro de siège, code repère du dossier passager, nombre, poids et identification des bagages).
Concernant les données API et PNR transmises par les transporteurs aériens relatives aux passagers, le projet de décret ne marque pas d'évolution significative par rapport au dispositif expérimental précédemment mis en œuvre, à l'exception de l'ajout, concernant les données PNR, de catégories de données relatives aux mineurs. Sur ce point, l'article 5 du projet de décret prévoit que peuvent être enregistrées dans le traitement, toutes les informations disponibles sur les mineurs non accompagnés de moins de 18 ans, telles que le nom et le sexe, son âge, la ou les langues parlées, le nom et les coordonnées de la personne présente au départ et son lien avec le mineur, le nom et les coordonnées de la personne présente à l'arrivée et son lien avec le mineur, l'agent présent au départ et à l'arrivée .
La commission relève que l'annexe I de la directive 2016/681 susvisée ne mentionne pas la personne présente au titre des personnes dont les données peuvent être collectées mais fait référence au tuteur . Pour autant, la commission relève que les mêmes situations sont visées et prend ainsi acte que ces deux formulations se rapportent au même champ.
Par ailleurs, le projet de décret soumis à la commission tire les conséquences de la possibilité, prévue au dernier alinéa du II de l'article L. 232-7 du CSI, de demander aux agences de voyage et aux opérateurs de voyage ou de séjour affrétant tout ou partie d'un aéronef de transmettre des données PNR, en complétant l'article R. 232-14 du CSI relatif aux catégories de données traitées. La commission juge toutefois inappropriée la modification envisagée du premier alinéa du I de cet article, qui introduit une liste comportant des données API et des données PNR, alors que la transmission par des agences de voyage et opérateurs de voyage ou de séjour prévue au II de l'article L. 232- 7 du CSI ne concerne, contrairement aux transporteurs aériens, que les données PNR. La commission considère dès lors que la rédaction du projet de décret doit être revue pour qu'il apparaisse plus clairement que seules les données PNR peuvent être transmises par les agences de voyage et opérateurs de voyage. Elle prend acte que le ministère s'engage à clarifier la rédaction des dispositions concernées.
Concernant les conditions d'exploitation des données, la commission prend acte des précisions apportées au II de l'article R. 232-13 du CSI par le projet de décret indiquant que les données ne sont traitées par l'UIP qu'afin de réaliser une évaluation des personnes avant leur arrivée prévue sur le territoire national ou leur départ prévu de celui-ci, afin d'identifier les personnes pour lesquelles un examen plus approfondi est nécessaire au regard des finalités du traitement par les autorités mentionnées à l'article R. 232-15 et, le cas échéant, par Europol .
La commission prend également acte que cette évaluation résultera toujours du recours au criblage et à des techniques de ciblage.
La commission rappelle en effet que le système API-PNR doit d'abord permettre, à chaque réception des données API et PNR par l'UIP, de les comparer automatiquement et systématiquement avec plusieurs fichiers relatifs à des personnes ou des objets recherchés (FPR, FOVeS, SIS II, SILCF et base ASF-SLTD d'Interpol). Cette fonctionnalité, dite de criblage , a pour but de déterminer si des personnes ou des objets inscrits dans ces fichiers figurent sur un vol concerné par le traitement.
La commission prend acte que les garanties prévues sur ce point dans le cadre de l'expérimentation menée sont maintenues. Elle relève en particulier que le criblage effectué, qui permet donc de savoir qu'une personne ou un objet est inscrit dans un traitement, n'est pas réalisé au regard de l'intégralité du contenu des fichiers précités, mais uniquement par rapport aux fiches pertinentes, notamment au regard du seuil de gravité infractionnelle prévu à l'article L. 232-7 du CSI.
La commission prend par ailleurs acte que les résultats de cette mise en relation, qui révèlent l'inscription ou l'absence d'inscription d'un individu dans les parties des fichiers consultés, demeurent conservés pendant une durée maximale de quatre-vingt­ seize heures.
En outre, en cas de réponse positive ( hit ), est mise à disposition la copie de la fiche de recherche ou de surveillance concernée afin de permettre aux agents de l'UIP de procéder à l'opération de levée de doute, ce qui justifie la mention de tels éléments au II de l'articleR. 232-14 du CSI parmi les données susceptibles d'être enregistrées dans le traitement, pour une durée de conservation maximale de vingt-quatre heures.