La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret élargissant le traitement automatisé de données à caractère personnel dénommé PARAFE aux ressortissants britanniques ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu le règlement (UE) 2016/399 du Parlement européen et du Conseil du 9 mars 2016 concernant un code de l’Union relatif au régime de franchissement des frontières par les personnes (code frontières Schengen)
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu le règlement (UE) 2017/458 du Parlement européen et du Conseil du 15 mars 2017 modifiant le règlement (UE) 2016/399 en ce qui concerne le renforcement des vérifications dans les bases pertinentes aux frontières extérieures ;
Vu le code de la sécurité intérieure, notamment ses articles R. 232-6 à R. 232-11 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment ses articles 27 et 30 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la délibération n° 2007-094 du 3 mai 2007 portant avis sur un projet de décret portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la Convention signée à Schengen le 19 juin 1990 ;
Vu la délibération n° 2010-105 du 15 avril 2010 portant avis sur un projet de décret modifiant le décret n° 2007-1182 du 3 août 2007 portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la convention signée à Schengen le 19 juin 1990 ;
Vu la délibération n° 2016-012 du 28 janvier 2016 portant avis sur un projet de décret portant modification d’un traitement automatisé de données à caractère personnel dénommé PARAFE ;
Sur la proposition de Mme Sophie LAMBREMON, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Émet l’avis suivant :
La Commission a été saisie pour avis par le ministre de l’intérieur d’un projet de décret en Conseil d’Etat élargissant le traitement automatisé de données à caractère personnel dénommé Passage Automatisé Rapide Aux Frontières Extérieures (PARAFE) aux ressortissants britanniques.
Le dispositif PARAFE , encadré par les articles R. 232-6 à R. 232-11 du code de la sécurité intérieure, a pour objectif d’améliorer et de faciliter la mise en œuvre des contrôles aux frontières, dans les points de passage frontaliers tenus par les services garde-frontières français aux frontières extérieures de l’espace Schengen en permettant le passage de ces frontières de manière automatisée. Les voyageurs éligibles au dispositif PARAFE , et qui le souhaitent, peuvent dès lors emprunter des sas dédiés afin de satisfaire aux contrôles précités à partir de la lecture automatisée de leur passeport et de la vérification des données biométriques associées (empreintes digitales ou reconnaissance faciale) enregistrées au moment de leur inscription au programme PARAFE ou lors de la délivrance de ce titre d’identité.
La Commission rappelle qu’elle s’est prononcée, à plusieurs reprises, sur les conditions de mise en œuvre de ce traitement ainsi que sur les garanties substantielles qui doivent entourer le dispositif PARAFE afin d’assurer un haut niveau de protection des données des personnes concernées. Elle rappelle à cet égard qu’elle considère comme légitime le recours à des dispositifs de reconnaissance biométrique pour s’assurer de l’identité d’une personne, dès lors que les données biométriques sont conservées sur un support dont la personne a l’usage exclusif, comme c’est le cas pour le passeport biométrique. La Commission estime à ce titre, ainsi qu’elle l’a rappelé dans de nombreuses délibérations, que la mise en place et le maintien d’une base centrale de données biométriques ne peut être admise que dans la mesure où des exigences impérieuses en matière de sécurité ou d’ordre public le justifient. Elle rappelle en particulier que le traitement de données telles que les empreintes digitales, sous une forme centralisée, engendre davantage de risques du point de vue de la protection des données à caractère personnel, compte tenu à la fois des caractéristiques de l’élément d’identification physique retenu, des usages possibles de ces traitements et des risques d’atteintes graves à la vie privée et aux libertés individuelles en résultant. Elle prend acte des évolutions envisagées par le ministère visant, à terme, à supprimer la base centrale des empreintes digitales et demande, en tout état de cause, à être dûment informée du caractère effectif de cette modification. La Commission rappelle que l’analyse d’impact relative à la protection des données (AIPD) devra être mise à jour en conséquence.
Ces éléments généraux rappelés, la Commission relève que la modification envisagée par le présent projet de décret vise à mentionner explicitement au nombre des ressortissants d’Etats non membres de l’Union européenne (UE) éligibles au dispositif PARAFE , les ressortissants britanniques, au regard de la sortie prochaine du Royaume-Uni de l’UE. Elle prend acte de ce que le projet de décret qui lui est soumis entrera en vigueur à la date du retrait du Royaume-Uni de l’UE, sans accord fondé sur l’article 50 du traité sur le fonctionnement de l’Union européenne.
La Commission considère que le traitement PARAFE , qui a pour finalité de fluidifier les contrôles de police aux frontières extérieures, relève du champ d’application du règlement (UE) 2016/679 du 27 avril 2016 susvisé (ci-après RGPD ). Dans la mesure où il
est mis en œuvre pour le compte de l'Etat, agissant dans l'exercice de ses prérogatives de puissance publique, et qu’il porte sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes, sa modification doit faire l’objet d’un décret en Conseil d’Etat, conformément aux articles 27 et 30 de la loi du 6 janvier 1978 modifiée. En ce qui concerne la base légale du traitement, la Commission observe que le ministère
Sur l’élargissement du public éligible aux ressortissants britanniques
A titre liminaire, et au regard des observations générales formulées relatives aux dispositifs biométriques, la Commission rappelle que l’élargissement du public éligible au dispositif ne saurait en aucun cas légitimer le maintien d’une base centrale, ni son extension massive, au détriment de l’utilisation de dispositifs biométriques plus protecteurs des libertés des personnes concernées.
L’article premier du projet de décret prévoit la possibilité, pour les ressortissants de nationalité britannique, de recourir au dispositif PARAFE . La Commission relève que les sas sont déjà utilisés par ces personnes et que cet ajout vise uniquement à encadrer les conséquences de la sortie du Royaume-Uni de l’Union européenne, dont les citoyens britanniques ne seront plus ressortissants. Le ministère a précisé que la possibilité pour les ressortissants britanniques d’emprunter les sas du dispositif PARAFE doit permettre de maintenir des contrôles renforcés aux frontières sans en dégrader la fluidité, dans un contexte d’augmentation croissante du trafic mondial.
Si l’accès direct au sas à empreintes digitales est en théorie possible pour les citoyens britanniques, il nécessite la possession d’un passeport ou d’une carte nationale d’identité biométrique, sous réserve d’un accès par les autorités françaises à la puce contenant les empreintes digitales. A cet égard, la Commission prend acte qu’un tel accès n’est actuellement pas permis pour les ressortissants britanniques. Dès lors, elle relève que l’ensemble des ressortissants britanniques seront tenus de s’enrôler préalablement s’ils souhaitent utiliser les sas à empreintes digitales du dispositif PARAFE .
Elle prend acte qu’ils auront néanmoins la possibilité de recourir aux sas à reconnaissance faciale sans enregistrement préalable, sous réserve de détenir un passeport ou d’une carte nationale d’identité en cours de validité, dotés d’une bande de lecture optique.
Sous réserve des éléments précédemment rappelés concernant le maintien dans une base centralisée de données biométriques, cette extension n’appelle pas d’observations particulières de la part de la Commission.
Sur les mesures de sécurité
La Commission estime que les mesures de sécurité, qui demeurent inchangées, sont conformes à l’exigence de sécurité prévue par l’article 32 du RGPD. Elle rappelle toutefois que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques. A cet égard, elle rappelle qu’il conviendra d’apporter une attention spécifique à la réévaluation des mesures de sécurité dans le cadre de la mise à jour de l’analyse d’impact.
La Présidente
M-L. DENIS