La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration, d'une demande d'avis concernant un projet de décret modifiant le code de l'entrée et du séjour des étrangers et du droit d'asile et relatif à l'application de gestion des dossiers des ressortissants étrangers en France ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu la directive 2008/115/CE du Parlement européen et du Conseil du 16 décembre 2008 relative aux normes et procédures communes applicables dans les États membres au retour des ressortissants de pays tiers en séjour irrégulier ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L.511-1, L. 611-3 et L. 611-5, R. 611-1 à R. 611-7-4 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27 et 30 ;
Vu la loi n° 2011-672 du 16 juin 2011 relative à l'immigration, à l'intégration et à la nationalité ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi du 6 janvier 1978 modifiée ;
Vu le décret n° 2011-638 du 8 juin 2011 relatif à l'application de gestion des dossiers des ressortissants étrangers en France et aux titres de séjour et aux titres de voyage des étrangers ;
Vu la délibération n° 2011-036 du 10 février 2011 portant avis sur un projet de décret relatif au système informatisé de gestion des dossiers des ressortissants étrangers en France et à certains documents de voyage pour étrangers ;
Après avoir entendu M. Sébastien HUYGHE, commissaire, en son rapport, et Mme Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l'avis suivant :
La Commission a été saisie, le 18 juillet 2011, par le ministre de l'intérieur, de l'outre-mer, des collectivités territoriales et de l'immigration, d'une demande d'avis concernant un projet de décret modifiant le code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) et relatif à l'application de gestion des dossiers des ressortissants étrangers en France.
Rappel sur le traitement AGDREF2
La création de cette application, dénommée AGDREF2, a été autorisée par le décret n° 2011-638 du 8 juin 2011, pris après l'avis de la CNIL en date du 10 février 2011, et ses caractéristiques de fonctionnement sont définies aux articles R. 611-1 à R. 611-7-4 du CESEDA. Ces nouvelles dispositions réglementaires permettent des évolutions majeures du traitement AGDREF, initialement créé en 1993 et devenu techniquement obsolète, qui constitue le fichier principal de gestion administrative des étrangers. Il permet notamment la gestion par les préfectures des dossiers de ressortissants étrangers et la fabrication des titres de séjour, en même temps qu'il permet aux agents habilités à examiner la situation des étrangers au regard du séjour en France d'effectuer les vérifications nécessaires. Ce traitement concerne ainsi environ sept millions de personnes.
Au-delà de la modernisation technique du système, la Commission rappelle que les principales évolutions du traitement sont les suivantes. Il comprend dorénavant les fonctionnalités du traitement ELOI relatif aux étrangers faisant l'objet d'une mesure d'éloignement, les dispositions réglementaires concernant ce dernier ayant été abrogées par le décret n° 2011-638 du 8 juin 2011. Le traitement AGDREF2 comporte en outre une base centralisée de données biométriques (les dix empreintes digitales et la photographie des personnes concernées) relatives aux demandeurs de titre de séjour, aux personnes en situation irrégulière et aux personnes faisant l'objet d'une mesure d'éloignement. Il permet la délivrance de titres biométriques de séjour et de voyage des étrangers, dans lesquels est intégrée une puce RFID comportant deux empreintes digitales du titulaire. L'accès aux données enregistrées dans ce traitement est enfin ouvert, dans la limite du besoin d'en connaître, à tous les services de l'Etat et organismes rattachés intervenant dans la gestion administrative des étrangers.
La Commission s'est prononcée sur tous ces points dans sa délibération du 10 février susvisée, ainsi que sur les nécessaires garanties à mettre en œuvre afin de mieux respecter le droit à la protection des données personnelles des étrangers concernés. Elle a en particulier évoqué trois aspects principaux : la mise à jour et l'effacement des données enregistrées au terme des délais prévus à l'article R. 611-7-1 du CESEDA, la limitation des accès aux seules données strictement nécessaires à l'accomplissement des missions de chaque destinataire et la mise en place d'une politique rigoureuse de traçabilité des actions effectuées dans le système. La Commission relève à cet égard que le ministère chargé de l'immigration a suivi la plupart de ses recommandations sur ces aspects.
Dans ce contexte, le ministère chargé de l'immigration projette de modifier à nouveau les dispositions réglementaires du CESEDA relatives au traitement AGDREF2 afin de prendre en compte l'entrée en vigueur de la loi n° 2011-672 du 16 juin 2011 susvisée, qui a notamment créé l'interdiction de retour. En application des dispositions de l'article L. 611-5 du CESEDA et des articles 27 et 30 de la loi du 6 janvier 1978 modifiée, ces modifications nécessitent un décret en Conseil d'Etat pris après avis de la Commission.
Sur les modifications projetées : les conséquences de la création de l'interdiction de retour pour le traitement AGDREF2
La loi n° 2011-672 du 16 juin 2011 a notamment porté transposition de la directive 2008/115/CE du 16 décembre 2008, dite  directive retour . Parmi les normes et procédures applicables au retour des ressortissants de pays tiers en séjour irrégulier prévues par cette directive figure en particulier l'interdiction d'entrée, excluant toute entrée et tout séjour sur le territoire de l'ensemble des Etats membres de l'Union européenne pendant une durée déterminée. La nouvelle rédaction de l'article L. 511-1 du CESEDA prévoit ainsi que l'autorité administrative peut, par décision motivée, assortir l'obligation de quitter le territoire français (OQTF) d'une nouvelle mesure de police administrative : l'interdiction de retour sur le territoire français (IRTF).
Cette interdiction de retour, qui donne lieu à un signalement aux fins de non-admission dans le système d'information Schengen (SIS), peut être prononcée pour une durée maximale de deux ou trois ans selon les cas et peut être prolongée de deux années supplémentaires si l'étranger ne s'y est pas conformé. Le III de l'article L. 511-1 du CESEDA prévoit également les conditions dans lesquelles l'interdiction de retour peut être abrogée par l'autorité administrative.
Dans la mesure où l'IRTF constitue une nouvelle mesure d'éloignement, la Commission prend acte de l'enregistrement dans le traitement AGDREF2 de cette mesure et de ses dates de début, de fin et d'abrogation. Ces données seront ainsi mentionnées au a) du C de la section 1 de l'annexe 6-4 du CESEDA, au même titre que les données relatives aux mesures d'éloignement déjà enregistrées dans le traitement.
Il est en outre prévu de modifier l'article R. 611-7-1 du même code afin de prévoir que le dossier d'un étranger qui contient des données relatives à une interdiction de retour est effacé au terme d'un délai de cinq ans à compter de l'expiration du délai de validité de l'interdiction, si le dossier n'a fait l'objet d'aucune mise à jour durant cette période.
La Commission relève que ce régime de conservation est semblable à celui fixé pour les dossiers d'étrangers condamnés à une peine d'interdiction du territoire à temps. Elle observe en outre que les dispositions du III de l'article L. 511-1 du CESEDA prévoient que  l'interdiction de retour et sa durée sont décidées par l'autorité administrative en tenant compte de la durée de présence de l'étranger sur le territoire français, de la nature et de l'ancienneté de ses liens avec la France, de la circonstance qu'il a déjà fait l'objet ou non d'une mesure d'éloignement et de la menace pour l'ordre public que représente sa présence sur le territoire français .
Il est ainsi expressément prévu que les modalités de cette mesure administrative sont décidées au vu de la globalité du dossier administratif de l'étranger concerné, tant en matière de séjour que d'éloignement. La Commission considère dès lors que ces dispositions sont de nature à mieux justifier la durée de conservation prévue des données relatives à l'éloignement, sensiblement augmentée par rapport à celle prévue dans l'application ELOI dont les fonctionnalités ont été réunies dans le nouveau traitement AGDREF2.
Elle rappelle cependant que l'article R. 611-7-1 du CESEDA prévoit que les données relatives à l'éloignement sont effacées sans délai en cas de délivrance d'une carte de séjour et que ces dispositions seront donc applicables aux données relatives aux interdictions de retour.
La Commission souhaite en outre réitérer sa demande, figurant dans son avis du 10 février 2011, concernant la mise en place de mécanismes techniques de nature à garantir le respect des délais de suppression des données, tels que des modules de suppression automatique à l'expiration des durées de conservation ou des alertes automatiques prévenant les services gestionnaires du fichier de la nécessité de procéder à des mises à jour. De tels mécanismes apparaissent d'autant plus nécessaires pour les dossiers d'étrangers contenant des données relatives à une interdiction de retour. En effet, les conditions d'abrogation de cette mesure ont été facilitées par le législateur et il convient dès lors de s'assurer de l'effacement des dossiers des étrangers concernés au terme du délai de cinq ans à compter des éventuelles abrogations de ces interdictions.
Le Président