La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l'intérieur d'une demande d'avis concernant un projet de décret simplifiant la délivrance des passeports ;
Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu le règlement du Parlement et du Conseil européen n° 444/2009 du 28 mai 2009 modifiant le règlement (CE) n° 2252/2004 du 13 décembre 2004 du Conseil établissant des normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les Etats membres ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code général des collectivités territoriales, notamment son article L. 1611-2-1 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 27 et 30 ;
Vu le décret n° 55-1397 du 22 octobre 1955 modifié instituant la carte nationale d'identité ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports électroniques ;
Vu le dossier et ses compléments ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de M. Jean-Alexandre SILVY, commissaire du Gouvernement,
Emet l'avis suivant :
La commission a été saisie par le ministre de l'intérieur d'une demande d'avis portant sur un projet de décret simplifiant la délivrance des passeports et modifiant les dispositions du décret n° 2005-1726 du 30 décembre 2005 modifié.
Ce projet vise à modifier les règles relatives à la délivrance et au renouvellement des passeports, à élargir les personnes autorisées à recueillir les demandes de passeports de mission émanant d'agents du ministère de la défense et à autoriser la remise du passeport par envoi postal pour les Français de l'étranger.
Dans la mesure où le traitement automatisé de données à caractère personnel relatif aux demandes de passeport, dénommé TES, mis en œuvre pour le compte de l'Etat et portant notamment sur des données biométriques, relève des dispositions de l'article 27 de la loi du 6 janvier 1978 modifiée, les modifications apportées au décret du 30 décembre 2005 précité nécessitent un avis motivé et publié de la commission.
Certaines dispositions du projet de décret concernent également le système de gestion informatisée des cartes nationales d'identité, qui relève quant à lui du régime de formalités prévu à l'article 22 de la loi du 6 janvier 1978 modifiée. Les modifications apportées au décret n° 55-1397 du 22 octobre 1955 modifié ont ainsi fait l'objet de la déclaration auprès de la commission prévue audit article.
Sur les modifications apportées aux données enregistrées dans le traitement TES
Les modifications apportées au décret précité du 30 décembre 2005 modifié concernent tout d'abord les catégories de données à caractère personnel enregistrées dans le traitement TES.
En premier lieu, en ce qui concerne les personnes concernées par le traitement TES, il est prévu de préciser que les données à caractère personnel enregistrées concernent tout demandeur de passeport et non les seuls titulaires. La commission estime que cette modification assure une plus grande clarté et précision du texte. Elle permet en effet de mieux rendre compte du traitement des données relatives aux personnes dont la demande de passeport a été refusée.
Les modifications concernent en deuxième lieu les pièces du dossier de demande du passeport, et tout particulièrement les justificatifs de domicile. Le demandeur d'un passeport qui ne dispose pas d'un domicile ou d'une résidence fixe doit en effet justifier de sa commune de rattachement ou fournir une attestation d'élection de domicile. L'article 6-1 du décret du 30 décembre 2005 modifié prévoit à cet égard que  le demandeur auquel la loi a fixé une commune de rattachement produit un livret spécial de circulation, un livret de circulation ou un carnet de circulation en cours de validité .
Or, par décision n° 2012-279 QPC du 5 octobre 2012, le Conseil constitutionnel a jugé que les dispositions de la loi du 3 janvier 1969 qui imposent à certaines personnes dépourvues de domicile ou de résidence fixe et qui ne justifient pas de ressources régulières leur assurant des conditions normales d'existence, de disposer d'un carnet de circulation, visé par l'autorité administrative tous les trois mois sous peine d'un an d'emprisonnement, étaient contraires à la Constitution.
Le projet de décret soumis à la commission supprime dès lors la référence à ce titre de circulation pour les personnes ne disposant pas d'un domicile ou d'une résidence fixe, conformément à la décision du Conseil constitutionnel.
En troisième lieu, il est prévu qu'une nouvelle catégorie de données à caractère personnel soit enregistrée dans le système de traitement TES : les données relatives à la filiation du demandeur. Cette catégorie de données comprend les noms, prénoms, date et lieu de naissance des parents du demandeur ou du titulaire du passeport, ainsi que leur nationalité.
Si l'article 19 du décret n° 2005-1726 du 30 décembre 2005 modifié prévoit que l'image numérisée des pièces du dossier de demande de passeport est enregistrée dans le traitement TES, parmi lesquelles figurent des pièces relatives à la filiation du demandeur, il ne précise pas expressément que les données relatives à la filiation constituent des données à caractère personnel enregistrées dans le traitement et susceptibles d'exploitation.
Or, le traitement de telles données permet de renforcer les vérifications de l'identité du demandeur et de lutter ainsi contre la fraude documentaire. Dès lors, la commission considère que les données relatives à la filiation du demandeur sont adéquates, pertinentes et non excessives au regard de la finalité poursuivie par le traitement TES, conformément aux dispositions de l'article 6-3° de la loi du 6 janvier 1978 modifiée.
En dernier lieu, le projet de décret prévoit de modifier l'âge minimal des personnes dont les empreintes digitales sont collectées et enregistrées dans le traitement, en élevant cet âge de six à douze ans. Ainsi, aux termes de l'article 6-1 du décret du 30 décembre 2005, tel que modifié par le présent projet de décret, les empreintes digitales des enfants de moins de douze ans ne seront plus recueillies pour une demande de passeport.
A cet égard, la commission rappelle qu'elle avait estimé, dès son avis n° 2007-368 du 11 décembre 2007 ainsi que dans ses avis postérieurs, que  l'âge à partir duquel les empreintes sont relevées n'est pas seulement un élément technique mais une question de principe méritant un large débat voire un amendement à la convention sur les droits de l'enfant  et avait ainsi recommandé que la collecte et le traitement des empreintes digitales soient limités pour les mineurs, afin, d'une part, de garantir la fiabilité de la procédure et, d'autre part, de respecter la dignité des enfants. En tout état de cause, la commission relève que cette élévation de l'âge minimal de recueil des identifiants biométriques assure la conformité de la législation française avec la réglementation européenne, modifiée en 2009, et élevant l'âge minimal pour le recueil des empreintes digitales à douze ans.
Sur les nouveaux accédants aux données enregistrées dans le traitement
L'article 11 du projet de décret prévoit que peuvent dorénavant accéder  aux données enregistrées dans le composant électronique prévu à l'article 2 dans le cadre de leur mission de recueil de la demande et de remise des passeports ,  les agents des communes individuellement désignés et spécialement habilités par le maire .
Les agents de certaines communes volontaires sont depuis 2008 compétents pour recueillir des demandes de passeport. En effet, conformément à l'article L. 1611-2-1 du code général des collectivités territoriales, les agents des communes assurent la réception et la saisie des demandes de passeports ainsi que la remise de ce titre aux intéressés et accèdent de ce fait à certaines données enregistrées dans le traitement TES, Toutefois, ces agents n'avaient jamais été expressément désignés comme accédants du traitement TES, malgré les demandes de clarification émises par la commission sur ce point.
La commission relève que le projet de décret prévoit expressément que ces personnels n'accèdent au traitement TES que dans le cadre de leur mission de recueil de la demande et de remise des passeports. En outre, cet accès est limité aux seules données enregistrées dans le composant électronique.
L'article 11 du projet de décret prévoit en outre un accès des agents des formations administratives du ministère de la défense, individuellement désignés et spécialement habilités par le ministre de la défense, aux mêmes informations, pour les seuls passeports de mission.
La commission observe qu'a l'instar des dispositions relatives aux agents communaux, les données à caractère personnel auxquelles les agents du ministère de la défense pourront avoir accès sont proportionnées à la finalité expressément prévue par le projet de décret : le recueil de la demande de passeport de mission et leur remise.
Sur l'enregistrement des traces de consultation du traitement TES
L'article 12 du projet de décret prévoit que l'identification du consultant du traitement TES et les date et heure de la consultation seront enregistrées et que ces traces seront conservées pendant cinq ans.
La commission estime que cette modification du décret n° 2005-1726 du 30 décembre 2005 modifié constitue une nouvelle garantie substantielle, dans la mesure où le décret en vigueur ne contient aucune disposition relative à la traçabilité des actions réalisées dans le système. La durée de conservation de ces traces est celle d'usage en la matière. La commission rappelle néanmoins que les traces doivent être régulièrement exploitées afin de détecter d'éventuelles consultations indues de ces traitements.
Sur l'envoi postal sécurisé des passeports aux Français de l'étranger
Le projet de décret modifie enfin les règles relatives à la remise d'un passeport à un Français résidant à l'étranger, qui prévoient que celle-ci peut, si le demandeur l'indique au moment du dépôt de sa demande, s'effectuer soit à l'occasion d'un déplacement de l'autorité de délivrance ou de son représentant dans la même circonscription consulaire, soit par un consul honoraire de ladite circonscription habilité à cette fin par arrêté du ministre des affaires étrangères.
Le projet de décret vient ajouter une possibilité d'envoi du passeport par  courrier sécurisé , aux frais de l'usager, pour les demandeurs inscrits au registre des Français de l'étranger.
La commission prend acte que la liste des pays concernés par le courrier sécurisé et les modalités de sécurisation d'un tel envoi seront définies par arrêté conjoint du ministère des affaires étrangères et du ministère de l'intérieur. Elle demande à ce que le projet d'arrêté lui soit soumis pour avis afin de pouvoir vérifier si des conditions de sécurité suffisantes sont garanties et si elles sont de nature à offrir le même niveau de protection que la remise en mains propres du passeport en zone consulaire.
La commission rappelle en effet que le traitement TES et les passeports biométriques ont précisément été créés afin de lutter contre la fraude à l'identité et de renforcer la vérification de l'authenticité des titres d'identité et de voyage. Dès lors, l'envoi par courrier doit être assorti de mesures de sécurité efficaces, sous peine de rendre inopérante la finalité poursuivie par le recours à des titres d'identité et de voyage biométriques.
Pour la présidente :
La vice-présidente déléguée,
M.-F. Mazars