La Commission Nationale de l'Informatique et des Libertés.
Saisie pour avis, en application de l'article 20 du décret n° 78-774 du 17 juillet 1978, du projet de loi relatif à l'immigration ;
Vu la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du parlement européen et du conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation des données ;
Vu la Convention d'application de l'Accord de Schengen du 14 juin 1985, signée à Schengen le 19 juin 1990.
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés :
Vu l'ordonnance n° 45-2658 du 20 novembre 1945 modifiée relative aux conditions d'entrée et de séjour des étrangers en France, et notamment son article 8-3 ;
Vu la décision du Conseil Constitutionnel n° 97-389 DC du 22 avril 1997 relative à la loi du 24 avril 1997 ;
Après avoir entendu Monsieur François GIQUEL, commissaire, en son rapport, et Madame Charlotte-Marie PITRAT, commissaire du Gouvernement, en ses observations ;
EMET L'AVIS SUIVANT
L'article 4 du projet de loi complète le premier alinéa de l'article 8-3 de l'ordonnance du 2 novembre 1945 et a pour objet d'étendre les cas dans lesquels les empreintes digitales des ressortissants étrangers, non ressortissants d'un Etat membre de l'Union européenne, peuvent être relevées, mémorisées et faire l'objet d'un traitement automatisé.
Les dispositions actuelles de cet article, introduites dans l'ordonnance du 2 novembre 1945 par la loi du 24 avril 1997, prévoient que les empreintes digitales des étrangers non ressortissants d'un Etat membre de l'Union européenne qui sollicitent la délivrance d'un titre pour un séjour de plus de 3 mois ainsi que celles des étrangers qui sont en situation irrégulière en France ou qui font l'objet d'une mesure d'éloignement du territoire français, peuvent être relevées, mémorisées et faire l'objet d'un traitement automatisé dans les conditions fixées par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Elles n'ont reçu aucune application à ce jour.
Le deuxième alinéa du même article institue la possibilité pour les agents expressément habilités du ministère de l'intérieur ou de la gendarmerie de consulter, dans les conditions fixées par la loi du 6 janvier 1978, le fichier automatisé des empreintes digitales (FAED), géré par le ministère de l'intérieur, afin d'identifier les étrangers en situation irrégulière ou faisant l'objet d'une mesure d'éloignement qui n'auraient pas présenté les pièces justificatives nécessaires.
La modification envisagée par l'article 4 du projet de loi a pour objet d'étendre la possibilité de prise d'empreintes digitales et de leur traitement aux étrangers qui, ayant été contrôlés à l'occasion du franchissement de la frontière en provenance d'un pays tiers, ne sont pas munis des documents et visas d'entrée exigés en application de l'article 5 de l'ordonnance du 2 novembre 1945 ou ne remplissent pas les conditions d'entrée sur le territoire des Parties contractantes pour un séjour n'excédant pas trois mois, prévues à l'article 5 de la convention signée à Schengen le 19 juin 1990.
L'article 5 du projet de loi introduit un nouvel article 8-4 dans l'ordonnance du 2 novembre 1945 aux termes duquel les empreintes digitales des étrangers non ressortissants de l'Union européenne qui sollicitent la délivrance, auprès d'un consulat ou à la frontière, d'un visa afin de séjourner dans un Etat membre de l'Union européenne, pourront être relevées, mémorisées et faire l'objet d'un traitement automatisé dans les conditions fixées par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
La Commission rappelle d'abord que, conformément aux principes généraux de la protection des données à caractère personnel et à l'article 5 de la Convention n° 108 du Conseil de l'Europe du 28 janvier 1981 susvisée, un traitement automatisé d'informations nominatives ne peut être mis en oeuvre que pour "des finalités déterminées et légitimes", les données enregistrées devant être adéquates, pertinentes et non excessives par rapport à ces finalités ;
Elle estime dès lors que le projet de loi devrait clairement indiquer les finalités pour lesquelles il pourra être procédé à des traitements automatisés d'empreintes digitales des étrangers non ressortissants de l'Union Européenne ;
En tout état de cause, la Commission tient pour légitime le recours, pour s'assurer de l'identité d'une personne, à des dispositifs de reconnaissance biométrique dès lors que la donnée biométrique est conservée sur un support dont la personne a l'usage exclusif.
En revanche, elle considère que la mémorisation et le traitement de données issues des empreintes digitales, compte tenu des caractéristiques de l'élément d'identification physique retenu et des usages possibles des bases de données qui pourraient ainsi être constituées, doivent être justifiés par des exigences impérieuses en matière de sécurité ou d'ordre public.
Il convient aussi que des garanties appropriées soient prises pour assurer le respect des droits et libertés individuelles, et ce d'autant plus que ces bases de données d'empreintes digitales seraient susceptibles de concerner à court terme plusieurs millions de personnes, puisque, par exemple, le nombre de demandes de visa reçues par le ministère des affaires étrangères atteint aujourd'hui près de trois millions par an.
Au nombre de ces garanties, figure le respect des règles de protection des données à caractère personnel telles que fixées par la Convention n° 108 du Conseil de l'Europe et par la loi du 6 janvier 1978, et en particulier, l'obligation de ne conserver les données que pendant une durée n'excédant pas celle nécessaire aux finalités poursuivies, la nécessité de préserver la confidentialité de ces données et de ne les communiquer qu'aux personnes autorisées à en connaître, le respect de l'exercice du droit d'accès de chacun aux informations le concernant.
Ainsi la Commission estime que l'accès aux traitements d'empreintes digitales, eu égard à la sensibilité des données qui y seraient conservées, devrait être strictement réservé à un nombre limité de personnes expressément habilitées à cet effet et que des mesures particulières de sécurité devraient être adoptées pour éviter toute utilisation détournée des informations, compte tenu non seulement de la dimension des fichiers mais aussi de la répartition mondiale des postes consulaires.
Se référant d'autre part aux différents avis qu'elle a rendus en particulier sur le traitement de gestion, par le ministère de l'intérieur, des dossiers des ressortissants étrangers (AGDREF) et sur le traitement de délivrance des visas (RMV2) mis en oeuvre par le ministère des affaires étrangères, la Commission rappelle que, compte tenu des conséquences graves que pourrait entraîner à l'égard des personnes concernées la conservation dans les traitements d'empreintes digitales, d'informations incomplètes ou périmées, s'agissant par exemple de personnes ayant acquis la nationalité française ou ayant régularisé leur situation en France, les durées de conservation des informations et les procédures de mise à jour et d'apurement de celles-ci devraient être précisément définies et rigoureusement appliquées.
Enfin, la Commission considère que l'exercice du droit d'accès constitue, pour les personnes appelées à figurer dans ces fichiers, une garantie fondamentale, leur permettant ainsi de vérifier l'exactitude des informations enregistrées sur leur compte et de les faire rectifier, voire supprimer le cas échéant si celles-ci s'avèrent inexactes ou périmées.
Elle estime en conséquence que la loi devrait renvoyer explicitement à un décret en Conseil d'Etat pris après avis de la CNIL les modalités d'application de chacun des deux articles du projet de loi, afin de préciser notamment les modalités d'habilitation des personnes pouvant accéder aux informations, la durée de conservation et les conditions de mise à jour des informations enregistrées et l'exercice de leur droit d'accès par les personnes concernées.
La Commission prend acte qu'aux termes des dispositions dont elle est saisie, les empreintes digitales des ressortissants étrangers sollicitant un visa feraient l'objet d'un traitement automatisé distinct de celui mis en oeuvre pour l'enregistrement des empreintes digitales des ressortissants étrangers qui sollicitent la délivrance d'un titre de séjour, qui sont en situation irrégulière en France, ou qui font l'objet d'une mesure d'éloignement du territoire français. De la même façon, elles ne prévoient, en l'état, aucune mise en relation, rapprochement ou interconnexion entre ces traitements ou avec d'autres fichiers hormis ceux déjà prévus par la loi.
Seul le fichier automatisé des empreintes digitales (FAED), géré par le ministère de l'intérieur, peut, aux termes de l'article 8-3 actuel, être consulté à des fins d'identification des étrangers en situation irrégulière ou faisant l'objet d'une mesure d'éloignement.
Enfin, la Commission constate que ces dispositions doivent s'intégrer, comme l'indique l'exposé des motifs, dans le cadre des travaux en cours au plan communautaire visant à systématiser l'introduction de données biométriques dans les passeports, les visas et les titres de séjour.
Le Conseil européen de Laeken, en décembre 2001, a en effet demandé au Conseil et aux Etats membres de prendre les dispositions nécessaires pour la mise en place d'un système commun d'identification des visas, qui permettrait de recenser dans une base unique les demandes et les refus de visas, afin notamment de lutter contre la fraude, d'améliorer la coopération consulaire, de déterminer plus aisément aux postes de contrôle aux frontières extérieures ou lors des contrôles d'immigration ou de police, les usurpations d'identité, de faciliter l'application de la Convention de Dublin sur le droit d'asile, de vérifier l'identité des personnes en situation irrégulière. A cet effet certaines lignes directrices ont déjà été définies, parmi lesquelles l'intégration dans la base des photographies numérisées et d'autres données biométriques.
Dans la mesure où, d'une part, le système d'information national qui sera appelé à se mettre en place nécessitera l'instauration de nouveaux flux transfrontières de données au sein de l'espace Schengen et où, d'autre part, les dispositions communautaires ne sont pas encore définitivement arrêtées et qu'en particulier le dispositif biométrique qui sera utilisé n'est pas encore retenu, la Commission s'interroge sur la compatibilité du dispositif prévu par le projet de loi avec le futur système européen.
La Commission s'interroge aussi sur les conditions dans lesquelles les transmissions d'informations concernant les personnes appréhendées à l'occasion du franchissement irrégulier d'une frontière extérieure de l'Union Européenne ainsi que les étrangers se trouvant illégalement sur le territoire d'un Etat membre, prévues au titre de l'article 8 du règlement du Conseil de l'Union Européenne du 11 décembre 2000 concernant "la création du système EURODAC pour la comparaison des empreintes digitales aux fins de l'application efficace de la Convention de Dublin", pourraient ou non être alimentées par les données biométriques recueillies en application des articles 4 et 5 du projet de loi. La Commission observe que le système EURODAC a pour seul objet d'établir l'identité des demandeurs d'asile et de permettre à un Etat de vérifier si un étranger se trouvant illégalement sur le territoire ou appréhendé à l'occasion du franchissement irrégulier d'une frontière extérieure de la Communauté a présenté une demande d'asile dans un autre Etat membre et que l'article 5 du règlement du Conseil du 28 février 2002 fixant certaines modalités d'application du règlement précité du 11 décembre 2000 prévoit expressément que la constitution de la base de données EURODAC doit être conçue de façon à séparer les données relatives aux personnes reconnues et admises comme réfugiés et les autres données.
La Commission considère en conséquence que si le dispositif prévu par le projet de loi avait vocation à être utilisé dans le cadre du système EURODAC, il y aurait lieu d'en faire mention à l'article 4 du projet de loi.
Le Président, Michel GENTOT.