La Commission nationale de l'informatique et des libertés,
Saisie par le ministère de l'intérieur d'une demande d'avis concernant un projet de décret relatif aux dispositions prises pour l'application de l'article L. 222-1 du code de la sécurité intérieure et portant abrogation de dispositions du code de l'entrée et du séjour des étrangers et du droit d'asile ;
Vu la Convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données ;
Vu le code de la sécurité intérieure, notamment son article L. 222-1 ;
Vu le code de la route, notamment ses articles L. 225-1, L. 225-4, L. 330-1, L. 330-2, R. 225-4 et R. 330-2 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 23, 25 et 27 ;
Vu la loi n° 2006-64 du 23 janvier 2006 modifiée relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers, notamment son article 9 :
Vu la loi n° 2008-1245 du 1er décembre 2008 visant à prolonger l'application des articles 3,6 et 9 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers ;
Vu la loi du 12 décembre 2012 relative à la sécurité et à la lutte contre le terrorisme ;
Vu le décret n° 55-1397 du 22 octobre 1955 modifié instituant la carte nationale d'identité, notamment son article 15-1 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports électroniques, notamment son article 21-1 ;
Vu la délibération n° 2005-208 du 10 octobre 2005 portant avis sur le projet de loi relatif à la lutte contre le terrorisme ;
Vu la délibération n° 2008-575 du 18 décembre 2008 portant avis sur le projet de décret en Conseil d'Etat relatif à l'accès à certains traitements automatisés mentionnés à l'article 9 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles frontaliers (système de gestion des passeports - TES ; système de délivrance des visas des ressortissants étrangers - VISABIO ; fichier national des non-admis - FNAD) ;
Vu la délibération n° 2012-292 du 13 septembre 2012 portant avis sur un projet de loi relatif à la sécurité et à la lutte contre le terrorisme ;
Après avoir entendu M. Jean-Marie COTTERET, commissaire, en son rapport, et Mme Catherine POZZO DI BORGO, commissaire du Gouvernement, en ses observations,
Emet l'avis suivant :
L'article L. 222-1 du code de la sécurité intérieure (CSI), codifiant l'article 9 de la loi n° 2006-64 du 23 janvier 2006 modifiée, permet aux agents, individuellement et dûment habilités, des services des directions générales de la police nationale, de la gendarmerie nationale ainsi qu'aux agents des services de renseignement du ministère de la défense, pour les besoins de la prévention des actes de terrorisme, d'accéder aux données enregistrées dans les traitements suivants :
- fichier national des immatriculations (FNI, progressivement remplacé par le  Système d'Immatriculation des Véhicules - SIV) ;
- système national de gestion des permis de conduire (SI-FAETON, qui remplacera progressivement le SNPC) ;
- système de gestion des cartes nationales d'identité (CNI) ;
- système de gestion des passeports (TES) ;
- système informatisé de gestion des dossiers des ressortissants étrangers en France (AGDREF 2) ;
- système de délivrance des visas des ressortissants étrangers (VISABIO) ;
- application destinée à gérer les données mentionnées aux articles L. 611-3 à L. 611-5 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) ayant été contrôlés aux frontières et ne remplissant pas les conditions d'entrée requises (dit fichier des non-admis,  FNAD ).
Ces dispositions, initialement applicables jusqu'au 31 décembre 2008, ont été prorogées jusqu'au 31 décembre 2012, en application de la loi n° 2008-1245 du 1er décembre 2008.
Il est prévu que ces dispositions soient de nouveau prorogées jusqu'au 31 décembre 2015. Un projet de loi relatif à la sécurité et à la lutte contre le terrorisme, sur lequel la Commission s'est prononcée le 13 septembre 2012 et qui contient notamment des dispositions concernant cette prorogation, vient d'être adopté définitivement par le Parlement le 12 décembre 2012.
Les actes réglementaires portant création des traitements précédemment cités, qui mentionnent expressément ces accès des services spécialisés, doivent donc à nouveau être modifiés, comme cela avait été fait à la suite de l'adoption de la loi n° 2008-145 du 1er décembre 2008.
A cet égard, la Commission constate que ces traitements répondent à des régimes de formalités préalables différents. Ainsi, certains traitements visés sont des traitements de gestion, déclarés sur le fondement de l'article 23 de la loi du 6 janvier 1978 modifiée (CNI, FNI et SNPC). D'autres traitements relèvent du régime de l'autorisation par la Commission, en application des dispositions de l'article 25 de ladite loi (SIV et SI-FAETON). Les derniers comportent des données biométriques et ont donc été autorisés, conformément aux dispositions de l'article 27-I-2° de la loi  Informatique et Libertés , par décret en Conseil d'Etat pris après avis de la CNIL (TES, AGDREF 2, VISABIO et FNAD).
Dans ce cadre, la Commission a été saisie pour avis par le ministère de l'intérieur d'un projet de décret en Conseil d'Etat relatif à l'accès à certains des traitements mentionnés à l'article L. 222-1 du code de la sécurité intérieure et portant abrogation de certaines dispositions du CESEDA. Ainsi, les dispositions relatives aux traitements SIV, SI-FAETON, CNI, TES, AGDREF 2 et VISABIO devraient être prorogées, tandis que celles relatives au FNAD seraient supprimées. A cet égard, la Commission rappelle que ces modifications ne pourront prendre effet que sous réserve de la prorogation des dispositions législatives concernées.
Sur les modifications apportées aux textes réglementaires concernés
Le projet de décret prévoit de modifier la rédaction des articles R. 225-2 et R. 330-2 du code de la route, qui concernent respectivement les informations relatives au permis de conduire (SI-FAETON) et aux informations relatives à la circulation des véhicules (SIV). Ainsi, au troisième alinéa de ces deux articles, la formulation  dans les conditions fixées à l'article L. 222-1 du code de la sécurité intérieure  doit remplacer la précédente ainsi rédigée :  dans les conditions fixées aux articles 9 et 33 de la loi n° 2006-64 du 23 janvier 2006 relative à la lutte contre le terrorisme et portant dispositions diverses relatives à la sécurité et aux contrôles transfrontaliers .
La même modification est apportée aux articles 15-1 du décret n° 55-1397 du 22 octobre 1955 modifié relatif à la carte nationale d'identité et à l'article 21-1 du décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports électroniques.
Par ailleurs, chaque dernier alinéa des articles R. 225-2 et R. 330-2 du code de la route et de l'article 21-1 du décret n° 2005-1726 du 30 décembre 2005 est supprimé. Il mentionnait la date de fin de validité des dispositions concernant l'accès des services de lutte contre le terrorisme à ces traitements. Dans la mesure où, après codification de la loi du 23 janvier 2006, le dernier alinéa de l'article L. 222-1 du code de la sécurité intérieure mentionne expressément la date jusqu'à laquelle lesdites dispositions sont applicables, le rappel de cette durée de validité, dans les actes réglementaires concernant les fichiers en cause, est superflu et est logiquement supprimé.
Ces modifications n'appellent pas d'observation particulière de la Commission. Des modifications similaires devraient en outre être prévues s'agissant des dispositions réglementaires du CESEDA concernant les traitements AGDREF 2 et VISABIO. Elles devraient intervenir par un décret distinct, dans la mesure où il est prévu par ailleurs de modifier les dispositions concernant ces traitements.
Sur l'accès aux données des étrangers non-admis sur le territoire national
L'article 5 du projet de décret vise à supprimer les articles R. 611-18 à R. 611-24 du CESEDA. Ceux-ci prévoyaient la mise en œuvre, en application des articles L. 611-3 et L.611-5 du même code, d'un traitement automatisé de données à caractère personnel des ressortissants étrangers qui, ayant été contrôlés à l'occasion du franchissement de la frontière, ne remplissaient pas les conditions d'entrée requises, appelé  fichier des non-admis  (FNAD).
Ce traitement a été créé par le décret n° 2007-1136 du 25 juillet 2007, à titre expérimental pour une durée de quatre ans et uniquement déployé à l'aéroport Roissy-Charles-de-Gaulle, et était accessible aux services anti-terroristes. Il sera prochainement remplacé par le traitement automatisé de données à caractère personnel dénommé  gestion informatisée des procédures d'immigration  (GIPI), dont le projet d'arrêté n'a pas encore été publié.
Pour autant, dès lors que ce traitement ne comporterait aucune donnée biométrique, il ne relèverait pas de l'article L. 611-3 du CESEDA et les services de lutte contre le terrorisme n'auront donc pas, en l'état actuel des textes, accès aux informations qui y sont enregistrées.
Sur les conditions d'accès aux traitements
Dans sa délibération du 10 octobre 2005, la Commission avait considéré que l'accès permanent au contenu des fichiers administratifs, recensant une grande partie de la population française et des personnes étrangères séjournant ou souhaitant séjourner sur le territoire national, doit s'entourer de garanties particulières. A cet égard, le gouvernement s'était engagé, en 2006, à ce que les services de lutte contre le terrorisme ne puissent accéder aux traitements qu'en consultation, sans qu'aucune réutilisation des données ne soit réalisée ou qu'aucun nouveau traitement ne soit mis en œuvre à cette occasion.
La Commission a ainsi pris acte, dans ses délibérations du 18 décembre 2008 et du 13 septembre 2012, qu'il n'était pas possible, pour les agents des services de lutte contre le terrorisme, d'extraire des données ou d'interconnecter ces fichiers avec les traitements mis en œuvre par les services spécialisés.
Dans ces avis, elle a néanmoins demandé que ces précisions soient apportées aux textes réglementaires concernés. La Commission réitère dès lors ces demandes de modification des articles réglementaires visés par le projet de décret afin de substituer, à la mention  peuvent accéder aux données , la mention  peuvent consulter les données .
Sur la traçabilité des accès
La traçabilité des accès aux traitements visés par l'article L. 222-1 du CSI par les agents des services de lutte contre le terrorisme est une garantie nécessaire pour assurer la protection des libertés individuelles et des citoyens. A cet égard, le ministère s'était engagé, en 2006, à assurer la traçabilité de tous les accès réalisés par les services de lutte contre le terrorisme.
Toutefois, dans sa délibération n° 2012-292 du 13 septembre 2012, la Commission a relevé, à partir de l'étude d'impact transmise par le ministère, que les mesures prises ne permettaient pas d'assurer une traçabilité suffisante des accès.
La Commission insiste sur l'impérieuse nécessité de prendre toutes les mesures nécessaires afin qu'une traçabilité effective des consultations soit réalisée dans les traitements concernés, en fonction des profils particuliers des services autorisés à accéder aux données.
La Présidente
Isabelle FALQUE-PIERROTIN