Résumé de l’avis du Contrôleur européen de la protection des données sur la proposition de nouveau règlement sur le système d’information sur les visas

(Le texte complet de l’avis en allemand, anglais et français est disponible sur le site internet du CEPD www.edps.europa.eu)

(2019/C 50/06)

Afin de renforcer la sécurité et d’améliorer la gestion des frontières extérieures de l’UE, la Commission a adopté une proposition visant à améliorer le système d’information sur les visas (VIS), la base de données centralisée de l’UE qui contient des informations sur les personnes demandant un visa Schengen.

En particulier, la proposition prévoit: a) l’abaissement de 12 à 6 ans de l’âge du relevé des empreintes digitales pour les enfants demandeurs d’un visa de court séjour, b) la centralisation au niveau de l’UE des données relatives à tous les titulaires de visas de long séjour et de titres de séjour et c) la vérification croisée des demandes de visa avec les autres systèmes d’information de l’UE dans les domaines de la liberté, de la sécurité et de la justice.

Le CEPD souligne que les données biométriques, telles que les empreintes digitales, sont très sensibles. Leur collecte et leur utilisation doivent être soumises à une analyse de stricte nécessité avant de décider de les enregistrer dans une base de données dans laquelle les données à caractère personnel d’un grand nombre de personnes seront traitées. Cette analyse est d’autant plus importante lorsqu’elle concerne des empreintes digitales d’enfants, qui sont des membres particulièrement vulnérables de la société et méritent donc une protection particulière.

Le CEPD reconnaît qu’il est de la plus haute importance de renforcer la prévention des violations des droits de l’enfant, telles que la traite des êtres humains, et la lutte contre celles-ci. Néanmoins, il constate qu’il reste difficile de savoir si et dans quelle mesure la traite d’enfants est causée ou amplifiée par les erreurs d’identification ou la non-identification des enfants entrant sur le territoire de l’UE avec un visa. Si d’autres éléments venaient à être fournis à l’appui de cette affirmation, le CEPD rappelle l’importance de veiller à ce que les empreintes digitales des enfants ne soient utilisées que lorsque cela est dans l’intérêt supérieur de l’enfant. En outre, des garanties appropriées devraient être prévues dans la proposition.

Par ailleurs, le CEPD relève qu’en enregistrant dans le VIS des données relatives à tous les titulaires de visas de long séjour et de titres de séjour, la proposition inclurait la seule catégorie de ressortissants de pays tiers qui n’est couverte actuellement par aucun des systèmes à grande échelle de l’UE dans les domaines de la liberté, de la sécurité et de la justice. Dans le contexte de la proposition d’interopérabilité des systèmes à grande échelle de l’UE, la proposition contribuerait à la création d’un réseau européen centralisé donnant accès à une quantité considérable d’informations sur tous les ressortissants de pays tiers qui ont franchi ou envisagent de franchir les frontières de l’UE (c’est-à-dire des millions de personnes). Il note que la centralisation des données relatives aux visas de long séjour et aux titres de séjour a deux objectifs: a) vérifier l’authenticité d’un document et la relation légitime avec son titulaire et b) faciliter l’échange d’informations sur les personnes dont la demande de visa a été refusée pour des raisons de sécurité. Dans ce contexte, il estime que l’harmonisation des documents sécurisés devrait faire l’objet d’un examen plus approfondi et que les données stockées dans le VIS devraient être limitées aux personnes dont le visa de long séjour ou le titre de séjour a été refusé pour des raisons de sécurité.

Enfin, la proposition prévoit la comparaison des données enregistrées dans le VIS avec les données enregistrées dans d’autres systèmes conçus et utilisés à ce jour à des fins autres que la migration. En particulier, les données relatives aux demandeurs de visas seraient comparées aux données collectées et conservées à des fins de coopération policière et judiciaire. Conformément à ses préoccupations concernant la tendance croissante consistant à brouiller les frontières entre la gestion des migrations et la lutte contre la criminalité et le terrorisme, le CEPD note que la proposition ne détermine pas clairement comment et dans quelle mesure les informations policières et judiciaires doivent être prises en compte dans le processus décisionnel de délivrance des visas. Il recommande de préciser, dans la proposition, l’objectif de la comparaison des données du VIS avec les informations policières et judiciaires, ainsi que la procédure et les conditions applicables en ce qui concerne les résultats de cette comparaison. Il recommande également de veiller, dans la proposition, à ce que seules les informations policières et judiciaires qui font légalement partie du processus décisionnel en matière de délivrance de visas soient accessibles aux autorités chargées des visas.

1. INTRODUCTION

1.1. Contexte

1. Des systèmes d’information plus forts et plus intelligents pour les frontières et la sécurité Le 6 avril 2016, la Commission a adopté une communication intitulée ( 1 ) , afin d’engager une réflexion sur les dysfonctionnements des systèmes existants de gestion des frontières et de sécurité intérieure dans l’Union européenne et d’en optimiser les performances.

2. Le 17 juin 2016, la Commission a créé un groupe d’experts de haut niveau sur les systèmes d’information et l’interopérabilité (HLEG), composé d’experts dans le domaine des systèmes d’information et de l’interopérabilité, désignés par les États membres, les pays associés à Schengen et les agences et organes de l’UE. L’objectif du groupe d’experts était non seulement de contribuer à une vision stratégique globale sur la manière de rendre la gestion et l’utilisation des données pour la gestion et la sécurité des frontières plus efficaces et plus efficientes, dans le plein respect des droits fondamentaux, mais aussi d’identifier des solutions pour apporter des améliorations ( 2 )

3. Le HLEG a présenté ses recommandations dans son rapport final en mai 2017 ( 3 ) . En ce qui concerne le VIS, le groupe d’experts a formulé plusieurs recommandations, et notamment: — étendre le champ d’application du VIS au stockage des visas de long séjour et titres de séjour, — améliorer l’accès des services répressifs tout en respectant les normes les plus strictes en matière de protection des données, — améliorer la qualité des données dans le système, en particulier la qualité des images faciales pour permettre des recherches multimodales à l’aide de la biométrie, — abaisser l’âge des enfants pour le relevé des empreintes digitales, répondre aux préoccupations liées à la traite d’êtres humains impliquant des enfants et des enlèvements d’enfants, ainsi qu’aux migrations irrégulières impliquant des mineurs, — améliorer la capacité du VIS en termes de production de statistiques et de rapports relatifs aux tendances et phénomènes migratoires (4).

4. Le 17 août 2017, la Commission a lancé une consultation publique sur l’abaissement de 12 à 6 ans de l’âge des enfants pour le relevé des empreintes digitales dans le cadre de la procédure de visa ( 5 ) . Le 17 novembre 2017, la Commission européenne a lancé une autre consultation publique sur l’élargissement du champ d’application du système d’information sur les visas («VIS») pour y inclure des données concernant les visas de long séjour et les documents de séjour ( 6 ) . Le CEPD a participé aux deux consultations publiques et a publié deux déclarations ( 7 )

5. Le 15 mai 2018, la Commission a publié une proposition (ci-après la «proposition») de règlement du Parlement européen et du Conseil modifiant: — le règlement (CE) no 767/2008 (le «règlement VIS»), — le règlement (CE) no 810/2009 (le «code des visas»), — le règlement (UE) 2017/2226 (le «règlement EES»), — le règlement (UE) 2016/399 (le «code frontières Schengen»), — le règlement XX/2018 (le règlement sur l’interopérabilité), — et la décision 2004/512/CE (la «décision VIS»), — et abrogeant la décision 2008/633/JAI du Conseil (la «décision relative à l’accès des services répressifs»).

6. Le CEPD a été invité à contribuer aux deux consultations publiques lancées par la Commission (voir point 4 ci-dessus). Étant donné que la proposition repose dans une large mesure sur le traitement de données à caractère personnel, le CEPD se demande pourquoi la Commission ne l’a pas consulté, de manière formelle ou informelle.

1.2. Objectifs des propositions

7. La proposition vise à améliorer la sécurité à l’intérieur de l’Union et de ses frontières, ainsi qu’à faciliter la gestion des frontières extérieures de l’espace Schengen. En particulier, la proposition vise à améliorer le traitement des visas, à étendre l’utilisation du VIS à de nouvelles catégories de données, à utiliser pleinement les instruments d’interopérabilité, à améliorer la qualité des données et à renforcer le système VIS.

8. À cette fin, la proposition introduit la possibilité: — d’inclure les visas de long séjour et les titres de séjour dans le VIS, afin: — de vérifier l’authenticité et la validité du document ainsi que la relation légitime avec le titulaire, — de faciliter l’échange d’informations entre les États membres pour leur permettre de vérifier si la personne constitue une menace pour la sécurité des États membres avant qu’elle n’arrive à la frontière extérieure ou lorsqu’elle l’atteint, — d’abaisser de 12 ans à 6 ans l’âge du relevé des empreintes digitales pour les enfants demandeurs d’un visa de court séjour afin de vérifier l’identité d’un enfant titulaire d’un visa à la frontière et de contribuer à la lutte contre la traite des êtres humains, — de vérifier toutes les demandes de visas enregistrées dans le VIS en les comparant aux données contenues dans tous les autres systèmes d’information de l’UE dans le domaine de la liberté, de la sécurité et de la justice, en ayant recours à l’interopérabilité pour renforcer les contrôles de sécurité, — de conserver une copie de la page des données biographiques du document de voyage du demandeur dans le VIS comme preuve à l’appui de la procédure de retour des migrants en situation irrégulière vers leur pays d’origine en cas d’absence de documents de voyage, — d’utiliser les empreintes digitales enregistrées dans le VIS pour introduire des signalements de personnes disparues dans le système d’information Schengen (SIS).

9. Le présent avis se concentre sur les questions qui ont une incidence sur le droit fondamental des personnes à la protection des données. Le CEPD note que l’Agence des droits fondamentaux a également rendu un avis sur le système révisé d’information sur les visas et ses conséquences en matière de droits fondamentaux ( 8 )

10. Afin de faciliter la lecture et la compréhension de la proposition, qui modifie plusieurs textes législatifs existants, le présent avis utilise la numérotation des articles telle qu’introduite ou modifiée par la proposition dans les textes juridiques existants.

4. CONCLUSIONS

93. Le CEPD souligne que les données biométriques telles que les empreintes digitales sont très sensibles. Leur collecte et leur utilisation doivent être soumises à une analyse de stricte nécessité avant de décider de les enregistrer dans une base de données dans laquelle les données à caractère personnel d’un grand nombre de personnes seront traitées. Cette analyse est d’autant plus importante lorsqu’elle concerne des empreintes digitales d’enfants, qui sont des membres particulièrement vulnérables de la société et méritent donc une protection particulière.

94. Le CEPD reconnaît qu’il est de la plus haute importance de renforcer la prévention des violations des droits de l’enfant, telles que la traite des êtres humains, et la lutte contre celles-ci. Néanmoins, il constate qu’il reste difficile de savoir si et dans quelle mesure la traite d’enfants est causée ou amplifiée par les erreurs d’identification ou la non-identification des enfants entrant sur le territoire de l’UE avec un visa.

95. Si d’autres éléments venaient à être fournis à l’appui de cette affirmation, le CEPD rappelle l’importance de veiller à ce que les empreintes digitales des enfants ne soient utilisées que lorsque cela est dans l’intérêt supérieur de l’enfant. Il recommande donc d’introduire dans la proposition une disposition spécifique sur les empreintes digitales des enfants afin de limiter leur traitement aux fins de: — la vérification de l’identité de l’enfant durant la procédure de demande de visa et aux frontières extérieures et, — la contribution à la prévention des violations des droits de l’enfant et à la lutte contre celles-ci dans un cas concret uniquement. En ce qui concerne en particulier l’accès des autorités répressives, le CEPD recommande de s’assurer que: — cet accès est nécessaire aux fins de la prévention ou de la détection d’un cas de traite d’enfants ou des enquêtes sur celui-ci, — l’accès est nécessaire dans un cas concret, — une recherche préalable dans les bases de données nationales pertinentes et dans les systèmes spécifiques au niveau de l’Union n’a donné aucun résultat, — il existe des motifs raisonnables de considérer que la consultation du VIS contribuera de manière substantielle à la prévention ou à la détection du cas de traite d’enfants en question ou aux enquêtes sur celui-ci, et, — l’identification est dans l’intérêt supérieur de l’enfant.

96. Le CEPD relève qu’en enregistrant dans le VIS des données relatives à tous les titulaires de visas de long séjour et de titres de séjour, la proposition inclurait la seule catégorie de ressortissants de pays tiers qui n’est actuellement couverte par aucun des systèmes à grande échelle de l’UE dans les domaines de la liberté, de la sécurité et de la justice. Dans le contexte de la proposition d’interopérabilité des systèmes à grande échelle de l’UE, la proposition contribuerait à la création d’un réseau européen centralisé donnant accès à une quantité considérable d’informations sur tous les ressortissants de pays tiers qui ont franchi ou envisagent de franchir les frontières de l’UE (c’est-à-dire des millions de personnes). Compte tenu du double objectif de la centralisation des données relatives aux visas de long séjour et aux titres de séjour: a) vérifier l’authenticité d’un document et la relation légitime avec son titulaire et b) faciliter l’échange d’informations sur les personnes dont la demande de visa a été refusée pour des raisons de sécurité, le CEPD estime que la possibilité d’harmoniser les documents sécurisés relatifs aux visas de long séjour et aux titres de séjour devrait être examinée plus avant et que les informations stockées dans le VIS devraient être limitées aux personnes physiques: — dont les données correspondent à des données stockées dans un autre système ou pour lesquelles des doutes subsistent quant à leur identité, — dont la demande de visa de long séjour ou de titre de séjour a été refusée parce qu’elles ont été considérées comme constituant une menace pour l’ordre public, la sécurité intérieure ou la santé publique ou parce qu’elles ont présenté des documents qui ont été acquis par des manœuvres frauduleuses, falsifiés ou manipulés.

97. En ce qui concerne la comparaison des données stockées dans le VIS avec les données figurant dans d’autres systèmes, le CEPD recommande d’inclure dans la proposition des garanties selon lesquelles seules les informations stockées dans l’ECRIS-TCN relatives à des infractions terroristes et autres infractions pénales graves seraient communiquées à l’autorité centrale. Une des possibilités pour cela serait que l’autorité centrale ne soit pas informée de la réponse positive, mais qu’une notification soit automatiquement adressée à l’autorité compétente de l’État membre qui a introduit les données à l’origine de la réponse positive. L’autorité compétente de l’État membre en informerait alors l’autorité centrale, le cas échéant. Alternativement, la possibilité de consulter le système ECRIS-TCN devrait être supprimée.

98. Le CEPD recommande également de préciser dans la proposition l’objectif de la comparaison des données du VIS avec les données d’Europol, ainsi que la procédure et les conditions applicables en ce qui concerne les résultats de cette comparaison. En outre, il estime que la proposition devrait être clarifiée en ce qui concerne les types d’alertes du SIS à prendre en compte dans la procédure de délivrance des visas, et recommande de veiller, dans la proposition, à ce que seuls les signalements qui font légalement partie du processus décisionnel en matière de délivrance des visas produisent une réponse positive accessible aux autorités chargées des visas.

99. Enfin, au-delà des observations générales et des questions clés recensées ci-dessus, le CEPD formule des recommandations supplémentaires concernant les aspects suivants des propositions: — catégories de données du VIS comparées aux données enregistrées dans d’autres systèmes, — catégories spécifiques de demandeurs de visas, — définition des autorités centrales, — utilisation des données du VIS aux fins de l’introduction dans le SIS de signalements concernant des personnes disparues, — vérifications en cas de réponse positive, — accès à des fins répressives, — statistiques, — utilisation de données anonymisées à des fins d’essai, — contrôle de la qualité des données, — supervision du VIS.

100. Le CEPD reste disponible pour apporter des conseils supplémentaires concernant la proposition, ainsi que tout acte délégué ou d’exécution adopté portant sur les règlements proposés qui serait susceptible d’avoir une incidence sur le traitement de données à caractère personnel.

Bruxelles, le 12 décembre 2018. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) https://ec.europa.eu/home-affairs/what-is-new/news/news/2016/20160406_3_en

(2) C (2016) 3780 final, décision de la Commission du 17 juin 2016 instituant le groupe d’experts de haut niveau sur les systèmes d’information et l’interopérabilité.

(3) http://ec.europa.eu/transparency/regexpert/index.cfm?do=groupDetail.groupDetailDoc&id=32600&no=1

(4) Ibidem, p. 19.

(5) https://ec.europa.eu/home-affairs/news/public-consultation-lowering-fingerprinting-age-children-visa-procedure-12-years-6-years_en

(6) https://ec.europa.eu/home-affairs/content/consultation-extending-scope-visa-information-system-vis-include-data-long-stay-visas-and_en

(7) Réponse du CEPD à la consultation publique de la Commission sur l’élargissement du champ d’application du système d’information sur les visas (VIS) pour y inclure des données concernant les visas de long séjour et les documents de séjour, disponible à l’adresse suivante: https://edps.europa.eu/sites/edp/files/publication/18-02-09_formal_comments_vis_consultation_long_stay_visas_residence_documents_en.pdf et observations formelles du CEPD en réponse à la consultation publique de la Commission sur l’abaissement de 12 à 6 ans de l’âge des enfants pour le relevé des empreintes digitales dans le cadre de la procédure de visa, disponible à l’adresse suivante: https://edps.europa.eu/sites/edp/files/publication/17-11-09_formal_comments_2017-0809_en.pdf

(8) Avis de l’Agence des droits fondamentaux sur le système révisé d’information sur les visas et ses conséquences en matière de droits fondamentaux, 30 août 2018, disponible à l’adresse suivante: http://fra.europa.eu/en/opinion/2018/visa-system