Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union et d’autres documents

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site internet du CEPD www.edps.europa.eu)

(2018/C 338/12)

Le présent avis expose la position du CEPD concernant la proposition de règlement du Parlement européen et du Conseil relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union et des titres de séjour délivrés aux citoyens de l’Union et aux membres de leur famille exerçant leur droit à la libre circulation.

Dans ce cadre, le CEPD constate que la Commission a clairement choisi d’accorder la priorité aux aspects de la proposition portant sur la libre circulation et de traiter l’objectif de sécurité correspondant en corollaire. Le CEPD fait remarquer que cela pourrait d’avoir une incidence sur l’analyse de la nécessité et de la proportionnalité des éléments de la proposition.

Le CEPD soutient l’objectif de la Commission européenne de renforcer les normes de sécurité applicables aux cartes d’identité et aux titres de séjour, contribuant ainsi à la sécurité de l’Union dans son ensemble. Dans le même temps, le CEPD estime que la proposition ne justifie pas suffisamment la nécessité de traiter deux types de données biométriques (image faciale et empreintes digitales) dans ce cadre, alors que l’objectif déclaré pourrait être atteint par une approche moins intrusive.

En vertu du cadre juridique de l’Union, ainsi que de la convention 108 modernisée, les données biométriques sont considérées comme des données sensibles et font l’objet d’une protection spéciale. Le CEPD souligne que les images faciales et les empreintes digitales qui seraient traitées en application de la proposition relèvent clairement de cette catégorie de données sensibles.

En outre, le CEPD estime que la proposition aurait une incidence considérable qui toucherait jusqu’à 370 millions de citoyens de l’Union, soumettant potentiellement 85 % de la population de l’Union au relevé obligatoire d’empreintes digitales. Cette large portée, conjuguée au caractère très sensible des données traitées (images faciales combinées aux empreintes digitales), appelle un examen attentif selon un critère de nécessité strict.

Par ailleurs, le CEPD reconnaît que, compte tenu des différences entre les cartes d’identité et les passeports, l’introduction dans les cartes d’identité d’éléments de sécurité pouvant être considérés comme appropriés dans le cas des passeports ne peut être automatique, mais exige une réflexion et une analyse approfondie.

De plus, le CEPD tient à souligner que l’article 35, paragraphe 10, du règlement général sur la protection des données (ci-après le «RGPD») (1) s’appliquerait au traitement dont il est ici question. À cet égard, le CEPD fait observer que l’analyse d’impact accompagnant la proposition ne semble pas soutenir l’option stratégique retenue par la Commission, à savoir l’intégration obligatoire d’images faciales et de deux empreintes digitales dans les cartes d’identité (et les titres de séjour). Il s’ensuit que l’analyse d’impact accompagnant la proposition ne peut être considérée comme suffisante aux fins de la conformité avec l’article 35, paragraphe 10, du RGPD. Par conséquent, le CEPD recommande de réévaluer la nécessité et la proportionnalité du traitement des données biométriques (image faciale combinée aux empreintes digitales) dans ce cadre.

En outre, la proposition devrait explicitement prévoir des garanties contre l’établissement de bases de données dactyloscopiques nationales par les États membres dans le cadre de la mise en œuvre de la proposition. Une disposition devrait être ajoutée à la proposition précisant de façon explicite que les données biométriques traitées dans son contexte doivent être effacées immédiatement après leur intégration dans la puce et ne peuvent être traitées ultérieurement à d’autres fins que celles expressément établies dans la proposition.

Le CEPD convient que l’utilisation des données biométriques peut être considérée comme une mesure antifraude légitime; cependant, la proposition ne justifie pas la nécessité de stocker deux types de données biométriques aux fins considérées. L’une des solutions envisageables serait de restreindre les données biométriques utilisées à une seule (par exemple, image faciale uniquement).

En outre, le CEPD tient à souligner qu’il comprend que le stockage d’images d’empreintes digitales renforce l’interopérabilité mais, dans le même temps, celui-ci accroît la quantité de données biométriques traitées et les risques d’usurpation d’identité en cas de violation des données à caractère personnel. Le CEPD recommande par conséquent de limiter les données dactyloscopiques stockées dans la puce des documents à des points caractéristiques ou des motifs, un sous-ensemble des caractéristiques extraites de l’image de l’empreinte digitale.

Enfin, en raison de la large portée et de l’incidence considérable éventuelle de la proposition précédemment soulignées, le CEPD recommande de fixer l’âge minimum pour le relevé d’empreintes digitales des enfants au titre de la proposition à 14 ans, conformément à d’autres instruments du droit de l’Union.

1. INTRODUCTION ET CONTEXTE

1. Le 17 avril 2018, la Commission européenne (ci-après «la Commission») a présenté la proposition de règlement du Parlement européen et du Conseil relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union et des titres de séjour délivrés aux citoyens de l’Union et aux membres de leur famille exerçant leur droit à la libre circulation ( 2 ) , qui vise à améliorer les éléments de sécurité des cartes d’identité des citoyens de l’Union et des cartes de séjour des membres de leur famille qui n’ont pas la nationalité d’un État membre (ci-après «la proposition»).

2. Ladite proposition fait partie du plan d’action de décembre 2016 «visant à renforcer la réponse européennes aux fraudes liées aux documents de voyage» (ci-après «le plan d’action de décembre 2016» ( 3 ) , dans lequel la Commission définissait des mesures destinées à renforcer la sécurité des documents, notamment des cartes d’identité et des titres de séjour, dans le contexte des attentats terroristes qui avaient récemment frappé l’Europe.

3. Les cartes d’identité jouent un rôle important dans la sécurisation de l’identification des personnes à des fins administratives et commerciales, ce que la Commission a souligné dans sa communication «Accroître la sécurité dans un monde de mobilité: améliorer l’échange d’informations dans la lutte contre le terrorisme et renforcer les frontières extérieures» ( 4 ) adoptée le 14 septembre 2016. La nécessité d’améliorer la sécurité de ces documents a également été mise en avant dans le rapport sur la citoyenneté de l’Union 2017.

4. L’une des missions du CEPD consiste à conseiller les services de la Commission lors de la rédaction de nouvelles propositions législatives ayant des conséquences en matière de protection des données.

5. Le CEPD se réjouit d’avoir déjà été consulté par la Commission européenne, de manière informelle, au sujet du projet de proposition et d’avoir eu l’occasion d’apporter sa contribution concernant les aspects relatifs à la protection des données.

7. CONCLUSIONS

Le CEPD constate que la Commission a clairement choisi d’accorder la priorité aux aspects de la proposition portant sur la libre circulation et de traiter l’objectif de sécurité correspondant en corollaire. Le CEPD fait remarquer que cela pourrait avoir une incidence sur l’analyse de la nécessité et de la proportionnalité des éléments de la proposition.

Le CEPD soutient l’objectif de la Commission européenne de renforcer les normes de sécurité applicables aux cartes d’identité et aux titres de séjour, contribuant ainsi à la sécurité de l’Union dans son ensemble. Dans le même temps, le CEPD estime que la proposition ne justifie pas suffisamment la nécessité de traiter deux types de données biométriques (image faciale et empreintes digitales) dans ce cadre, alors que l’objectif déclaré pourrait être atteint par une approche moins intrusive.

En vertu du cadre juridique de l’Union, ainsi que de la convention 108 modernisée, les données biométriques sont considérées comme des données sensibles et font l’objet d’une protection spéciale. Le CEPD souligne que les images faciales et les empreintes digitales qui seraient traitées en application de la proposition relèvent clairement de cette catégorie de données sensibles.

En outre, le CEPD estime que la proposition aurait une incidence considérable qui toucherait jusqu’à 370 millions de citoyens de l’Union, soumettant potentiellement 85 % de la population de l’Union au relevé obligatoire d’empreintes digitales. Cette large portée, conjuguée au caractère très sensible des données traitées (images faciales combinées à des empreintes digitales), appelle un examen attentif selon un critère de nécessité strict.

Par ailleurs, le CEPD reconnaît que, compte tenu des différences entre les cartes d’identité et les passeports, l’introduction dans les cartes d’identité d’éléments de sécurité pouvant être considérés comme appropriés dans le cas des passeports ne peut être automatique, mais exige une réflexion et une analyse approfondie.

De surcroît, le CEPD tient à souligner que l’article 35, paragraphe 10, du RGPD s’appliquerait au traitement considéré. À cet égard, le CEPD fait observer que l’analyse d’impact accompagnant la proposition ne semble pas soutenir l’option stratégique retenue par la Commission, à savoir l’intégration obligatoire d’images faciales et de deux empreintes digitales dans les cartes d’identité (et les titres de séjour). Il s’ensuit que l’analyse d’impact accompagnant la proposition ne peut être considérée comme suffisante aux fins de la conformité avec l’article 35, paragraphe 10, du RGPD. Par conséquent, le CEPD recommande de réévaluer la nécessité et la proportionnalité du traitement des données biométriques (image faciale combinée aux empreintes digitales) dans ce cadre.

En outre, la proposition devrait explicitement prévoir des garanties contre l’établissement de bases de données dactyloscopiques nationales par les États membres dans le cadre de la mise en œuvre de la proposition. Une disposition devrait être ajoutée à la proposition précisant de façon explicite que les données biométriques traitées dans son contexte doivent être effacées immédiatement après leur intégration dans la puce et ne peuvent être traitées ultérieurement à d’autres fins que celles expressément établies dans la proposition.

Le CEPD comprend que l’utilisation de données biométriques puisse être considérée comme une mesure antifraude légitime; cependant, la proposition ne justifie pas la nécessité de stocker deux types de données biométriques aux fins considérées. L’une des solutions envisageables serait de restreindre les données biométriques utilisées à une seule (par exemple, image faciale).

En outre, le CEPD tient à souligner qu’il comprend que le stockage d’images d’empreintes digitales renforce l’interopérabilité mais, dans le même temps, celui-ci accroît la quantité de données biométriques traitées et les risques d’usurpation d’identité en cas de violation des données à caractère personnel. Le CEPD recommande donc de limiter les données dactyloscopiques stockées dans la puce des documents à des points caractéristiques ou des motifs, un sous-ensemble des caractéristiques extraites de l’image de l’empreinte digitale.

Enfin, en raison de la large portée et de l’incidence considérable éventuelle de la proposition soulignées ci-dessus, le CEPD recommande de fixer l’âge minimum pour le relevé d’empreintes digitales des enfants au titre de la proposition à 14 ans, conformément à d’autres instruments du droit de l’Union.

Fait à Bruxelles, le 10 août 2018. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), JO L 119 du 4.5.2016, p. 1.

(2) Proposition de règlement du Parlement européen et du Conseil du 17 avril 2018 relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union et des titres de séjour délivrés aux citoyens de l’Union et aux membres de leur famille exerçant leur droit à la libre circulation, COM(2018) 212 final, 2018/0104 (COD).

(3) Communication de la Commission au Parlement européen et au Conseil du 8 décembre 2016: Plan d’action visant à renforcer la réponse de l’Union européenne aux fraudes liées aux documents de voyage, COM(2016) 790 final.

(4) Communication de la Commission au Parlement européen, au Conseil européen et au Conseil «Accroître la sécurité dans un monde de mobilité: améliorer l’échange d’informations dans la lutte contre le terrorisme et renforcer les frontières extérieures», COM(2016) 602 final.