FR Journal officiel de l'Union européenne C 32/25

Résumé de l'avis du Contrôleur européen de la protection des données sur les propositions de règlement portant création d’un système d’entrée/sortie (EES) et de règlement portant création d’un programme d’enregistrement des voyageurs (RTP)

(Le texte complet de l'avis en anglais, français et allemand est disponible sur le site internet du CEPD http://www.edps.europa.eu)

2014/C 32/12

I. Introduction

I.1. Consultation du CEPD

1. Le 28 février 2013, la Commission a adopté les propositions suivantes (ci-après «les propositions»): — proposition de règlement du Parlement européen et du Conseil portant création d’un système d’entrée/sortie (EES) pour l’enregistrement des entrées et sorties des ressortissants de pays tiers franchissant les frontières extérieures des États membres de l’Union européenne (ci-après la «proposition d’EES») (1); — proposition de règlement du Parlement européen et du Conseil portant création d’un programme d’enregistrement des voyageurs (RTP) (ci-après la «proposition de RTP») (2); — proposition de règlement du Parlement européen et du Conseil modifiant le règlement (CE) no 562/2006 en ce qui concerne l’utilisation du système d’entrée/sortie (EES) et le programme d’enregistrement des voyageurs (RTP) (ci-après la «proposition de modification») (3);

2. Le même jour, les propositions ont été envoyées au CEPD pour consultation. Avant l’adoption des propositions, le CEPD a eu la possibilité de formuler des commentaires informels à la Commission.

3. Le CEPD se réjouit qu’il soit fait référence à sa consultation au préambule de la proposition d’EES ainsi qu’à celui de la proposition de RTP.

I.2. Contexte

4. La communication de la Commission de 2008 intitulée «Préparer les prochaines évolutions de la gestion des frontières dans l’Union européenne» a proposé de nouveaux outils pour la future gestion des frontières européennes, notamment un système d’entrée/sortie (ci-après «EES») qui permettrait l’enregistrement électronique des dates d’entrée et de sortie des ressortissants de pays tiers ainsi qu’un programme d’enregistrement des voyageurs pour faciliter le franchissement des frontières pour les voyageurs de bonne foi (ci-après «RTP»). Elle envisageait également l’introduction d’un système d’autorisation électronique de voyage (ESTA) pour les ressortissants de pays tiers exemptés de l’obligation de visa.

5. Ces propositions ont été approuvées par le Conseil européen de décembre 2009 dans le programme de Stockholm (4). Toutefois, dans sa communication de 2011 sur les frontières intelligentes, la Commission (5) a considéré que la mise en place d’un ESTA devait être écartée à ce stade car «sa contribution potentielle au renforcement de la sécurité des États membres ne justifierait pas la collecte de données à caractère personnel à pareille échelle ni son coût et son impact sur les relations internationales» (6). Elle a également annoncé son intention de présenter des propositions relatives à l’EES et au RTP au cours du premier semestre de 2012.

6. Plus tard, le Conseil européen de juin 2011 a demandé que les travaux relatifs aux «frontières intelligentes» progressent rapidement et a réclamé l’introduction de l’EES et du RTP (7).

7. Le groupe de travail «Article 29» s’est prononcé sur la communication de la Commission relative aux frontières intelligentes, qui précédait les propositions, dans une lettre adressée le 12 juin 2012 à la commissaire Malmström (8). Plus récemment, le 6 juin 2013, le groupe de travail a adopté un avis émettant des doutes sur la nécessité du paquet relatif aux frontières intelligentes (9).

8. Le présent avis se base sur ces positions, ainsi que sur un précédent avis du CEPD (10) relatif à la communication de la Commission de 2011 sur la migration (11) et sur les observations préliminaires formulées par le CEPD (12) sur trois communications relatives à la gestion des frontières (2008) (13). Il se fonde également sur les informations fournies lors de la table ronde du CEPD sur le paquet relatif aux frontières intelligentes et ses implications sur la protection des données (14).

I.3. Objectif des propositions

9. L’article 4 de la proposition d’EES décrit sa finalité. La proposition a pour finalité d’améliorer la gestion des frontières extérieures de l’UE et la lutte contre l’immigration irrégulière, la mise en œuvre de la politique de gestion intégrée des frontières, la coopération entre les autorités douanières et celles compétentes en matière d’immigration ainsi que leur consultation mutuelle. Elle prévoit un système qui: a) renforcerait les vérifications aux points de passage des frontières extérieures et combattrait l’immigration clandestine; b) calculerait et contrôlerait le calcul de la durée du séjour autorisé des ressortissants de pays tiers admis pour un court séjour; c) aiderait à l’identification de toute personne qui ne remplit pas, ou ne remplit plus, les conditions d’entrée ou de séjour sur le territoire des États membres; d) permettrait aux autorités nationales des États membres d’identifier les personnes ayant dépassé la durée de séjour autorisée et de prendre les mesures appropriées; e) recueillerait des statistiques sur les entrées et sorties des ressortissants de pays tiers à des fins d’analyse.

10. Ce système devrait aider à contrôler la durée de séjour autorisée en fournissant des informations rapides et précises aux garde-frontières et aux voyageurs. Il remplacerait l’actuel système d’apposition manuelle des cachets sur les passeports, considéré comme lent et peu fiable, et améliorerait l’efficacité de la gestion des frontières (15).

11. Il devrait également faciliter, grâce au stockage des éléments biométriques, l’identification des personnes ne remplissant pas les conditions d’entrée ou de séjour dans l’UE, surtout en l’absence de documents d’identification. L’EES permettrait en outre de se faire une idée précise des flux de voyageurs et du nombre de personnes ayant dépassé la durée de séjour autorisée et d’élaborer ainsi des politiques fondées sur des faits, par exemple en ce qui concerne les obligations de visa. Les statistiques mentionnées à l’article 4 servent à réaliser ce dernier objectif.

12. L’EES servirait de base pour le RTP, qui, lui, a pour but de faciliter le passage des frontières pour les ressortissants de pays tiers voyageant fréquemment et ayant fait l’objet d’un contrôle de sûreté préalable. Les voyageurs enregistrés disposeraient d’un jeton contenant un numéro d’identification unique, à passer dans une barrière automatique à l’arrivée et au départ à la frontière. Les données du jeton, les empreintes digitales et, le cas échéant, le numéro de vignette-visa seraient comparés à ceux stockés dans le registre central et dans d’autres bases de données. Si toutes les vérifications concordent, le voyageur pourrait franchir la barrière automatique. Sinon, il serait aidé par un garde-frontière.

13. Enfin, la proposition de modification a pour objectif d’adapter le règlement (CE) no 562/2006 établissant un code communautaire relatif au régime de franchissement des frontières par les personnes (ci-après «le code frontières Schengen») aux nouvelles propositions d’EES et de RTP.

I.4. Contexte et structure du présent avis

14. Le projet d’élaborer un système électronique destiné à contrôler les entrées et les sorties du territoire de l’UE n’est pas nouveau: plusieurs communications de la Commission susmentionnées ont déjà préparé le terrain pour les propositions actuellement examinées. Le paquet relatif aux frontières intelligentes doit dès lors être examiné en tenant compte de ces développements. Il convient en particulier de prendre en considération les éléments suivants.

15. Dans le programme de Stockholm, la Commission a adopté l’approche stratégique consistant à évaluer la nécessité de mettre au point un modèle européen en matière d’échange d’informations sur la base de l’évaluation des instruments actuels. Il sera notamment question de mettre en place un solide régime de protection des données ainsi qu’un système de collecte de données bien ciblé, et de procéder à la rationalisation des différents instruments, notamment en adoptant un plan de développement pour les systèmes d’information à grande échelle. Le programme de Stockholm rappelle la nécessité d’assurer la cohérence de la mise en œuvre et de la gestion des différents outils de gestion de l’information avec la stratégie de protection des données à caractère personnel et le plan de développement pour les systèmes d’information à grande échelle (16).

16. Une analyse globale est d’autant plus nécessaire compte tenu de l’existence et du développement et de la mise en œuvre de systèmes informatiques à grande échelle, tels qu’Eurodac (17), le VIS (18) et le SIS II (19). Un système de frontières intelligentes représente un outil supplémentaire permettant de collecter de vastes quantités de données à caractère personnel dans le cadre du contrôle des frontières. Cette approche globale a été récemment confirmée par le Conseil JAI, qui a souligné la nécessité de tirer des enseignements de l’expérience du SIS, surtout en ce qui concerne l’escalade des coûts (20). Le CEPD a également observé qu’«un modèle européen d’information ne peut être conçu sur la base de considérations techniques», compte tenu des possibilités quasiment illimitées offertes par les nouvelles technologies. Les informations doivent être traitées uniquement sur la base de besoins concrets en matière de sécurité (21).

17. L’analyse de l’EES et du RTP du point de vue de la protection de la vie privée et des données doit se faire à la lumière de la Charte des droits fondamentaux de l’Union européenne (22) (ci-après «la Charte»), et en particulier de ses articles 7 et 8. L’article 7, qui est similaire à l’article 8 de la Convention européenne des droits de l’homme (CEDH) (23), prévoit le droit général au respect de la vie privée et familiale et protège l’individu de l’ingérence des pouvoirs publics, tandis que l’article 8 de la Charte donne à chaque personne le droit à ce que ses données à caractère personnel ne soient traitées que dans certaines conditions particulières. Ces deux approches sont différentes et complémentaires. Le paquet relatif aux frontières intelligentes sera évalué en fonction de ces deux points de vue.

18. Le présent avis est particulièrement axé sur la proposition d’EES, qui est la plus pertinente en ce qui concerne la protection de la vie privée et des données. Il est structuré comme suit: — la section II contient une évaluation générale du système d’entrée/sortie, axée sur le respect des articles 7 et 8 de la Charte; — la section III présentera des commentaires sur les dispositions plus spécifiques de l’EES relatives au traitement des données biométriques et à l’accès des autorités répressives aux données; — la section IV proposera des observations sur d’autres problèmes posés par l’EES; — la section V traitera plus particulièrement du RTP; — la section VI portera sur la nécessité d’inclure de nouvelles garanties en matière de sécurité des données; — la section VII dressera la liste des conclusions.

VII. Conclusions

102. Le paquet relatif aux frontières intelligentes vise à créer un nouveau système informatique à grande échelle afin de compléter les mécanismes de contrôle des frontières existants. La licéité de ce système doit être évaluée sur la base des principes de la Charte, en particulier de son article 7 relatif au droit au respect de la vie privée et familiale et de son article 8 relatif à la protection des données à caractère personnel, et ce dans le but d’évaluer non seulement les ingérences du nouveau système dans les droits fondamentaux, mais aussi les garanties incluses dans les propositions en matière de protection des données.

103. De ce point de vue, le CEPD confirme que le système d’EES proposé constitue une ingérence dans le droit au respect de la vie privée et familiale. S’il est satisfait des garanties apportées dans les propositions et reconnaît les efforts déployés dans ce sens par la Commission, il conclut néanmoins que la nécessité reste la question centrale: le rapport coûts/bénéfices du système est en jeu, non seulement du point de vue financier, mais aussi du point de vue des droits fondamentaux considérés dans le contexte global des dispositifs et des politiques relatives aux frontières qui existent actuellement.

104. En ce qui concerne l’EES, le CEPD émet les recommandations suivantes: — conformément à l’article 7 de la Charte, la nécessité et la proportionnalité du système ne pourront être positivement démontrées qu’après l’adoption d’une politique européenne claire sur la gestion des personnes ayant dépassé la durée de séjour autorisée et l’évaluation du système dans le contexte plus global des systèmes informatiques à grande échelle existants; — conformément à l’article 8, les principes en matière de protection des données devraient être améliorés comme suit: — les finalités devraient être limitées et la conception du système ne devrait pas préjuger de la future évaluation de tout éventuel accès aux données de l’EES par les autorités répressives; — les droits des personnes concernées devraient être renforcés, surtout en ce qui concerne le droit à l’information et les possibilités de recours, en tenant compte de la nécessité d’apporter des garanties spécifiques au niveau des décisions automatisées prises au sujet du calcul de la durée de séjour; — la surveillance devrait être complétée par un aperçu clair de la répartition des compétences au niveau national, afin de veiller à ce que les personnes concernées fassent valoir leurs droits auprès de l’autorité compétente; — l’utilisation de données biométriques devrait faire l’objet d’une analyse d’impact ciblée et, si jugé nécessaire, le traitement de ces données devrait être soumis à des garanties spécifiques relatives au processus d’enregistrement, au niveau de précision et à la nécessité d’une procédure de secours. En outre, le CEPD s’interroge fortement sur la collecte de 10 empreintes digitales alors qu’à des fins de vérification, il suffirait d’en recueillir deux ou quatre; — les raisons pour lesquelles le transfert de données de l’EES vers des pays tiers est nécessaire au rapatriement des ressortissants de ces pays devraient être explicitées.

105. Si le RTP ne soulève pas les mêmes questions substantielles que l’EES en ce qui concerne son ingérence dans les droits fondamentaux, le CEPD attire néanmoins l’attention du législateur sur les aspects suivants: — la base volontaire de ce système est reconnue, mais le consentement ne doit être considéré comme une base juridique valide pour le traitement qu’à condition qu’il soit librement donné, ce qui signifie que le RTP ne devrait pas devenir la seule solution disponible pour éviter les longues files et les charges administratives; — il convient de prévenir les risques de discrimination: le grand nombre de voyageurs qui ne voyagent pas assez souvent pour se soumettre à un enregistrement, ou dont les empreintes digitales sont illisibles, ne devraient pas être placés de fait dans la catégorie des voyageurs «à risque plus élevé»; — le processus de vérification précédant l’enregistrement devrait être basé sur un accès sélectif à des bases de données clairement identifiées.

106. En ce qui concerne les aspects relatifs à la sécurité, le CEPD estime que, pour l’EES comme pour le RTP et afin d’évaluer et de hiérarchiser les risques, il convient d’élaborer un plan de maintien des activités ainsi que des pratiques de gestion des risques pour la sécurité des informations. Une solide collaboration devrait en outre être prévue entre l’Agence et les États membres.

Fait à Bruxelles, le 18 juillet 2013. Peter HUSTINX Contrôleur européen de la protection des données

(1) COM(2013) 95 final.

(2) COM(2013) 97 final.

(3) COM(2013) 96 final.

(4) «Un Europe ouverte et sûre qui sert et protège les citoyens» (JO C 115 du 4.5.2010, p. 1).

(5) Communication de la Commission au Parlement européen, au Conseil, au Comité social et économique et au Comité des régions du 25 octobre 2011 — «Frontières intelligentes: options et pistes envisageables» [COM(2011) 680 final].

(6) Communication de la Commission sur les frontières intelligentes, précitée, p. 7.

(7) EUCO 23/11.

(8) Le groupe de travail «Article 29», institué conformément à la directive 95/46/CE, se compose d’un représentant de chaque autorité nationale de protection des données, du CEPD et d’un représentant de la Commission européenne. Il possède un caractère consultatif et indépendant. La lettre adressée le 12 juin 2012 par le groupe de travail à Mme Cecilia Malmström au sujet des frontières intelligentes est disponible sur http://ec.europa.eu/justice/data-protection/article-29/documentation/other-document/files/2012/20120612_letter_to_malmstrom_smart-borders_en.pdf

(9) Groupe de travail «Article 29», avis no 05/2013 sur les frontières intelligentes. http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/files/2013/wp206_en.pdf

(10) Avis du CEPD du 7 juillet 2011, consultable à l’adresse suivante: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2011/11-07-07_Migration_FR.pdf

(11) Communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions du 4 mai 2011 sur la migration [COM(2011) 248/3].

(12) Observations préliminaires du CEPD du 3 mars 2008, consultables à l’adresse suivante: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Comments/2008/08-03-03_Comments_border_package_EN.pdf

(13) Communications de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions intitulées «Préparer les prochaines évolutions de la gestion des frontières dans l’Union européenne» [COM(2008) 69 final], «Examen de la création d’un système européen de surveillance des frontières (EUROSUR)» [COM(2008) 68 final] et «Rapport sur l’évaluation et le développement futur de l’agence FRONTEX», COM(2008) 67 final.

(14) Table ronde du CEPD sur le paquet relatif aux frontières intelligentes et ses implications sur la protection des données, Bruxelles, 10 avril 2013, lieu: locaux du CEPD, Rue Montoyer 30, Bruxelles. Voir résumé à l’adresse suivante: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/PressNews/Events/2013/13-04-10_Summary_smart_borders_final_EN.pdf

(15) Voir l’exposé des motifs de la proposition d’EES.

(16) Le programme de Stockholm — une Europe ouverte et sûre qui sert et protège les citoyens (JO C 115 du 4.5.2010, p. 1).

(17) Voir le règlement (UE) no 603/2013 du Parlement européen et du Conseil du 26 juin 2013 relatif à la création d’Eurodac pour la comparaison des empreintes digitales aux fins de l’application efficace du règlement (UE) no 604/2013 établissant les critères et mécanismes de détermination de l’État membre responsable de l’examen d’une demande de protection internationale introduite dans l’un des États membres par un ressortissant de pays tiers ou un apatride et relatif aux demandes de comparaison avec les données d’Eurodac présentées par les autorités répressives des États membres et Europol à des fins répressives, et modifiant le règlement (UE) no 1077/2011 portant création d’une agence européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (JO L 180 du 29.6.2013, p. 1).

(18) Voir le règlement (CE) no 767/2008 du Parlement européen et du Conseil du 9 juillet 2008 concernant le système d’information sur les visas (VIS) et l’échange de données entre les États membres sur les visas de court séjour (règlement VIS) (JO L 218 du 13.8.2008, p. 60).

(19) Voir le règlement (CE) no 1987/2006 du Parlement européen et du Conseil du 20 décembre 2006 sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen de deuxième génération (SIS II) (JO L 381 du 28.12.2006, p. 4).

(20) Voir doc. du Conseil no 8018/13, Note de la Présidence au Comité stratégique sur l’immigration, les frontières et l’asile/Comité mixte (UE-Islande/Liechtenstein/Norvège/Suisse) du 28 mars 2013 sur le paquet relatif aux frontières intelligentes. http://www.statewatch.org/news/2013/apr/eu-council-smart-borders-8018-13.pdf

(21) Avis du CEPD du 10 juillet 2009 sur la communication de la Commission au Parlement européen et au Conseil intitulée «Un espace de liberté, de sécurité et de justice au service des citoyens» (JO C 276 du 17.11.2009, p. 8).

(22) JO C 83 du 30.3.2010, p. 389.

(23) Conseil de l’Europe, STE no 5, 4.11.1950.