FR Journal officiel de l'Union européenne C 162/9

Résumé de l’avis du Contrôleur européen de la protection des données sur la proposition de règlement portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS)

[Le texte complet de l'avis en allemand, en anglais et en français est disponible sur le site internet du Contrôleur européen www.edps.europa.eu]

(2017/C 162/06)

La politique de gestion des frontières de l’Union européenne a connu des évolutions notables au cours des dernières années, dues en partie aux difficultés causées par l’afflux de réfugiés et de migrants, ainsi qu’à des préoccupations sécuritaires accrues en raison des attaques à Paris, à Bruxelles et à Nice. La situation actuelle et la nécessité de garantir la sécurité sur le territoire des États membres ont incité la Commission à lancer plusieurs initiatives législatives visant à améliorer la surveillance des personnes qui entrent dans l’espace Schengen.

La proposition de règlement du Parlement européen et du Conseil portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) présentée par la Commission le 16 novembre 2016 compte parmi ces initiatives.

Selon ladite proposition, ce système exigerait que les voyageurs exemptés de l’obligation de visa soient soumis à une évaluation des risques qu’ils posent en matière de sécurité, d’immigration irrégulière et de santé publique préalablement à leur arrivée aux frontières de l’espace Schengen. Cette évaluation serait menée au moyen d’un recoupement entre les données que les demandeurs auront communiquées dans l’ETIAS et celles provenant d’autres systèmes d’information de l’Union européenne, d’une liste de surveillance spéciale pour l’ETIAS et de règles d’examen. Ce processus aboutirait à l’octroi —ou au refus — d’une autorisation automatisée d’entrée sur le territoire de l’Union européenne.

Au vu de la proposition ETIAS, le législateur de l’Union européenne semble souscrire à la tendance de plus en plus prononcée qui consiste à répondre de manière conjointe aux objectifs en matière de sécurité et de gestion des migrations, sans tenir compte des différences non négligeables qui existent entre ces deux domaines d’action. La mise en place de l’ETIAS aurait une incidence considérable sur le droit à la protection des données à caractère personnel, étant donné que de nombreux types de données, initialement collectées à des fins très différentes, deviendront accessibles à un plus large éventail d’autorités publiques (à savoir aux autorités compétentes en matière d’immigration, aux garde-frontières, aux autorités répressives, etc.). C’est pourquoi le Contrôleur européen de la protection des données (CEPD) estime nécessaire de procéder à une évaluation de l’incidence qu’aura ladite proposition sur le droit au respect de la vie privée et sur le droit à la protection des données à caractère personnel, consacrés dans la charte des droits fondamentaux de l’Union européenne; cette évaluation abordera toutes les mesures relatives aux objectifs en matière de migration et de sécurité qui existent au niveau de l’Union européenne.

En outre, la proposition ETIAS suscite des préoccupations concernant le processus de détermination des risques potentiels que représente le demandeur. À cet égard, il convient d’accorder une attention particulière à la définition desdits risques en tant que tels. Dès lors que ladite évaluation peut avoir pour conséquence sur une personne le refus de l’entrée sur le territoire, la législation doit définir clairement quels sont les risques évalués. Le CEPD s’interroge également sur les règles d’examen de l’ETIAS. Il a conscience que l’objectif du législateur est de créer un outil permettant le repérage automatique des ressortissants de pays tiers exemptés de l’obligation de visa soupçonnés de présenter des risques de ce type. Néanmoins, le profilage, à l’instar de toute forme d’analyse de données par ordinateur appliquée aux personnes, soulève d’importantes questions d’ordre technique, juridique et éthique. Dès lors, le CEPD exige la production d’éléments de preuve convaincants attestant la nécessité de recourir à des outils de profilage aux fins de l’ETIAS.

Par ailleurs, le CEPD s’interroge sur la pertinence de la collecte et du traitement de données relatives à la santé tels qu’envisagés dans la proposition. Il demande une meilleure justification de la durée de conservation des données qui a été choisie et de la nécessité d’octroyer l’accès aux données aux agences répressives nationales et à Europol.

Enfin, il énonce des recommandations concernant, notamment, la répartition des rôles et des responsabilités entre les différentes entités concernées, ainsi que la sécurité de l’information et l’architecture de l’ETIAS.

I. INTRODUCTION

1. L’initiative de la Commission européenne visant à adopter un règlement portant création d’un système européen d’information et d’autorisation concernant les voyages (ETIAS) remonte à une communication de 2008 intitulée «Préparer les prochaines évolutions de la gestion des frontières dans l’Union européenne» (1). Dans ladite communication, la Commission suggérait de nouveaux outils pour la gestion future des frontières européennes, notamment le système d’entrée/sortie (EES) et le programme d’enregistrement des voyageurs (RTP), et envisageait pour la première fois l’introduction de l’ETIAS, appelé à l’époque le système d’autorisation électronique de voyage (ESTA) de l’Union européenne. Le CEPD a publié des observations préliminaires (2) sur cette communication la même année.

2. En février 2011, la Commission a publié une étude (3) dans laquelle elle analyse quatre options différentes pour l’introduction d’un ESTA de l’Union européenne. Ladite étude est parvenue à la conclusion que les conditions n’étaient pas remplies à l’époque pour justifier la mise en place d’un ESTA de l’Union européenne. Dans une communication (4) de 2012 concernant les frontières intelligentes, la Commission a estimé qu’il convenait d’écarter temporairement la mise en place d’un ESTA de l’Union européenne mais a annoncé son intention de continuer à travailler sur l’EES et le RTP.

3. Dans sa communication (5) intitulée «Des systèmes d’information plus robustes et plus intelligents au service des frontières et de la sécurité» du 6 avril 2016, la Commission a annoncé qu’elle comptait apprécier la nécessité, la faisabilité technique et la proportionnalité de la mise en place d’un futur système européen d’information et d’autorisation concernant les voyages. Cette même année, la Commission a mené une étude de faisabilité, dans laquelle trois autres systèmes d’autorisation de voyage existants ont été utilisés comme références: l’ESTA aux États-Unis, l’AVE au Canada et l’eVisitor en Australie.

4. Le 16 novembre, la Commission a publié le rapport final de cette étude de faisabilité (6) (ci-après l’«étude de faisabilité de 2016»), ainsi que la proposition relative à l’ETIAS (ci-après la «proposition»).

5. Le CEPD se félicite d’avoir été consulté de manière informelle par les services de la Commission avant l’adoption de la proposition. Il regrette cependant que, en raison du délai très serré ainsi que de l’importance et de la complexité de la proposition, il lui ait été impossible d’apporter une contribution utile à ce moment-là.

V. CONCLUSION

113. Le CEPD se réjouit de l’attention accordée à la protection des données tout au long de la proposition portant création de l’ETIAS.

114. Dans le plein respect du rôle du législateur dans l’appréciation de la nécessité et de la proportionnalité des mesures proposées, le CEPD rappelle que ces deux exigences juridiques de haut niveau consacrées par la charte peuvent faire l’objet d’un contrôle minutieux de la part de la Cour de justice de l’Union européenne et qu’il incombe au CEPD de veiller à leur respect. Il souligne qu’en l’absence d’une analyse d’impact (relative à la protection des données), il est impossible d’évaluer la nécessité et la proportionnalité de l’ETIAS tel qu’il est proposé actuellement.

115. Étant donné que la proposition met en place un système supplémentaire entraînant le traitement d’une quantité non négligeable d’informations à caractère personnel relatives à des ressortissants de pays tiers à des fins liées à l’immigration et à la sécurité, le CEPD conseille au législateur de prendre en considération toutes les mesures qui existent au niveau de l’Union européenne en lien avec le traitement de données à des fins relatives à la migration et à la sécurité, et d’effectuer une analyse approfondie de leurs objectifs et de leurs résultats.

116. Dans ce contexte, le CEPD recommande d’inclure une définition des risques en matière d’immigration irrégulière et de sécurité dans la proposition afin de respecter le principe de limitation.

117. De plus, le CEPD s’inquiète de savoir si l’utilisation des règles d’examen de l’ETIAS sera pleinement conforme aux droits fondamentaux consacrés dans la charte. Il recommande que les règles d’examen de l’ETIAS proposées fassent l’objet d’une évaluation préalable exhaustive de leur incidence sur les droits fondamentaux. Le CEPD se demande également si des éléments convaincants attestent qu’il est nécessaire d’utiliser des outils de profilage aux fins de l’ETIAS et, dans le cas contraire, encourage le législateur à revoir sa position quant au recours au profilage.

118. Le CEPD s’interroge sur la pertinence et l’efficacité de la collecte et du traitement de données concernant la santé tels qu’envisagés dans la proposition en raison de leur fiabilité limitée. Il s’interroge également quant à la nécessité de traiter ces données au vu du lien limité qui existe entre les risques en matière de santé publique et les voyageurs exemptés de l’obligation de visa.

119. En ce qui concerne l’accès des autorités répressives et d’Europol aux données ETIAS, le CEPD souligne qu’il n’existe actuellement pas d’élément attestant la nécessité desdits accès. Le CEPD rappelle que la nécessité et la proportionnalité de nouveaux systèmes doivent être appréciées aussi bien de manière globale, compte tenu des systèmes informatiques à grande échelle qui existent déjà au sein de l’UE, que de manière spécifique, dans le cas particulier des ressortissants de pays tiers qui se rendent légalement dans l’UE.

120. Au-delà des principales préoccupations recensées ci-dessus, les recommandations exprimées par le CEPD dans le présent avis concernent les aspects suivants de la proposition: — la nécessité et la proportionnalité de l’ensemble de données collecté, — les durées de conservation des données choisies, — l’interopérabilité entre l’ETIAS et d’autres systèmes d’information, — les droits de la personne concernée et les voies de recours prévues, — l’examen indépendant des conditions d’accès par les autorités répressives, — la répartition des rôles et des responsabilités entre l’Agence européenne de garde-frontières et de garde-côtes et l’agence eu-LISA, — la vérification par l’unité centrale ETIAS, — l’architecture et la sécurité de l’information de l’ETIAS, — les statistiques générées par le système, et — le rôle du CEPD.

121. Le CEPD reste disponible pour apporter des conseils supplémentaires concernant la proposition, ainsi que tout acte délégué ou d’exécution adopté portant sur le règlement proposé qui serait susceptible d’avoir une incidence sur le traitement de données à caractère personnel.

Bruxelles, le 6 mars 2017. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) Communication du 13 février 2008 de la Commission au Parlement européen, au Conseil, Comité économique et social européen et au Comité des régions – Préparer les prochaines évolutions de la gestion des frontières dans l’Union européenne [COM(2008) 69 final].

(2) Observations préliminaires du CEPD du 3 mars 2008, disponibles à l’adresse: https://secure.edps.europa.eu/EDPSWEB/webdav/shared/Documents/Consultation/Comments/2008/08-03-03_Comments_border_package_EN.pdf (version anglaise uniquement).

(3) Étude de la politique relative à un système d’autorisation électronique de voyage de l’Union européenne (ESTA de l’Union européenne) de février 2011, disponible à l’adresse: http://ec.europa.eu/dgs/home-affairs/e-library/docs/pdf/esta_annexes_en.pdf (version anglaise uniquement).

(4) Communication de la Commission au Parlement européen et au Conseil du 25 octobre 2011 intitulée «Frontières intelligentes: options et pistes envisageables» [COM(2011) 680 final].

(5) Communication de la Commission au Parlement européen et au Conseil du 6 avril 2016 intitulée «Des systèmes d’information plus robustes et plus intelligents au service des frontières et de la sécurité» [COM(2016) 205 final].

(6) Étude de faisabilité du 16 novembre 2016 relative à un système européen d’information et d’autorisation concernant les voyages (ETIAS) — Rapport final disponible à l’adresse: https://ec.europa.eu/home-affairs/sites/homeaffairs/files/what-we-do/policies/european-agenda-security/legislative-documents/docs/20161116/etias_feasability_study_en.pdf (version anglaise uniquement).