FR Journal officiel de l'Union européenne C 200/14

Résumé de l’avis du contrôleur européen de la protection des données sur la nouvelle base juridique du système d’information Schengen

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2017/C 200/08)

Le système d’information Schengen («SIS») est l’un des plus grands et des plus anciens systèmes d’information à grande échelle, qui visent à soutenir les vérifications aux frontières extérieures et la coopération des services répressifs dans les États Schengen. Après trois années de fonctionnement, le système d’information de deuxième génération a fait l’objet d’une évaluation globale par la Commission. À la suite de cette évaluation, le paquet de mesures législatives abrogeant la base juridique actuelle du SIS a été présenté le 21 décembre 2016. Ces changements juridiques s’inscrivent dans le cadre d’un processus plus large visant à améliorer la gestion des frontières extérieures et la sécurité intérieure au sein de l’Union européenne, afin de répondre aux défis posés par les menaces terroristes et par l’afflux considérable de migrants.

Le CEPD observe les réflexions qui sont menées actuellement sur l’interopérabilité des systèmes d’information à grande échelle au sein de l’Union européenne, dont le SIS, qui ont été conçus pour répondre à des besoins spécifiques à un moment donné. La multiplicité des systèmes d’information a engendré un cadre juridique complexe dans les domaines de la migration, de la gestion des frontières et de la coopération policière. À cet égard, le CEPD tient à encourager le législateur à réfléchir, au-delà des propositions actuelles, à la mise en place d’un cadre juridique plus unifié, plus cohérent et plus complet, en pleine conformité avec les principes de protection des données, pour les systèmes d’information à grande échelle au sein de l’Union européenne dans les domaines de la gestion des frontières et de la sécurité.

Le paquet de mesures législatives se compose de trois propositions de règlement sur la coopération policière et judiciaire, les vérifications aux frontières et le retour. Ces propositions visent essentiellement à mieux accompagner les politiques de l’Union européenne en matière de retour et d’antiterrorisme, à harmoniser les procédures nationales pour l’utilisation du SIS, ainsi qu’à renforcer la sécurité du système.

En tant qu’autorité chargée du contrôle du système SIS central, le CEPD se réjouit de l’attention portée à la protection des données dans les propositions et de la cohérence de ces propositions avec d’autres actes législatifs liés à la protection des données.

Le CEPD considère que l’introduction de nouvelles catégories de données, et notamment de nouveaux identifiants biométriques, soulève la question de la nécessité et de la proportionnalité des changements proposés, et, par conséquent, les propositions devraient être complétées par l’analyse d’impact sur le droit au respect de la vie privée et le droit à la protection des données consacrés par la Charte des droits fondamentaux de l’Union européenne.

En outre, le nombre croissant d’autorités ayant accès au système soulève des inquiétudes en ce qui concerne la responsabilité finale du traitement de données à caractère personnel par différents acteurs. Dans certains cas, les propositions devraient mieux spécifier les droits d’accès aux différents types de signalements dans le SIS. À cet égard, il conviendrait d’accorder une attention particulière à la répartition des rôles, aux responsabilités et aux droits d’accès des différents utilisateurs ayant accès au système.

Enfin, le CEPD préconise une meilleure justification de l’extension de la durée de conservation des données concernant les signalements de personnes, et propose toute une série de recommandations supplémentaires dans le but d’améliorer encore les propositions.

1. INTRODUCTION ET CONTEXTE

1. Le système d’information Schengen (ci-après le «SIS») a été établi en 1995 par l’article 92 de la Convention d’application de l’accord de Schengen (1). La deuxième génération du système d’information Schengen (ci-après le «SIS II») est entrée en service le 9 avril 2013 et est régie par les instruments juridiques suivants: — Règlement (CE) no 1987/2006 (2) qui concerne l’utilisation du SIS II lors des contrôles de ressortissants de pays tiers qui ne remplissent pas les conditions d’admission ou de séjour dans l’espace Schengen, — Décision 2007/533/JAI (3) relative à l’utilisation du SIS II pour la coopération policière et judiciaire en matière pénale, et — Règlement (CE) no 1986/2006 (4) sur l’accès des services des pays de l’Union européenne chargés de l’immatriculation des véhicules au SIS II (5).

2. En 2016, la Commission a procédé à une évaluation du SIS trois ans après la mise en œuvre du système de deuxième génération (6). Cette évaluation a permis de recenser la nécessité d’améliorer l’efficacité et l’efficience du système. Dans ce contexte, le 21 décembre 2016, la Commission a publié trois propositions de règlements dans le cadre d’un premier paquet de mesures législatives portant sur le système d’information Schengen: — Proposition de règlement du Parlement européen et du Conseil sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen (SIS) dans le domaine des vérifications aux frontières, modifiant le règlement (UE) no 515/2014 et abrogeant le règlement (CE) no 1987/2006 (ci-après la «proposition SIS sur les vérifications aux frontières») (7), — Proposition de règlement du Parlement européen et du Conseil sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, modifiant le règlement (UE) no 515/2014 et abrogeant le règlement (CE) no 1986/2006, la décision 2007/533/JAI du Conseil et la décision 2010/261/UE de la Commission (ci-après la «proposition SIS sur la coopération policière et judiciaire») (8), et — Proposition de règlement du Parlement européen et du Conseil relatif à l’utilisation du système d’information Schengen aux fins du retour des ressortissants de pays tiers en séjour irrégulier (ci-après la «proposition SIS sur le retour») (9).

3. À cet égard, il importe de mentionner que la Commission envisage de publier dans les mois à venir un deuxième paquet de mesures législatives sur le SIS visant à améliorer l’interopérabilité du système avec d’autres systèmes d’information à grande échelle au sein de l’Union européenne, en s’appuyant sur les conclusions du Groupe d’experts de haut niveau sur les systèmes d’information et l’interopérabilité (10).

4. Le CEPD relève que le SIS et les autres systèmes d’information à grande échelle existants au sein de l’Union européenne (ainsi que les nouveaux systèmes proposés) s’inscrivent dans le cadre d’une vaste réflexion engagée par la Commission sur les façons d’améliorer l’efficacité et l’efficience de la gestion et de l’utilisation des données, tant à des fins de gestion des frontières qu’à des fins de sécurité. Le CEPD est conscient du fait que cette réflexion a pour but, d’une part, de maximiser les avantages des systèmes d’information existants et, d’autre part, de développer de nouvelles actions complémentaires afin de remédier aux lacunes constatées. D’après la Commission, l’une des façons d’atteindre ces objectifs est de développer l’interopérabilité entre les systèmes d’information de l’Union européenne, y compris le SIS (11).

5. Le CEPD constate que la multiplicité des systèmes d’information à grande échelle au sein de l’Union européenne répond à des besoins concrets qui s’inscrivent dans des contextes institutionnels, politiques et juridiques en constante évolution. Cette situation a entraîné une certaine complexité au niveau des cadres juridiques et des modèles de gouvernance.

6. Dans ce contexte, le CEPD encourage le législateur à réfléchir, au-delà des propositions actuelles, à la mise en place d’un cadre juridique plus uniforme, plus cohérent et plus complet, qui permette de mieux aligner les bases de données de l’Union européenne en matière de gestion des frontières et de répression sur un ensemble moderne de principes-clés en matière de protection des données, et notamment: la limitation des finalités, le recours à des mesures de sécurité de pointe, des durées de conservation des données proportionnelles, la qualité des données, la protection des données dès la conception, la traçabilité, l’efficacité de la surveillance, ou encore des sanctions dissuasives en cas d’abus.

7. En ce qui concerne l’actuelle proposition, le CEPD se réjouit d’avoir été consulté de manière informelle par les services de la Commission avant l’adoption du paquet de mesures législatives concernant le SIS II. Il regrette cependant que, en raison du délai très serré ainsi que de la complexité et de la longueur des propositions, il lui ait été impossible d’apporter une contribution à ce moment-là.

5. CONCLUSION

52. À titre d’observation générale, le CEPD constate la complexité du paysage actuel des systèmes d’information au sein de l’Union européenne et tient à encourager le législateur à réfléchir, au-delà des propositions actuelles, à la mise en place d’un cadre juridique plus unifié, plus cohérent et plus complet pour les systèmes d’information à grande échelle au sein de l’Union européenne à des fins répressives et de gestion des frontières, en pleine conformité avec les principes de protection des données.

53. Le CEPD se réjouit de l’attention accordée à la protection des données tout au long des propositions sur le SIS. Toutefois, il estime que des améliorations peuvent être apportées sur les points suivants:

54. Le CEPD tient à souligner que l’absence d’une analyse d’impact (en matière de protection des données) ne permet pas d’apprécier pleinement la nécessité et la proportionnalité des modifications proposées dans la base juridique actuelle du SIS II. En particulier, au vu des risques posés par l’introduction de nouvelles catégories de données dans le système, plus particulièrement les nouveaux identifiants biométriques, le CEPD recommande de procéder à une évaluation de la nécessité de collecter et d’utiliser ces données dans le SIS et de la proportionnalité de leur collecte.

55. En ce qui concerne l’accès au SIS par les équipes de l’Agence européenne de garde-frontières et de garde-côtes, les équipes d’agents impliqués dans les tâches liées aux retours et les membres des équipes d’appui à la gestion des flux migratoires, le CEPD souligne que le grand nombre d’acteurs différents impliqués dans le traitement des données ne devrait pas contribuer à brouiller les responsabilités entre l’Agence européenne de garde-frontières et de garde-côtes et les États membres. Dès lors, il recommande d’indiquer dans le texte de la proposition que la responsabilité finale du traitement des données à caractère personnel incombera aux autorités des États membres concernés, qui seront considérées comme les «responsables du traitement» conformément au droit de l’Union européenne en matière de protection des données.

56. En outre, les équipes de l’Agence européenne de garde-frontières et de garde-côtes, les équipes d’agents impliqués dans les tâches liées aux retours et les membres des équipes d’appui à la gestion des flux migratoires ne devraient pas avoir accès à toutes les catégories de signalements dans le SIS, mais seulement à celles qui sont pertinentes pour la mission qui leur est confiée. Dans le même temps, les propositions devraient clairement préciser que l’accès au SIS doit être limité aux seuls représentants des organes autorisés.

57. Le CEPD tient également à attirer l’attention du législateur sur la nécessité de justifier pleinement la proportionnalité de l’extension de la durée de conservation des données pour les signalements de personnes de trois (dans le cadre juridique actuel) à cinq ans (dans le paquet de mesures législatives proposé).

58. Au-delà des principales préoccupations recensées ci-dessus, les recommandations exprimées par le CEPD dans le présent avis concernent les aspects suivants des propositions: — la déclaration des incidents de sécurité, — les campagnes d’information, — l’architecture du système, — l’utilisation des systèmes de reconnaissance automatique des plaques minéralogiques, — les statistiques générées par le système.

59. Le CEPD reste disponible pour apporter des conseils supplémentaires concernant les propositions, ainsi que tout acte délégué ou d’exécution adopté portant sur les règlements proposés qui serait susceptible d’avoir une incidence sur le traitement de données à caractère personnel.

Bruxelles, le 3 mai 2017. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) Convention d’application de l’accord de Schengen du 14 juin 1985 entre les gouvernement des États de l’Union économique Benelux, de la République fédérale d’Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes, 19 juin 1990 (JO L 239 du 22.9.2000, p. 19).

(2) Règlement (CE) no 1987/2006 du Parlement européen et du Conseil du 20 décembre 2006 sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen de deuxième génération (SIS II) (JO L 381 du 28.12.2006, p. 4).

(3) Décision 2007/533/JAI du Conseil du 12 juin 2007 sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen de deuxième génération (SIS II) (JO L 205 du 7.8.2007, p. 63).

(4) JO L 381 du 28.12.2006, p. 1.

(5) Ces actes législatifs sont complétés par le règlement (UE) no 515/2014 du Parlement européen et du Conseil du 16 avril 2014 portant création, dans le cadre du Fonds pour la sécurité intérieure, de l’instrument de soutien financier dans le domaine des frontières extérieures et des visas et abrogeant la décision no 574/2007/CE (JO L 150 du 20.5.2014, p. 143), qui a établi l’instrument de soutien financier pour la création du SIS II.

(6) Rapport de la Commission au Parlement européen et au Conseil sur l’évaluation du système d’information Schengen de deuxième génération (SIS II), conformément à l’article 24, paragraphe 5, à l’article 43, paragraphe 3, et à l’article 50, paragraphe 5, du règlement (CE) no 1987/2006, ainsi qu’à l’article 59, paragraphe 3, et à l’article 66, paragraphe 5, de la décision 2007/533/JAI, COM(2016) 880 final.

(7) COM(2016) 882 final.

(8) COM(2016) 883 final.

(9) COM(2016) 881 final.

(10) Décision 2016/C 257/03 de la Commission du 17.6.2016. D’autres informations sont disponibles à l’adresse suivante: http://ec.europa.eu/transparency/regexpert/index.cfm?do=groupDetail.groupDetail&groupID=3435

(11) Communication de la Commission du 6 avril 2016 intitulée «Des systèmes d’information plus robustes et plus intelligents au service des frontières et de la sécurité», COM(2016) 205.