1. Introduction

L’Agence européenne pour la gestion opérationnelle des systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice (ci-après l'«agence eu-LISA» ou l’«Agence») a été créée en 2011 par le règlement (UE) nº 1077/2011 (le «règlement portant création de l’Agence») afin de fournir une solution à long terme pour la gestion opérationnelle, au niveau central, des systèmes d’information à grande échelle au sein de cet espace. Le règlement portant création de l’Agence a été modifié le 20 juillet 2015 par le règlement (UE) nº 603/2013 (la «refonte du règlement Eurodac») afin de tenir compte des modifications apportés par ce règlement aux tâches de l’Agence liées à Eurodac.

L'agence eu-LISA gère actuellement le système d’information sur les visas (VIS), le système d’information Schengen (SIS) et Eurodac, c'est-à-dire les instruments essentiels pour la protection de l’espace Schengen, la gestion des frontières et la mise en œuvre des politiques en matière d’asile et de visa. L'agence eu-LISA peut également être chargée de la conception, du développement et de la gestion opérationnelle d’autres systèmes d’information à grande échelle dans le domaine d'action sur la base d'un instrument législatif pertinent, fondé sur les articles 67 à 89 du TFUE. L'agence eu-LISA a commencé ses activités le 1er décembre 2012. Conformément à l’article 31, paragraphe 1, du règlement portant création de l’Agence, la Commission a effectué la première évaluation de l’Agence, en étroite consultation avec le conseil d’administration de celle-ci. L'agence eu-LISA a également été étroitement associée à ce processus.

Le présent rapport se fonde sur les conclusions de l’évaluation externe de l’action de l’Agence pour la période allant de décembre 2012 à septembre 2015. Le règlement portant création de l’Agence (article 31, paragraphe 2) prévoit que, en se fondant sur l’évaluation et après consultation du conseil d’administration, la Commission formule des recommandations quant aux modifications à apporter au règlement et les transmet, accompagnées de l’avis du conseil d’administration, au Parlement européen, au Conseil et au Contrôleur européen de la protection des données, en même temps que des propositions appropriées. Le présent rapport porte plus particulièrement sur les recommandations concernant les modifications à apporter au règlement portant création de l’Agence. Le 21 mars 2017, le conseil d’administration de l’agence eu-LISA a adopté un plan d’action pour donner suite aux conclusions de l’évaluation ne nécessitant pas de modifier le règlement portant création de l’Agence.

Le présent rapport concerne les résultats de l’évaluation, tels que présentés dans le document de travail des services de la Commission concernant l’évaluation de l’agence eu-LISA joint en annexe, et le rapport de l’évaluation externe (section 2). Il place l’évaluation et le rôle de l’Agence dans une perspective plus large et tient compte des évolutions factuelles, juridiques et politiques ultérieures (voir section 3).

2. Évaluation de l’agence eu-LISA pour la période 2012-2015

2.1. Contexte de l’évaluation

L’évaluation de l’agence eu-LISA a commencé juste avant la publication du programme européen en matière de sécurité et de l’agenda européen en matière de migration , en avril et en mai 2015 respectivement. Ces communications ont défini la voie à suivre pour la conception et la mise en œuvre de la stratégie de l’Union visant à relever les défis parallèles que constituent la gestion des migrations et la lutte contre le terrorisme, la criminalité organisée et la cybercriminalité.

Ces deux programmes font directement référence aux systèmes que l’agence eu-LISA gère au niveau central ou est appelée à développer et à gérer, sous réserve de l’adoption des instruments législatifs pertinents.

Gérer plus efficacement les frontières externes de l’espace Schengen implique de mieux exploiter les (nouvelles) possibilités offertes par les systèmes informatiques et les technologies modernes de l’information. L’évaluation a été réalisée dans un contexte de flux migratoires sans précédents et de nouvelles menaces pour la sécurité (les attentats terroristes) auxquelles les États membres sont confrontés. Les conclusions du Conseil européen ont constaté le besoin urgent de combattre ces phénomènes avec une vigueur renforcée et de nouveaux outils. Ces événements et conclusions ont une fois encore mis en évidence l’importance vitale que revêtent les bases de données gérées par l’Agence pour le fonctionnement quotidien, efficace et durable de l’espace Schengen.

2.2. Conclusions de l’évaluation

De manière générale, l’évaluation a confirmé que l’Agence assure efficacement la gestion opérationnelle de systèmes d’information à grande échelle au sein de l’espace de liberté, de sécurité et de justice, et s’acquitte des tâches prévues par le règlement et des nouvelles tâches qui lui ont été confiées. Elle a également conclu que l’agence eu-LISA contribuait efficacement à la création d’un environnement informatique plus coordonné, efficace et cohérent pour la gestion de systèmes d’information à grande échelle facilitant la mise en œuvre des politiques dans le domaine de la justice et des affaires intérieures (JAI).

L’évaluation a cependant recensé certains points à améliorer. La grande majorité des lacunes peuvent être corrigées par des modifications structurelles, organisationnelles ou de personnel ou par des changements apportés aux pratiques et documents de travail de l’agence eu-LISA. Toutefois, en vue d’adapter le mandat de l’Agence pour garantir qu’il répond aux problèmes auxquels l’Union est confrontée en matière de migration et de sécurité, l’évaluation a constaté qu'il était nécessaire d’apporter des modifications limitées aux tâches confiées à l'agence euLISA par le règlement portant création de l’Agence ou par d’autres instruments juridiques pertinents, ou de les élargir.

Les principales conclusions de l’évaluation sur les quatre critères d’évaluation sont les suivantes:

2.2.1. Efficacité

L'agence eu-LISA assure efficacement la gestion opérationnelle des trois systèmes d’information à grande échelle et a mis en œuvre des cadres opérationnels efficaces. D’importantes pistes d’amélioration ont cependant été recensées concernant le suivi des performances des processus informatiques mis en œuvre. Il a été constaté qu'il existait un risque pour la continuité des activités en raison de l’absence d'un plan unique et transversal de rétablissement après sinistre pour les trois systèmes. Il n'existe pas non plus d’indicateurs de performance clés ni de réexamen systématique des capacités des systèmes, et la procédure de notification des incidents est insuffisante.

Il pourrait être remédié aux problèmes liés à la répartition actuelle des responsabilités entre l'agence eu-LISA et la Commission en ce qui concerne l'infrastructure de communication en confiant à l’Agence l’entière responsabilité de la gestion de l'infrastructure de communication et en lui transférant le budget qui s’y rapporte ainsi que les tâches actuellement gérées par la Commission. La répartition actuelle des tâches n’est plus nécessaire, d’un point de vue contractuel ou autre, et un tel transfert permettrait de simplifier les relations entre le contractant et l’Agence, tout en réduisant les dépenses de gestion et d’administration ainsi que les coûts connexes.

Dans un souci d’efficacité, et en plus des statistiques actuellement publiées en vertu du cadre juridique existant, il convient d’envisager la possibilité de confier à l’agence eu-LISA une responsabilité accrue en matière de production/publication de statistiques pour chaque système. De même, il pourrait également s’avérer opportun d’examiner la possibilité de charger l'agence eu-LISA de produire des rapports sur la qualité des données et des rapports d’analyse des données (c'est-à-dire des rapports d’analyse des données introduites dans les systèmes par les États membres et nécessitant un accès aux données au sein des systèmes).

Le suivi de la recherche est une activité considérée comme pertinente et nécessaire. Toutefois, les résultats sont à ce jour assez faibles et il convient de veiller avec une attention renforcée à la conformité au mandat et à la cohérence avec les activités de recherche des autres parties prenantes.