FR Journal officiel de l'Union européenne C 313/36

Avis du Contrôleur européen de la protection des données sur le projet de règlement du Conseil (CE) portant fixation de la forme des laissez-passer délivrés aux membres et aux agents des institutions

(2006/C 313/13)

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité instituant la Communauté européenne, et notamment son article 286,

vu la Charte des droits fondamentaux de l'Union européenne, et notamment son article 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données,

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données,

vu la demande d'avis formulée par la Commission conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001, reçue le 31 juillet 2006,

A ADOPTÉ L'AVIS SUIVANT:

1. REMARQUES PRÉLIMINAIRES

1. La Commission a transmis au Contrôleur Européen de la Protection des Données (CEPD), par lettre datée du 26 juillet 2006, le projet de règlement du Conseil portant fixation de la forme des laissez-passer délivrés aux membres et agents des institutions. Le CEPD interprète cette lettre comme une demande d'avis à formuler conformément à l'article 28, paragraphe 2 du règlement (CE) no 45/2001.

2. Le Protocole sur les Privilèges et Immunités (PPI) des Communautés européennes adopté le 8 avril 1965 et annexé au Traité instituant un Conseil unique et une Commission unique des Communautés européennes, et tout spécialement son article 7, prévoit que le Conseil arrête la forme des laissez-passer communautaires (LPC) qui sont reconnus comme titres valables de circulation par les autorités des États membres. Ce texte constitue la base légale du traitement des données effectué (article 5a du règlement (CE) no 45/2001). Le Conseil, institution compétente dans ce domaine estime que le LPC ne répond plus, à l'heure actuelle, aux normes de sécurité exigées pour ce type de documents et qu'il nécessite une refonte complète afin de respecter les normes minimales de l'OACI (Organisation de l'Aviation Civile Internationale) et celles imposées au passeport européen (et notamment la biométrie), à l'aide de nouvelles technologies permettant une protection maximale contre la falsification. Pour des raisons d'expertise technique, le collège des chefs d'administration a demandé à la Commission d'étudier cette question.

3. Le CEPD estime important de rendre un avis sur la proposition de nouveau LPC car il envisage l'introduction, dans un support de stockage, de données biométriques dans des formats interopérables et lisibles à la machine. Le présent avis est l'occasion pour le CEPD de s'exprimer en la matière, comme il l'a déjà effectué précédemment dans ses opinions sur les programmes VIS (1) et SIS II (2).

4. Les données biométriques sont d'une nature particulière parce qu'elles ont trait aux caractéristiques comportementales et physiologiques d'une personne et qu'elles peuvent permettre de l'identifier avec une plus grande précision. De l'avis du CEPD, les traitements futurs tombent sous le champ d'application de l'article 27, paragraphe 1, du règlement (CE) no 45/2001. Ces traitements doivent dès lors être soumis au contrôle préalable du CEPD puisqu'ils sont susceptibles de présenter des risques au regard des droits et des libertés des personnes concernées du fait de la nature des données.

2. ANALYSE DE LA PROPOSITION

2.1. Remarques générales

5. Le CEPD est consulté sur la base de l'article 28, paragraphe 2, du règlement (CE) no 45/2001. Cependant, vu le caractère contraignant de cette disposition, le présent avis devrait être mentionné dans le préambule du texte.

6. Le CEPD accueille favorablement le fait d'être consulté sur la proposition de nouveau LPC car celle-ci s'inscrit dans la politique d'amélioration et de sécurisation des documents de voyage en vue de leur protection accrue contre la falsification.

2.2. Données biométriques

7. La proposition de nouveau LPC introduit la possibilité de traiter une nouvelle catégorie de données qui mérite une attention particulière: les données biométriques. Le CEPD reconnait l'importance de la sécurisation accrue des laissez-passer en vue de la lutte contre la falsification et l'usage frauduleux de ces documents. Cependant, l'introduction d'éléments d'identification biométriques et les traitements de données à caractère personnel correspondants doivent respecter un certain nombre de principes ayant vocation à protéger les droits et libertés fondamentaux des personnes, et particulièrement leurs droits au regard du traitement de leurs données à caractère personnel. Le respect de ces principes est d'autant plus essentiel quant au traitement de données biométriques qui fournissent, par leur nature même, des informations sur une personne précise, et ce d'autant plus que certaines données biométriques peuvent laisser des traces dans la vie quotidienne des personnes, à l'insu desquelles elles peuvent dès lors être collectées (empreintes digitales, notamment).

8. De plus, la tendance à recourir aux données biométriques dans les systèmes d'information à l'échelle de l'Union Européenne (VIS, SIS II, EURODAC, Passeports Européens etc.) s'accroît constamment, sans pour autant s'accompagner d'un examen attentif des risques encourus et des garanties requises. Le groupe de travail de l'article 29 a considéré que «[l]es données de ce type [biométriques] sont d'une nature particulière parce qu'elles ont trait aux caractéristiques comportementales et physiologiques d'une personne et qu'elles peuvent permettre de l'identifier sans ambiguïté» (3). Il convient donc que l'utilisation de données biométriques s'accompagne de l'adoption de garanties supplémentaires et de modalités de contrôle renforcées.

9. Le CEPD a déjà proposé, dans un avis précédent (4) que soit établie une liste d'exigences communes et fondamentales tenant compte du caractère sensible par définition des données biométriques. Cette liste devrait pouvoir s'appliquer à tout système utilisant la biométrie, quelle que soit sa nature.

10. Dans ce même avis, le CEPD a souligné l'importance accordée à la procédure d'enrôlement pour les systèmes biométriques. Dans le texte actuel de la proposition, l'origine des données biométriques et la manière dont elles seront recueillies ne sont pas décrites en détail. La procédure d'enrôlement est une étape essentielle et on ne peut se limiter à la définir par le biais d'annexes, car elle conditionne directement le résultat final de la procédure, à savoir le niveau du taux de faux rejets ou du taux de fausses acceptations qui pourrait en découler

11. À titre d'exemple, le CEPD recommande la mise en place de procédures de secours (d'ordre techniques et relatives au droit d'accès) facilement accessibles qui doivent être mises en œuvre lors de la procédure d'enrôlement, afin de respecter la dignité des personnes qui n'auraient pas pu fournir des empreintes acceptables pour ce système.

12. L'article 2 de la proposition de règlement précise que le support de stockage contient «les données personnelles inscrites sur le laissez-passer, une photo faciale digitalisée et des empreintes digitales enregistrées dans des formats interopérables». L'article 4 de la proposition précise quant à lui, que les éléments biométriques des LPC ne sont utilisés que pour «vérifier l'authenticité du document» et «l'identité du titulaire» grâce à des éléments comparables directement disponibles. A la lumière de ces deux articles, le CEPD désire apporter les commentaires suivants: — Le 28 février 2005, la Commission européenne a adopté la «décision établissant les spécifications techniques afférentes aux normes pour les dispositifs de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les états membres». Elle a également adopté le 28 Juin 2006, la décision établissant les spécifications techniques afférentes aux normes pour les dispositifs de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les états membres, décision qui établissait des spécifications techniques supplémentaires pour le stockage et la protection des empreintes digitales requises. Le CEPD recommande la mention dans le règlement de ces documents en ce qu'ils concernent les aspects techniques relatifs aux données biométriques, et tout spécialement les aspects relatifs à la forme des empreintes digitales et de l'image faciale. — Les LPC ayant vocation à être utilisés auprès des pays tiers, il conviendra de s'assurer que l'interopérabilité existe entre les systèmes Européens et ceux des pays tiers. Le CEPD a déjà abordé cette problématique dans son opinion sur le système VIS (5). Le CEPD tient à souligner une fois encore que l'interopérabilité des systèmes ne peut être instaurée en violation du principe de limitation des finalités du traitement des données, et que toute proposition dans ce domaine devrait lui être soumise. — Le texte de la proposition demeure vague quant à la possibilité de stocker les empreintes digitales dans une base de données institutionnelle devenant par là même un registre des LPC délivrés. Le groupe de travail de l'Article 29 souligne dans son avis 3/2005 (6) son opposition au «stockage des données biométriques et autres de tous les titulaires d'un passeport au sein de l'UE dans une base de données centralisée des passeports et documents de voyages européens». Le CEPD considère que la même situation prévaut dans le cas du LPC. L'utilisation du LPC a en effet pour but l'authentification des personnes lors de leur passage à la frontière, dans les pays tiers. Dès lors, la création et la mise en place d'une base de données centralisée contenant les données personnelles et en particulier les données biométriques de toutes les personnes autorisées à recevoir un LPC ne se voit pas justifiée, violerait le principe de base de proportionnalité et devrait dès lors être évitée. Cette question est à différencier du traitement opéré sur les formulaires de demandes de LPC qui sont gérés par le service en charge de la délivrance des LPC, question sur laquelle nous reviendrons ci-dessous.

13. Au niveau de la sécurité du LPC, la page de données personnelles lisibles à la machine est conforme au document 9303 de l'OACI 1ère partie (passeports lisibles à la machine), et son mode de délivrance est conforme aux spécifications applicables aux passeports lisibles à la machine qui y figurent, ainsi qu'aux normes minimales de sécurité prévues au règlement (CE) no 2252/2004.

2.3. Support technique

14. La proposition de règlement prévoit (en son article 2, paragraphe 2) que les LPC «comportent un support de stockage […]. le support de stockage est doté d'une capacité suffisante afin de garantir l'intégrité, l'authenticité et la confidentialité des données». Ce texte est en accord avec une résolution du Parlement européen du 2 décembre 2004 (7), position soutenue également par le groupe de travail de l'article 29 (8).

15. Afin de respecter les décisions applicables en matière de sécurité des documents de voyages au niveau Européen, il convient de rappeler qu'un contrôle d'accès basique est obligatoire pour toutes les données stockées dans la puce, ce qui signifie que tout lecteur devra également être équipé d'un scanner qui déduira des données inscrites dans le passeport, la clé requise pour ouvrir et lire la puce. De plus, un contrôle d'accès étendu est obligatoire pour les empreintes digitales. Ce système utilise un cryptage qui nécessite une gestion réfléchie des clés d'accès.

2.4. Finalité et proportionnalité

16. L'introduction d'éléments d'identification biométriques et les traitements de données à caractère personnel correspondants doivent respecter un certain nombre de principes ayant vocation à protéger les droits et libertés fondamentaux des personnes, et particulièrement leurs droits au regard du traitement de leurs données à caractère personnel. Le respect de ces principes est d'autant plus essentiel quant au traitement de données biométriques qui fournissent, par leur nature même, des informations sur une personne précise. D'autant plus que certaines d'entre elles peuvent laisser des traces dans la vie quotidienne des personnes, à l'insu desquelles elles peuvent dès lors être collectées (empreintes digitales, notamment).

17. Ainsi, le CEPD rappelle que, selon l'article 6 de la directive 95/46/CE, les données à caractère personnel doivent n'être collectées que pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités. De plus, ces données doivent être adéquates, pertinentes et non excessives au regard de la finalité pour laquelle elles sont collectées et pour laquelle elles sont traitées ultérieurement (principe de finalité).

18. Les principes de finalité (les données à caractère personnel devraient être collectées et traitées pour des finalités déterminées et explicites et leur utilisation ultérieure ne pourrait être autorisée que selon des conditions très strictes) et de proportionnalité (le traitement des données à caractère personnel n'est autorisé que dans la mesure où il est nécessaire et pour autant qu'aucun autre moyen portant moins atteinte à la vie privée n'ait la même efficacité) doivent être respectés dans le cadre du traitement de données biométriques. Comme déjà abordée ci-dessus, la mise en place d'une base de données centralisée contenant les données personnelles et en particulier les données biométriques de toutes les personnes autorisées à recevoir un LPC violerait le principe de proportionnalité.

2.5. Information et accès

19. La proposition de règlement contient la mention du droit à l'information (droit d'accès, de vérification, de rectification ou de suppression des données) des personnes auxquelles un laissez-passer est délivré. Cependant, le CEPD désire voir ajouter la référence à l'article 33 du règlement (CE) no 45/2001 au considérant 6 de la proposition sur le droit de recours du personnel des Communautés.

20. La désignation des autorités et des organismes habilités à consulter les données présentes sur le support de stockage des documents est régie par les dispositions applicables du droit communautaire, du droit de l'Union européenne ou des accords internationaux. Le CEPD recommande que l'on précise les autorités destinataires de ce règlement ainsi que les droits d'accès qui sont accordés. Il doit également être garanti que seules les autorités compétentes puissent avoir accès aux données stockées sur la puce, ceci dans un souci de sécurité du traitement.

21. En cas de contrôle du LPC dans un pays tiers, d'autres questions ne reçoivent pas de réponse à l'heure actuelle: à quelles données du support de stockage les pays tiers auront-ils accès? De plus, existe-t-il des mesures de protection afin de s'assurer que les pays tiers ne conservent pas les données auxquelles ils ont eu accès? A tout le moins, les questions relatives à l'accès à ces informations restent problématiques.

3. AUTRES OBSERVATIONS

3.1. La délivrance du LPC

22. La gestion de la délivrance des LPC, telle que prévue à l'article 3 de la proposition spécifie que les LPC sont délivrés par chaque institution, le cas échéant par le biais d'un organisme spécialisé. Toutefois, une ou plusieurs institutions peuvent confier à l'une d'entre elles le soin de délivrer leurs laissez-passer. Il est également envisagé que la Commission désigne — suite à un appel d'offre — un organisme ayant la responsabilité de l'impression des LPC vierges — et éventuellement de leur personnalisation par adjonction des données personnelles du titulaire. En raison de la nature particulière des traitements à effectuer et les nécessaires conditions de protection devant entourer ces traitements, les règles entourant le choix de l'organisme en charge du traitement devront tout spécialement tenir compte des principes du règlement (CE) no 45/2001 relatifs à la sécurité et à la confidentialité des données (articles 21, 22 et 23 du règlement).

23. Sans préjudice du contenu de l'avis de contrôle préalable du CEPD, qui résultera de la notification (9) par le délégué à la protection des données de l' (des) institution(s) compétente(s) pour le traitement futur des LPC, le CEPD désire formuler, à ce point, quelques idées générales en ce qui concerne ce traitement futur.

3.2. Le formulaire

24. La documentation soumise à consultation ne contient pas d'éléments en rapport avec le formulaire que les personnes intéressées par un LPC (ou autorisées à en avoir un) doivent remplir. Cependant, dans un cas traité précédemment par le CEPD, il a été analysé que les données personnelles traitées dans le cadre de la délivrance des anciens LPC ne sont pas des données relatives à la santé et que dans le cas où certaines données seraient liées à la santé (sous l'intitulé «caractéristiques particulières»), celles-ci n'étaient pas obligatoires. De plus, le consentement de la personne concernée, défini à l'article 2 (h) du règlement (CE) no 45/2001 s'applique. Pour cette raison et afin d'obtenir une image précise du contenu de la procédure envisagée, le CEPD recommande qu'une copie du formulaire LPC soit jointe au dossier dans le cadre de la procédure prévue à l'article 27 du règlement (CE) no 45/2001, ainsi que tout autre document facilitant l'analyse du cas.

3.3. Qualité des données

25. L'article 4(1)c du règlement (CE) no 45/2001 prévoit que «les données doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement». Les données traitées dans le cadre de la procédure sous analyse peuvent se caractériser par une amplitude importante (à tout le moins pour les données biométriques), ce qui fait qu'il est difficile d'établir a priori et sans connaissance du cas concret si elles sont «adéquates, pertinentes et non excessives». Par conséquent, il est important que les personnes qui traiteront les données dans le cadre des différentes procédures soient correctement informées de l'obligation de respecter le principe établi par l'article 4.1(c), et qu'elles traitent les données en tenant compte de celui-ci. Dans le cadre de la procédure prévue à l'article 27 du règlement (CE) no 45/2001, le CEPD veillera à recommander la rédaction de lignes de conduite afin d'informer correctement ces personnes de leurs obligations. Il veillera également à demander de prévoir des formations spécifiques sur les problématiques du traitement des données sensibles.

26. De plus, les données doivent être exactes, et si nécessaire, mises à jour (article 4(1)d). Il n'est pas possible, à la vue des éléments du dossier soumis, de vérifier si l'exactitude des données sera assurée. De même, il n'est pas possible de vérifier à l'heure actuelle que la procédure ou le système en lui-même garantira pleinement le respect de la qualité des données. Comme souligné dans le point précédent, seule une analyse dans le cadre de la procédure de l'article 27 permettra de vérifier la mise en place de mesures de protection suffisantes.

3.4. Conservation des données

27. Le texte prévoit une validité des nouveaux laissez-passer qui s'étendrait sur une période de 5 ans. Cependant, le texte ne prévoit pas la durée de conservation des données concernant chaque dossier et donc chaque demande. Le règlement (CE) no 45/2001 détermine que les données sont «conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement» (article 4.1.e). Comme souligné ci-dessus, la conservation des données biométriques dans une base de données doit être évitée. Le CEPD recommande donc de séparer le traitement des données biométriques du traitement des données fournies sur les formulaires de demande de LPC. Ceux-ci pouvant faire l'objet d'une conservation dans le cadre du traitement normal des demandes de LPC.

4. RECOMMANDATIONS

28. Le CEPD accueille positivement le fait d'être consulté sur le laissez-passer Communautaire, pour autant qu'il soit tenu compte des observations faites ci-dessous: — Le présent avis mentionné dans le préambule du règlement, avant les considérants («vu l'avis...») — Des procédures de secours facilement accessibles doivent être mises en œuvre lors de la procédure d'enrôlement des données biométriques. — Les décisions de la Commission du 28/II/2005 et 28/VI/2006 «établissant les spécifications techniques afférentes aux normes pour les dispositifs de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les États membres» doivent être mentionnées lorsqu'elle adresse les aspects techniques des LPC. — Les données biométriques ne doivent pas être stockées dans une base de données centralisée. — La teneur et le format des données biométriques envisagées et les garanties attachées à l'introduction des données biométriques dans le LPC doivent être décrites de façon plus concrète. — Il doit être tenu compte du fait que l'interopérabilité des systèmes ne peut être instaurée en violation du principe de limitation des finalités du traitement des données et que toute proposition dans ce domaine devrait être soumise au CEPD. — Les principes de finalité et de proportionnalité doivent faire l'objet d'une attention particulière dans le traitement de données biométriques. — Afin d'attirer l'attention des membres et agents des institutions, il convient d'ajouter la référence à l'article 33 du règlement (CE) no 45/2001 au considérant 6 de la proposition sur le droit de recours du personnel des Communautés. — Le CEPD désire que la proposition prévoit l'établissement d'une liste limitative des autorités compétentes qui auront accès aux données et la définition des droits d'accès qui leurs seront accordés. — Les critères de sélection de l'organisme visé à l'article 3 de la proposition doivent être définis soigneusement, en vertu de la nature particulière des données biométriques. — La procédure de délivrance des laissez-passer communautaires est soumise au contrôle préalable du Contrôleur Européen de la protection des données, en vertu de l'article 27, paragraphe 1 du règlement (CE) no 45/2001. — Le formulaire de demande de LPC devrait être fourni en vue d'une analyse des aspects relatifs à la protection des données, dans le cadre du contrôle préalable, ainsi que tout autre document de nature à faciliter l'analyse du cas. — Il convient de recommander la rédaction de lignes de conduite afin d'informer correctement les personnes en charge du traitement des données de leurs obligations. Des formations spécifiques sur les problématiques du traitement des données sensibles devraient aussi être envisagées. — Il conviendra de s'assurer que des procédures permettent le respect du principe de qualité des données.

Fait à Bruxelles, le 13 octobre 2006. Peter HUSTINX Contrôleur européen de la protection des données

(1) Avis du 23 mars 2005 sur la proposition de règlement du Parlement européen et du Conseil concernant le système d'information sur les visas (VIS) et l'échange de données entre les États Membres sur les visas de court séjour (COM(2004) 835 final) JO C 181.

(2) Avis du 19 octobre 2005 sur trois propositions concernant le système d'information Schengen de deuxième génération (SIS II) (COM (2005)230 final, COM (2005)236 final et COM (2005) 237 final), JO C 91.

(3) Document de travail sur la biométrie, (doc. MARKT/12168/02/FR — WP 80).

(4) Avis du 19 octobre 2005 sur trois propositions concernant le système d'information Schengen de deuxième génération (SIS II) (COM (2005)230 final, COM (2005)236 final et COM (2005) 237 final), JO C 91.

(5) Cfr supra page C 181/26.

(6) Avis 3/2005 sur l'application du règlement (CE) no 2252/2004 du Conseil du 13 décembre 2004 établissant des normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les États membres.

(7) Résolution législative du Parlement européen sur la proposition, présentée par la Commission, de règlement du Conseil établissant des normes pour les dispositifs de sécurité et les éléments biométriques intégrés dans les passeports des citoyens de l'UE (COM(2004)0116 — C5-0101/2004 — 2004/0039(CNS)),

http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=CELEX:52004AP0073(01):FR:HTML

(8) Lettre du 18 août 2004 adressée par le président du groupe de travail «article 29» au président du Parlement européen, au président de la commission LIBE, au secrétaire général du Conseil de l'Union européenne, au président de la Commission européenne, au directeur de la DG Entreprises et au directeur général de la DG Justice et affaires intérieures (non publiée).

(9) Sur la base de l'article 27, paragraphe 3 du règlement (CE) no 45/2001.