Délibération n° 2018-162 du 17 mai 2018 portant avis sur un projet de décret autorisant un traitement automatisé de données à caractère personnel dénommé « Gestion de l'éloignement » (GESTEL)
Nature: Avis

La Commission nationale de l'informatique et des libertés,
Saisie par le ministre de l’intérieur d’une demande d’avis concernant un projet de décret autorisant un traitement automatisé de données à caractère personnel dénommé Gestion de l’éloignement (GESTEL) ;
Vu la convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu la directive 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes des personnes physiques à l’égard du traitement de données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données et abrogeant la décision cadre 2008/977/JAI du Conseil ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L. 611-3 et L. 611-5 ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, notamment son article 26 ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
Vu la circulaire NORIOCK1100744C du 11 janvier 2011 relative à l’amélioration du suivi des étrangers incarcérés faisant l’objet d’une mesure d’éloignement ;
Sur la proposition de M. Jean-François CARREZ, commissaire, et après avoir entendu les observations de Mme Nacima BELKACEM, commissaire du Gouvernement,
Émet l’avis suivant :
La Commission a été saisie d’un projet de décret en Conseil d’Etat portant autorisation d’un traitement automatisé de données à caractère personnel dénommé Gestion de l’éloignement (GESTEL). Ce traitement, qui doit permettre la gestion de la mise en œuvre concrète des mesures d’éloignement, contient la photographie des ressortissants étrangers faisant l’objet d’une mesure d’éloignement du territoire français.
L’article L. 611-3 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) prévoit en effet que peut être enregistrée la photographie desdits ressortissants étrangers. L’article L. 611-5 du même code précise qu’un décret en Conseil d'Etat, pris après avis de la Commission, fixe les modalités d'application de l’article L. 611-3 précité et précise la durée de conservation et les conditions de mise à jour des informations enregistrées, les modalités d'habilitation des personnes pouvant y accéder ainsi que, le cas échéant, les conditions dans lesquelles les personnes intéressées peuvent exercer leur droit d'accès.
Le présent projet de décret, pour lequel le ministère entend faire application des dispositions précitées, a ainsi pour objet de fixer les modalités d’application de l’article L. 611-3 du CESEDA en créant le traitement GESTEL. Dès lors que ce traitement intéresse la sécurité publique et a pour objet l’exécution d’une mesure de sûreté, il y a lieu de faire application des dispositions de l’article 26-I de la loi du 6 janvier 1978 modifiée.
Sur les finalités assignées au traitement
L’article 1er du projet de décret assigne au traitement trois finalités.
En premier lieu, GESTEL doit permettre d’assurer la gestion de la mise en œuvre opérationnelle, matérielle et logistique des mesures d’éloignement, au sein de la direction centrale de la police aux frontières  (DCPAF).
Les mesures d’éloignement (expulsion, obligation de quitter le territoire Français, signalement aux fins de non admission, arrêté de reconduite à la frontière, interdiction judiciaire ou administrative du territoire, etc.) peuvent être des mesures administratives, judiciaires ou décidées dans le cadre de l’Union européenne. Parmi ces mesures, plusieurs impliquent un départ forcé de l’étranger ou s'accompagnent de mesures privatives de liberté telles que l'assignation à résidence ou le placement dans un centre de rétention administrative (CRA).
Le ministère a précisé que GESTEL a vocation à être utilisé lors de la phase d’exécution d’une mesure d’éloignement. Il doit par exemple permettre la l’organisation du transport, le cas échéant, les réservations hôtelières, la mise en place d’une escorte.
La Commission relève que cette première finalité assignée au traitement GESTEL est proche de celle poursuivie par le traitement AGDREF 2 qui, afin de garantir le droit au séjour des ressortissants étrangers en situation régulière et de lutter contre l'entrée et le séjour irréguliers en France des ressortissants étrangers, vise notamment, en application de l’article R. 611-1 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA), à permettre la gestion des différentes étapes de la procédure applicable aux mesures d'éloignement .
Elle prend néanmoins acte que le traitement AGDREF 2 a pour objet la gestion administrative globale de l’ensemble des ressortissants étrangers, et non pas uniquement de ceux qui sont en situation irrégulière, tandis que le traitement GESTEL n’a qu’une vocation opérationnelle, centrée sur la gestion logistique, par la DCPAF, des mesures d’éloignement.
A cet égard, la Commission constate que, bien que les finalités de ces deux traitements soient distinctes, de nombreuses données enregistrées dans GESTEL sont également traitées dans AGDREF 2. Certaines des données mentionnées à l’annexe 6-4-C du CESEDA, telles que, par exemple, celles relatives aux escortes des transferts, à la réservation du moyen de transport sollicité ou à l’accompagnement de la famille, n’ont en outre une utilité qu’en matière de gestion opérationnelle, matérielle et logistique des mesures d’éloignement. Elle estime dès lors que l’absence de finalité de gestion de la phase d’exécution concrète des mesures d’éloignement de AGDREF 2 et la création du traitement GESTEL, qui vise précisément une telle gestion, impliquent que de telles données soient retirées du traitement AGDREF 2 et que l’annexe précitée du CESEDA soit modifiée en ce sens.
En deuxième lieu, GESTEL doit permettre d’améliorer l’exécution des mesures d’éloignement en fournissant un outil de dématérialisation du dossier d’éloignement et des échanges d’informations nécessaires à l’exécution de la mesure.
En troisième lieu, aux termes de l’article 1er du projet de décret, GESTEL a pour objet de fiabiliser le suivi des procédures d’éloignement et d’en faciliter le contrôle. Le ministère a précisé que le traitement doit en effet permettre de suivre toutes les étapes de la procédure d’éloignement, de la saisine de la préfecture jusqu’à l’embarquement de la personne ou sa libération.
Permettant aux personnels en charge de la mise en œuvre de l’éloignement de connaître en temps réel les informations à jour relatives à une personne et à son transfert vers un autre pays, GESTEL doit rendre plus efficace et plus fiable l’exécution des procédures d’éloignement.
En outre, GESTEL doit permettre, d’une part, un meilleur contrôle, par la direction générale des étrangers en France (DGEF), de la conformité des factures des prestataires voyagistes mandatés et, d’autre part, de répondre aux éventuels audits menés par la Commission européenne, dans le cadre du programme de subventions fonds asile, migration et intégration (FAMI).
Enfin, interrogé sur une éventuelle finalité statistique du traitement, le ministère a indiqué que GESTEL sera utilisé uniquement afin de produire des statistiques concernant l’activité du service (nombre de saisines par préfecture, nombre d’annulations, nombre d’individus ayant embarqué, nombre de programmations avec escorte), les statistiques relatives aux mesures d’éloignement étant produites par les préfectures. La Commission prend acte de l’engagement du ministère de mentionner cette finalité dans le projet de décret.
Au regard de ces éléments, la Commission estime que les finalités poursuivies par le traitement GESTEL sont déterminées, explicites et légitimes, conformément à l’article 6-2° de la loi du 6 janvier 1978 modifiée.
Sur les données 
Une annexe au projet de décret énumère les données personnelles enregistrées dans GESTEL et qui sont relatives au service à l’origine de la demande d’éloignement, à l’identité du ressortissant étranger faisant l’objet d’une mesure d’éloignement et à celle, le cas échéant, des enfants mineurs l’accompagnant, à sa situation administrative, à l’organisation matérielle de l’éloignement (destination, vecteur de transport, date, nom du transporteur, escorte, informations relatives à l’hôtel, etc.). Le traitement permet également d’enregistrer un certain nombre de documents numérisés tels que, par exemple, les documents d’identité, des certificats médicaux, la fiche pénale, et l’ensemble des documents échangés avec le voyagiste.
Seules certaines de ces catégories de données appellent des observations particulières.
Concernant les données relatives aux ressortissants étrangers faisant l’objet d’une mesure d’éloignement, l’annexe prévoit que la photographie peut être enregistrée dans GESTEL. La Commission prend acte de l’engagement du ministère de ne pas mettre en œuvre de dispositif de reconnaissance faciale à partir de celle-ci. Elle estime que le projet de décret devrait être complété en ce sens afin de faire apparaître expressément cette garantie.
Le numéro AGDREF 2 des mêmes personnes est enregistré dans le traitement. Le ministère a précisé que le traitement de ce numéro national d’identification unique assigné à chaque ressortissant étranger figurant dans le traitement éponyme est indispensable pour permettre de fiabiliser l’exécution des mesures d’éloignement. En effet, une telle donnée doit permettre de lutter contre les homonymies et les alias et améliorer ainsi l’identification de la personne concernée. Compte tenu des finalités du traitement, la Commission considère que l’identification fiable des personnes concernées par une mesure d’éloignement est nécessaire, de sorte que l’enregistrement de cette donnée est justifié.
Au titre des documents numérisés, sont enregistrés les certificats médicaux de compatibilité de l’état de santé avec l’éloignement. La Commission constate qu’il ne s’agit pas de données sensibles, au sens de l’article 8 de la loi du 6 janvier 1978 modifiée, dès lors que ces certificats ne contiennent que des mentions générales relatives à la comptabilité ou non de l’état de santé du ressortissant étranger avec la mesure prononcée à son encontre sont enregistrées sans référence à la nature de sa pathologie ou de son handicap.
S’agissant de la fiche pénale, le ministère a précisé qu’elle est destinée à améliorer le suivi des étrangers incarcérés faisant l’objet d’une mesure d’éloignement, en application de la circulaire du 11 janvier 2011 susvisée. Ce document qui précise la situation pénale des ressortissants étrangers incarcérés et faisant l’objet d’une mesure d’expulsion est enregistré dans GESTEL par la préfecture gestionnaire du dossier. Dans la mesure où certaines peines sont assorties d’une peine complémentaire d’interdiction du territoire ou entraînent de plein droit la reconduite à la frontière de la personne condamnée à la frontière, la Commission considère que l’enregistrement de cette fiche pénale dans le traitement GESTEL est justifié dès lors qu’elle contribue à une meilleure gestion de l’exécution des mesures d’éloignement relatives à des personnes incarcérées.
Par ailleurs, le ministère a indiqué qu’une partie des données enregistrées dans GESTEL est issue du traitement LOGICRA grâce à une transmission automatisée. Un transfert de données est ainsi réalisé sans sortir du centre de données qui héberge les deux applications, celles-ci partageant la même instance de base de données. A cet égard, la Commission recommande au ministère de veiller aux règles et aux mesures de cloisonnement logique entre les deux traitements.
Au regard de ces éléments, la Commission estime que les données et informations définies en annexe du projet d’arrêté sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, conformément à l’article 6-5° de la loi Informatique et Libertés .
Sur les durées de conservation 
L’article 4 du projet de décret prévoit que les données et informations enregistrées dans GESTEL sont conservées huit ans à compter de leur enregistrement.
Selon le ministère, cette durée est nécessaire à des fins de justification comptable, dans le cadre d’éventuels audits de la Commission européenne sur les dépenses de fonds alloués notamment pour aider à la mise en œuvre de mesures d’éloignement. L’article 9 du règlement d’exécution 2015/840 de la Commission européenne du 29 mai 2015 relatif aux contrôles pouvant être effectués dans le cadre du programme de subventions FAMI prévoit en effet que les pièces justificatives concernant les dépenses sont conservées pendant au moins les quatre années suivant l’exercice au cours duquel le paiement final a été déclaré. Le ministère a en outre précisé que le paiement d’aides financières s’opère en plusieurs étapes, selon un plan pluriannuel.
Si, au regard de ces éléments, la Commission ne remet pas en cause la nécessité de conserver les données et informations enregistrées dans GESTEL plusieurs années à des fins de vérification comptable, elle estime que de telles finalités ne justifient pas une conservation de huit ans, en base active, des données enregistrées dans le traitement. Les modalités de conservation doivent en effet être adaptées à une telle finalité. A cet égard, la Commission estime que les données et informations devraient être versées dans une base d’archives intermédiaires distincte, à laquelle seul un nombre restreint de personnes spécifiquement habilitées doit accéder, à compter de l’éloignement effectif de la personne concernée.
En outre, à la demande de la Commission, le ministère a précisé, dans le projet de décret, qu’en cas d’annulation, d’abrogation ou de retrait de la décision d’éloignement, les données sont effacées du traitement par la DCPAF dès qu’elle en a connaissance. A cet égard, la Commission relève que, en application de la circulaire du 11 janvier 2011 susvisée, des protocoles de collaboration entre les différents services compétents en matière d’éloignement (police, gendarmerie, préfectures) et les établissements pénitentiaires incarcérant des personnes devant faire l’objet de telles mesures doivent être mis en place notamment pour permettre des échanges d’information plus efficaces et un meilleur taux d’exécution des mesures d’éloignement. Dès lors, elle estime que de tels protocoles devraient en outre permettre d’assurer une transmission des informations relatives aux annulation, abrogation ou retrait de la décision d’éloignement la plus rapide possible.
Enfin, le projet de décret prévoit que les journaux des accès à l’application et de toutes les opérations effectuées sont conservées cinq ans à compter de leur enregistrement. La Commission rappelle que la durée de conservation des journaux doit être adaptée au type de risques encourus et aux catégories de personnes concernées par cette collecte. A cet égard, dans la mesure où cette conservation des traces, qui a pour objet le contrôle de l'activité de personnels accédant à GESTEL, constitue une mesure de protection des personnes concernées contre les usages frauduleux du traitement, elle considère que la durée de conservation ainsi prévue n’est pas excessive au regard de la finalité poursuivie. Elle recommande néanmoins de réaliser un contrôle régulier, voire automatique, des traces afin de détecter les comportements anormaux et lever des alertes.
Sur les destinataires
L’article 3 du projet de décret prévoit qu’accèdent directement à l’application GESTEL les agents, désignés et habilités, de la direction centrale de la police aux frontières (DCPAF), des préfectures et de la préfecture de police.
Au sein de la sous-direction de l'immigration irrégulière et des services territoriaux de la DCPAF, sont ainsi concernés les agents du pôle central d’éloignement (PCE), chargé de mettre en œuvre l'éloignement effectif des étrangers en situation irrégulière ainsi que les agents des pôles interservices d’éloignement (PIE), cellules d’appui aux préfectures ayant pour missions de coordonner le suivi des dossiers individuels et notamment des procédures d’éloignement et de représenter l'État devant les juridictions judiciaires et administratives.
S’agissant des agents des préfectures et de la préfecture de police, le ministère a précisé qu’ils étaient habilités par le directeur central de la PAF et que leur accès était limité à la transmission des saisines, la réception des plans de voyage et à la consultation des dossiers dont ils ont la charge, ce dont la Commission prend acte.
L’ensemble de ces personnels étant ceux en charge de de l’exécution des mesures d’éloignement, la Commission estime que leur accès direct au traitement GESTEL est justifié au regard des finalités de celui-ci.
Accèdent par ailleurs au traitement, à des fins d’administration, d’habilitation et de gestion des profils, les agents de la section informatique de la division des budgets et des moyens de la DCPAF, ce qui n’appelle pas d’observation particulière de la Commission.
Dans la mesure où la mise en œuvre d’une mesure d’éloignement requiert une organisation logistique impliquant de nombreux acteurs ainsi qu’un suivi et un contrôle de ces mesures, le projet de décret prévoit de nombreux destinataires (direction générale de la police nationale (DGPN), direction générale des étrangers en France (DGEF), direction générale de la gendarmerie nationale (DGGN), direction générale des douanes et des droits indirects (DGDDI), les prestataires voyagistes agréés par le ministère, les ports et aéroports, les autorités du pays de transit ou de destination etc.). La Commission estime que les transmissions d’informations à ces destinataires est justifié au regard des finalités de GESTEL. Elle rappelle toutefois que ces personnes ne doivent pas accéder librement aux données et informations des personnes concernées au-delà de la durée nécessaire à l’exercice de leurs missions.
Sur les droits des personnes
Le ministère a initialement indiqué souhaiter faire application des dispositions de l’article 32-V de la loi du 6 janvier 1978 modifiée, qui permettent d’écarter le droit d’information des personnes concernées. Interrogé par la Commission sur les raisons qui justifieraient une telle dérogation, le ministère a indiqué qu’il procéderait à une information, par voie d’affichage, dans les centres de rétention administrative (CRA), ce dont la Commission prend acte.
Elle rappelle toutefois que le responsable de traitement doit procéder, par tout moyen dont il dispose, à l’information des personnes concernées. Tous les ressortissants étrangers concernés par une mesure d’éloignement n’étant pas placés dans un CRA, la seule information qui y est portée, par voie d’affichage, ne peut suffire au respect des dispositions de l’article 32 précité. Le ministère a précisé que la remise de courriers de notification pourrait être envisagée bien que sa remise effective ne puisse être garantie. La Commission recommande qu’il soit procédé à une telle remise de courrier, chaque fois que cela est possible.
Elle rappelle en outre la nécessité d’informer les personnes concernées de manière compréhensible, en des termes clairs et simples, et aisément accessible. A cet égard, la Commission relève qu’il pourrait être procédé, comme cela est déjà prévu pour d’autres traitements automatisés mis en œuvre par le ministère et concernant des ressortissants étrangers, une information dans différentes langues.
En application des articles 39, 40 et du dernier alinéa de l’article 41 de la loi du 6 janvier 1978 modifiée, il est prévu que les droits d’accès et de rectification s’exercent de manière directe auprès de la direction générale de la police nationale. Il est également prévu que le droit d’opposition ne s’applique pas au traitement projeté, ce qui n’appelle pas d’observation particulière de la part de la Commission.
Sur l’architecture, les mesures de sécurité et de traçabilité
Le traitement GESTEL est une application accessible, à travers un navigateur, uniquement sur l’Intranet du ministère de l’intérieur, sur un réseau isolé et compartimenté. Il est hébergé par le ministère dans des locaux sécurisés de la PAF sous contrôle d’accès restreint par le poste de police. Si la Commission relève que les sauvegardes, quotidiennes, sont conservées dans ces locaux sécurisés et réparties sur trois sites ; elle recommande néanmoins de les chiffrer.
Des profils d’habilitation définissent les fonctions ou les types d’informations accessibles à un utilisateur. Les agents sont spécialement habilités à accéder au traitement et leurs droits d’accès sont attribués après validation hiérarchique. Les droits sont gérés par l’administrateur de la DCPAF et supprimés manuellement, en cas de départ de l’utilisateur ou automatiquement après quatre-vingt-dix jours d’inactivité d’un compte utilisateur. La Commission rappelle que les droits d’accès doivent néanmoins être paramétrés pour une durée déterminée et qu’une revue globale des habilitations doit être opérée régulièrement.
Le contrôle d’accès à l’application se fait par un couple identifiant et mot de passe de six caractères, défini par l’utilisateur lors de la première connexion et stocké sous forme chiffrée. La Commission relève que ceux-ci ne sont donc pas conformes à l'état de l'art, tel que précisé dans ses recommandations en la matière. Elle prend toutefois acte de l’engagement du ministère de modifier sa politique de mot de passe afin que ceux-ci fassent une longueur minimale de douze caractères et soient composés de lettres majuscules, minuscules, chiffres et symboles. Elle recommande en outre qu’ils soient stockés sous forme hachée avec un algorithme irréversible réputé fort intégrant l’utilisation d’un sel ou d’une clé secrète.
La Commission relève qu’un logiciel d’analyse de données permet d’effectuer des statistiques à partir des données pseudonymisées. A cet égard, elle rappelle que l’outil de requête doit réduire le risque de ré-identification des personnes en limitant les interrogations ciblées et le niveau de détail des rapports.
Concernant les photographies, la Commission rappelle que des mesures de sécurité renforcées, telles que, par exemple, la limitation de la qualité de l’image numérisée, l’intégration d’un filigrane comportant la date de collecte et l’identité du responsable de traitement ou le recours à des mécanismes de chiffrement conformes au référentiel général de sécurité (RGS), doivent être mises en œuvre afin de se prémunir contre les risques de mésusage de ces données et, notamment, d’utilisation des photographies à des fins de reconnaissance faciale.
Sous réserve de ces précédentes observations, la Commission estime que les mesures de sécurité décrites sont conformes à l’exigence de sécurité prévue par l’article 34 de la loi du 6 janvier 1978 modifiée. Elle rappelle néanmoins que cette obligation nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.
Pour La Présidente,
Le Vice-Président délégué
Marie-France MAZARS