Délibération n° 2008-104 du 29 avril 2008 portant avis sur le projet d’arrêté modifiant l’arrêté du 21 mars 2006 portant création d’un système informatisé de fabrication et de gestion des titres de voyage (PHILEAS) et modifiant l’arrêté du 30 mars 2005 relatif au système informatique de traitement des données relatives aux Français établis hors de France
Nature: Avis

La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère des affaires étrangères et européennes d’un projet d’arrêté modifiant l’arrêté du 21 mars 2006 portant création d’un système informatisé de fabrication et de gestion des titres de voyage (PHILEAS) et modifiant l’arrêté du 30 mars 2005 relatif au système informatique de traitement des données relatives aux Français établis hors de France ; 
Vu la Convention n° 108 du 28 janvier 1981 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive n° 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le règlement (CE) n° 2252/2004 du Conseil du 13 décembre 2004 établissant des normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les Etats membres ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et notamment son article 26 ;
Vu le décret n° 98-1124 du 10 décembre 1998 modifié portant organisation de l’administration centrale des affaires étrangères ; 
Vu le décret n° 2003-1377 du 31 décembre 2003 relatif à l’inscription au registre des Français établis hors de France ;
Vu le décret n° 2004-1543 du 30 décembre 2004 modifié relatif aux attributions des chefs de poste consulaire en matière de titres de voyage ;
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2004-801 du 6 août 2004 ;
Vu le décret n° 2005-1726 du 30 décembre 2005 modifié relatif aux passeports électroniques ;
Vu l’arrêté du 25 juin 1945 modifié relatif au passeport diplomatique ;
Vu l’arrêté du 10 décembre 1998 modifié relatif à l’organisation de l’administration centrale du ministère des affaires étrangères ; 
Vu l’arrêté du 30 mars 2005 relatif au système informatique de traitement des données relatives aux Français établis hors de France ;
Vu l’arrêté du 21 mars 2006 portant création d’un système informatisé de fabrication et de gestion des titres de voyage (PHILEAS) et modifiant l’arrêté du 30 mars 2005 relatif au système informatique de traitement des données relatives aux Français établis hors de France ;
Vu la délibération n°2006-085 du 21 mars 2006 concernant un projet d’arrêté portant création d’un système informatisé de fabrication et de gestion des titres de voyage (PHILEAS) et modifiant l’arrêté du 30 mars 2005 relatif au système informatique de traitement des données relatives aux Français établis hors de France ;
Après avoir entendu Monsieur Georges de la Loyère, commissaire, en son rapport, et Mme Pascale Compagnie, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant  
La Commission est saisie par le ministère des affaires étrangères et européennes d’une demande d’avis conformément aux dispositions de l’article 26 de la loi du 6 janvier 1978 modifiée. Cette demande s’accompagne d’un projet d’arrêté modificatif qui a pour objet d’ajouter une finalité supplémentaire au traitement informatisé PHILEAS : la fabrication et la gestion des passeports diplomatiques.
Le traitement PHILEAS
Le traitement informatisé PHILEAS créé par l’arrêté du 21 mars 2006, a pour finalité principale l’établissement et la gestion des titres de voyage d’urgence établis en application du décret n° 2004-1543 du 30 décembre 2004 modifié. Ces titres prennent la forme, d’une part,  de passeports d’urgence, valables une année et qui peuvent être délivrés aux Français dans l’impossibilité de sortir du pays dans lequel il séjourne ou réside faute de titre de voyage, et d’autre part, de laissez-passer délivrés pour un seul voyage, généralement à destination de la France, valables trente jours à compter de la date de leur établissement, qui peuvent également être délivrés à des ressortissants étrangers.
Dans le but de faciliter la délivrance d’un passeport d’urgence à une personne déjà inscrite au registre des Français établis hors de France, par recherche et extraction des données à caractère personnel contenues dans ce registre, et d’y enregistrer automatiquement les références du passeport d’urgence délivré, le traitement PHILEAS fait l’objet d’une interconnexion avec le système informatisé des données relatives au registre des Français établis hors de France. 
Les passeports diplomatiques
En vertu de l’arrêté du 25 juin 1945, le ministère des affaires étrangères et européennes peut délivrer des passeports diplomatiques, dont les bénéficiaires sont majoritairement des agents titulaires du ministère ou des personnes de leur famille, des attachés spécialisés d’autres administrations affectés dans une ambassade, et des personnes chargées d’une mission gouvernementale particulière à l’étranger. En pratique, la durée de validité de ces passeports est de deux à cinq ans pour les agents du ministère et les attachés spécialisés, et de la durée de la mission, moins d’un an le plus souvent, pour les missionnaires spécifiques. Selon les estimations communiquées par le ministère, plus de la moitié des passeports diplomatiques délivrés ou renouvelés chaque année, soit environ quatre mille passeports, le sont pour une durée de validité supérieure à un an. 
A ce titre, la majorité des passeports diplomatiques entrent dans le champ d’application du règlement n° 2252/2004 du Conseil du 13 décembre 2004 concernant les passeports biométriques. Celui-ci fait obligation aux Etats membres de délivrer les documents de voyage dont la durée de validité est supérieure à un an sous la forme de documents sécurisés munis d’un composant électronique contenant la photographie numérisée de son titulaire depuis le 28 août 2006, ainsi que les empreintes digitales de ses deux doigts à compter du 28 juin 2009. 
Dans ce cadre, le ministère des affaires étrangères et européennes prévoit de délivrer des passeports diplomatiques biométriques dès la mise au point du système de production des passeports biométriques ordinaires d’une part, et de délivrer le plus rapidement des passeports diplomatiques d’urgence, valables moins d’un an et n’entrant donc pas dans le champ d’application du règlement européen, d’autre part, afin d’améliorer le degré de sécurité des passeports qu’il délivre, en particulier en y apposant une photographie numérisée imprimée et en les rendant lisibles à la machine.
C’est pourquoi le ministère soumet pour avis à la Commission un projet d’arrêté modifiant l’arrêté portant création du traitement PHILEAS, qui permet d’utiliser le système PHILEAS pour établir et gérer les passeports diplomatiques d’urgence.
Sur la modification du traitement
Dans ces conditions, la Commission considère comme légitime l’ajout au traitement PHILEAS d’une nouvelle finalité d’établissement et de gestion des passeports diplomatiques. L’ajout de cette finalité conduit naturellement à rendre destinataires des données à caractère personnel relatives aux titulaires de passeports diplomatiques, les fonctionnaires et agents du bureau des visas et passeports diplomatiques.
La Commission observe que le traitement contient une donnée à caractère personnel supplémentaire, la signature numérisée du titulaire, afin de l’imprimer sur le passeport. Elle prend acte qu’à sa demande, le ministère des affaires étrangères et européennes a fait figurer cette donnée à la liste des données à caractère personnel relatives au titulaire du passeport, à l’article 2, alinéa a) de l’arrêté du 21 mars 2006. 
La Commission constate que les mesures de sécurité prévues pour le traitement des données relatives aux passeports diplomatiques et à leur titulaire sont satisfaisantes au regard des dispositions de la loi informatique et libertés. La Commission prend acte qu’à sa demande, le ministère s’est engagé à modifier les modalités d’attribution et de gestion du mot de passe associé au contrôle d’accès à l’application, afin de prévoir une longueur minimale de six caractères alphanumériques, à renouveler selon une périodicité définie.
La Commission prend acte de l’engagement du ministère des affaires étrangères à ne recourir que de manière transitoire à l’utilisation de l’application PHILEAS pour la fabrication et la gestion des passeports diplomatiques d’urgence, dans l’attente de la mise en œuvre du système de production des passeports biométriques. 
La Commission rappelle que l’acte autorisant le traitement de données relatives aux futurs passeports diplomatiques biométriques devra lui être soumis pour avis, dans la mesure où sa mise en œuvre est envisagée en 2009. 
Enfin, la Commission prend acte de la volonté du ministère des affaires étrangères et européennes de maintenir après cette mise en œuvre les deux catégories de passeport diplomatique, les passeports diplomatiques biométriques d’une durée de validité supérieure à douze mois et les passeports diplomatiques d’urgence d’une durée de validité inférieure à douze mois. Elle considère dès lors que la demande d’avis relative aux passeports diplomatiques biométriques à venir, devrait préciser le régime juridique s’appliquant à l’ensemble des passeports diplomatiques.
Alex TURK