Délibération n° 2010-105 du 15 avril 2010 portant avis sur un projet de décret modifiant le décret n° 2007-1182 du 3 août 2007 portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la convention signée à Schengen le 19 juin 1990
Nature: Avis

(avis n° 1205636 v1)
La Commission nationale de l’informatique et des libertés,
Saisie pour avis par le ministère de l’immigration, de l’intégration, de l’identité nationale et du développement solidaire, d’une demande d’avis relative à un projet de décret modifiant le décret n° 2007-1182 du 3 août 2007 portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la convention signée à Schengen le 19 juin 1990 ; 
Vu le traité instituant la Communauté européenne, notamment son article 62 ; 
Vu la Convention du 19 juin 1990 d'application de l'accord signé à Schengen le 14 juin 1985 entre les gouvernements des Etats de l'Union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes dont la ratification a été autorisée par la loi n° 91-737 du 30 juillet 1991 ;
Vu la Convention n° 108 du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement de données à caractère personnel et la libre circulation de ces données ;
Vu le règlement (CE) n° 1030/2002 modifié du Conseil du 13 juin 2002 établissant un modèle uniforme de titre de séjour pour les ressortissants de pays tiers ; 
Vu le règlement (CE) n° 2252/2004 modifié du Conseil du 13 décembre 2004 établissant des normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les Etats membres ; 
Vu le règlement (CE) n° 562/2006 modifié du Parlement Européen et du Conseil du 15 mars 2006 établissant un code communautaire relatif au régime de franchissement des frontières par les personnes (code frontières Schengen) ;
Vu le code de l’entrée et du séjour des étrangers et du droit d’asile ; 
Vu le code des douanes, et notamment son article 67ter ; 
Vu la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés modifiée par la loi n° 2004-801 du 6 août 2004, et notamment ses articles 27 et 30 ; 
Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifié par le décret n°2007-401 du 25 mars 2007 ;
Vu le décret n° 2005-1726 du 30 décembre 2005 relatif aux passeports électroniques, modifié notamment par le décret n° 2008-426 du 30 avril 2008 ; 
Vu le décret n° 2007-1182 du 3 août 2007 portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la convention signée à Schengen le 19 juin 1990 ; 
Vu la délibération n° 2007-094 du 3 mai 2007 portant avis sur un projet de décret portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la Convention signée à Schengen le 19 juin 1990 ;
Après avoir entendu Monsieur Sébastien HUYGHE, commissaire, en son rapport et Madame Elisabeth ROLIN, commissaire du Gouvernement, en ses observations ;
Emet l’avis suivant
La Commission a été saisie, le 15 février 2010, par le ministère de l’immigration, de l’intégration, de l’identité nationale et du développement solidaire, d’une demande d’avis relative à un projet de décret modifiant le décret n° 2007-1182 du 3 août 2007 portant création d’un traitement automatisé de données à caractère personnel relatives à des passagers des aéroports français franchissant les frontières extérieures des Etats parties à la convention signée à Schengen le 19 juin 1990.
Le décret du 3 août 2007, pris après l’avis susvisé de la CNIL en date du 3 mai 2007, a autorisé la création du traitement dénommé PARAFES, dont la finalité est d’améliorer le contrôle de la police aux frontières sur les voyageurs aériens volontaires et de faciliter à ces derniers un passage rapide des frontières extérieures des Etats parties à la convention d’application de l’accord de Schengen. Ce traitement enregistre notamment les empreintes digitales de huit doigts des passagers aériens volontaires, afin de leur permettre d’emprunter un sas de passage rapide de la frontière. 
L’ouverture de celui-ci est commandée par l’apposition de la bande à lecture optique (dite MRZ) du passeport sur un lecteur, qui détermine si la personne est bien inscrite au programme. A l’intérieur du sas, celle-ci pose ses doigts sur un lecteur biométrique, et ces empreintes sont alors comparées à celles qui auront été préalablement enregistrées, lors de son inscription, dans la base de données centrale. L’authentification du voyageur permet alors l’ouverture de la seconde porte du sas et donc le passage de la frontière. Simultanément, l’identité du voyageur peut faire l’objet d’une interrogation du fichier des personnes recherchées (FPR) et du système d’information Schengen (SIS), de manière à ce que les modalités réglementaires des contrôles aux frontières soient respectées.
Dans ce cadre, le projet de décret modificatif soumis à la Commission vise notamment à étendre ce dispositif, réservé jusqu’à présent aux aéroports de la métropole, aux frontières maritimes et ferroviaires et aux départements d’outre-mer. Ces derniers ne faisant pas partie de « l’espace Schengen », le traitement modifié ne sera plus centré sur le franchissement des frontières extérieures de l’espace Schengen, et c’est pourquoi le projet de décret modificatif prévoit de remplacer l’acronyme « PARAFES » (passage rapide de la frontière extérieure de l’espace Schengen) par « PARAFE » (passage rapide de la frontière extérieure). Ce décret vise en outre à permettre l’accès des agents des services des douanes aux données enregistrées dans le traitement, et à permettre le franchissement des sas de passage, sans inscription préalable, aux titulaires de passeport biométrique.  
Dans la mesure où le traitement PARAFE fait appel à un dispositif biométrique, la Commission considère que ces modifications relèvent plus particulièrement des dispositions des articles 27 et 30 (II) de la loi du 6 janvier 1978 modifiée.
A titre liminaire, la Commission observe que le traitement PARAFES, créé en août 2007 à l’issue de deux ans d’expérimentation, n’a été mis en œuvre qu’à la fin de l’année 2009. Elle rappelle à cet égard que dans son avis du 3 mai 2007, elle avait regretté de ne pas avoir à sa disposition les éléments d’information lui permettant d’émettre un avis pleinement motivé sur le dispositif qui lui était soumis. C’est pourquoi la Commission souligne la nécessité, tant pour le bon exercice de ses missions que pour permettre la mise en œuvre effective des traitements projetés par l’administration, d’évaluer rigoureusement les expérimentations conduites avant de généraliser la mise en œuvre d’un traitement.
Sur l’extension du dispositif aux frontières maritimes et ferroviaires, et aux départements d’outre-mer
La Commission observe que l’extension du dispositif à l’ensemble des points de passage frontalier s’inscrit dans le cadre plus général de l’automatisation des contrôles effectués aux frontières extérieures de l’Union européenne (UE), qui constitue un des objectifs prioritaires de l’UE en matière de sécurité. Elle relève que la France joue un rôle moteur dans ce processus d’automatisation des contrôles aux frontières, avec la mise en œuvre du traitement PARAFE notamment, mais également avec celle du traitement VISABIO ou par l’expérimentation menée à La Réunion dans le cadre du traitement GIDESE.
Dès lors, la Commission considère que le dispositif PARAFE a pour finalité principale l’amélioration des contrôles aux frontières extérieures. Elle prend donc acte de ce que le ministère chargé de l’immigration prévoit de modifier l’article 1er du décret n° 2007-1182, afin de mentionner que ce traitement est destiné « à améliorer et faciliter les contrôles de police aux frontières extérieures ». La Commission prend également acte de ce que le ministère chargé de l’immigration est mentionné comme autorité chargée de sa mise en œuvre, au côté du ministère de l’intérieur. 
Elle relève en outre que le ministère chargé de l’immigration a prévu d’élargir les conditions d’adhésion au programme PARAFE. Ainsi, la Commission prend acte de ce que les conjoints de Français, ressortissants de pays tiers, pourront bénéficier du dispositif, tout comme les ressortissants de pays tiers membres de la famille d’un citoyen de l’UE. Elle observe que cet élargissement nécessite de modifier également la liste des titres et documents d’identité dont doivent disposer les personnes souhaitant s’inscrire au programme, dans la mesure où ces ressortissants peuvent ne pas disposer d’un passeport doté d’une bande de lecture optique. 
La liste de ces documents sera ainsi fixée par un arrêté conjoint des ministères de l’immigration et de l’intérieur, qui précisera que les ressortissants de pays tiers devront disposer d’un des titres de séjour suivants : la carte de séjour de membre de famille d’un citoyen de l’UE (article L. 121-3 du CESEDA), la carte de séjour portant la mention « vie privée et familiale » (article L.313-11, 4°) ou la carte de résident (article L.314-9). Ainsi, seuls les conjoints ressortissants de pays tiers en séjour régulier sur le territoire national pourront s’inscrire au programme PARAFE.
En ce qui concerne l’extension aux frontières extérieures maritimes et ferroviaires, il apparaît que les modifications projetées visent à anticiper la mise en œuvre généralisée du dispositif à l’ensemble de ces points de passage frontalier, sans que le calendrier de ces nouveaux déploiements soit précisément fixé, ni que ceux-ci soient mis en œuvre rapidement. Il s’agit ainsi d’éviter, pour les ministères concernés, de nouvelles modifications du décret du 3 août 2007 en fonction de l’avancement de ces nouveaux déploiements.  
Dans la mesure où la mise en œuvre de ces extensions ne modifiera pas les caractéristiques du traitement, et où la finalité d’amélioration et de facilitation des contrôles aux frontières est légitime, la Commission prend acte de ces modifications, qui apparaissent de nature à harmoniser les modalités de contrôle des voyageurs à l’ensemble des points de passage frontalier.
Cependant, elle demande à être informée régulièrement de l’état de déploiement du dispositif sur le territoire national, afin de connaître précisément les modalités effectives de mise en œuvre du traitement PARAFE.
En ce qui concerne l’extension du dispositif aux départements d’outre-mer (DOM), la Commission estime que les articles L. 211-1 et R. 121-1 du code de l’entrée et du séjour des étrangers (CESEDA), qui fixent les conditions de contrôle de l’entrée en France, et les dispositions de l’article 27 de la loi du 6 janvier 1978 modifiée, constituent le fondement juridique adéquat aux modifications apportées au traitement.
Elle rappelle en outre que, dans la mesure où ces départements ne font pas partie de l’espace Schengen et où le système d’information Schengen (SIS) relève exclusivement de la réglementation européenne, le contrôle des frontières d’outre-mer ne permet pas la consultation de ce système. Dès lors, la Commission prend acte de ce que le ministère de l’immigration prévoit la modification de l’article 4 du décret n° 2007-1182, afin que l’interconnexion du traitement PARAFE avec les fichiers de recherche ne concerne que le fichier des personnes recherchées (FPR) dans les DOM. 
A cet égard, elle rappelle que l’article 7 du règlement (CE) n° 562/2006 susvisé dispose que les vérifications effectuées aux frontières extérieures sur des personnes jouissant du droit communautaire à la libre circulation peuvent occasionner la consultation, « d’une manière non systématique », des bases de données nationales et européennes. Dans la mesure où toutes les personnes pouvant s’inscrire au programme PARAFE jouissent de ce droit, qui concerne non seulement les citoyens de l’Union, mais également les ressortissants de pays tiers titulaires d’un titre de séjour valide, la Commission estime que la consultation du FPR et du SIS au passage de ces personnes doit être aléatoire.
Sur l’accès des services des douanes au traitement PARAFE
Dans la mesure où certains points de passage frontalier sont contrôlés par les agents des douanes, qui disposent dans le cadre de cette mission de contrôle aux frontières des mêmes attributions que les agents de la police aux frontières, la Commission prend acte de cette nouvelle possibilité d’accès aux données enregistrées dans le traitement PARAFE. 
La Commission prend également acte de ce que le projet de décret qui lui est soumis prévoit explicitement une procédure de désignation individuelle et d’habilitation spéciale des agents des douanes pouvant accéder aux données du traitement, par leur chef de service. Dès lors, seuls les agents des douanes habilités à procéder à des contrôles des personnes aux frontières extérieures auront accès au traitement PARAFE. 
Cependant, la Commission souligne qu’aucune précision sur les modalités techniques d’accès de ces services au traitement ne lui a été fournie par le ministère chargé de l’immigration, et demande donc à être rendue destinataire de ces mesures techniques lorsqu’elles auront été arrêtées.
Enfin, s’agissant de l’accès des services des douanes aux informations résultant de l’interconnexion du traitement avec le FPR et le SIS, la Commission rappelle que l’article 67ter du code des douanes dispose expressément que ces agents « sont destinataires des informations enregistrées dans le système d'information Schengen, le fichier des personnes recherchées et le fichier des véhicules volés ». Cet accès n’appelle donc pas d’observation particulière de sa part. 
Sur l’utilisation du passeport biométrique
Le ministère chargé de l’immigration prévoit de permettre aux titulaires de passeport biométrique d’emprunter les sas de passage des frontières PARAFE sans inscription préalable. L’authentification biométrique de ces personnes dans le sas aura lieu par comparaison entre l’empreinte digitale apposée sur le lecteur et une empreinte digitale contenue dans la puce sans contact intégrée dans le passeport. Les empreintes digitales de ces personnes ne seront pas conservées dans le traitement, mais les autres modalités de fonctionnement du dispositif seront inchangées.
La Commission prend acte de la mise en œuvre de cette nouvelle fonctionnalité, qu’elle considère comme plus protectrice des données à caractère personnel des personnes concernées. Elle rappelle à cet égard qu’elle avait considéré dans son avis du 3 mai 2007 que le dispositif PARAFES constituait le cadre adapté pour mettre en place des techniques de reconnaissance de l’identité des individus plus protectrices que l’établissement d’une base de données centralisée des empreintes digitales. La Commission rappelle en outre qu’elle considère comme légitime le recours, pour s’assurer de l’identité d’une personne, à des dispositifs de reconnaissance biométrique dès lors que les données biométriques sont conservées sur un support dont la personne a l’usage exclusif, comme par exemple le passeport biométrique.
Elle appelle donc l’attention du Gouvernement sur l’opportunité, à terme, de maintenir la base centrale d’empreintes digitales dès lors qu’il serait envisagé de généraliser l’utilisation des passeports biométriques dans le cadre du dispositif PARAFE. La Commission rappelle à cet égard que le traitement, sous une forme automatisée et centralisée, de données telles que les empreintes digitales apparaît beaucoup plus problématique du point de vue de la protection des données à caractère personnel, compte tenu à la fois des caractéristiques de l’élément d’identification physique retenu, des usages possibles de ces traitements et des risques d’atteintes graves à la vie privée et aux libertés individuelles en résultant. 
C’est pourquoi la Commission demande à ce que l’ensemble du système fasse l’objet d’une réévaluation, par exemple dans cinq ans, afin de vérifier que la base centrale des empreintes digitales s’avère toujours nécessaire aux fins d’authentification biométrique. Elle demande donc à ce que cette évaluation soit explicitement mentionnée dans le projet de décret.
Enfin, s’agissant du nombre d’éléments biométriques enregistrés dans le traitement, la Commission rappelle qu’elle avait considéré, dans son avis du 3 mai 2007, que la conservation des minuties des empreintes digitales de huit doigts était disproportionnée au regard de la finalité d’authentification des voyageurs inscrits. Elle rappelle en effet que l’enregistrement de deux doigts est suffisant au regard de cette finalité de contrôle d’accès, comme le montre précisément la nouvelle utilisation du passeport biométrique.
Sur les droits des personnes
La Commission appelle l’attention du ministère de l’immigration sur la nécessité de fournir une information claire et précise aux voyageurs disposant d’un passeport biométrique, notamment sur le choix qui leur est proposé entre le passage par les aubettes classiques et le passage dans les sas PARAFE, ainsi que sur les modalités de traitement de leurs données s’ils choisissent ce dernier. Elle demande donc à être rendue destinataire des modalités précises d’information de ces personnes. 
Enfin, elle considère que la notice d’information remise aux voyageurs inscrits au programme doit également être modifiée afin de se conformer aux dispositions de l’article 32 de la loi du 6 janvier 1978 modifiée, en mentionnant notamment la finalité pour laquelle les données personnelles des voyageurs sont recueillies ainsi que les destinataires des données enregistrées dans le traitement PARAFE.
Le Président
Alex TURK