Version classiqueVersion mobile
OpenEdition Books

L’identification biométrique

 | 
Ayse Ceyhan
, 
Pierre Piazza

V. Biométrie, protection des données personnelles et vie privée

Chapitre 16

L’encadrement juridique des bases de données biométriques européennes

Sylvia Preuss-Laussinotte

Texte intégral

  • 1 Union européenne.
  • 2 Système d’information Schengen.
  • 3 L’article 96 de la CAAS (Convention d’application des accords de Schengen) prévoit le signalement d (...)
  • 4 Plan d’action du Conseil et de la CE [Communauté européenne] mettant en œuvre le programme de La Ha (...)

1Dans le cadre de la construction de l’UE1, les étrangers ont été les premières cibles des techniques biométriques. La coopération policière européenne progressivement mise en place de manière informelle dès le xixe siècle et qui s’est renforcée au xxe siècle (Bigo 1996 ; Piazza 2010) a formellement débuté, dans le cadre de l’UE, dans un contexte de crise économique : celle de la crise pétrolière de 1973. La conséquence immédiate en sera la proclamation, par l’Europe, de la nécessité de mettre fin à l’immigration économique et d’assurer un strict contrôle des flux migratoires. Pour réaliser ces objectifs, les accords de Schengen du 14 juin 1985 et leur convention d’application du 19 juin 1990 conduisent à la mise en œuvre de la première grande base de données européenne : le SIS2, qui prévoit notamment l’établissement d’un signalement spécifique pour les étrangers3. Le SIS n’enregistre pas initialement de données biométriques. Toutefois, une dizaine d’années plus tard, l’intégration de telles données devient une priorité à partir du programme de La Haye4 qui est adopté lors du Conseil européen des 4 et 5 novembre 2004.

  • 5 Id.
  • 6 European Dactylographic System.
  • 7 Règlement no 2 725/2000 du Conseil du 11 décembre 2000 relatif à la création du système Eurodac pou (...)

2Dans le cadre de ce programme, un plan d’une gestion efficace des flux migratoires est présenté. Il renvoie principalement à une autre préoccupation : exploiter de nouvelles technologies de la manière la plus complète possible via la mise en œuvre d’un accès réciproque entre les bases de données nationales constituées par les États membres et l’instauration à l’échelon européen de bases de données biométriques inédites, sous réserve toutefois que « de sérieuses études en aient démontré la valeur ajoutée5 ». On notera que cette prudence revendiquée semble très formelle, puisque la première grande base de données biométriques, Eurodac6, avait déjà été créée en 20007.

  • 8 Un SIE (Système d’information européen). Cette idée est désormais implicitement reprise par la CE e (...)
  • 9 « L’Europe ne se fera pas d’un seul coup, ni dans une construction d’ensemble », Déclaration du 9 m (...)
  • 10 Cour de justice des communautés européennes.
  • 11 Cf. à ce sujet l’article 26-III de la loi 78-17 du 6 janvier 1978 relative à l’informatique, aux fi (...)

3Alors que, dès 1997, le Parlement européen souhaitait instaurer une seule base de données européenne8, la mise en place progressive de plusieurs bases de données illustre la méthode dite des « petits pas » élaborée par Jean Monnet et formalisée dans la célèbre déclaration de Robert Schuman du 9 mai 19509. En l’absence d’autorité politique centrale, la lente construction européenne privilégie le recours systématique au droit selon la règle des « petits pas », à la recherche d’une « cohérence juridique » européenne (Preuss-Laussinotte 2006) permettant de dépasser les oppositions étatiques, y compris dans des domaines extrêmement sensibles et techniques comme celui des bases de données biométriques. Dans une telle approche, l’encadrement textuel de ces systèmes leur confère d’abord le statut de documents juridiques, au sens formel et matériel, dont l’entrée en vigueur, et donc le fonctionnement technique, sont liés à leur publication au Journal officiel de l’UE. Leur statut en fait également des documents susceptibles de recours devant la CJCE10, organe de la construction juridique européenne. Les bases de données européennes sont donc encadrées par des textes extrêmement complets et minutieux qui détaillent avec précision tous leurs éléments techniques. Il s’agit là d’un système différent, voire opposé à celui qui prévaut en France, où les fichiers manuels, puis les bases de données informatiques, notamment policières, n’ont fait l’objet que très récemment de textes juridiques publiés sous la forme de documents succincts ne comportant généralement pas de détails sur leurs dimensions techniques. Souvent même, ces textes n’ont d’ailleurs jamais été publiés, au nom du secret défense ou du secret d’État11 (Batho et Benisti 2009 : 139 et suiv.).

  • 12 International Police.
  • 13 Organisation de l’aviation civile internationale.
  • 14 Cour européenne des Droits de l’Homme.

4La spécificité de cette approche juridique européenne induit certaines conséquences et pose une première question : celle du statut des normes techniques choisies pour les données biométriques. En effet, ces normes sont essentielles : elles conditionnent le bon fonctionnement des bases de données et de l’échange des données qu’elles contiennent. Pourtant, le « choix » européen des normes développées par Interpol12 et l’OACI13 a été acquis sans véritables débats de fond. De plus, la tendance actuelle de l’UE consistant à promouvoir l’interopérabilité des bases de données biométriques pose le problème de l’élargissement de leur accès. Par ailleurs, les textes juridiques qui encadrent les bases de données biométriques doivent respecter des principes de forme et de fond, notamment les principes de finalité et de proportionnalité. Or, l’évolution de ces textes fait apparaître une transformation de la finalité assignée à ces bases qui, à présent, s’éloigne de celle qui avait été initialement déterminée, à savoir le contrôle des étrangers. Le champ d’application de ces textes a été étendu à la lutte contre le terrorisme, à la lutte contre la délinquance, et plus généralement, à la protection de la sécurité intérieure et extérieure de l’UE et de ses États membres. Indissociable de ces principes, la protection des personnes dont les données sont enregistrées est également prévue dans les textes d’encadrement des bases de données de manière de plus en plus détaillée. Parallèlement, cette protection fait aussi l’objet de textes généraux, ce qui fait coexister une profusion complexe et parfois obscure de dispositions. L’évolution actuelle de cette protection ne permet pas de savoir quelles modalités précises permettront d’en garantir l’effectivité. Il existe donc en la matière une réelle incertitude, malgré l’espoir de voir émerger un véritable contrôle assuré par les juges, notamment par la CEDH14.

Normes, interopérabilité et accès aux bases de données

  • 15 Selon l’ISO (International Standardisation Organisation), une norme technique constitue un « docume (...)

5Dans le processus sui generis des « petits pas » caractéristique de l’approche européenne, la question des normes utilisées devient complexe. En effet, elle renvoie aux normes juridiques elles-mêmes (principes et règles de droit à respecter tant sur le plan formel que sur le plan matériel), mais aussi aux normes techniques nécessaires au fonctionnement des bases de données biométriques. Or, la notion de norme technique est elle-même liée au droit puisque, sur le plan formel, les dispositions relatives aux normes sont précisées dans des documents juridiques détaillés destinés à s’imposer aux États qui recourent aux bases de données15.

Normes mobilisées et logique de l’interopérabilité

  • 16 Office français de protection des réfugiés et apatrides.
  • 17 Cf. notamment l’article de Dennis Broeders dans cet ouvrage.

6Dans le cadre de la logique prioritaire du contrôle des flux migra-toires, une première base de données biométriques a été constituée pour identifier les demandeurs d’asile, c’est-à-dire les étrangers les plus aisément contrôlables puisqu’ils ont l’obligation d’effectuer une démarche administrative pour déposer leur demande. Un contrôle biométrique a d’abord été effectué au niveau étatique : en France, les empreintes digitales des demandeurs d’asile sont relevées dès 1989 et servent à la création d’une base de données biométriques auprès de l’OFPRA16, qui, à cette époque, n’a aucun lien avec la police des étrangers. S’inspirant de cette expérience française, l’UE va cependant s’en éloigner en décidant de confier le contrôle biométrique des demandeurs d’asile aux polices des différents États membres. Ce processus conduira à la mise en place d’Eurodac, première base européenne de données biométriques17. Les procédures et normes techniques définies et utilisées pour ce dispositif seront reprises ultérieurement à l’identique pour les autres grandes bases de données biométriques européennes.

  • 18 On notera que, pour échapper au fichage d’Eurodac et au système de réadmission mis en place dans le (...)
  • 19 Règlement (CE) no 407/2002 du Conseil en date du 28 février 2002 fixant certaines modalités d’appli (...)

7Le règlement d’Eurodac expose minutieusement l’ensemble des normes et procédures techniques que les États se doivent de respecter, l’objectif recherché consistant à déterminer le premier pays d’accueil (autrement dit le premier pays où l’étranger est arrivé) qui sera compétent pour examiner sa demande d’asile18. La base Eurodac fonctionne selon un système d’échanges et de comparaison : chaque État enregistre dans sa base nationale les empreintes digitales des demandeurs d’asile âgés de plus de 14 ans dont il traite les dossiers, et les transmet à une unité centrale pour qu’elles y soient enregistrées et comparées avec les empreintes déjà enregistrées dans cette unité. L’unité centrale transmet ensuite (dans un délai maximum de 24 heures) le résultat positif ou négatif de la comparaison à l’État membre selon un système « hit/no hit » (concordance/non- concordance). Un règlement du 28 février 200219 a précisé quelles normes devaient être respectées pour les transmissions de données. Il distingue par des codes différents les demandeurs d’asile (code 1), les étrangers ayant franchi les frontières illégalement (code 2) et les étrangers s’étant maintenus illégalement sur le territoire d’un État (code 3), sachant que tous les État membres sont identifiés dans la base par la norme ISO 3 166 (fr pour la France) afin de pouvoir déterminer lequel d’entre eux a transmis les données dactyloscopiques.

  • 20 L’ANSI (American National Standards Institute : Institut national américain des normes), représenta (...)
  • 21 Visa Information System.
  • 22 Décision de la CE du 22 septembre 2006 établissant les spécifications techniques des normes relativ (...)
  • 23 Commission européenne.
  • 24 L’OACI a travaillé sur ces normes avec l’aide d’Interpol. Sur l’OACI et le document 9303, cf. Preus (...)

8La norme permettant les échanges dans le cadre d’Eurodac est la norme ANSI/NIST CSL 1-199320. Elle est identique à celle qui est retenue pour les deux autres grandes bases de données biométriques, à propos desquelles il avait été prévu qu’elles devaient devenir opérationnelles à la fin de l’année 2009 : le SIS II et le VIS21. Le SIS II est destiné à remplacer le SIS, créé par les accords de Schengen tant pour des motifs techniques (l’inadaptation de la structure d’origine aux nouveaux États européens) que pour permettre d’y intégrer des données biométriques (pour le moment les images faciales et les empreintes digitales). Le VIS, lui aussi destiné à fonctionner dans le cadre Schengen, a essentiellement pour but de renforcer la politique européenne d’immigration menée en amont, donc à l’extérieur de l’UE, en rendant plus efficace le contrôle des demandes de visa fondé sur l’enregistrement des données biométriques des demandeurs. L’utilisation du VIS est présentée comme incontournable pour améliorer ces contrôles : la mobilisation de l’identification biométrique est pensée comme une réponse appropriée en vue de s’assurer qu’une personne souhaitant entrer dans l’espace Schengen est bien celle à qui un visa a été délivré. Insistant sur la « qualité et la fiabilité des identificateurs biométriques [qui] sont de la plus grande importance22 », la CE23 a précisé que le VIS ne créait pas de nouvelles normes techniques biométriques. En effet, pour les visas, les normes employées renvoient à celles qui ont été développées par l’OACI dans son document 9303, qui a imposé des normes mondiales aux États pour certaines données biométriques (images faciales et empreintes digitales) devant être intégrées dans les documents de voyage24.

9Une des questions principales que posent ces bases européennes est celle des normes techniques utilisées pour l’échange des données biométriques. Pour les empreintes digitales, cette transmission répond aux règles élaborées par Interpol pour l’échange de données dactyloscopiques25. Ainsi, avant même l’entrée en vigueur du SIS II, l’échange de telles données a été avalisé par la CE. Le 22 septembre 200626, elle a adopté une modification du manuel SIRENE27 en y intégrant la méthode de transmission électronique SIRPIT28 entre les bureaux SIRENE29 des États Schengen qui avait été proposée par une recommandation du Conseil de l’UE. Ce texte indique expressément qu’Interpol,

  • 30 Conseil de l’UE, 22 mai 2006, Recommandation du Conseil concernant le projet SIRPIT.

« organisation pleinement consciente de la nécessité d’une coopération policière internationale en matière de prévention de la criminalité et de lutte contre ce phénomène, soutient sans restriction l’initiative prise par le Groupe “SIRPIT” en ce qui concerne un échange de fichiers dactyloscopiques reposant sur la transposition de la norme ANSI/NIST mise en œuvre par Interpol (INT Iv4.22b) 30 ».

  • 31 Conçues avec l’aide de la Grande-Bretagne et adaptée par Interpol aux échanges internationaux, ce p (...)
  • 32 Federal Bureau of Investigation.
  • 33 Interchange of Data between Administrations. Décision no 1 719/1999/CE du Parlement européen et du (...)

10Un tel système repose sur la norme ANSI/NIST CSL 1-1993, qui a été créée aux États-Unis pour répondre à des objectifs assignés par le gouvernement américain en matière de normalisation31. Largement utilisée par le FBI32, cette norme était déjà appliquée dans le cadre d’Eurodac puisque le règlement du Conseil du 28 février 2002 a précisé le format applicable à l’échange des données dactyloscopiques entre les États et l’unité centrale : le transfert des données utilise les normes déjà en place dans le cadre de l’échange électronique de données entre administrations (IDA33), notamment la norme INTERPOL ANSI/NIST-CSL 1 1993 pour l’échange des données dactyloscopiques. De même, selon le Conseil de l’UE, destiné à devenir la plus grande base de données mondiale en matière de visas, le VIS fonctionnera en respectant cette norme : la décision du 22 septembre 2006 qui établit les spécifications techniques des données du VIS se réfère explicitement à la norme Interpol pour l’échange des empreintes digitales. Le recours désormais mondial à cette norme fait suite à la recommandation de l’Assemblée générale d’Interpol, le 21 octobre 1997 :

« La norme INTERPOL relative à la transmission des images numérisées d’empreintes digitales et de traces latentes entre systèmes AFIS/AFR se fonde sur la norme ANSI/NIST-CSL 1-1993 et sur tous les développements ultérieurs de cette norme. »

  • 34 « Dans le cadre de la lutte contre le terrorisme et en vue d’améliorer la sécurité intérieure, le C (...)

11On cherche donc ainsi à rendre les systèmes mondialement interopérables. Invitée par le Conseil européen et le Conseil de l’UE34, la CE a réalisé une communication sur la notion d’interopérabilité, qui, selon elle, désigne la

  • 35 Communication de la CE au Conseil et au Parlement européen sur le renforcement de l’efficacité et d (...)

« capacité qu’ont les systèmes d’information et les processus opérationnels dont ils constituent le support d’échanger des données et d’assurer le partage des informations et des connaissances35 ».

12Dans cette communication, la CE a aussi insisté sur la nécessité d’améliorer l’interopérabilité technique et les synergies entre les grandes bases de données biométriques (SIS II, VIS, Eurodac) dans le domaine de la JAI.

  • 36 Automatic Fingerprint Identification System.
  • 37 « Les pays occidentaux tentent, dans tous les domaines, d’imposer une normalisation qui corresponde (...)

13Ce processus est pourtant susceptible de faire naître une série de difficultés en matière de sécurisation des données transmises, notamment en ce qui concerne l’accès possible à ces données. En effet, ces normes internationales visent à permettre l’interopérabilité entre tous les systèmes automatisés de reconnaissance d’empreintes digitales (AFIS36) quels qu’en soient le constructeur et l’État qui y recourent. De la sorte, avec l’imposition de ce processus de normalisation, se trouve entériné un changement de paradigme en cours : le passage « de l’identité complexe à l’identification simplifiée » (Preuss-Laussinotte 1998 : 5437).

  • 38 Décision 2008/616/JAI du Conseil du 23 juin 2008 concernant la mise en oeuvre de la décision 2008/6 (...)
  • 39 Contrôleur européen de la protection des données.

14Cette interopérabilité rend possible, au niveau européen, la concrétisation d’un objectif clairement défini : permettre l’échange de données entre les différentes bases européennes et un accès aux multiples bases de données constituées à l’échelon national (en particulier les bases d’empreintes digitales et génétiques comme le prévoit le traité de Prüm, qui a été intégré au système communautaire38). Le CEPD39 a réagi de manière très critique à cette approche de l’interopérabilité. Opposé à l’affirmation formulée par la CE selon laquelle l’interopérabilité constitue un concept technique plutôt que juridique ou politique, il considère que

  • 40 CEPD, Comments on the Communication of the Commission on interoperability of European data bases, 1 (...)

« rendre techniquement possible l’accès à des données ou leur échange constitue, dans de nombreux cas, une puissante incitation à y accéder de facto ou à les échanger40 ».

Un accès élargi aux bases de données biométriques

15Par ailleurs, l’interopérabilité engendre des conséquences indirectes, dont le CEPD souligne les risques :

  • 41 Cf. note 43.

« Quand on parle d’interopérabilité, il ne s’agit pas seulement de l’utilisation en commun de systèmes d’information a grande échelle, mais également de possibilités d’accès aux données, d’échange de données ou même de fusion de bases de données41. »

16En effet, progressivement, l’accès aux bases de données biométriques, à l’origine définie de manière extrêmement rigoureuse et limitative, a été élargi à un nombre d’intervenants considérables (Preuss-Laussinotte 2009).

17Ainsi, la CE a adopté le 10 septembre 2009 un ensemble de mesures visant à autoriser les services répressifs des États membres à consulter la base de données Eurodac

  • 42 Communiqué de presse RAPID (Référence : IP/09/1295) en date du 10 septembre 2009, http://europa.eu/ (...)

« aux fins de la lutte contre le terrorisme et autres infractions pénales graves, tels la traite des êtres humains et le trafic des stupéfiants (...) L’impossibilité, pour les services répressifs européens, d’accéder à Eurodac dans le cadre de la lutte contre le terrorisme est une lacune que la Commission entend combler42 ».

  • 43 CEPD, « Accès des services de répression à Eurodac : le CEPD exprime de sérieuses réserves en ce qu (...)

18Le CEPD a immédiatement exprimé « de sérieuses réserves en ce qui concerne la légitimité des mesures proposées », qu’il a analysées sous l’angle de la nécessité et de la proportionnalité au regard de l’équilibre entre les exigences de la sécurité publique et le droit fondamental à la vie privée43. Se pose donc ici un problème important : celui d’un élargissement considérable de la finalité d’Eurodac, non prévue par les textes d’origine (cf. infra).

  • 44 Règlement (CE) no 767/2008 du Parlement européen et du Conseil en date du 9 juillet 2008 concernant (...)
  • 45 CEDH, 17 juillet 2008, requête no 25 904/07, Na c. Royaume-Uni.

19De même, la possibilité d’accès à certaines données biométriques du VIS accordée à des États tiers par le règlement du 9 juillet 200844 apparaît inquiétante. La CEDH a d’ailleurs déjà statué sur des questions en lien avec l’identification biométrique dans le cadre du renvoi vers le Sri Lanka, par le Royaume-Uni, de demandeurs d’asile déboutés45. Elle souligne que la plupart des États du monde ont mis en place un ensemble de bases et de documents d’identité reposant sur l’usage de données biométriques (en priorité les empreintes digitales) selon des normes identiques, notamment pour respecter l’obligation faite par l’OACI (document 9303) d’introduire dans les passeports et documents de voyage (y compris les visas) des données biométriques et pour appliquer la norme d’échange imposée par Interpol. Dès lors, ajoute la CEDH, il devient extrêmement facile pour ces États d’identifier leurs ressortissants si de telles données leur sont communiquées. Or, il n’est pas rare que des États prennent des mesures de rétorsion, voire d’emprisonnement ou de torture, à l’encontre de leurs ressortissants ayant déposé des demandes d’asile parce qu’ils estiment justement courir des risques de persécutions de la part de leur État d’origine.

  • 46 Autrement dit, des entreprises privées. Cf. Beaudu 2009.
  • 47 Rapport du 29 novembre 2007 sur la proposition de règlement du Parlement européen et du Conseil mod (...)

20La question de l’accès aux données biométriques pose également un autre problème qui, évoqué par le Parlement européen dans le cadre spécifique du VIS, revêt cependant une dimension plus générale : de nombreux États ont choisi d’externaliser une partie du processus de traitement de la demande de visa en la confiant à des prestataires extérieurs46. Le Parlement insiste donc pour que cette externalisation « ne soit utilisée qu’en dernier recours, et que des conditions strictes soient précisées dans les textes encadrant le VIS47 ». Il n’est toutefois pas certain qu’il soit entendu. Ainsi, il est seulement indiqué, de manière très « diplomatique », dans un règlement du 23 avril 2009 (Considérant 9) qu’

  • 48 Règlement (CE) no 390/2009 du Parlement et du Conseil du 23 avril 2009 modifiant les instructions c (...)

« [il] convient que les États membres, dans le respect des conditions fixées par ce cadre juridique, décident de la structure organisationnelle qu’ils adopteront dans chaque pays tiers48. »

  • 49 Id.

21De même, en ce qui concerne les obligations qui incombent aux États membres, ce règlement se contente d’indiquer : « Lors du choix d’un prestataire de services extérieur, l’État ou les États membres concernés vérifient la solvabilité et la fiabilité de la société49 ».

  • 50 Cf. l’article de Bernadette Dorizzi dans cet ouvrage.

22Si officiellement la nécessité de mobiliser des bases de données biométriques est légitimée par des arguments insistant sur le rôle particulièrement utile qu’elles jouent en matière de sécurisation des échanges entre États, il apparaît que, de manière générale, ces échanges sont fragilisés (y compris du fait du recours à des prestataires extérieurs dont le contrôle est pour le moins très aléatoire). D’ailleurs, la fragilité des systèmes biométriques eux-mêmes est soulignée par certains chercheurs procédant à leurs évaluations qui insistent sur les nombreuses erreurs qu’ils peuvent générer50.

L’extension progressive de la finalité des bases de données biométriques

  • 51 La Convention du Conseil de l’Europe du 28 janvier 1981, la directive du 25 octobre 1995, et plus r (...)
  • 52 Cf. notamment l’article Claire Strugala dans cet ouvrage.

23Les textes juridiques qui encadrent les bases de données biométriques sont désormais tenus de respecter un nouveau processus formel d’adoption (procédure de codécision avec le Parlement européen) alors que, jusqu’en 2007, le Parlement n’était que consulté en la matière comme le prévoyait la procédure régissant le IIIe pilier relatif à la coopération policière et judiciaire pénale. Mais c’est essentiellement sur le plan matériel que ces documents sont tenus à présent de respecter des principes figurant dans les textes de protection des données personnelles applicables51 car les données biométriques ont la qualité de données personnelles. Il s’agit essentiellement du principe de finalité, qui est considéré comme fondamental, le principe de la proportionnalité des moyens mis en œuvre pour atteindre une finalité particulière lui étant complémentaire52. En 2006, le CEPD a souligné, de manière prémonitoire, un des enjeux cruciaux en la matière :

  • 53 CEPD, Observations relatives à la communication de la Commission sur l’interopérabilité des bases d (...)

« On peut donc, sans trop s’avancer, partir du principe que les moyens techniques seront utilisés dès qu’ils seront disponibles ; en d’autres termes, ce sont parfois les moyens qui justifient la fin et non le contraire. Il se pourrait que l’on assiste par la suite à des demandes en faveur d’une législation moins stricte pour pouvoir utiliser ces bases de données plus facilement. Les modifications de la législation viennent en effet souvent entériner des pratiques déjà établies53. »

  • 54 Communication de la CE au Conseil et au Parlement européen sur le renforcement de l’efficacité et d (...)

24Cette analyse s’avère particulièrement judicieuse, comme en atteste l’élargissement progressif de la finalité de l’ensemble des bases de données biométriques qui se dessine aujourd’hui. On constate d’ailleurs que la CE ne cache pas de ce détournement progressif de finalité puisqu’elle indique dans sa communication du 20 novembre 200554 :

« La présente communication vise à montrer de quelle manière ces systèmes, en plus de leurs finalités actuelles, pourraient appuyer plus efficacement les politiques liées à la libre circulation des personnes et concourir à la réalisation de l’objectif de lutte contre le terrorisme et contre les formes graves de la criminalité ».

25D’un point de vue chronologique, la première extension de finalité a concerné le système Eurodac. Mis en œuvre pour identifier les demandeurs d’asile à partir de leurs empreintes digitales, son fonctionnement est sous-tendu par une logique plus globale de contrôle. Comme le mentionne la CE dans un de ses rapports du 6 juin 2007 relatif à l’évaluation du système de Dublin, elle examine

  • 55 Rapport de la CE au Parlement européen et au Conseil sur l’évaluation du système de Dublin, 6 juin (...)

« la possibilité d’étendre la portée d’Eurodac, de sorte que ses données soient utilisées à des fins répressives et pour contribuer à la lutte contre l’immigration clandestine55 ».

26Progressivement, on passe donc d’une finalité relativement précise et limitée à une finalité extrêmement large qui semble faire consensus au sein des institutions européennes. Cette évolution est devenue explicite avec le projet d’élargissement d’accès.

  • 56 Règlement.(CE) no 767/2008 du Parlement européen et du Conseil du 9 juillet 2008 concer-nant le VIS (...)
  • 57 European Police Office.
  • 58 Proposition de décision du Conseil confiant à l’agence créée par le règlement XX les tâches relativ (...)

27De même, à l’origine, le VIS avait pour objectif très précis l’identification des étrangers demandeurs de visa pour lutter contre la fraude et simplifier les procédures de demandes de ce titre afin de prévenir le visa shopping et de faciliter les contrôles aux frontières. Mais, dans le règlement du 9 juillet 2008, il est précisé que le VIS doit également aider à l’identification de tout étranger en situation irrégulière, voire servir à la détermination du premier pays d’accueil dans le cadre d’éventuelles demandes d’asile. On rejoint donc ainsi les objectifs assignés à Eurodac, les liens qui doivent exister entre ces deux bases de données biométriques étant d’ailleurs clairement précisés. Surtout, de manière plus générale, le VIS doit désormais pouvoir « contribuer à la prévention des menaces pesant sur la sécurité intérieure de l’un des États membres 56 ». Extrêmement large, cette finalité n’était pas prévue initialement. Des « clauses-passerelles » ont été instituées qui permettent dorénavant à certaines autorités d’accéder aux informations biométriques stockées : polices en charge de la délinquance ou du terrorisme, organismes tels qu’Europol57, mais également des États tiers dans le cadre du renvoi d’étrangers dans leur pays d’origine. Le véritable objectif qui sous-tend l’extension progressive des finalités de chaque base de données biométriques est désormais revendiqué officiellement. En juin 2009, la CE a élaboré, sur demande du Conseil, une proposition de règlement58 qui vise à confier la gestion « opérationnelle » des bases de données européennes à une agence unique. Ce texte a été accompagné d’une communication sur le « paquet législatif » qui permettrait de créer une telle agence. La CE y précise sans aucune ambiguïté :

  • 59 Communication de la CE relative au paquet législatif portant création d’une agence pour la gestion (...)

« Le présent paquet législatif a pour objet de créer une agence chargée de la gestion opérationnelle à long terme du système d’information Schengen de deuxième génération (SIS II), du système d’information sur les visas (VIS) et d’Eurodac. L’agence pourrait en outre se voir confier la responsabilité d’autres systèmes d’information à grande échelle dans le domaine de la liberté, de la sécurité et de la justice59. »

28À propos des textes encadrant les bases de données qui doivent respecter les règles juridiques de fond et de forme liées au traité de l’UE, la CE n’hésite pas à affirmer de manière rapide que la base juridique de sa proposition d’agence unique s’aligne sur celles régissant le SIS II et le VIS. Par conséquent, elle considère que la même base juridique est applicable à toutes les bases européennes de données biométriques

  • 60 Id.

« puisque les tâches de contrôle et d’évaluation de l’instance gestionnaire, qui sont définies à l’article 17 de la décision 2008/633/JAI, sont inextricablement liées à son activité principale, c’est-à-dire l’échange d’informations60 ».

  • 61 Cf. le paragraphe 1.4 de la Communication (op. cit. note 59) : « La proposition est compatible avec (...)

29Cette volonté de rapprochement, et surtout de fusion du fonctionnement de ces bases de données à travers leur « gestion opérationnelle », aura d’inévitables répercussions sur les finalités auxquelles ces bases doivent répondre. Cela, d’autant plus qu’un argument de « cohérence » est mis en avant, argument qui fait référence à une notion devant être comprise dans un sens très large : la « cohérence avec les politiques et objectifs de l’UE61 ». Il n’est pas fait directement référence au principe de finalité dans la proposition de règlement de la CE en date de juin 2009. Ce texte renvoie néanmoins implicitement à l’objectif extrêmement général « de cohérence » et « d’activité principale » : c’est-à-dire à l’échange d’informations. Il n’en demeure pas moins que, si une gestion identique de ces bases de données biométriques est mise en œuvre au motif qu’il existe une similitude dans leur fonctionnement, elle ne pourra devenir effective que si on reconnaît à ces bases une finalité identique.

30Quant au principe de proportionnalité, il est très rapidement évoqué à travers la simple affirmation que la proposition formulée par la CE en faveur de l’institution d’une agence unique ne doit pas excéder

  • 62 Op. cit., note 59.

« ce qui est nécessaire pour atteindre son objectif. Elle respecte le principe de proportionnalité en ce que les activités de l’agence sont limitées au minimum nécessaire à la réalisation des tâches assignées à l’instance gestionnaire62 ».

31Cette extension progressive et inéluctable des finalités aura des incidences directes en matière de protection des droits des personnes répertoriées dans les bases de données biométriques. La CE a d’ailleurs envisagé ses conséquences en tenant un langage particulièrement circonspect :

  • 63 Ibid.

« Il faut établir un subtil équilibre entre la poursuite de ces objectifs et la protection des droits fondamentaux (notamment la protection des données à caractère personnel), telle qu’elle est consacrée par la Convention européenne des droits de l’homme et par la Charte des droits fondamentaux de l’UE63. »

32Ce « subtil équilibre » auquel elle fait référence n’est pas sans signifier qu’il existe un risque toujours possible de contournement des textes européens visant à protéger les données personnelles.

Les données biométriques sont-elles bien protégées ?

33S’il n’est généralement pas contesté que les données biométriques font partie des données personnelles, la CEDH l’a solennellement confirmé dans son arrêt S. et Marper c. Royaume-Uni en date du 4 décembre 2008 :

  • 64 CEDH, 4 décembre 2008, Requêtes nos 30562/04 et 30566/04, S. et Marper c. Royaume-Uni.

« Les trois catégories d’informations personnelles [...] à savoir des empreintes digitales, des profils ADN et des échantillons cellulaires, constituent toutes des données à caractère personnel [...] car elles se rapportent à des individus identifiés ou identifiables64 » (§ 68). »

34Toutefois, la profusion des règles encadrant la protection des données biométriques renvoie désormais à une situation extrêmement complexe, à un véritable casse-tête juridique qui ne facilite pas l’effectivité de cette protection. En effet, à côté de textes généraux, une protection spécifique est prévue pour chaque base de données biométriques. Certes, en raison de son rôle extrêmement volontaire, le CEPD s’est progressivement imposé aux institutions européennes et se voit désormais reconnaître un rôle central en la matière. Toutefois, le problème de la réalité de cette protection se pose toujours avec acuité car, parallèlement aux interventions des autorités de protection des données instituées, on peut se demander si un autre acteur ne se doit pas de jouer ici un rôle encore plus décisif : le juge.

Une protection textuelle problématique

35Deux textes généraux de protection en matière de données personnelles existent désormais au niveau de l’UE. Tout d’abord, la directive no 95/46/CE du 24 octobre 1995 (relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données), qui est applicable aux bases de données dépendant du traité de Rome (donc au Ier pilier, dont relève désormais les politiques en matière de visas, d’asile et d’immigration). Ensuite, la décision-cadre du 27 novembre 2008 relative à la protection des données personnelles, qui est applicable aux échanges de données dans le cadre de la coopération policière et judiciaire pénale (dépendant du IIIe pilier géré par le traité sur l’UE). Cette décision-cadre a été élaborée pour pallier l’inapplicabilité de la directive d’octobre 1995 au IIIe pilier et ne porte que sur les données à caractère personnel qui « sont ou ont été transmises ou mises à disposition entre les États membres » (article 1er) ou entre les systèmes d’information européens et ces mêmes États. Ces deux textes font par ailleurs référence à la Convention (STE 108) du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel datant de 1981 et à la recommandation (R(87)15) du Comité des ministres du Conseil de l’Europe « visant à réglementer l’utilisation des données à caractère personnel dans le secteur de la police », formulée en 1987.

36À l’origine, ces deux textes du Conseil de l’Europe constituaient la référence en matière de protection des données personnelles pour le SIS et pour Europol. Ils ont aussi été repris dans le traité de Prüm (article 34). Celui-ci précise que les États doivent garantir un niveau de protection des données à caractère personnel correspondant au moins à celui qui a été fixé par ces deux textes de 1981 et 1987. Si l’évolution juridique dans le cadre de l’UE semble à présent délaisser ces deux textes en privilégiant la directive d’octobre 1995 et la décision-cadre de novembre 2008, il reste que la multiplicité de ces références générales est déjà en soi une source de complexité.

37Une autre difficulté provient des restrictions qu’établissent cette directive et cette décision-cadre. En effet, la directive de 1995 exclut expressément de sa protection les

  • 65 Article 3-2o, Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative (...)

« traitements ayant pour objet la sécurité publique, la défense, la sûreté de l’État (y compris le bien-être économique de l’État lorsque ces traitements sont liés à des questions de sûreté de l’État) et les activités de l’État relatives à des domaines du droit pénal65 ».

  • 66 Article 1-4, Décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection de (...)

38De même, la décision-cadre de 2008, dont notamment le CEPD et le Parlement européen ont pu souligner le caractère limité et obscur de son champ d’application, exclut les « intérêts essentiels en matière de sécurité nationale et des activités de renseignement spécifiques dans le domaine de la sécurité nationale66 ».

  • 67 Commission nationale de contrôle des interceptions de sécurité.

39Ce type de restriction générale est par essence extrêmement flou et peut être interprété de manière très extensive, la notion de « sécurité nationale » étant dans tous les cas laissée à l’appréciation de chaque État. Ainsi, en France, la CNCIS67 en donne une définition qui, renvoyant pour partie au Code pénal, illustre bien ce phénomène :

« La sécurité nationale, notion qui n’existe pas en tant que telle dans le droit français, est directement empruntée à l’article 8 de la Convention européenne des droits de l’homme. Elle recouvre la Défense nationale ainsi que les autres atteintes à la sûreté et à l’autorité de l’État (...). Les intérêts fondamentaux de la Nation [définis à l’article 410-1 du Code pénal] constituent depuis 1994 un concept destiné à remplacer celui de sûreté de l’État » (CNCIS 2009 : 40).

40Une confusion supplémentaire est encore engendrée par le contenu même de certains textes. Ainsi, il est précisé dans le règlement du 20 décembre 2006 portant sur le SIS II que la directive d’octobre 1995

« s’applique au traitement des données à caractère personnel effectué en application du présent règlement [...]. Les principes énoncés dans la directive 95/46/CE devraient, le cas échéant, être complétés ou précisés dans le présent règlement »,

41ce qui est effectué aux articles 40 à 43 de ce règlement. Or une grande partie des données du SIS II renvoie au IIIe pilier et ne devrait donc pas dépendre de la directive de 1995, sachant que l’intégration de l’acquis de Schengen est complexe, puisqu’il a été ventilé entre le Ier pilier, dépendant du traité de Rome, et le IIe pilier, dépendant du traité sur l’UE : ainsi, l’utilisation des données biométriques contenues dans le SIS II impliquera le respect de règles juridiques différentes selon que ces données donneront lieu à des opérations en lien avec l’immigration et l’asile (Ier pilier) ou la coopération policière et judiciaire en matière pénale (IIIe pilier), C’est également cette directive qui est la référence pour le VIS, ce qui semble relativement logique, puisque celui-ci (comme Eurodac) dépend du Ier pilier communautaire. Il n’empêche que ce chevauchement des références et des textes ne rend pas aisée la compréhension de ce qu’est leur véritable champ d’application et la manière dont ils peuvent être utiles pour protéger les données biométriques.

Des autorités de protection des données peu efficaces ?

  • 68 Commission nationale de l’informatique et des libertés.

42Tout comme pour les textes de protection des données, le schéma désormais en place pour les autorités de protection de ces mêmes données n’est plus identique à celui qui existait lorsque les premières bases de données européennes (le SIS par exemple) ont été instituées. Dans les différents actes juridiques récents qui visent à introduire la biométrie dans de nouvelles bases de données européennes (notamment le SIS II et le VIS), il est souvent fait référence à l’article 28 de la directive de 1995. Respectant la logique de cet article, on confie aux autorités nationales de protection des données (par exemple la CNIL68) le contrôle des données biométriques introduites dans ces nouvelles bases et le soin d’assurer la protection des personnes qui y sont répertoriées.

  • 69 European Network and Information Security Agency.
  • 70 Ces documents contiennent généralement des identifiants biométriques et ils sont, pour la plupart, (...)

43Se trouve ainsi posé un problème non négligeable : celui de la différence d’approche qui peut exister entre ces autorités de contrôle nationales, même si les États, en transposant la directive de 1995, se sont engagés à œuvrer pour mettre en place une protection « équivalente » en matière de données personnelles dans l’ensemble de l’UE. L’ENISA69 a rendu public un rapport consacré à l’étude des différentes cartes d’identité électroniques70 instituées dans les pays de l’UE qui illustre bien ce problème. Ce rapport révèle qu’aucune concertation n’a existé entre les États dans ce domaine. De plus, il souligne qu’aucun État n’applique les mêmes exigences, ni en matière de données biométriques enregistrées ni pour leur protection (ENISA 2009). La directive d’octobre 1995 a certes permis la création du Groupe de travail Article 29 (G29), qui, réunissant régulièrement des membres des autorités nationales de protection des données de contrôle nationales, est notamment chargé d’

« examiner toute question portant sur la mise en œuvre des dispositions nationales prises en application de la présente directive, en vue de contribuer à leur mise en œuvre homogène » (article 30a de la directive du 24 octobre 1995).

  • 71 28e Conférence internationale des commissaires à la protection des données et à la vie privée, Lond (...)

44Néanmoins, le G29 rend essentiellement des avis sur des enjeux de nature européenne, ce qui n’apporte pas forcément une solution appropriée pour résoudre le problème de l’hétérogénéité des approches entre les autorités nationales de protection des données en Europe, et ce malgré « l’initiative de Londres », par laquelle les autorités nationales de protection des données se sont engagées à mieux coordonner leurs actions71.

45Par ailleurs, une autre évolution importante est en passe de se réaliser. Si jusqu’ici on avait créé une autorité commune pour assurer un contrôle sur certaines bases de données européennes spécifiques (celle par exemple qui a été mise en place par Europol), ces structures, qui ont vu leur rôle extrêmement restreint y compris (mais pas uniquement) du fait d’un manque de moyens financiers, semblent maintenant s’effacer au profit du CEPD. La compétence de ce dernier s’en trouve généralisée, ce qui peut à terme jouer en faveur d’une unification des règles complexes d’encadrement des bases de données biométriques. Mais on peut se demander si la protection des données en sortira renforcée, puisque le rôle du CEPD consiste essentiellement à communiquer avec les autorités nationales de protection des données. Cette question ressort implicitement de l’énoncé du considérant 19 du règlement du VIS :

  • 72 Règlement (CE) no 767/2008 du Parlement européen et du Conseil en date du 9 juillet 2008 concernant (...)

« Les autorités de contrôle nationales établies conformément à l’article 28 de la directive 95/46/CE doivent contrôler la licéité du traitement des données à caractère personnel par les États membres, tandis que le Contrôleur européen de la protection des données, mis en place par le règlement (CE) no 45/2001, devrait contrôler les activités des institutions et organes communautaires liées au traitement des données à caractère personnel, en tenant compte du rôle limité de ces institutions et organes quant aux données proprement dites72. »

  • 73 Passenger Name Record.

46De surcroît, on notera que le CEPD, créé par un règlement de 2001 relatif à la protection des données dans le cadre des institutions européennes, n’avait à l’origine qu’un rôle très secondaire, dont on ne comprenait pas clairement la plus-value qu’il était susceptible d’apporter en matière de protection des données. Destiné à surveiller le respect de la protection des données personnelles par les institutions européennes, il ne semblait pas pouvoir jouer un rôle majeur dans le cadre des grandes bases de données biométriques européennes instituées dans le IIIe pilier. Cependant, du fait du volontarisme de certains acteurs placés à la tête de cette institution (en particulier celui de Peter Hustinx), le CEPD s’est imposé à plusieurs reprises dans certains dossiers sensibles en faisant face à l’opposition de la CE : participation au recours contre l’accord PNR73 conclu entre l’UE et les États-Unis, prises de position systématiques durant le processus d’élaboration de nouvelles bases européennes de données, suivi extrêmement précis de tous les projets européens pouvant affecter la vie privée et les libertés, etc. Le CEPD représente désormais la seule autorité compétente pour contrôler Eurodac, et les textes définissant les règles de fonctionnement du SIS II et du VIS reconnaissent officiellement son rôle. Une réserve peut toutefois être formulée : s’il semble que les règles de protection peuvent avoir tendance à s’unifier en raison du rôle actif joué par le CEPD, il n’est pas certain qu’elles le soient dans le sens d’une véritable efficacité. En effet, dans le cadre, par exemple, du SIS II et du VIS, l’importance de son rôle mérite d’être nuancée : il se contente seulement de vérifier que les activités de traitement des données à caractère personnel menées par les instances qui gèrent ces deux fichiers sont bien réalisées conformément aux actes juridiques ayant institué ces bases. Ce qui était déjà le rôle dévolu aux Autorités de contrôle communes, qui, globalement, s’était avéré aussi limité que décevant. Devenu une institution incontournable notamment dans le cadre du contrôle des bases de données biométriques, l’actuel CEPD a été reconduit dans ses fonctions pour une période de cinq ans, ce qui permet d’espérer qu’il poursuivra son rôle avec la même vigueur, malgré une institutionnalisation sans doute trop limitée de ses prérogatives.

Le juge européen : un rôle indispensable en devenir

  • 74 En dernier ressort car, dans les deux systèmes, le contrôle du respect des normes en cause est d’ab (...)

47Dans le cadre du système de protection des droits des personnes fichées dans les bases européennes de données biométriques, la place du juge tend aussi à devenir plus importante. Dans le cadre européen, qui comprend celui de l’UE (27 États) et celui, plus large, du Conseil de l’Europe (47 États, dont tous les États de l’UE), deux juges se partagent aujourd’hui le contrôle en dernier ressort74 des litiges liés à l’exploitation des données personnelles. D’une part, il s’agit de la CJCE, puisqu’elle est le juge compétent pour interpréter les actes de l’UE, qu’ils soient communautaires ou issus du IIIe pilier. D’autre part, on trouve la CEDH qui a progressivement dégagé une jurisprudence dans le domaine des données personnelles.

  • 75 Advance Passenger Information System. CJCE, 30 mai 2006, affaire C-317/04, Parlement européen c/ Co (...)

48La CJCE, juge de l’UE, est, dans le même temps, aussi le juge de l’interprétation du droit communautaire (ce qui inclut donc la directive du 24 octobre 1995) ainsi que le juge compétent en cas de difficulté d’interprétation de la décision-cadre du 27 novembre 2008 et des dispositions afférentes aux bases de données biométriques. La CJCE est encore le juge de l’annulation : elle a par exemple annulé, pour des raisons de procédure, le premier accord UE-USA concernant le transfert des données passagers PNR/API75. Pour le moment, ce juge n’a pas été saisi de recours concernant directement la protection des données biométriques. On peut toutefois affirmer que sa compétence se trouve limitée par l’ensemble des actes juridiques européens qui déterminent ce que doit être la protection des droits des personnes faisant l’objet d’un fichage, en particulier la prééminence conférée aux autorités nationales de protection des données et aux juges nationaux. En cas de difficulté d’interprétation, on peut espérer que le CEPD aura le pouvoir de saisir la CJCE. Une question majeure demeure néanmoins en suspens. Dans son article 68, la Charte des droits fondamentaux de l’UE prévoit explicitement que la protection des données personnelles constitue une des libertés essentielles des individus. Avec la ratification du traité de Lisbonne le CJCE va certainement voir. son rôle s’accroître en matière de protection des données biométriques car elle devient le juge naturel de l’application des principes garantis par la Charte dans ce domaine.

49Mais c’est sans doute de la CEDH que l’on peut attendre le rôle le plus efficace en matière de protection des données biométriques. En effet, progressivement, elle s’est imposée à toute l’Europe comme une véritable Cour suprême, n’hésitant pas à écarter des lois nationales ou à prendre le contre-pied de décisions de cours constitutionnelles (y compris de celles du Conseil constitutionnel français), voire de la CJCE elle-même. De plus, les juges des États qui ont ratifié la CEDH sont chargés d’appliquer directement ses décisions et de vérifier que les lois de leur propre pays leur sont compatibles. De la sorte, la CEDH se voit reconnaître un véritable contrôle de conventionalité diffus, très semblable au contrôle de constitutionnalité exercé par la Cour suprême aux États-Unis.

50La CEDH s’est saisie de longue date de la question des données personnelles et a progressivement consolidé une position très protectrice qui, s’appuyant sur l’article 8 (droit à la vie privée) de la Convention européenne des droits de l’homme, reconnaît notamment un droit à l’information aux personnes faisant l’objet d’un fichage et ne pouvant accéder à leurs propres données. Cette tendance est tout particulièrement visible dans l’arrêt S. et Marper c. Royaume-Uni de décembre 2008 (Preuss-Laussinotte 2008). La CEDH a volontairement choisi de statuer en Grande Chambre pour énoncer des principes fermes qu’elle entend faire respecter dans l’usage qui peut être fait, par les autorités, de diverses données biométriques. L’affaire concernait le refus du Royaume-Uni de supprimer les données biométriques de certains individus qui étaient contenues dans de grands fichiers d’empreintes digitales et génétiques. La CEDH a condamné ce pays pour non-respect de la vie privée et a tenu a rappelé que

« compte tenu du rythme élevé auquel se succèdent les innovations dans le domaine de la génétique et des technologies de l’information, la Cour ne peut écarter la possibilité que les aspects de la vie privée se rattachant aux informations génétiques fassent à l’avenir l’objet d’atteintes par des voies nouvelles, que l’on ne peut prévoir aujourd’hui avec précision ».

51Elle a aussi souligné que, dans ces conditions, il est essentiel de fixer des règles claires et détaillées « de manière à ce que les justiciables disposent de garanties suffisantes contre les risques d’abus et d’arbitraire ».

52De manière générale, les questions épineuses que soulève l’encadrement juridique des bases de données biométriques ne sont pas près d’être résolues. Dans ce mouvement que certains n’hésitent pas à qualifier de « fuite en avant », notamment au regard du coût financier important qu’implique la mise en place par l’UE d’immenses bases de données biométriques, des problèmes cruciaux commencent à émerger en matière de protection des droits des personnes enregistrées dans ces bases. L’analyse des textes de protection ne pousse pas à l’optimisme, même si on peut espérer que les autorités de contrôle nationales et européennes (en particulier le CEPD), parviendront à imposer une véritable jurisprudence d’interprétation strictement contrôlée par les juges.

Bibliographie

Batho Delphine, Bénisti Jacques-Alain, 24 mars 2009. Rapport d’information n° 1548 sur les fichiers de police, Commission des lois constitutionnelles, de la législation et de l’administration générale de la République, Paris, Assemblée nationale, J.O., http://www.assemblee-nationale.fr/13/rap-info/i1548.asp (consulté le 20 avril 2010).

Beaudu Gérard, 2009. « L’externalisation dans le domaine des visas Schengen (actualisation 1er mai 2009) », Cultures & Conflits, 74 : 111-127.

Bigo Didier, 1996. Polices en réseaux, l’expérience européenne. Paris, Presses de Sciences Po.

Cabal Christian, 16 juin 2003. Les méthodes scientifiques d’identification des personnes à partir des données biométriques et techniques de mise en œuvre (OPECST, Office parlementaire d’évaluation des choix scientifiques et technologiques). Paris, Assemblée nationale, J.O., http://www.assemblee-nationale.fr/12/rap-off/i0938.asp (consulté le 20 avril 2003).

CNCIS (Commission nationale de contrôle des interceptions de sécurité), 2009. 17e Rapport d’activité 2008. Paris, La Documentation française.

ENISA (European Network and Information Security Agency), février 2009. Privacy Features of European eID Card Specifications, http://www.enisa.europa.eu/act/it/eid/eid-cards-en (consulté le 12 avril 2010).

Manach Jean-Marc, septembre 2009. « Calais : des réfugiés aux droits brûlés », Bug Brother, http://bugbrother.blog.lemonde.fr/2009/09/26/calais-et-ses-refugies-aux-doigts-brules/ (consulté le 12 avril 2010).

Piazza Pierre, 2010. « Le choix politique du tout-biométrique en Europe », in Didier Bigo, Emmanuel-Pierre Guittet et Amandine Scherrer (éd.) Mobilité(s) sous surveillance. Perspectives croisées UE-Canada. Montréal, Athéna éditions : 183-195.

Preuss-Laussinotte Sylvia, 1998. Les fichiers et les étrangers au cœur des nouvelles politiques de sécurité, Thèse de doctorat de droit, université Paris X Nanterre (publiée à la Librairie générale de droit et de jurisprudence en 2000).

— 2006. « L’Union européenne et les technologies de sécurité », Cultures & Conflits, 64 : 97-108.

— 2008. « Données biométriques et libertés (CEDH, GC 4 décembre 2008, S. et Marper c. Royaume Uni) », http://www.droits-libertes.org/article.php3 ?id_article =91 (consulté le 12 avril 2010).

— 2009. « L’élargissement problématique de l’accès aux bases de données européennes en matière de sécurité », Cultures & Conflits, 74 : 81-90.

Stanton Jeffrey M., 2008. « ICAO and the Biometric RFID Passport: History and Analysis », in Colin J. Bennett et David Lyon (éd), Playing the ID Card: Surveillance, Security and identification in a Global Perspective. Londres, New York, Routledge: 253-267.

Vacca John. R. 2007. Biometric Technologies and Verification Systems. Amsterdam, Elsevier Butterworth-Heinemann.

Notes

1 Union européenne.

2 Système d’information Schengen.

3 L’article 96 de la CAAS (Convention d’application des accords de Schengen) prévoit le signalement des étrangers aux fins de non-admission dans l’espace Schengen pour des motifs pénaux, pour des motifs ayant trait au non-respect des règles d’entrée et de séjour, mais aussi pour des motifs d’ordre public.

4 Plan d’action du Conseil et de la CE [Communauté européenne] mettant en œuvre le programme de La Haye destiné à renforcer la liberté, la sécurité et la justice au sein de l’UE (J.O. C.E. 198 du 12 août 2005).

5 Id.

6 European Dactylographic System.

7 Règlement no 2 725/2000 du Conseil du 11 décembre 2000 relatif à la création du système Eurodac pour la comparaison des empreintes digitales aux fins de l’application efficace de la convention de Dublin.

8 Un SIE (Système d’information européen). Cette idée est désormais implicitement reprise par la CE et le Conseil de l’UE (cf. infra)

9 « L’Europe ne se fera pas d’un seul coup, ni dans une construction d’ensemble », Déclaration du 9 mai 1950.

10 Cour de justice des communautés européennes.

11 Cf. à ce sujet l’article 26-III de la loi 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. Le Conseil d’État a d’ailleurs précisé ce point dans une décision de principe relative au fichier CRISTINA (Centralisation du renseignement intérieur pour la sécurité du territoire et les intérêts nationaux), constitué par la DCRI (Direction centrale du renseignement intérieur). À propos de ce fichier dispensé de publication officielle et contesté par certaines associations, le Conseil d’État a indiqué que les différents textes liés au décret devaient lui être communiqués par le ministre de l’Intérieur sans que cette communication des pièces soit faite aux requérants. Cf. Conseil d’État, 31 juillet. 2009, no 320 196, Assoc. AIDES et autres.

12 International Police.

13 Organisation de l’aviation civile internationale.

14 Cour européenne des Droits de l’Homme.

15 Selon l’ISO (International Standardisation Organisation), une norme technique constitue un « document, établi par consensus et approuvé par un organisme reconnu, qui fournit, pour des usages communs et répétés, des règles, des lignes directrices ou des caractéristiques, pour des activités ou leurs résultats, garantissant un niveau d’ordre optimal dans un contexte donné », in ISO/IEC, Guide, Normalisation et activités connexes – Vocabulaire général, 3 nov. 2004. Ces normes officielles sont désignées comme étant des normes de jure (de droit) par opposition aux normes de facto (de fait), utilisées avant leur reconnaissance.

16 Office français de protection des réfugiés et apatrides.

17 Cf. notamment l’article de Dennis Broeders dans cet ouvrage.

18 On notera que, pour échapper au fichage d’Eurodac et au système de réadmission mis en place dans le cadre du « premier pays d’accueil », un nombre croissant de migrants fait le choix de se mutiler les doigts, essentiellement au fer rouge et au papier de verre (cf. Manach 2009).

19 Règlement (CE) no 407/2002 du Conseil en date du 28 février 2002 fixant certaines modalités d’application du règlement (CE) no 2 725/2000 concernant la création du système Eurodac pour la comparaison des empreintes digitales aux fins de l’application efficace de la convention de Dublin (J.O. EU L 62 du 5 mars 2002).

20 L’ANSI (American National Standards Institute : Institut national américain des normes), représentant auprès de l’ISO, n’est pas une source de normes américaines mais encourage leur développement et fournit des instructions générales et des principes. Le NIST (National Institute of Standards and Technology : agence coordinatrice des activités normatives au sein du gouvernement fédéral). Selon Interpol : « En 1986, l’ANSI, American National Standards Institute, représentant aux USA de l’ISO, a publié une norme destinée à faciliter la transmission des images d’empreintes digitales (ANSI/NBS-ICST 1-1986). Après une étude approfondie, à laquelle ont participé le ministère de l’Intérieur britannique et divers services de répression des États-Unis et du Canada, cette norme a été révisée par le NIST et publiée sous le nom de norme “ANSI/NIST-CSL 1-1993” » (cf. note 24).

21 Visa Information System.

22 Décision de la CE du 22 septembre 2006 établissant les spécifications techniques des normes relatives aux identificateurs biométriques pour le VIS, J.O. UE L 267, 27 septembre 2006.

23 Commission européenne.

24 L’OACI a travaillé sur ces normes avec l’aide d’Interpol. Sur l’OACI et le document 9303, cf. Preuss-Laussinotte 2006 ; Stanton 2008.

25 Cf. notamment http://www.interpol.int/Public/Forensic/fingerprints/RefDoc/FingerprintTransmissionFR.pdf (consulté le 12 avril 2010) ; Système d’échange AFIS (Automatic Fingerprint Identification System) http://www.interpol.int/Public/Forensic/fingerprints/RefDoc/AFISfr.pdf consulté le 12 avril 2010).

26 Décision 2006/758/CE de la CE du 22 septembre 2006 portant modification du manuel SIRENE, J.O. L. 317 du 16 novembre 2006.

27 Supplément d’information requis à l’entrée nationale.

28 Sirene Picture Transfer. Selon la Décision de la CE du 22 septembre 2006 portant modification du manuel SIRENE, la procédure SIRPIT « permet aux bureaux SIRENE, en cas de doute sur l’identité d’une personne donnée, d’échanger rapidement, par voie électronique, des empreintes digitales et des photographies, de manière à pouvoir comparer les empreintes et les photographies de la personne dont l’identité doit être établie à celles de la personne signalée » (§ 2-9-1).

29 Les accords de Schengen n’ayant pas prévu d’échanges de dossiers entre les États, des bureaux nationaux ont été créés dans tous les États Schengen : les SIRENE, dont le statut a été officialisé par la suite. Les bureaux SIRENE communiquent des informations supplémentaires sur les signalements et coordonnent les opérations relatives aux signalements enregistrés dans le SIS.

30 Conseil de l’UE, 22 mai 2006, Recommandation du Conseil concernant le projet SIRPIT.

31 Conçues avec l’aide de la Grande-Bretagne et adaptée par Interpol aux échanges internationaux, ce processus de normalisation s’inscrit dans un « large mouvement tendant à établir des normes et des standards dont les enjeux sont à la fois politiques et économiques » (OPECST, Office parlementaire d’évaluation des choix scientifiques et technologiques 2003 : 116). Interpol s’emploie à élaborer et à faire accepter des normes internationales permettant l’interopérabilité entre tous les systèmes automatisés de reconnaissance d’empreintes digitales (AFIS), quel qu’en soit le constructeur, et coordonne les travaux d’un groupe international d’experts sur l’utilisation de l’analyse de l’ADN comme technique d’enquête (OPECST, 2003 : 107)

32 Federal Bureau of Investigation.

33 Interchange of Data between Administrations. Décision no 1 719/1999/CE du Parlement européen et du Conseil en date du 12 juillet 1999 définissant un ensemble d’orientations, ainsi que des projets d’intérêt commun, en matière de réseaux transeuropéens pour l’échange électronique de données entre administrations (IDA), J.O. EU L 203 du 3 août 1999.

34 « Dans le cadre de la lutte contre le terrorisme et en vue d’améliorer la sécurité intérieure, le Conseil européen et le Conseil de l’Union européenne ont tous deux invité à plusieurs reprises la Commission à présenter des propositions visant à accroître l’efficacité et l’interopérabilité des bases de données européennes et à créer entre elles des synergies » (déclaration du 25 mars 2004 sur la lutte contre le terrorisme, programme de La Haye, déclaration du Conseil du 13 juillet 2005 sur la réaction de l’UE aux attentats de Londres). 

35 Communication de la CE au Conseil et au Parlement européen sur le renforcement de l’efficacité et de l’interopérabilité des bases de données européennes dans le domaine de la JAI (Justice affaires intérieures) et sur la création de synergies entre ces bases, 24 novembre 2005.

36 Automatic Fingerprint Identification System.

37 « Les pays occidentaux tentent, dans tous les domaines, d’imposer une normalisation qui corresponde à leurs propres systèmes de référence [...] mais selon des normes occidentales, voire américaines. L’ordre informatique qui se met en place aujourd’hui procède aussi au transfert en douceur d’un ordre normatif, à travers un ensemble de procédures de normalisation qui n’avaient pas pu aboutir dans d’autres domaines ».

38 Décision 2008/616/JAI du Conseil du 23 juin 2008 concernant la mise en oeuvre de la décision 2008/615/JAI relative à l’approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontalière J.O.UE L 210/12, 6 août. La décision 2008/616/JAI du 23 juin 2008 fixe ainsi les mesures nécessaires à la mise en œuvre de l’intégration du traité de Prüm à l’UE en établissant notamment l’ensemble des caractéristiques techniques nécessaires à l’échange et à l’interopérabilité des systèmes entre les États.

39 Contrôleur européen de la protection des données.

40 CEPD, Comments on the Communication of the Commission on interoperability of European data bases, 10 mars 2006.

41 Cf. note 43.

42 Communiqué de presse RAPID (Référence : IP/09/1295) en date du 10 septembre 2009, http://europa.eu/rapid/pressReleasesAction.do?reference=IP/09/1295&format=HTML&aged=0&language=FR&guiLanguage=fr (consulté le 12 avril 2010).

43 CEPD, « Accès des services de répression à Eurodac : le CEPD exprime de sérieuses réserves en ce qui concerne la légitimité et la nécessité des mesures protégées », communiqué de presse, 8 octobre 2009.

44 Règlement (CE) no 767/2008 du Parlement européen et du Conseil en date du 9 juillet 2008 concernant le VIS et l’échange de données entre les États membres sur les visas de court séjour (règlement VIS), J.O. UE L. 218/60 du 13 août 2008. Ce règlement élargit considérablement les possibilités d’accès au VIS.

45 CEDH, 17 juillet 2008, requête no 25 904/07, Na c. Royaume-Uni.

46 Autrement dit, des entreprises privées. Cf. Beaudu 2009.

47 Rapport du 29 novembre 2007 sur la proposition de règlement du Parlement européen et du Conseil modifiant les instructions consulaires communes adressées aux représentations diplomatiques et consulaires de carrière, en liaison avec l’introduction d’éléments d’identification biométriques et de dispositions relatives à l’organisation de la réception et du traitement des demandes de visa, COM(2006)0269 – C6-0166/2006 – 2006/0088(COD), Commission des libertés civiles, de la justice et des affaires intérieures.

48 Règlement (CE) no 390/2009 du Parlement et du Conseil du 23 avril 2009 modifiant les instructions consulaires communes concernant les visas adressées aux représentations diplomatiques et consulaires de carrière, en liaison avec l’introduction d’identifiants bio-métriques et de dispositions relatives à l’organisation de la réception et du traitement des demandes de visa.

49 Id.

50 Cf. l’article de Bernadette Dorizzi dans cet ouvrage.

51 La Convention du Conseil de l’Europe du 28 janvier 1981, la directive du 25 octobre 1995, et plus récemment (même si les textes n’en tiennent pas encore compte) la décision-cadre du 27 novembre 2008.

52 Cf. notamment l’article Claire Strugala dans cet ouvrage.

53 CEPD, Observations relatives à la communication de la Commission sur l’interopérabilité des bases de données européennes, 10 mars 2006, note 44.

54 Communication de la CE au Conseil et au Parlement européen sur le renforcement de l’efficacité et de l’interopérabilité des bases de données européennes dans le domaine de la justice et des affaires intérieures et sur la création de synergies entre ces bases, 24 novembre 2005.

55 Rapport de la CE au Parlement européen et au Conseil sur l’évaluation du système de Dublin, 6 juin 2007, COM (2007) 299 final.

56 Règlement.(CE) no 767/2008 du Parlement européen et du Conseil du 9 juillet 2008 concer-nant le VIS et l’échange de données entre les États membres sur les visas de court séjour, J.O. UE no L 218/60 du 13 août 2008, Considérant 5.

57 European Police Office.

58 Proposition de décision du Conseil confiant à l’agence créée par le règlement XX les tâches relatives à la gestion opérationnelle du SIS II et du VIS en application du titre VI du traité UE. COM(2009) 292 final ; COM(2009) 293 final, 26 juin 2009.

59 Communication de la CE relative au paquet législatif portant création d’une agence pour la gestion opérationnelle des systèmes d’information à grande échelle dans le domaine de la liberté, de la sécurité et de la justice, COM (2009) 292 final, 24 juin 2006.

60 Id.

61 Cf. le paragraphe 1.4 de la Communication (op. cit. note 59) : « La proposition est compatible avec les politiques existantes et les objectifs de l’UE, notamment celui consistant à mettre en place un espace de liberté, de sécurité et de justice ».

62 Op. cit., note 59.

63 Ibid.

64 CEDH, 4 décembre 2008, Requêtes nos 30562/04 et 30566/04, S. et Marper c. Royaume-Uni.

65 Article 3-2o, Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, J.O. UE L 281 du 23/11/1995.

66 Article 1-4, Décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale, J.O. UE L 350/60 du 30/12/2008.

67 Commission nationale de contrôle des interceptions de sécurité.

68 Commission nationale de l’informatique et des libertés.

69 European Network and Information Security Agency.

70 Ces documents contiennent généralement des identifiants biométriques et ils sont, pour la plupart, reliés à des bases de données biométriques.

71 28e Conférence internationale des commissaires à la protection des données et à la vie privée, Londres, novembre 2006, http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Cooperation/Conference_int/06-11-03_London_initiative_FR.pdf (consulté le 12 avril 2010).

72 Règlement (CE) no 767/2008 du Parlement européen et du Conseil en date du 9 juillet 2008 concernant le VIS..., op. cit.

73 Passenger Name Record.

74 En dernier ressort car, dans les deux systèmes, le contrôle du respect des normes en cause est d’abord confié aux juges nationaux. 

75 Advance Passenger Information System. CJCE, 30 mai 2006, affaire C-317/04, Parlement européen c/ Conseil, J.O. UE C 178/1, 29.7.2006.

© Éditions de la Maison des sciences de l’homme, 2011

Conditions d’utilisation : http://www.openedition.org/6540

Lire

Accès exclusif

Offert par