Mise à jour du système d’information Schengen

L’essentiel : Le Décret n° 2024-616 du 27 juin 2024 actualise le code de la sécurité intérieure en lien avec le système d’information Schengen (SIS). Cette mise à jour fait suite à l’adoption des règlements (UE) 2018/1860, 2018/1861 et 2018/1862, qui introduisent de nouvelles catégories de signalements et de données, notamment biométriques. Le décret précise les types de données pouvant être enregistrées, les personnes autorisées à y accéder, ainsi que les durées de conservation. Il vise à renforcer la sécurité tout en respectant les droits fondamentaux des individus, en conformité avec les normes européennes de protection des données.

Le Décret n° 2024-616 du 27 juin 2024 relatif à la partie nationale du système d’information Schengen procède à l’actualisation de plusieurs dispositions du code de la sécurité intérieure relatives au système d’information Schengen à la suite de l’adoption du règlement (UE) 2018/1860 du Parlement européen et du Conseil du 28 novembre 2018 relatif à l’utilisation du système d’information Schengen aux fins du retour des ressortissants de pays tiers en séjour irrégulier, du règlement (UE) 2018/1861 du Parlement européen et du Conseil du 28 novembre 2018 sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen (SIS) dans le domaine des vérifications aux frontières, ainsi que du règlement (UE) 2018/1862 du Parlement européen et du Conseil du 28 novembre 2018 sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale.

Le décret précise également les catégories de personnes et d’objets ainsi que les données qui peuvent être enregistrées dans le traitement, les personnes autorisées à accéder aux données et les durées de conservation des données. 

Décret n° 2024-616 du 27 juin 2024 sur le Système d’Information Schengen

I. Présentation et Evolution du Système d’Information Schengen (SIS)

Le Système d’Information Schengen (SIS) est un outil central pour la gestion des frontières et la sécurité au sein de l’espace Schengen. Initialement mis en place par l’article 92 de la convention d’application de l’accord de Schengen du 19 juin 1990, le SIS a évolué vers sa deuxième génération sous le règlement (CE) n° 1987/2006 et la décision 2007/533/JAI du Conseil. Cette évolution a permis l’intégration des empreintes digitales et des photographies aux signalements existants.

En mars 2023, une refonte significative a été effectuée sous les règlements (UE) 2018/1860, 2018/1861 et 2018/1862, qui ont introduit de nouveaux types de signalements et des catégories de données supplémentaires comme l’ADN. Ces modifications ont renforcé l’architecture du SIS, qui comprend un système central et un système national pour chaque État membre (N.SIS), ainsi que des infrastructures de communication.

II. Modifications Apportées par le Décret n° 2024-616

A. Conformité avec la Réglementation Européenne et la Protection des Données

Le ministère de l’intérieur a initié le décret pour aligner le N-SIS avec les derniers règlements européens et la législation sur la protection des données personnelles. Le décret modifie les articles R. 231-1 à R. 231-16 du code de la sécurité intérieure pour assurer cette conformité, tout en apportant une attention particulière aux données biométriques, considérées comme particulièrement sensibles.

B. Nouvelles Catégories de Signalements et Régime Juridique

Le projet de décret introduit de nouvelles catégories de signalements dans le N-SIS, permettant notamment l’enregistrement de données dactyloscopiques recueillies sur des scènes d’infractions graves. Ces données devront être traitées avec une haute probabilité qu’elles appartiennent à un auteur de l’infraction, pour éviter des erreurs d’identification.

III. Avis de la CNIL sur le Décret

La CNIL a exprimé des préoccupations spécifiques concernant les aspects de protection des données et de régime juridique des signalements dans le N-SIS. Elle a noté la nécessité d’une évaluation minutieuse de la conservation des signalements et des mesures garantissant la sécurité des données traitées. La CNIL a également recommandé des ajustements pour s’assurer que les droits des personnes concernées soient respectés, notamment en matière d’accès et de rectification des données.

IV. Implications et Application du Décret

L’application du décret n° 2024-616 du 27 juin 2024 a des implications directes pour le fonctionnement et la gestion du N-SIS en France. Elle nécessite une coordination étroite entre les autorités nationales, le système central Schengen, et les parties prenantes pour garantir l’efficacité et la conformité des procédures. Les modifications apportées visent à renforcer la sécurité tout en protégeant les droits fondamentaux des individus, en ligne avec les standards européens de protection des données et de gestion des frontières.

V. Historique du système d’information Schengen (SIS)

Pour rappel, le système d’information Schengen (SIS) constitue un système de partage d’informations utilisé pour la gestion des frontières et la sécurité. Il contient des signalements judiciaires et administratifs concernant des personnes et des objets (par exemple : signalements de personnes aux fins de non-admission sur le territoire ou en vue d’une arrestation, signalements concernant des objets aux fins de saisie ou à titre de preuve, etc.).

Le SIS a été initialement prévu par l’article 92 de la convention du 19 juin 1990 d’application de l’accord de Schengen du 14 juin 1985. La deuxième génération du SIS a, par la suite, été encadrée par le règlement (CE) n° 1987/2006 et la décision 2007/533/JAI du Conseil. Ces textes ont notamment ouvert la possibilité d’ajouter des empreintes digitales et des photographies aux signalements.

En mars 2023, le SIS a fait l’objet d’une refonte. Les règlements (UE) 2018/1860, 2018/1861 et 2018/1862 encadrent désormais le traitement et autorisent, en particulier, l’introduction de nouveaux types de signalements (signalements de personnes faisant l’objet d’une décision de retour, par exemple) ainsi que l’enregistrement de nouvelles catégories de données (ADN, par exemple).

Ces textes organisent l’architecture et le fonctionnement du dispositif, qui repose sur un système central, un système national pour chaque Etat membre (le N.SIS) ainsi que des infrastructures de communication.
Le N.SIS est constitué des systèmes de données nationaux reliés au SIS central et peut contenir un fichier de données (une « copie nationale ») comprenant une copie complète ou partielle de la base de données du SIS. Les données du SIS sont introduites, mises à jour, supprimées et consultées par le biais des différents N.SIS.
En France, le traitement « N-SIS » est alimenté à partir du fichier des personnes recherchées (FPR), du fichier des objets et des véhicules signalés (FOVeS) et du traitement « titres électroniques sécurisés » (TES). Le FPR a été récemment modifié pour prendre en compte l’évolution des dispositions encadrant le SIS et, ainsi, permettre la création de nouvelles catégories de signalements à partir du FPR (v. CNIL, SP, 6 juillet 2023, avis sur projet de décret, FPR, n° 2023-069, publié).

VI. La saisine de la CNIL

Avant l’adoption du Décret, le ministère de l’intérieur a saisi la CNIL d’un premier projet de décret modifiant les articles R. 231-1 à R. 231-16 du code de la sécurité intérieure (CSI) encadrant la mise en œuvre du N-SIS.
Il entend mettre en conformité le N-SIS avec :

• les nouveaux règlements européens encadrant le SIS (précités), entrés en application le 7 mars 2023 ;
• la règlementation en matière de protection des données à caractère personnel (loi « informatique et libertés » modifiée).

Dans le cadre de la marge de manœuvre laissée aux autorités nationales dans l’application du règlement, une vigilance particulière s’impose quant au traitement de données biométriques. Ces données, particulièrement sensibles, permettront en effet de consulter le SIS dans différents cadres et pourront être issues de différents fichiers nationaux. Elles devront, en particulier, avoir été initialement collectées pour des finalités compatibles avec celles poursuivies par le N-SIS.

A. – Sur les signalements introduits dans le N-SIS et le régime juridique applicabl

a) Nouvelles catégories de signalements :

Le projet de décret ajoute de nouvelles catégories de signalements pouvant être enregistrés dans le N-SIS, en application des règlements précités.

En particulier, il prévoit l’inscription de personnes recherchées inconnues à des fins d’identification, signalées par l’autorité judiciaire dans le cadre d’une procédure pénale. Ces signalements ne contiennent que des données dactyloscopiques « découvertes sur les lieux d’infractions terroristes ou d’autres infractions graves faisant l’objet d’une enquête » (art. 40 du règlement 2018/1862). Ils seront créés à partir du FPR.
La CNIL rappelle ses observations relatives aux conditions d’introduction de tels signalements (CNIL, SP, 6 juillet 2023, avis sur projet de décret, FPR, précité). Il conviendra, en particulier, de prendre les mesures nécessaires pour garantir que seules les traces pour lesquelles existe un « degré très élevé de probabilité qu’elles appartiennent à un auteur de l’infraction » alimentent ces signalements.

b) Régime juridique applicable à chaque signalement :

Le ministère précise qu’au regard de ses finalités, le N-SIS est un traitement « mixte » dont les données relèvent de trois régimes juridiques distincts.

En premier lieu, les données relevant du titre II de la loi « informatique et libertés » sont celles qui concernent les personnes signalées aux fins de retour, de non-admission ou d’interdiction de séjour ainsi que les personnes vulnérables devant être empêchées de voyager dans l’intérêt de leur propre protection.
En deuxième lieu, les données relevant du titre III concernent, par exemple : les personnes signalées en vue d’une arrestation aux fins de remise sur la base d’un mandat d’arrêt européen ou aux fins d’extradition, ou encore les personnes signalées par l’autorité judiciaire dans le cadre d’une procédure pénale ou pour la notification d’une décision pénale. Elles peuvent également concerner certaines personnes signalées aux fins de retour, de non-admission ou d’interdiction de séjour.

S’agissant de la détermination du périmètre des personnes concernées, la CNIL prend acte de ce qu’un tableau détaillant le régime juridique applicable à chaque signalement, en cours d’élaboration, lui sera transmis.
Par ailleurs, elle rappelle que la mise en œuvre de marqueurs spécifiques ou d’un dispositif équivalent pourra le cas échéant permettre de déterminer précisément les signalements et données relevant de chaque régime juridique, sur la base de critères précis (en ce sens, v. CNIL, SP, 25 juin 2020, avis sur projet de décret, PASP, n° 2020-064, publié).

En troisième lieu, le traitement des données qui concernent les personnes signalées aux fins de contrôles discrets, d’investigation ou spécifiques pour certains motifs serait encadré par les dispositions du titre IV de la loi « informatique et libertés ». En conséquence, le projet de décret prévoit que les droits d’accès, de rectification et d’effacement qui concernent ces données s’exercent auprès de la CNIL, dans les conditions prévues par l’article 118 de la loi « informatique et libertés » (droit d’accès indirect).
En parallèle, les règlements SIS :

• prévoient que les traitements effectués par les autorités et services nationaux compétents sont encadrés soit par les dispositions de la directive « police-justice », soit par celles du RGPD (art. 66 du règlement 2018/1862 et 51 du règlement 2018/1861) ;
• définissent un régime d’exercice des droits propre au SIS qui diffère de celui prévu par les dispositions pertinentes du titre IV (art. 67 du règlement 2018/1862 ; art. 52 et 53 du règlement 2018/1861) ;
• ne prévoient pas l’application d’autres règles de protection des données.

Au regard de ces éléments, la CNIL s’interroge sur l’applicabilité du titre IV de la loi « informatique et libertés » au N-SIS. Elle invite le ministère à engager une réflexion sur la possibilité de ne soumettre le traitement qu’aux titres II et III de cette loi.

En tout état de cause, les droits des personnes devraient être mis en œuvre conformément aux dispositions des règlements SIS, qui ne prévoient pas de droit d’accès indirect. La mise en place, dans tous les cas, d’une procédure d’exercice direct des droits (fût-ce avec des restrictions) et d’un point de contact unique contribuerait, en outre, à l’effectivité des droits des personnes concernées.
Il conviendrait, le cas échéant, d’adapter les dispositions du décret relatives à l’exercice des droits.

B. – Sur le traitement de données biométriques

a) La collecte et l’enregistrement de données biométriques :

S’agissant des conditions d’alimentation du SIS, les règlements européens précités prévoient que les données biométriques sont introduites dans un signalement « si elles sont disponibles » (art. 22 du règlement 2018/1862). Elles ne s’inscrivent pas parmi les catégories de données qui doivent, dans tous les cas, alimenter le SIS. Au-delà de ce critère de disponibilité :

• la décision d’alimenter un signalement en données biométriques devra être commandée par le principe de nécessité ;
• la transmission de telles données au N-SIS ainsi que leur traitement dans le fichier devront être conformes à la finalité ayant présidé leur collecte.

Conformément au principe de finalité, les données dactyloscopiques destinées aux signalements judiciaires seront issues du fichier automatisé des empreintes digitales (FAED).
L’alimentation des signalements à partir de ce fichier se fera via le numéro d’identifiant d’une personne physique lié à la procédure (IDPP), qui constitue une donnée à caractère personnel.

La CNIL rappelle avoir déjà eu à se prononcer sur un projet de traitement de l’IDPP, en tant qu’identifiant commun au fichier national automatisé des empreintes génétiques (FNAEG) et à d’autres fichiers de police. Dans ce cadre, elle a notamment considéré qu’une telle évolution devrait s’inscrire dans une réflexion approfondie pour identifier précisément l’objectif poursuivi et les conséquences d’une telle modification sur l’ensemble des traitements concernés (v. CNIL, SP, 7 janvier 2021, avis sur projet de décret, FNAEG, n° 2021-009, publié).
La CNIL devra, le cas échéant, être saisie pour avis de la modification des actes réglementaires encadrant les fichiers concernés. A défaut, l’IDPP ne pourra faire l’objet d’un traitement pour permettre l’alimentation du SIS en empreintes digitales.

Par ailleurs, les données dactyloscopiques des signalements émis à des fins de retour, de non-admission et d’interdiction de séjour seront issues de l’application de gestion des dossiers des ressortissants étrangers en France (AGDREF).

L’alimentation de ces signalements se fera via le numéro AGDREF, qui permettra au N-SIS de récupérer les empreintes digitales correspondantes sans que ces dernières ne passent par le FPR. Des travaux sont en cours pour déterminer les évolutions juridiques nécessaires à l’alimentation du N-SIS en empreintes issues d’AGDREF.

b) La consultation du N-SIS à partir de données biométriques :

Les règlements européens susmentionnés autorisent les recherches dans le SIS à partir de données biométriques et génétiques.
S’agissant en particulier des données dactyloscopiques, elles peuvent être utilisées notamment pour :

• confirmer l’identité d’une personne qui a été localisée à la suite d’une recherche alphanumérique effectuée dans le SIS ;
• et identifier une personne, lorsque l’identité de cette dernière ne peut être établie par d’autres moyens (articles 33 du règlement 2018/1861 et 43 du règlement 2018/1862).

Selon les précisions apportées, le N-SIS pourra faire l’objet d’une consultation par l’empreinte dans le cadre, notamment, d’une vérification d’identité, d’une vérification du droit au séjour ou d’une procédure judiciaire.
De manière générale, les comparaisons de données dactyloscopiques peuvent être sujettes à des taux de faux rejets élevés. En outre, dans le cas où ces comparaisons sont opérées dans le but d’identifier une personne « dont l’identité n’a pu être établie par d’autres moyens », la possibilité de fausse correspondance (en principe très faible) ne peut a priori être complètement négligée du fait de l’échelle européenne de la base de comparaison. La CNIL note que ce risque susceptible d’avoir un impact sur les personnes concernées n’est pas pris en compte dans l’analyse d’impact relative à la protection des données (AIPD). Elle invite le ministère à s’assurer qu’il est pris en compte par les services habilités à effectuer des recherches à partir de données dactyloscopiques via le SIS.

S’agissant des modalités de consultation, il s’agira d’interroger le N-SIS à partir des données collectées sur une interface qui serait commune au N-SIS et au FAED. La consultation biométrique du N-SIS sera néanmoins indépendante des flux de données qui concerneraient le FAED, de sorte qu’elle n’impliquera pas d’intégration préalable des empreintes dans le FAED.

Dans la mesure où l’interface précitée constituerait une composante du N-SIS, elle devrait être prise en compte dans l’AIPD afférente.

La CNIL prend acte des dernières précisions apportées selon lesquelles l’AIPD sera modifiée en ce sens.
Enfin, elle prend acte :

• de ce que la consultation par l’empreinte ne passera pas par le FPR, dans la mesure où les dispositions encadrant ce fichier n’autorisent pas le traitement de données biométriques ;
• de ce que la consultation du SIS à partir de photographies n’est, pour l’instant, pas envisagée.

C. – Sur le traitement de données génétiques

Le projet de décret autorise l’enregistrement d’« empreintes génétiques dans les cas prévus au paragraphe 3 de l’article 42 du règlement (UE) 2018/1862 » (pour les seuls signalements concernant les personnes disparues qui doivent être placées sous protection, et uniquement lorsque les photographies, images faciales et données dactyloscopiques ne sont pas disponibles ou ne permettent pas une identification).

Selon les précisions apportées par le ministère, cette modification vise à permettre l’enregistrement, dans le N-SIS, des empreintes génétiques qui seraient introduites par d’autres Etats membres. Il n’est, pour l’instant, pas prévu que les signalements émis par les autorités françaises soient alimentés en données génétiques ni que le N-SIS puisse être consulté à partir de telles données. Si cela devait être envisagé, des évolutions juridiques et techniques seraient nécessaires.

Dans une telle hypothèse, la CNIL devrait être saisie pour avis de la modification des textes réglementaires pertinents.

D. – Sur les durées de conservation et la mise à jour des données

Le projet de décret prévoit :

• des durées de conservation différenciées selon le signalement en cause, qui se calquent sur celles prévues par les règlements SIS ;
• que les signalements sont supprimés dans les conditions prévues par les ces mêmes règlements (conservation nécessaire aux finalités, délais de réexamen, différents motifs de suppression pour chaque catégorie de signalement).

Ces derniers prévoient, en particulier, que l’Etat membre signalant est tenu d’examiner la nécessité de conserver un signalement, avant l’expiration de sa durée de conservation, « au terme d’une évaluation individuelle globale ».

Selon les précisions apportées par le ministère, il revient aux services demandant la création d’un signalement dans le N-SIS de s’assurer de la nécessité et de la proportionnalité de l’inscription et du maintien de ce dernier.
La CNIL souligne qu’il appartiendra à la direction générale de la police nationale (DGPN), en tant que responsable de traitement, de garantir l’exactitude des données ainsi que la nécessité et la proportionnalité de leur traitement.

Elle invite le ministère à prendre toutes les mesures nécessaires à cette fin, en prévoyant par exemple des procédures de communication avec les différents services émetteurs de signalements ainsi qu’une formation des agents concernés.

En l’absence de telles mesures, un défaut de mise à jour des données pourrait avoir des conséquences importantes pour les personnes concernées. Différentes décisions, tels qu’un refus de visa ou d’entrée sur le territoire, par exemple, pourraient être prises au vu d’informations erronées.
Le projet de décret prévoit également que :

• « les données de chaque signalement ne peuvent être conservées une fois expirée la période de conservation prévue par le traitement national d’où elles sont issues » ;
• « la mise à jour ou la suppression des données dans le traitement national d’origine emporte la mise à jour ou la suppression des données correspondantes dans le traitement N-SIS ».

La CNIL prend acte de la mise en production prochaine d’un projet de synchronisation automatique des bases de données nationales alimentant le N-SIS.

E. – Sur les mesures de sécurité

Le ministère précise que l’homologation de sécurité du système est en cours. Cette homologation est rendue obligatoire par le décret n° 2022-513 du 8 avril 2022 relatif à la sécurité numérique du système d’information et de communication de l’Etat et de ses établissements publics, avant toute mise en exploitation d’un nouveau système ou dans les deux ans de l’entrée en vigueur de ce décret. Compte tenu du rôle pivot du système N-SIS et de ses nombreuses interconnexions, cette homologation apparaît à la CNIL comme un élément essentiel vis-à-vis de la sécurité du système d’information.

De façon très générale, la CNIL observe que la maîtrise du risque sur la confidentialité des données des personnes concernées par les signalements nationaux dépend en grande partie d’éléments qui échappent a priori à la responsabilité du ministère, dans la mesure où ils relèvent du système d’information central Schengen et de ses déclinaisons nationales dans les autres Etats membres.

a) Concernant la sécurité des accès au N-SIS :

Le N-SIS lui-même repose désormais sur une brique technique qui constitue à la fois la base de données des signalements, une suite applicative servant d’interface d’administration, de « connecteurs » assurant les échanges avec les fichiers auxquels N-SIS est interconnecté, ainsi que l’interface avec le système central Schengen. Cette brique technique concentre donc toutes les données et fonctions critiques du système. En particulier, son interface applicative permet de consulter, modifier ou supprimer toutes les données de signalements nationaux, et de consulter l’ensemble des signalements européens.

Bien que son accès soit réservé à un nombre limité d’utilisateurs (agents de maîtrise d’ouvrage et maîtrise d’œuvre NSIS, maîtrise d’ouvrage du bureau SIRENE et certains membres du bureau SIRENE), la sensibilité de l’interface applicative est telle que la CNIL invite le ministère à mettre en place, pour l’ensemble des accédants directs, une authentification multifacteur, en complément des mesures de filtrage d’adresses IP déjà en place.
Le ministère confirme par ailleurs que les opérations de la brique technique N-SIS font l’objet d’une journalisation propre, qui trace également les opérations mensuelles de synchronisation entre les systèmes d’information Schengen national et central. La durée de conservation de ces journaux est fixée à trois ans, ce qui apparaît justifié au regard des finalités du traitement.

b) Concernant le chiffrement des données :

Un chiffrement des flux de données est mis en œuvre entre le N-SIS et les systèmes d’information nationaux dès lors que ceux-ci sortent du périmètre du système d’information du ministère. Concernant les échanges avec le système d’information central Schengen, le ministère précise que les échanges passent par un réseau sécurisé européen, dont la politique de sécurité est déterminée par l’agence eu-LISA. La CNIL considère que ces mesures sont importantes pour assurer la sécurité des flux.

Concernant les données au repos, le ministère n’envisage pas de chiffrement de la base de données propre du N-SIS, considérant que le bénéfice de sécurité ne justifierait pas les inconvénients de cette mesure en termes de coût, de complexité et d’harmonisation européenne des formats de données. Toutefois, compte tenu de la concentration de données biométriques au sein de la base de données, la CNIL considère que le chiffrement des données au repos et leur sauvegarde, conformément à ses recommandations et à celles de l’ANSSI en la matière, constitue une mesure appropriée.

Q/R juridiques soulevées :

Quel est l’objectif principal du Décret n° 2024-616 du 27 juin 2024 ?

Le Décret n° 2024-616 du 27 juin 2024 a pour objectif principal d’actualiser les dispositions du code de la sécurité intérieure concernant le Système d’Information Schengen (SIS). Cette actualisation fait suite à l’adoption de plusieurs règlements européens, notamment le règlement (UE) 2018/1860, qui traite de l’utilisation du SIS pour le retour des ressortissants de pays tiers en séjour irrégulier. Le décret vise à garantir la conformité du système national d’information Schengen (N-SIS) avec ces nouvelles réglementations, tout en renforçant la protection des données personnelles, notamment celles considérées comme sensibles, telles que les données biométriques.

Quelles sont les principales modifications apportées par le Décret n° 2024-616 ?

Le Décret n° 2024-616 introduit plusieurs modifications significatives au N-SIS. Tout d’abord, il modifie les articles R. 231-1 à R. 231-16 du code de la sécurité intérieure pour assurer la conformité avec les règlements européens. Il introduit également de nouvelles catégories de signalements, notamment l’enregistrement de données dactyloscopiques recueillies sur des scènes d’infractions graves. Ces données doivent être traitées avec une haute probabilité d’appartenance à un auteur d’infraction, afin d’éviter les erreurs d’identification. De plus, le décret précise les catégories de personnes et d’objets pouvant être enregistrés, les données autorisées, ainsi que les durées de conservation des données.

Quel est le rôle de la CNIL dans le cadre de ce décret ?

La Commission Nationale de l’Informatique et des Libertés (CNIL) joue un rôle crucial dans l’évaluation du Décret n° 2024-616. Elle a exprimé des préoccupations concernant la protection des données et le régime juridique des signalements dans le N-SIS. La CNIL a souligné la nécessité d’une évaluation minutieuse des durées de conservation des signalements et des mesures de sécurité pour garantir la protection des données traitées. Elle a également recommandé des ajustements pour s’assurer que les droits des personnes concernées, tels que l’accès et la rectification des données, soient respectés. La CNIL a donc un rôle de surveillance et de conseil pour garantir la conformité du N-SIS avec les normes de protection des données.

Quelles sont les implications de l’application du Décret n° 2024-616 ?

L’application du Décret n° 2024-616 a des implications directes sur le fonctionnement et la gestion du N-SIS en France. Elle nécessite une coordination étroite entre les autorités nationales, le système central Schengen, et les parties prenantes pour garantir l’efficacité des procédures. Les modifications apportées visent à renforcer la sécurité tout en protégeant les droits fondamentaux des individus, conformément aux standards européens de protection des données. Cela implique également une mise à jour des pratiques de gestion des données, notamment en ce qui concerne la conservation et la mise à jour des signalements, afin d’éviter des conséquences négatives pour les personnes concernées, comme des refus de visa ou d’entrée sur le territoire.

Comment le Système d’Information Schengen (SIS) a-t-il évolué au fil du temps ?

Le Système d’Information Schengen (SIS) a connu plusieurs évolutions depuis sa création. Initialement mis en place par l’article 92 de la convention d’application de l’accord de Schengen en 1990, le SIS a été modernisé avec l’introduction de sa deuxième génération sous le règlement (CE) n° 1987/2006 et la décision 2007/533/JAI du Conseil. Cette évolution a permis d’intégrer des données biométriques, telles que les empreintes digitales et les photographies, aux signalements existants. En mars 2023, une refonte significative a été réalisée avec l’adoption des règlements (UE) 2018/1860, 2018/1861 et 2018/1862, qui ont introduit de nouveaux types de signalements et des catégories de données supplémentaires, comme l’ADN. Ces changements ont renforcé l’architecture du SIS, qui comprend un système central et un système national pour chaque État membre, ainsi que des infrastructures de communication.

Quelles sont les nouvelles catégories de signalements introduites par le décret ?

Le Décret n° 2024-616 introduit de nouvelles catégories de signalements dans le N-SIS. Parmi ces nouvelles catégories, on trouve l’enregistrement de données dactyloscopiques recueillies sur des scènes d’infractions graves. Ces données doivent être traitées avec une haute probabilité qu’elles appartiennent à un auteur de l’infraction, afin d’éviter des erreurs d’identification. Le décret prévoit également l’inscription de personnes recherchées inconnues à des fins d’identification, signalées par l’autorité judiciaire dans le cadre d’une procédure pénale. Ces signalements ne contiendront que des données dactyloscopiques découvertes sur les lieux d’infractions graves, comme les actes terroristes.

Quelles sont les mesures de sécurité prévues par le décret ?

Le Décret n° 2024-616 prévoit plusieurs mesures de sécurité pour protéger les données traitées dans le N-SIS. L’homologation de sécurité du système est en cours, conformément aux exigences du décret n° 2022-513 relatif à la sécurité numérique des systèmes d’information de l’État. Cette homologation est essentielle, compte tenu du rôle central du N-SIS et de ses interconnexions avec d’autres systèmes. Le ministère a également mis en place des mesures de sécurité pour l’accès au N-SIS, notamment une authentification multifacteur pour les utilisateurs. De plus, un chiffrement des flux de données est mis en œuvre pour sécuriser les échanges entre le N-SIS et les systèmes d’information nationaux. Cependant, le chiffrement des données au repos n’est pas prévu, bien que la CNIL recommande cette mesure en raison de la sensibilité des données biométriques.

L’essentiel : Le Décret n° 2024-616 du 27 juin 2024 actualise le code de la sécurité intérieure en lien avec le système d’information Schengen (SIS). Cette mise à jour fait suite à l’adoption des règlements (UE) 2018/1860, 2018/1861 et 2018/1862, qui introduisent de nouvelles catégories de signalements et de données, notamment biométriques. Le décret précise les types de données pouvant être enregistrées, les personnes autorisées à y accéder, ainsi que les durées de conservation. Il vise à renforcer la sécurité tout en respectant les droits fondamentaux des individus, en conformité avec les normes européennes de protection des données.

Le Décret n° 2024-616 du 27 juin 2024 relatif à la partie nationale du système d’information Schengen procède à l’actualisation de plusieurs dispositions du code de la sécurité intérieure relatives au système d’information Schengen à la suite de l’adoption du règlement (UE) 2018/1860 du Parlement européen et du Conseil du 28 novembre 2018 relatif à l’utilisation du système d’information Schengen aux fins du retour des ressortissants de pays tiers en séjour irrégulier, du règlement (UE) 2018/1861 du Parlement européen et du Conseil du 28 novembre 2018 sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen (SIS) dans le domaine des vérifications aux frontières, ainsi que du règlement (UE) 2018/1862 du Parlement européen et du Conseil du 28 novembre 2018 sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale.

Le décret précise également les catégories de personnes et d’objets ainsi que les données qui peuvent être enregistrées dans le traitement, les personnes autorisées à accéder aux données et les durées de conservation des données. 

Décret n° 2024-616 du 27 juin 2024 sur le Système d’Information Schengen

I. Présentation et Evolution du Système d’Information Schengen (SIS)

Le Système d’Information Schengen (SIS) est un outil central pour la gestion des frontières et la sécurité au sein de l’espace Schengen. Initialement mis en place par l’article 92 de la convention d’application de l’accord de Schengen du 19 juin 1990, le SIS a évolué vers sa deuxième génération sous le règlement (CE) n° 1987/2006 et la décision 2007/533/JAI du Conseil. Cette évolution a permis l’intégration des empreintes digitales et des photographies aux signalements existants.

En mars 2023, une refonte significative a été effectuée sous les règlements (UE) 2018/1860, 2018/1861 et 2018/1862, qui ont introduit de nouveaux types de signalements et des catégories de données supplémentaires comme l’ADN. Ces modifications ont renforcé l’architecture du SIS, qui comprend un système central et un système national pour chaque État membre (N.SIS), ainsi que des infrastructures de communication.

II. Modifications Apportées par le Décret n° 2024-616

A. Conformité avec la Réglementation Européenne et la Protection des Données

Le ministère de l’intérieur a initié le décret pour aligner le N-SIS avec les derniers règlements européens et la législation sur la protection des données personnelles. Le décret modifie les articles R. 231-1 à R. 231-16 du code de la sécurité intérieure pour assurer cette conformité, tout en apportant une attention particulière aux données biométriques, considérées comme particulièrement sensibles.

B. Nouvelles Catégories de Signalements et Régime Juridique

Le projet de décret introduit de nouvelles catégories de signalements dans le N-SIS, permettant notamment l’enregistrement de données dactyloscopiques recueillies sur des scènes d’infractions graves. Ces données devront être traitées avec une haute probabilité qu’elles appartiennent à un auteur de l’infraction, pour éviter des erreurs d’identification.

III. Avis de la CNIL sur le Décret

La CNIL a exprimé des préoccupations spécifiques concernant les aspects de protection des données et de régime juridique des signalements dans le N-SIS. Elle a noté la nécessité d’une évaluation minutieuse de la conservation des signalements et des mesures garantissant la sécurité des données traitées. La CNIL a également recommandé des ajustements pour s’assurer que les droits des personnes concernées soient respectés, notamment en matière d’accès et de rectification des données.

IV. Implications et Application du Décret

L’application du décret n° 2024-616 du 27 juin 2024 a des implications directes pour le fonctionnement et la gestion du N-SIS en France. Elle nécessite une coordination étroite entre les autorités nationales, le système central Schengen, et les parties prenantes pour garantir l’efficacité et la conformité des procédures. Les modifications apportées visent à renforcer la sécurité tout en protégeant les droits fondamentaux des individus, en ligne avec les standards européens de protection des données et de gestion des frontières.

V. Historique du système d’information Schengen (SIS)

Pour rappel, le système d’information Schengen (SIS) constitue un système de partage d’informations utilisé pour la gestion des frontières et la sécurité. Il contient des signalements judiciaires et administratifs concernant des personnes et des objets (par exemple : signalements de personnes aux fins de non-admission sur le territoire ou en vue d’une arrestation, signalements concernant des objets aux fins de saisie ou à titre de preuve, etc.).

Le SIS a été initialement prévu par l’article 92 de la convention du 19 juin 1990 d’application de l’accord de Schengen du 14 juin 1985. La deuxième génération du SIS a, par la suite, été encadrée par le règlement (CE) n° 1987/2006 et la décision 2007/533/JAI du Conseil. Ces textes ont notamment ouvert la possibilité d’ajouter des empreintes digitales et des photographies aux signalements.

En mars 2023, le SIS a fait l’objet d’une refonte. Les règlements (UE) 2018/1860, 2018/1861 et 2018/1862 encadrent désormais le traitement et autorisent, en particulier, l’introduction de nouveaux types de signalements (signalements de personnes faisant l’objet d’une décision de retour, par exemple) ainsi que l’enregistrement de nouvelles catégories de données (ADN, par exemple).

Ces textes organisent l’architecture et le fonctionnement du dispositif, qui repose sur un système central, un système national pour chaque Etat membre (le N.SIS) ainsi que des infrastructures de communication.
Le N.SIS est constitué des systèmes de données nationaux reliés au SIS central et peut contenir un fichier de données (une « copie nationale ») comprenant une copie complète ou partielle de la base de données du SIS. Les données du SIS sont introduites, mises à jour, supprimées et consultées par le biais des différents N.SIS.
En France, le traitement « N-SIS » est alimenté à partir du fichier des personnes recherchées (FPR), du fichier des objets et des véhicules signalés (FOVeS) et du traitement « titres électroniques sécurisés » (TES). Le FPR a été récemment modifié pour prendre en compte l’évolution des dispositions encadrant le SIS et, ainsi, permettre la création de nouvelles catégories de signalements à partir du FPR (v. CNIL, SP, 6 juillet 2023, avis sur projet de décret, FPR, n° 2023-069, publié).

VI. La saisine de la CNIL

Avant l’adoption du Décret, le ministère de l’intérieur a saisi la CNIL d’un premier projet de décret modifiant les articles R. 231-1 à R. 231-16 du code de la sécurité intérieure (CSI) encadrant la mise en œuvre du N-SIS.
Il entend mettre en conformité le N-SIS avec :

• les nouveaux règlements européens encadrant le SIS (précités), entrés en application le 7 mars 2023 ;
• la règlementation en matière de protection des données à caractère personnel (loi « informatique et libertés » modifiée).

Dans le cadre de la marge de manœuvre laissée aux autorités nationales dans l’application du règlement, une vigilance particulière s’impose quant au traitement de données biométriques. Ces données, particulièrement sensibles, permettront en effet de consulter le SIS dans différents cadres et pourront être issues de différents fichiers nationaux. Elles devront, en particulier, avoir été initialement collectées pour des finalités compatibles avec celles poursuivies par le N-SIS.

A. – Sur les signalements introduits dans le N-SIS et le régime juridique applicabl

a) Nouvelles catégories de signalements :

Le projet de décret ajoute de nouvelles catégories de signalements pouvant être enregistrés dans le N-SIS, en application des règlements précités.

En particulier, il prévoit l’inscription de personnes recherchées inconnues à des fins d’identification, signalées par l’autorité judiciaire dans le cadre d’une procédure pénale. Ces signalements ne contiennent que des données dactyloscopiques « découvertes sur les lieux d’infractions terroristes ou d’autres infractions graves faisant l’objet d’une enquête » (art. 40 du règlement 2018/1862). Ils seront créés à partir du FPR.
La CNIL rappelle ses observations relatives aux conditions d’introduction de tels signalements (CNIL, SP, 6 juillet 2023, avis sur projet de décret, FPR, précité). Il conviendra, en particulier, de prendre les mesures nécessaires pour garantir que seules les traces pour lesquelles existe un « degré très élevé de probabilité qu’elles appartiennent à un auteur de l’infraction » alimentent ces signalements.

b) Régime juridique applicable à chaque signalement :

Le ministère précise qu’au regard de ses finalités, le N-SIS est un traitement « mixte » dont les données relèvent de trois régimes juridiques distincts.

En premier lieu, les données relevant du titre II de la loi « informatique et libertés » sont celles qui concernent les personnes signalées aux fins de retour, de non-admission ou d’interdiction de séjour ainsi que les personnes vulnérables devant être empêchées de voyager dans l’intérêt de leur propre protection.
En deuxième lieu, les données relevant du titre III concernent, par exemple : les personnes signalées en vue d’une arrestation aux fins de remise sur la base d’un mandat d’arrêt européen ou aux fins d’extradition, ou encore les personnes signalées par l’autorité judiciaire dans le cadre d’une procédure pénale ou pour la notification d’une décision pénale. Elles peuvent également concerner certaines personnes signalées aux fins de retour, de non-admission ou d’interdiction de séjour.

S’agissant de la détermination du périmètre des personnes concernées, la CNIL prend acte de ce qu’un tableau détaillant le régime juridique applicable à chaque signalement, en cours d’élaboration, lui sera transmis.
Par ailleurs, elle rappelle que la mise en œuvre de marqueurs spécifiques ou d’un dispositif équivalent pourra le cas échéant permettre de déterminer précisément les signalements et données relevant de chaque régime juridique, sur la base de critères précis (en ce sens, v. CNIL, SP, 25 juin 2020, avis sur projet de décret, PASP, n° 2020-064, publié).

En troisième lieu, le traitement des données qui concernent les personnes signalées aux fins de contrôles discrets, d’investigation ou spécifiques pour certains motifs serait encadré par les dispositions du titre IV de la loi « informatique et libertés ». En conséquence, le projet de décret prévoit que les droits d’accès, de rectification et d’effacement qui concernent ces données s’exercent auprès de la CNIL, dans les conditions prévues par l’article 118 de la loi « informatique et libertés » (droit d’accès indirect).
En parallèle, les règlements SIS :

• prévoient que les traitements effectués par les autorités et services nationaux compétents sont encadrés soit par les dispositions de la directive « police-justice », soit par celles du RGPD (art. 66 du règlement 2018/1862 et 51 du règlement 2018/1861) ;
• définissent un régime d’exercice des droits propre au SIS qui diffère de celui prévu par les dispositions pertinentes du titre IV (art. 67 du règlement 2018/1862 ; art. 52 et 53 du règlement 2018/1861) ;
• ne prévoient pas l’application d’autres règles de protection des données.

Au regard de ces éléments, la CNIL s’interroge sur l’applicabilité du titre IV de la loi « informatique et libertés » au N-SIS. Elle invite le ministère à engager une réflexion sur la possibilité de ne soumettre le traitement qu’aux titres II et III de cette loi.

En tout état de cause, les droits des personnes devraient être mis en œuvre conformément aux dispositions des règlements SIS, qui ne prévoient pas de droit d’accès indirect. La mise en place, dans tous les cas, d’une procédure d’exercice direct des droits (fût-ce avec des restrictions) et d’un point de contact unique contribuerait, en outre, à l’effectivité des droits des personnes concernées.
Il conviendrait, le cas échéant, d’adapter les dispositions du décret relatives à l’exercice des droits.

B. – Sur le traitement de données biométriques

a) La collecte et l’enregistrement de données biométriques :

S’agissant des conditions d’alimentation du SIS, les règlements européens précités prévoient que les données biométriques sont introduites dans un signalement « si elles sont disponibles » (art. 22 du règlement 2018/1862). Elles ne s’inscrivent pas parmi les catégories de données qui doivent, dans tous les cas, alimenter le SIS. Au-delà de ce critère de disponibilité :

• la décision d’alimenter un signalement en données biométriques devra être commandée par le principe de nécessité ;
• la transmission de telles données au N-SIS ainsi que leur traitement dans le fichier devront être conformes à la finalité ayant présidé leur collecte.

Conformément au principe de finalité, les données dactyloscopiques destinées aux signalements judiciaires seront issues du fichier automatisé des empreintes digitales (FAED).
L’alimentation des signalements à partir de ce fichier se fera via le numéro d’identifiant d’une personne physique lié à la procédure (IDPP), qui constitue une donnée à caractère personnel.

La CNIL rappelle avoir déjà eu à se prononcer sur un projet de traitement de l’IDPP, en tant qu’identifiant commun au fichier national automatisé des empreintes génétiques (FNAEG) et à d’autres fichiers de police. Dans ce cadre, elle a notamment considéré qu’une telle évolution devrait s’inscrire dans une réflexion approfondie pour identifier précisément l’objectif poursuivi et les conséquences d’une telle modification sur l’ensemble des traitements concernés (v. CNIL, SP, 7 janvier 2021, avis sur projet de décret, FNAEG, n° 2021-009, publié).
La CNIL devra, le cas échéant, être saisie pour avis de la modification des actes réglementaires encadrant les fichiers concernés. A défaut, l’IDPP ne pourra faire l’objet d’un traitement pour permettre l’alimentation du SIS en empreintes digitales.

Par ailleurs, les données dactyloscopiques des signalements émis à des fins de retour, de non-admission et d’interdiction de séjour seront issues de l’application de gestion des dossiers des ressortissants étrangers en France (AGDREF).

L’alimentation de ces signalements se fera via le numéro AGDREF, qui permettra au N-SIS de récupérer les empreintes digitales correspondantes sans que ces dernières ne passent par le FPR. Des travaux sont en cours pour déterminer les évolutions juridiques nécessaires à l’alimentation du N-SIS en empreintes issues d’AGDREF.

b) La consultation du N-SIS à partir de données biométriques :

Les règlements européens susmentionnés autorisent les recherches dans le SIS à partir de données biométriques et génétiques.
S’agissant en particulier des données dactyloscopiques, elles peuvent être utilisées notamment pour :

• confirmer l’identité d’une personne qui a été localisée à la suite d’une recherche alphanumérique effectuée dans le SIS ;
• et identifier une personne, lorsque l’identité de cette dernière ne peut être établie par d’autres moyens (articles 33 du règlement 2018/1861 et 43 du règlement 2018/1862).

Selon les précisions apportées, le N-SIS pourra faire l’objet d’une consultation par l’empreinte dans le cadre, notamment, d’une vérification d’identité, d’une vérification du droit au séjour ou d’une procédure judiciaire.
De manière générale, les comparaisons de données dactyloscopiques peuvent être sujettes à des taux de faux rejets élevés. En outre, dans le cas où ces comparaisons sont opérées dans le but d’identifier une personne « dont l’identité n’a pu être établie par d’autres moyens », la possibilité de fausse correspondance (en principe très faible) ne peut a priori être complètement négligée du fait de l’échelle européenne de la base de comparaison. La CNIL note que ce risque susceptible d’avoir un impact sur les personnes concernées n’est pas pris en compte dans l’analyse d’impact relative à la protection des données (AIPD). Elle invite le ministère à s’assurer qu’il est pris en compte par les services habilités à effectuer des recherches à partir de données dactyloscopiques via le SIS.

S’agissant des modalités de consultation, il s’agira d’interroger le N-SIS à partir des données collectées sur une interface qui serait commune au N-SIS et au FAED. La consultation biométrique du N-SIS sera néanmoins indépendante des flux de données qui concerneraient le FAED, de sorte qu’elle n’impliquera pas d’intégration préalable des empreintes dans le FAED.

Dans la mesure où l’interface précitée constituerait une composante du N-SIS, elle devrait être prise en compte dans l’AIPD afférente.

La CNIL prend acte des dernières précisions apportées selon lesquelles l’AIPD sera modifiée en ce sens.
Enfin, elle prend acte :

• de ce que la consultation par l’empreinte ne passera pas par le FPR, dans la mesure où les dispositions encadrant ce fichier n’autorisent pas le traitement de données biométriques ;
• de ce que la consultation du SIS à partir de photographies n’est, pour l’instant, pas envisagée.

C. – Sur le traitement de données génétiques

Le projet de décret autorise l’enregistrement d’« empreintes génétiques dans les cas prévus au paragraphe 3 de l’article 42 du règlement (UE) 2018/1862 » (pour les seuls signalements concernant les personnes disparues qui doivent être placées sous protection, et uniquement lorsque les photographies, images faciales et données dactyloscopiques ne sont pas disponibles ou ne permettent pas une identification).

Selon les précisions apportées par le ministère, cette modification vise à permettre l’enregistrement, dans le N-SIS, des empreintes génétiques qui seraient introduites par d’autres Etats membres. Il n’est, pour l’instant, pas prévu que les signalements émis par les autorités françaises soient alimentés en données génétiques ni que le N-SIS puisse être consulté à partir de telles données. Si cela devait être envisagé, des évolutions juridiques et techniques seraient nécessaires.

Dans une telle hypothèse, la CNIL devrait être saisie pour avis de la modification des textes réglementaires pertinents.

D. – Sur les durées de conservation et la mise à jour des données

Le projet de décret prévoit :

• des durées de conservation différenciées selon le signalement en cause, qui se calquent sur celles prévues par les règlements SIS ;
• que les signalements sont supprimés dans les conditions prévues par les ces mêmes règlements (conservation nécessaire aux finalités, délais de réexamen, différents motifs de suppression pour chaque catégorie de signalement).

Ces derniers prévoient, en particulier, que l’Etat membre signalant est tenu d’examiner la nécessité de conserver un signalement, avant l’expiration de sa durée de conservation, « au terme d’une évaluation individuelle globale ».

Selon les précisions apportées par le ministère, il revient aux services demandant la création d’un signalement dans le N-SIS de s’assurer de la nécessité et de la proportionnalité de l’inscription et du maintien de ce dernier.
La CNIL souligne qu’il appartiendra à la direction générale de la police nationale (DGPN), en tant que responsable de traitement, de garantir l’exactitude des données ainsi que la nécessité et la proportionnalité de leur traitement.

Elle invite le ministère à prendre toutes les mesures nécessaires à cette fin, en prévoyant par exemple des procédures de communication avec les différents services émetteurs de signalements ainsi qu’une formation des agents concernés.

En l’absence de telles mesures, un défaut de mise à jour des données pourrait avoir des conséquences importantes pour les personnes concernées. Différentes décisions, tels qu’un refus de visa ou d’entrée sur le territoire, par exemple, pourraient être prises au vu d’informations erronées.
Le projet de décret prévoit également que :

• « les données de chaque signalement ne peuvent être conservées une fois expirée la période de conservation prévue par le traitement national d’où elles sont issues » ;
• « la mise à jour ou la suppression des données dans le traitement national d’origine emporte la mise à jour ou la suppression des données correspondantes dans le traitement N-SIS ».

La CNIL prend acte de la mise en production prochaine d’un projet de synchronisation automatique des bases de données nationales alimentant le N-SIS.

E. – Sur les mesures de sécurité

Le ministère précise que l’homologation de sécurité du système est en cours. Cette homologation est rendue obligatoire par le décret n° 2022-513 du 8 avril 2022 relatif à la sécurité numérique du système d’information et de communication de l’Etat et de ses établissements publics, avant toute mise en exploitation d’un nouveau système ou dans les deux ans de l’entrée en vigueur de ce décret. Compte tenu du rôle pivot du système N-SIS et de ses nombreuses interconnexions, cette homologation apparaît à la CNIL comme un élément essentiel vis-à-vis de la sécurité du système d’information.

De façon très générale, la CNIL observe que la maîtrise du risque sur la confidentialité des données des personnes concernées par les signalements nationaux dépend en grande partie d’éléments qui échappent a priori à la responsabilité du ministère, dans la mesure où ils relèvent du système d’information central Schengen et de ses déclinaisons nationales dans les autres Etats membres.

a) Concernant la sécurité des accès au N-SIS :

Le N-SIS lui-même repose désormais sur une brique technique qui constitue à la fois la base de données des signalements, une suite applicative servant d’interface d’administration, de « connecteurs » assurant les échanges avec les fichiers auxquels N-SIS est interconnecté, ainsi que l’interface avec le système central Schengen. Cette brique technique concentre donc toutes les données et fonctions critiques du système. En particulier, son interface applicative permet de consulter, modifier ou supprimer toutes les données de signalements nationaux, et de consulter l’ensemble des signalements européens.

Bien que son accès soit réservé à un nombre limité d’utilisateurs (agents de maîtrise d’ouvrage et maîtrise d’œuvre NSIS, maîtrise d’ouvrage du bureau SIRENE et certains membres du bureau SIRENE), la sensibilité de l’interface applicative est telle que la CNIL invite le ministère à mettre en place, pour l’ensemble des accédants directs, une authentification multifacteur, en complément des mesures de filtrage d’adresses IP déjà en place.
Le ministère confirme par ailleurs que les opérations de la brique technique N-SIS font l’objet d’une journalisation propre, qui trace également les opérations mensuelles de synchronisation entre les systèmes d’information Schengen national et central. La durée de conservation de ces journaux est fixée à trois ans, ce qui apparaît justifié au regard des finalités du traitement.

b) Concernant le chiffrement des données :

Un chiffrement des flux de données est mis en œuvre entre le N-SIS et les systèmes d’information nationaux dès lors que ceux-ci sortent du périmètre du système d’information du ministère. Concernant les échanges avec le système d’information central Schengen, le ministère précise que les échanges passent par un réseau sécurisé européen, dont la politique de sécurité est déterminée par l’agence eu-LISA. La CNIL considère que ces mesures sont importantes pour assurer la sécurité des flux.

Concernant les données au repos, le ministère n’envisage pas de chiffrement de la base de données propre du N-SIS, considérant que le bénéfice de sécurité ne justifierait pas les inconvénients de cette mesure en termes de coût, de complexité et d’harmonisation européenne des formats de données. Toutefois, compte tenu de la concentration de données biométriques au sein de la base de données, la CNIL considère que le chiffrement des données au repos et leur sauvegarde, conformément à ses recommandations et à celles de l’ANSSI en la matière, constitue une mesure appropriée.

Q/R juridiques soulevées :

Quel est l’objectif principal du Décret n° 2024-616 du 27 juin 2024 ?

Le Décret n° 2024-616 du 27 juin 2024 a pour objectif principal d’actualiser les dispositions du code de la sécurité intérieure concernant le Système d’Information Schengen (SIS). Cette actualisation fait suite à l’adoption de plusieurs règlements européens, notamment le règlement (UE) 2018/1860, qui traite de l’utilisation du SIS pour le retour des ressortissants de pays tiers en séjour irrégulier. Le décret vise à garantir la conformité du système national d’information Schengen (N-SIS) avec ces nouvelles réglementations, tout en renforçant la protection des données personnelles, notamment celles considérées comme sensibles, telles que les données biométriques.

Quelles sont les principales modifications apportées par le Décret n° 2024-616 ?

Le Décret n° 2024-616 introduit plusieurs modifications significatives au N-SIS. Tout d’abord, il modifie les articles R. 231-1 à R. 231-16 du code de la sécurité intérieure pour assurer la conformité avec les règlements européens. Il introduit également de nouvelles catégories de signalements, notamment l’enregistrement de données dactyloscopiques recueillies sur des scènes d’infractions graves. Ces données doivent être traitées avec une haute probabilité d’appartenance à un auteur d’infraction, afin d’éviter les erreurs d’identification. De plus, le décret précise les catégories de personnes et d’objets pouvant être enregistrés, les données autorisées, ainsi que les durées de conservation des données.

Quel est le rôle de la CNIL dans le cadre de ce décret ?

La Commission Nationale de l’Informatique et des Libertés (CNIL) joue un rôle crucial dans l’évaluation du Décret n° 2024-616. Elle a exprimé des préoccupations concernant la protection des données et le régime juridique des signalements dans le N-SIS. La CNIL a souligné la nécessité d’une évaluation minutieuse des durées de conservation des signalements et des mesures de sécurité pour garantir la protection des données traitées. Elle a également recommandé des ajustements pour s’assurer que les droits des personnes concernées, tels que l’accès et la rectification des données, soient respectés. La CNIL a donc un rôle de surveillance et de conseil pour garantir la conformité du N-SIS avec les normes de protection des données.

Quelles sont les implications de l’application du Décret n° 2024-616 ?

L’application du Décret n° 2024-616 a des implications directes sur le fonctionnement et la gestion du N-SIS en France. Elle nécessite une coordination étroite entre les autorités nationales, le système central Schengen, et les parties prenantes pour garantir l’efficacité des procédures. Les modifications apportées visent à renforcer la sécurité tout en protégeant les droits fondamentaux des individus, conformément aux standards européens de protection des données. Cela implique également une mise à jour des pratiques de gestion des données, notamment en ce qui concerne la conservation et la mise à jour des signalements, afin d’éviter des conséquences négatives pour les personnes concernées, comme des refus de visa ou d’entrée sur le territoire.

Comment le Système d’Information Schengen (SIS) a-t-il évolué au fil du temps ?

Le Système d’Information Schengen (SIS) a connu plusieurs évolutions depuis sa création. Initialement mis en place par l’article 92 de la convention d’application de l’accord de Schengen en 1990, le SIS a été modernisé avec l’introduction de sa deuxième génération sous le règlement (CE) n° 1987/2006 et la décision 2007/533/JAI du Conseil. Cette évolution a permis d’intégrer des données biométriques, telles que les empreintes digitales et les photographies, aux signalements existants. En mars 2023, une refonte significative a été réalisée avec l’adoption des règlements (UE) 2018/1860, 2018/1861 et 2018/1862, qui ont introduit de nouveaux types de signalements et des catégories de données supplémentaires, comme l’ADN. Ces changements ont renforcé l’architecture du SIS, qui comprend un système central et un système national pour chaque État membre, ainsi que des infrastructures de communication.

Quelles sont les nouvelles catégories de signalements introduites par le décret ?

Le Décret n° 2024-616 introduit de nouvelles catégories de signalements dans le N-SIS. Parmi ces nouvelles catégories, on trouve l’enregistrement de données dactyloscopiques recueillies sur des scènes d’infractions graves. Ces données doivent être traitées avec une haute probabilité qu’elles appartiennent à un auteur de l’infraction, afin d’éviter des erreurs d’identification. Le décret prévoit également l’inscription de personnes recherchées inconnues à des fins d’identification, signalées par l’autorité judiciaire dans le cadre d’une procédure pénale. Ces signalements ne contiendront que des données dactyloscopiques découvertes sur les lieux d’infractions graves, comme les actes terroristes.

Quelles sont les mesures de sécurité prévues par le décret ?

Le Décret n° 2024-616 prévoit plusieurs mesures de sécurité pour protéger les données traitées dans le N-SIS. L’homologation de sécurité du système est en cours, conformément aux exigences du décret n° 2022-513 relatif à la sécurité numérique des systèmes d’information de l’État. Cette homologation est essentielle, compte tenu du rôle central du N-SIS et de ses interconnexions avec d’autres systèmes. Le ministère a également mis en place des mesures de sécurité pour l’accès au N-SIS, notamment une authentification multifacteur pour les utilisateurs. De plus, un chiffrement des flux de données est mis en œuvre pour sécuriser les échanges entre le N-SIS et les systèmes d’information nationaux. Cependant, le chiffrement des données au repos n’est pas prévu, bien que la CNIL recommande cette mesure en raison de la sensibilité des données biométriques.