Intervention de Édouard Geffray

Quelques mots, d'ordre général, à propos du contexte tout d'abord.

La Commission européenne a publié en avril 2016 une communication sur ce qu'elle appelle les « frontières intelligentes et l'interopérabilité des différentes bases de données européennes », qu'elle souhaitait améliorer grâce à différents scénarios.

On en distingue en général quatre : une interface de recherche unique commune à l'ensemble des fichiers européens, une interconnectivité entre les différents systèmes, un « service de base » du matching, et enfin ce que l'on peut qualifier de répertoire commun des données.

C'est dans ce contexte, je pense, que vos travaux s'inscrivent, en partant d'un paysage qui n'est peut-être pas un maquis, mais qui n'est pas non plus un jardin à la française.

Il existe différents systèmes regroupant des bases de données européennes.

Le premier, le système d'information Schengen (SIS), qui répertorie les personnes recherchées ou interdites de séjour, s'est musclé pour devenir le SIS II.

Le deuxième, le système d'information sur les visas (VIS), enregistre les demandeurs de visas de court séjour.

Le troisième, Eurodac, est centré sur les demandeurs d'asile et contient leurs données biométriques. Lorsqu'un individu est contrôlé dans un État membre, on interroge Eurodac pour savoir s'il a déjà été enregistré en tant que demandeur d'asile dans un autre pays. Si c'est le cas, il est réorienté vers ledit pays.

Enfin, il faut également mentionner l'Entry-Exit System, plus global.

Quel rôle la CNIL joue-t-elle ? Le rôle de la CNIL est assez clair. Il est organisé par les textes. Le contrôle des fiches communautaires résulte d'un système à triple étage. Le premier contrôle est exercé par le Contrôleur européen de la protection les données (CEPD). Cette institution représente en quelque sorte la CNIL des institutions communautaires.

Les différentes autorités nationales, dont la CNIL, sont réunies dans un groupe de coordination des contrôles afin de vérifier le bien-fondé et le bon fonctionnement des fichiers communautaires, comme Europol ou Eurojust.

Un troisième volet concerne l'autorité nationale - en France, la CNIL. C'est là que nous intervenons.

La CNIL a contrôlé et contrôle donc régulièrement le N-SIS, transcription nationale du système d'information Schengen, ainsi que le fichier des personnes recherchées (FPR), qui sert à alimenter le N-SIS. Nous avons également, pour la partie visas, une double traduction nationale avec, d'une part, le RMV2 (Réseau mondial visas 2) et, d'autre part VISABIO. Ces deux fichiers nationaux sont contrôlés par la CNIL.

Eurodac, fichier commun à l'ensemble de l'Union européenne, n'ayant en revanche pas de base nationale, nous ne sommes pas appelés à le contrôler.

La question qui se pose concerne l'interopérabilité ou l'interconnectivité entre ces différents fichiers, notamment entre SIS, VIS et Eurodac.

Une première précision de vocabulaire : il existe en fait différents schémas correspondant à un vocabulaire juridique relativement précis, que l'on retrouve dans la loi informatique et libertés.

On distingue tout d'abord la consultation. Il s'agit d'entrer un nom dans une interface pour interroger ensuite différentes bases de données. On le qualifie parfois de système « hit/no hit » : si le nom de quelqu'un qui a été entré dans la base de données ressort, le droit d'accès se déclenche, à condition que la personne qui effectue la recherche soit qualifiée pour accéder aux informations.

Le deuxième cas de figure que l'on distingue concerne le rapprochement. Il s'agit de comparer deux extraits de base de données dans une troisième « enveloppe » et de voir ce qui correspond ou non.

La troisième terminologie juridique est l'interconnexion, qui consiste à établir un pont entre deux fichiers et permettre la fluidité et la circulation de l'information.

L'interopérabilité n'existe pas aujourd'hui dans la loi, ni dans le futur règlement européen sur la protection des données personnelles. Il s'agit en fait de la condition technique de l'interconnexion : lorsque deux bases de données ont été développées dans deux systèmes différents, on fait en sorte que l'interconnexion puisse avoir lieu.

L'interopérabilité pose problème d'un point de vue technique, mais non juridique. Seule l'interconnexion se traduira par une intervention de la CNIL.

Vous avez compris qu'il existe différents systèmes correspondant à des degrés d'intégration plus ou moins élevés. Le premier, c'est l'interface unique, qui permet, à partir d'une seule plateforme, d'interroger différents fichiers. On est dans l'hypothèse de la consultation.

Le deuxième système, c'est l'interconnexion des systèmes d'information. Elle est en soi possible, à condition qu'elle reste en lien avec la finalité des traitements, dont il ne faut pas sortir. Elle n'est donc pas juridiquement exclue.

Le troisième dispositif qui pourrait être envisagé est celui de la citerne : on met en commun l'ensemble des contenus des fichiers, et on réalise un fichier central.

Cela pose évidemment à chaque fois des difficultés croissantes. Ce type d'environnement soulève notamment des questions assez lourdes de mise à jour, de fiabilité des données et de sécurité.

La question de la mise à jour n'est pas une question triviale. Dans un système comme le SIS, alimenté par des inscriptions nationales répercutées dans des fichiers nationaux, l'enjeu de fiabilisation des données est essentiel.

On peut être amené à refuser une demande de visa ou l'entrée sur le territoire européen à des personnes en droit de l'obtenir, la décision qui a présidé à l'opposition ayant été levée, tout comme on peut ne pas faire obstacle à l'entrée sur le territoire national ou européen d'une personne dont le signalement a bien été effectué en temps utile, mais n'a pas été répercuté au niveau central, et encore moins dans les systèmes nationaux.

Plus on réalise de fichiers centraux, plus on accroît le risque de pertes en ligne et de se retrouver en situation préjudiciable pour le droit des personnes ou pour l'intérêt et la sécurité publique.

Le deuxième enjeu est évidemment un enjeu de sécurité informatique. Je n'ai pas besoin d'y revenir : il suffit d'ouvrir la presse tous les jours pour mesurer que les questions de cybersécurité explosent.

À la CNIL, 85 % des 500 contrôles que nous effectuons chaque année nous amènent à émettre des recommandations, des injonctions ou à prendre des sanctions à propos de la sécurité des données.

Nous avons aujourd'hui là un enjeu de sécurité des données majeures. Les attaques peuvent en effet être relativement massives, et les moyens sont relativement considérables. Ce type d'informations très sensibles, regroupées « en citerne » au niveau communautaire ou national, présente un risque d'exposition plus grand que des fichiers segmentés, avec lesquels on opère ensuite d'éventuels ponts.