Intervention de Édouard Geffray

La CNIL intervient à deux niveaux, nationalement tout d'abord, pour traiter des bases comme le N-SIS, qui constitue la déclinaison nationale du fichier commun, et elle contrôle également les fichiers communs, qu'il s'agisse du SIS, d'Eurodac, d'Europol, d'Eurojust ou, demain, du PNR.

Le contrôle de ces fichiers est assuré par un groupe de coordination des autorités de contrôle. C'est dans ce cadre que la CNIL, qui y siège, opère ses contrôles. Un commissaire de la CNIL, qui fait partie des dix-sept membres du collège, s'y rend. Pour ce qui concerne le SIS, la règle est au minimum de deux réunions par an, parfois plus.

La Commission européenne a elle-même constitué une mission d'évaluation du SIS, au cours de laquelle elle a été amenée à auditionner la CNIL.

La CNIL, qui possède un pouvoir de contrôle que je qualifierai de fort et de complet au plan national, qu'elle partage avec ses homologues européens, agit également en interaction avec les pouvoirs publics européens ou nationaux.

Second élément : le G29, qui constitue le groupe des CNIL européennes, est lui-même compétent pour fournir des avis à la Commission européenne sur ses projets éventuels. Dans le cadre de ce G29, la CNIL, qui en assure la présidence depuis trois ans et pour une année encore, est amenée à faire valoir un certain nombre de positions ou de retours d'expérience, juridiques ou technologiques. C'est ici que l'on retrouve la question de l'interopérabilité.

Que contrôle-t-on ? La CNIL n'est pas un développeur informatique. Elle n'est pas là pour encourager ou décourager l'interopérabilité des systèmes, mais pour contrôler ce qu'on lui soumet. En revanche, elle apporte une double expertise juridique et technologique. Par exemple, lorsqu'elle constate le fonctionnement de deux fichiers interopérables, elle s'assure des conditions de mise à jour.

Nous sommes donc amenés, dans le cadre du contrôle du SIS et du N-SIS, à vérifier si cette interopérabilité est effective et concrètement fiable. Si ce n'est pas le cas, nous devons nous prononcer sur les mesures qu'il convient de mettre en place pour fiabiliser ladite interopérabilité. C'est ce que j'évoquais il y a quelques instants, à propos d'éventuels défauts de mise à jour.

C'est dans ce cadre que nous agissons, avec des prérogatives de mise en demeure au niveau national et, éventuellement, de sanctions.