Délibération nº 2005-052 du 30 mars 2005 portant avis sur le projet de décret en Conseil d'Etat prévu par l'article L. 211-7 du code de l'entrée et du séjour des étrangers et du droit d'asile et relatif aux modalités de mise en oeuvre par les maires, agissant en leur qualité d'agents de l'Etat, d'un traitement automatisé de données à caractère personnel relatif aux demandes de validation des attestations d'accueil (demande d'avis nº 1 046 585).

La Commission nationale de l'informatique et des libertés,

Saisie pour avis le 1er octobre 2004 par le ministère de l'intérieur du projet de décret en Conseil d'Etat prévu par l'article L. 211-7 du code de l'entrée et du séjour des étrangers et du droit d'asile et relatif aux modalités de mise en oeuvre par les maires, agissant en leur qualité d'agents de l'Etat, d'un traitement automatisé de données à caractère personnel relatif aux demandes de validation des attestations d'accueil ;

Vu la convention nº 108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;

Vu la convention du 19 juin 1990 d'application de l'accord entre les gouvernements des Etats de l'union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes, fait à Schengen le 14 juin 1985 ;

Vu la directive nº 95/46/CE du Parlement européen et du Conseil en date du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment ses articles L. 211-1 à L. 211-10 ;

Vu la loi nº 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi nº 2004-801 du 6 août 2004, relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel, et notamment son article 26 ;

Vu le décret nº 82-442 du 27 mai 1982 modifié pris pour l'application des articles 5, 5-1 et 5-3 de l'ordonnance du 2 novembre 1945 modifiée relative aux conditions d'entrée et de séjour des étrangers en France, en ce qui concerne l'admission sur le territoire français, et notamment son article 2-1 ;

Vu l'arrêté du 14 décembre 2004 définissant le modèle du formulaire «attestation d'accueil» ;

Après avoir entendu M. François Giquel, commissaire, en son rapport, et Mme Charlotte Marie Pitrat, commissaire du Gouvernement, en ses observations,

Emet l'avis suivant :

Le ministère de l'intérieur a, conformément à l'article L. 211-7 du code de l'entrée et du séjour des étrangers et du droit d'asile, saisi la commission du projet de décret en Conseil d'Etat relatif aux modalités de mise en oeuvre par les maires, agissant en leur qualité d'agents de l'Etat, d'un traitement automatisé de données à caractère personnel relatif aux demandes de validation des attestations d'accueil.

Le projet de décret constitue également l'acte réglementaire unique prévu par l'article 26-IV de la loi du 6 janvier 1978 modifiée qui dispose que les traitements qui répondent à une même finalité portent sur des catégories de données identiques et ont les mêmes destinataires ou catégories de destinataires peuvent être autorisés par un acte réglementaire unique.

L'article L. 211-7 du code précité prévoit notamment que le décret d'application doit préciser la durée de conservation et les conditions de mise à jour des informations enregistrées, les modalités d'habilitation des personnes qui seront amenées à consulter ces fichiers ainsi que, le cas échéant, les conditions dans lesquelles les personnes intéressées peuvent exercer leur droit d'accès.

Les dispositions de ce projet de décret, ainsi que les autres caractéristiques du traitement qu'il crée, doivent être appréciées au regard des textes applicables à la matière et de la finalité des traitements projetés qui est, aux termes de l'article L. 211-7 du code précité, de lutter contre les détournements de procédure.

Sur les destinataires et les modalités de leur habilitation :

S'agissant des modalités d'habilitation des personnels destinataires des données, la commission prend acte qu'aux termes de l'article 4 du projet de décret seuls les personnels des préfectures qui auront été individuellement désignés et spécialement habilités à cette fin pourront accéder aux informations enregistrées dans les traitements qui seront mis en oeuvre par les communes du département, pour les recours relatifs à des attestations d'accueil et, pour l'exercice du pouvoir hiérarchique du préfet, en tant que celui-ci implique l'accès aux mêmes informations que celles détenues par les maires.

S'agissant des modalités d'habilitation des personnels communaux susceptibles d'avoir accès à ces traitements, l'article 8 du projet de décret indique qu'elles seront décrites dans les déclarations que les maires seront amenés à effectuer auprès de la CNIL. La commission estime nécessaire de modifier ces dispositions afin d'indiquer que, conformément aux dispositions de l'article 26-IV de la loi modifiée, les engagements de conformité qui seront effectués par les maires devront comporter, outre le lieu exact d'implantation du traitement et les modalités d'exercice du droit d'accès, l'engagement spécifique du maire qu'ont été mises en place des mesures de sécurité et de confidentialité des données et des modalités d'habilitation et de désignation des personnels communaux ayant accès au fichier. A cet effet, une liste nominative des personnes ainsi habilitées devra être établie et mise à jour par le maire et tenue à la disposition de la CNIL.

Sur la durée de conservation des informations traitées :

S'agissant de la durée de conservation des informations collectées et traitées par les mairies, l'article 3 du projet de décret prévoit que les données seront conservées cinq années à compter de la date de validation ou de refus de l'attestation d'accueil par le maire. Le choix de cette durée n'est justifié que par la mise en oeuvre, dans le futur, de la base européenne des visas VIS qui a une portée et une finalité différentes et à laquelle les applications ne seront, aux termes de l'article 7 du projet de décret, ni interconnectées, ni mises en relation quand bien même certaines données à caractère personnel, notamment celles concernant l'hébergeant, pourraient être communes aux deux types de traitements.

La commission considère en conséquence que la durée de conservation arrêtée en l'espèce est excessive au regard de la finalité du traitement rappelée ci-dessus et demande qu'elle soit réduite à deux années à compter de la validation ou de refus de validation de l'attestation d'accueil par le maire, ce délai, qui laisse à chaque maire vingt-quatre mois en cas de refus ou vingt et un mois en cas de validation, apparaissant suffisant pour détecter un éventuel détournement de procédure.

Sur la mise à jour des données :

Sur la définition des conditions de mise à jour, la commission prend acte de ce que l'article 5 du projet de décret a été modifié afin de prévoir que les informations traitées seront effacées avant leur durée de conservation maximale sur support informatique en cas de décès ou de déménagement de l'hébergeant.

Sur les données collectées :

En ce qui concerne les données à caractère personnel collectées, l'article 2 du projet de décret prévoit l'enregistrement d'informations concernant la personne hébergée, l'hébergeant et le logement de ce dernier. La collecte de ces informations, dont le recueil est prévu, pour la plupart d'entre elles, par l'article 2-1 du décret du 27 mai 1982 modifié, apparaît justifiée au regard de la finalité du modèle de traitement.

S'agissant de l'hébergé, le projet de décret prévoit la collecte de la suite donnée par l'autorité consulaire à la demande de visa formulée sur la base de l'attestation d'accueil validée ; les maires concernés seraient uniquement rendus destinataires de la suite réservée à la demande de visa, qu'elle soit positive ou négative, sans en connaître les motifs ; bien que la collecte de cette donnée ne résulte ni de la loi, ni des dispositions de l'article 2-1 du décret précité, la commission considère qu'elle est pertinente au regard de la finalité du traitement dans la mesure où elle complète l'information des maires.

La commission considère en revanche que la pertinence de la collecte des données relatives aux ressources de l'hébergeant, qui n'est prévue expressément ni par la loi, ni par la disposition réglementaire précitée, et qui ne correspond à aucune rubrique du formulaire d'attestation d'accueil, n'est pas justifiée au regard de la finalité du modèle de traitement envisagé ; que la prise en compte des ressources de l'hébergeant peut être effectuée de façon suffisamment efficace, conformément à l'article 2-1 du décret précité, lors du dépôt de la demande d'attestation par la présentation des justificatifs correspondants ; qu'en outre cette information, une fois collectée et enregistrée, est susceptible d'être utilisée à d'autres fins.

Elle demande en conséquence que l'article 2 du projet de décret soit modifié afin de ne pas permettre la collecte de cette information.

Sur les modalités d'information des intéressés :

S'agissant des mesures d'information, la commission prend acte qu'il sera demandé aux maires de remettre à chaque hébergeant une notice d'information portant les mentions prévues par l'article 32 de la loi du 6 janvier 1978 modifiée qui énumère la nature des éléments caractérisant le traitement qui doivent être portés à la connaissance de celui-ci, à savoir l'identité du responsable du traitement, la finalité poursuivie par le traitement, le caractère obligatoire ou facultatif des réponses de l'intéressé et le rappel à ce dernier de l'existence de ses droits d'accès, de rectification et d'effacement, à charge pour lui de retransmettre lesdites informations à la personne hébergée.

Il apparaît toutefois nécessaire de compléter la mention d'information imprimée sur le modèle de formulaire » attestation d'accueil » afin qu'elle soit conforme aux dispositions de l'article 32 précité et de la mettre en conformité avec l'article 5 du projet de décret qui précise le lieu d'exercice du droit d'accès.

En application de l'article 38 de la loi du 6 janvier 1978, le ministère de l'intérieur a écarté la possibilité pour les intéressés de s'opposer à la collecte d'informations les concernant.

Le président, A. Türk