Le traitement automatisé des données à caractère personnel lors des déplacements

Section 2 Le SIS : clef de voûte du système Schengen

a) Mode de fonctionnement du SIS

Le SIS, système informatique mis en place dans le cadre de la réalisation de l'espace Schengen, est la véritable épine dorsale de l'espace Schengen car il s'agit d'un élément indispensable pour assurer la libre circulation de l'information entre les États contractants dans le but de préserver leur sécurité, et donc celle de leurs citoyens, malgré l'ouverture des frontières intérieures. L'article 93 de la Convention d'application le définit comme ayant pour objet : « la préservation de l'ordre et de la sécurité publics, y compris la sûreté de l'État, et l'application des dispositions sur la circulation des personnes de la présente Convention sur le territoire des parties contractantes à l'aide des informations transmises par ce système».

Ce système est extrêmement novateur en matière de co-opération policière tant au plan juridique que technique :

· Juridique tout d'abord par la reconnaissance de la force juridique des signalements émis par les partenaires Schengen, avec l'engagement de chaque État de respecter la conduite à tenir prescrite par le signalement, ainsi que l'insertion, dès l'origine, d'un dispositif propre à assurer le respect des libertés individuelles et la protection des données nominatives.

· Technique ensuite par la création de toutes pièces d'un système informatique connecté en permanence à des applications nationales fort diverses, devant assurer la mise à jour en temps réel des bases nationales.

La mise en commun de données personnelles avec délégation de pouvoir quant à l'application des conduites à tenir ne pouvait se faire que sur la base de la confiance réciproque, pour ce faire, ces États se sont engagés en signant la convention à s'assurer de l'exactitude, de l'actualité et de la licéité des données intégrées, et à n'utiliser ces données qu'aux seules fins énoncées par les articles pertinents de la convention. Ces engagements sont complétés par des procédures de consultation entre les États, notamment lorsque pour des raisons de droit interne, ou d'opportunité, une conduite à tenir ne peut être exécutée sur un territoire national.

Cette consultation permet aux instances nationales d'exposer les motifs de droit ou de fait d'un signalement émis et, à l'inverse, d'informer un État émetteur d'un signalement des raisons pour lesquelles la conduite à tenir ne pourra pas être appliquée. Cette procédure s'applique notamment pour des signalements d'étrangers estimés indésirables par un pays, mais titulaires d'un titre de séjour délivré par un autre pays, pour des mandats d'arrêt internationaux, ou encore pour des affaires mettant en cause la sûreté de l'État.

S'agissant d'un système informatique traitant des données personnelles, le souci de protection de la vie privée est transposé dans le texte de la convention, qui édicte que l'existence d'une loi sur la protection des données est un préalable à la mise en oeuvre de la convention dans les pays. Ainsi, chaque autorité nationale (pour la France la CNIL) est chargée du contrôle de la partie nationale du SIS la concernant. Le système central, par essence international bien que sous responsabilité française, ne pouvait pas rester sans contrôle, la convention a donc créé une autorité de contrôle commune indépendante des États et composée de représentants des instances nationales.

Le SIS n'est pas une base de données, mais un système central d'interconnexion, dit « en étoile», des bases de données nationales. Ainsi, il convient de distinguer, d'un côté, les bases nationales (N-SIS), une par État contractant, qui constituent les branches de l'étoile, et le noyau central unique (C-SIS), placé sous la responsabilité de la France et situé à Strasbourg, qui ne contient pas de données - ces dernières demeurant nationales - mais a pour fonction d'homogénéiser, de contrôler et d'acheminer les données vers les différents systèmes nationaux^30(*). Ce système d'information repose sur l'idée selon laquelle les systèmes nationaux ne peuvent pas échanger directement entre eux les données sans passer par l'intermédiaire du système central (il a toutefois été nécessaire de mettre en place des relations bi ou multilatérales pour assurer un service d'assistance technique et permettre la transmission et la réception d'informations supplémentaires en cas d'interrogation positive du SIS. Il s'agit du rôle des bureaux nationaux « SIRENE» : Supplementary Information REquest at the National Entry).

La Convention d'application prévoit, de façon très précise, quelles sont les données pouvant ainsi être inscrites, tant en ce qui concerne les personnes et que les objets. En ce qui concerne la liberté de circulation seules peuvent être introduites dans le système de données les personnes (et véhicules) devant faire l'objet d'une surveillance discrète, notamment « lorsqu'il existe des indices réels faisant présumer que la personne concernée envisage de commettre ou commet des faits punissables nombreux et extrêmement graves» ou « lorsque l'appréciation globale de l'intéressé, en particulier sur la base des faits punissables commis jusqu'alors, permet de supposer qu'il commettra également à l'avenir des faits punissables extrêmement graves» (article 99).

La Convention d'application limite très fortement les cas d'inscription de données (article 91 à 99), elle réglemente également, lorsqu'un de ces cas légitime l'inscription, la nature des données pouvant être inscrites ; il ne peut en effet s'agir, au maximum, que des : nom et prénom, signes physiques particuliers, objectifs et inaltérables, première lettre du deuxième prénom, date et lieu de naissance, nationalité, indication si la personne est armée ou violente, motif du signalement et conduite à tenir^31(*).

Notons qu'au total on estime qu'environ 1,3 million de personnes sont intégrées dans le SIS, ce qui représente à peine 10 % des signalements. L'immense majorité des signalements concerne en effet non des personnes mais des objets, l'article 100 de la Convention d'application dressant une liste des objets pouvant être intégrés au système (outre l'article 99 précité relatif aux véhicules à mettre sous surveillance discrète). Il s'agit : des véhicules à moteur, des remorques et caravanes, des armes à feu, des documents vierges, des documents d'identité délivrés lorsque tous ces objets ont été volés, détournés ou égarés, ainsi que des billets de banque enregistrés. Au total, plus de 11 millions d'objets sont ainsi inscrits au SIS.

Concernant la consultation des données, la Convention d'application prévoit également des règles précises. Ainsi, son article 101 énonce la liste, de ceux qui ont le droit d'interroger le SIS. Il s'agit des autorités nationales compétentes :

- chargées des contrôles frontaliers ;

- chargées des autres vérifications de police et de douanes exercées à l'intérieur du pays ainsi que de la coordination de celles-ci ;

- compétentes pour l'examen des demandes et la délivrance des visas.

Une fois le système interrogé, s'il apparaît que l'interrogation entraîne une réponse positive, c'est-à-dire qu'il existe un signalement relatif à la personne ou à l'objet, l'opérateur doit suivre les instructions inscrites avec le signalement, ensuite l'opérateur n'a plus qu'à prendre contact avec le Bureau SIRENE national de l'émetteur pour obtenir des informations supplémentaires et à convenir, avec l'autorité émettrice, des mesures à prendre.

Cependant on peut se demander si ce système garanti la conservation et la protection des données personnelles ? Les articles 102 et suivants posent des règles très strictes de protection des données : les données introduites dans le SIS ne peuvent être utilisées qu'aux fins énoncées par les articles 95 à 100 (article 102) ; toute personne a le droit, sauf exception, d'accéder aux données qui la concernent (article 109) et d'obtenir la rectification de ces données (articles 110 et 111) ; chaque État doit désigner une autorité nationale de contrôle - il s'agit de la CNIL en France - chargée d'exercer un contrôle indépendant du fichier de la partie nationale du SIS et de vérifier que le traitement et l'utilisation des données n'est pas attentatoire aux droits de la personne concernée (article 114) ; une autorité de contrôle commune (ACC) a été créée par l'article 115 de la Convention d'application.

* ³⁰ §2 et §3 de l'art 92 de la Convention d'application.

* ³¹ L'article 94 de la Convention d'application, qui contient la liste que nous venons de reproduire, interdit que d'autres données soient inscrites, et notamment celles énumérées à l'article 6 de la Convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (c'est-à-dire l'origine raciale, les opinions politiques, les convictions religieuses et les informations relatives à la santé ou à la vie sexuelle).