Recours conjoint du GISTI, d'IRIS et de la LDH pour l'annulation du fichier OSCAR
Déposé au Conseil d'État le 23 décembre 2009
(Texte également disponible au format PDF)CONSEIL D'ETAT
POUR :
SECTION DU CONTENTIEUX
REQUÊTE en ANNULATIONLes associations requérantes désignent comme mandataire unique le Gisti, représenté par son président, Stéphane Maugendre, domicilié au siège de l'association, 3 villa Marcès, 75011 Paris.
- le Groupe d'information et de soutien des immigrés (Gisti), association régie par la loi du 1er juillet 1901, dont le siège est établi à Paris (11e), 3 villa Marcès, représentée par son président, Stéphane MAUGENDRE ;
- Imaginons un réseau internet solidaire (IRIS), association régie par la loi du 1er juillet 1901, dont le siège est établi à Paris 20e , 40 rue de la Justice, représentée par sa présidente en exercice, Meryem MARZOUKI ;
- la Ligue des droits de l'Homme (LDH), association régie par la loi du 1er juillet 1901, dont le siège est établi à Paris (18e), 138 rue Marcadet, représentée par son président en exercice, Jean-Pierre DUBOIS.
CONTRE :
Le Premier ministreOBJET :
L'annulation du décret n°2009-1310 du 26 octobre 2009 portant création d'un traitement automatisé de données à caractère personnel relatives aux étrangers bénéficiaires du dispositif d'aide au retour géré par l'Office français de l'immigration et de l'intégration (NOR: IMIK0922946D, JO du 28 octobre 2009).
*
Les associations exposantes défèrent à la censure du Conseil d'État le décret n°2009-1310 du 26 octobre 2009 du Premier ministre référencé ci-dessus.
À l'appui de leurs requêtes, elles entendent faire valoir les faits et moyens suivants.
FAITS
Le 28 octobre 2009 est paru au Journal Officiel le décret du Premier ministre n°2009-1310 du 26 octobre 2009, créant un traitement automatisé de données à caractère personnel relatives aux étrangers bénéficiaires du dispositif d'aide au retour géré par l'Office français de l'immigration et de l'intégration.
La CNIL a rendu son avis sur le projet de décret le 16 juillet 2009. Cette délibération n°2009-468 a été publiée au Journal Officiel en même temps que le décret.
Sur certains points, le gouvernement n'a pas tenu compte de l'avis de la CNIL : certaines mentions protectrices que le gouvernement devait ajouter, ce dont la CNIL prenait acte dans son avis, ne figurent pas dans le texte du décret publié.
Le décret déféré à la censure du Conseil d'État modifie par son article 1er le chapitre unique du titre Ier du livre VI de la partie réglementaire du code de l'entrée et du séjour des étrangers et du droit d'asile, en y introduisant une nouvelle section 5 composée des articles R. 611-35 à R. 611-41.
Les finalités du traitement automatisé de données à caractère personnel, dénommé « OSCAR » (pour « Outil de statistique et de contrôle de l'aide au retour »), sont décrites à l'article R. 611-35. Il s'agit, en premier lieu, « a) De liquider l'aide en permettant de déceler une nouvelle demande présentée par une personne ayant déjà bénéficié de cette aide, le cas échéant sous une autre identité », en deuxième lieu, « b) De permettre le suivi administratif, budgétaire et comptable des procédures d'aide au retour gérées par l'Office français de l'immigration et de l'intégration » et en troisième lieu, « c) d'établir des statistiques relatives à ces procédures et à leur exécution ».
L'article R. 611-36 détaille les données enregistrées, qui comprennent les images numérisées des empreintes des dix doigts des bénéficiaires de l'aide au retour et de leurs enfants mineurs âgés d'au moins douze ans ainsi que celles figurant à l'annexe 6-8 nouvelle du CESEDA, introduite par ce même décret. L'annexe 6-8 énumère les données à caractère personnel relatives à l'étranger bénéficiaire d'une aide au retour. Il s'agit des catégories de données suivantes : A. Données relatives à l'étranger ; B. Gestion administrative et comptable du dossier ; C. Organisation du voyage.
L'article R. 611-37 précise la durée de conservation de ces données. Lorsque l'OFII refuse une aide sollicitée ou que le demandeur renonce au bénéfice de cette aide, les données visées à l'article R. 611-36 sont effacées sans délai. Lorsque l'aide est accordée, la durée de conservation est de cinq années, qui commencent à courir à la date de la décision d'attribution de l'OFII.
L'article R. 611-38 définit, selon les situations, les destinataires des données enregistrées dans le fichier OSCAR, et leur niveau d'accès à ces données.
L'article R. 611-39 définit les modalités de collecte et d'usage des empreintes digitales.
L'article R. 611-40 précise les conditions de l'exercice des droits d'accès et de rectification des données, selon les dispositions de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
L'article R. 611-41 écarte expressément toute possibilité d'exercice du droit d'opposition prévu par la même loi.
Les associations requérantes entendent montrer que le décret attaqué a été pris selon une procédure irrégulière et qu'il ne respecte pas les obligations imposées par les différents textes de droit interne, de droit international et de droit communautaire relatifs à la protection des personnes à l'égard du traitement des données à caractère personnel.
DISCUSSION
Sur la recevabilité :Les trois associations requérantes sont recevables à déférer le texte litigieux devant le Conseil d'État.
- Le GISTI, dont l'objet social est notamment de soutenir, par tous moyens, l'action des étrangers et des immigrés en vue de la reconnaissance et du respect de leurs droits, sur la base du principe d'égalité, a évidemment intérêt à demander l'annulation de dispositions qui concernent directement les étrangers
- L'association Imaginons un réseau Internet solidaire (IRIS) est une association de défense de l'ensemble des droits et libertés fondamentaux dans l'usage de l'informatique et des réseaux et a été amenée, depuis sa création en octobre 1997, à agir constamment en faveur de la protection de la vie privée et des données personnelles dans le contexte du traitement numérique de telles données comme de leur circulation sur les réseaux.
- La Ligue des droits de l'homme (LDH), qui s'est donné pour but de défendre l'ensemble des droits et libertés fondamentaux, et notamment ceux des étrangers, a également inscrit de façon spécifique dans ses statuts la lutte « en faveur du respect des libertés individuelles en matière de traitement des données informatisées ».
Sur le fond :
I. Légalité externe
1/ Le décret attaqué a été pris selon une procédure irrégulière, notamment en ce qu'il n'a pas été précédé d'un avis Conseil national de l'information statistique (CNIS).
Le décret, dès lors qu'il crée un traitement à finalité statistique, aurait dû être précédé de la consultation du CNIS, ce qui n'a pas été fait, puisque l'avis de cette instance n'est pas visé en tête du décret, pas plus d'ailleurs que la loi n°51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques. En effet, l'article 1er du décret n°2005-333 du 7 avril 2005 relatif au CNIS et pris sur le fondement de cette loi est ainsi rédigé :
Le Conseil national de l'information statistique, instauré par l'article 1er de la loi du 7 juin 1951 susvisée, a une durée illimitée. Il exécute les missions qui lui sont dévolues par celle-ci et assure, pour ce qui concerne l'information statistique, la concertation entre les utilisateurs de l'information, les services publics et, dans la mesure où ils y sont soumis, les autres services producteurs d'informations statistiques. Les services producteurs sont l'Institut national de la statistique et des études économiques et les services statistiques ministériels, les administrations [...].
La concertation assurée par le Conseil national de l'information statistique porte sur les étapes de la production de l'information statistique et de sa diffusion, que cette information provienne des enquêtes statistiques et des recensements ou de l'exploitation à des fins d'information générale des données issues de l'activité administrative.
En particulier, le Conseil national de l'information statistique délibère et donne son avis [...] :
4. Sur les projets d'exploitation, à des fins d'information générale, des données issues de l'activité des administrations, des organismes publics et des organismes privés chargés d'un service public ;
5. Sur les projets de traitements automatisés d'enquêtes statistiques ou de données mentionnées au 4 du présent article qui nécessitent une demande d'avis à la Commission nationale de l'informatique et des libertés ; l'avis du Conseil national de l'information statistique doit être motivé, adressé au service producteur et joint au dossier présenté à la Commission nationale de l'informatique et des libertés ;
Il résulte clairement des passages soulignés en gras que le CNIS aurait dû être saisi d'un traitement qui correspond exactement aux hypothèses dans lesquelles sa consultation est prévue.
L'obligation de cette consultation découle également de l'article 8-II, 7°de la loi du 6 janvier 1978 modifiée : l'article 8-I interdit de collecter et de traiter des données susceptibles de faire « apparaître, directement ou indirectement, les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses » des personnes (ici, en l'espèce, la nationalité) ; l'interdiction n'est levée, pour les traitements statistiques, que s'il y a eu consultation préalable du CNIS (art. 8-II, 7°) et autorisation de la CNIL.
2/ Absence d'autorisation de la CNIL
La procédure suivie pour la création du fichier OSCAR est celle décrite à l'article 27-I, 2°de la loi du 6 janvier 1978 modifiée, qui dispose :
I. - Sont autorisés par décret en Conseil d'Etat, pris après avis motivé et publié de la Commission nationale de l'informatique et des libertés : [...] 2°Les traitements de données à caractère personnel mis en oeuvre pour le compte de l'Etat qui portent sur des données biométriques nécessaires à l'authentification ou au contrôle de l'identité des personnes.
II. - Ceux de ces traitements qui portent sur des données mentionnées au I de l'article 8 sont autorisés par décret en Conseil d'État pris après avis motivé et publié de la commission ; cet avis est publié avec le décret autorisant le traitement.
Or la création de ce traitement aurait dû, en raison de certaines de ses caractéristiques, obéir à la procédure décrite à l'article 25. Cet article prévoit que l'autorisation de la CNIL est nécessaire pour :
5°Les traitements automatisés ayant pour objet :
- l'interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents ;
Or, le décret ne précise pas que les données enregistrées dans OSCAR ne peuvent faire l'objet d'interconnexions, mises en relation ou rapprochement ave aucun autre traitement automatisé de données à caractère personnel ; le fait que soit enregistré dans OSCAR le numéro AGDREF tend à démontrer que les interconnexions sont, comme on le démontre plus loin, à prévoir. Un certain nombre de plaintes déposées auprès de la CNIL portent précisément sur l'interconnexion d'OSCAR, dans sa version expérimentale, avec d'autres fichiers et notamment ceux des Caisses d'allocation familiale.
II. Légalité interne
1/ Rappel des textes et des principes applicables
Le recueil et le traitement des données personnelles comportent une série de risques pour les libertés des personnes fichées : il faut donc apprécier la légalité des mesures prises au regard des principes qui régissent la protection des personnes à l'égard du traitement des données à caractère personnel.
- Aux termes de l'article 8 § 2 de la Convention européenne des droits de l'homme, il ne peut y avoir ingérence d'une autorité publique dans l'exercice du droit au respect de la vie privée que pour autant que cette ingérence est prévue par la loi et qu'elle constitue une mesure qui, dans une société démocratique, est nécessaire - notamment - à la sécurité nationale, à la sûreté publique, au bien-être économique du pays, à la défense de l'ordre et à la prévention des infractions pénales. On sait que, pour la Cour européenne des droits de l'homme, le respect de ces conditions implique des exigences relatives à la qualité de la base juridique de l'ingérence, à la proportionnalité des mesures et à la nécessité de garanties adéquates contre les abus.
- La Convention n°108 du 28 janvier 1981 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel énoncent de leur côté des principes fondamentaux que doit respecter la mise en oeuvre de traitements informatisés - principes repris dans la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en dernier lieu par la loi du 6 août 2004. Il s'agit notamment des principes de pertinence et de proportionnalité, de finalité et de l'exigence, là encore, de garanties suffisantes.
- Concernant plus spécifiquement les enfants, la Convention des Nations Unies relatives aux droits de l'enfant du 20 novembre 1989 prévoit en particulier en son article 16 que « nul enfant ne fera l'objet d'immixtions arbitraires ou illégales dans sa vie privée ».
C'est à la lumière de ces considérations générales qu'il convient d'examiner les dispositions du décret du 26 octobre 2009, et en particulier celles qui concernent les finalités du traitement (art. R. 611-35), les catégories de données collectées et traitées (art. R. 611-36, art. R. 611-39 et annexe 6-8), celles qui fixent la durée de conservation de ces données (art. R. 611-37) ainsi que les titulaires d'un accès au traitement (art. R. 611-38).
2/ La finalité statistique du traitement est imprécise, non encadrée, et constitue un détournement de finalité
L'article R. 611-35 introduit, comme l'une des finalités du fichier OSCAR, l'établissement de statistiques relatives aux procédures gérées par l'OFII et à leur exécution. L'ensemble des textes et principes applicables dispose que les finalités d'un traitement de données à caractère personnel doivent être explicites et légitimes. Les considérants 28 et 29 de la directive 95/46/CE rappellent :
(28) considérant que tout traitement de données à caractère personnel doit être effectué licitement et loyalement à l'égard des personnes concernées; qu'il doit, en particulier, porter sur des données adéquates, pertinentes et non excessives au regard des finalités poursuivies; que ces finalités doivent être explicites et légitimes et doivent être déterminées lors de la collecte des données; que les finalités des traitements ultérieurs à la collecte ne peuvent pas être incompatibles avec les finalités telles que spécifiées à l'origine;
(29) considérant que le traitement ultérieur de données à caractère personnel à des fins historiques, statistiques ou scientifiques n'est pas considéré en général comme incompatible avec les finalités pour lesquelles les données ont été auparavant collectées, dans la mesure où les États membres prévoient des garanties appropriées; que ces garanties doivent notamment empêcher l'utilisation des données à l'appui de mesures ou de décisions prises à l'encontre d'une personne;
L'article 6 de la loi du 6 janvier 1978 modifiée dispose de même :
2°[Les données] sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. Toutefois, un traitement ultérieur de données à des fins statistiques ou à des fins de recherche scientifique ou historique est considéré comme compatible avec les finalités initiales de la collecte des données, s'il est réalisé dans le respect des principes et des procédures prévus au présent chapitre, au chapitre IV et à la section 1 du chapitre V ainsi qu'aux chapitres IX et X et s'il n'est pas utilisé pour prendre des décisions à l'égard des personnes concernées ;
C'est en raison des risques spécifiques que comportent les traitements statistiques que la législation interne a prévu la consultation du Conseil national de l'information statistique - dont on a rappelé plus haut qu'il n'était pas intervenu en l'espèce.
Par ailleurs, les conditions prévues par la directive et par la loi ne sont pas réunies ici. La finalité statistique du traitement n'est pas suffisamment explicite. En effet, les statistiques sont supposées porter sur les mesures d'aide au retour et leur exécution, sans autre précision sur les catégories de données participant à l'élaboration de ces statistiques. D'une manière générale, du reste, la question des statistiques n'est mentionnée qu'en tant que finalité, et le décret ne spécifie aucune mesure relative à ces statistiques, à leur établissement, à leur encadrement, ni à leur utilisation. Il ne renvoie pas non plus à un autre texte réglementaire qui préciserait ces conditions.
Dans son avis rendu sur le projet de décret, la CNIL constate que le traitement OSCAR a également une finalité statistique dont elle décrit, de façon plus précise que ne le fait le décret lui-même, les caractéristiques :
« il est prévu d'établir des statistiques anonymes relatives à l'engagement et à la réalisation des procédures d'aides au retour financées par l'OFII, afin d'aider au pilotage de ce dispositif et d'optimiser la gestion de ses bénéficiaires ».
La CNIL dit également qu'elle :
« prend acte de cette troisième finalité du traitement, et demande à ce que celle-ci soit explicitement mentionnée dans le projet de décret ».
Or le décret publié ne comporte aucune précision, ni quant à l'anonymat des statistiques ni quant au but poursuivi par l'élaboration de ces statistiques.
De plus, la finalité statistique relève d'un objectif gestionnaire sévèrement encadré par les textes législatifs et réglementaires, notamment afin d'interdire la possibilité d'identifier les personnes à partir des résultats statistiques.
Or ni les articles 27-I de la loi du 6 janvier 1978 modifiée, ni les articles L. 611-3 et L. 611-5 du Code de l'entrée et du séjour des étrangers et du droit d'asile ne peuvent servir de fondement à un traitement à finalité statistique. Il y a donc une extension de finalité illégale.
3/ Certaines des données enregistrées sont excessives, non pertinentes et non adéquates
L'article 5 de la Convention 108 du Conseil de l'Europe, l'article 6 de la directive 95/46/CE, et désormais l'article 6 de la loi du 6 janvier 1978 modifiée rappellent, en des termes similaires, que les données à caractère personnel doivent être collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement de manière incompatible avec ces finalités, et qu'elles doivent être adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées. L'article 6 de la loi de 1978 dispose :
Art. 6 - Un traitement ne peut porter que sur des données à caractère personnel qui satisfont aux conditions suivantes : [...]
2° Elles sont collectées pour des finalités déterminées, explicites et légitimes et ne sont pas traitées ultérieurement de manière incompatible avec ces finalités. [...]
3° Elles sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et de leurs traitements ultérieurs ;
C'est donc par rapport à la finalité du traitement qu'on peut évaluer le caractère proportionné et adéquat des données et de leur utilisation.
La finalité est ici de permettre le suivi et la mise en oeuvre des mesures d'aide au retour. Rappelons que l'aide au retour se décompose en l'aide au retour volontaire et l'aide au retour humanitaire. L'aide au retour volontaire, dont, au 30 octobre 2008, 1867 personnes avaient bénéficié, permet au bénéficiaire de percevoir une aide financière d'un montant de 2 000 EUR par adulte, 3 500 EUR pour un couple marié, puis 1 000 EUR par enfant mineur jusqu'au 3ème et 500 EUR au-delà du 3ème. L'aide au retour humanitaire, qui avait été perçue au 30 octobre 2008 par 8 710 personnes (dont plus de 7 800 ressortissants communautaires), comporte une aide financière de 153 EUR par adulte, et de 46 EUR par enfant mineur. Quel que soit le type d'aide au retour , elle peut, le cas échéant, inclure une prise en charge du transport jusqu'à la destination finale à l'intérieur du pays d'origine ainsi que l'hébergement et la nourriture dans l'attente du transport jusqu'à la destination finale.
Le recours à des données biométriques pour des finalités à caractère purement administratif n'est, en soi, pas justifié et entraîne une banalisation de ce type de données et de traitement. C'est particulièrement vrai au regard des sommes minimes engagées au titre de l'aide au retour humanitaire qui vise principalement les ressortissants de l'Union européenne.
a) Les données biométriques concernant tous les étrangers bénéficiant d'une aide au retour (art. R. 611-36, art. R. 611-39 et annexe 6-8)
Conformément à l'article R. 611-36, le traitement mis en place doit contenir en premier lieu les images numérisées des empreintes des dix doigts des bénéficiaires du dispositif d'aide au retour étrangers ainsi que celles de leurs enfants mineurs d'au moins douze ans , en application de l'article R. 611-36, 1° du CESEDA. Est visé un cercle de personnes particulièrement large, puisque tous les bénéficiaires de toute forme d'aide au retour sont visés, qu'il s'agisse de l'aide au retour volontaire ou de l'aide au retour humanitaire. Or, parmi les bénéficiaires de l'aide au retour humanitaire figurent très majoritairement des ressortissants communautaires. S'y ajoutent les enfants des bénéficiaires âgés d'au moins douze ans.
Les données concernant les ressortissants communautaires
Bien que la loi du 6 janvier 1978 ne fasse aucune distinction à raison de la nationalité au regard des garanties accordées, le recueil et la conservation de donnés biométriques de ressortissants communautaires, et notamment de mineurs âgés d'au moins douze ans (V. infra) pour des finalités purement administratives entrent directement en contradiction avec le principe de liberté de circulation des personnes dont bénéficient les citoyens de l'Union européenne.
Même lorsque la sécurité est en jeu, les exigences des textes communautaires ne vont pas aussi loin : ainsi le règlement communautaire (CE) n°2252/2004 du Conseil du 13 décembre 2004 établissant des normes pour les éléments de sécurité et les éléments biométriques intégrés dans les passeports et les documents de voyage délivrés par les Etats membres n'impose, en matière d'empreintes digitales, que la collecte de deux empreintes. Or le traitement mis en place n'a pas de finalité de sécurité, et on ne relève dans le décret contesté aucune finalité additionnelle qui pourrait justifier une telle extension du nombre de données biométriques recueillies. Le recueil de ces données a donc un caractère excessif et non pertinent.
Les données concernant les enfants d'au moins douze ans
Alors que l'aide au retour ne peut être accordée, aux termes de l'article D. 311-1 du CESEDA qu'à des majeurs, à l'exception des demandes judiciaires d'aide au retour pour des mineurs isolés, la collecte des empreintes des dix doigts des enfants mineurs du bénéficiaire de l'aide au retour n'entretient aucun lien, direct ou indirect, avec la finalité du traitement. Dans la mesure où la finalité première du traitement OSCAR est de lutter contre les fraudes en matière d'aide au retour, la procédure de comparaison des empreintes digitales relevées avec celles figurant déjà dans le traitement, prévue à l'article R. 611-39 du CESEDA ne représente aucun intérêt pour des enfants mineurs qui sont exclus du dispositif d'aide au retour en tant que bénéficiaire direct. Ces données ne sont donc ni adéquates, ni pertinentes.
La présence d'enfants mineurs, qu'ils soient d'ailleurs âgés de moins ou de plus de douze ans, permet certes au bénéficiaire de l'aide au retour de percevoir des sommes plus importantes. Tel est également le cas de la présence d'un conjoint, dont les empreintes ne sont pas, quant à elles, relevées. Dès lors, ces données sont excessives au regard des finalités du traitement OSCAR, dépassant très largement le spectre de l'attribution de l'aide au retour. Il aurait suffi que le nombre d'enfants mineurs du bénéficiaire soit mentionné, puisque l'aide au retour est calculée selon un « tarif » lié au nombre d'enfants mineurs. Cela revient à ficher des enfants mineurs qui ne peuvent pas, eux-mêmes, faire l'objet d'une mesure d'aide au retour.
Par ailleurs, la collecte et la conservation de telles données pour les enfants d'au moins douze ans, conformément à la limite d'âge très habituellement préconisée en matière de recueil et de conservation de données biométriques, laisse à penser que des interconnexions sont d'ores et déjà prévues entre OSCAR et d'autres fichiers tels que le VIS, qui retient cette limite d'âge, ou VISABIO, qui devrait prochainement s'aligner sur cette dernière.
b) Les autres données recueillies (art. R. 611-36, art. R. 611-39 et annexe 6-8)
Les autres données concernant exclusivement le bénéficiaire de l'aide au retour entretiennent a priori un lien direct avec la finalité du traitement (encore qu'on ne voie pas ce qu'ajoutera ce fichier par rapport à tous ceux qui existent déjà). On peut toutefois contester la conservation de deux catégories de données : les coordonnées du bénéficiaire dans son pays d'origine (Annexe 6-8, 6°) et le numéro national d'identification (Annexe 6-8, 9°), notamment pour les bénéficiaires de l'aide au retour humanitaire.
1. les coordonnées du bénéficiaire dans son pays d'origine. La mise en mémoire de ces données n'est pas pertinente au regard de la finalité du fichier, puisqu'elle n'est pas un élément d'identification de l'étranger bénéficiant d'une aide au retour.
De plus, l'intérêt de collecter et de conserver ce type de données afin de verser effectivement l'aide au retour ne peut être considéré de la même façon selon la nature de l'aide au retour. En effet, dans le cas de l'aide au retour volontaire, son versement est échelonné : un premier versement de 30% est effectué au moment du départ ; le solde est versé dans le pays d'origine en une première fraction de 50% six mois après le retour, puis une deuxième fraction de 20%, un an après le retour. Dans le cas de l'aide au retour humanitaire, le montant de l'aide financière est versé en une seule fois, au départ de l'intéressé. Les coordonnées du bénéficiaire de ladite aide dans son pays d'origine ne représentent aucun intérêt pour le suivi des dossiers par l'OFII.
2. le numéro national d'identification mentionné au 2° de l'article D. 611-2 (numéro AGDREF). On s'interroge sur la pertinence de cette donnée, qui renvoie au système informatisé de gestion des dossiers des ressortissants étrangers en France, alors que le décret ne prévoit, pour lors, aucun rapprochement, aucune mise en relation ou interconnexion du fichier OSCAR avec tout autre traitement automatisé de données personnelles. Or quel but peut avoir la mise en mémoire du numéro AGDREF dans le fichier OSCAR sinon de permettre un rapprochement entre les deux fichiers ? Or ce point est capital puisque dès l'instant où il y a interconnexion c'est l'article 25 et non pas l'article 26 de la loi du 6 janvier 1978 qui s'applique. La procédure n'est alors plus celle du simple avis de la CNIL mais de l'autorisation, laquelle est requise lorsqu'il y a « interconnexion de fichiers relevant d'une ou de plusieurs personnes morales gérant un service public et dont les finalités correspondent à des intérêts publics différents » (art. 25-I, 5°). (Voir supra nos développements sur la légalité externe).
4/ La durée de conservation des données est excessive au regard de la finalité du fichier (art. R. 611-37)
L'article R. 611-37 du décret attaqué distingue, au regard de la durée de conservation, le sort des données mentionnées à l'article R. 611-36 du décret. Lorsque l'aide au retour n'a pas été accordée au demandeur ou que ce dernier l'a refusée, les données sont effacées sans délai. En revanche, en cas d'attribution de l'aide, les données sont conservées pendant cinq années. Ce délai commence à courir à compter de la date d'attribution de l'aide par l'OFII.
Quelle que soit la nature des données, leur pertinence au regard du suivi du dossier, de la nature de l'aide attribuée et de la qualité de l'étranger concerné, la durée de conservation est uniforme. Or, tous les textes insistent sur la nécessité de limiter la durée de conservation des données personnelles à ce qui est réellement nécessaire compte tenu de la finalité du traitement. L'article 5 de la Convention 108 du Conseil de l'Europe, l'article 6 de la directive 95/46/CE, et désormais l'article 6-5° de la loi du 6 janvier 1978 modifiée rappellent, en des termes similaires, que les données à caractère personnel « sont conservées sous une forme permettant l'identification des personnes concernées pendant une durée qui n'excède pas la durée nécessaire aux finalités pour lesquelles elles sont collectées et traitées ».
Or, la durée de cinq ans prévue par le décret du 26 octobre 2009 paraît avoir été fixée de manière arbitraire, sans aucun fondement juridique ni aucune nécessité pratique. Si l'on s'en tient à la finalité administrative du traitement, les données portant sur les coordonnées dans le pays d'origine des bénéficiaires de l'aide au retour humanitaire ne devraient pas être conservées au-delà du départ de ce dernier. Dans la même ligne, la conservation des données personnelles dans le pays d'origine au-delà d'une année à compter du retour n'est pas justifiée, dès lors que l'aide a alors été versée dans son intégralité.
La finalité de lutte contre la fraude ne justifie pas non plus la conservation des données biométriques des enfants d'au moins douze ans. N'étant pas éligibles à l'aide au retour, ils ne constituent pas un risque de fraude.
En conclusion,
Les dispositions du décret attaqué violent :
- l'article 1er du décret n°2005-333 du 7 avril 2005 pris pour l'application de la loi n°51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques, dans la mesure où le Conseil national de l'information statistique n'a pas été consulté ;
- les articles 8-II et 25 de la loi du 6 janvier 1978 modifiée dans la mesure où l'autorisation de la CNIL aurait dû être sollicitée en raison de la mise en mémoire de données sensibles pour une finalité statistique, d'une part, et du rapprochement rendu possible entre les fichiers ELOI et AGDREF, d'autre part ;
- l'article 6, 2° de la loi du 6 janvier 1978, dans la mesure où la finalité statistique du fichier ne répond pas aux conditions que cet article prévoit et s'analyse par conséquent en un détournement de finalité ;
- l'article 5c de la Convention n°108 du Conseil de l'Europe, l'article 6.1.c de la directive n°95/46/CE, l'article 6, 3° de la loi du 6 janvier 1978, dans la mesure où les données collectées sont excessives et ni pertinentes, ni adéquates au regard de la finalité du fichier ;
- l'article 5e de la Convention n°108 du Conseil de l'Europe, l'article 6.1.e de la directive n°95/46/CE, l'article 6, 5° de la loi du 6 janvier 1978, en tant qu'il prévoit que les données seront conservées pendant cinq ans, durée qui excède la durée nécessaire à la finalité pour laquelle elles sont collectées et traitées.
***
PAR CES MOTIFS, les associations requérantes demandent au Conseil d'Etat :
- d'annuler le décret n°2009-1310 du 26 octobre 2009.
- de mettre à la charge de l'Etat la somme de deux mille euros (2 000 EUR) au titre des frais engagés pour l'instance et non compris dans les dépens, par application de l'article L 761-1 du code de justice administrative.
Pour les associations requérantes,
Stéphane MAUGENDRE,
Président du GistiPièces jointes :
- Décret n°2009-1310 du 26 octobre 2009
- Délibération n°2009-468 du 16 juillet 2009 de la CNIL
- Statuts des associations requérantes
- Délibérations habilitant les présidents des organisations requérantes à intenter le présent recours et désignant le Gisti comme mandataire unique