Rapport explicatif

Les chapitres 14 à 14c LEI doivent être réorganisés eu égard à l’introduction d’éléments centraux des systèmes d’information Schengen-Dublin. L’un de ces chapitres contiendra les dispositions générales sur la protection des données ; un autre réglementera l’ensemble des systèmes d’information ; un autre encore portera sur les règles relatives à l’interopérabilité entre les systèmes d’information Schengen-Dublin ; enfin, un chapitre sera consacré aux dispositions concernant la protection des données dans le domaine Schengen-Dublin.

Du fait que neuf règlements de l’UE ont dû être modifiés en vue de la mise en place de l’interopérabilité des systèmes d’information (ETIAS, EES, SIS, cf. ch. 3.2), les dispositions correspondantes de la LEI qui régissent aujourd’hui ces systèmes d’information Schengen-Dublin – ou qui seront appelés à le faire – doivent être modifiées elles aussi.

Le CIR fait désormais partie intégrante de l’EES, de l’ETIAS, du VIS (et ultérieurement d’Eurodac). Les dispositions correspondantes de la LEI doivent être modifiées, car le CIR remplacera une partie du système central des différents systèmes d’information de l’UE, tels que VIS, Eurodac, EES et ETIAS, de telle sorte que de nouvelles données alphanumériques (données d’identité et données relatives aux documents de voyage) et biométriques des différents systèmes seront enregistrées dans le CIR. Ainsi, la LEI doit préciser quelles données resteront stockées dans le système central de chacun des systèmes d’information concernés et lesquelles seront désormais stockées dans le CIR.

En outre, les différents éléments de l’interopérabilité doivent être réglementés. Il s’agira en particulier d’en définir le contenu et de fixer les règles d’accès à ces éléments centraux (BMS partagé à l’art. 110 ; CIR à l’art. 110a ; MID à l’art. 110f). Cette démarche est conforme à l’art. 17, al. 1, de la loi fédérale du 19 juin 1992 sur la protection des données (LPD)²², qui prévoit que les organes fédéraux ne peuvent traiter des données personnelles que s’il existe une base légale formelle.

Dans le cas du CIR, les accès doivent être réglementés en fonction de leur finalité : identification à l’art. 110b ; détection d’identités multiples à l’art. 110c ; détection d’infractions pénales à l’art. 110d. Dans ce dernier cas, les autorités désignées, en particulier le SRC, doivent toutes pouvoir vérifier dans le CIR si des données figurent dans un des systèmes d’information Schengen-Dublin ne relevant pas du domaine de la police (EES, ETIAS, VIS) (mécanisme « hit / no hit » conformément à l’art. 22 des règlements de l’UE sur l’interopérabilité). Des autorités policières doivent être désignées pour les accès à des fins d’identification. Il convient également de préciser quelle autorité est responsable de la vérification des identités multiples et dans quels cas.

La consultation de données par l’ESP (art. 110e) et les différents droits d’accès au MID (art. 110g) par les autorités compétentes doivent également être règlementés.

La communication de données aux entités autorisées (art. 110h), la responsabilité du traitement des données dans le BMS partagé, le CIR et le MID, ainsi que les sanctions en cas d’utilisation abusive des données doivent également être prévues dans la loi (art. 120d). À cet égard, les dispositions actuelles concernant le C-VIS, l’EES et l’ETIAS doivent être modifiées.