Rapport explicatif

Les États Schengen qui transmettront des données à caractère personnel à l'Agence devront définir la finalité du traitement de ces données. L'Agence ne pourra décider de les traiter pour une finalité différente qu'après avoir vérifié que cette finalité est compatible avec la finalité initiale, uniquement au cas par cas et avec le consentement du fournisseur des données. Elle tiendra en outre un registre dans lequel elle documentera la vérification de la compatibilité des finalités dans chaque cas particulier (art. 87, par. 2).

Avant chaque opération conjointe, y compris les opérations de retour, l'Agence et l'État hôte détermineront leurs responsabilités respectives en matière d'observation des obligations de protection des données. L'Agence ne traitera que les données à caractère personnel expressément définies dans le règlement UE et uniquement aux fins qui y sont précisées (art. 88, par. 1, en relation avec l'art. 87). Elle pourra donc traiter, par exemple, les données à caractère personnel nécessaires pour confirmer l'identité de ressortissants de pays tiers, en vue de l'organisation d'opérations de retour. Le traitement de données à caractère personnel par l'Agence ne sera en outre admis que si la transmission de ces données aux autorités compétentes des États Schengen sera indispensable pour que ces autorités puissent remplir leurs tâches (cf. art. 88, par. 2, let. a).

La durée de conservation des données à caractère personnel et leur suppression par l'Agence sont réglées à l'art. 91. L'Agence n'aura le droit de conserver les données que pendant 90 jours au plus. Pour celles concernant le domaine du retour, la durée de conservation sera de 30 jours au plus à compter de la fin de la tâche concernée (p. ex. une opération de retour).

Tous les deux ans, en concertation étroite avec les États Schengen, l'Agence réalisera et soumettra au Parlement européen, au Conseil et à la Commission, une analyse des risques stratégique concernant la gestion européenne intégrée des frontières. Les données à caractère personnel seront anonymisées dans les résultats de ces analyses. Les États Schengen devront transmettre les données à caractère personnel ainsi que les informations générales nécessaires à ces analyses des risques à l'Agence. Il s'agira en l'occurrence de renseignements sur la situation, les tendances et les menaces potentielles observées aux frontières extérieures, ainsi que d'informations relatives au domaine du retour.

Dans le domaine de la protection aux frontières, l'AFD dispose d'une base légale, à savoir l'art. 113 LD qui permet la communication de données, y compris de données sensibles et des profils de la personnalité, à des organisations supranationales ou internationales si un traité international le prévoit. En l'occurrence, le traité international est justement l'échange de notes relatif à la reprise du règlement. L'art. 3c de l'OCOFE précise en outre les échanges de données possibles entre l'AFD et l'Agence. Cet article sera adapté au présent règlement.

L'actuel art. 111a LEI prévoit que la communication de données personnelles à des États Schengen est assimilée à une communication entre organes fédéraux. Pour que des informations puissent aussi être transmises à l'Agence à l'avenir, conformément à son nouveau mandat, il y a lieu de créer la base légale nécessaire (art. 111a, al. 2, P-LEI). Selon l'art. 111a, al. 2, P-LEI, le SEM pourra communiquer des données personnelles à l'Agence conformément au règlement UE. La liste des données con-