AVIS DU CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES (CEPD).
1) D’un point de vue général, le CEPD reconnaît que le développement d'une politique commune en matière de visas nécessite un échange efficace de données pertinentes. Le VIS constitue l'un des mécanismes susceptibles de garantir la fluidité des échanges d'informations. Néanmoins, ce nouvel instrument devrait se limiter à la collecte et à l'échange de données dans la mesure où ceux-ci sont nécessaires à la mise en place d'une politique commune en matière de visas et proportionnés à cet objectif.
Si la mise en place du VIS peut avoir des conséquences positives pour d'autres intérêts publics légitimes, elle ne modifie pas pour autant la finalité de ce système. La finalité limitée de ce système joue un rôle majeur dans la détermination du contenu et de l'utilisation légitimes du système et, dès lors, également dans l'octroi d'un droit d'accès au VIS (ou à certaines de ses données) aux autorités des États membres pour des intérêts publics légitimes.
En outre, la proposition introduit l'utilisation de données biométriques dans le VIS. Tout en reconnaissant les avantages que présente cette utilisation, le CEPD en souligne l'incidence majeure et suggère de l'assortir de garanties strictes.
2) Le CEPD formule également d’autres observations, en particulier sur les points suivants :
- motifs de refus d'un visa : il conviendrait d'ajouter une référence à l'article 29 de la directive 2004/38/CE dans le texte de la proposition afin de s'assurer que la notion de «menace pour la santé publique» sera interprétée à la lumière de cette disposition ;
- les données relatives aux «membres du groupe» ayant une signification particulière aux fins de la proposition, il conviendrait d'en donner une définition précise et complète ;
- la proposition doit indiquer explicitement que les données à caractère personnel doivent être entièrement réexaminées à chaque nouvelle demande de visa ;
- contrôle des visas aux frontières extérieures : il conviendrait de modifier l'article 16 de la proposition, car un accès à la base de données centrale du VIS serait en l'occurrence disproportionné ;
- il conviendrait d'ajouter à la proposition des dispositions instaurant un mécanisme d'audit (interne) systématique des mesures de sécurité. Le champ d'application de l'article 40 devrait être étendu à la légalité du traitement des données. En outre, les États membres doivent établir et tenir à jour en permanence la liste complète des identités des utilisateurs. La même obligation doit être faite à la Commission; de plus, les relevés de toutes les opérations de traitement doivent être conservés aux fins non seulement du suivi en matière de protection des données mais aussi des vérifications internes régulières du VIS ;
- droits de la personne concernée: la proposition doit être modifiée afin de veiller à ce que les personnes concernées soient aussi informées de la durée de conservation des données; de mentionner «l'existence du droit d'accès aux données concernant la personne en question et du droit d'en demander la rectification ou l'effacement»; d’indiquer de manière explicite que la communication de certaines données peut être demandée dans tout État membre ;
- contrôle: il conviendrait de préciser que les autorités de contrôle nationales contrôlent la légalité du traitement des données à caractère personnel par l'État membre, y compris pour ce qui concerne la transmission de ces données à partir de l'interface nationale du VIS et vers celle-ci; une disposition devrait prévoir que, une fois par an au moins, le CEDP sollicite la participation de toutes les autorités de contrôle nationales à une réunion ;
- mise en œuvre: il serait préférable que les choix technologiques ayant une incidence significative sur la protection des données soient opérés par voie de règlement, selon la procédure de codécision; dans les autres cas, le CEPD devrait avoir la possibilité de formuler des conseils quant aux choix faits par le comité prévu par la proposition.