Sécurité des cartes d’identité des citoyens de l’Union et des titres de séjour délivrés aux citoyens de l’Union et aux membres de leur famille

AVIS du contrôleur européen de la protection des données (CEPD) sur la proposition de règlement relatif au renforcement de la sécurité des cartes d’identité des citoyens de l’Union et d’autres documents.

Le CEPD soutient l’objectif de la Commission européenne de renforcer les normes de sécurité applicables aux cartes d’identité et aux titres de séjour, mais il estime dans le même temps que la proposition ne justifie pas suffisamment la nécessité de traiter deux types de données biométriques (image faciale et empreintes digitales) dans ce cadre, alors que l’objectif déclaré pourrait être atteint par une approche moins intrusive.

Le fait que la proposition soumettrait 85 % de la population de l’Union au relevé obligatoire d’empreintes digitales, conjugué au caractère très sensible des données traitées appelle un examen attentif selon un critère de nécessité strict. Par ailleurs, l’introduction dans les cartes d’identité d’éléments de sécurité pouvant être considérés comme appropriés dans le cas des passeports ne peut être automatique, mais exige une analyse approfondie.

Le CEPD estime que l’analyse d’impact accompagnant la proposition ne peut être considérée comme suffisante aux fins de la conformité avec l’article 35, paragraphe 10, du règlement général sur la protection des données (RGPD). Par conséquent, il recommande de réévaluer la nécessité et la proportionnalité du traitement des données biométriques (image faciale combinée aux empreintes digitales) dans ce cadre.

En outre, le CEPD recommande :

- d’ajouter à la proposition une disposition précisant de façon explicite que les données biométriques traitées dans son contexte doivent être effacées immédiatement après leur intégration dans la puce et ne peuvent être traitées ultérieurement à d’autres fins que celles expressément établies dans la proposition ;

- de restreindre les données biométriques utilisées à une seule (par exemple, image faciale) dans la mesure où la proposition ne justifie pas la nécessité de stocker deux types de données biométriques aux fins considérées ;

- de limiter les données dactyloscopiques stockées dans la puce des documents à des points caractéristiques ou des motifs, un sous-ensemble des caractéristiques extraites de l’image de l’empreinte digitale ;

- de fixer l’âge minimum pour le relevé d’empreintes digitales des enfants au titre de la proposition à 14 ans, conformément à d’autres instruments du droit de l’Union.