Chapitre 7 Traitement des données, sécurité des données et surveillance

¹Seule l’autorité qui a signalé les données dans le SIS est autorisée à les modifier, à les compléter, à les corriger, à les mettre à jour ou à les effacer.

²Font exception les contrôles de signalements multiples effectués par le bureau SIRENE conformément à l’art. 9, let. m, et les compléments apportés aux signalements en cas d’usurpation d’identité conformément à l’art. 9, let. n.

¹Tout traitement d’une information contenue dans un signalement entrant à d’autres fins que celles pour lesquelles il a été émis requiert l’accord de l’État Schengen qui l’a émis et doit être en relation avec un cas spécifique.

²Le traitement n’est autorisé que dans un des cas suivants:

a.

lutte contre un danger grave et imminent pour la sécurité et l’ordre publics;

b.

existence de facteurs prépondérants liés à la sécurité intérieure;

c.

prévention d’une infraction grave.

³On entend par infractions graves au sens de l’al. 2, let. c, les infractions visées à l’art. 286, al. 2, du code de procédure pénale¹⁷⁷.

¹L’autorité ayant émis le signalement est responsable de l’exactitude et de l’actualité des données, ainsi que de la licéité de leur introduction dans le SIS.¹⁷⁸

²Si des éléments indiquent que des données sont incorrectes ou qu’elles ne sont pas traitées conformément au droit, le bureau SIRENE doit être immédiatement informé; les documents s’y référant doivent lui être transmis.

³S’il apprend que des données d’un signalement sortant sont inexactes ou n’ont pas été traitées conformément au droit, le bureau SIRENE en informe immédiatement l’autorité chargée du signalement. Celle-ci effectue les adaptations nécessaires dans le SYMIC et le RIPOL. Pour les signalements entrants, le bureau SIRENE transmet l’information à l’État Schengen qui a émis le signalement dans les dix jours.¹⁷⁹

¹Le bureau SIRENE prend contact avec les autres bureaux SIRENE ou avec l’autorité signalante s’il constate, lors de la saisie ou de l’émission d’un nouveau signalement, qu’une personne présentant les mêmes caractéristiques personnelles est déjà signalée. Il vérifie s’il s’agit de la même personne.

²Si cette vérification fait apparaître que la personne faisant l’objet du nouveau signalement et la personne déjà signalée sont bien une seule et même personne, le bureau SIRENE met en œuvre la procédure prévue à l’art. 41.

³Si cette vérification fait apparaître qu’il s’agit de deux personnes différentes, les informations nécessaires en vue d’éviter une fausse identification doivent être ajoutées au nouveau signalement.

¹Une personne ou un objet ne peut être le sujet que d’un seul signalement sortant.

²S’il apparaît, lors du signalement d’une personne ou d’un objet, que celle-ci ou celui-ci fait déjà l’objet d’un signalement sortant, le bureau SIRENE recherche le signalement prioritaire en se fondant sur l’art. 9c et sur les manuels SIRENE, après avoir consulté les autorités ayant déjà émis ce signalement.¹⁸⁰

³S’il apparaît, lors du signalement d’une personne, que celle-ci fait déjà l’objet d’un signalement entrant, le bureau SIRENE s’accorde avec le bureau SIRENE de l’État Schengen qui a émis le premier signalement de la personne sur l’enregistrement du nouveau signalement.

⁴Si un État Schengen demande qu’un accord soit trouvé pour déterminer quel signalement doit être émis, soit le sien, soit un signalement sortant existant, le bureau SIRENE mène l’échange d’opinions en accord avec l’autorité signalante.

¹Les bureaux SIRENE échangent des informations supplémentaires lorsqu’une personne affirme ne pas être la personne signalée. S’il ressort des vérifications qu’il s’agit effectivement de deux personnes différentes, le bureau SIRENE demande que les données personnelles en question soient supprimées ou que le signalement soit complété par des données concernant la personne dont l’identité a été usurpée dans la mesure où elle a donné son accord exprès.

²Les données concernant les personnes dont l’identité a été usurpée ne peuvent être utilisées qu’aux fins suivantes:

a.

permettre de distinguer la personne dont l’identité a été usurpée de celle effectivement signalée;

b.

permettre à la personne dont l’identité a été usurpée d’attester son identité et d’établir que son identité a été usurpée.

³Seules peuvent être saisies et traitées dans le cas des personnes dont l’identité a été usurpée les données personnelles suivantes:¹⁸¹

a.

noms et prénoms, noms à la naissance, anciens noms et noms d’emprunt;

b.¹⁸²

signes physiques particuliers, objectifs et inaltérables;

c.¹⁸³

date, lieu et pays de naissance;

d.

sexe;

e.¹⁸⁴

photographies et images faciales;

f.¹⁸⁵

empreintes digitales et palmaires;

g.

nationalités;

h.¹⁸⁶

types, numéros, pays d’émission et dates d’établissement des documents d’identification;

i.¹⁸⁷

adresse;

j.¹⁸⁸

noms du père et de la mère.

⁴Les données visées à l’al. 3 sont effacées au même moment que le signalement correspondant ou sur demande de la personne concernée.

⁵Seules les autorités ayant un droit d’accès au signalement en question peuvent consulter les données visées à l’al. 3.

¹Conformément aux art. 53, par. 1 à 7, et 55, par. 1 à 4^bis et 6, du règlement (UE) 2018/1862¹⁹⁰, aux art. 39 et 40 du règlement (UE) 2018/1861¹⁹¹ et à l’art. 14 du règlement (UE) 2018/1860¹⁹², les signalements de personnes doivent être effacés lorsque leur but est atteint.¹⁹³

²Les signalements aux fins de retour sont effacés dès que le retour a eu lieu au départ de la Suisse ou qu’une confirmation de retour est arrivée. Le SEM peut assumer les tâches des cantons si l’effacement s’en trouve simplifié.

³Les signalements de personnes sont automatiquement effacés dans les délais suivants:

a.

aux fins de retour ou de non-admission et d’interdiction de séjour: après trois ans;

b.

en vue d’une arrestation aux fins d’extradition: après cinq ans;

c.

pour les personnes disparues: après cinq ans;

d.

pour les personnes à protéger: après un an;

e.

en vue d’une participation à une procédure pénale: après trois ans;

f.

aux fins de surveillance discrète, de contrôles d’investigation ou de contrôle ciblé: après un an;

g.

pour les personnes suspectes dont l’identité est inconnue: après trois ans;

h.¹⁹⁴

pour information concernant des ressortissants de pays tiers: après un an.

⁴Le bureau SIRENE est avisé automatiquement de l’effacement programmé dans le système avec un préavis de quatre mois.

⁵Le bureau SIRENE vérifie si une prolongation du signalement est nécessaire, en concertation avec l’autorité procédant au signalement dans le RIPOL.

⁶Le SEM est avisé automatiquement de l’effacement des signalements sortants du SYMIC programmé dans le système avec un préavis de quatre mois.

⁷Le SEM vérifie si une prolongation du signalement est nécessaire et prend contact s’il y a lieu avec l’autorité ayant procédé au signalement dans le SYMIC avant l’effacement automatique du signalement.

⁸Un signalement peut être prolongé lorsque son but l’exige et dans le respect du principe de proportionnalité. Dans ce cas, une évaluation individuelle doit être effectuée; cette dernière doit être journalisée.

⁹En cas de prolongation, les al. 1 à 7 sont applicables.

¹⁰La procédure applicable lorsque le bureau SIRENE constate que le but d’un signalement est atteint est régie par les art. 53, par. 9, du règlement (UE) 2018/1862 et 39, par. 7, du règlement (UE) 2018/1861.

¹Les signalements d’objets doivent être effacés lorsque leur but est atteint.

²Les signalements d’objets sont automatiquement effacés dans les délais suivants:

a.

aux fins de surveillance discrète, de contrôles d’investigation ou de contrôle ciblé: après un an;

b.

en vue de leur saisie ou de la sauvegarde de preuves dans des procédures pénales: après dix ans;

c.

pour les conteneurs, en vue de leur saisie ou de la sauvegarde de preuves dans des procédures pénales: après cinq ans;

d.

pour les objets de la technologie de l’information: après un an.

³Les extensions de signalements de personnes et les associations à des signalements aux fins de surveillance discrète, de contrôles d’investigation ou de contrôle ciblé sont effacés dès qu’ils ne sont plus nécessaires. L’effacement a lieu automatiquement au plus tard lors de la suppression du signalement de personne dans les délais prévus à l’art. 43, al. 3, let. c à h.¹⁹⁶

⁴Un signalement peut être prolongé en conformité avec l’art. 54, par. 4, du règlement (UE) 2018/1862¹⁹⁷ lorsque son but l’exige. Dans ce cas, une évaluation individuelle doit être effectuée; cette dernière doit être journalisée.

⁵En cas de prolongation, les al. 1 à 4 sont applicables.

⁶Pour le reste, l’effacement des signalements d’objets est régie par l’art. 55, par. 4, 5 et 7, du règlement (UE) 2018/1862 et l’art. 40 du règlement (UE) 2018/1861¹⁹⁸.

¹Les informations supplémentaires qui se réfèrent à des personnes précises ou identifiables doivent être effacées lorsque le but visé est atteint.

²Elles sont effacées au plus tard un an après que les signalements de la personne concernée ont été effacés.

³Indépendamment de l’al. 2, les données suivantes peuvent être conservées dans les systèmes d’information de la Confédération ou des cantons:

a.

les données liées à des signalements sortants;

b.

les données liées à des signalements entrants dans le cadre desquels des mesures ont été prises.

⁴Dans les cas visés à l’al. 3, la durée de conservation se fonde sur les dispositions relatives à chaque système d’information.

Les données traitées dans le SIS ne doivent pas être communiquées à des États tiers ou à des organisations internationales.

Les données saisies dans le SIS qui sont liées à des signalements aux fins de retour ainsi que les informations supplémentaires qui s’y rapportent peuvent être communiquées à des États tiers lorsque les conditions visées à l’art. 15 du règlement (UE) 2018/1860²⁰⁰ sont réunies.

¹Dans les limites de ses tâches, Europol a accès en ligne aux données introduites dans le SIS. Le traitement des informations obtenues par la consultation du SIS est soumis à l’accord de l’autorité qui a émis le signalement. Europol peut demander d’autres informations à la Suisse si celle-ci est l’auteur du signalement. L’échange d’informations supplémentaires avec Europol est régi par l’art. 48 du règlement (UE) 2018/1862²⁰¹ et le manuel SIRENE.²⁰²

²Les membres nationaux d’Eurojust, ainsi que leurs assistants, ont accès en ligne, dans les limites de leurs tâches, aux données introduites dans le SIS conformément aux art. 23, 38, 31, 34a et 35.²⁰³ S’il ressort d’une consultation du système par un membre national d’Eurojust qu’il existe dans le SIS un signalement émanant de la Suisse, celui-ci en informe la Suisse. Les informations obtenues suite à cette consultation ne peuvent être communiquées à des pays ou instances tiers qu’avec le consentement de l’autorité signalante.

³Les utilisateurs visés aux al. 1 et 2 ne peuvent consulter que les données nécessaires à l’accomplissement de leurs tâches.

¹Fedpol propose aux Archives fédérales aux fins d’archivage les données devenues inutiles ou destinées à l’effacement et les documents qui s’y rapportent, à savoir:

a.

les données liées à des signalements sortants;

b.

les données liées à des signalements entrants dans le cadre desquels des mesures ont été prises.

²Les données et les documents que les Archives fédérales jugent sans valeur archivistique sont détruits.

¹Le bureau SIRENE établit chaque année des statistiques anonymisées indiquant le nombre:

a.

de signalements, de modifications et d’effacements, pour chaque catégorie de signalement;

b.

de réponses positives à des interrogations, pour chaque catégorie de signalement;

c.

d’accès au SIS;

d.

de signalements dont la durée de saisie a été prolongée;

e.

de signalements faisant l’objet d’un marquage;

f.

de signalements dissimulés;

g.

de retours menés à terme.

²Il convient de tenir des statistiques distinctes:

a.

sur le nombre de recherches effectuées par les autorités visées à l’art. 7, al. 1, let. a, ch. 8, h^bis, h^ter et j à l, dont il faut également extraire le nombre de réponses positives pour chaque catégorie de signalement, ainsi que sur l’échange d’informations avec Europol;

b.

sur l’échange d’informations visé à l’art. 31 du règlement (UE) 2018/1861²⁰⁵ et à l’art. 13 du règlement (UE) 2018/1860²⁰⁶.

³Le SEM et le bureau N-SIS de fedpol fournissent au bureau SIRENE les données nécessaires à l’établissement des statistiques.

⁴Les statistiques peuvent être communiquées aux organes de l’UE dans le cadre des devoirs de communication découlant des accords d’association à Schengen et conformément aux règlements (UE) 2018/1862²⁰⁷, 2018/1861 et 2018/1860.

¹Si une personne veut faire valoir son droit d’accès aux données, elle doit présenter une demande à fedpol dans la forme prévue à l’art. 16 de l’ordonnance du 31 août 2022 sur la protection des données (OPDo)²⁰⁹. L’exercice d’autres droits par la personne concernée est régi par l’art. 41 de la loi fédérale du 25 septembre 2020 sur la protection des données (LPD)²¹⁰.²¹¹

²Fedpol traite la demande après avoir consulté l’autorité signalante. Pour les demandes liées à des signalements entrants, il prend sa décision après avoir permis à l’État Schengen qui a émis le signalement de se prononcer.

³Si un État Schengen invite le bureau SIRENE à se prononcer sur le droit à l’information, à la rectification ou à l’effacement de données, le Service juridique de fedpol rédige l’avis en collaboration avec les autorités signalantes.

⁴Si une personne dépose une demande de renseignements, elle doit être informée dans les 30 jours suivant la réception de sa demande. Si les renseignements ne peuvent être fournis dans ce délai, la personne doit en être informée. Les renseignements doivent être fournis au plus tard 60 jours après le dépôt de la demande.

⁵Si une personne dépose une demande de rectification ou d’effacement de données, elle doit être informée des mesures mises en œuvre au plus tard trois mois après le dépôt de la demande.

⁶L’art. 8a LSIP sur la restriction du droit d’accès aux signalements en vue d’une arrestation aux fins d’extradition est réservé.²¹²

¹Les ressortissants d’États tiers qui font l’objet d’un signalement aux fins de non-admission ou d’interdiction de séjour reçoivent d’office les informations mentionnées à l’art. 25 LPD²¹⁴.²¹⁵

²La communication des informations selon l’al. 1 n’est pas nécessaire dans les cas suivants:

a.

les données personnelles n’ont pas été collectées auprès du ressortissant de l’État tiers concerné et l’information de la personne concernée se révèle impossible ou implique des efforts disproportionnés;

b.

le ressortissant de l’État tiers concerné dispose déjà des informations;

c.²¹⁶

une restriction du droit à l’information conformément à l’art. 26 LPD est prévue.

Fedpol fait annuellement rapport au Comité européen de la protection des données sur l’exercice du droit à l’information, à la rectification ou à l’effacement des données et sur les procédures engagées à ce titre en vertu de l’art. 68 du règlement (UE) 2018/1862²¹⁸, de l’art. 54 du règlement (UE) 2018/1861²¹⁹ ou de l’art. 19 du règlement (UE) 2018/1860²²⁰. Le rapport est transmis au Comité européen de la protection des données par l’intermédiaire du préposé fédéral à la protection des données et à la transparence.

La responsabilité en cas de dommages liés à l’exploitation du SIS se fonde sur les art. 19a à 19c de la loi du 14 mars 1958 sur la responsabilité²²¹.

¹La sécurité des données se fonde sur:

a.²²²

l’OPDo²²³;

b.²²⁴

l’ordonnance du 8 novembre 2023 sur la sécurité de l’information²²⁵;

c.²²⁶

…

²Fedpol fixe les mesures organisationnelles et techniques prévues pour prévenir un traitement indu des données dans le règlement de traitement visé à l’art. 3, al. 2, et règle la journalisation automatique du traitement et de la consultation des données.

¹Tout traitement de données dans le N-SIS doit être journalisé. La journalisation porte sur les données ci-après:

a.

l’historique des signalements;

b.

la date et l’heure du traitement des données;

c.

les données utilisées pour effectuer la consultation;

d.

la référence des données traitées;

e.

l’identifiant unique et personnel de l’autorité compétente et de la personne qui traite les données.

²Les journaux sont conservés trois ans. Les modalités figurent à l’art. 12 des règlements (UE) 2018/1862²²⁸ et (UE) 2018/1861²²⁹.

¹Le conseiller à la protection des données du Département fédéral de justice et police (DFJP) contribue à faire respecter les dispositions relatives à la protection des données en coordonnant l’exécution des tâches des conseillers à la protection des données des offices du DFJP concernés.

²Les conseillers à la protection des données des offices concernés veillent:

a.

à informer les personnes chargées du traitement des données;

b.

à former ces personnes;

c.

à faire les contrôles nécessaires;

d.

à combler rapidement les lacunes constatées;

e.

à signaler les besoins en matière de coordination au conseiller à la protection des données du DFJP.