Vu la convention n° 108 du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel ;
Vu la convention d'application des accords de Schengen, notamment son article 45 ;
Vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données ;
Vu le code de l'entrée et du séjour des étrangers et du droit d'asile, notamment son article R. 611-42 ;
Vu le code du tourisme ;
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 24-II ;
Vu le décret n° 2005-1309 du 20 octobre 2005 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;
Vu l'arrêté du 1er octobre 2015 pris en application de l'article R. 611-42 du code de l'entrée et du séjour des étrangers et du droit d'asile ;
Après avoir entendu M. Jean-François CARREZ, commissaire, en son rapport, et M. Jean-Alexandre SILVY, commissaire du Gouvernement, en ses observations,
Formule les observations suivantes :
L'article 45 de la convention d'application des accords de Schengen (CAAS) du 19 juin 1990 impose aux Etats membres de prendre les mesures nécessaires afin que les professionnels du tourisme fassent remplir et signer aux touristes étrangers une fiche individuelle de police, couramment appelée « fiche d'hôtel ».
En application de cette disposition, l'article R. 611-42 du code de l'entrée et du séjour des étrangers et du droit d'asile (CESEDA) impose aux hôteliers, aux exploitants de villages et de maisons familiales de vacances, aux résidences et villages résidentiels de tourisme, aux loueurs de meublés de tourisme et de chambres d'hôtes et aux exploitants de terrains de camping, de caravanage et d'autres terrains aménagés de faire remplir et signer par toute personne étrangère, dès son arrivée, une fiche individuelle de police, aux fins de prévention des troubles à l'ordre public, d'enquêtes judiciaires et de recherche dans l'intérêt des personnes.
Le modèle de ces fiches individuelles de police est fixé par l'arrêté du 1er octobre 2015 susvisé.
L'article R. 611-42 du CESEDA et l'arrêté du 1er octobre 2015 précité fixent de manière précise les finalités de la tenue et de la conservation de ces fiches, les données qui seront collectées, la durée de conservation des fiches ainsi établies ainsi que les destinataires de ces fiches.
L'établissement et la conservation de ces fiches individuelles de police entraîneront nécessairement la mise en œuvre, par les établissements de tourisme concernés, de traitements de données à caractère personnel.
Conformément à l'article 24-II de la loi du 6 janvier 1978 modifiée, la commission est habilitée à définir, pour les catégories les plus courantes de traitements de données à caractère personnel et dont la mise en œuvre n'est pas susceptible de porter atteinte à la vie privée ou aux libertés, celles qui sont dispensées de déclaration.
Compte tenu des finalités, des données à caractère personnel traitées, de la durée de conservation de celles-ci, des destinataires de ces fiches individuelles de police et de l'encadrement réglementaire déjà existant en la matière, la commission considère que ces traitements sont de ceux qui peuvent, dans certaines conditions, relever de cette définition. Ils peuvent dès lors faire l'objet d'une dispense de déclaration sous réserve du strict respect des dispositions suivantes.

Champ d'application.
S'agissant en premier lieu des organismes tenus de faire remplir et signer une fiche individuelle de police, l'article R. 611-42 du CESEDA prévoit que sont concernés « les hôteliers, les exploitants de villages et maisons familiales de vacances, de résidences et villages résidentiels de tourisme, les loueurs de meublés de tourisme et de chambres d'hôtes, les exploitants de terrains de camping, caravanage et autres terrains aménagés », tels que définis par le code du tourisme. Sont ainsi visées toutes les personnes louant un bien à des fins touristiques, même à titre non professionnel, et notamment les particuliers, loueurs de meublé de tourisme. En revanche, les personnes physiques ou morales louant des locaux nus ne sont pas astreintes, aux termes de ce même article, à cette obligation.
S'agissant en deuxième lieu des personnes concernées, l'article R. 611-42 du CESEDA prévoit que les établissements de tourisme sont tenus de faire remplir et signer la fiche individuelle de police à « l'étranger », dès son arrivée.
Sont ainsi concernés tous les étrangers au sens du CESEDA, soit toutes les personnes qui n'ont pas la nationalité française. Tous les étrangers, qu'ils soient ou non ressortissants d'Etats membres de l'Union européenne, y compris ceux résidant habituellement en France, doivent remplir les fiches individuelles de police, dès lors qu'ils séjournent dans l'une des structures de tourisme visées par l'article R. 611-42 du CESEDA, pour chacun de leurs séjours dans l'un des hébergements concernés.
Les personnes majeures comme mineures, sans limite d'âge, entrent dans le champ d'application de cette disposition. Toutefois, les mineurs de moins de quinze ans peuvent figurer sur la fiche d'un adulte qu'ils accompagnent.
Enfin, sont concernées toutes les personnes étrangères hébergées par l'établissement de tourisme et pas uniquement celles qui auraient procédé à la réservation ou au paiement.

Finalités des traitements.
Seuls peuvent bénéficier de la présente dispense de déclaration les traitements de données à caractère personnel ayant pour unique finalité l'établissement et la conservation des fiches individuelles de police, dans les conditions prévues par l'article R. 611-42 du CESEDA.
Les données nécessaires à l'établissement de ces fiches ne peuvent être traitées à d'autres fins.

Informations collectées et traitées.
Seules peuvent être traitées les données à caractère personnel prévues par la réglementation en vigueur, notamment par l'arrêté du 1er octobre 2015 susvisé. Il s'agit des :

- nom ;
- prénoms ;
- date de naissance ;
- lieu de naissance ;
- nationalité ;
- domicile habituel ;
- numéro de téléphone mobile ;
- adresse électronique ;
- date d'arrivée au sein de l'établissement et date de départ prévue ;
- date et signature.

Lorsqu'un mineur âgé de moins de 15 ans figure sur la fiche d'un adulte qui l'accompagne, seules les données suivantes le concernant sont collectées :

- nom ;
- prénom ;
- date de naissance ;
- lieu de naissance ;
- nationalité ;
- domicile habituel ;
- numéro de téléphone mobile ;
- adresse électronique.

Les fiches individuelles de police peuvent être tenues de manière dématérialisée. Des données pourront notamment être extraites du fichier de gestion de la clientèle afin de préremplir la fiche. Toutefois, seules les données listées ci-dessus pourront être extraites de ce fichier, à l'exclusion de toute autre.
Les modalités de signature n'étant pas fixées par les textes réglementaires en vigueur, elle peut intervenir de manière électronique.

Destinataires des informations.
Pour l'exercice des finalités précitées, peuvent seules avoir communication des fiches individuelles de police les personnes prévues par l'article R. 611-42 du CESEDA. Ainsi, les fiches sont remises, sur leur demande, aux services de police et aux unités de gendarmerie.
Cette demande des autorités compétentes ne doit être fondée que sur l'un des trois motifs prévus par les dispositions précitées du CESEDA (prévention des troubles à l'ordre public, enquêtes judiciaires, recherche dans l'intérêt des personnes) et seules les données nécessaires à une enquête doivent être requises par les services de police et les unités de gendarmerie.
Le CESEDA prévoit que cette transmission peut s'effectuer sous forme dématérialisée. Cette transmission peut intervenir par tout moyen, tel que des plates-formes électroniques dédiées, la création d'adresses électroniques spécifiques ou encore une clé USB. La commission rappelle, en tout état de cause, que ces transmissions dématérialisées devront intervenir dans des conditions permettant de garantir le respect des dispositions de l'article 34 de la loi du 6 janvier 1978 modifiée.
Aucun transfert de données à caractère personnel à destination d'un Etat non membre de l'Union européenne n'est mis en œuvre.

Durée de conservation.
Conformément à l'article R. 611-42 du CESEDA, les hôteliers, les exploitants de villages et maisons familiales de vacances, de résidences et villages résidentiels de tourisme, les loueurs de meublés de tourisme et de chambres d'hôtes, les exploitants de terrains de camping, caravanage et autres terrains aménagés sont tenus de conserver les fiches établies pendant une durée de six mois.
Au terme de cette durée de conservation, les organismes de tourisme doivent détruire de façon définitive et sécurisée les fiches individuelles de police qu'ils détiennent. Si les données mentionnées à l'article 3 figurent également dans d'autres traitement, notamment le fichier de gestion de la clientèle, elles ne pourront être communiquées, une fois les fiches supprimées, que sur réquisition judiciaire.

Information et droit d'accès.
Conformément à l'article 32 de la loi du 6 janvier 1978 modifiée, les personnes concernées doivent être informées par l'établissement de tourisme qui les héberge :

- de l'identité du responsable du traitement ;
- de la finalité poursuivie par le traitement auquel les données sont destinées ;
- du caractère obligatoire des réponses ;
- des conséquences éventuelles, à leur égard, d'un défaut de réponse ;
- des destinataires ou catégories de destinataires des données ;
- des droits qu'elles tiennent des dispositions de la loi du 6 janvier 1978 modifiée (en l'espèce, droits d'accès et de rectification).

Cette information doit être claire, compréhensible et accessible, particulièrement au regard de la nature des établissements concernés, qui sont susceptibles d'accueillir des personnes de différentes nationalités. L'information doit dès lors être intelligible et, le cas échéant, délivrée en plusieurs langues.
Cette information peut notamment être délivrée par l'intermédiaire d'un document remis au moment où la fiche individuelle de police est remplie par la personne concernée ou par voie d'affichage dans les locaux de l'établissement de tourisme. Elle peut également être délivrée par l'intermédiaire du site internet de l'établissement.
Les droits d'accès et de rectification, prévus aux articles 39 et 40 de la loi du 6 janvier 1978 modifiée, s'exercent directement auprès de l'organisme de tourisme.
Les traitements projetés répondant à une obligation légale, le droit d'opposition ne s'applique pas, conformément aux dispositions de l'article 38 de la loi du 6 janvier 1978 modifiée.

Politique de confidentialité et de sécurité.
Le responsable de traitement doit mettre en œuvre des mesures de sécurité et de traçabilité permettant de répondre à l'exigence de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée et adaptées au mode de conservation et de transmission des fiches individuelles de police.
L'organisme de tourisme prend ainsi les mesures de protection physique et logique adéquates afin de préserver la sécurité des fiches individuelles de police, empêcher toute utilisation détournée ou frauduleuse des informations, notamment par des tiers non autorisés et préserver la confidentialité et l'intégrité des données.
Il prend en outre les mesures nécessaires pour préserver la sécurité des données lors de leur communication aux destinataires listés à l'article 4 de la présente dispense.
A ce titre, il s'assure notamment que les échanges d'informations avec les services de police ou les unités de gendarmerie sollicitant ces fiches s'effectuent de manière sécurisée et de façon à garantir la confidentialité des données ainsi transmises. Ces mesures de sécurité doivent être adaptées au format de conservation des fiches individuelles de police.
L'organisme de tourisme s'assure enfin que les demandes de fiches, par les services de police ou les unités de gendarmerie, font l'objet d'une traçabilité effective et adaptée au mode de communication. Ces mesures de traçabilité comportent a minima l'identité de la personne sollicitant la fiche individuelle de police, le service auquel elle appartient ainsi que la date et le motif de cette demande (prévention des troubles à l'ordre public, enquêtes judiciaires, recherche dans l'intérêt des personnes).
La commission rappelle que cette obligation de sécurité prévue par l'article 34 de la loi du 6 janvier 1978 modifiée nécessite la mise à jour des mesures de sécurité au regard de la réévaluation régulière des risques.

Effets de la dispense.
Les traitements répondant aux conditions visées aux articles 1 à 7 peuvent être mis en œuvre sans délai et sans déclaration préalable auprès de la CNIL.
La dispense de déclaration préalable auprès de la CNIL n'exonère le responsable de tels traitements d'aucune de ses autres obligations prévues par les textes applicables à la protection des données à caractère personnel. En particulier, la commission rappelle qu'elle se réserve le droit de contrôler le respect des dispositions de la présente délibération.

Publication.
La présente délibération sera publiée au Journal officiel de la République française.