par Manalys RAYNAUD, étudiante du Master 2 Droit des communications électroniques
L’Union européenne est à l’aube d’une mutation historique de sa gestion frontalière, marquée par le passage d’un contrôle physique à une surveillance numérique et biométrique généralisée. Ce « virage numérique » s’incarne dans le déploiement imminent de deux dispositifs majeurs : l’Entry/Exit System (EES), instauré par le règlement (UE) 2017/2226, et l’European Travel Information and Authorisation System (ETIAS), créé par le règlement (UE) 2018/1240, complétés par les règlements d’interopérabilité (UE) 2019/817 et 2019/818.
Au‑delà de la simple modernisation administrative, ces systèmes consacrent l’avènement d’une « frontière algorithmique » où la décision d’entrée sur le territoire est pré‑traitée par des systèmes automatisés interconnectés utilisant des données biométriques et des techniques de profilage au sens de l’article 4, point 4, du RGPD.
Cette transformation soulève une problématique centrale : dans quelle mesure la numérisation et l’automatisation des contrôles aux frontières de l’UE, via ETIAS et EES, opèrent‑elles un glissement vers un régime d’exception au regard des principes fondamentaux de la protection des données, des droits garantis par la Charte des droits fondamentaux (articles 7, 8, 21, 47) et de la régulation européenne de l’IA ?
1. L’architecture de la frontière numérique : Interopérabilité et biométrie
L’UE construit un écosystème de surveillance complexe, géré techniquement par l’agence eu‑LISA, qui ne repose plus sur des silos d’informations, mais sur une interopérabilité généralisée des grands systèmes d’information en matière de frontières, de visas, d’asile et de casiers des ressortissants de pays tiers.
L’EES : Fin du tampon, le début du traçage biométrique
L’EES (Règlement 2017/2226) vise à enregistrer numériquement les entrées, sorties et refus d’entrée des ressortissants de pays tiers, qu’ils soient soumis ou non à l’obligation de visa de court séjour. Il remplace le simple tampon manuel par la collecte systématique de données biographiques (identité, nationalité), documentaires (données du passeport), de franchissement (date, heure, point de passage) et biométriques (image faciale et empreintes digitales).
Le système fonctionne comme une immense base de données de franchissements, avec des durées de conservation de 3 ans pour les séjours réguliers et 5 ans en cas de dépassement ou de refus d’entrée, ce qui s’apparente à un traitement de données à grande échelle critiqué par le Contrôleur européen de la protection des données (CEPD) au regard du principe de minimisation et de limitation de la conservation consacrés à l’article 5 du RGPD. Plusieurs analyses soulignent qu’une telle conservation de traces biométriques de personnes n’ayant commis aucune infraction soulève une question de proportionnalité au regard des articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne (CDFUE).
ETIAS : Un profilage prédictif assumé
ETIAS (Règlement 2018/1240) est un système d’autorisation préalable de voyage pour les ressortissants de pays tiers exemptés de visa, inspiré de l’ESTA américain. Contrairement à un simple formulaire administratif, ETIAS est un outil de « screening » automatisé où le voyageur remplit un formulaire en ligne (identité, document de voyage, itinéraire, questions relatives à la sécurité et à la santé), et sa demande est automatiquement confrontée à différentes bases (SIS, VIS, EES, Eurodac, ECRIS‑TCN, Europol, Interpol), ainsi qu’à une liste de surveillance (watchlist) ETIAS.
Le cœur du système est un algorithme de profilage, l’article 33 du règlement ETIAS reconnaît explicitement que les règles de filtrage (« screening rules ») constituent un profilage au sens de l’article 4, point 4, du RGPD. Ces règles, élaborées par l’unité centrale ETIAS et validées par un comité associant notamment Frontex et Europol, utilisent des indicateurs de risque fondés sur des données comme la nationalité, l’âge, le pays de résidence, la profession ou l’historique de voyages, pour évaluer les risques sécuritaires, migratoires ou épidémiques et classer les demandes en « hits » ou « no‑hits ».
L’interopérabilité comme clé de voûte
Ni EES ni ETIAS ne fonctionnent en vase clos, car ils s’appuient sur une architecture d’interopérabilité définie par les règlements (UE) 2019/817 et 2019/818. Celle‑ci repose notamment sur un Portail de recherche européen (ESP), qui permet aux autorités habilitées d’interroger simultanément plusieurs systèmes, et sur un Répertoire commun d’identités (CIR), qui agrège les données d’identité issues de bases comme le SIS, le VIS, Eurodac, EES ou ETIAS, ainsi qu’un système biométrique partagé (sBMS).
Cette interconnexion transforme la frontière en un espace de données partagées, où la distinction entre gestion migratoire et répression pénale tend à s’estomper, dans la mesure où les forces de l’ordre et Europol bénéficient d’accès encadrés à ces données à des fins de prévention et de détection d’infractions graves. Elle fournit également le socle technique pour l’usage de systèmes d’IA à haut risque, tels que définis par l’AI Act, dans le domaine de la migration et du contrôle des frontières.
2. Le droit du numérique à l’épreuve : Risques et critiques
L’intégration de l’IA et du traitement massif de données dans la gestion des frontières percute frontalement les garanties du RGPD, de la directive (UE) 2016/680 (« Police‑Justice ») et de la CDFUE. Les autorités de protection des données et la doctrine identifient plusieurs risques majeurs.
Décision automatisée et « automation bias »
Le règlement ETIAS prévoit une intervention humaine en cas de « hit » c’est à dire que lorsqu’une demande déclenche une correspondance dans les bases ou selon les règles de filtrage, elle doit être examinée par une unité nationale ETIAS qui peut confirmer ou infirmer le résultat. Sur le papier, il ne devrait donc pas y avoir de décision fondée exclusivement sur un traitement automatisé.
En pratique, beaucoup s’inquiètent de la réalité de ce contrôle, en raison du risque d’« automation bias » car l’agent, confronté à une recommandation algorithmique de refus, tend à valider la décision de la machine sans véritable réexamen, surtout dans un contexte de flux important et de pression opérationnelle. Cette situation pourrait conduire à ce que la décision soit, de facto, largement déterminée par l’algorithme, en tension avec les principes issus de l’article 22 du RGPD et des exigences posées par la directive 2016/680 sur la prise de décision automatisée.
La CJUE, dans l’arrêt Ligue des droits humains (C‑817/19) sur l’utilisation de données PNR, a rappelé que l’usage de critères prédéterminés pour le filtrage de données de voyageurs doit être encadré par des règles claires et précises, afin d’éviter l’arbitraire et les généralisations excessives. Cette jurisprudence met en lumière la nécessité d’un encadrement strict des mécanismes de filtrage automatisé, qui trouve un écho direct dans le fonctionnement d’ETIAS.
Discrimination et biais algorithmiques
Le profilage ETIAS utilise des indicateurs de risque basés sur des statistiques (nationalité, âge, lieu de résidence, emploi, etc.), sans recourir en principe à des catégories sensibles comme base unique. Toutefois, la combinaison de données apparemment neutres (proxy data) peut conduire à une discrimination indirecte, en corrélant par exemple certaines nationalités, certains quartiers ou trajectoires migratoires avec un risque élevé d’immigration irrégulière ou de menace sécuritaire.
Des avis du CEPD et des analyses académiques sur l’IA aux frontières soulignent que de tels systèmes risquent d’objectiver des préjugés existants et de renforcer la stigmatisation de groupes déjà vulnérables, tout en construisant une expertise européenne en IA largement entraînée sur des données relatives à des personnes étrangères, moins à même de contester les décisions qui les affectent.
Opacité et droit au recours effectif
La métaphore de la « boîte noire » est particulièrement pertinente pour ETIAS car les règles de filtrage ne sont pas intégralement publiques ni pleinement intelligibles pour les voyageurs, et leur logique statistique est difficile à appréhender pour un non spécialiste.
Cette opacité pose un défi majeur au droit à un recours effectif garanti par l’article 47 de la CDFUE car si les critères de criblage ne sont pas accessibles ou compréhensibles, comment un voyageur refusé peut‑il contester utilement la décision et démontrer l’existence d’une erreur ou d’un biais ? Le règlement prévoit bien un recours devant l’État membre ayant pris la décision, mais l’asymétrie d’information et la technicité du système limitent très fortement l’effectivité de ce droit.
Protection des données et “mission creep”
Le principe de limitation des finalités, posé par l’article 5 du RGPD et décliné dans la directive 2016/680, est fragilisé par le risque de mission creep, c’est‑à‑dire de détournement de finalité. Initialement conçus pour la gestion des frontières et la prévention de certaines infractions graves, EES et ETIAS tendent à devenir des outils d’enquête policière et de renseignement, via l’accès accordé à Europol et à diverses autorités nationales au titre de la lutte contre le terrorisme et la criminalité grave.
Le stockage de longue durée (jusqu’à 5 ans) de données de personnes n’ayant commis aucune infraction, combiné à l’interopérabilité, interroge la proportionnalité de l’ingérence et le respect du principe de minimisation, en particulier au regard des articles 7, 8 et 21 de la CDFUE. Le CEPD et d’autres autorités demandent donc des garanties renforcées : évaluations d’impact approfondies, limitation des accès, traçabilité des consultations et audits réguliers des algorithmes et des usages.
L’AI Act classe explicitement parmi les systèmes d’IA à haut risque ceux utilisés pour la gestion des migrations, de l’asile et du contrôle aux frontières, notamment lorsqu’ils servent à évaluer un risque de sécurité, de migration irrégulière ou de santé posé par une personne souhaitant entrer sur le territoire de l’UE. Les outils d’IA déployés dans le cadre d’ETIAS et de l’EES devraient donc, en principe, être soumis à des exigences renforcées de gouvernance des données, de gestion des risques, de qualité, de transparence et de supervision humaine effective. Reste à vérifier, dans la pratique, si ces obligations seront réellement appliquées à ces systèmes déjà largement conçus et mis en production, ou si l’encadrement demeurera partiellement théorique, laissant au juge le soin de combler les lacunes.
3. Perspectives comparées : La dérive transatlantique
L’UE n’est pas pionnière en matière d’autorisations de voyage et de frontières « intelligentes », elle s’inscrit dans une dynamique globale de numérisation des contrôles, influencée par des modèles anglo‑saxons.
Le modèle américain ESTA : un précédent à surveiller
ETIAS est souvent présenté comme l’équivalent européen de l’ESTA américain, mis en place en 2009 pour pré‑screening des voyageurs relevant du Visa Waiver Program. L’évolution de ce système montre toutefois que de telles architectures peuvent, au fil du temps, intégrer des exigences de plus en plus intrusives en matière de collecte de données, notamment sur les activités en ligne et les contacts, dans une logique de surveillance comportementale.
Dans un avis publié au Federal Register en décembre 2025, l’administration Trump envisage notamment d’imposer aux demandeurs d’ESTA la fourniture de l’historique de leurs activités sur les réseaux sociaux, emails et des numéros de téléphone utilisés au cours des 5 dernières années.
Pour les citoyens européens, ces développements soulèvent des conflits potentiels avec le RGPD et avec le régime des transferts de données vers les États‑Unis, malgré l’adoption d’un nouveau cadre d’adéquation (Data Privacy Framework), dès lors que des données collectées dans un cadre administratif sont utilisées à des fins de sécurité nationale et d’enquête de manière extensive. L’exemple américain fonctionne ainsi comme un scénario « d’extension » possible de dispositifs comme ETIAS, si les garanties ne sont pas fermement stabilisées.
Le Royaume-Uni et l’ETA
Post‑Brexit, le Royaume‑Uni déploie lui aussi son propre système d’Electronic Travel Authorisation (ETA), dans une logique de smart borders combinant pré‑déclaration, e‑gates et reconnaissance faciale. Les retours d’expérience britanniques et internationaux montrent que la technologie ne garantit ni la fluidité immédiate ni la neutralité des contrôles :
- des files d’attente accrues ont été observées lors des phases de déploiement, en raison des contraintes techniques et du temps d’appropriation des dispositifs par les agents et les voyageurs ;
- plusieurs études ont mis en lumière des taux d’erreur significativement plus élevés des systèmes de reconnaissance faciale pour certaines catégories de population (personnes non blanches, femmes, personnes âgées), générant des discriminations de fait dans les contrôles.
Ces exemples étrangers, sans être transposables mécaniquement, invitent à relativiser l’idée selon laquelle la technologie garantirait automatiquement la fluidité, la neutralité et l’objectivité des contrôles. Ils laissent présager que la mise en œuvre d’ETIAS et de l’EES sera elle aussi marquée, au moins initialement, par des dysfonctionnements techniques, des difficultés d’usage, et des controverses autour des biais et des effets discriminatoires potentiels du profilage algorithmique.
Conclusion : Pour un encadrement juridique de la frontière numérique européenne
L’arrivée d’ETIAS et de l’EES marque l’entrée de l’Europe dans l’ère de la gestion migratoire prédictive et de la frontière numérique, fondée sur la biométrie, l’interopérabilité et le profilage à grande échelle. Si la finalité affichée est la sécurisation et la fluidification des passages, la réalité juridique et technique est celle d’une normalisation du profilage de masse, de la conservation biométrique de longue durée et d’une interconnexion poussée des bases, dans un espace où les personnes concernées sont en situation de vulnérabilité juridique accrue.
Ces dispositifs agissent comme un laboratoire d’un droit du numérique d’exception, testant les limites du RGPD, de la directive 2016/680 et de l’AI Act, qui classe pourtant les systèmes d’IA liés à la migration et au contrôle des frontières parmi les systèmes à « haut risque ». Ainsi, l’enjeu des prochaines années sera de veiller à ce que cette « forteresse numérique » ne devienne pas une zone de non‑droit où l’opacité algorithmique et la logique sécuritaire primeraient sur les garanties offertes par la CDFUE, le RGPD et le contrôle juridictionnel.
La vigilance du CEPD, des autorités de protection des données nationales et le contrôle de la CJUE seront déterminants pour encadrer ces technologies qui, sous couvert de neutralité technique, participent à des choix politiques majeurs en matière de mobilité, de sécurité et de libertés.