Le chapitre II du titre IV du livre Ier de la partie réglementaire du code de l'entrée et du séjour des étrangers et du droit d'asile est complété par une section 9 ainsi rédigée :
« Section 9
« Traitement automatisé de données à caractère personnel dénommé “France-Visas”
« Sous-section 1
« Finalités du traitement
« Art. R. 142-59. - Le ministre de l'intérieur et le ministre des affaires étrangères sont autorisés à mettre en œuvre un traitement automatisé de données à caractère personnel dénommé “France-Visas”.
« Ce traitement a pour finalités :
« 1° De permettre aux demandeurs de présenter des demandes de visa en ligne ;
« 2° De mettre à la disposition des entreprises et institutions habilitées, un espace de dépôt d'invitation en faveur de leurs partenaires étrangers soumis à l'obligation de visa ;
« 3° D'instruire les demandes de visas, en procédant notamment à l'échange d'informations, d'une part, avec les autorités nationales, d'autre part, avec les autorités des Etats mettant en œuvre l'acquis de Schengen ;
« 4° Dans le cadre de l'instruction des demandes de visas, de lutter contre l'entrée et le séjour irréguliers des étrangers en France, en prévenant les fraudes documentaires, les usurpations d'identité et les détournements de procédure.
« Sous-section 2
« Données enregistrées dans le traitement
« Art. R. 142-60. - I. − Les données à caractère personnel et informations enregistrées dans le traitement sont énumérées à l'annexe 11.
« II. − Les données enregistrées dans le traitement peuvent faire apparaître, directement ou indirectement, des données de la nature de celles mentionnées au I de l'article 6 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.
« Il est interdit de sélectionner dans le traitement une catégorie particulière de personnes à partir de ces seules données.
« Sous-section 3
« Accédants au traitement
« Art. R. 142-61. - Seuls ont accès au traitement mentionné à l'article R. 142-59, à raison de leurs attributions et dans la limite du besoin d'en connaître :
« 1° Les agents des services centraux du ministère de l'intérieur, du ministère des affaires étrangères et du ministère chargé des douanes participant à l'instruction des demandes de visas, individuellement désignés et spécialement habilités par le directeur ou le chef de service dont ils relèvent ;
« 2° Les agents des missions diplomatiques et des postes consulaires chargés de l'instruction des demandes de visas, individuellement désignés et habilités par le chef de mission diplomatique ou de poste consulaire dont ils relèvent ;
« 3° Les agents des préfectures chargés de l'instruction des demandes de visas et de l'application de la réglementation relative à la délivrance des titres de séjour, au traitement des demandes d'asile et à la préparation et à la mise en œuvre des mesures d'éloignement, individuellement désignés et habilités par le préfet et, à Paris, par le préfet de police ;
« 4° Les agents de la police nationale, les agents des services des douanes et les agents de la gendarmerie nationale chargés de l'instruction des demandes de délivrance de visas aux frontières et des vérifications aux frontières extérieures des documents de voyage des ressortissants des pays tiers, individuellement désignés et habilités par le chef de service dont ils relèvent ;
« 5° Les personnels des prestataires de services extérieurs chargés de la vérification de la complétude des dossiers de demande de visas, ainsi que de la prise de biométries le cas échéant, avant transmission du dossier au poste consulaire pour instruction, individuellement désignés et habilités par les autorités chargées de la délivrance des visas dans les conditions prévues à l'article R. 142-62.
« Art. R. 142-62. - Les données à caractère personnel et informations mentionnées à l'annexe 11 peuvent être collectées par les agents mentionnés à l'article R. 142-61 ainsi que, à la condition que la collecte présente un niveau de protection et des garanties équivalents à ceux du droit français, par les prestataires de services externalisés, désignés par les autorités chargées de la délivrance des visas et sous la responsabilité de ces dernières, dans le respect des garanties prévues par le règlement (CE) n° 390/2009 du Parlement européen et du Conseil du 23 avril 2009. Les personnels des prestataires de services externalisés chargés de cette collecte sont individuellement habilités par ces mêmes autorités.
« Sous-section 4
« Destinataires des données
« Art. R. 142-63. - Peuvent être destinataires des données à caractère personnel et informations mentionnées à l'annexe 11, à raison de leurs attributions et dans la limite du besoin d'en connaître :
« 1° Les agents des services du ministère de l'intérieur (direction nationale de la police aux frontières, direction du renseignement de la préfecture de police et direction générale de la sécurité intérieure), individuellement désignés et spécialement habilités par leur autorité hiérarchique ;
« 2° Les agents des services du ministère des armées (direction générale de la sécurité extérieure, direction du renseignement et de la sécurité de la défense, direction du renseignement militaire), individuellement désignés et spécialement habilités par leur autorité hiérarchique ;
« 3° Les agents des services centraux du ministère de l'intérieur, du ministère des affaires étrangères et du ministère chargé des douanes participant à la gestion des recours administratifs et contentieux dirigés contre les décisions prises en matière de visas, individuellement désignés et spécialement habilités par leur autorité hiérarchique ;
« 4° Les agents des organismes de sécurité sociale, dans le cadre de leur mission de lutte contre la fraude, individuellement désignés et spécialement habilités par leur autorité hiérarchique.
« Sous-section 5
« Conservation des données
« Art. R. 142-64. - I. - Sous réserves des dérogations prévues aux II à VII du présent article, les données à caractère personnel et informations mentionnées à l'annexe 11 sont conservées pendant une durée maximale de cinq ans à compter de :
« 1° La date de délivrance, de refus, de réduction, de prorogation ou d'abrogation du visa ;
« 2° La date de la création du dossier de demande de visa en cas de clôture ou d'interruption de la demande.
« II. - Les empreintes digitales mentionnées au 3° du I de l'annexe 11 sont conservées :
« 1° Lorsqu'elles font l'objet d'un rattachement à une demande de visa, pendant une durée maximale d'un mois à compter de la date de délivrance ou de refus du visa ;
« 2° Lorsqu'elles ne font pas l'objet de ce rattachement, pendant une durée maximale d'un mois à compter de la date de leur collecte.
« III. - Les données à caractère personnel et informations enregistrées dans les comptes utilisateur mentionnées au a du 1° du I et au II de l'annexe 11 sont effacées, après information du titulaire du compte, en cas d'inactivité du compte pendant une durée ininterrompue d'un an.
« IV. - Les données à caractère personnel et informations issues du système d'information Schengen prévu par le règlement (UE) 2018/1861 du 28 novembre 2018 et du fichier des personnes recherchées prévu par le décret n° 2010-569 du 28 mai 2010, mentionnées au c du 1° du IV de l'annexe 11, sont conservées pendant une durée maximale de cinquante jours, à l'exclusion du numéro d'enregistrement de la personne ou du document de voyage issu du système d'information Schengen et du fichier des personnes recherchées précités.
« V. - Les données à caractère personnel et informations issues du système d'entrée/de sortie “EES”, mentionnées au d du 1° du IV de l'annexe 11 sont conservées pendant une durée maximale de cent jours à compter de :
« 1° La date de délivrance, de refus, de réduction, de prorogation ou d'abrogation du visa ;
« 2° La date de la création du dossier de demande de visa en cas de clôture ou d'interruption de la demande.
« VI. - Les données à caractère personnel et informations mentionnées au V de l'annexe 11 sont conservées, lorsqu'elles ne font pas l'objet d'un rattachement à une demande de visa, pendant une durée maximale de cinq ans à compter de la date d'ouverture de la procédure ou, lorsqu'elles font l'objet de ce rattachement, pendant une durée maximale de cinq ans à compter de la date de délivrance, de refus, de réduction ou de prorogation du visa.
« VII. - Les données à caractère personnel et informations enregistrées au titre des demandes en ligne incomplètes sont conservées pendant une durée de trois mois à compter de la dernière modification du dossier de demande.
« Art. R. 142-65. - Les opérations de collecte, de modification, de consultation, de communication, d'interconnexion et d'effacement des données à caractère personnel font l'objet d'un enregistrement comprenant l'identifiant de l'auteur, la date, l'heure, le motif de l'opération et, le cas échéant, les destinataires des données. Les informations relatives à ces opérations sont conservées pendant trois ans.
« Sous-section 6
« Droits des personnes concernées
« Art. R. 142-66. - Les droits d'accès, de rectification et à la limitation prévus respectivement aux articles 49, 50 et 53 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et aux articles 15, 16 et 18 du règlement (UE) 2016/679 du 27 avril 2016 s'exercent auprès de l'autorité de délivrance du visa sollicité.
« Art. R. 142-67. - Conformément à l'article 23 du règlement (UE) 2016/679 du 27 avril 2016, les droits d'accès et de rectification mentionnés à l'article R. 142-66 peuvent faire l'objet de restrictions pour garantir la sécurité nationale, la protection contre les menaces pour la sécurité publique ainsi que la prévention de telles menaces.
« La personne concernée par ces restrictions exerce ses droits auprès de la Commission nationale de l'informatique et des libertés dans les conditions prévues aux articles 52 et 118 de la loi du 6 janvier 1978 précitée.
« Art. R. 142-68. - Conformément à l'article 23 du règlement (UE) 2016/679 du 27 avril 2016 précité ainsi qu'à l'article 56 de la loi du 6 janvier 1978 précitée, afin de garantir l'intérêt public général attaché à la gestion des procédures de délivrance des visas et la sécurité publique, le droit d'opposition prévu par l'article 21 du règlement (UE) 2016/679 du 27 avril 2016 ne s'applique pas au présent traitement. »