Conçu autour de la comparaison des empreintes digitales pour l’application du régime européen de l’asile, Eurodac voit ses finalités, les catégories de personnes concernées et les données enregistrées sensiblement élargies par le règlement (UE) 2024/1358 du 14 mai 2024, applicable depuis le 12 juin 2026.
L’extension mérite d’être regardée du point de vue des personnes concernées. Plus une donnée peut être utilisée dans des contextes différents, plus les conséquences d’une erreur s’étendent au-delà de son enregistrement initial : une identité mal renseignée, une information attribuée à tort ou une donnée qui aurait dû être rectifiée peut resurgir dans une autre procédure, dans un autre État.
La question n’est plus seulement de savoir ce que l’Union peut enregistrer, mais ce que la réutilisation de la donnée produit sur les droits. Le règlement ouvre un droit d’accès qui inclut l’identité de l’État qui a transmis la donnée — et prévoit, pour un enregistrement précis, la possibilité de restreindre ces mêmes droits.
01 — Situer D’un instrument de l’asile à un système de gestion migratoire
Eurodac demeure un instrument du régime européen de l’asile : il contribue à déterminer l’État membre responsable de l’examen d’une demande de protection internationale.
Le règlement de 2024 lui attribue des fonctions plus étendues. Le système contribue à l’identification de ressortissants de pays tiers et d’apatrides en séjour irrégulier, couvre différentes situations migratoires, et permet, dans les conditions qu’il fixe, des comparaisons demandées par des autorités répressives des États membres et par Europol à des fins répressives.
Le changement est assez net pour que le Comité européen de la protection des données l’ait consacré : en étendant à Eurodac le champ de la supervision coordonnée, le 12 juin 2026, il décrit un système qui, parti d’un outil de comparaison d’empreintes, a évolué vers un système complet de gestion de l’asile et de la migration.
Quand un système poursuit davantage de finalités, la question cesse d’être celle de la raison pour laquelle l’information a été collectée. Elle devient celle des conditions dans lesquelles elle pourra être utilisée ensuite.
02 — Élargir Davantage de personnes, et davantage d’informations sur chacune
L’extension porte d’abord sur les personnes enregistrées : demandeurs de protection internationale, personnes concernées par la réinstallation, personnes appréhendées lors du franchissement irrégulier d’une frontière extérieure, personnes débarquées à la suite d’une opération de recherche et de sauvetage, ressortissants de pays tiers et apatrides trouvés en séjour irrégulier — chacune selon un régime propre. Un régime relatif à la protection temporaire s’ajoutera à compter du 12 juin 2029.
Elle porte ensuite sur le contenu. Aux empreintes digitales s’ajoutent, selon les catégories, l’image faciale et des données alphanumériques d’identification : noms et prénoms, nom à la naissance, noms antérieurement utilisés, pseudonymes, nationalités.
Plus le système contient de données susceptibles d’identifier une personne ou d’apprécier sa situation, plus leur exactitude devient déterminante. Une erreur n’est pas confinée à la ligne d’un fichier : si l’information est retrouvée ou réutilisée, l’erreur l’est avec elle.
03 — Peser La biométrie dès six ans
C’est le changement le plus sensible. Le règlement abaisse à six ans l’âge à partir duquel les données biométriques sont relevées, dans les situations qu’il prévoit — franchissement irrégulier d’une frontière extérieure, séjour irrégulier, débarquement à la suite d’une opération de recherche et de sauvetage.
Le texte assortit ce relevé de garanties. L’agent qui procède au relevé des données biométriques d’un mineur reçoit une formation ; le mineur non accompagné est accompagné d’un représentant ou, à défaut, d’une personne formée pour protéger son intérêt supérieur et son bien-être tout au long de l’opération.
Le règlement avance aussi une justification qui n’est pas seulement administrative : des procédures d’identification efficaces aident à retrouver des enfants portés disparus et à rétablir l’unité familiale, considérations que le texte relie expressément à l’intérêt supérieur de l’enfant.
L’identification biométrique peut servir la protection d’un enfant. Le caractère particulièrement sensible de ces données, l’âge des personnes concernées et l’étendue des usages ultérieurs appellent, en contrepartie, des garanties exigeantes — et la question utile, dans un dossier, reste : quelles données ont été recueillies, dans quelles conditions, pour quelle durée, et avec quelle possibilité de contestation si elles sont inexactes ?
04 — Distinguer Image faciale n’est pas reconnaissance faciale
Le règlement ajoute l’image faciale aux données enregistrées. Il n’en résulte pas qu’Eurodac reposerait sur une reconnaissance faciale généralisée.
Le texte sépare en effet l’enregistrement d’une image faciale de sa comparaison au moyen d’un logiciel de reconnaissance faciale. Cette technologie n’est pas introduite : le règlement charge l’eu-LISA de mener, au plus tard le 12 juin 2027, une étude sur la faisabilité technique de son ajout à Eurodac, y compris pour les mineurs. L’étude doit évaluer la fiabilité et l’exactitude des résultats et formuler ses recommandations avant l’introduction de la technologie.
Le règlement retient par ailleurs une hiérarchie : pour obtenir un niveau élevé d’exactitude, les empreintes digitales doivent être privilégiées par rapport aux images faciales, les États membres devant épuiser les moyens de relever les empreintes avant de recourir à une comparaison d’images.
Collecter une image faciale, la conserver, la transmettre et l’utiliser pour une comparaison biométrique sont quatre opérations distinctes. L’analyse commence par identifier laquelle a eu lieu, plutôt que de qualifier l’ensemble de « reconnaissance faciale ».
05 — Relier Eurodac dans une architecture interopérable
Eurodac s’inscrit désormais dans un ensemble de systèmes européens conçus pour fonctionner de manière interopérable, dont plusieurs composantes sont entrées en service : le service partagé d’établissement de correspondances biométriques le 19 mai 2025, le portail de recherche européen et le répertoire commun de données d’identité le 12 juin 2026.
Une nuance s’impose aussitôt, et elle est souvent perdue : interopérabilité ne signifie ni fusion des fichiers ni accès généralisé. Les règlements d’interopérabilité ne modifient pas les droits d’accès aux systèmes pris isolément, et le règlement Eurodac maintient ses propres règles sur les autorités habilitées, les finalités et les opérations permises.
Ce qui change est la portée de la donnée. Le risque ne tient plus seulement à l’existence d’une information erronée, mais à sa capacité à être retrouvée et réutilisée. L’exactitude appelle donc une seconde exigence : la traçabilité de l’origine.
06 — Corriger Où la donnée se conteste, et où le droit s’arrête
Eurodac est un système européen : une personne peut subir en France les effets d’une information transmise par un autre État membre. Le règlement en tire une conséquence de compétence.
- les droits d’accès, de rectification, de complément, d’effacement et de limitation s’exercent conformément au chapitre III du RGPD ;
- le droit d’accès inclut la communication des données enregistrées et l’identité de l’État membre qui les a transmises ;
- lorsque la rectification ou l’effacement sont demandés dans un autre État que celui qui a transmis les données, les autorités saisies prennent contact avec celles de l’État d’origine pour qu’elles vérifient l’exactitude de la donnée et la licéité de sa transmission ;
- si la donnée est matériellement erronée ou a été enregistrée de façon illicite, c’est l’État qui l’a transmise qui la rectifie ou l’efface.
Le droit d’accès devient ainsi le point de départ du recours : il permet de passer d’un soupçon d’erreur à l’identification de la donnée contestable, puis à une demande de rectification adressée à la bonne autorité.
Le même article 43 prévoit que, pour un enregistrement indiquant qu’une personne est susceptible de constituer une menace pour la sécurité intérieure, les États membres peuvent limiter ces droits sur le fondement de l’article 23 du RGPD. La restriction porte donc précisément sur l’inscription dont les conséquences sont les plus lourdes. Lire ce dispositif comme un arsenal de garanties sans mentionner cette réserve serait inexact.
Deux démarches se distinguent, sans s’exclure : contester la décision qui produit un effet sur la personne relève du contentieux administratif ; obtenir la rectification de la donnée relève du régime applicable au traitement. Annuler la première ne rectifie pas la seconde, et rectifier la seconde n’efface pas les effets déjà produits par la première.
07 — Réutiliser L’accès à des fins répressives, et la limitation des finalités
La question de la réutilisation se pose avec le plus d’acuité lorsque les données peuvent être consultées pour une autre fin que celle qui a justifié leur collecte.
Eurodac permet, dans les conditions fixées par le règlement, des comparaisons demandées par certaines autorités désignées des États membres et par Europol à des fins de prévention, de détection ou d’enquête en matière d’infractions terroristes ou d’autres infractions pénales graves. Cette possibilité existait sous le régime précédent ; elle prend une autre dimension à mesure que le système concerne davantage de personnes et contient davantage de données.
La réponse à la question « une donnée recueillie dans un contexte d’asile peut-elle être réutilisée dans un contexte répressif » ne peut pas être générale : elle dépend des finalités, des autorités habilitées et des conditions posées par le règlement — lequel impose la tenue de relevés de chaque opération de traitement, utilisables pour le contrôle de la licéité.
C’est en cela que le principe de limitation des finalités reste central : plus les usages d’une même donnée se diversifient, plus les conditions de chaque réutilisation doivent pouvoir être identifiées et contrôlées.
08 — Superviser Un contrôle coordonné, à la mesure du système
Depuis le 12 juin 2026, Eurodac relève du comité de supervision coordonnée institué auprès du Comité européen de la protection des données.
La supervision épouse l’architecture du système : les autorités nationales contrôlent les traitements réalisés au niveau national et la transmission des données vers la base centrale ; le Contrôleur européen de la protection des données intervient sur les traitements effectués à l’unité centrale et sur la transmission des données vers les États membres ; le comité assure la coordination entre les deux niveaux.
Cette répartition compte lorsqu’une personne conteste une donnée provenant d’un autre État membre. Un système transnational suppose que l’exercice des droits fonctionne lui aussi au-delà des frontières administratives — à défaut, une personne subirait les effets d’une donnée sans identifier l’autorité devant laquelle la contester.
09 — Remonter De la décision jusqu’à la donnée
Lorsqu’une information issue d’Eurodac produit des conséquences sur la situation d’une personne, l’analyse ne s’arrête pas toujours à la décision qui lui est opposée.
- quelle donnée a été enregistrée, et par quel État membre ;
- dans quelle catégorie du règlement la personne figure ;
- si la donnée est exacte et à jour, et pendant combien de temps elle peut être conservée ;
- dans quel contexte elle a été consultée ou comparée ;
- si elle a été réutilisée pour une autre finalité ;
- quelle autorité est compétente pour la rectifier ou l’effacer.
Cette démarche sépare deux objets que l’on confond : la décision qui affecte les droits, et la donnée qui a contribué à cette décision. C’est probablement le principal changement de perspective apporté par le nouveau règlement — plus les usages de la donnée s’étendent, plus la possibilité de la contrôler doit être effective.
Références
- Union européenne — règlement (UE) 2024/1358 du 14 mai 2024 relatif à Eurodac : en vigueur le 11 juin 2024, applicable depuis le 12 juin 2026, mise en application partielle au 12 juin 2029 ; article 43 sur les droits de la personne concernée ; étude de faisabilité de la reconnaissance faciale au plus tard le 12 juin 2027 ; considérants 19, 38 et 44 à 46 sur les images faciales et le relevé des données biométriques des mineurs.
- Union européenne — règlements (UE) 2019/817 et 2019/818 relatifs à l’interopérabilité ; décisions d’exécution (UE) 2025/875, 2026/1155 et 2026/1156 sur la mise en service du service partagé de correspondances biométriques, du portail de recherche européen et du répertoire commun de données d’identité (dates relevées sur la fiche de synthèse EUR-Lex).
- Comité européen de la protection des données — Coordinated Supervision Committee extends scope to include Eurodac, 12 juin 2026.
- Pour approfondir — le mini-guide Droit des étrangers : quelles données l’administration utilise-t-elle et comment les contester, et la page Défense des droits fondamentaux.
Une donnée Eurodac intervient dans un dossier ?
J’interviens sur les questions de protection des données, de fichiers, de biométrie et de systèmes numériques lorsqu’elles ont des conséquences sur les droits des personnes — y compris aux côtés d’un confrère en droit des étrangers, lorsqu’il s’agit d’identifier l’origine d’une donnée, d’en vérifier l’exactitude ou de déterminer dans quelles conditions elle a été consultée ou réutilisée.
Prendre rendez-vousÀ lire aussi