Un enjeu majeur : le projet de décision-cadre relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale

L’échange d’informations est au coeur de la coopération policière européenne. Cette coopération relevant du 3ème pilier (intergouvernemental et non communautaire), les données personnelles ainsi échangées entre les Etats ne sont pas couvertes par la directive de 1995. Le projet de décision-cadre a pour but d’assurer aux citoyens européens une protection aussi générale et complète dans le domaine de la sécurité publique. Le Parlement européen soutient les efforts de la CNIL et de ses homologues européens pour obtenir un niveau élevé de protection.

La proposition de décision-cadre, relative à la protection des données dans le 3ème pilier, présentée le 4 octobre 2005 par la Commission européenne, relève du titre VI du Traité sur l’Union Européenne qui vise à renforcer la coopération policière et judiciaire en matière pénale.

Son objetest de rapprocher les dispositions législatives et réglementaires des Etats membres et d’établir, pour atteindre cet objectif, des règles communes et «cohérentes» en matière de traitement et de protection des données à caractère personnel.

L’exposé des motifs souligne que «ce rapprochement des législations ne doit pas conduire à affaiblir la protection des données qu’elles assurent, mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans l’Union.»

L’adoption de règles communes sur la protection des données, lorsque celles-ci sont destinées à des usages sécuritaires, constitue une condition préalable de la mise en place du principe de disponibilité.

Champ d’application: La décision-cadre est destinée à s’appliquer aux fichiers traités dans le cadre de la coopération policière et judiciaire en matière pénale. Elle ne concerne pas, dans son champ d’application actuel, le traitement des données à caractère personnel de l’Office européen de police (Europol), de l’unité européenne de coopération judiciaire (Eurojust), ni du système d’information des douanes qui disposent de leurs propres mesures spécifiques en matière de protection des données. En revanche, elle vise à se substituer au règles de protection des données de la Convention d’Application des Accords de Schengen, au futur système d’information Schengen de deuxième génération (SIS II) ainsi qu’aux dispositions de l’article 23 de la Convention relative à l’entraide judiciaire européenne en matière pénale.

Bâtie sur le modèle de la directive 95/46/CE, elle définitdes règles communes de licéité du traitement des données à caractère personnel, les principes relatifs à la qualité des données, les conditions de transmission et de la mise à disposition de ces données à des autorités et des personnes privées dans d’autres Etats membres, le traitement ultérieur par les autorités qui ont reçu ces données, la transmission vers des pays tiers ou des instances internationales. Elle fixe également des règles communes en matière de confidentialité et de sécurité du traitement, de contrôle préalable, de notification, de responsabilité et de sanctions, de droits de la personne concernée (droits d’information, d’accès, de rectification, d’effacement ou de verrouillage), ainsi que les voies de recours qui lui sont offertes.

Le rôle des autorités de contrôle y est également précisé ainsi que l’instauration et la composition d’un groupe européen de protection des données indépendant (sur le modèle du groupe de l’article 29 existant).

Pour la CNIL et ses homologues européens, le projet actuel de décision-cadre reste insuffisant sur les principaux points suivants :

 un flou subsiste sur le champ d’application des règles de protection des données et divise les Etats membres entre, d’une part, une application à l’ensemble des traitements des données à l’intérieur des États membres et, d’autre part, la coexistence de règles européennes avec des règles nationales pour les données traitées pour leur propre compte par les services de police. Si cette conception étroite était retenue, les règles communes de protection des données ne s’appliqueraient qu’aux seules données échangées ;

 un trop grand nombre d’exemptions sont possibles pour les Etats membres, ce qui va à l’encontre d’un renforcement de la protection de façon uniforme entre les pays de l’Union européenne

 la protection de base peut être mise de côté «exceptionnellement» voire «pour l’accomplissement de tâches légitimes» des autorités de sécurité intérieure

 les mesures de sauvegarde sont insuffisantes pour le traitement des fichiers ADN et des données biométriques

 les dérogations à l’obligation d’informer les personnes concernées sont beaucoup trop larges

Ces insuffisances ont été soulignées dans un avis adopté le 24 janvier 2006 par les 31 CNIL européennes à l’occasion de la Conférence européenne des autorités de protection des données

Ces mêmes autorités ont, à l’occasion de leur Conférence européennes, à Budapest (Déclaration de Budapest du 25 avril 2006), appelé à l’adoption urgente d’une décision-cadre améliorée. En effet, les travaux du Conseil sur ce texte ont peu avancé. Or, plusieurs projets relevant du troisième pilier (SIS II, VIS, principe de disponibilité) dépendent de son adoption.

Le Parlement européen va dans le même sens d’une exigence d’un haut niveau de protection malgré le caractère spécifique des fichiers de police. Le rapport et les amendements des libertés, présentés par Mme Martine Roure, députée française, ont été adoptés à l’unanimité par la Commission des libertés en mai 2006.

Le rapport préconise :

 l’adoption d’un large champ d’application pour la décision-cadre afin que les règles communes de protection des données s’appliquent à l’ensemble des données dans les secteurs policier et judiciaire et ne se limitent pas aux échanges transfrontaliers entre États membres ;

 un ensemble de mesures législatives qui répondent aux préoccupations exprimées par la Conférence européenne à la protection des données ;

 la consultation automatique des autorités nationales de contrôle lors de l’élaboration de mesures législatives concernant le traitement des données, sur les dispositions relatives à la protection des droits et des libertés des personnes

 en matière d’accès aux données conservées par des parties privées, l’insertion d’un nouvel article spécifiant que l’accès à ces données sera accordé au cas par cas, pour un objet défini et sous le contrôle judiciaire des États membres ;

 le renforcement des conditions d’information et de surveillance pour des transmissions de données, en cas d’absolue nécessité, vers des pays tiers n’assurant pas un niveau adéquat de protection des données.

Source : Site de la CNIL