Proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale

EXPOSÉ DES MOTIFS

Motivations et objectifs de la proposition

Le 4 novembre 2004, le Conseil européen a adopté le programme de La Haye visant à renforcer la liberté, la sécurité et la justice dans l’Union européenne [1]. Ce programme invite la Commission à formuler, avant la fin de 2005 au plus tard, des propositions destinées à mettre en oeuvre le principe de disponibilité et améliorer l’échange transfrontalier d’informations entre les services répressifs des États membres. Le programme de La Haye souligne que ces propositions doivent respecter des conditions fondamentales strictes en matière de protection des données.

En juin 2005, le Conseil et la Commission ont adopté le plan d’action mettant en oeuvre le programme de La Haye [2]. Celui-ci se fonde sur la Communication de la Commission au Conseil et au Parlement européen - Le programme de La Haye: Dix priorités pour les cinq prochaines années. Un partenariat pour le renouveau européen dans le domaine de la liberté, de la sécurité et de la justice [3]. Aux termes du plan d’action, la Commission présentera, en 2005, des propositions relatives (1) à l’établissement d’un principe de disponibilité des informations en matière répressive et (2) à des garanties adéquates et à des droits de recours effectifs pour le transfert des données à caractère personnel aux fins de la coopération policière et judiciaire en matière pénale.Le 13 juillet 2005, le Conseil (Justice et affaires intérieures) a demandé à la Commission, dans sa déclaration sur la réaction de l’UE aux attentats de Londres [4], de présenter ces propositions pour le mois d’octobre 2005.

La présente décision-cadre vise à garantir la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale entre les États membres de l’Union européenne (TUE, titre VI). Son objectif est d’améliorer cette coopération, en particulier lorsqu’il s’agit de prévenir et de combattre le terrorisme, en respectant strictement des conditions essentielles en matière de protection des données. Le texte garantit le respect des droits fondamentaux, et notamment le droit au respect de la vie privée et à la protection des données à caractère personnel dans toute l’Union européenne, en particulier dans la perspective de la mise en oeuvre du principe de disponibilité. Il garantit également que l’échange d’informations pertinentes entre les États membres ne sera pas entravé par les différences de niveau de protection des données dans les États membres.

Contexte général

Conformément à une initiative de l’Italie [5] la protection des données à caractère personnel dans le cadre du troisième pilier a déjà été envisagée en 1998. À l’époque, le Conseil «Justice et affaires intérieures» a adopté le plan d’action dit «de Vienne [6]». Ce dernier indiquait que - vu les problèmes horizontaux qui se posent dans le cadre de la coopération policière et judiciaire en matière pénale - les possibilités d’harmonisation des règles relatives à la protection des données devaient être examinées dans les deux ans suivant l’entrée en vigueur du traité. Toutefois, en 2001, un projet de résolution sur les règles de protection des données à caractère personnel dans les instruments du troisième pilier de l’Union européenne n’a pas pu être adopté [7]. En juin 2003, la présidence grecque a proposé une série de principes généraux sur la protection des données à caractère personnel dans le cadre du troisième pilier [8] , lesquels s’inspirent de la directive 95/46/CE sur la protection des données et de la Charte des droits fondamentaux de l’Union européenne. En 2005, les autorités nationales chargées de la protection des données des États membres de l’Union européenne et le contrôleur européen de la protection des données (CEPD) ont exprimé leur vif soutien à l’égard d’un nouvel instrument juridique de protection des données à caractère personnel dans le cadre du troisième pilier [9]. Le Parlement européen a recommandé l’harmonisation des règles existantes en matière de protection des données individuelles dans les instruments du troisième pilier, en les regroupant au sein d’un seul instrument qui garantisse un niveau identique de protection des données que celui prévu dans le cadre du premier pilier [10].

Selon le programme de La Haye, l’introduction du principe de disponibilité est lié au respect de conditions fondamentales dans le domaine de la protection des données. Manifestement, le Conseil européen a reconnu que les dispositions relatives à la protection des données en vigueur au niveau européen ne seraient pas suffisantes dans la perspective de la mise en oeuvre du principe de disponibilité, qui pourrait comprendre un accès mutuel ou un accès direct (en ligne) aux bases de données nationales ou l’interopérabilité de celles-ci.

Le souci d’assurer un niveau suffisant de protection des données ressort également d’un accord de coopération signé par sept États membres (Allemagne, Autriche, Belgique, Pays-Bas, Luxembourg, France et Espagne) le 27 mai 2005 à Prüm et recommandé comme modèle pour l’échange d’informations entre les États membres de l’Union en général. Cet accord prévoit, à certaines conditions, de donner aux services répressifs d’une Partie contractante un accès direct automatisé aux données à caractère personnel conservées par une autre Partie contractante. Toutefois, cette forme de coopération n’est pas applicable tant que les dispositions relatives à la protection des données de l’accord ne sont pas transposées dans la législation nationale des Parties.

Dispositions en vigueur dans le domaine de la proposition

La Charte des droits fondamentaux de l’Union européenne [11] reconnaît explicitement le droit au respect de la vie privée (article 7) et le droit à la protection des données à caractère personnel (article 8). Ces données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi. Toute personne a le droit d’accéder aux données collectées la concernant et d’en obtenir la rectification. Le respect de ces règles est soumis au contrôle d’une autorité indépendante.

La directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données [12] édicte des règles fondamentales concernant la licéité du traitement de données à caractère personnel ainsi que les droits de la personne concernée. Elle contient des dispositions relatives aux voies de recours, aux responsabilités et aux sanctions, au transfert de données à caractère personnel vers des pays tiers, aux codes de conduite, à des autorités de contrôle particulières et à un groupe de protection, ainsi que des dispositions d’application communautaires. Toutefois, la directive ne s’applique pas aux activités qui échappent au champ d’application du droit communautaire, comme celles prévues par le titre VI du traité sur l’Union européenne (TUE). En conséquence, les États membres sont autorisés à décider eux-mêmes des normes qu’ils jugent appropriées au regard du traitement et de la protection des données. Dans le cadre du titre VI TUE, la protection des données à caractère personnel est régie par différents instruments spécifiques. Il s’agit notamment d’instruments qui instaurent des systèmes d’information communs au niveau européen, comme: la convention d’application de l’accord de Schengen, signée en 1990 et contenant des dispositions spécifiques sur la protection des données applicables au Système d’information Schengen [13]; la convention Europol de 1995 [14] et, entre autres, les règles relatives à la transmission de données à caractère personnel par Europol à des États et des instances tiers [15]; la décision créant Eurojust de 2002 [16] et les dispositions du règlement intérieur d’Eurojust relatives au traitement et à la protection des données à caractère personnel [17]; la Convention sur l’emploi de l’informatique dans le domaine des douanes de 1995, y compris les dispositions relatives à la protection des données à caractère personnel applicables au système d’information des douanes [18]; ainsi que la convention relative à l’entraide judiciaire en matière pénale entre les États membres de l’Union européenne de 2000, et notamment son article 23 [19]. En ce qui concerne le système d’information Schengen, il convient de porter une attention particulière à l’établissement, au fonctionnement et à l’utilisation du système d’information Schengen de deuxième génération (SIS II), à propos duquel la Commission a déjà présenté des propositions en vue de l’adoption d’une décision du Conseil [20] et de deux règlements [21].

En outre, il faut prendre en considération l’article 8 de la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du Conseil de l’Europe de 1981 (STE n° 108), son protocole additionnel de 2001 concernant les autorités de contrôle et les flux transfrontières de données, ainsi que la recommandation Rec(87)15 visant à réglementer l’utilisation de données à caractère personnel dans le secteur de la police. Tous les États membres sont parties à la convention, mais tous ne sont pas parties au protocole additionnel.

Cohérence avec les autres politiques et les objectifs de l’Union

Il convient de reconnaître les particularités du traitement et de la protection des données dans le cadre du titre VI du traité sur l’Union européenne. D’une part, ces spécificités ne doivent pas faire obstacle à la cohérence avec la politique générale de l’Union dans le domaine du respect de la vie privée et de la protection des données sur le fondement de la Charte des droits fondamentaux et de la directive 95/46/CE. Les principes fondamentaux de la protection des données s’appliquent au traitement des données dans le cadre des premier et troisième piliers. D’autre part, la cohérence doit être assurée avec les autres instruments qui prévoient des obligations spécifiques en ce qui concerne les informations susceptibles d’être pertinentes aux fins de la prévention et de la lutte contre la criminalité. Il convient de suivre l’évolution de la situation en ce qui concerne la conservation des données traitées et stockées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou des données transmises sur les réseaux de télécommunications publics aux fins de prévention et de détection des infractions pénales, y compris du terrorisme, et d’enquêtes et de poursuites en la matière. Il convient tout particulièrement de prendre en considération le rapport étroit qui existe entre le présente proposition de décision-cadre et la proposition de la Commission visant à adopter une directive du Parlement européen et du Conseil sur la conservation de données traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public, et modifiant la directive 2002/58/CE [22].

2) CONSULTATION DES PARTIES INTÉRESSÉES ET ANALYSE D’IMPACT

Consultation des parties intéressées

Méthodes de consultation utilisées, principaux secteurs visés et profil général des répondants

Le 22 novembre 2004 et le 21 juin 2005, la Commission a invité et consulté des experts des gouvernements des États membres, de l’Islande, de la Norvège et de la Suisse ainsi que, le 11 janvier 2005, des experts des autorités nationales chargées de la protection des données de ces États. Le CEPD, Europol, Eurojust et le secrétariat des autorités de contrôle communes étaient également représentés. Le but premier de ces consultations était de déterminer si un instrument juridique relatif au traitement et à la protection des données à caractère personnel dans le cadre du troisième pilier était nécessaire et, dans l’affirmative, de définir le principal contenu de cet instrument. La Commission s’est adressée aux parties consultées, notamment sur la base d’un questionnaire et d’un document de réflexion, pour connaître leur position concernant l’approche générale à adopter à propos de la création d’un nouvel instrument juridique et de ses liens avec les instruments existants, de son fondement juridique, de son champ d’application éventuel, des principes régissant la qualité des données, des critères de légitimité du traitement des données par la police ou les autorités judiciaires, des données à caractère personnel des personnes non suspectes, des conditions à remplir pour la transmission de données à caractère personnel aux autorités compétentes d’autres États membres et de pays tiers, des droits de la personne concernée, des autorités de contrôle et d’un éventuel groupe consultatif pour la protection des données dans le cadre du troisième pilier.

Le groupe institué en application de l’article 29 de la directive 95/46/CE a été régulièrement informé de l’évolution du dossier. Le 12 avril et le 21 juin 2005, la Commission a participé à des réunions du groupe de travail «police» de la conférence des autorités européennes de

Télécharger au format PDF

COM 2005 475 final