# Journal officiel C 181/2011

| | ISSN 1725-2431
  doi:10.3000/17252431.C_2011.181.fra |
| --- | --- |
| Journal officiel
  de l'Union européenne | C 181 |
| | |
| Édition de langue française | Communications et informations | 54e année22 juin 2011 |

ISSN 1725-2431

doi:10.3000/17252431.C_2011.181.fra

Journal officiel

de l'Union européenne

C 181

Édition de langue française

Communications et informations

54e année22 juin 2011

---

| Numéro d'information | Sommaire | page |
| --- | --- | --- |
| | I   Résolutions, recommandations et avis |
| | AVIS |
| | Contrôleur européen de la protection des données |
| 2011/C 181/01 | Avis du contrôleur européen de la protection des données sur la communication de la Commission au Parlement européen, au Conseil, au Comité économique et social et au Comité des régions intitulée — Une approche globale de la protection des données à caractère personnel dans l’Union européenne | 1 |
| 2011/C 181/02 | Avis du Contrôleur européen de la protection des données sur la proposition de directive du Parlement européen et du Conseil relative à l’utilisation des données des dossiers passagers pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière | 24 |

Numéro d'information

Sommaire

page

I   Résolutions, recommandations et avis

AVIS

Contrôleur européen de la protection des données

2011/C 181/01

Avis du contrôleur européen de la protection des données sur la communication de la Commission au Parlement européen, au Conseil, au Comité économique et social et au Comité des régions intitulée — Une approche globale de la protection des données à caractère personnel dans l’Union européenne

1

2011/C 181/02

Avis du Contrôleur européen de la protection des données sur la proposition de directive du Parlement européen et du Conseil relative à l’utilisation des données des dossiers passagers pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière

24

| | II   Communications |
| --- | --- |
| | COMMUNICATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE |
| | Commission européenne |
| 2011/C 181/03 | Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE — Cas à l'égard desquels la Commission ne soulève pas d'objection (
  1
  ) | 31 |

II   Communications

COMMUNICATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

2011/C 181/03

Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE — Cas à l'égard desquels la Commission ne soulève pas d'objection (
  1
  )

1

31

| | IV   Informations |
| --- | --- |
| | INFORMATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE |
| | Commission européenne |
| 2011/C 181/04 | Taux de change de l'euro | 34 |
| | INFORMATIONS PROVENANT DES ÉTATS MEMBRES |
| 2011/C 181/05 | Renseignements communiqués par les États membres sur les aides d'État accordées conformément au règlement (CE) no 1857/2006 de la Commission concernant l'application des articles 87 et 88 du traité aux aides d'État accordées aux petites et moyennes entreprises actives dans la production de produits agricoles et modifiant le règlement (CE) no 70/2001 | 35 |

IV   Informations

INFORMATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

2011/C 181/04

Taux de change de l'euro

34

INFORMATIONS PROVENANT DES ÉTATS MEMBRES

2011/C 181/05

Renseignements communiqués par les États membres sur les aides d'État accordées conformément au règlement (CE) no 1857/2006 de la Commission concernant l'application des articles 87 et 88 du traité aux aides d'État accordées aux petites et moyennes entreprises actives dans la production de produits agricoles et modifiant le règlement (CE) no 70/2001

o

o

35

| | V   Avis |
| --- | --- |
| | PROCÉDURES RELATIVES À LA MISE EN ŒUVRE DE LA POLITIQUE DE CONCURRENCE |
| | Commission européenne |
| 2011/C 181/06 | Notification préalable d'une concentration (Affaire COMP/M.6274 — Bridgepoint/Eurazeo/Foncia Groupe) — Cas susceptible d'être traité selon la procédure simplifiée (
  1
  ) | 37 |
| 2011/C 181/07 | Notification préalable d'une concentration (Affaire COMP/M.6265 — CSN/AG Cementos Balboa/Corrugados Azpeitia/Corrugados Lasao/Stahlwerk Thuringen) — Cas susceptible d'être traité selon la procédure simplifiée (
  1
  ) | 39 |
| 2011/C 181/08 | Notification préalable d'une concentration (Affaire COMP/M.6253 — Talis International Holding/Raphael Valves Industries) — Cas susceptible d'être traité selon la procédure simplifiée (
  1
  ) | 40 |

V   Avis

PROCÉDURES RELATIVES À LA MISE EN ŒUVRE DE LA POLITIQUE DE CONCURRENCE

Commission européenne

2011/C 181/06

Notification préalable d'une concentration (Affaire COMP/M.6274 — Bridgepoint/Eurazeo/Foncia Groupe) — Cas susceptible d'être traité selon la procédure simplifiée (
  1
  )

1

37

2011/C 181/07

Notification préalable d'une concentration (Affaire COMP/M.6265 — CSN/AG Cementos Balboa/Corrugados Azpeitia/Corrugados Lasao/Stahlwerk Thuringen) — Cas susceptible d'être traité selon la procédure simplifiée (
  1
  )

1

39

2011/C 181/08

Notification préalable d'une concentration (Affaire COMP/M.6253 — Talis International Holding/Raphael Valves Industries) — Cas susceptible d'être traité selon la procédure simplifiée (
  1
  )

1

40

| | |
| --- | --- |
| | (1)   Texte présentant de l'intérêt pour l'EEE |

---

(1)   Texte présentant de l'intérêt pour l'EEE

1

| FR | |
| --- | --- |

FR

---

I Résolutions, recommandations et avis

AVIS

Contrôleur européen de la protection des données

| 22.6.2011 | FR | Journal officiel de l'Union européenne | C 181/1 |
| --- | --- | --- | --- |

22.6.2011

FR

Journal officiel de l'Union européenne

C 181/1

---

Avis du contrôleur européen de la protection des données sur la communication de la Commission au Parlement européen, au Conseil, au Comité économique et social et au Comité des régions intitulée — «Une approche globale de la protection des données à caractère personnel dans l’Union européenne»

2011/C 181/01

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (2), et notamment son article 41,

A ADOPTÉ L’AVIS SUIVANT:

A.   PARTIE GÉNÉRALE

1.   Introduction

1.1.   Une première évaluation générale

| 1. | Le 4 novembre 2010, la Commission a adopté une communication intitulée «Une approche globale de la protection des données à caractère personnel dans l’Union européenne» (ci-après «la communication») (3). Cette communication a été envoyée au CEPD pour consultation, lequel remercie la Commission de l’avoir consulté comme le prévoit l’article 41 du règlement (CE) no 45/2001. Avant l’adoption de la communication, le CEPD a d’ores et déjà eu la possibilité de formuler des observations informelles, dont certaines ont été prises en considération dans la version finale du document. |
| --- | --- |

1.

Le 4 novembre 2010, la Commission a adopté une communication intitulée «Une approche globale de la protection des données à caractère personnel dans l’Union européenne» (ci-après «la communication») (3). Cette communication a été envoyée au CEPD pour consultation, lequel remercie la Commission de l’avoir consulté comme le prévoit l’article 41 du règlement (CE) no 45/2001. Avant l’adoption de la communication, le CEPD a d’ores et déjà eu la possibilité de formuler des observations informelles, dont certaines ont été prises en considération dans la version finale du document.

| 2. | La communication expose l’approche suivie par la Commission concernant la révision du système juridique de l’UE pour la protection des données à caractère personnel dans tous les domaines d’activités de l’Union, l’accent étant placé en particulier sur les défis résultant de la mondialisation et des nouvelles technologies (4). |
| --- | --- |

2.

La communication expose l’approche suivie par la Commission concernant la révision du système juridique de l’UE pour la protection des données à caractère personnel dans tous les domaines d’activités de l’Union, l’accent étant placé en particulier sur les défis résultant de la mondialisation et des nouvelles technologies (4).

| 3. | Le CEPD approuve la communication de manière générale, étant convaincu qu’une révision du cadre juridique actuel pour la protection des données dans l’UE est nécessaire pour garantir une protection efficace dans une société de l’information en développement. Dans son avis du 25 juillet 2007 sur la mise en œuvre de la directive relative à la protection des données (5), il concluait d’ores et déjà qu’à long terme, il était inévitable que la directive 95/46/CE soit modifiée. |
| --- | --- |

3.

Le CEPD approuve la communication de manière générale, étant convaincu qu’une révision du cadre juridique actuel pour la protection des données dans l’UE est nécessaire pour garantir une protection efficace dans une société de l’information en développement. Dans son avis du 25 juillet 2007 sur la mise en œuvre de la directive relative à la protection des données (5), il concluait d’ores et déjà qu’à long terme, il était inévitable que la directive 95/46/CE soit modifiée.

| 4. | La communication représente un pas important vers cette évolution législative, laquelle constituerait l’évolution la plus importante dans le domaine de la protection des données de l’UE depuis l’adoption de la directive 95/46/CE, qui est généralement considérée comme la base principale pour la protection des données au sein de l’Union européenne (et à une échelle plus vaste au sein de l’Espace économique européen). |
| --- | --- |

4.

La communication représente un pas important vers cette évolution législative, laquelle constituerait l’évolution la plus importante dans le domaine de la protection des données de l’UE depuis l’adoption de la directive 95/46/CE, qui est généralement considérée comme la base principale pour la protection des données au sein de l’Union européenne (et à une échelle plus vaste au sein de l’Espace économique européen).

| 5. | Elle établit le cadre adéquat pour une réévaluation ciblée, notamment parce qu’elle recense — de manière générale — les principaux problèmes et défis. Le CEPD partage l’avis de la Commission selon lequel un système solide de protection des données restera nécessaire à l’avenir, du fait que les principes généraux existants dans le domaine de la protection des données resteront valables dans une société soumise à des changements fondamentaux liés à des évolutions technologiques rapides et à la mondialisation. Cela requiert de revoir les dispositions législatives existantes. |
| --- | --- |

5.

Elle établit le cadre adéquat pour une réévaluation ciblée, notamment parce qu’elle recense — de manière générale — les principaux problèmes et défis. Le CEPD partage l’avis de la Commission selon lequel un système solide de protection des données restera nécessaire à l’avenir, du fait que les principes généraux existants dans le domaine de la protection des données resteront valables dans une société soumise à des changements fondamentaux liés à des évolutions technologiques rapides et à la mondialisation. Cela requiert de revoir les dispositions législatives existantes.

| 6. | La communication souligne à raison que les défis sont de taille, appuyée en cela par le CEPD, qui ajoute qu’en conséquence, les solutions proposées devraient être pareillement ambitieuses et garantir une meilleure protection. |
| --- | --- |

6.

La communication souligne à raison que les défis sont de taille, appuyée en cela par le CEPD, qui ajoute qu’en conséquence, les solutions proposées devraient être pareillement ambitieuses et garantir une meilleure protection.

1.2.   L’objectif de l’avis

| 7. | Le présent avis évalue les solutions proposées dans la communication sur la base de ces deux critères: l’ambition et l’efficacité. Ses perspectives sont généralement positives. Le CEPD soutient la communication, mais se montre critique sur certains aspects qui, selon lui, réclament plus d’ambition en vue d’un système plus efficace. |
| --- | --- |

7.

Le présent avis évalue les solutions proposées dans la communication sur la base de ces deux critères: l’ambition et l’efficacité. Ses perspectives sont généralement positives. Le CEPD soutient la communication, mais se montre critique sur certains aspects qui, selon lui, réclament plus d’ambition en vue d’un système plus efficace.

| 8. | Le CEPD vise, par cet avis, à contribuer à l’approfondissement du cadre juridique relatif à la protection des données. Il attend avec impatience la proposition de la Commission, prévue mi-2011, et espère que ses suggestions seront prises en considération dans le texte de cette dernière. Il note par ailleurs que la communication semble exclure certains domaines, tels que le traitement de données par les institutions et organes de l’UE, de l’instrument général. Si la Commission décidait précisément d’exclure certains domaines à ce stade — ce que le CEPD regretterait —, il la prie instamment de s’engager à élaborer une architecture complète à court terme, dans un délai déterminé. |
| --- | --- |

8.

Le CEPD vise, par cet avis, à contribuer à l’approfondissement du cadre juridique relatif à la protection des données. Il attend avec impatience la proposition de la Commission, prévue mi-2011, et espère que ses suggestions seront prises en considération dans le texte de cette dernière. Il note par ailleurs que la communication semble exclure certains domaines, tels que le traitement de données par les institutions et organes de l’UE, de l’instrument général. Si la Commission décidait précisément d’exclure certains domaines à ce stade — ce que le CEPD regretterait —, il la prie instamment de s’engager à élaborer une architecture complète à court terme, dans un délai déterminé.

1.3.   Le fondement du présent avis

| 9. | Le présent avis n’est pas le premier de ce type. Il est basé sur des positions adoptées précédemment par le CEPD et les autorités européennes chargées de la protection des données à diverses occasions. Il convient notamment de souligner que dans l’avis du CEPD du 25 juillet 2007 susmentionné, quelques éléments majeurs à modifier à l’avenir ont été déterminés et développés (6). Cet avis repose aussi sur des discussions avec d’autres parties prenantes dans les domaines du respect de la vie privée et de la protection des données. Leurs contributions ont été très utiles tant pour la communication que pour le présent avis. Sous ce rapport, on peut conclure qu’il existe une certaine synergie sur la façon d’assurer une protection des données plus efficace. |
| --- | --- |

9.

Le présent avis n’est pas le premier de ce type. Il est basé sur des positions adoptées précédemment par le CEPD et les autorités européennes chargées de la protection des données à diverses occasions. Il convient notamment de souligner que dans l’avis du CEPD du 25 juillet 2007 susmentionné, quelques éléments majeurs à modifier à l’avenir ont été déterminés et développés (6). Cet avis repose aussi sur des discussions avec d’autres parties prenantes dans les domaines du respect de la vie privée et de la protection des données. Leurs contributions ont été très utiles tant pour la communication que pour le présent avis. Sous ce rapport, on peut conclure qu’il existe une certaine synergie sur la façon d’assurer une protection des données plus efficace.

| 10. | Un autre fondement important du présent avis est le document intitulé «L’avenir de la protection de la vie privée», contribution conjointe du groupe de travail «Article 29» sur la protection des données et du groupe «Police et justice» à la consultation lancée par la Commission en 2009 (ci-après le «document des groupes de travail sur l’avenir de la protection de la vie privée») (7). |
| --- | --- |

10.

Un autre fondement important du présent avis est le document intitulé «L’avenir de la protection de la vie privée», contribution conjointe du groupe de travail «Article 29» sur la protection des données et du groupe «Police et justice» à la consultation lancée par la Commission en 2009 (ci-après le «document des groupes de travail sur l’avenir de la protection de la vie privée») (7).

| 11. | Plus récemment, lors d’une conférence de presse donnée le 15 novembre 2010, le CEPD a fait part de ses premières remarques concernant la communication. Le présent avis expose les opinions d’ordre général émises à cette occasion (8). |
| --- | --- |

11.

Plus récemment, lors d’une conférence de presse donnée le 15 novembre 2010, le CEPD a fait part de ses premières remarques concernant la communication. Le présent avis expose les opinions d’ordre général émises à cette occasion (8).

| 12. | Enfin, le présent avis se base sur plusieurs avis précédents du CEPD, ainsi que sur des documents du groupe de travail «Article 29» sur la protection des données. Les références à ces avis et documents sont mentionnées, si nécessaire, à divers endroits du présent avis. |
| --- | --- |

12.

Enfin, le présent avis se base sur plusieurs avis précédents du CEPD, ainsi que sur des documents du groupe de travail «Article 29» sur la protection des données. Les références à ces avis et documents sont mentionnées, si nécessaire, à divers endroits du présent avis.

2.   Contexte

| 13. | La révision des règles en matière de protection des données a lieu à un moment historique crucial. La communication décrit le contexte de manière très détaillée et convaincante. Sur la base de cette description, le CEPD met en évidence les quatre principaux facteurs déterminant l’environnement dans lequel la révision est réalisée. |
| --- | --- |

13.

La révision des règles en matière de protection des données a lieu à un moment historique crucial. La communication décrit le contexte de manière très détaillée et convaincante. Sur la base de cette description, le CEPD met en évidence les quatre principaux facteurs déterminant l’environnement dans lequel la révision est réalisée.

| 14. | Le premier facteur est le développement technologique. Les technologies ont évolué depuis l’élaboration et l’adoption de la directive 95/46/CE. Les phénomènes technologiques comme l’informatique en nuage, la publicité comportementale, les réseaux sociaux, les péages automatiques et les appareils de géolocalisation ont révolutionné la façon dont les données sont traitées et posent d’énormes défis pour la protection des données, qu’une révision des règles européennes en la matière devra relever de manière effective. |
| --- | --- |

14.

Le premier facteur est le développement technologique. Les technologies ont évolué depuis l’élaboration et l’adoption de la directive 95/46/CE. Les phénomènes technologiques comme l’informatique en nuage, la publicité comportementale, les réseaux sociaux, les péages automatiques et les appareils de géolocalisation ont révolutionné la façon dont les données sont traitées et posent d’énormes défis pour la protection des données, qu’une révision des règles européennes en la matière devra relever de manière effective.

| 15. | Le deuxième facteur est la mondialisation. L’abolition progressive des obstacles commerciaux a conféré aux entreprises une dimension internationale sans cesse croissante. Les traitements et les transferts internationaux de données transfrontières ont considérablement augmenté ces dernières années. En outre, le traitement de données est devenu omniprésent du fait des technologies de l’information et de la communication: l’internet et l’informatique en nuage ont permis de délocaliser le traitement de grandes quantités de données à l’échelle mondiale. On a également observé, au cours de la dernière décennie, à une intensification des activités policières et judiciaires internationales en faveur de la lutte contre le terrorisme et les autres formes de criminalité organisée internationale, à l’aide d’un échange massif d’informations à des fins répressives. Tout ceci souligne la nécessité d’un examen approfondi des modalités à mettre en œuvre pour garantir efficacement la protection des données à caractère personnel dans un contexte de mondialisation sans entraver excessivement les activités de traitement internationales. |
| --- | --- |

15.

Le deuxième facteur est la mondialisation. L’abolition progressive des obstacles commerciaux a conféré aux entreprises une dimension internationale sans cesse croissante. Les traitements et les transferts internationaux de données transfrontières ont considérablement augmenté ces dernières années. En outre, le traitement de données est devenu omniprésent du fait des technologies de l’information et de la communication: l’internet et l’informatique en nuage ont permis de délocaliser le traitement de grandes quantités de données à l’échelle mondiale. On a également observé, au cours de la dernière décennie, à une intensification des activités policières et judiciaires internationales en faveur de la lutte contre le terrorisme et les autres formes de criminalité organisée internationale, à l’aide d’un échange massif d’informations à des fins répressives. Tout ceci souligne la nécessité d’un examen approfondi des modalités à mettre en œuvre pour garantir efficacement la protection des données à caractère personnel dans un contexte de mondialisation sans entraver excessivement les activités de traitement internationales.

| 16. | Le troisième facteur est le traité de Lisbonne. L’entrée en vigueur du traité marque une nouvelle ère pour la protection des données. L’article 16 TFUE prévoit non seulement un droit individuel pour la personne concernée, mais fournit également une base juridique directe pour une solide législation en matière de protection des données à l’échelle de l’UE. Par ailleurs, l’abolition de la structure en piliers oblige le Parlement européen et le Conseil à garantir la protection des données dans tous les domaines du droit européen. En d’autres termes, elle permet la mise en place d’un cadre juridique global pour la protection des données qui soit applicable au secteur privé, au secteur public dans les États membres et aux institutions et organes de l’UE. Le programme de Stockholm (9) souligne avec cohérence, à cet égard, que l’Union doit élaborer une stratégie globale afin de protéger les données au sein de l’UE et dans le cadre de ses relations avec d’autres pays. |
| --- | --- |

16.

Le troisième facteur est le traité de Lisbonne. L’entrée en vigueur du traité marque une nouvelle ère pour la protection des données. L’article 16 TFUE prévoit non seulement un droit individuel pour la personne concernée, mais fournit également une base juridique directe pour une solide législation en matière de protection des données à l’échelle de l’UE. Par ailleurs, l’abolition de la structure en piliers oblige le Parlement européen et le Conseil à garantir la protection des données dans tous les domaines du droit européen. En d’autres termes, elle permet la mise en place d’un cadre juridique global pour la protection des données qui soit applicable au secteur privé, au secteur public dans les États membres et aux institutions et organes de l’UE. Le programme de Stockholm (9) souligne avec cohérence, à cet égard, que l’Union doit élaborer une stratégie globale afin de protéger les données au sein de l’UE et dans le cadre de ses relations avec d’autres pays.

| 17. | Le quatrième facteur est constitué par les évolutions qui ont lieu en parallèle dans le contexte des organisations internationales. Plusieurs débats sont actuellement en cours sur la modernisation des instruments juridiques existants pour la protection des données. Il convient de noter, à cet égard, les réflexions menées actuellement en relation avec la future révision de la convention 108 du Conseil de l’Europe (10) et des lignes directrices de l’OCDE concernant la protection de la vie privée (11). Une autre évolution importante concerne l’adoption de normes internationales sur la protection des données à caractère personnel et de la vie privée, qui pourrait déboucher sur l’adoption d’un instrument mondial contraignant sur la protection des données. Toutes ces initiatives méritent notre soutien total. Leur objectif commun devrait être de garantir une protection efficace et constante dans un environnement mondialisé et régi par les technologies. |
| --- | --- |

17.

Le quatrième facteur est constitué par les évolutions qui ont lieu en parallèle dans le contexte des organisations internationales. Plusieurs débats sont actuellement en cours sur la modernisation des instruments juridiques existants pour la protection des données. Il convient de noter, à cet égard, les réflexions menées actuellement en relation avec la future révision de la convention 108 du Conseil de l’Europe (10) et des lignes directrices de l’OCDE concernant la protection de la vie privée (11). Une autre évolution importante concerne l’adoption de normes internationales sur la protection des données à caractère personnel et de la vie privée, qui pourrait déboucher sur l’adoption d’un instrument mondial contraignant sur la protection des données. Toutes ces initiatives méritent notre soutien total. Leur objectif commun devrait être de garantir une protection efficace et constante dans un environnement mondialisé et régi par les technologies.

3.   Principales perspectives

3.1.   La protection des données favorise la confiance et doit soutenir les autres intérêts (publics)

| 18. | L’importance accordée à la protection des données dans le cadre du traité de Lisbonne, en particulier à l’article 8 de la Charte des droits fondamentaux de l’Union et à l’article 16 TFUE, ainsi que par le lien étroit établi avec l’article 7 de la charte, a eu pour conséquence nécessaire la création d’un cadre solide pour la protection des données (12). |
| --- | --- |

18.

L’importance accordée à la protection des données dans le cadre du traité de Lisbonne, en particulier à l’article 8 de la Charte des droits fondamentaux de l’Union et à l’article 16 TFUE, ainsi que par le lien étroit établi avec l’article 7 de la charte, a eu pour conséquence nécessaire la création d’un cadre solide pour la protection des données (12).

| 19. | Toutefois, ce type de cadre sert également des intérêts publics et privés plus vastes dans une société de l’information caractérisée par l’omniprésence du traitement de données. La protection des données favorise la confiance et la confiance est un élément essentiel au bon fonctionnement de notre société. Il est essentiel que les dispositions visant à garantir la protection des données soient conçues, autant que possible, de manière à soutenir activement plutôt qu’à limiter d’autres droits et intérêts légitimes. |
| --- | --- |

19.

Toutefois, ce type de cadre sert également des intérêts publics et privés plus vastes dans une société de l’information caractérisée par l’omniprésence du traitement de données. La protection des données favorise la confiance et la confiance est un élément essentiel au bon fonctionnement de notre société. Il est essentiel que les dispositions visant à garantir la protection des données soient conçues, autant que possible, de manière à soutenir activement plutôt qu’à limiter d’autres droits et intérêts légitimes.

| 20. | Parmi les autres intérêts légitimes importants figurent une économie européenne solide, la sécurité des personnes et la responsabilisation des gouvernements. |
| --- | --- |

20.

Parmi les autres intérêts légitimes importants figurent une économie européenne solide, la sécurité des personnes et la responsabilisation des gouvernements.

| 21. | Le développement économique dans l’UE va de pair avec l’introduction et la commercialisation de nouvelles technologies et de nouveaux services. Dans la société de l’information, l’émergence et le déploiement de technologies de l’information et de la communication et de services dans ce secteur dépendent de la confiance. En l’absence de confiance vis-à-vis des TIC, le succès de ces dernières est fortement compromis (13). Et les citoyens n’auront confiance dans les TIC que si leurs données sont efficacement protégées. Par conséquent, la protection des données devrait être automatiquement garantie pour toutes les technologies et tous les services. Un cadre solide pour la protection des données favorise l’économie européenne, à condition que ce cadre soit non seulement solide mais aussi adapté. La poursuite de l’harmonisation dans l’UE et la réduction des charges administratives à cet égard sont essentielles (voir le chapitre 5 du présent avis). |
| --- | --- |

21.

Le développement économique dans l’UE va de pair avec l’introduction et la commercialisation de nouvelles technologies et de nouveaux services. Dans la société de l’information, l’émergence et le déploiement de technologies de l’information et de la communication et de services dans ce secteur dépendent de la confiance. En l’absence de confiance vis-à-vis des TIC, le succès de ces dernières est fortement compromis (13). Et les citoyens n’auront confiance dans les TIC que si leurs données sont efficacement protégées. Par conséquent, la protection des données devrait être automatiquement garantie pour toutes les technologies et tous les services. Un cadre solide pour la protection des données favorise l’économie européenne, à condition que ce cadre soit non seulement solide mais aussi adapté. La poursuite de l’harmonisation dans l’UE et la réduction des charges administratives à cet égard sont essentielles (voir le chapitre 5 du présent avis).

| 22. | La nécessité d’équilibrer protection de la vie privée et sécurité a été souvent discutée ces dernières années, en particulier en relation avec les instruments pour le traitement et l’échange de données dans le domaine de la coopération policière et judiciaire (14). La protection des données était souvent perçue à tort comme un obstacle à la protection totale de la sécurité physique des personnes (15), ou au moins comme une condition inévitable à remplir par les autorités répressives. Mais ce serait oublier qu’un cadre solide pour la protection des données peut renforcer la sécurité. Les principes de protection des données (appliqués correctement) contraignent les contrôleurs à s’assurer que les informations sont exactes et à jour et que les données à caractère personnel non nécessaires à des fins de répression sont effacées des systèmes. L’on peut pareillement mettre l’accent sur les obligations d’appliquer des mesures technologiques et organisationnelles pour garantir la sécurité des systèmes, par exemple en protégeant les systèmes contre tout accès ou divulgation non autorisés, comme c’est le cas dans le domaine de la protection des données. |
| --- | --- |

22.

La nécessité d’équilibrer protection de la vie privée et sécurité a été souvent discutée ces dernières années, en particulier en relation avec les instruments pour le traitement et l’échange de données dans le domaine de la coopération policière et judiciaire (14). La protection des données était souvent perçue à tort comme un obstacle à la protection totale de la sécurité physique des personnes (15), ou au moins comme une condition inévitable à remplir par les autorités répressives. Mais ce serait oublier qu’un cadre solide pour la protection des données peut renforcer la sécurité. Les principes de protection des données (appliqués correctement) contraignent les contrôleurs à s’assurer que les informations sont exactes et à jour et que les données à caractère personnel non nécessaires à des fins de répression sont effacées des systèmes. L’on peut pareillement mettre l’accent sur les obligations d’appliquer des mesures technologiques et organisationnelles pour garantir la sécurité des systèmes, par exemple en protégeant les systèmes contre tout accès ou divulgation non autorisés, comme c’est le cas dans le domaine de la protection des données.

| 23. | En respectant les principes de protection des données, les autorités répressives se conforment au principe de l’État de droit, s’attirant ainsi la confiance des citoyens et favorisant la confiance de manière générale dans nos sociétés. La jurisprudence établie en vertu de l’article 8 de la Convention européenne des droits de l’homme permet aux autorités policières et judiciaires de traiter toutes les données pertinentes pour leurs activités, mais pas de manière illimitée. La protection des données requiert l’instauration de sauvegardes (voir le chapitre 9 du présent avis concernant la police et la justice). |
| --- | --- |

23.

En respectant les principes de protection des données, les autorités répressives se conforment au principe de l’État de droit, s’attirant ainsi la confiance des citoyens et favorisant la confiance de manière générale dans nos sociétés. La jurisprudence établie en vertu de l’article 8 de la Convention européenne des droits de l’homme permet aux autorités policières et judiciaires de traiter toutes les données pertinentes pour leurs activités, mais pas de manière illimitée. La protection des données requiert l’instauration de sauvegardes (voir le chapitre 9 du présent avis concernant la police et la justice).

| 24. | Dans les sociétés démocratiques, les gouvernements sont responsables de tous leurs actes, notamment de l’usage de données à caractère personnel pour les différents intérêts publics qu’ils servent. Ces activités vont de la publication de données sur l’internet par souci de transparence à l’utilisation de données à l’appui des politiques en matière de santé publique, de transport ou de fiscalité, en passant par la surveillance de personnes à des fins répressives. Un cadre solide pour la protection des données permet aux gouvernements d’assumer leurs responsabilités et de rendre compte de leurs actions, dans le cadre du principe de bonne gouvernance. |
| --- | --- |

24.

Dans les sociétés démocratiques, les gouvernements sont responsables de tous leurs actes, notamment de l’usage de données à caractère personnel pour les différents intérêts publics qu’ils servent. Ces activités vont de la publication de données sur l’internet par souci de transparence à l’utilisation de données à l’appui des politiques en matière de santé publique, de transport ou de fiscalité, en passant par la surveillance de personnes à des fins répressives. Un cadre solide pour la protection des données permet aux gouvernements d’assumer leurs responsabilités et de rendre compte de leurs actions, dans le cadre du principe de bonne gouvernance.

3.2.   Les conséquences pour le cadre juridique de protection des données

3.2.1.   L’harmonisation doit se poursuivre

| 25. | La communication a souligné à juste titre que l’une des faiblesses essentielles du cadre actuel résidait dans le fait qu’il laisse une marge d’appréciation trop importante aux États membres en ce qui concerne la transposition des dispositions européennes dans le droit national. Le manque d’harmonisation a des répercussions négatives dans une société de l’information où les frontières physiques entre les États membres perdent chaque jour un peu plus de leur raison d’être (voir le chapitre 5 du présent avis). |
| --- | --- |

25.

La communication a souligné à juste titre que l’une des faiblesses essentielles du cadre actuel résidait dans le fait qu’il laisse une marge d’appréciation trop importante aux États membres en ce qui concerne la transposition des dispositions européennes dans le droit national. Le manque d’harmonisation a des répercussions négatives dans une société de l’information où les frontières physiques entre les États membres perdent chaque jour un peu plus de leur raison d’être (voir le chapitre 5 du présent avis).

3.2.2.   Les principes généraux de la protection des données restent valables

| 26. | Une première raison, plus formelle, pour laquelle les principes généraux de la protection des données ne doivent ni ne peuvent être modifiés est de nature juridique. Ces principes sont établis par la convention 108 du Conseil de l’Europe, qui est contraignante pour tous les États membres. Cette convention constitue la base de la protection des données dans l’UE. En outre, certains des principes fondamentaux sont explicitement mentionnés à l’article 8 de la Charte des droits fondamentaux de l’Union. La modification de ces principes nécessiterait la modification des traités. |
| --- | --- |

26.

Une première raison, plus formelle, pour laquelle les principes généraux de la protection des données ne doivent ni ne peuvent être modifiés est de nature juridique. Ces principes sont établis par la convention 108 du Conseil de l’Europe, qui est contraignante pour tous les États membres. Cette convention constitue la base de la protection des données dans l’UE. En outre, certains des principes fondamentaux sont explicitement mentionnés à l’article 8 de la Charte des droits fondamentaux de l’Union. La modification de ces principes nécessiterait la modification des traités.

| 27. | Il ne s’agit toutefois que d’une raison parmi d’autres. Il existe également des raisons importantes de ne pas modifier les principes généraux. Le CEPD est fermement convaincu qu’une société de l’information ne peut ni ne devrait fonctionner sans une protection adéquate de la vie privée et des données à caractère personnel. Dans le cas d’un traitement accru de données, la protection doit être renforcée. Une société de l’information dans laquelle des quantités massives d’information sur tout un chacun sont traitées doit reposer sur le concept de contrôle par la personne, permettant à cette dernière d’agir en tant qu’individu et de faire valoir ses libertés dans une société démocratique, notamment ses libertés d’expression et de parole. |
| --- | --- |

27.

Il ne s’agit toutefois que d’une raison parmi d’autres. Il existe également des raisons importantes de ne pas modifier les principes généraux. Le CEPD est fermement convaincu qu’une société de l’information ne peut ni ne devrait fonctionner sans une protection adéquate de la vie privée et des données à caractère personnel. Dans le cas d’un traitement accru de données, la protection doit être renforcée. Une société de l’information dans laquelle des quantités massives d’information sur tout un chacun sont traitées doit reposer sur le concept de contrôle par la personne, permettant à cette dernière d’agir en tant qu’individu et de faire valoir ses libertés dans une société démocratique, notamment ses libertés d’expression et de parole.

| 28. | Par ailleurs, il est difficile d’imaginer le contrôle par la personne en l’absence d’obligation pour les responsables du traitement de limiter le traitement en accord avec les principes de nécessité, de proportionnalité et de limitation des finalités. Il est également difficile d’imaginer un tel contrôle en l’absence de droits reconnus pour les personnes concernées, tels que les droits d’accès, de rectification, d’effacement et de verrouillage des données. |
| --- | --- |

28.

Par ailleurs, il est difficile d’imaginer le contrôle par la personne en l’absence d’obligation pour les responsables du traitement de limiter le traitement en accord avec les principes de nécessité, de proportionnalité et de limitation des finalités. Il est également difficile d’imaginer un tel contrôle en l’absence de droits reconnus pour les personnes concernées, tels que les droits d’accès, de rectification, d’effacement et de verrouillage des données.

3.2.3.   La perspective des droits fondamentaux

| 29. | Le CEPD souligne que la protection des données est reconnue comme un droit fondamental. Cela ne signifie pas que la protection des données devrait toujours prévaloir sur d’autres droits et intérêts importants dans une société démocratique, mais cela a assurément des conséquences sur la nature et la portée de la protection qui doit être garantie dans le contexte du cadre juridique européen, de manière à s’assurer que les exigences en matière de protection des données sont toujours adéquatement prises en considération. |
| --- | --- |

29.

Le CEPD souligne que la protection des données est reconnue comme un droit fondamental. Cela ne signifie pas que la protection des données devrait toujours prévaloir sur d’autres droits et intérêts importants dans une société démocratique, mais cela a assurément des conséquences sur la nature et la portée de la protection qui doit être garantie dans le contexte du cadre juridique européen, de manière à s’assurer que les exigences en matière de protection des données sont toujours adéquatement prises en considération.

| 30. | Ces conséquences majeures peuvent être définies comme suit:






  — | la protection doit être efficace. Un cadre juridique doit mettre à disposition des instruments permettant aux personnes d’exercer concrètement leurs droits; |
| --- | --- | --- |

30.

Ces conséquences majeures peuvent être définies comme suit:

—

la protection doit être efficace. Un cadre juridique doit mettre à disposition des instruments permettant aux personnes d’exercer concrètement leurs droits;

| — | le cadre doit être stable sur une longue période; |
| --- | --- |

—

le cadre doit être stable sur une longue période;

| — | la protection doit être accordée dans toutes les circonstances et non dépendre des préférences politiques au cours d’une période déterminée; |
| --- | --- |

—

la protection doit être accordée dans toutes les circonstances et non dépendre des préférences politiques au cours d’une période déterminée;

| — | les limitations de l’exercice du droit peuvent être nécessaires, mais elles doivent être exceptionnelles, dûment justifiés et n’affecter en aucun cas les éléments essentiels du droit proprement dit (16). |
| --- | --- |

—

les limitations de l’exercice du droit peuvent être nécessaires, mais elles doivent être exceptionnelles, dûment justifiés et n’affecter en aucun cas les éléments essentiels du droit proprement dit (16).

Le CEPD recommande que la Commission prenne ces conséquences en considération lorsqu’il propose des solutions législatives.

3.2.4.   De nouvelles dispositions législatives sont nécessaires

| 31. | La communication se concentre à juste titre sur la nécessité de renforcer les dispositions législatives pour la protection des données. Dans ce cadre, il est utile de rappeler que dans le document des groupes de travail sur l’avenir de la protection de la vie privée (17), les autorités chargées de la protection des données ont souligné la nécessité de renforcer le rôle des différents acteurs de la protection des données, en particulier les personnes concernées, les responsables du traitement et les autorités de supervision elles-mêmes. |
| --- | --- |

31.

La communication se concentre à juste titre sur la nécessité de renforcer les dispositions législatives pour la protection des données. Dans ce cadre, il est utile de rappeler que dans le document des groupes de travail sur l’avenir de la protection de la vie privée (17), les autorités chargées de la protection des données ont souligné la nécessité de renforcer le rôle des différents acteurs de la protection des données, en particulier les personnes concernées, les responsables du traitement et les autorités de supervision elles-mêmes.

| 32. | Les différents acteurs semblent s’accorder pour dire que des dispositions législatives plus solides — prenant en considération les évolutions technologiques et la mondialisation — sont la clé pour une protection des données efficace et ambitieuse également à l’avenir. Comme indiqué au point 7, il s’agit là des critères pour l’évaluation par le CEPD de toute proposition de solution. |
| --- | --- |

32.

Les différents acteurs semblent s’accorder pour dire que des dispositions législatives plus solides — prenant en considération les évolutions technologiques et la mondialisation — sont la clé pour une protection des données efficace et ambitieuse également à l’avenir. Comme indiqué au point 7, il s’agit là des critères pour l’évaluation par le CEPD de toute proposition de solution.

3.2.5.   L’exhaustivité comme condition sine qua non

| 33. | Comme cela a été rappelé dans la communication, la directive 95/46/CE s’applique à toutes les activités de traitement de données à caractère personnel réalisées dans les États membres, dans les secteurs tant public que privé, à l’exception des activités qui ne relèvent pas du champ d’application de l’ancien droit communautaire (18). Si cette exception était nécessaire sous l’ancien traité, ce n’est plus le cas depuis l’entrée en vigueur du traité de Lisbonne. En outre, elle est contraire au texte et dans tous les cas à l’esprit de l’article 16 TFUE. |
| --- | --- |

33.

Comme cela a été rappelé dans la communication, la directive 95/46/CE s’applique à toutes les activités de traitement de données à caractère personnel réalisées dans les États membres, dans les secteurs tant public que privé, à l’exception des activités qui ne relèvent pas du champ d’application de l’ancien droit communautaire (18). Si cette exception était nécessaire sous l’ancien traité, ce n’est plus le cas depuis l’entrée en vigueur du traité de Lisbonne. En outre, elle est contraire au texte et dans tous les cas à l’esprit de l’article 16 TFUE.

| 34. | Selon le CEPD, un instrument juridique global pour la protection des données comprenant la coopération policière et judiciaire en matière pénale est à considérer comme l’une des grandes améliorations à attendre d’un nouveau cadre juridique. Il s’agit d’une condition sine qua non pour une protection des données efficace à l’avenir. |
| --- | --- |

34.

Selon le CEPD, un instrument juridique global pour la protection des données comprenant la coopération policière et judiciaire en matière pénale est à considérer comme l’une des grandes améliorations à attendre d’un nouveau cadre juridique. Il s’agit d’une condition sine qua non pour une protection des données efficace à l’avenir.

| 35. | Le CEPD avance les arguments suivants à l’appui de cette affirmation:






  — | la distinction entre les activités du secteur privé et celles des autorités répressives est de plus en plus floue. Les entités du secteur privé peuvent traiter des données qui seront utilisées en dernier lieu à des fins répressives [p. ex. les données PNR (19)], alors que dans d’autres cas, elles sont tenues de conserver des données à des fins répressives [p. ex. la directive sur la conservation des données (20)]; |
| --- | --- | --- |

35.

Le CEPD avance les arguments suivants à l’appui de cette affirmation:

—

la distinction entre les activités du secteur privé et celles des autorités répressives est de plus en plus floue. Les entités du secteur privé peuvent traiter des données qui seront utilisées en dernier lieu à des fins répressives [p. ex. les données PNR (19)], alors que dans d’autres cas, elles sont tenues de conserver des données à des fins répressives [p. ex. la directive sur la conservation des données (20)];

| — | il n’y a pas de différence fondamentale entre les autorités policières et judiciaires et les autres autorités chargées de l’application de la loi (fiscalité, douanes, anti-fraude, immigration) couvertes par la directive 95/46/CE; |
| --- | --- |

—

il n’y a pas de différence fondamentale entre les autorités policières et judiciaires et les autres autorités chargées de l’application de la loi (fiscalité, douanes, anti-fraude, immigration) couvertes par la directive 95/46/CE;

| — | comme indiqué à juste titre dans la communication, l’instrument juridique de protection des données actuellement applicable aux autorités policières et judiciaires [décision-cadre 2008/977 JAI (21)]est inadéquat; |
| --- | --- |

—

comme indiqué à juste titre dans la communication, l’instrument juridique de protection des données actuellement applicable aux autorités policières et judiciaires [décision-cadre 2008/977 JAI (21)]est inadéquat;

| — | la plupart des États membres ont transposé la directive 95/46 CE et la convention 108 dans leurs législations nationales respectives, les rendant ainsi applicables également aux autorités policières et judiciaires. |
| --- | --- |

—

la plupart des États membres ont transposé la directive 95/46 CE et la convention 108 dans leurs législations nationales respectives, les rendant ainsi applicables également aux autorités policières et judiciaires.

| 36. | L’inclusion de la police et de la justice dans l’instrument juridique général offrirait non seulement davantage de garanties au citoyen mais faciliterait également la tâche des forces de police. Le fait de devoir appliquer divers ensembles de règles est peu commode, requiert beaucoup de temps et constitue un frein pour la coopération internationale (voir le chapitre 9 du présent avis). Cela plaide aussi en faveur de l’inclusion des activités de traitement par les services de sécurité nationaux, dans la mesure où cela est possible dans le cadre actuel du droit de l’UE. |
| --- | --- |

36.

L’inclusion de la police et de la justice dans l’instrument juridique général offrirait non seulement davantage de garanties au citoyen mais faciliterait également la tâche des forces de police. Le fait de devoir appliquer divers ensembles de règles est peu commode, requiert beaucoup de temps et constitue un frein pour la coopération internationale (voir le chapitre 9 du présent avis). Cela plaide aussi en faveur de l’inclusion des activités de traitement par les services de sécurité nationaux, dans la mesure où cela est possible dans le cadre actuel du droit de l’UE.

3.2.6.   La neutralité technologique

| 37. | La période qui a suivi l’adoption de la directive 95/46/CE en 1995 peut être qualifiée de technologiquement turbulente. Les évolutions technologiques et la conception de nouveaux matériels ont été fréquentes. Dans de nombreux cas, cela a entraîné des changements fondamentaux dans la façon dont les données à caractère personnel sont traitées. La société de l’information ne peut plus être considérée comme un environnement parallèle auquel les personnes peuvent participer si elles le souhaitent; elle fait à présent partie intégrante de nos vies quotidiennes. À titre d’exemple, le concept d’internet des objets (22) établit des liens entre les objets physiques et les informations en ligne relatives à ces objets. |
| --- | --- |

37.

La période qui a suivi l’adoption de la directive 95/46/CE en 1995 peut être qualifiée de technologiquement turbulente. Les évolutions technologiques et la conception de nouveaux matériels ont été fréquentes. Dans de nombreux cas, cela a entraîné des changements fondamentaux dans la façon dont les données à caractère personnel sont traitées. La société de l’information ne peut plus être considérée comme un environnement parallèle auquel les personnes peuvent participer si elles le souhaitent; elle fait à présent partie intégrante de nos vies quotidiennes. À titre d’exemple, le concept d’internet des objets (22) établit des liens entre les objets physiques et les informations en ligne relatives à ces objets.

| 38. | La technologie continuera d’évoluer. Cette évolution a des conséquences pour le nouveau cadre juridique, qui doit être efficace sur une longue durée tout en ne freinant pas le développement technologique. Des dispositions juridiques technologiquement neutres sont nécessaires. Cependant, le cadre doit aussi apporter une sécurité juridique accrue aux entreprises et aux personnes, lesquelles doivent comprendre quelles sont les attentes à leur égard et doivent être capables de faire valoir leurs droits. À cette fin, les dispositions juridiques doivent être précises. |
| --- | --- |

38.

La technologie continuera d’évoluer. Cette évolution a des conséquences pour le nouveau cadre juridique, qui doit être efficace sur une longue durée tout en ne freinant pas le développement technologique. Des dispositions juridiques technologiquement neutres sont nécessaires. Cependant, le cadre doit aussi apporter une sécurité juridique accrue aux entreprises et aux personnes, lesquelles doivent comprendre quelles sont les attentes à leur égard et doivent être capables de faire valoir leurs droits. À cette fin, les dispositions juridiques doivent être précises.

| 39. | Selon le CEPD, un instrument juridique général pour la protection des données doit être formulé de manière technologiquement neutre, dans la mesure du possible. Cela implique que les droits et obligations des divers acteurs soient formulés dans un style général et neutre afin de garantir qu’ils restent, en principe, valables et applicables indépendamment de la technologie choisie pour traiter les données à caractère personnel. Il n’y a pas d’autre choix, étant donné le rythme actuel des avancées technologiques. Le CEPD suggère d’introduire de nouveaux droits «technologiquement neutres» au-delà des principes existants de protection des données qui pourraient avoir une importance spécifique dans l’environnement électronique en constante évolution (voir essentiellement les chapitres 6 et 7). |
| --- | --- |

39.

Selon le CEPD, un instrument juridique général pour la protection des données doit être formulé de manière technologiquement neutre, dans la mesure du possible. Cela implique que les droits et obligations des divers acteurs soient formulés dans un style général et neutre afin de garantir qu’ils restent, en principe, valables et applicables indépendamment de la technologie choisie pour traiter les données à caractère personnel. Il n’y a pas d’autre choix, étant donné le rythme actuel des avancées technologiques. Le CEPD suggère d’introduire de nouveaux droits «technologiquement neutres» au-delà des principes existants de protection des données qui pourraient avoir une importance spécifique dans l’environnement électronique en constante évolution (voir essentiellement les chapitres 6 et 7).

3.2.7.   Le long terme: la sécurité juridique pour une période plus longue

| 40. | La directive 95/46/CE a été la clé de voûte de la législation en matière de protection des données dans l’UE au cours de ces quinze dernières années. Elle a été transposée dans le droit des États membres et appliquée par les différents acteurs concernés. Au fil des années, son application s’est enrichie des diverses expériences pratiques et des nouvelles orientations données par la Commission, les autorités chargées de la protection des données (au niveau national et dans le cadre du groupe de travail «Article 29») et les juridictions nationales et européennes. |
| --- | --- |

40.

La directive 95/46/CE a été la clé de voûte de la législation en matière de protection des données dans l’UE au cours de ces quinze dernières années. Elle a été transposée dans le droit des États membres et appliquée par les différents acteurs concernés. Au fil des années, son application s’est enrichie des diverses expériences pratiques et des nouvelles orientations données par la Commission, les autorités chargées de la protection des données (au niveau national et dans le cadre du groupe de travail «Article 29») et les juridictions nationales et européennes.

| 41. | Il convient d’indiquer que ces développements nécessitent du temps et que — en particulier du fait qu’il est question d’un cadre général donnant effet à un droit fondamental — ce temps est nécessaire pour créer la sécurité et la stabilité juridiques. Un nouvel instrument juridique général doit être élaboré dans l’optique de garantir la sécurité et la stabilité juridiques sur une plus longue période, en gardant à l’esprit qu’il est très difficile de prédire la suite du développement technologique et de la mondialisation. Dans tous les cas, le CEPD soutient pleinement l’objectif d’assurer la sécurité juridique pour une plus longue période, comparable à la perspective de la directive 95/46/CE. En bref, dans les domaines où l’évolution technologique est rapide, la législation doit être stable. |
| --- | --- |

41.

Il convient d’indiquer que ces développements nécessitent du temps et que — en particulier du fait qu’il est question d’un cadre général donnant effet à un droit fondamental — ce temps est nécessaire pour créer la sécurité et la stabilité juridiques. Un nouvel instrument juridique général doit être élaboré dans l’optique de garantir la sécurité et la stabilité juridiques sur une plus longue période, en gardant à l’esprit qu’il est très difficile de prédire la suite du développement technologique et de la mondialisation. Dans tous les cas, le CEPD soutient pleinement l’objectif d’assurer la sécurité juridique pour une plus longue période, comparable à la perspective de la directive 95/46/CE. En bref, dans les domaines où l’évolution technologique est rapide, la législation doit être stable.

3.2.8.   Le court terme: faire un meilleur usage des instruments existants

| 42. | À court terme, il est essentiel d’assurer l’efficacité des dispositions législatives existantes, en premier lieu en se concentrant sur la mise en œuvre de la législation, aux niveaux national et européen (voir le chapitre 11 du présent avis). |
| --- | --- |

42.

À court terme, il est essentiel d’assurer l’efficacité des dispositions législatives existantes, en premier lieu en se concentrant sur la mise en œuvre de la législation, aux niveaux national et européen (voir le chapitre 11 du présent avis).

B.   ÉLÉMENTS D’UN NOUVEAU CADRE

4.   L’approche globale

| 43. | Le CEPD soutient pleinement l’approche globale de la protection des données, qui est non seulement l’intitulé, mais également le point de départ de la communication et inclut nécessairement l’extension des règles générales sur la protection des données à la coopération policière et judiciaire en matière pénale (23). |
| --- | --- |

43.

Le CEPD soutient pleinement l’approche globale de la protection des données, qui est non seulement l’intitulé, mais également le point de départ de la communication et inclut nécessairement l’extension des règles générales sur la protection des données à la coopération policière et judiciaire en matière pénale (23).

| 44. | Cependant, il note aussi que la Commission n’envisage pas d’inclure toutes les activités de traitement des données dans cet instrument juridique général. Les traitements de données réalisés par les institutions, les organes, les offices et les agences de l’UE ne seront par exemple pas inclus. La Commission déclare seulement qu’elle «évaluera la nécessité d'adapter d'autres instruments juridiques au nouveau cadre général de la protection des données». |
| --- | --- |

44.

Cependant, il note aussi que la Commission n’envisage pas d’inclure toutes les activités de traitement des données dans cet instrument juridique général. Les traitements de données réalisés par les institutions, les organes, les offices et les agences de l’UE ne seront par exemple pas inclus. La Commission déclare seulement qu’elle «évaluera la nécessité d'adapter d'autres instruments juridiques au nouveau cadre général de la protection des données».

| 45. | Le CEPD privilégie largement l’inclusion du traitement au niveau européen dans le cadre juridique général. Il rappelle que c’était l’intention initiale de l’ancien article 286 CE, qui mentionnait pour la première fois dans un traité la question de la protection des données. Cet article prévoyait simplement que les instruments juridiques sur le traitement de données à caractère personnel s’appliqueraient également aux institutions. Plus important, un texte juridique unique permet d’éviter tout risque de disparités entre les dispositions et serait particulièrement adéquat pour l’échange de données entre le niveau européen et les entités publiques et privées des États membres. Il permettrait par ailleurs d’éviter le risque qu’après modification de la directive 95/46/CE, il n’y ait plus aucun intérêt politique à modifier le règlement (CE) no 45/2001, ou d’accorder une priorité suffisante à cette modification pour éviter toute disparité concernant les dates d’entrée en vigueur. |
| --- | --- |

45.

Le CEPD privilégie largement l’inclusion du traitement au niveau européen dans le cadre juridique général. Il rappelle que c’était l’intention initiale de l’ancien article 286 CE, qui mentionnait pour la première fois dans un traité la question de la protection des données. Cet article prévoyait simplement que les instruments juridiques sur le traitement de données à caractère personnel s’appliqueraient également aux institutions. Plus important, un texte juridique unique permet d’éviter tout risque de disparités entre les dispositions et serait particulièrement adéquat pour l’échange de données entre le niveau européen et les entités publiques et privées des États membres. Il permettrait par ailleurs d’éviter le risque qu’après modification de la directive 95/46/CE, il n’y ait plus aucun intérêt politique à modifier le règlement (CE) no 45/2001, ou d’accorder une priorité suffisante à cette modification pour éviter toute disparité concernant les dates d’entrée en vigueur.

| 46. | Le CEPD prie instamment la Commission — dans le cas où elle conclurait que l’inclusion du traitement à l’échelle européenne dans l’instrument juridique général n’est pas réalisable — de s’engager à proposer une version adaptée du règlement (CE) no 45/2001 (et non «d’évaluer la nécessité») dans les plus brefs délais et de préférence au plus tard fin 2011. |
| --- | --- |

46.

Le CEPD prie instamment la Commission — dans le cas où elle conclurait que l’inclusion du traitement à l’échelle européenne dans l’instrument juridique général n’est pas réalisable — de s’engager à proposer une version adaptée du règlement (CE) no 45/2001 (et non «d’évaluer la nécessité») dans les plus brefs délais et de préférence au plus tard fin 2011.

| 47. | Il est tout aussi important que la Commission s’assure que d’autres domaines ne sont pas négligés, en particulier:






  — | la protection des données dans la politique étrangère et de sécurité commune, en vertu de l’article 39 TUE (24); |
| --- | --- | --- |

47.

Il est tout aussi important que la Commission s’assure que d’autres domaines ne sont pas négligés, en particulier:

—

la protection des données dans la politique étrangère et de sécurité commune, en vertu de l’article 39 TUE (24);

| — | les régimes sectoriels de protection des données applicables aux organes de l’UE comme Europol et Eurojust et aux systèmes d’information étendus, dans la mesure où ils doivent être adaptés au nouvel instrument juridique; |
| --- | --- |

—

les régimes sectoriels de protection des données applicables aux organes de l’UE comme Europol et Eurojust et aux systèmes d’information étendus, dans la mesure où ils doivent être adaptés au nouvel instrument juridique;

| — | la directive 2002/58 sur la vie privée et les communications électroniques, dans la mesure où elle doit être adaptée au nouvel instrument juridique. |
| --- | --- |

—

la directive 2002/58 sur la vie privée et les communications électroniques, dans la mesure où elle doit être adaptée au nouvel instrument juridique.

| 48. | Enfin, un instrument juridique général pour la protection des données peut et, probablement, doit être complété par des réglementations spécifiques et sectorielles supplémentaires, par exemple concernant la coopération policière et judiciaire, ainsi que dans d’autres domaines (25). Au besoin, et dans le respect du principe de subsidiarité, ces réglementations supplémentaires devraient être adoptées au niveau de l’UE. Les États membres peuvent établir des règles additionnelles dans certains domaines particuliers où ces règles s’avèrent justifiées (voir la section 5.2). |
| --- | --- |

48.

Enfin, un instrument juridique général pour la protection des données peut et, probablement, doit être complété par des réglementations spécifiques et sectorielles supplémentaires, par exemple concernant la coopération policière et judiciaire, ainsi que dans d’autres domaines (25). Au besoin, et dans le respect du principe de subsidiarité, ces réglementations supplémentaires devraient être adoptées au niveau de l’UE. Les États membres peuvent établir des règles additionnelles dans certains domaines particuliers où ces règles s’avèrent justifiées (voir la section 5.2).

5.   La poursuite de l’harmonisation et de la simplification

5.1.   Le besoin d’harmonisation

| 49. | L’harmonisation est essentielle pour la législation européenne en matière de protection des données. La communication indique à juste titre que la protection des données a une importance considérable dans le marché intérieur car elle doit garantir la libre circulation des données à caractère personnel entre les États membres au sein de ce dernier. Toutefois, le niveau d’harmonisation prévu par la directive actuelle a été jugé insatisfaisant. La communication reconnaît qu’il s’agit de l’une des préoccupations majeures récurrentes des parties prenantes. Celles-ci soulignent notamment la nécessité de renforcer la sécurité juridique, de réduire la charge administrative et d’établir des règles de concurrence équitables pour les opérateurs économiques. Comme le constate à raison la Commission, cela vaut tout particulièrement pour les responsables du traitement de données établis dans plusieurs États membres et contraints de se conformer aux exigences (parfois divergentes) des législations nationales en matière de protection des données (26). |
| --- | --- |

49.

L’harmonisation est essentielle pour la législation européenne en matière de protection des données. La communication indique à juste titre que la protection des données a une importance considérable dans le marché intérieur car elle doit garantir la libre circulation des données à caractère personnel entre les États membres au sein de ce dernier. Toutefois, le niveau d’harmonisation prévu par la directive actuelle a été jugé insatisfaisant. La communication reconnaît qu’il s’agit de l’une des préoccupations majeures récurrentes des parties prenantes. Celles-ci soulignent notamment la nécessité de renforcer la sécurité juridique, de réduire la charge administrative et d’établir des règles de concurrence équitables pour les opérateurs économiques. Comme le constate à raison la Commission, cela vaut tout particulièrement pour les responsables du traitement de données établis dans plusieurs États membres et contraints de se conformer aux exigences (parfois divergentes) des législations nationales en matière de protection des données (26).

| 50. | L’harmonisation est importante non seulement pour le marché intérieur mais aussi pour garantir une protection adéquate des données. L’article 16 TFUE dispose que «toute personne» a droit à la protection des données à caractère personnel la concernant. Pour que ce droit soit effectivement respecté, un niveau équivalent de protection doit être garanti sur tout le territoire de l’UE. Le document des groupes de travail sur l’avenir de la protection de la vie privée a relevé que plusieurs dispositions relatives aux positions des personnes concernées n’avaient pas été mises en œuvre ou interprétées de manière uniforme dans tous les États membres (27). Dans un monde globalisé et interconnecté, ces divergences pourraient mettre en péril ou limiter la protection des personnes. |
| --- | --- |

50.

L’harmonisation est importante non seulement pour le marché intérieur mais aussi pour garantir une protection adéquate des données. L’article 16 TFUE dispose que «toute personne» a droit à la protection des données à caractère personnel la concernant. Pour que ce droit soit effectivement respecté, un niveau équivalent de protection doit être garanti sur tout le territoire de l’UE. Le document des groupes de travail sur l’avenir de la protection de la vie privée a relevé que plusieurs dispositions relatives aux positions des personnes concernées n’avaient pas été mises en œuvre ou interprétées de manière uniforme dans tous les États membres (27). Dans un monde globalisé et interconnecté, ces divergences pourraient mettre en péril ou limiter la protection des personnes.

| 51. | Le CEPD estime que l’un des principaux objectifs de la révision est la poursuite et l’amélioration de l’harmonisation. Il salue l’engagement de la Commission à examiner les moyens de parvenir à une harmonisation accrue de la protection des données au niveau européen. Cependant, il est surpris de constater que la communication ne propose, à ce stade, aucune option concrète. Il désigne par conséquent lui-même quelques domaines nécessitant de toute urgence une convergence accrue (voir la section 5.3), qui serait réalisée non seulement en réduisant la marge de manœuvre en matière de législation nationale, mais également en empêchant toute mise en œuvre incorrecte par les États membres (voir aussi le chapitre 11) et en garantissant une mise en œuvre de la législation plus cohérente et plus coordonnée (voir aussi le chapitre 10). |
| --- | --- |

51.

Le CEPD estime que l’un des principaux objectifs de la révision est la poursuite et l’amélioration de l’harmonisation. Il salue l’engagement de la Commission à examiner les moyens de parvenir à une harmonisation accrue de la protection des données au niveau européen. Cependant, il est surpris de constater que la communication ne propose, à ce stade, aucune option concrète. Il désigne par conséquent lui-même quelques domaines nécessitant de toute urgence une convergence accrue (voir la section 5.3), qui serait réalisée non seulement en réduisant la marge de manœuvre en matière de législation nationale, mais également en empêchant toute mise en œuvre incorrecte par les États membres (voir aussi le chapitre 11) et en garantissant une mise en œuvre de la législation plus cohérente et plus coordonnée (voir aussi le chapitre 10).

5.2.   Réduire la marge de manœuvre en matière de transposition de la directive

| 52. | La directive comporte plusieurs dispositions qui sont formulées en termes généraux, générant un risque élevé de divergences en matière de transposition. Le neuvième considérant de la directive confirme explicitement que les États membres disposent d’une certaine marge de manœuvre, laquelle pourrait être à l’origine de disparités dans la transposition de la directive. Plusieurs dispositions, y compris des dispositions cruciales, ont été transposées différemment par les États membres (28). Cette situation n’est pas satisfaisante et il conviendrait d’œuvrer à une plus grande convergence. |
| --- | --- |

52.

La directive comporte plusieurs dispositions qui sont formulées en termes généraux, générant un risque élevé de divergences en matière de transposition. Le neuvième considérant de la directive confirme explicitement que les États membres disposent d’une certaine marge de manœuvre, laquelle pourrait être à l’origine de disparités dans la transposition de la directive. Plusieurs dispositions, y compris des dispositions cruciales, ont été transposées différemment par les États membres (28). Cette situation n’est pas satisfaisante et il conviendrait d’œuvrer à une plus grande convergence.

| 53. | Cela ne signifie pas que la diversité devrait être exclue systématiquement. Dans certains domaines, la flexibilité peut être nécessaire pour préserver des spécificités légitimes, des intérêts publics importants ou l’autonomie institutionnelle des États membres. Selon le CEPD, les possibilités d’écarts de mise en œuvre entre les États membres devraient être limitées en particulier aux situations spécifiques suivantes:






  — | Liberté d’expression: dans le cadre actuel (article 9), les États membres peuvent prévoir des exemptions et des dérogations en relation avec les traitements de données réalisés à des fins journalistiques ou à des fins d’expression artistique ou littéraire. Cette flexibilité apparaît justifiée, sous réserve, bien entendu, des limitations prévues par la charte et la CEDH, étant donné les différentes traditions et les différences culturelles qui peuvent exister dans ce domaine dans les divers États membres. Toutefois, elle n’empêcherait pas une éventuelle actualisation de l’article 9 actuel sur la base des évolutions observées sur l’internet. |
| --- | --- | --- |

53.

Cela ne signifie pas que la diversité devrait être exclue systématiquement. Dans certains domaines, la flexibilité peut être nécessaire pour préserver des spécificités légitimes, des intérêts publics importants ou l’autonomie institutionnelle des États membres. Selon le CEPD, les possibilités d’écarts de mise en œuvre entre les États membres devraient être limitées en particulier aux situations spécifiques suivantes:

—

Liberté d’expression: dans le cadre actuel (article 9), les États membres peuvent prévoir des exemptions et des dérogations en relation avec les traitements de données réalisés à des fins journalistiques ou à des fins d’expression artistique ou littéraire. Cette flexibilité apparaît justifiée, sous réserve, bien entendu, des limitations prévues par la charte et la CEDH, étant donné les différentes traditions et les différences culturelles qui peuvent exister dans ce domaine dans les divers États membres. Toutefois, elle n’empêcherait pas une éventuelle actualisation de l’article 9 actuel sur la base des évolutions observées sur l’internet.

| — | Intérêts publics spécifiques: dans le cadre actuel (article 13), les États membres peuvent adopter des mesures législatives en vue de restreindre la portée des obligations et des droits lorsqu’une telle restriction est nécessaire pour protéger des intérêts publics importants, tels que la sécurité nationale, la défense, la sécurité publique, etc. Cette compétence des États membres reste justifiée. Toutefois, le cas échéant, l’interprétation des exceptions devrait être davantage harmonisée (voir la section 9.1). En outre, le champ d’application actuel de la dérogation à l’article 6, paragraphe 1, apparaît excessivement vaste. |
| --- | --- |

—

Intérêts publics spécifiques: dans le cadre actuel (article 13), les États membres peuvent adopter des mesures législatives en vue de restreindre la portée des obligations et des droits lorsqu’une telle restriction est nécessaire pour protéger des intérêts publics importants, tels que la sécurité nationale, la défense, la sécurité publique, etc. Cette compétence des États membres reste justifiée. Toutefois, le cas échéant, l’interprétation des exceptions devrait être davantage harmonisée (voir la section 9.1). En outre, le champ d’application actuel de la dérogation à l’article 6, paragraphe 1, apparaît excessivement vaste.

| — | Recours légaux, sanctions et procédures administratives: un cadre européen devrait déterminer les principales conditions applicables, mais dans l’état actuel du droit de l’UE, la définition des sanctions, des règles en matière de recours, des règles procédurales et des modalités d’inspection applicables au niveau national doit relever de la compétence des États membres. |
| --- | --- |

—

Recours légaux, sanctions et procédures administratives: un cadre européen devrait déterminer les principales conditions applicables, mais dans l’état actuel du droit de l’UE, la définition des sanctions, des règles en matière de recours, des règles procédurales et des modalités d’inspection applicables au niveau national doit relever de la compétence des États membres.

5.3.   Les domaines nécessitant une harmonisation accrue

| 54. | Définitions (article 2 de la directive 95/46/CE). Les définitions sont la pierre angulaire du système juridique et doivent être interprétées de manière uniforme dans tous les États membres, sans marge de manœuvre pour la mise en œuvre. Des disparités sont apparues dans le cadre actuel, concernant notamment la notion de responsable du traitement (29). Le CEPD propose d’ajouter d’autres entrées à la liste actuelle de l’article 2 afin de garantir une meilleure sécurité juridique, par exemple les termes «données anonymes», «données pseudonymes», «données judiciaires», «transfert de données» et «délégué à la protection des données». |
| --- | --- |

54.

Définitions (article 2 de la directive 95/46/CE). Les définitions sont la pierre angulaire du système juridique et doivent être interprétées de manière uniforme dans tous les États membres, sans marge de manœuvre pour la mise en œuvre. Des disparités sont apparues dans le cadre actuel, concernant notamment la notion de responsable du traitement (29). Le CEPD propose d’ajouter d’autres entrées à la liste actuelle de l’article 2 afin de garantir une meilleure sécurité juridique, par exemple les termes «données anonymes», «données pseudonymes», «données judiciaires», «transfert de données» et «délégué à la protection des données».

| 55. | Licéité du traitement (article 5). Le nouvel instrument juridique devrait être aussi précis que possible en ce qui concerne les éléments fondamentaux déterminant la licéité des traitements de données. L’article 5 de la directive (de même que le neuvième considérant), qui habilite les États membres à préciser les conditions dans lesquelles les traitements de données à caractère personnel sont licites, pourrait ainsi devenir inutile dans un futur cadre. |
| --- | --- |

55.

Licéité du traitement (article 5). Le nouvel instrument juridique devrait être aussi précis que possible en ce qui concerne les éléments fondamentaux déterminant la licéité des traitements de données. L’article 5 de la directive (de même que le neuvième considérant), qui habilite les États membres à préciser les conditions dans lesquelles les traitements de données à caractère personnel sont licites, pourrait ainsi devenir inutile dans un futur cadre.

| 56. | Légitimité des traitements de données (articles 7 et 8). La définition des conditions requises pour traiter des données est un élément essentiel de la législation en matière de protection des données. Les États membres ne devraient pas être autorisés à introduire, modifier ou exclure des motifs de traitement. La possibilité d’appliquer des dérogations devrait être exclue ou limitée [en particulier en ce qui concerne les données sensibles (30)]. Dans un nouveau cadre juridique, les motifs valables de traitement de données devraient être clairement formulés, réduisant ainsi la marge d’appréciation en matière de mise en œuvre ou de mise en application. Il pourrait notamment s’avérer nécessaire de préciser la notion de consentement (voir la section 6.5). En outre, le motif reposant sur l’intérêt légitime poursuivi par le responsable du traitement [article 7, point f)] donne lieu à des interprétations sensiblement divergentes en raison de sa nature flexible. Des précisions sont indispensables. Elles pourraient également être nécessaires pour l’article 8, paragraphe 2, point b), qui autorise le traitement de données sensibles aux fins de respecter les obligations et les droits spécifiques du responsable du traitement en matière de droit du travail (31). |
| --- | --- |

56.

Légitimité des traitements de données (articles 7 et 8). La définition des conditions requises pour traiter des données est un élément essentiel de la législation en matière de protection des données. Les États membres ne devraient pas être autorisés à introduire, modifier ou exclure des motifs de traitement. La possibilité d’appliquer des dérogations devrait être exclue ou limitée [en particulier en ce qui concerne les données sensibles (30)]. Dans un nouveau cadre juridique, les motifs valables de traitement de données devraient être clairement formulés, réduisant ainsi la marge d’appréciation en matière de mise en œuvre ou de mise en application. Il pourrait notamment s’avérer nécessaire de préciser la notion de consentement (voir la section 6.5). En outre, le motif reposant sur l’intérêt légitime poursuivi par le responsable du traitement [article 7, point f)] donne lieu à des interprétations sensiblement divergentes en raison de sa nature flexible. Des précisions sont indispensables. Elles pourraient également être nécessaires pour l’article 8, paragraphe 2, point b), qui autorise le traitement de données sensibles aux fins de respecter les obligations et les droits spécifiques du responsable du traitement en matière de droit du travail (31).

| 57. | Droits des personnes concernées (articles 10 à 15). C’est l’un des domaines dans lesquels les États membres n’ont pas mis en œuvre ni interprété de manière cohérente toutes les dispositions de la directive. Les droits des personnes concernées constituent un élément central d’une protection des données efficace. La marge de manœuvre devrait par conséquent être sensiblement réduite dans ce domaine. Le CEPD recommande l’uniformisation dans toute l’UE des informations fournies aux personnes concernées par le responsable du traitement. |
| --- | --- |

57.

Droits des personnes concernées (articles 10 à 15). C’est l’un des domaines dans lesquels les États membres n’ont pas mis en œuvre ni interprété de manière cohérente toutes les dispositions de la directive. Les droits des personnes concernées constituent un élément central d’une protection des données efficace. La marge de manœuvre devrait par conséquent être sensiblement réduite dans ce domaine. Le CEPD recommande l’uniformisation dans toute l’UE des informations fournies aux personnes concernées par le responsable du traitement.

| 58. | Transferts internationaux (articles 25 et 26). Ce domaine a donné lieu à de nombreuses critiques en raison de l’absence de pratique uniforme à travers l’UE. Les parties concernées ont critiqué le fait que les décisions de la Commission sur le caractère adéquat sont interprétées et mises en œuvre de manière très différente par les États membres. Le CEPD recommande également une meilleure harmonisation des règles d’entreprise contraignantes (voir le chapitre 9). |
| --- | --- |

58.

Transferts internationaux (articles 25 et 26). Ce domaine a donné lieu à de nombreuses critiques en raison de l’absence de pratique uniforme à travers l’UE. Les parties concernées ont critiqué le fait que les décisions de la Commission sur le caractère adéquat sont interprétées et mises en œuvre de manière très différente par les États membres. Le CEPD recommande également une meilleure harmonisation des règles d’entreprise contraignantes (voir le chapitre 9).

| 59. | Autorités nationales chargées de la protection des données (article 28). Les différents États membres appliquent des règles largement différentes en ce qui concerne les autorités nationales chargées de la protection des données, en particulier concernant leur statut, leurs ressources et leurs prérogatives. L’article 28 a en partie contribué à ce manque d’harmonisation par son manque de précision (32) et devrait donc être formulé de manière plus précise, conformément à l’arrêt de la Cour de justice européenne dans l’affaire C-518/07 (33) (voir le chapitre 10). |
| --- | --- |

59.

Autorités nationales chargées de la protection des données (article 28). Les différents États membres appliquent des règles largement différentes en ce qui concerne les autorités nationales chargées de la protection des données, en particulier concernant leur statut, leurs ressources et leurs prérogatives. L’article 28 a en partie contribué à ce manque d’harmonisation par son manque de précision (32) et devrait donc être formulé de manière plus précise, conformément à l’arrêt de la Cour de justice européenne dans l’affaire C-518/07 (33) (voir le chapitre 10).

5.4.   Simplification du système de notification

| 60. | Les exigences en matière de notification (articles 18 à 21 de la directive 95/46/CE) sont un autre domaine dans lequel les États membres disposent d’une marge de manœuvre importante. La communication reconnaît à juste titre qu’un système harmonisé réduirait les coûts et la charge administrative des responsables du traitement (34). |
| --- | --- |

60.

Les exigences en matière de notification (articles 18 à 21 de la directive 95/46/CE) sont un autre domaine dans lequel les États membres disposent d’une marge de manœuvre importante. La communication reconnaît à juste titre qu’un système harmonisé réduirait les coûts et la charge administrative des responsables du traitement (34).

| 61. | Dans ce domaine, la simplification devrait être le principal objectif poursuivi. La révision du cadre de protection des données fournit une occasion unique de simplifier et/ou réduire encore davantage le champ d’application des exigences actuelles. Ainsi que le souligne la communication, les parties intéressées s’accordent généralement à affirmer que le système de notification actuel est relativement lourd et n’apporte en soi aucune valeur ajoutée aux fins de la protection des données à caractère personnel (35). Le CEPD apprécie par conséquent que la Commission se soit engagée à examiner les différentes possibilités de simplification du système de notification actuel. |
| --- | --- |

61.

Dans ce domaine, la simplification devrait être le principal objectif poursuivi. La révision du cadre de protection des données fournit une occasion unique de simplifier et/ou réduire encore davantage le champ d’application des exigences actuelles. Ainsi que le souligne la communication, les parties intéressées s’accordent généralement à affirmer que le système de notification actuel est relativement lourd et n’apporte en soi aucune valeur ajoutée aux fins de la protection des données à caractère personnel (35). Le CEPD apprécie par conséquent que la Commission se soit engagée à examiner les différentes possibilités de simplification du système de notification actuel.

| 62. | De son point de vue, cette simplification découlerait de la transition d’un système de notification systématique, sauf spécification contraire («système d’exemption»), vers un système plus ciblé. Le système d’exemption s’est avéré inefficace, en raison du manque d’harmonisation dans sa mise en œuvre au sein des divers États membres (36). Le CEPD suggère d’étudier les alternatives suivantes:






  — | limiter l’obligation de notification à certains types spécifiques de traitements entraînant certains risques particuliers (ces notifications pourraient donner lieu à d’autres actions, comme le contrôle préalable du traitement); |
| --- | --- | --- |

62.

De son point de vue, cette simplification découlerait de la transition d’un système de notification systématique, sauf spécification contraire («système d’exemption»), vers un système plus ciblé. Le système d’exemption s’est avéré inefficace, en raison du manque d’harmonisation dans sa mise en œuvre au sein des divers États membres (36). Le CEPD suggère d’étudier les alternatives suivantes:

—

limiter l’obligation de notification à certains types spécifiques de traitements entraînant certains risques particuliers (ces notifications pourraient donner lieu à d’autres actions, comme le contrôle préalable du traitement);

| — | imposer une obligation d’enregistrement simple requérant l’enregistrement des responsables du traitement (au lieu d’exiger le long processus d’enregistrement de l’ensemble des traitements de données). |
| --- | --- |

—

imposer une obligation d’enregistrement simple requérant l’enregistrement des responsables du traitement (au lieu d’exiger le long processus d’enregistrement de l’ensemble des traitements de données).

En outre, un formulaire standard de notification paneuropéenne pourrait être introduit de manière à garantir des approches harmonisées concernant les informations requises.

| 63. | La révision du système de notification actuel devrait s’effectuer sans préjudice en ce qui concerne l’amélioration des obligations de contrôle préalable pour certaines obligations de traitement susceptibles de présenter des risques spécifiques (p. ex. les systèmes d’information à grande échelle). Le CEPD est favorable à l’inclusion dans le nouvel instrument juridique d’une liste non exhaustive de cas dans lesquels ce type de contrôle préalable est requis. Le règlement (CE) no 45/2001 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données fournit un modèle utile à cette fin (37). |
| --- | --- |

63.

La révision du système de notification actuel devrait s’effectuer sans préjudice en ce qui concerne l’amélioration des obligations de contrôle préalable pour certaines obligations de traitement susceptibles de présenter des risques spécifiques (p. ex. les systèmes d’information à grande échelle). Le CEPD est favorable à l’inclusion dans le nouvel instrument juridique d’une liste non exhaustive de cas dans lesquels ce type de contrôle préalable est requis. Le règlement (CE) no 45/2001 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données fournit un modèle utile à cette fin (37).

5.5.   Un règlement, pas une directive

| 64. | Enfin, le CEPD estime que la révision est aussi l’occasion de redéfinir le type d’instrument juridique à utiliser pour garantir la protection des données. Un règlement, un instrument unique directement applicable dans les États membres, est le moyen le plus efficace de protéger le droit fondamental à la protection des données et de créer un véritable marché intérieur dans lequel les données à caractère personnel peuvent circuler librement et le niveau de protection est identique quel que soit le pays ou le secteur où les données sont traitées. |
| --- | --- |

64.

Enfin, le CEPD estime que la révision est aussi l’occasion de redéfinir le type d’instrument juridique à utiliser pour garantir la protection des données. Un règlement, un instrument unique directement applicable dans les États membres, est le moyen le plus efficace de protéger le droit fondamental à la protection des données et de créer un véritable marché intérieur dans lequel les données à caractère personnel peuvent circuler librement et le niveau de protection est identique quel que soit le pays ou le secteur où les données sont traitées.

| 65. | Un règlement réduirait le risque d’interprétations contradictoires et de disparités non justifiées dans la mise en œuvre et l’application de la législation. Il réduirait aussi la nécessité de déterminer le droit applicable aux traitements dans l’UE, un des aspects les plus controversés du système actuel (voir le chapitre 9). |
| --- | --- |

65.

Un règlement réduirait le risque d’interprétations contradictoires et de disparités non justifiées dans la mise en œuvre et l’application de la législation. Il réduirait aussi la nécessité de déterminer le droit applicable aux traitements dans l’UE, un des aspects les plus controversés du système actuel (voir le chapitre 9).

| 66. | Dans le domaine de la protection des données, un règlement est d’autant plus justifié que:






  — | l’article 16 TFUE a entériné le droit à la protection des données à caractère personnel dans les traités et envisage — voire exige — un niveau uniforme de protection des personnes sur tout le territoire de l’UE; |
| --- | --- | --- |

66.

Dans le domaine de la protection des données, un règlement est d’autant plus justifié que:

—

l’article 16 TFUE a entériné le droit à la protection des données à caractère personnel dans les traités et envisage — voire exige — un niveau uniforme de protection des personnes sur tout le territoire de l’UE;

| — | le traitement de données a lieu dans un environnement électronique où les frontières internes entre les États membres ont perdu de leur importance. |
| --- | --- |

—

le traitement de données a lieu dans un environnement électronique où les frontières internes entre les États membres ont perdu de leur importance.

| 67. | Le choix d’un règlement comme instrument général permet, le cas échéant, d’adresser des dispositions directement aux États membres là où une certaine flexibilité est requise. Par ailleurs, il n’influence pas la compétence des États membres d’adopter, au besoin, des règles supplémentaires pour la protection des données dans le respect du droit de l’UE. |
| --- | --- |

67.

Le choix d’un règlement comme instrument général permet, le cas échéant, d’adresser des dispositions directement aux États membres là où une certaine flexibilité est requise. Par ailleurs, il n’influence pas la compétence des États membres d’adopter, au besoin, des règles supplémentaires pour la protection des données dans le respect du droit de l’UE.

6.   Renforcer les droits des personnes

6.1.   La nécessité de renforcer les droits

| 68. | Le CEPD soutient totalement la proposition formulée dans la communication de renforcer les droits des personnes, étant donné que les instruments juridiques existants ne garantissent pas pleinement la protection effective qui est requise dans un monde numérique de plus en plus complexe. |
| --- | --- |

68.

Le CEPD soutient totalement la proposition formulée dans la communication de renforcer les droits des personnes, étant donné que les instruments juridiques existants ne garantissent pas pleinement la protection effective qui est requise dans un monde numérique de plus en plus complexe.

| 69. | D’une part, l’avènement d’un monde numérique entraîne une nette augmentation de la collecte, de l’utilisation et du transfert ultérieur de données à caractère personnel par des moyens extrêmement complexes et peu transparents. Les personnes ne savent ou ne comprennent généralement pas de quelle façon cela se produit, qui collecte leurs données ni comment elles peuvent contrôler la situation. Ce phénomène est illustré par la surveillance des activités de navigation des personnes par les fournisseurs de réseaux publicitaires, qui utilisent des cookies ou autres dispositifs similaires pour proposer des publicités ciblées. Lorsque des internautes visitent des sites internet, ils ne s’attendent pas à ce qu’un tiers enregistre à distance ces visites et crée des registres d’utilisateurs sur la base d’informations qui révèlent leur style de vie ou leurs goûts. |
| --- | --- |

69.

D’une part, l’avènement d’un monde numérique entraîne une nette augmentation de la collecte, de l’utilisation et du transfert ultérieur de données à caractère personnel par des moyens extrêmement complexes et peu transparents. Les personnes ne savent ou ne comprennent généralement pas de quelle façon cela se produit, qui collecte leurs données ni comment elles peuvent contrôler la situation. Ce phénomène est illustré par la surveillance des activités de navigation des personnes par les fournisseurs de réseaux publicitaires, qui utilisent des cookies ou autres dispositifs similaires pour proposer des publicités ciblées. Lorsque des internautes visitent des sites internet, ils ne s’attendent pas à ce qu’un tiers enregistre à distance ces visites et crée des registres d’utilisateurs sur la base d’informations qui révèlent leur style de vie ou leurs goûts.

| 70. | D’autre part, cette évolution incite les personnes à partager volontairement leurs informations personnelles, par exemple sur des réseaux sociaux. Ceux-ci attirent des personnes de plus en plus jeunes désireuses de communiquer avec leurs pairs. Il est peu probable que les (jeunes) internautes soient conscients de la portée de la divulgation de ces informations et des effets à long terme de leurs actes. |
| --- | --- |

70.

D’autre part, cette évolution incite les personnes à partager volontairement leurs informations personnelles, par exemple sur des réseaux sociaux. Ceux-ci attirent des personnes de plus en plus jeunes désireuses de communiquer avec leurs pairs. Il est peu probable que les (jeunes) internautes soient conscients de la portée de la divulgation de ces informations et des effets à long terme de leurs actes.

6.2.   Une transparence accrue

| 71. | La transparence est vitale dans tout régime de protection des données, non seulement du fait de sa valeur intrinsèque, mais également parce qu’elle permet l’exercice d’autres principes en matière de protection des données. Les personnes ne pourront faire valoir leurs droits que si elles ont connaissance de l’existence du traitement des données. |
| --- | --- |

71.

La transparence est vitale dans tout régime de protection des données, non seulement du fait de sa valeur intrinsèque, mais également parce qu’elle permet l’exercice d’autres principes en matière de protection des données. Les personnes ne pourront faire valoir leurs droits que si elles ont connaissance de l’existence du traitement des données.

| 72. | Plusieurs dispositions de la directive 95/46/CE ont trait à la transparence. Les articles 10 et 11 prévoient l’obligation d’informer les personnes de la collecte de données les concernant. En outre, l’article 12 reconnaît le droit de recevoir une copie de ses propres données à caractère personnel sous une forme intelligible (droit d’accès). L’article 15 reconnaît le droit d’accès au mécanisme qui sous-tend la prise de décisions automatisées produisant des effets juridiques. Enfin, l’article 6, paragraphe 1, point a), requérant la loyauté du traitement génère une exigence de transparence. Des données à caractère personnel ne peuvent pas être traitées pour des motifs cachés ou secrets. |
| --- | --- |

72.

Plusieurs dispositions de la directive 95/46/CE ont trait à la transparence. Les articles 10 et 11 prévoient l’obligation d’informer les personnes de la collecte de données les concernant. En outre, l’article 12 reconnaît le droit de recevoir une copie de ses propres données à caractère personnel sous une forme intelligible (droit d’accès). L’article 15 reconnaît le droit d’accès au mécanisme qui sous-tend la prise de décisions automatisées produisant des effets juridiques. Enfin, l’article 6, paragraphe 1, point a), requérant la loyauté du traitement génère une exigence de transparence. Des données à caractère personnel ne peuvent pas être traitées pour des motifs cachés ou secrets.

| 73. | La communication suggère d’ajouter un principe général de transparence. En réaction à cette suggestion, le CEPD souligne que la notion de transparence fait déjà partie intégrante du cadre juridique actuel sur la protection des données, quoique de manière implicite. Cela peut être déduit des diverses dispositions relatives à la transparence mentionnées dans le paragraphe précédent. Selon le CEPD, il aurait pu être intéressant d’inclure un principe explicite de transparence, lié ou non à la disposition existante relative à la loyauté de traitement. Cela accroîtrait la sécurité juridique et confirmerait qu’un responsable du traitement doit en toutes circonstances traiter les données à caractère personnel de manière transparente, et pas uniquement lorsqu’on lui en fait la demande ou lorsqu’une disposition légale spécifique le lui impose. |
| --- | --- |

73.

La communication suggère d’ajouter un principe général de transparence. En réaction à cette suggestion, le CEPD souligne que la notion de transparence fait déjà partie intégrante du cadre juridique actuel sur la protection des données, quoique de manière implicite. Cela peut être déduit des diverses dispositions relatives à la transparence mentionnées dans le paragraphe précédent. Selon le CEPD, il aurait pu être intéressant d’inclure un principe explicite de transparence, lié ou non à la disposition existante relative à la loyauté de traitement. Cela accroîtrait la sécurité juridique et confirmerait qu’un responsable du traitement doit en toutes circonstances traiter les données à caractère personnel de manière transparente, et pas uniquement lorsqu’on lui en fait la demande ou lorsqu’une disposition légale spécifique le lui impose.

| 74. | Cependant, il est peut-être plus important de renforcer les dispositions existantes sur la transparence, dont les articles 10 et 11 de la directive 95/46/CE. Ces dispositions spécifient les éléments d’information à fournir, mais n’offrent pas de précisions concernant les modalités. Plus concrètement, le CEPD suggère de renforcer les dispositions existantes:






  — | en exigeant du responsable du traitement qu’il offre un accès aisé et facile à comprendre à l’information sur le traitement des données, dans un langage clair et simple (38). Les informations doivent être claires, visibles et bien en évidence. Ce service pourrait englober l’obligation de garantir une compréhension aisée de l’information. Pareille obligation rendrait illégales les politiques de protection de la vie privée qui sont obscures ou difficiles à comprendre; |
| --- | --- | --- |

74.

Cependant, il est peut-être plus important de renforcer les dispositions existantes sur la transparence, dont les articles 10 et 11 de la directive 95/46/CE. Ces dispositions spécifient les éléments d’information à fournir, mais n’offrent pas de précisions concernant les modalités. Plus concrètement, le CEPD suggère de renforcer les dispositions existantes:

—

en exigeant du responsable du traitement qu’il offre un accès aisé et facile à comprendre à l’information sur le traitement des données, dans un langage clair et simple (38). Les informations doivent être claires, visibles et bien en évidence. Ce service pourrait englober l’obligation de garantir une compréhension aisée de l’information. Pareille obligation rendrait illégales les politiques de protection de la vie privée qui sont obscures ou difficiles à comprendre;

| — | en exigeant de rendre l’information directement et facilement accessible aux personnes concernées. Les informations devraient par ailleurs être accessibles de façon permanente, et non être supprimées rapidement du support électronique sur lequel elles se trouvent. Cela aiderait les utilisateurs à conserver et reproduire l’information dans le futur, ce qui permettrait un accès ultérieur. |
| --- | --- |

—

en exigeant de rendre l’information directement et facilement accessible aux personnes concernées. Les informations devraient par ailleurs être accessibles de façon permanente, et non être supprimées rapidement du support électronique sur lequel elles se trouvent. Cela aiderait les utilisateurs à conserver et reproduire l’information dans le futur, ce qui permettrait un accès ultérieur.

6.3.   Soutien en faveur d’une obligation de signalement des brèches de sécurité

| 75. | Le CEPD soutient l’introduction d’une disposition sur la notification des atteintes à la protection des données à caractère personnel dans l’instrument général, qui étende l’obligation incluse dans la directive révisée «vie privée et communications électroniques» à tous les responsables du traitement, comme proposé dans la communication. Dans le cadre de cette directive révisée, cette obligation ne s’applique qu’aux fournisseurs de services de communications électroniques (fournisseurs de services de téléphonie (dont VoIP) et d’accès à l’internet). Les autres responsables du traitement de données ne sont pas concernés par cette obligation. Or, les motifs justifiant l’instauration de cette obligation s’appliquent en tous points aux responsables du traitement autres que les fournisseurs de services de communications électroniques. |
| --- | --- |

75.

Le CEPD soutient l’introduction d’une disposition sur la notification des atteintes à la protection des données à caractère personnel dans l’instrument général, qui étende l’obligation incluse dans la directive révisée «vie privée et communications électroniques» à tous les responsables du traitement, comme proposé dans la communication. Dans le cadre de cette directive révisée, cette obligation ne s’applique qu’aux fournisseurs de services de communications électroniques (fournisseurs de services de téléphonie (dont VoIP) et d’accès à l’internet). Les autres responsables du traitement de données ne sont pas concernés par cette obligation. Or, les motifs justifiant l’instauration de cette obligation s’appliquent en tous points aux responsables du traitement autres que les fournisseurs de services de communications électroniques.

| 76. | La notification des brèches de sécurité sert différents objectifs, le plus évident étant, comme souligné par la communication, d’informer les citoyens des risques auxquels ils sont exposés lorsque leurs données à caractère personnel ne sont plus protégées. Cela peut les inciter à prendre les mesures voulues pour réduire ces risques. Par exemple, lorsqu’ils sont avertis de failles dans la sécurité affectant leurs informations financières, ils peuvent notamment changer leurs mots de passe ou supprimer leurs comptes. En outre, ce type de notification contribue à l’application effective des autres principes et obligations visés par la directive. Les exigences de notification incitent par exemple les responsables du traitement à appliquer des mesures de sécurité plus efficaces afin de prévenir toute violation ultérieure. Les brèches de sécurité permettent aussi de renforcer la responsabilité des responsables du traitement et, plus particulièrement, de leur demander de rendre davantage compte de leurs actes (voir le chapitre 7). Enfin, elles fournissent aux autorités chargées de la protection des données un instrument de contrôle du respect des règles. La notification d’une infraction à des APD peut déboucher sur une enquête concernant l’ensemble des pratiques d’un responsable du traitement. |
| --- | --- |

76.

La notification des brèches de sécurité sert différents objectifs, le plus évident étant, comme souligné par la communication, d’informer les citoyens des risques auxquels ils sont exposés lorsque leurs données à caractère personnel ne sont plus protégées. Cela peut les inciter à prendre les mesures voulues pour réduire ces risques. Par exemple, lorsqu’ils sont avertis de failles dans la sécurité affectant leurs informations financières, ils peuvent notamment changer leurs mots de passe ou supprimer leurs comptes. En outre, ce type de notification contribue à l’application effective des autres principes et obligations visés par la directive. Les exigences de notification incitent par exemple les responsables du traitement à appliquer des mesures de sécurité plus efficaces afin de prévenir toute violation ultérieure. Les brèches de sécurité permettent aussi de renforcer la responsabilité des responsables du traitement et, plus particulièrement, de leur demander de rendre davantage compte de leurs actes (voir le chapitre 7). Enfin, elles fournissent aux autorités chargées de la protection des données un instrument de contrôle du respect des règles. La notification d’une infraction à des APD peut déboucher sur une enquête concernant l’ensemble des pratiques d’un responsable du traitement.

| 77. | Les règles spécifiques en matière d’atteinte à la sécurité établies dans la directive «vie privée et communications électroniques» modifiée ont été longuement débattues durant la phase parlementaire du cadre législatif qui a précédé l’adoption de la directive. Lors de ce débat, les avis du groupe de travail «Article 29», du CEPD et des autres parties intéressées ont été pris en compte. Les règles adoptées reflètent les positions des différentes parties. Elles représentent un équilibre des différents intérêts: les critères sur lesquels repose l’obligation de notification sont, en principe, adéquats pour assurer la protection des personnes, mais ils n’imposent pas des exigences inutiles et excessivement lourdes. |
| --- | --- |

77.

Les règles spécifiques en matière d’atteinte à la sécurité établies dans la directive «vie privée et communications électroniques» modifiée ont été longuement débattues durant la phase parlementaire du cadre législatif qui a précédé l’adoption de la directive. Lors de ce débat, les avis du groupe de travail «Article 29», du CEPD et des autres parties intéressées ont été pris en compte. Les règles adoptées reflètent les positions des différentes parties. Elles représentent un équilibre des différents intérêts: les critères sur lesquels repose l’obligation de notification sont, en principe, adéquats pour assurer la protection des personnes, mais ils n’imposent pas des exigences inutiles et excessivement lourdes.

6.4.   Renforcer le consentement

| 78. | L’article 7 de la directive sur la protection des données mentionne six bases juridiques pour le traitement de données à caractère personnel. Le consentement des personnes en est une. Un responsable du traitement est autorisé à traiter des données à caractère personnel dans la mesure où les personnes ont accepté, après avoir été dûment informées, que leurs données soient collectées et ultérieurement traitées. |
| --- | --- |

78.

L’article 7 de la directive sur la protection des données mentionne six bases juridiques pour le traitement de données à caractère personnel. Le consentement des personnes en est une. Un responsable du traitement est autorisé à traiter des données à caractère personnel dans la mesure où les personnes ont accepté, après avoir été dûment informées, que leurs données soient collectées et ultérieurement traitées.

| 79. | Dans la pratique, les utilisateurs ne peuvent généralement qu’exercer un contrôle limité en relation avec leurs données, en particulier dans un environnement technologique. L’une des méthodes parfois utilisées est le consentement implicite, à savoir le consentement qui a été induit d’un acte d’une personne (p. ex. une personne qui utilise un site internet est réputée consentir à l’enregistrement de ses données à des fins de marketing) ou de son silence ou inaction (le fait de ne pas décocher une case cochée est assimilé à un consentement). |
| --- | --- |

79.

Dans la pratique, les utilisateurs ne peuvent généralement qu’exercer un contrôle limité en relation avec leurs données, en particulier dans un environnement technologique. L’une des méthodes parfois utilisées est le consentement implicite, à savoir le consentement qui a été induit d’un acte d’une personne (p. ex. une personne qui utilise un site internet est réputée consentir à l’enregistrement de ses données à des fins de marketing) ou de son silence ou inaction (le fait de ne pas décocher une case cochée est assimilé à un consentement).

| 80. | En vertu de la directive, un consentement n’est valable que s’il est libre, spécifique et informé. Il s’agit d’une manifestation de volonté informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l'objet d'un traitement. Le consentement doit être donné de manière non équivoque. |
| --- | --- |

80.

En vertu de la directive, un consentement n’est valable que s’il est libre, spécifique et informé. Il s’agit d’une manifestation de volonté informée par laquelle la personne concernée accepte que des données à caractère personnel la concernant fassent l'objet d'un traitement. Le consentement doit être donné de manière non équivoque.

| 81. | Le consentement déduit d’un acte et, plus particulièrement, d’un silence ou d’une inaction est souvent équivoque. Il n’est cependant pas toujours simple de déterminer ce qui constitue un consentement authentique, non équivoque. Certains responsables du traitement exploitent cette incertitude en recourant à des méthodes qui excluent toute possibilité de donner un consentement véritable, non équivoque. |
| --- | --- |

81.

Le consentement déduit d’un acte et, plus particulièrement, d’un silence ou d’une inaction est souvent équivoque. Il n’est cependant pas toujours simple de déterminer ce qui constitue un consentement authentique, non équivoque. Certains responsables du traitement exploitent cette incertitude en recourant à des méthodes qui excluent toute possibilité de donner un consentement véritable, non équivoque.

| 82. | À la lumière des faits susmentionnés, le CEPD partage l’avis de la Commission sur la nécessité de préciser les limites du consentement et de s’assurer que seul le consentement résultant d’un comportement non équivoque est considéré comme tel. Dans ce contexte, il suggère ce qui suit (39):






  — | envisager éventuellement d’élargir le champ des situations dans lesquelles un consentement exprès est requis — actuellement limité aux données sensibles; |
| --- | --- | --- |

82.

À la lumière des faits susmentionnés, le CEPD partage l’avis de la Commission sur la nécessité de préciser les limites du consentement et de s’assurer que seul le consentement résultant d’un comportement non équivoque est considéré comme tel. Dans ce contexte, il suggère ce qui suit (39):

—

envisager éventuellement d’élargir le champ des situations dans lesquelles un consentement exprès est requis — actuellement limité aux données sensibles;

| — | adopter des règles supplémentaires en matière de consentement dans un environnement virtuel; |
| --- | --- |

—

adopter des règles supplémentaires en matière de consentement dans un environnement virtuel;

| — | adopter des règles supplémentaires en matière de consentement pour le traitement de données à des fins secondaires (c’est-à-dire lorsque le traitement est secondaire au traitement principal ou n’apparaît pas comme une évidence); |
| --- | --- |

—

adopter des règles supplémentaires en matière de consentement pour le traitement de données à des fins secondaires (c’est-à-dire lorsque le traitement est secondaire au traitement principal ou n’apparaît pas comme une évidence);

| — | dans un nouvel instrument législatif, adopté ou non par la Commission en vertu de l’article 290 TFUE, déterminer le type de consentement requis, par exemple, préciser le niveau de consentement à l’égard du traitement de données via des étiquettes RFID sur les produits de consommation ou d’autres techniques spécifiques. |
| --- | --- |

—

dans un nouvel instrument législatif, adopté ou non par la Commission en vertu de l’article 290 TFUE, déterminer le type de consentement requis, par exemple, préciser le niveau de consentement à l’égard du traitement de données via des étiquettes RFID sur les produits de consommation ou d’autres techniques spécifiques.

6.5.   La portabilité des données et le droit à l’oubli

| 83. | La portabilité des données et le droit à l’oubli sont deux notions liées présentées dans la communication afin de renforcer les droits des personnes concernées. Ils complètent les principes déjà mentionnés dans la directive, autorisant la personne concernée à s’opposer au traitement ultérieur de ses données à caractère personnel et contraignant le responsable du traitement à effacer les informations dès qu’elles ne sont plus nécessaires au traitement. |
| --- | --- |

83.

La portabilité des données et le droit à l’oubli sont deux notions liées présentées dans la communication afin de renforcer les droits des personnes concernées. Ils complètent les principes déjà mentionnés dans la directive, autorisant la personne concernée à s’opposer au traitement ultérieur de ses données à caractère personnel et contraignant le responsable du traitement à effacer les informations dès qu’elles ne sont plus nécessaires au traitement.

| 84. | Ces deux notions nouvelles présentent surtout de la valeur ajoutée dans une société de l’information, où les données sont de plus en plus enregistrées automatiquement et conservées pendant une période illimitée. La pratique montre que même dans les cas où les données sont introduites par la personne concernée elle-même, le niveau effectif de contrôle de celle-ci sur ses données est dans la pratique très limité. C’est d’autant plus vrai si l’on pense à la gigantesque mémoire que représente l’internet aujourd’hui. Par ailleurs, d’un point de vue économique, il est plus coûteux pour un responsable du traitement d’effacer des données que de les conserver. L’exercice des droits d’une personne va par conséquent à l’encontre de la tendance économique naturelle. |
| --- | --- |

84.

Ces deux notions nouvelles présentent surtout de la valeur ajoutée dans une société de l’information, où les données sont de plus en plus enregistrées automatiquement et conservées pendant une période illimitée. La pratique montre que même dans les cas où les données sont introduites par la personne concernée elle-même, le niveau effectif de contrôle de celle-ci sur ses données est dans la pratique très limité. C’est d’autant plus vrai si l’on pense à la gigantesque mémoire que représente l’internet aujourd’hui. Par ailleurs, d’un point de vue économique, il est plus coûteux pour un responsable du traitement d’effacer des données que de les conserver. L’exercice des droits d’une personne va par conséquent à l’encontre de la tendance économique naturelle.

| 85. | La portabilité des données et le droit à l’oubli pourraient tous deux contribuer à faire pencher la balance en faveur de la personne concernée. La première viserait à garantir à celle-ci un contrôle accru sur ses informations, tandis que le second garantirait l’élimination automatique des données après un certain temps, même si la personne concernée n’en fait pas la demande, voire n’a pas connaissance du fait que ces données avaient été enregistrées. |
| --- | --- |

85.

La portabilité des données et le droit à l’oubli pourraient tous deux contribuer à faire pencher la balance en faveur de la personne concernée. La première viserait à garantir à celle-ci un contrôle accru sur ses informations, tandis que le second garantirait l’élimination automatique des données après un certain temps, même si la personne concernée n’en fait pas la demande, voire n’a pas connaissance du fait que ces données avaient été enregistrées.

| 86. | De manière plus spécifique, la portabilité des données est comprise comme étant la capacité des utilisateurs à modifier leurs préférences concernant le traitement de leurs données, en relation, plus particulièrement, avec les nouveaux services technologiques. De plus en plus, cela s’applique à des services qui induisent le stockage d’informations, y compris à caractère personnel, tels que des services de téléphonie mobile ou des services de stockage d’images, de courriels et d’autres informations, parfois à l’aide de services d’informatique en nuage. |
| --- | --- |

86.

De manière plus spécifique, la portabilité des données est comprise comme étant la capacité des utilisateurs à modifier leurs préférences concernant le traitement de leurs données, en relation, plus particulièrement, avec les nouveaux services technologiques. De plus en plus, cela s’applique à des services qui induisent le stockage d’informations, y compris à caractère personnel, tels que des services de téléphonie mobile ou des services de stockage d’images, de courriels et d’autres informations, parfois à l’aide de services d’informatique en nuage.

| 87. | Les personnes doivent pouvoir changer facilement et en toute liberté de fournisseur et transférer leurs données à caractère personnel à un autre fournisseur. Le CEPD estime que les droits existants établis dans la directive 95/46/CE pourraient être renforcés par l’inclusion d’un droit de portabilité, en particulier dans le contexte des services fournis dans une société de l’information, afin d’aider les personnes à s’assurer que les fournisseurs ou autres responsables du traitement concernés leur donnent accès à leurs informations personnelles et que les anciens fournisseurs ou autres responsables du traitement effacent ces données même s’ils souhaiteraient les conserver à des fins légitimes propres. |
| --- | --- |

87.

Les personnes doivent pouvoir changer facilement et en toute liberté de fournisseur et transférer leurs données à caractère personnel à un autre fournisseur. Le CEPD estime que les droits existants établis dans la directive 95/46/CE pourraient être renforcés par l’inclusion d’un droit de portabilité, en particulier dans le contexte des services fournis dans une société de l’information, afin d’aider les personnes à s’assurer que les fournisseurs ou autres responsables du traitement concernés leur donnent accès à leurs informations personnelles et que les anciens fournisseurs ou autres responsables du traitement effacent ces données même s’ils souhaiteraient les conserver à des fins légitimes propres.

| 88. | Un «droit à l’oubli» nouvellement codifié garantirait l’effacement de données à caractère personnel ou interdirait leur usage ultérieur, sans action obligatoire de la part de la personne concernée, mais à la condition que ces données soient déjà stockées depuis un certain temps. En d’autres termes, les données se verraient attribuer une «date d’expiration». Ce principe est d’ores et déjà invoqué dans les procédures judiciaires nationales ou appliqué dans des secteurs spécifiques, par exemple dans le cas des fichiers des services de police, des casiers judiciaires ou des dossiers disciplinaires: en vertu de certaines législations nationales, les informations personnelles sont automatiquement effacées ou ne peuvent plus être utilisées ou divulguées, en particulier après un certain temps, sans analyse préalable réalisée au cas par cas. |
| --- | --- |

88.

Un «droit à l’oubli» nouvellement codifié garantirait l’effacement de données à caractère personnel ou interdirait leur usage ultérieur, sans action obligatoire de la part de la personne concernée, mais à la condition que ces données soient déjà stockées depuis un certain temps. En d’autres termes, les données se verraient attribuer une «date d’expiration». Ce principe est d’ores et déjà invoqué dans les procédures judiciaires nationales ou appliqué dans des secteurs spécifiques, par exemple dans le cas des fichiers des services de police, des casiers judiciaires ou des dossiers disciplinaires: en vertu de certaines législations nationales, les informations personnelles sont automatiquement effacées ou ne peuvent plus être utilisées ou divulguées, en particulier après un certain temps, sans analyse préalable réalisée au cas par cas.

| 89. | Dans ce sens, un nouveau «droit à l’oubli» devrait être connecté à la portabilité des données. Son intérêt résiderait dans le fait qu’aucune action ni demande insistante de la part de la personne concernée ne serait nécessaire pour obtenir l’effacement de données à caractère personnel, car celui-ci aurait lieu de manière objective et automatisée. Ce n’est que dans des circonstances très spécifiques, où un besoin spécifique de conserver des données pendant une plus longue période serait établi, qu’un responsable du traitement serait autorisé à les conserver. Ce droit transférerait ainsi la charge de la preuve de la personne concernée au responsable du traitement et constituerait un paramètre de «respect de la vie privée par défaut» pour le traitement de données à caractère personnel. |
| --- | --- |

89.

Dans ce sens, un nouveau «droit à l’oubli» devrait être connecté à la portabilité des données. Son intérêt résiderait dans le fait qu’aucune action ni demande insistante de la part de la personne concernée ne serait nécessaire pour obtenir l’effacement de données à caractère personnel, car celui-ci aurait lieu de manière objective et automatisée. Ce n’est que dans des circonstances très spécifiques, où un besoin spécifique de conserver des données pendant une plus longue période serait établi, qu’un responsable du traitement serait autorisé à les conserver. Ce droit transférerait ainsi la charge de la preuve de la personne concernée au responsable du traitement et constituerait un paramètre de «respect de la vie privée par défaut» pour le traitement de données à caractère personnel.

| 90. | Le CEPD estime que le droit à l’oubli pourrait être particulièrement utile dans le contexte de services de la société de l’information. Une obligation d’effacer ou de ne pas continuer de divulguer des informations après un certain temps est particulièrement utile dans les médias ou sur l’internet, surtout dans les réseaux sociaux. Elle aurait aussi son utilité dans le contexte des équipements terminaux: les données stockées sur des appareils mobiles ou des ordinateurs seraient automatiquement effacées ou verrouillées passé un certain délai, lorsque ces équipements ne sont plus en la possession des personnes concernées. Dans ce sens, le droit à l’oubli peut être traduit en une obligation de «respect de la vie privée dès la conception» («privacy by design»). |
| --- | --- |

90.

Le CEPD estime que le droit à l’oubli pourrait être particulièrement utile dans le contexte de services de la société de l’information. Une obligation d’effacer ou de ne pas continuer de divulguer des informations après un certain temps est particulièrement utile dans les médias ou sur l’internet, surtout dans les réseaux sociaux. Elle aurait aussi son utilité dans le contexte des équipements terminaux: les données stockées sur des appareils mobiles ou des ordinateurs seraient automatiquement effacées ou verrouillées passé un certain délai, lorsque ces équipements ne sont plus en la possession des personnes concernées. Dans ce sens, le droit à l’oubli peut être traduit en une obligation de «respect de la vie privée dès la conception» («privacy by design»).

| 91. | En résumé, le CEPD est d’avis que la portabilité des données et le droit à l’oubli sont des concepts utiles. Il pourrait être intéressant de les inclure dans l’instrument juridique, mais probablement en les limitant à l’environnement électronique. |
| --- | --- |

91.

En résumé, le CEPD est d’avis que la portabilité des données et le droit à l’oubli sont des concepts utiles. Il pourrait être intéressant de les inclure dans l’instrument juridique, mais probablement en les limitant à l’environnement électronique.

6.6.   Le traitement de données à caractère personnel concernant des enfants

| 92. | Dans le cadre de la directive 95/46/CE, il n’existe pas de règles particulières concernant le traitement de données à caractère personnel relatives à des enfants. Ainsi, n’est pas reconnue la nécessité d’une protection spécifique des enfants dans des circonstances particulières, en raison de leur vulnérabilité et en raison de l’insécurité juridique occasionnée, en particulier dans les domaines suivants:






  — | la collecte d’informations sur des enfants et la façon dont ils doivent être informés de cette collecte; |
| --- | --- | --- |

92.

Dans le cadre de la directive 95/46/CE, il n’existe pas de règles particulières concernant le traitement de données à caractère personnel relatives à des enfants. Ainsi, n’est pas reconnue la nécessité d’une protection spécifique des enfants dans des circonstances particulières, en raison de leur vulnérabilité et en raison de l’insécurité juridique occasionnée, en particulier dans les domaines suivants:

—

la collecte d’informations sur des enfants et la façon dont ils doivent être informés de cette collecte;

| — | la façon dont le consentement des enfants est obtenu. Étant donné qu’il n’existe pas de règles spécifiques sur la façon d’obtenir le consentement d’enfants ni sur l’âge en-deçà duquel les enfants sont à considérer comme tels, ces questions sont traitées dans le cadre du droit national, qui diffère selon les États membres (40); |
| --- | --- |

—

la façon dont le consentement des enfants est obtenu. Étant donné qu’il n’existe pas de règles spécifiques sur la façon d’obtenir le consentement d’enfants ni sur l’âge en-deçà duquel les enfants sont à considérer comme tels, ces questions sont traitées dans le cadre du droit national, qui diffère selon les États membres (40);

| — | les moyens et modalités à la disposition des enfants ou de leurs représentants légaux pour faire valoir leurs droits au titre de la directive. |
| --- | --- |

—

les moyens et modalités à la disposition des enfants ou de leurs représentants légaux pour faire valoir leurs droits au titre de la directive.

| 93. | Le CEPD considère que les intérêts spécifiques des enfants seraient mieux protégés si le nouvel instrument juridique contenait des dispositions supplémentaires, spécifiquement adaptées à la collecte et au traitement ultérieur de données relatives à des enfants. Ces dispositions offriraient aussi une sécurité juridique dans ce domaine spécifique et seraient profitables aux responsables du traitement actuellement exposés à des exigences juridiques divergentes. |
| --- | --- |

93.

Le CEPD considère que les intérêts spécifiques des enfants seraient mieux protégés si le nouvel instrument juridique contenait des dispositions supplémentaires, spécifiquement adaptées à la collecte et au traitement ultérieur de données relatives à des enfants. Ces dispositions offriraient aussi une sécurité juridique dans ce domaine spécifique et seraient profitables aux responsables du traitement actuellement exposés à des exigences juridiques divergentes.

| 94. | Le CEPD propose d’inclure les dispositions suivantes dans l’instrument juridique:






  — | une exigence d’information à adapter aux enfants dans la mesure où elle permettrait aux enfants de comprendre plus facilement ce qu’implique la collecte de données les concernant; |
| --- | --- | --- |

94.

Le CEPD propose d’inclure les dispositions suivantes dans l’instrument juridique:

—

une exigence d’information à adapter aux enfants dans la mesure où elle permettrait aux enfants de comprendre plus facilement ce qu’implique la collecte de données les concernant;

| — | d’autres exigences d’information adaptées aux enfants, sur la façon dont les informations doivent être fournies, ainsi qu’éventuellement, sur leur contenu; |
| --- | --- |

—

d’autres exigences d’information adaptées aux enfants, sur la façon dont les informations doivent être fournies, ainsi qu’éventuellement, sur leur contenu;

| — | une disposition spécifique protégeant les enfants contre la publicité comportementale; |
| --- | --- |

—

une disposition spécifique protégeant les enfants contre la publicité comportementale;

| — | le principe de limitation des finalités devrait être renforcé pour les données relatives à des enfants; |
| --- | --- |

—

le principe de limitation des finalités devrait être renforcé pour les données relatives à des enfants;

| — | certaines catégories de données ne devraient jamais être collectées auprès d’enfants; |
| --- | --- |

—

certaines catégories de données ne devraient jamais être collectées auprès d’enfants;

| — | une limite d’âge, en-deçà de laquelle les informations générales sur des enfants devraient être collectées uniquement avec le consentement exprès et vérifiable des parents; |
| --- | --- |

—

une limite d’âge, en-deçà de laquelle les informations générales sur des enfants devraient être collectées uniquement avec le consentement exprès et vérifiable des parents;

| — | si le consentement parental est nécessaire, il serait nécessaire d’établir des règles sur la façon d’authentifier l’âge de l’enfant, c’est-à-dire sur la façon de vérifier qu’un enfant est mineur d’âge et que les parents ont donné leur consentement. Dans ce domaine, l’UE peut s’inspirer d’autres pays comme les États-Unis (41). |
| --- | --- |

—

si le consentement parental est nécessaire, il serait nécessaire d’établir des règles sur la façon d’authentifier l’âge de l’enfant, c’est-à-dire sur la façon de vérifier qu’un enfant est mineur d’âge et que les parents ont donné leur consentement. Dans ce domaine, l’UE peut s’inspirer d’autres pays comme les États-Unis (41).

6.7.   Les mécanismes de recours collectif

| 95. | Renforcer les droits des personnes en tant que tels serait inutile, en l’absence de mécanismes procéduraux efficaces pour opposer ces droits. Dans ce contexte, le CEPD recommande l’introduction dans la législation de l’UE de mécanismes de recours collectif en cas de violation des règles en matière de protection des données. Les mécanismes de recours collectif permettant à des groupes de citoyens de combiner leurs différentes plaintes en un seul recours pourraient constituer un outil très efficace pour faciliter l’application de ces règles (42). Cette innovation est également soutenue par les autorités chargées de la protection des données dans le document des groupes de travail sur l’avenir de la protection de la vie privée. |
| --- | --- |

95.

Renforcer les droits des personnes en tant que tels serait inutile, en l’absence de mécanismes procéduraux efficaces pour opposer ces droits. Dans ce contexte, le CEPD recommande l’introduction dans la législation de l’UE de mécanismes de recours collectif en cas de violation des règles en matière de protection des données. Les mécanismes de recours collectif permettant à des groupes de citoyens de combiner leurs différentes plaintes en un seul recours pourraient constituer un outil très efficace pour faciliter l’application de ces règles (42). Cette innovation est également soutenue par les autorités chargées de la protection des données dans le document des groupes de travail sur l’avenir de la protection de la vie privée.

| 96. | Dans le cas de répercussions mineures, il est peu probable que les victimes d’une violation des règles relatives à la protection des données intentent des recours individuels contre les responsables du traitement, en raison des coûts, des retards, des incertitudes, des risques et des charges auxquels elles seraient exposées. Ces difficultés pourraient être éliminées ou considérablement réduites si un système de recours collectif était en place, habilitant les victimes de violations à regrouper leurs plaintes individuelles en un seul recours. Le CEPD serait également favorable à l’habilitation des entités qualifiées, telles que les associations de consommateurs ou les organes publics, à engager des actions en dommages et intérêts au nom des victimes. Ces actions ne porteraient pas atteinte au droit de la personne concernée d’intenter un recours à titre individuel. |
| --- | --- |

96.

Dans le cas de répercussions mineures, il est peu probable que les victimes d’une violation des règles relatives à la protection des données intentent des recours individuels contre les responsables du traitement, en raison des coûts, des retards, des incertitudes, des risques et des charges auxquels elles seraient exposées. Ces difficultés pourraient être éliminées ou considérablement réduites si un système de recours collectif était en place, habilitant les victimes de violations à regrouper leurs plaintes individuelles en un seul recours. Le CEPD serait également favorable à l’habilitation des entités qualifiées, telles que les associations de consommateurs ou les organes publics, à engager des actions en dommages et intérêts au nom des victimes. Ces actions ne porteraient pas atteinte au droit de la personne concernée d’intenter un recours à titre individuel.

| 97. | Les recours collectifs sont importants non seulement pour garantir une indemnisation totale ou toute autre mesure de réparation, mais aussi parce qu’ils constituent indirectement un moyen de dissuasion. Le risque de devoir supporter les frais d’une lourde indemnisation collective dans le cadre de telles actions inciterait d’autant plus les responsables du traitement à adopter des mesures efficaces pour s’assurer qu’ils respectent les règles. Sous ce rapport, de meilleures actions de contrôle de l’application des règles par des particuliers au moyen de mécanismes de recours collectif complèteraient les mesures de contrôle des organes publics. |
| --- | --- |

97.

Les recours collectifs sont importants non seulement pour garantir une indemnisation totale ou toute autre mesure de réparation, mais aussi parce qu’ils constituent indirectement un moyen de dissuasion. Le risque de devoir supporter les frais d’une lourde indemnisation collective dans le cadre de telles actions inciterait d’autant plus les responsables du traitement à adopter des mesures efficaces pour s’assurer qu’ils respectent les règles. Sous ce rapport, de meilleures actions de contrôle de l’application des règles par des particuliers au moyen de mécanismes de recours collectif complèteraient les mesures de contrôle des organes publics.

| 98. | La communication ne se prononce pas sur ce sujet. Le CEPD a connaissance du débat actuellement en cours au niveau européen concernant l’introduction du mécanisme de recours collectif de consommateurs. Il est également conscient du risque d’abus que ces mécanismes peuvent entraîner sur la base de l’expérience recueillie dans d’autres systèmes juridiques. Toutefois, ces facteurs ne constituent pas à ses yeux des arguments suffisants pour rejeter ou reporter leur introduction dans la législation sur la protection des données, au vu des bienfaits qui en découleraient (43). |
| --- | --- |

98.

La communication ne se prononce pas sur ce sujet. Le CEPD a connaissance du débat actuellement en cours au niveau européen concernant l’introduction du mécanisme de recours collectif de consommateurs. Il est également conscient du risque d’abus que ces mécanismes peuvent entraîner sur la base de l’expérience recueillie dans d’autres systèmes juridiques. Toutefois, ces facteurs ne constituent pas à ses yeux des arguments suffisants pour rejeter ou reporter leur introduction dans la législation sur la protection des données, au vu des bienfaits qui en découleraient (43).

7.   Renforcer le rôle des organisations/responsables du traitement

7.1.   Généralités

| 99. | Le CEPD est d’avis qu’outre le renforcement des droits des personnes, un instrument juridique moderne pour la protection des données doit contenir les instruments nécessaires pour accroître la responsabilité des responsables du traitement. De manière plus spécifique, le cadre doit prévoir des dispositions qui motivent ces derniers, dans le secteur tant public que privé, à inclure à titre préventif des mesures de protection des données dans leurs processus opérationnels. Ces instruments seraient utiles, premièrement, parce que, comme mentionné précédemment, les évolutions technologiques ont considérablement intensifié la collecte, l’utilisation et le transfert ultérieur de données à caractère personnel, accentuant le risque d’atteinte à la vie privée et à la protection des données à caractère personnel, qu’il convient de compenser de manière efficace. Deuxièmement, le cadre actuel ne prévoit pas — excepté dans de rares dispositions précisément définies (voir plus bas) — de tels instruments, et les responsables du traitement pourraient adopter une approche réactive à l’égard de la protection des données et de la vie privée et ne prendre des mesures qu’après l’apparition d’un problème. Cette approche est confirmée dans les statistiques, qui indiquent comme problèmes récurrents des pratiques de contrôle médiocres et des pertes de données. |
| --- | --- |

99.

Le CEPD est d’avis qu’outre le renforcement des droits des personnes, un instrument juridique moderne pour la protection des données doit contenir les instruments nécessaires pour accroître la responsabilité des responsables du traitement. De manière plus spécifique, le cadre doit prévoir des dispositions qui motivent ces derniers, dans le secteur tant public que privé, à inclure à titre préventif des mesures de protection des données dans leurs processus opérationnels. Ces instruments seraient utiles, premièrement, parce que, comme mentionné précédemment, les évolutions technologiques ont considérablement intensifié la collecte, l’utilisation et le transfert ultérieur de données à caractère personnel, accentuant le risque d’atteinte à la vie privée et à la protection des données à caractère personnel, qu’il convient de compenser de manière efficace. Deuxièmement, le cadre actuel ne prévoit pas — excepté dans de rares dispositions précisément définies (voir plus bas) — de tels instruments, et les responsables du traitement pourraient adopter une approche réactive à l’égard de la protection des données et de la vie privée et ne prendre des mesures qu’après l’apparition d’un problème. Cette approche est confirmée dans les statistiques, qui indiquent comme problèmes récurrents des pratiques de contrôle médiocres et des pertes de données.

| 100. | Selon le CEPD, le cadre existant ne suffit pas pour protéger les données à caractère personnel de manière efficace dans les conditions actuelles et futures. Plus les risques sont élevés, plus il est nécessaire d’appliquer des mesures concrètes qui protègent l’information sur le plan pratique et garantissent une protection effective. À moins que ces mesures préventives soient appliquées de facto, des erreurs, des contretemps et des négligences continueront de se produire, mettant en péril la protection de la vie privée dans cette société de plus en plus numérique. À cette fin, le CEPD propose les mesures suivantes. |
| --- | --- |

100.

Selon le CEPD, le cadre existant ne suffit pas pour protéger les données à caractère personnel de manière efficace dans les conditions actuelles et futures. Plus les risques sont élevés, plus il est nécessaire d’appliquer des mesures concrètes qui protègent l’information sur le plan pratique et garantissent une protection effective. À moins que ces mesures préventives soient appliquées de facto, des erreurs, des contretemps et des négligences continueront de se produire, mettant en péril la protection de la vie privée dans cette société de plus en plus numérique. À cette fin, le CEPD propose les mesures suivantes.

7.2.   Renforcer la responsabilité des responsables du traitement

| 101. | Le CEPD recommande d’inclure dans l’instrument juridique une nouvelle disposition exigeant des responsables du traitement qu’ils appliquent des mesures adéquates et efficaces garantissant le respect des principes et obligations prévus par l’instrument juridique et démontrent sur demande que ces principes et obligations sont bel et bien respectés. |
| --- | --- |

101.

Le CEPD recommande d’inclure dans l’instrument juridique une nouvelle disposition exigeant des responsables du traitement qu’ils appliquent des mesures adéquates et efficaces garantissant le respect des principes et obligations prévus par l’instrument juridique et démontrent sur demande que ces principes et obligations sont bel et bien respectés.

| 102. | Ce type de disposition n’est pas entièrement nouveau. L’article 6, paragraphe 2, de la directive 95/46/CE fait référence aux principes relatifs à la qualité des données et mentionne qu’«il incombe au responsable du traitement d'assurer le respect du paragraphe 1». Pareillement, l’article 17, paragraphe 1, impose aux responsables du traitement de mettre en œuvre des mesures techniques et d'organisation. Toutefois, ces dispositions ont un champ d’application limité. L’insertion d’une disposition générale sur la responsabilisation inciterait les responsables du traitement à mettre en place des mesures préventives afin de se conformer à toutes les règles de la législation relative à la protection des données. |
| --- | --- |

102.

Ce type de disposition n’est pas entièrement nouveau. L’article 6, paragraphe 2, de la directive 95/46/CE fait référence aux principes relatifs à la qualité des données et mentionne qu’«il incombe au responsable du traitement d'assurer le respect du paragraphe 1». Pareillement, l’article 17, paragraphe 1, impose aux responsables du traitement de mettre en œuvre des mesures techniques et d'organisation. Toutefois, ces dispositions ont un champ d’application limité. L’insertion d’une disposition générale sur la responsabilisation inciterait les responsables du traitement à mettre en place des mesures préventives afin de se conformer à toutes les règles de la législation relative à la protection des données.

| 103. | Une disposition en matière de responsabilisation engagerait les responsables du traitement à mettre en place des mécanismes et des systèmes de contrôle internes garantissant le respect des principes et obligations établis par le cadre. Cela impliquerait, par exemple, d’associer les cadres supérieurs à l’élaboration des politiques en matière de protection des données, d’établir un plan des procédures afin de garantir l’identification requise de tous les traitements, d’appliquer des politiques de protection des données qui soient contraignantes et continuellement révisées et mises à jour afin de couvrir les nouveaux traitements, d’observer les principes en matière de qualité des données, de notification, de sécurité, d’accès, etc. Cela impliquerait par ailleurs que les responsables du traitement conservent des preuves leur permettant d’établir leur conformité si les autorités compétentes leur en font la demande. L’apport de la preuve de la conformité au grand public devrait également être rendue obligatoire dans certains cas. Il pourrait, à cette fin, être par exemple demandé aux responsables du traitement d’inclure la protection des données dans leurs rapports (annuels) publics, lorsque ces rapports sont obligatoires pour d’autres motifs. |
| --- | --- |

103.

Une disposition en matière de responsabilisation engagerait les responsables du traitement à mettre en place des mécanismes et des systèmes de contrôle internes garantissant le respect des principes et obligations établis par le cadre. Cela impliquerait, par exemple, d’associer les cadres supérieurs à l’élaboration des politiques en matière de protection des données, d’établir un plan des procédures afin de garantir l’identification requise de tous les traitements, d’appliquer des politiques de protection des données qui soient contraignantes et continuellement révisées et mises à jour afin de couvrir les nouveaux traitements, d’observer les principes en matière de qualité des données, de notification, de sécurité, d’accès, etc. Cela impliquerait par ailleurs que les responsables du traitement conservent des preuves leur permettant d’établir leur conformité si les autorités compétentes leur en font la demande. L’apport de la preuve de la conformité au grand public devrait également être rendue obligatoire dans certains cas. Il pourrait, à cette fin, être par exemple demandé aux responsables du traitement d’inclure la protection des données dans leurs rapports (annuels) publics, lorsque ces rapports sont obligatoires pour d’autres motifs.

| 104. | À l’évidence, les types de mesures internes et externes à mettre en œuvre doivent être appropriés et dépendre des faits et circonstances de chaque cas particulier. Cela fait une différence si un responsable du traitement traite quelques centaines de dossiers de clients ne mentionnant que des noms et des adresses ou s’il traite les dossiers de millions de patients, dont leur historique médical. Il en va de même pour les méthodes spécifiques d’évaluation de l’efficacité des mesures prises. Il convient de faire preuve de flexibilité. |
| --- | --- |

104.

À l’évidence, les types de mesures internes et externes à mettre en œuvre doivent être appropriés et dépendre des faits et circonstances de chaque cas particulier. Cela fait une différence si un responsable du traitement traite quelques centaines de dossiers de clients ne mentionnant que des noms et des adresses ou s’il traite les dossiers de millions de patients, dont leur historique médical. Il en va de même pour les méthodes spécifiques d’évaluation de l’efficacité des mesures prises. Il convient de faire preuve de flexibilité.

| 105. | L’instrument juridique complet et global de protection des données ne devrait pas établir les exigences spécifiques en matière de responsabilisation, mais uniquement ses éléments essentiels. La communication prévoit certains éléments pour renforcer la responsabilité («accountability») des responsables du traitement, qui sont particulièrement bienvenus. De manière plus spécifique, le CEPD appuie totalement l’idée de rendre obligatoires, dans certaines conditions, la désignation d’un délégué à la protection des données et la réalisation d’évaluations d’impact à l’égard de la protection de la vie privée. |
| --- | --- |

105.

L’instrument juridique complet et global de protection des données ne devrait pas établir les exigences spécifiques en matière de responsabilisation, mais uniquement ses éléments essentiels. La communication prévoit certains éléments pour renforcer la responsabilité («accountability») des responsables du traitement, qui sont particulièrement bienvenus. De manière plus spécifique, le CEPD appuie totalement l’idée de rendre obligatoires, dans certaines conditions, la désignation d’un délégué à la protection des données et la réalisation d’évaluations d’impact à l’égard de la protection de la vie privée.

| 106. | En outre, le CEPD recommande de déléguer des pouvoirs à la Commission en vertu de l’article 290 TFUE afin de compléter les exigences fondamentales nécessaires pour assurer le respect de la norme en matière de responsabilisation. L’utilisation de ces pouvoirs améliorerait la sécurité juridique pour les responsables du traitement et permettrait d’harmoniser la conformité à travers l’UE. Lors de l’élaboration de ces instruments spécifiques, le groupe de travail «Article 29» et le CEPD devraient être consultés. |
| --- | --- |

106.

En outre, le CEPD recommande de déléguer des pouvoirs à la Commission en vertu de l’article 290 TFUE afin de compléter les exigences fondamentales nécessaires pour assurer le respect de la norme en matière de responsabilisation. L’utilisation de ces pouvoirs améliorerait la sécurité juridique pour les responsables du traitement et permettrait d’harmoniser la conformité à travers l’UE. Lors de l’élaboration de ces instruments spécifiques, le groupe de travail «Article 29» et le CEPD devraient être consultés.

| 107. | Enfin, les mesures de responsabilisation concrètes requises des responsables du traitement pourraient également être imposées par les autorités chargées de la protection des données dans le cadre de leurs compétences en matière de contrôle de l’application des règles. Ces autorités devraient pour cela se voir attribuer de nouveaux pouvoirs leur permettant d’imposer des mesures de réparation ou des sanctions. Il pourrait s’agir de mettre en place des programmes de conformité internes, d’appliquer le principe de respect de la vie privée dès la conception («privacy by design») pour certains produits et services spécifiques, etc. Les mesures correctives imposées doivent être appropriées, proportionnées et efficaces aux fins de la mise en conformité avec les normes légales applicables et exécutoires. |
| --- | --- |

107.

Enfin, les mesures de responsabilisation concrètes requises des responsables du traitement pourraient également être imposées par les autorités chargées de la protection des données dans le cadre de leurs compétences en matière de contrôle de l’application des règles. Ces autorités devraient pour cela se voir attribuer de nouveaux pouvoirs leur permettant d’imposer des mesures de réparation ou des sanctions. Il pourrait s’agir de mettre en place des programmes de conformité internes, d’appliquer le principe de respect de la vie privée dès la conception («privacy by design») pour certains produits et services spécifiques, etc. Les mesures correctives imposées doivent être appropriées, proportionnées et efficaces aux fins de la mise en conformité avec les normes légales applicables et exécutoires.

7.3.   Le respect de la vie privée dès la conception («privacy by design»)

| 108. | Le principe de respect de la vie privée dès la conception fait référence à l’intégration des aspects relatifs à la protection des données et de la vie privée dès la phase de conception de nouveaux produits, services et procédures qui engendrent le traitement de données à caractère personnel. Selon le CEPD, il s’agit d’un élément du principe de responsabilité. Dans la même logique, les responsables du traitement devraient aussi démontrer qu’ils ont appliqué le principe de respect de la vie privée dès la conception, le cas échéant. Récemment, la 32e conférence internationale des commissaires à la protection des données et de la vie privée a débouché sur une résolution reconnaissant la protection intégrée de la vie privée comme un élément fondamental de la protection de la vie privée. (44) |
| --- | --- |

108.

Le principe de respect de la vie privée dès la conception fait référence à l’intégration des aspects relatifs à la protection des données et de la vie privée dès la phase de conception de nouveaux produits, services et procédures qui engendrent le traitement de données à caractère personnel. Selon le CEPD, il s’agit d’un élément du principe de responsabilité. Dans la même logique, les responsables du traitement devraient aussi démontrer qu’ils ont appliqué le principe de respect de la vie privée dès la conception, le cas échéant. Récemment, la 32e conférence internationale des commissaires à la protection des données et de la vie privée a débouché sur une résolution reconnaissant la protection intégrée de la vie privée comme un élément fondamental de la protection de la vie privée. (44)

| 109. | La directive 95/46/CE comporte plusieurs dispositions encourageant la prise en compte du principe de respect de la vie privée dès la conception (45), mais ne reconnaît pas cette obligation explicitement. Le CEPD salue la reconnaissance, dans la communication, de ce principe en tant qu’instrument garantissant le respect des règles en matière de protection des données. Il suggère d’inclure une disposition contraignante établissant l’obligation d’intégrer le respect de la vie privée dès la conception, qui pourrait s’inspirer du libellé du considérant 46 de la directive 95/46/CE. Plus précisément, cette disposition exigerait explicitement des responsables du traitement qu’ils prennent des mesures techniques et d’organisation, tant au moment de la conception du système de traitement qu’au moment du traitement lui-même, en particulier afin de garantir la protection des données à caractère personnel et de prévenir tout traitement illégal (46). |
| --- | --- |

109.

La directive 95/46/CE comporte plusieurs dispositions encourageant la prise en compte du principe de respect de la vie privée dès la conception (45), mais ne reconnaît pas cette obligation explicitement. Le CEPD salue la reconnaissance, dans la communication, de ce principe en tant qu’instrument garantissant le respect des règles en matière de protection des données. Il suggère d’inclure une disposition contraignante établissant l’obligation d’intégrer le respect de la vie privée dès la conception, qui pourrait s’inspirer du libellé du considérant 46 de la directive 95/46/CE. Plus précisément, cette disposition exigerait explicitement des responsables du traitement qu’ils prennent des mesures techniques et d’organisation, tant au moment de la conception du système de traitement qu’au moment du traitement lui-même, en particulier afin de garantir la protection des données à caractère personnel et de prévenir tout traitement illégal (46).

| 110. | En vertu de cette disposition, les responsables du traitement seraient tenus — entre autres — de s’assurer que les systèmes de traitement des données sont conçus de manière à traiter aussi peu de données que possible, d’appliquer des paramètres de protection de la vie privée par défaut, par exemple dans les réseaux sociaux, d’interdire par défaut l’accès aux profils personnels par des tiers et de mettre en œuvre des instruments permettant aux utilisateurs de mieux protéger leurs données à caractère personnel (p. ex. contrôles d’accès, cryptage). |
| --- | --- |

110.

En vertu de cette disposition, les responsables du traitement seraient tenus — entre autres — de s’assurer que les systèmes de traitement des données sont conçus de manière à traiter aussi peu de données que possible, d’appliquer des paramètres de protection de la vie privée par défaut, par exemple dans les réseaux sociaux, d’interdire par défaut l’accès aux profils personnels par des tiers et de mettre en œuvre des instruments permettant aux utilisateurs de mieux protéger leurs données à caractère personnel (p. ex. contrôles d’accès, cryptage).

| 111. | Les bienfaits d’une référence plus explicite au principe de respect de la vie privée dès la conception peuvent être résumés comme suit:






  — | cela mettrait en lumière l’importance du principe en tant que tel comme instrument garantissant que les processus, produits et services sont conçus dès les premiers stades dans l’optique du respect de la vie privée; |
| --- | --- | --- |

111.

Les bienfaits d’une référence plus explicite au principe de respect de la vie privée dès la conception peuvent être résumés comme suit:

—

cela mettrait en lumière l’importance du principe en tant que tel comme instrument garantissant que les processus, produits et services sont conçus dès les premiers stades dans l’optique du respect de la vie privée;

| — | cela réduirait les atteintes au droit du respect à la vie privée et permettrait de diminuer les collectes de données inutiles et d’habiliter les particuliers à faire de véritables choix à propos des données les concernant; |
| --- | --- |

—

cela réduirait les atteintes au droit du respect à la vie privée et permettrait de diminuer les collectes de données inutiles et d’habiliter les particuliers à faire de véritables choix à propos des données les concernant;

| — | cela permettrait d’éviter de devoir recourir à des solutions de fortune pour tenter de remédier à des problèmes qui pourraient s’avérer difficiles, voire impossibles, à résoudre; |
| --- | --- |

—

cela permettrait d’éviter de devoir recourir à des solutions de fortune pour tenter de remédier à des problèmes qui pourraient s’avérer difficiles, voire impossibles, à résoudre;

| — | cela faciliterait également l’application et le contrôle du respect effectifs de ce principe par les autorités chargées de la protection des données. |
| --- | --- |

—

cela faciliterait également l’application et le contrôle du respect effectifs de ce principe par les autorités chargées de la protection des données.

| 112. | L’effet combiné de cette obligation donnerait lieu à une hausse de la demande de produits et services conçus selon ce principe, ce qui devrait inciter davantage l’industrie à répondre à cette demande. Il conviendrait d’envisager, par ailleurs, de créer une obligation distincte qui s’appliquerait aux concepteurs et fabricants de nouveaux produits et services susceptibles d’avoir une incidence sur la protection des données et de la vie privée. Le CEPD suggère d’inclure ce type d’obligation, laquelle permettrait aux responsables du traitement de se conformer à leur propre obligation. |
| --- | --- |

112.

L’effet combiné de cette obligation donnerait lieu à une hausse de la demande de produits et services conçus selon ce principe, ce qui devrait inciter davantage l’industrie à répondre à cette demande. Il conviendrait d’envisager, par ailleurs, de créer une obligation distincte qui s’appliquerait aux concepteurs et fabricants de nouveaux produits et services susceptibles d’avoir une incidence sur la protection des données et de la vie privée. Le CEPD suggère d’inclure ce type d’obligation, laquelle permettrait aux responsables du traitement de se conformer à leur propre obligation.

| 113. | La codification du principe d’intégration du respect de la vie privée dès la conception pourrait être complétée par une disposition établissant des exigences générales en la matière s’appliquant à l’ensemble des secteurs, produits et services – par exemple des mesures d’habilitation des utilisateurs, à adopter suivant ce principe. |
| --- | --- |

113.

La codification du principe d’intégration du respect de la vie privée dès la conception pourrait être complétée par une disposition établissant des exigences générales en la matière s’appliquant à l’ensemble des secteurs, produits et services – par exemple des mesures d’habilitation des utilisateurs, à adopter suivant ce principe.

| 114. | En outre, le CEPD recommande de déléguer des pouvoirs à la Commission en vertu de l’article 290 TFUE afin — le cas échéant — de compléter les exigences fondamentales en matière d’intégration du respect de la vie privée dès la conception pour certains produits et services déterminés. L’utilisation de ces pouvoirs améliorerait la sécurité juridique pour les responsables du traitement et permettrait d’harmoniser la conformité à travers l’UE. Lors de l’élaboration de ces instruments spécifiques, le groupe de travail «Article 29» et le CEPD devraient être consultés (voir dans ce sens le point 106 sur la responsabilité). |
| --- | --- |

114.

En outre, le CEPD recommande de déléguer des pouvoirs à la Commission en vertu de l’article 290 TFUE afin — le cas échéant — de compléter les exigences fondamentales en matière d’intégration du respect de la vie privée dès la conception pour certains produits et services déterminés. L’utilisation de ces pouvoirs améliorerait la sécurité juridique pour les responsables du traitement et permettrait d’harmoniser la conformité à travers l’UE. Lors de l’élaboration de ces instruments spécifiques, le groupe de travail «Article 29» et le CEPD devraient être consultés (voir dans ce sens le point 106 sur la responsabilité).

| 115. | Enfin, les autorités chargées de la protection des données devraient être habilitées à appliquer des mesures de réparation ou des sanctions, sous les mêmes conditions restrictives que mentionné au point 107, lorsque les responsables du traitement n’ont manifestement pas pris de mesures concrètes dans des cas où elles s’imposaient. |
| --- | --- |

115.

Enfin, les autorités chargées de la protection des données devraient être habilitées à appliquer des mesures de réparation ou des sanctions, sous les mêmes conditions restrictives que mentionné au point 107, lorsque les responsables du traitement n’ont manifestement pas pris de mesures concrètes dans des cas où elles s’imposaient.

7.4.   Les services de certification

| 116. | La communication reconnaît la nécessité d’examiner la possibilité de mettre en place des systèmes européens de certification pour les produits et services respectant les exigences en matière de respect de la vie privée. Le CEPD soutient pleinement cet objectif et suggère d’inclure une disposition relative à leur création et à leurs effets potentiels dans l’UE, aspect qui pourra éventuellement être développé ultérieurement dans une nouvelle législation. Cette disposition devrait compléter celles sur la responsabilité et la prise en compte du respect de la vie privée dès la conception. |
| --- | --- |

116.

La communication reconnaît la nécessité d’examiner la possibilité de mettre en place des systèmes européens de certification pour les produits et services respectant les exigences en matière de respect de la vie privée. Le CEPD soutient pleinement cet objectif et suggère d’inclure une disposition relative à leur création et à leurs effets potentiels dans l’UE, aspect qui pourra éventuellement être développé ultérieurement dans une nouvelle législation. Cette disposition devrait compléter celles sur la responsabilité et la prise en compte du respect de la vie privée dès la conception.

| 117. | Des mécanismes de certification volontaires permettraient de vérifier qu’un responsable du traitement a adopté les mesures requises pour se conformer aux exigences prévues par l’instrument juridique. De plus, les responsables du traitement — voire les produits ou les services — certifiés sont susceptibles d’avoir un avantage compétitif sur les autres. Ces mécanismes serviraient aussi d’appui pour les autorités chargées de la protection des données dans leur rôle de supervision et de contrôle de l’application des règles. |
| --- | --- |

117.

Des mécanismes de certification volontaires permettraient de vérifier qu’un responsable du traitement a adopté les mesures requises pour se conformer aux exigences prévues par l’instrument juridique. De plus, les responsables du traitement — voire les produits ou les services — certifiés sont susceptibles d’avoir un avantage compétitif sur les autres. Ces mécanismes serviraient aussi d’appui pour les autorités chargées de la protection des données dans leur rôle de supervision et de contrôle de l’application des règles.

8.   La mondialisation et le droit applicable

8.1.   Un besoin évident de cohérence accrue en matière de protection

| 118. | Comme mentionné ci-dessus au chapitre 2, le transfert de données à caractère personnel vers des pays tiers s’est considérablement accru du fait du développement de nouvelles technologies, du rôle des multinationales et de l’influence accrue des gouvernements dans le traitement et le partage de données à caractère personnel à l’échelle internationale. C’est l’une des principales raisons expliquant la nécessité de réviser le cadre juridique actuel. Par conséquent, c’est l’un des domaines dans lesquels le CEPD demande ambition et efficacité, étant donné le besoin évident d’une protection plus cohérente lors du traitement de données en dehors de l’UE. |
| --- | --- |

118.

Comme mentionné ci-dessus au chapitre 2, le transfert de données à caractère personnel vers des pays tiers s’est considérablement accru du fait du développement de nouvelles technologies, du rôle des multinationales et de l’influence accrue des gouvernements dans le traitement et le partage de données à caractère personnel à l’échelle internationale. C’est l’une des principales raisons expliquant la nécessité de réviser le cadre juridique actuel. Par conséquent, c’est l’un des domaines dans lesquels le CEPD demande ambition et efficacité, étant donné le besoin évident d’une protection plus cohérente lors du traitement de données en dehors de l’UE.

8.2.   Investir dans des règles internationales

| 119. | Selon le CEPD, il convient de s’investir davantage dans l’élaboration de règles internationales. Une harmonisation accrue des différents niveaux de protection des données à caractère personnel à travers le monde permettrait de mieux délimiter le fond des principes à respecter et de préciser les modalités de transferts de données. Ces règles globales devraient concilier l’exigence d’une norme élevée en matière de protection des données — y compris les éléments européens fondamentaux en matière de protection des données — et les spécificités régionales. |
| --- | --- |

119.

Selon le CEPD, il convient de s’investir davantage dans l’élaboration de règles internationales. Une harmonisation accrue des différents niveaux de protection des données à caractère personnel à travers le monde permettrait de mieux délimiter le fond des principes à respecter et de préciser les modalités de transferts de données. Ces règles globales devraient concilier l’exigence d’une norme élevée en matière de protection des données — y compris les éléments européens fondamentaux en matière de protection des données — et les spécificités régionales.

| 120. | Le CEPD salue les efforts ambitieux déployés à ce stade dans le cadre de la conférence internationale des commissaires à la protection des données pour concevoir et diffuser ce que l’on appelle les «normes de Madrid», dans l’optique de les intégrer dans un instrument contraignant et d’organiser éventuellement une conférence intergouvernementale (47). Il invite la Commission à prendre les initiatives nécessaires pour faciliter la réalisation de cet objectif. |
| --- | --- |

120.

Le CEPD salue les efforts ambitieux déployés à ce stade dans le cadre de la conférence internationale des commissaires à la protection des données pour concevoir et diffuser ce que l’on appelle les «normes de Madrid», dans l’optique de les intégrer dans un instrument contraignant et d’organiser éventuellement une conférence intergouvernementale (47). Il invite la Commission à prendre les initiatives nécessaires pour faciliter la réalisation de cet objectif.

| 121. | De l’avis du CEPD, il importe également de garantir la cohérence entre cette initiative en faveur de l’établissement de normes internationales, la révision actuelle du cadre européen de la protection des données et d’autres développements tels que la révision actuelle des lignes directrices de l’OCDE en matière de respect de la vie privée et de la convention 108 du Conseil de l’Europe, qui est ouverte à la signature par des pays tiers (voir également le point 17). Le CEPD estime que la Commission a un rôle spécifique à jouer à cet égard, en déterminant de quelle façon elle encouragera cette cohérence dans les négociations avec l’OCDE et le Conseil de l’Europe. |
| --- | --- |

121.

De l’avis du CEPD, il importe également de garantir la cohérence entre cette initiative en faveur de l’établissement de normes internationales, la révision actuelle du cadre européen de la protection des données et d’autres développements tels que la révision actuelle des lignes directrices de l’OCDE en matière de respect de la vie privée et de la convention 108 du Conseil de l’Europe, qui est ouverte à la signature par des pays tiers (voir également le point 17). Le CEPD estime que la Commission a un rôle spécifique à jouer à cet égard, en déterminant de quelle façon elle encouragera cette cohérence dans les négociations avec l’OCDE et le Conseil de l’Europe.

8.3.   Clarifier les critères en matière de droit applicable

| 122. | Etant donné qu’une cohérence totale est difficilement envisageable, il subsistera — au moins à court terme — quelques disparités entre les différentes législations au sein de l’UE et a fortiori en dehors de l’UE. Le CEPD considère qu’un nouvel instrument juridique devra préciser les critères déterminant le droit applicable et devra instaurer des mécanismes harmonisés pour la circulation des données ainsi que la notion de responsabilité des acteurs impliqués dans ces transferts. |
| --- | --- |

122.

Etant donné qu’une cohérence totale est difficilement envisageable, il subsistera — au moins à court terme — quelques disparités entre les différentes législations au sein de l’UE et a fortiori en dehors de l’UE. Le CEPD considère qu’un nouvel instrument juridique devra préciser les critères déterminant le droit applicable et devra instaurer des mécanismes harmonisés pour la circulation des données ainsi que la notion de responsabilité des acteurs impliqués dans ces transferts.

| 123. | Dans un premier temps, l’instrument juridique devrait garantir l’application du droit de l’UE lorsque des données à caractère personnel sont traitées dans des pays tiers, mais qu’il existe une demande justifiée d’appliquer le droit de l’UE. Un exemple illustrant cette nécessité concerne les services d’informatique en nuage non européens destinés aux résidents de l’UE. Dans un environnement où les données ne sont pas physiquement stockées et traitées dans un endroit fixe, où les fournisseurs de services et les utilisateurs situés dans des pays différents ont une influence et une possibilité d’ingérence en ce qui concerne les données, il est très difficile de déterminer à qui incombe la responsabilité d’observer quels principes en matière de protection des données. Des orientations ont été diffusées, en particulier par les autorités chargées de la protection des données, sur la façon d’interpréter et d’appliquer la directive 95/46/CE dans pareils cas, mais des orientations seules ne suffisent pas à garantir la sécurité juridique dans ce nouvel environnement. |
| --- | --- |

123.

Dans un premier temps, l’instrument juridique devrait garantir l’application du droit de l’UE lorsque des données à caractère personnel sont traitées dans des pays tiers, mais qu’il existe une demande justifiée d’appliquer le droit de l’UE. Un exemple illustrant cette nécessité concerne les services d’informatique en nuage non européens destinés aux résidents de l’UE. Dans un environnement où les données ne sont pas physiquement stockées et traitées dans un endroit fixe, où les fournisseurs de services et les utilisateurs situés dans des pays différents ont une influence et une possibilité d’ingérence en ce qui concerne les données, il est très difficile de déterminer à qui incombe la responsabilité d’observer quels principes en matière de protection des données. Des orientations ont été diffusées, en particulier par les autorités chargées de la protection des données, sur la façon d’interpréter et d’appliquer la directive 95/46/CE dans pareils cas, mais des orientations seules ne suffisent pas à garantir la sécurité juridique dans ce nouvel environnement.

| 124. | Sur le territoire de l’UE, la nécessité d’une précision accrue dans le cadre juridique et d’un critère simplifié pour déterminer le droit applicable a été mise en évidence par le groupe de travail «Article 29» dans un avis récent (48). |
| --- | --- |

124.

Sur le territoire de l’UE, la nécessité d’une précision accrue dans le cadre juridique et d’un critère simplifié pour déterminer le droit applicable a été mise en évidence par le groupe de travail «Article 29» dans un avis récent (48).

| 125. | Selon le CEPD, il serait préférable d’intégrer l’instrument juridique dans un règlement qui entraînerait l’application de règles identiques dans tous les États membres. Un règlement réduirait la nécessité de déterminer le droit applicable. C’est l’une des raisons pour lesquelles le CEPD plaide fortement en faveur de l’adoption d’un règlement. Ce type d’instrument pourrait cependant offrir aux États membres une certaine marge de manœuvre. Si le nouvel instrument laisse une marge de manœuvre importante, le CEPD suggèrerait, à l’instar du groupe de travail, l’abandon d’une application distributive des différentes législations nationales au profit d’une application centralisée d’une seule législation dans tous les États membres où un responsable du traitement est implanté. Il insiste par ailleurs pour que soient renforcées la coopération et la coordination entre les autorités chargées de la protection des données dans les dossiers et les recours transnationaux (voir le chapitre 10). |
| --- | --- |

125.

Selon le CEPD, il serait préférable d’intégrer l’instrument juridique dans un règlement qui entraînerait l’application de règles identiques dans tous les États membres. Un règlement réduirait la nécessité de déterminer le droit applicable. C’est l’une des raisons pour lesquelles le CEPD plaide fortement en faveur de l’adoption d’un règlement. Ce type d’instrument pourrait cependant offrir aux États membres une certaine marge de manœuvre. Si le nouvel instrument laisse une marge de manœuvre importante, le CEPD suggèrerait, à l’instar du groupe de travail, l’abandon d’une application distributive des différentes législations nationales au profit d’une application centralisée d’une seule législation dans tous les États membres où un responsable du traitement est implanté. Il insiste par ailleurs pour que soient renforcées la coopération et la coordination entre les autorités chargées de la protection des données dans les dossiers et les recours transnationaux (voir le chapitre 10).

8.4.   Rationaliser les mécanismes régissant la circulation des données

| 126. | Le besoin de cohérence et de solides critères d’évaluation doit être pris en compte non seulement à l’égard des principes internationaux de protection des données, mais aussi à l’égard des transferts internationaux. Le CEPD soutient pleinement l’objectif de la Commission visant à rationaliser les procédures actuelles de transferts de données internationaux et à garantir une approche plus uniforme et plus cohérente vis-à-vis des pays tiers et des organisations internationales. |
| --- | --- |

126.

Le besoin de cohérence et de solides critères d’évaluation doit être pris en compte non seulement à l’égard des principes internationaux de protection des données, mais aussi à l’égard des transferts internationaux. Le CEPD soutient pleinement l’objectif de la Commission visant à rationaliser les procédures actuelles de transferts de données internationaux et à garantir une approche plus uniforme et plus cohérente vis-à-vis des pays tiers et des organisations internationales.

| 127. | Le mécanisme régissant la circulation des données inclut à la fois les transferts du secteur privé, en particulier via des clauses contractuelles ou des règles d’entreprise contraignantes, et les transferts entre les administrations. Les règles d’entreprise contraignantes, notamment, nécessiteraient une approche plus cohérente et rationalisée. Le CEPD recommande de traiter la question des conditions relatives à ces règles de manière explicite dans le nouvel instrument juridique (49), en:






  — | reconnaissant explicitement les règles d’entreprise contraignantes comme des instruments offrant des garanties adéquates; |
| --- | --- | --- |

127.

Le mécanisme régissant la circulation des données inclut à la fois les transferts du secteur privé, en particulier via des clauses contractuelles ou des règles d’entreprise contraignantes, et les transferts entre les administrations. Les règles d’entreprise contraignantes, notamment, nécessiteraient une approche plus cohérente et rationalisée. Le CEPD recommande de traiter la question des conditions relatives à ces règles de manière explicite dans le nouvel instrument juridique (49), en:

—

reconnaissant explicitement les règles d’entreprise contraignantes comme des instruments offrant des garanties adéquates;

| — | définissant les principaux éléments/conditions pour l’adoption de ces règles; |
| --- | --- |

—

définissant les principaux éléments/conditions pour l’adoption de ces règles;

| — | établissant des procédures de coopération pour l’adoption de ces règles, y compris des critères pour la sélection d’une autorité de supervision principale (guichet unique). |
| --- | --- |

—

établissant des procédures de coopération pour l’adoption de ces règles, y compris des critères pour la sélection d’une autorité de supervision principale (guichet unique).

9.   Le secteur de la police et de la justice

9.1.   L’instrument général

| 128. | La Commission a maintes fois souligné l’importance de renforcer la protection des données dans le contexte de l’application du droit et de la prévention de la criminalité, où l’échange et l’utilisation de données à caractère personnel se sont considérablement intensifiés. En outre, le programme de Stockholm, approuvé par le Conseil européen, mentionne comme principal prérequis à l’application de la stratégie européenne de gestion de l’information dans ce domaine, l’instauration d’un régime efficace de protection des données (50). |
| --- | --- |

128.

La Commission a maintes fois souligné l’importance de renforcer la protection des données dans le contexte de l’application du droit et de la prévention de la criminalité, où l’échange et l’utilisation de données à caractère personnel se sont considérablement intensifiés. En outre, le programme de Stockholm, approuvé par le Conseil européen, mentionne comme principal prérequis à l’application de la stratégie européenne de gestion de l’information dans ce domaine, l’instauration d’un régime efficace de protection des données (50).

| 129. | La révision du cadre général de la protection des données est l’occasion idéale de progresser en la matière, en particulier si l’on se réfère au fait que la communication décrit à juste titre la décision-cadre 2008/977 comme étant inadéquate (51). |
| --- | --- |

129.

La révision du cadre général de la protection des données est l’occasion idéale de progresser en la matière, en particulier si l’on se réfère au fait que la communication décrit à juste titre la décision-cadre 2008/977 comme étant inadéquate (51).

| 130. | Le CEPD a expliqué, dans la section 3.2.5 du présent avis, les raisons pour lesquelles le domaine de la coopération policière et judiciaire devrait être inclus dans l’instrument général. Cette inclusion offre plusieurs avantages supplémentaires. Cela signifie que les règles ne s’appliqueront plus uniquement aux échanges de données transfrontières (52), mais aussi aux traitements nationaux. Cela permet également de garantir plus efficacement une protection adéquate en cas d’échange de données à caractère personnel avec des pays tiers, notamment dans le cadre d’accords internationaux. En outre, les autorités chargées de la protection des données disposeront des mêmes pouvoirs étendus et harmonisés à l’égard de la police et des autorités judiciaires que ceux dont ils jouissent à l’heure actuelle à l’égard des autres responsables du traitement. Enfin, l’actuel article 13, qui habilite les États membres à adopter des législations spécifiques pour restreindre les obligations et les droits établis par l’instrument général dans des intérêts publics spécifiques, devra s’appliquer de manière aussi restrictive qu’il est appliqué dans les autres domaines. En particulier, les garanties spécifiques prévues dans l’instrument général devront être également respectées dans la législation nationale adoptée dans le domaine de la coopération policière et judiciaire. |
| --- | --- |

130.

Le CEPD a expliqué, dans la section 3.2.5 du présent avis, les raisons pour lesquelles le domaine de la coopération policière et judiciaire devrait être inclus dans l’instrument général. Cette inclusion offre plusieurs avantages supplémentaires. Cela signifie que les règles ne s’appliqueront plus uniquement aux échanges de données transfrontières (52), mais aussi aux traitements nationaux. Cela permet également de garantir plus efficacement une protection adéquate en cas d’échange de données à caractère personnel avec des pays tiers, notamment dans le cadre d’accords internationaux. En outre, les autorités chargées de la protection des données disposeront des mêmes pouvoirs étendus et harmonisés à l’égard de la police et des autorités judiciaires que ceux dont ils jouissent à l’heure actuelle à l’égard des autres responsables du traitement. Enfin, l’actuel article 13, qui habilite les États membres à adopter des législations spécifiques pour restreindre les obligations et les droits établis par l’instrument général dans des intérêts publics spécifiques, devra s’appliquer de manière aussi restrictive qu’il est appliqué dans les autres domaines. En particulier, les garanties spécifiques prévues dans l’instrument général devront être également respectées dans la législation nationale adoptée dans le domaine de la coopération policière et judiciaire.

9.2.   Des règles spécifiques supplémentaires pour la police et la justice

| 131. | Toutefois, cette inclusion n’exclut pas les règles et dérogations spéciales, qui prennent dûment en compte les spécificités de ce secteur, conformément à la déclaration 21 annexée au traité de Lisbonne. Des limitations des droits des personnes concernées sont envisageables, mais elles doivent être nécessaires, proportionnées et ne pas altérer les éléments essentiels du droit lui-même. Il est à noter dans ce contexte que la directive 95/46/CE, y compris son article 13, s’applique à l’heure actuelle à l’application du droit dans divers domaines (p. ex. la fiscalité, les douanes, la lutte antifraude) qui ne diffèrent pas fondamentalement de nombreuses activités dans le domaine de la police et de la justice. |
| --- | --- |

131.

Toutefois, cette inclusion n’exclut pas les règles et dérogations spéciales, qui prennent dûment en compte les spécificités de ce secteur, conformément à la déclaration 21 annexée au traité de Lisbonne. Des limitations des droits des personnes concernées sont envisageables, mais elles doivent être nécessaires, proportionnées et ne pas altérer les éléments essentiels du droit lui-même. Il est à noter dans ce contexte que la directive 95/46/CE, y compris son article 13, s’applique à l’heure actuelle à l’application du droit dans divers domaines (p. ex. la fiscalité, les douanes, la lutte antifraude) qui ne diffèrent pas fondamentalement de nombreuses activités dans le domaine de la police et de la justice.

| 132. | En outre, des garanties spécifiques doivent également être mises en place en vue de dédommager la personne concernée en lui accordant une protection supplémentaire dans un domaine où le traitement de données à caractère personnel risque d’être plus intrusif. |
| --- | --- |

132.

En outre, des garanties spécifiques doivent également être mises en place en vue de dédommager la personne concernée en lui accordant une protection supplémentaire dans un domaine où le traitement de données à caractère personnel risque d’être plus intrusif.

| 133. | Sur la base de ce qui précède, le CEPD estime que le nouveau cadre devrait inclure au moins les éléments suivants, conformément à la convention 108 et à la recommandation no R (87) 15:






  — | une distinction entre les différentes catégories de données et de fichiers en fonction de leur degré de précision et de leur fiabilité, sur la base du principe selon lequel il convient de distinguer les données reposant sur des faits des données reposant sur des avis ou une évaluation personnelle; |
| --- | --- | --- |

133.

Sur la base de ce qui précède, le CEPD estime que le nouveau cadre devrait inclure au moins les éléments suivants, conformément à la convention 108 et à la recommandation no R (87) 15:

—

une distinction entre les différentes catégories de données et de fichiers en fonction de leur degré de précision et de leur fiabilité, sur la base du principe selon lequel il convient de distinguer les données reposant sur des faits des données reposant sur des avis ou une évaluation personnelle;

| — | une distinction entre les différentes catégories de personnes concernées (suspects, victimes, témoins, etc.) et de fichiers (temporaires, permanents, confidentiels). Il convient de prévoir des conditions et des garanties spécifiques pour le traitement des données concernant des personnes autres que les suspects; |
| --- | --- |

—

une distinction entre les différentes catégories de personnes concernées (suspects, victimes, témoins, etc.) et de fichiers (temporaires, permanents, confidentiels). Il convient de prévoir des conditions et des garanties spécifiques pour le traitement des données concernant des personnes autres que les suspects;

| — | des mécanismes de vérification et de rectification périodiques afin de garantir la qualité des données traitées; |
| --- | --- |

—

des mécanismes de vérification et de rectification périodiques afin de garantir la qualité des données traitées;

| — | des dispositions et/ou garanties spécifiques peuvent être instaurées en rapport avec le traitement (de plus en plus justifié) de données biométriques et génétiques dans le domaine de l’application du droit. Leur utilisation devrait être limitée exclusivement aux cas dans lesquels aucun moyen moins intrusif produisant le même effet n’est disponible (53); |
| --- | --- |

—

des dispositions et/ou garanties spécifiques peuvent être instaurées en rapport avec le traitement (de plus en plus justifié) de données biométriques et génétiques dans le domaine de l’application du droit. Leur utilisation devrait être limitée exclusivement aux cas dans lesquels aucun moyen moins intrusif produisant le même effet n’est disponible (53);

| — | les modalités de transfert de données à caractère personnel à des autorités non compétentes et à des parties privées, ainsi que les modalités d’accès et d’utilisation ultérieure, par les forces répressives, de données à caractère personnel collectées par des parties privées. |
| --- | --- |

—

les modalités de transfert de données à caractère personnel à des autorités non compétentes et à des parties privées, ainsi que les modalités d’accès et d’utilisation ultérieure, par les forces répressives, de données à caractère personnel collectées par des parties privées.

9.3.   Les régimes sectoriels de protection des données

| 134. | La communication prévoit ce qui suit: «la décision-cadre ne remplace pas les divers instruments législatifs de nature sectorielle qui ont été adoptés au niveau de l'Union dans les domaines de la coopération policière et judiciaire en matière pénale, notamment ceux qui régissent le fonctionnement d'Europol, d'Eurojust, du système d'information Schengen (SIS) et du système d'information des douanes (SID), qui prévoient des régimes particuliers de protection des données et/ou généralement renvoient à des instruments de protection des données du Conseil de l'Europe». |
| --- | --- |

134.

La communication prévoit ce qui suit: «la décision-cadre ne remplace pas les divers instruments législatifs de nature sectorielle qui ont été adoptés au niveau de l'Union dans les domaines de la coopération policière et judiciaire en matière pénale, notamment ceux qui régissent le fonctionnement d'Europol, d'Eurojust, du système d'information Schengen (SIS) et du système d'information des douanes (SID), qui prévoient des régimes particuliers de protection des données et/ou généralement renvoient à des instruments de protection des données du Conseil de l'Europe».

| 135. | Le CEPD estime qu’un nouveau cadre juridique devrait, dans la mesure du possible, être clair, simple et cohérent. Si Europol, Eurojust, SIS et Prüm, par exemple, appliquent des régimes différents, le respect des règles reste compliqué, quand il ne se complique pas encore davantage. C’est l’une des raisons pour lesquelles le CEPD se prononce en faveur d’un instrument juridique général applicable à tous les secteurs. |
| --- | --- |

135.

Le CEPD estime qu’un nouveau cadre juridique devrait, dans la mesure du possible, être clair, simple et cohérent. Si Europol, Eurojust, SIS et Prüm, par exemple, appliquent des régimes différents, le respect des règles reste compliqué, quand il ne se complique pas encore davantage. C’est l’une des raisons pour lesquelles le CEPD se prononce en faveur d’un instrument juridique général applicable à tous les secteurs.

| 136. | Toutefois, le CEPD est conscient que l’harmonisation des règles issues de différents systèmes nécessitera un travail considérable, qu’il convient de mener à bien consciencieusement. Selon lui, une approche progressive, telle que mentionnée dans la communication, est valable pour autant que la volonté de garantir un niveau élevé de protection des données de manière cohérente et efficace reste claire et visible. Plus concrètement:






  — | dans un premier temps, l’instrument juridique général pour la protection des données devrait s’appliquer à tous les traitements dans le domaine de la coopération policière et judiciaire, y compris les ajustements introduits pour la police et la justice (tels qu’entendus dans la section 9.2); |
| --- | --- | --- |

136.

Toutefois, le CEPD est conscient que l’harmonisation des règles issues de différents systèmes nécessitera un travail considérable, qu’il convient de mener à bien consciencieusement. Selon lui, une approche progressive, telle que mentionnée dans la communication, est valable pour autant que la volonté de garantir un niveau élevé de protection des données de manière cohérente et efficace reste claire et visible. Plus concrètement:

—

dans un premier temps, l’instrument juridique général pour la protection des données devrait s’appliquer à tous les traitements dans le domaine de la coopération policière et judiciaire, y compris les ajustements introduits pour la police et la justice (tels qu’entendus dans la section 9.2);

| — | dans un deuxième temps, les régimes sectoriels de protection des données devraient être mis en conformité avec cet instrument général. La Commission devrait s’engager à adopter, à court terme et à une date déterminée, des propositions pour cette deuxième phase. |
| --- | --- |

—

dans un deuxième temps, les régimes sectoriels de protection des données devraient être mis en conformité avec cet instrument général. La Commission devrait s’engager à adopter, à court terme et à une date déterminée, des propositions pour cette deuxième phase.

10.   Les autorités chargées de la protection des données et la coopération entre celles-ci

10.1.   Renforcer le rôle des autorités chargées de la protection des données

| 137. | Le CEPD soutient pleinement l’objectif de la Commission de trancher la question du statut des autorités chargées de la protection des données (APD), et plus explicitement de renforcer leur indépendance, leurs ressources et leurs pouvoirs en matière de mise en œuvre de la législation. |
| --- | --- |

137.

Le CEPD soutient pleinement l’objectif de la Commission de trancher la question du statut des autorités chargées de la protection des données (APD), et plus explicitement de renforcer leur indépendance, leurs ressources et leurs pouvoirs en matière de mise en œuvre de la législation.

| 138. | Le CEPD insiste par ailleurs sur la nécessité de clarifier, dans le nouvel instrument juridique, la notion essentielle d’indépendance des APD. La Cour de justice européenne s’est récemment prononcée sur ce point dans l’affaire C-518/07 (54), dans laquelle elle a souligné que l’indépendance signifiait l’absence de toute influence extérieure. Une APD ne peut ni solliciter ni suivre l’avis de quiconque. Le CEPD suggère explicitement de codifier ces éléments d’indépendance dans un acte législatif. |
| --- | --- |

138.

Le CEPD insiste par ailleurs sur la nécessité de clarifier, dans le nouvel instrument juridique, la notion essentielle d’indépendance des APD. La Cour de justice européenne s’est récemment prononcée sur ce point dans l’affaire C-518/07 (54), dans laquelle elle a souligné que l’indépendance signifiait l’absence de toute influence extérieure. Une APD ne peut ni solliciter ni suivre l’avis de quiconque. Le CEPD suggère explicitement de codifier ces éléments d’indépendance dans un acte législatif.

| 139. | Afin de pouvoir remplir leurs missions, les APD doivent disposer de ressources humaines et financières suffisantes. Le CEPD suggère d’inclure cette exigence dans la législation. (55) Il souligne finalement la nécessité de veiller à ce que les compétences des autorités en matière d’enquête et d’application de mesures de réparation et de sanctions suffisamment dissuasives soient totalement harmonisées, afin d’améliorer la sécurité juridique pour les personnes concernées et les responsables du traitement. |
| --- | --- |

139.

Afin de pouvoir remplir leurs missions, les APD doivent disposer de ressources humaines et financières suffisantes. Le CEPD suggère d’inclure cette exigence dans la législation. (55) Il souligne finalement la nécessité de veiller à ce que les compétences des autorités en matière d’enquête et d’application de mesures de réparation et de sanctions suffisamment dissuasives soient totalement harmonisées, afin d’améliorer la sécurité juridique pour les personnes concernées et les responsables du traitement.

| 140. | Le renforcement de l’indépendance, des ressources et des compétences des APD devrait aller de pair avec un renforcement de la coopération au niveau multilatéral, en particulier eu égard au nombre croissant de problèmes rencontrés en matière de protection des données à l’échelle européenne. Il apparaît clairement que la principale infrastructure adaptée pour la mise en œuvre de cette coopération est le groupe de travail «Article 29». |
| --- | --- |

140.

Le renforcement de l’indépendance, des ressources et des compétences des APD devrait aller de pair avec un renforcement de la coopération au niveau multilatéral, en particulier eu égard au nombre croissant de problèmes rencontrés en matière de protection des données à l’échelle européenne. Il apparaît clairement que la principale infrastructure adaptée pour la mise en œuvre de cette coopération est le groupe de travail «Article 29».

10.2.   Renforcer le rôle du groupe de travail

| 141. | Il est apparu au fil du temps que depuis ses débuts en 1997, le fonctionnement du groupe a évolué. Celui-ci a gagné en indépendance et ne peut plus être considéré, dans la pratique, comme un simple groupe de travail consultatif au sein de la Commission. Le CEPD suggère de continuer à améliorer le fonctionnement du groupe de travail, notamment son infrastructure et son indépendance. |
| --- | --- |

141.

Il est apparu au fil du temps que depuis ses débuts en 1997, le fonctionnement du groupe a évolué. Celui-ci a gagné en indépendance et ne peut plus être considéré, dans la pratique, comme un simple groupe de travail consultatif au sein de la Commission. Le CEPD suggère de continuer à améliorer le fonctionnement du groupe de travail, notamment son infrastructure et son indépendance.

| 142. | Le CEPD est convaincu que la force du groupe réside fondamentalement dans l’indépendance et les prérogatives de ses membres. Son autonomie doit être préservée dans le nouveau cadre juridique, conformément aux critères établis pour une indépendance totale des APD par la Cour de justice européenne dans l’affaire C-518/07. Le CEPD estime que le groupe devrait aussi être doté de ressources et d’un budget suffisants ainsi que d’un secrétariat renforcé, afin de soutenir ses contributions. |
| --- | --- |

142.

Le CEPD est convaincu que la force du groupe réside fondamentalement dans l’indépendance et les prérogatives de ses membres. Son autonomie doit être préservée dans le nouveau cadre juridique, conformément aux critères établis pour une indépendance totale des APD par la Cour de justice européenne dans l’affaire C-518/07. Le CEPD estime que le groupe devrait aussi être doté de ressources et d’un budget suffisants ainsi que d’un secrétariat renforcé, afin de soutenir ses contributions.

| 143. | Concernant le secrétariat du groupe de travail, le CEPD estime judicieux de l’avoir intégré dans l’unité sur la protection des données de la DG Justice, ce qui permet au groupe lui-même de bénéficier de contacts efficaces et flexibles et d’informations actualisées sur les dernières évolutions en matière de protection des données. En revanche, il conteste le fait que la Commission (et plus spécifiquement l’unité) soit à la fois membre, secrétariat et destinataire des avis du groupe de travail. Cela justifierait une indépendance accrue du secrétariat. Le CEPD encourage la Commission à évaluer — en étroite concertation avec les parties prenantes — le moyen de garantir au mieux cette indépendance. |
| --- | --- |

143.

Concernant le secrétariat du groupe de travail, le CEPD estime judicieux de l’avoir intégré dans l’unité sur la protection des données de la DG Justice, ce qui permet au groupe lui-même de bénéficier de contacts efficaces et flexibles et d’informations actualisées sur les dernières évolutions en matière de protection des données. En revanche, il conteste le fait que la Commission (et plus spécifiquement l’unité) soit à la fois membre, secrétariat et destinataire des avis du groupe de travail. Cela justifierait une indépendance accrue du secrétariat. Le CEPD encourage la Commission à évaluer — en étroite concertation avec les parties prenantes — le moyen de garantir au mieux cette indépendance.

| 144. | Enfin, le renforcement des pouvoirs des APD requiert aussi un renforcement des pouvoirs du groupe de travail, à l’aide d’une structure incluant de meilleures règles et garanties et garantissant une transparence accrue. Il concernera aussi bien le rôle consultatif que le rôle coercitif du groupe. |
| --- | --- |

144.

Enfin, le renforcement des pouvoirs des APD requiert aussi un renforcement des pouvoirs du groupe de travail, à l’aide d’une structure incluant de meilleures règles et garanties et garantissant une transparence accrue. Il concernera aussi bien le rôle consultatif que le rôle coercitif du groupe.

10.3.   Le rôle consultatif du groupe de travail

| 145. | Les avis du groupe de travail doivent être mis en œuvre de manière effective s’agissant de son rôle consultatif auprès de la Commission, en particulier en ce qui concerne l’interprétation et l’application des principes de la directive et des autres instruments en matière de protection des données. En d’autres termes, il convient de garantir le caractère officiel des positions du groupe. Les débats doivent se poursuivre au sein des APD afin de déterminer les moyens d’inclure cet aspect dans l’instrument juridique. |
| --- | --- |

145.

Les avis du groupe de travail doivent être mis en œuvre de manière effective s’agissant de son rôle consultatif auprès de la Commission, en particulier en ce qui concerne l’interprétation et l’application des principes de la directive et des autres instruments en matière de protection des données. En d’autres termes, il convient de garantir le caractère officiel des positions du groupe. Les débats doivent se poursuivre au sein des APD afin de déterminer les moyens d’inclure cet aspect dans l’instrument juridique.

| 146. | Le CEPD recommande diverses solutions pour donner plus de poids aux avis du groupe de travail sans pour autant modifier substantiellement son mode de fonctionnement. Il suggère d’inclure une obligation, pour les APD et la Commission, de tenir le plus grand compte des avis et positions communes adoptés par le groupe de travail, sur la base du modèle adopté pour les positions de l’Organe des régulateurs européens des communications électroniques (ORECE) (56). En outre, le nouvel instrument juridique pourrait confier au groupe la mission explicite d’adopter des «recommandations interprétatives». Ces solutions alternatives confèreraient aux positions du groupe un rôle accru, également devant les tribunaux. |
| --- | --- |

146.

Le CEPD recommande diverses solutions pour donner plus de poids aux avis du groupe de travail sans pour autant modifier substantiellement son mode de fonctionnement. Il suggère d’inclure une obligation, pour les APD et la Commission, de tenir le plus grand compte des avis et positions communes adoptés par le groupe de travail, sur la base du modèle adopté pour les positions de l’Organe des régulateurs européens des communications électroniques (ORECE) (56). En outre, le nouvel instrument juridique pourrait confier au groupe la mission explicite d’adopter des «recommandations interprétatives». Ces solutions alternatives confèreraient aux positions du groupe un rôle accru, également devant les tribunaux.

10.4.   Une mise en œuvre coordonnée de la législation assurée par le groupe de travail

| 147. | Dans le cadre actuel, le contrôle de la mise en œuvre de la législation sur la protection des données dans les États membres est assuré par les vingt-sept autorités chargées de la protection des données, avec peu de coordination concernant le traitement de certains cas. Dans les cas impliquant plus d’un État membre ou ayant une dimension résolument mondiale, ce manque de coordination multiplie les coûts pour les entreprises, qui sont contraintes de traiter avec plusieurs administrations pour une même activité, et accroît le risque d’application incohérente: dans certains cas exceptionnels, un même traitement peut être jugé licite par une APD et illicite par une autre. |
| --- | --- |

147.

Dans le cadre actuel, le contrôle de la mise en œuvre de la législation sur la protection des données dans les États membres est assuré par les vingt-sept autorités chargées de la protection des données, avec peu de coordination concernant le traitement de certains cas. Dans les cas impliquant plus d’un État membre ou ayant une dimension résolument mondiale, ce manque de coordination multiplie les coûts pour les entreprises, qui sont contraintes de traiter avec plusieurs administrations pour une même activité, et accroît le risque d’application incohérente: dans certains cas exceptionnels, un même traitement peut être jugé licite par une APD et illicite par une autre.

| 148. | Certaines affaires comportent une dimension stratégique qu’il convient d’examiner de manière centralisée. Le groupe de travail «Article 29» facilite la coordination et l’adoption de mesures coercitives entre les APD (57) dans des affaires majeures ayant trait à la protection des données et ayant des implications internationales, telles que celles concernant des réseaux sociaux et des moteurs de recherche (58), ou des inspections coordonnées menées dans différents États membres au sujet de questions relatives aux télécommunications et à l’assurance maladie. |
| --- | --- |

148.

Certaines affaires comportent une dimension stratégique qu’il convient d’examiner de manière centralisée. Le groupe de travail «Article 29» facilite la coordination et l’adoption de mesures coercitives entre les APD (57) dans des affaires majeures ayant trait à la protection des données et ayant des implications internationales, telles que celles concernant des réseaux sociaux et des moteurs de recherche (58), ou des inspections coordonnées menées dans différents États membres au sujet de questions relatives aux télécommunications et à l’assurance maladie.

| 149. | Le cadre actuel impose cependant des limites au groupe de travail concernant l’adoption de mesures de contrôle de la mise en œuvre de la législation. Des positions communes peuvent être adoptées, mais aucun instrument ne garantit l’application effective de ces positions dans la pratique. |
| --- | --- |

149.

Le cadre actuel impose cependant des limites au groupe de travail concernant l’adoption de mesures de contrôle de la mise en œuvre de la législation. Des positions communes peuvent être adoptées, mais aucun instrument ne garantit l’application effective de ces positions dans la pratique.

| 150. | Le CEPD suggère d’inclure dans l’instrument juridique de nouvelles dispositions à l’appui d’une mise en œuvre coordonnée, en particulier:






  — | une obligation de s’assurer que les APD et la Commission tiennent le plus grand compte des avis et positions communes du groupe (59); |
| --- | --- | --- |

150.

Le CEPD suggère d’inclure dans l’instrument juridique de nouvelles dispositions à l’appui d’une mise en œuvre coordonnée, en particulier:

—

une obligation de s’assurer que les APD et la Commission tiennent le plus grand compte des avis et positions communes du groupe (59);

| — | une obligation pour les APD de coopérer de bonne foi entre elles ainsi qu’avec la Commission et le groupe de travail (60). À titre d’exemple de coopération de bonne foi, il pourrait être envisagé de mettre en place une procédure par laquelle les APD informeraient la Commission ou le groupe de travail en cas d’adoption de mesures de mise en œuvre nationales comportant une dimension transfrontière, de manière analogue avec la procédure applicable dans le cadre actuel en rapport avec des décisions d’alignement nationales; |
| --- | --- |

—

une obligation pour les APD de coopérer de bonne foi entre elles ainsi qu’avec la Commission et le groupe de travail (60). À titre d’exemple de coopération de bonne foi, il pourrait être envisagé de mettre en place une procédure par laquelle les APD informeraient la Commission ou le groupe de travail en cas d’adoption de mesures de mise en œuvre nationales comportant une dimension transfrontière, de manière analogue avec la procédure applicable dans le cadre actuel en rapport avec des décisions d’alignement nationales;

| — | préciser les règles de vote afin d’inciter davantage les APD à exécuter les décisions du groupe de travail. Il pourrait être établi que le groupe de travail envisage de prendre ses décisions sur la base d’un consensus et qu’en l’absence de consensus, il ne les prend qu’à la majorité qualifiée. Un considérant pourrait aussi prévoir qu’en émettant un vote positif sur un document, les APD contractent une obligation ou un engagement en vue de sa mise en œuvre au niveau national. |
| --- | --- |

—

préciser les règles de vote afin d’inciter davantage les APD à exécuter les décisions du groupe de travail. Il pourrait être établi que le groupe de travail envisage de prendre ses décisions sur la base d’un consensus et qu’en l’absence de consensus, il ne les prend qu’à la majorité qualifiée. Un considérant pourrait aussi prévoir qu’en émettant un vote positif sur un document, les APD contractent une obligation ou un engagement en vue de sa mise en œuvre au niveau national.

| 151. | Le CEPD met en garde contre l’introduction de mesures plus fermes, comme donner une force contraignante aux positions du groupe de travail, par exemple. Cela compromettrait l’indépendance de chaque APD, qui doit être garantie par les États membres en vertu du droit national. Si les décisions du groupe avaient une incidence directe sur des tiers tels que les responsables du traitement, de nouvelles procédures devraient être envisagées, dont des garanties comme la transparence ou la réparation, y compris éventuellement un recours devant la Cour de justice européenne. |
| --- | --- |

151.

Le CEPD met en garde contre l’introduction de mesures plus fermes, comme donner une force contraignante aux positions du groupe de travail, par exemple. Cela compromettrait l’indépendance de chaque APD, qui doit être garantie par les États membres en vertu du droit national. Si les décisions du groupe avaient une incidence directe sur des tiers tels que les responsables du traitement, de nouvelles procédures devraient être envisagées, dont des garanties comme la transparence ou la réparation, y compris éventuellement un recours devant la Cour de justice européenne.

10.5.   La coopération entre le CEPD et le groupe de travail

| 152. | Les modalités de coopération entre le CEPD et le groupe de travail pourraient aussi être affinées. Le CEPD est membre du groupe et contribue au sein de ce dernier à l’élaboration des positions sur les principaux développements stratégiques au sein de l’UE, tout en maintenant une cohérence dans ses propres positions. Il constate un nombre croissant de problèmes en matière de respect de la vie privée, tant dans le secteur privé que dans le secteur public, qui ont des répercussions au niveau national dans de nombreux États membres, et où le groupe de travail peut jouer un rôle spécifique. |
| --- | --- |

152.

Les modalités de coopération entre le CEPD et le groupe de travail pourraient aussi être affinées. Le CEPD est membre du groupe et contribue au sein de ce dernier à l’élaboration des positions sur les principaux développements stratégiques au sein de l’UE, tout en maintenant une cohérence dans ses propres positions. Il constate un nombre croissant de problèmes en matière de respect de la vie privée, tant dans le secteur privé que dans le secteur public, qui ont des répercussions au niveau national dans de nombreux États membres, et où le groupe de travail peut jouer un rôle spécifique.

| 153. | Le CEPD a également pour tâche d’émettre des avis sur les développements qui ont lieu dans le cadre de l’UE, laquelle devrait être maintenue. En tant qu’organe européen, il exerce cette compétence consultative à l’égard des institutions de l’UE de la même manière que les APD nationales conseillent leurs gouvernements. |
| --- | --- |

153.

Le CEPD a également pour tâche d’émettre des avis sur les développements qui ont lieu dans le cadre de l’UE, laquelle devrait être maintenue. En tant qu’organe européen, il exerce cette compétence consultative à l’égard des institutions de l’UE de la même manière que les APD nationales conseillent leurs gouvernements.

| 154. | L’angle d’action du CEPD et celui du groupe de travail sont différents mais complémentaires. Il est donc nécessaire de préserver, voire d’améliorer la coordination entre ces deux entités, afin de s’assurer qu’elles collaborent sur les principales questions en matière de protection des données, par exemple en coordonnant leurs programmes de travail à intervalles réguliers (61) et en garantissant la transparence sur des questions comportant une dimension européenne spécifique ou plus nationale. |
| --- | --- |

154.

L’angle d’action du CEPD et celui du groupe de travail sont différents mais complémentaires. Il est donc nécessaire de préserver, voire d’améliorer la coordination entre ces deux entités, afin de s’assurer qu’elles collaborent sur les principales questions en matière de protection des données, par exemple en coordonnant leurs programmes de travail à intervalles réguliers (61) et en garantissant la transparence sur des questions comportant une dimension européenne spécifique ou plus nationale.

| 155. | La coordination n’est pas mentionnée dans la directive actuelle pour la simple et bonne raison que le CEPD n’existait pas au moment de son adoption. Cependant, après six ans d’existence, les complémentarités du CEPD et du groupe de travail sont visibles et pourraient être officiellement reconnues. Le CEPD rappelle qu’en vertu du règlement (CE) no 45/2001, il a le devoir de coopérer avec les APD nationales et de participer aux activités du groupe de travail. Il recommande de mentionner explicitement la coopération dans le nouvel instrument juridique et de la structurer si nécessaire, par exemple en établissant une procédure de coopération. |
| --- | --- |

155.

La coordination n’est pas mentionnée dans la directive actuelle pour la simple et bonne raison que le CEPD n’existait pas au moment de son adoption. Cependant, après six ans d’existence, les complémentarités du CEPD et du groupe de travail sont visibles et pourraient être officiellement reconnues. Le CEPD rappelle qu’en vertu du règlement (CE) no 45/2001, il a le devoir de coopérer avec les APD nationales et de participer aux activités du groupe de travail. Il recommande de mentionner explicitement la coopération dans le nouvel instrument juridique et de la structurer si nécessaire, par exemple en établissant une procédure de coopération.

10.6.   La coopération entre le CEPD et les APD dans le domaine de la supervision des systèmes de l’UE

| 156. | Ces considérations s’appliquent aussi aux domaines dans lesquels il convient de coordonner la supervision entre le niveau européen et le niveau national. Tel est le cas lorsque des organes de l’UE traitent de grandes quantités de données fournies par les autorités nationales, ou dans le cadre de systèmes d’information à grande échelle dotés d’une composante nationale et d’une composante européenne. |
| --- | --- |

156.

Ces considérations s’appliquent aussi aux domaines dans lesquels il convient de coordonner la supervision entre le niveau européen et le niveau national. Tel est le cas lorsque des organes de l’UE traitent de grandes quantités de données fournies par les autorités nationales, ou dans le cadre de systèmes d’information à grande échelle dotés d’une composante nationale et d’une composante européenne.

| 157. | Le système existant applicable à certains organes de l’UE et à certains vastes systèmes d’information européens à grande échelle — par exemple, Europol, Eurojust et le système d’information Schengen (SIS) première génération ont des organes de supervision conjoints comptant des représentants des APD nationales — est un vestige de la coopération intergouvernementale avant Lisbonne, qui ne respecte pas la structure institutionnelle de l’UE dont Europol et Eurojust font aujourd’hui partie intégrante, et dans laquelle l’acquis Schengen est à présent intégré (62). |
| --- | --- |

157.

Le système existant applicable à certains organes de l’UE et à certains vastes systèmes d’information européens à grande échelle — par exemple, Europol, Eurojust et le système d’information Schengen (SIS) première génération ont des organes de supervision conjoints comptant des représentants des APD nationales — est un vestige de la coopération intergouvernementale avant Lisbonne, qui ne respecte pas la structure institutionnelle de l’UE dont Europol et Eurojust font aujourd’hui partie intégrante, et dans laquelle l’acquis Schengen est à présent intégré (62).

| 158. | La communication annonce que la Commission lancera en 2011 une consultation des parties prenantes au sujet de la révision de ces systèmes de supervision. Le CEPD prie instamment la Commission de prendre position dans les plus brefs délais (à court terme et à une date déterminée, voir ci-dessus) dans la discussion en cours concernant la supervision. Sa propre position se définit comme suit. |
| --- | --- |

158.

La communication annonce que la Commission lancera en 2011 une consultation des parties prenantes au sujet de la révision de ces systèmes de supervision. Le CEPD prie instamment la Commission de prendre position dans les plus brefs délais (à court terme et à une date déterminée, voir ci-dessus) dans la discussion en cours concernant la supervision. Sa propre position se définit comme suit.

| 159. | Dans un premier temps, il conviendrait de garantir que tous les organes de supervision remplissent les critères indispensables d’indépendance, de ressources et de pouvoirs de mise en œuvre de la législation. En outre, il conviendrait de s’assurer que les perspectives et l’expertise qui existent au niveau de l’UE sont prises en compte. En d’autres termes, une coopération devrait être établie non seulement entre les autorités nationales mais également avec l’APD européenne (actuellement le CEPD). Le CEPD estime qu’il est nécessaire de suivre un modèle qui respecte ces exigences (63). |
| --- | --- |

159.

Dans un premier temps, il conviendrait de garantir que tous les organes de supervision remplissent les critères indispensables d’indépendance, de ressources et de pouvoirs de mise en œuvre de la législation. En outre, il conviendrait de s’assurer que les perspectives et l’expertise qui existent au niveau de l’UE sont prises en compte. En d’autres termes, une coopération devrait être établie non seulement entre les autorités nationales mais également avec l’APD européenne (actuellement le CEPD). Le CEPD estime qu’il est nécessaire de suivre un modèle qui respecte ces exigences (63).

| 160. | On a assisté ces dernières années au développement du modèle de «supervision coordonnée». Ce modèle, d’ores et déjà opérationnel dans Eurodac et dans certaines parties du système d’information douanier, sera prochainement étendu au système d’information sur les visas (VIS) ainsi qu’au système d’information Schengen deuxième génération (SIS II). Il comporte trois couches: 1) la supervision au niveau national est assurée par les APD; 2) la supervision au niveau européen est assurée par le CEPD; 3) la coordination est assurée au moyen de réunions régulières convoquées par le CEPD agissant en qualité de secrétariat de ce mécanisme de coordination. Ce modèle s’est avéré efficace et a produit d’excellents résultats. Son utilisation devrait être envisagée à l’avenir pour d’autres systèmes d’information. |
| --- | --- |

160.

On a assisté ces dernières années au développement du modèle de «supervision coordonnée». Ce modèle, d’ores et déjà opérationnel dans Eurodac et dans certaines parties du système d’information douanier, sera prochainement étendu au système d’information sur les visas (VIS) ainsi qu’au système d’information Schengen deuxième génération (SIS II). Il comporte trois couches: 1) la supervision au niveau national est assurée par les APD; 2) la supervision au niveau européen est assurée par le CEPD; 3) la coordination est assurée au moyen de réunions régulières convoquées par le CEPD agissant en qualité de secrétariat de ce mécanisme de coordination. Ce modèle s’est avéré efficace et a produit d’excellents résultats. Son utilisation devrait être envisagée à l’avenir pour d’autres systèmes d’information.

C.   COMMENT AMÉLIORER L’APPLICATION DU CADRE ACTUEL?

11.   Le court terme

| 161. | Alors que le processus de révision est en cours, des efforts devraient être consacrés à garantir une application totale et effective des règles en vigueur. Ces règles resteront applicables jusqu’à l’adoption du futur cadre et sa transposition dans le droit national des différents États membres. Dans ce sens, plusieurs lignes d’action peuvent être mises en évidence. |
| --- | --- |

161.

Alors que le processus de révision est en cours, des efforts devraient être consacrés à garantir une application totale et effective des règles en vigueur. Ces règles resteront applicables jusqu’à l’adoption du futur cadre et sa transposition dans le droit national des différents États membres. Dans ce sens, plusieurs lignes d’action peuvent être mises en évidence.

| 162. | En premier lieu, il conviendrait que la Commission continue de vérifier que les États membres se conforment à la directive 95/46/CE et, si nécessaire, use de ses pouvoirs en vertu de l’article 258 TFUE. Récemment, des procédures en infraction ont été engagées pour défaut d’application correcte de l’article 28 de la directive concernant l’exigence d’indépendance des APD (64). Dans d’autres domaines pareillement, il convient de vérifier et de garantir la pleine conformité (65). Le CEPD salue et soutient sans réserve l’engagement de la Commission à poursuivre une politique active de répression des infractions. Elle devrait aussi poursuivre le dialogue structurel engagé avec les États membres concernant la mise en œuvre (66). |
| --- | --- |

162.

En premier lieu, il conviendrait que la Commission continue de vérifier que les États membres se conforment à la directive 95/46/CE et, si nécessaire, use de ses pouvoirs en vertu de l’article 258 TFUE. Récemment, des procédures en infraction ont été engagées pour défaut d’application correcte de l’article 28 de la directive concernant l’exigence d’indépendance des APD (64). Dans d’autres domaines pareillement, il convient de vérifier et de garantir la pleine conformité (65). Le CEPD salue et soutient sans réserve l’engagement de la Commission à poursuivre une politique active de répression des infractions. Elle devrait aussi poursuivre le dialogue structurel engagé avec les États membres concernant la mise en œuvre (66).

| 163. | Deuxièmement, les mesures de contrôle de la mise en œuvre au plan national doivent être encouragées afin de garantir une application concrète des règles en matière de protection des données, également en ce qui concerne les nouveaux phénomènes technologiques et les acteurs globaux. Les APD devraient user pleinement de leurs pouvoirs d’enquête et d’application de sanctions. Il importe par ailleurs que les droits existants des personnes concernées, en particulier le droit d’accès, soient pleinement respectés dans la pratique. |
| --- | --- |

163.

Deuxièmement, les mesures de contrôle de la mise en œuvre au plan national doivent être encouragées afin de garantir une application concrète des règles en matière de protection des données, également en ce qui concerne les nouveaux phénomènes technologiques et les acteurs globaux. Les APD devraient user pleinement de leurs pouvoirs d’enquête et d’application de sanctions. Il importe par ailleurs que les droits existants des personnes concernées, en particulier le droit d’accès, soient pleinement respectés dans la pratique.

| 164. | Troisièmement, une coordination accrue des mesures de mise en œuvre de la législation semble nécessaire à court terme. Le rôle du groupe de travail «Article 29» et de ses documents interprétatifs à cet égard est crucial, mais les APD devraient aussi faire tout ce qui est en leur pouvoir pour les mettre en pratique. Il importe d’éviter les issues divergentes dans les affaires à dimension européenne ou mondiale; des approches communes peuvent et doivent être adoptées au sein du groupe de travail. Des enquêtes coordonnées dans toute l’Union, menées sous les auspices du groupe, peuvent aussi s’avérer particulièrement utiles. |
| --- | --- |

164.

Troisièmement, une coordination accrue des mesures de mise en œuvre de la législation semble nécessaire à court terme. Le rôle du groupe de travail «Article 29» et de ses documents interprétatifs à cet égard est crucial, mais les APD devraient aussi faire tout ce qui est en leur pouvoir pour les mettre en pratique. Il importe d’éviter les issues divergentes dans les affaires à dimension européenne ou mondiale; des approches communes peuvent et doivent être adoptées au sein du groupe de travail. Des enquêtes coordonnées dans toute l’Union, menées sous les auspices du groupe, peuvent aussi s’avérer particulièrement utiles.

| 165. | Quatrièmement, les principes de protection des données devraient être «intégrés» à titre préventif dans de nouvelles réglementations susceptibles d’avoir un impact, directement ou indirectement, sur la protection des données. A l’échelle de l’UE, le CEPD déploie des efforts considérables pour contribuer à la mise en place d’une meilleure législation européenne; pareils efforts doivent également être consentis au niveau national. Les APD devraient par conséquent exercer pleinement leurs pouvoirs consultatifs aux fins de cette approche préventive. Elles peuvent aussi — CEPD compris — jouer un rôle préventif en surveillant les évolutions technologiques. Cette surveillance est importante pour détecter à un stade précoce les tendances émergentes et cerner ainsi les implications possibles pour la protection des données, soutenir la mise en place de solutions respectueuses de la vie privée et sensibiliser les parties prenantes. |
| --- | --- |

165.

Quatrièmement, les principes de protection des données devraient être «intégrés» à titre préventif dans de nouvelles réglementations susceptibles d’avoir un impact, directement ou indirectement, sur la protection des données. A l’échelle de l’UE, le CEPD déploie des efforts considérables pour contribuer à la mise en place d’une meilleure législation européenne; pareils efforts doivent également être consentis au niveau national. Les APD devraient par conséquent exercer pleinement leurs pouvoirs consultatifs aux fins de cette approche préventive. Elles peuvent aussi — CEPD compris — jouer un rôle préventif en surveillant les évolutions technologiques. Cette surveillance est importante pour détecter à un stade précoce les tendances émergentes et cerner ainsi les implications possibles pour la protection des données, soutenir la mise en place de solutions respectueuses de la vie privée et sensibiliser les parties prenantes.

| 166. | En dernier lieu, il importe de promouvoir activement une coopération plus étroite entre les divers acteurs au niveau international. À cette fin, les instruments internationaux de coopération doivent être renforcés. Des initiatives telles que les normes de Madrid et les travaux en cours au sein du Conseil de l’Europe et de l’OCDE méritent d’être pleinement soutenues. Dans ce contexte, il est particulièrement réjouissant de constater que la Commission fédérale du commerce des États-Unis a rejoint la famille des commissaires à la protection des données et de la vie privée dans le cadre de leur conférence internationale. |
| --- | --- |

166.

En dernier lieu, il importe de promouvoir activement une coopération plus étroite entre les divers acteurs au niveau international. À cette fin, les instruments internationaux de coopération doivent être renforcés. Des initiatives telles que les normes de Madrid et les travaux en cours au sein du Conseil de l’Europe et de l’OCDE méritent d’être pleinement soutenues. Dans ce contexte, il est particulièrement réjouissant de constater que la Commission fédérale du commerce des États-Unis a rejoint la famille des commissaires à la protection des données et de la vie privée dans le cadre de leur conférence internationale.

D.   CONCLUSIONS

OBSERVATIONS GÉNÉRALES

| 167. | Le CEPD approuve dans l’ensemble la communication de la Commission, persuadé que la révision du cadre juridique actuel pour la protection des données est nécessaire pour garantir une protection efficace dans une société de l’information en constant développement et de plus en plus mondialisée. |
| --- | --- |

167.

Le CEPD approuve dans l’ensemble la communication de la Commission, persuadé que la révision du cadre juridique actuel pour la protection des données est nécessaire pour garantir une protection efficace dans une société de l’information en constant développement et de plus en plus mondialisée.

| 168. | La communication identifie les principaux problèmes et défis. Le CEPD partage l’avis de la Commission selon lequel un solide système de protection des données restera nécessaire à l’avenir, étant admis que les principes généraux existants de protection des données restent valables dans une société en profonde mutation. Il estime aussi, comme indiqué dans la communication, que les défis sont de taille et souligne que les solutions proposées devraient par conséquent être proportionnellement ambitieuses et améliorer l’efficacité de la protection. Il appelle donc à une approche plus ambitieuse sur un certain nombre de points. |
| --- | --- |

168.

La communication identifie les principaux problèmes et défis. Le CEPD partage l’avis de la Commission selon lequel un solide système de protection des données restera nécessaire à l’avenir, étant admis que les principes généraux existants de protection des données restent valables dans une société en profonde mutation. Il estime aussi, comme indiqué dans la communication, que les défis sont de taille et souligne que les solutions proposées devraient par conséquent être proportionnellement ambitieuses et améliorer l’efficacité de la protection. Il appelle donc à une approche plus ambitieuse sur un certain nombre de points.

| 169. | Le CEPD est favorable sans réserve à l’approche globale de la protection des données. Il déplore cependant que la communication exclue certains domaines, tels que le traitement de données par les institutions et organes de l’UE, de l’instrument juridique général. Si la Commission décidait de ne pas inclure ces domaines, le CEPD l’invite instamment à adopter une proposition au niveau européen aussi rapidement que possible, de préférence au plus tard fin 2011. |
| --- | --- |

169.

Le CEPD est favorable sans réserve à l’approche globale de la protection des données. Il déplore cependant que la communication exclue certains domaines, tels que le traitement de données par les institutions et organes de l’UE, de l’instrument juridique général. Si la Commission décidait de ne pas inclure ces domaines, le CEPD l’invite instamment à adopter une proposition au niveau européen aussi rapidement que possible, de préférence au plus tard fin 2011.

LES PRINCIPALES PERSPECTIVES

| 170. | Pour le CEPD, les points de départ de la révision sont les suivants:






  — | les dispositions en matière de protection des données doivent autant que possible servir activement, plutôt qu’entraver, d’autres intérêts légitimes (tels que l’économie européenne, la sécurité des personnes et la responsabilité des gouvernements); |
| --- | --- | --- |

170.

Pour le CEPD, les points de départ de la révision sont les suivants:

—

les dispositions en matière de protection des données doivent autant que possible servir activement, plutôt qu’entraver, d’autres intérêts légitimes (tels que l’économie européenne, la sécurité des personnes et la responsabilité des gouvernements);

| — | les principes généraux de protection des données ne doivent ni ne peuvent être modifiés; |
| --- | --- |

—

les principes généraux de protection des données ne doivent ni ne peuvent être modifiés;

| — | la poursuite de l’harmonisation devrait être un objectif essentiel de la révision; |
| --- | --- |

—

la poursuite de l’harmonisation devrait être un objectif essentiel de la révision;

| — | la perspective des droits fondamentaux devrait figurer au cœur du processus. Un droit fondamental a pour but de protéger les citoyens en toutes circonstances; |
| --- | --- |

—

la perspective des droits fondamentaux devrait figurer au cœur du processus. Un droit fondamental a pour but de protéger les citoyens en toutes circonstances;

| — | le nouvel instrument juridique doit inclure le secteur de la police et de la justice; |
| --- | --- |

—

le nouvel instrument juridique doit inclure le secteur de la police et de la justice;

| — | le nouvel instrument juridique doit être formulé autant que possible dans un environnement technologique neutre et viser à créer une sécurité juridique à long terme. |
| --- | --- |

—

le nouvel instrument juridique doit être formulé autant que possible dans un environnement technologique neutre et viser à créer une sécurité juridique à long terme.

LES ÉLÉMENTS D’UN NOUVEAU CADRE

Harmonisation et simplification

| 171. | Le CEPD salue la volonté de la Commission d’étudier les moyens de garantir une harmonisation accrue de la protection des données au niveau européen. Il détermine les domaines dans lesquels une harmonisation améliorée et renforcée est urgente: définitions, motifs de traitement des données, droits des personnes concernées, transferts internationaux et autorités chargées de la protection des données. |
| --- | --- |

171.

Le CEPD salue la volonté de la Commission d’étudier les moyens de garantir une harmonisation accrue de la protection des données au niveau européen. Il détermine les domaines dans lesquels une harmonisation améliorée et renforcée est urgente: définitions, motifs de traitement des données, droits des personnes concernées, transferts internationaux et autorités chargées de la protection des données.

| 172. | Le CEPD suggère d’envisager les options suivantes pour simplifier et/ou réduire la portée des obligations de notification:






  — | limiter l’obligation de notification à certains types spécifiques de traitements comportant certains risques spécifiques; |
| --- | --- | --- |

172.

Le CEPD suggère d’envisager les options suivantes pour simplifier et/ou réduire la portée des obligations de notification:

—

limiter l’obligation de notification à certains types spécifiques de traitements comportant certains risques spécifiques;

| — | imposer une obligation d’enregistrement simple requérant l’enregistrement des responsables du traitement (au lieu d’exiger le long processus d’enregistrement de l’ensemble des traitements de données); |
| --- | --- |

—

imposer une obligation d’enregistrement simple requérant l’enregistrement des responsables du traitement (au lieu d’exiger le long processus d’enregistrement de l’ensemble des traitements de données);

| — | introduire un formulaire standard de notification paneuropéen. |
| --- | --- |

—

introduire un formulaire standard de notification paneuropéen.

| 173. | Selon le CEPD, un règlement, un instrument unique directement applicable dans les États membres, est le meilleur moyen de protéger le droit fondamental à la protection des données et de parvenir à une meilleure convergence au sein du marché intérieur. |
| --- | --- |

173.

Selon le CEPD, un règlement, un instrument unique directement applicable dans les États membres, est le meilleur moyen de protéger le droit fondamental à la protection des données et de parvenir à une meilleure convergence au sein du marché intérieur.

Renforcer les droits des personnes

| 174. | Le CEPD soutient la proposition de la communication de renforcer les droits des personnes. Il formule les suggestions suivantes:






  — | un principe de transparence pourrait être inclus dans la législation. Il est toutefois plus important de renforcer les dispositions existantes ayant trait à la transparence (p. ex. les articles 10 et 11 de la directive 95/46/CE); |
| --- | --- | --- |

174.

Le CEPD soutient la proposition de la communication de renforcer les droits des personnes. Il formule les suggestions suivantes:

—

un principe de transparence pourrait être inclus dans la législation. Il est toutefois plus important de renforcer les dispositions existantes ayant trait à la transparence (p. ex. les articles 10 et 11 de la directive 95/46/CE);

| — | une disposition sur la notification des violations des données à caractère personnel (brèches de sécurité), qui étend l’obligation incluse dans la directive révisée «vie privée et communications électroniques» à l’ensemble des responsables du traitement, devrait être introduite dans l’instrument général; |
| --- | --- |

—

une disposition sur la notification des violations des données à caractère personnel (brèches de sécurité), qui étend l’obligation incluse dans la directive révisée «vie privée et communications électroniques» à l’ensemble des responsables du traitement, devrait être introduite dans l’instrument général;

| — | les limites du consentement devraient être définies plus précisément. Il devrait être envisagé d’élargir le champ des situations requérant un consentement exprès et d’adopter des règles supplémentaires pour l’environnement en ligne; |
| --- | --- |

—

les limites du consentement devraient être définies plus précisément. Il devrait être envisagé d’élargir le champ des situations requérant un consentement exprès et d’adopter des règles supplémentaires pour l’environnement en ligne;

| — | de nouveaux droits devraient être introduits, tels que la portabilité des données et le droit à l’oubli, en particulier pour les services en ligne de la société de l’information; |
| --- | --- |

—

de nouveaux droits devraient être introduits, tels que la portabilité des données et le droit à l’oubli, en particulier pour les services en ligne de la société de l’information;

| — | les intérêts des enfants devraient être mieux protégés grâce à de nouvelles dispositions, portant spécifiquement sur la collecte et le traitement ultérieur de leurs données; |
| --- | --- |

—

les intérêts des enfants devraient être mieux protégés grâce à de nouvelles dispositions, portant spécifiquement sur la collecte et le traitement ultérieur de leurs données;

| — | des mécanismes de recours collectif pour violation des règles en matière de protection des données devraient être introduits dans la législation de l’UE, dans le but d’habiliter des entités qualifiées à engager des poursuites au nom de groupes de personnes. |
| --- | --- |

—

des mécanismes de recours collectif pour violation des règles en matière de protection des données devraient être introduits dans la législation de l’UE, dans le but d’habiliter des entités qualifiées à engager des poursuites au nom de groupes de personnes.

Renforcer les obligations des responsables de traitement

| 175. | Le nouveau cadre doit contenir des mesures incitant les responsables du traitement à inclure à titre préventif des mesures de protection des données dans leurs processus opérationnels. Le CEPD propose l’introduction de dispositions générales sur la responsabilité («accountability») et la prise en compte du principe de respect de la vie privée dès la conception («privacy by design»). Une disposition sur les systèmes de certification du respect de la vie privée devrait également être introduite. |
| --- | --- |

175.

Le nouveau cadre doit contenir des mesures incitant les responsables du traitement à inclure à titre préventif des mesures de protection des données dans leurs processus opérationnels. Le CEPD propose l’introduction de dispositions générales sur la responsabilité («accountability») et la prise en compte du principe de respect de la vie privée dès la conception («privacy by design»). Une disposition sur les systèmes de certification du respect de la vie privée devrait également être introduite.

La mondialisation et le droit applicable

| 176. | Le CEPD salue les efforts ambitieux déployés à ce stade dans le cadre de la conférence internationale des commissaires à la protection des données pour concevoir les «normes de Madrid», dans l’optique de les intégrer dans un instrument contraignant et d’organiser éventuellement une conférence intergouvernementale. Il invite la Commission à prendre des mesures concrètes en ce sens en étroite collaboration avec l’OCDE et le Conseil de l’Europe. |
| --- | --- |

176.

Le CEPD salue les efforts ambitieux déployés à ce stade dans le cadre de la conférence internationale des commissaires à la protection des données pour concevoir les «normes de Madrid», dans l’optique de les intégrer dans un instrument contraignant et d’organiser éventuellement une conférence intergouvernementale. Il invite la Commission à prendre des mesures concrètes en ce sens en étroite collaboration avec l’OCDE et le Conseil de l’Europe.

| 177. | Un nouvel instrument juridique doit préciser les critères qui déterminent le droit applicable. Il convient de s’assurer que les données traitées dans des pays tiers n’échappent pas à la juridiction de l’UE lorsqu’il existe une demande justifiée d’appliquer le droit de l’UE. Si le cadre juridique prenait la forme d’un règlement, des règles identiques s’appliqueraient dans tous les États membres, ce qui réduirait la nécessité de déterminer le droit applicable (au sein de l’UE). |
| --- | --- |

177.

Un nouvel instrument juridique doit préciser les critères qui déterminent le droit applicable. Il convient de s’assurer que les données traitées dans des pays tiers n’échappent pas à la juridiction de l’UE lorsqu’il existe une demande justifiée d’appliquer le droit de l’UE. Si le cadre juridique prenait la forme d’un règlement, des règles identiques s’appliqueraient dans tous les États membres, ce qui réduirait la nécessité de déterminer le droit applicable (au sein de l’UE).

| 178. | Le CEPD soutient pleinement l’objectif visant à garantir une approche plus uniforme et plus cohérente vis-à-vis des pays tiers et des organisations internationales. Des règles d’entreprise contraignantes devraient être incluses dans l’instrument juridique. |
| --- | --- |

178.

Le CEPD soutient pleinement l’objectif visant à garantir une approche plus uniforme et plus cohérente vis-à-vis des pays tiers et des organisations internationales. Des règles d’entreprise contraignantes devraient être incluses dans l’instrument juridique.

Le secteur de la police et de la justice

| 179. | Un instrument général englobant le secteur de la police et de la justice pourrait autoriser l’inclusion de règles spéciales, qui prennent dûment en compte les spécificités de ce secteur, conformément à la déclaration 21 annexée au traité de Lisbonne. Des garanties spécifiques doivent être mises en place afin d’offrir une compensation aux personnes concernées en leur assurant une protection supplémentaire dans un domaine où le traitement de données à caractère personnel est par essence plus intrusif. |
| --- | --- |

179.

Un instrument général englobant le secteur de la police et de la justice pourrait autoriser l’inclusion de règles spéciales, qui prennent dûment en compte les spécificités de ce secteur, conformément à la déclaration 21 annexée au traité de Lisbonne. Des garanties spécifiques doivent être mises en place afin d’offrir une compensation aux personnes concernées en leur assurant une protection supplémentaire dans un domaine où le traitement de données à caractère personnel est par essence plus intrusif.

| 180. | Le nouveau cadre juridique devrait, dans la mesure du possible, être clair, simple et cohérent. Il faut éviter qu’Europol, Eurojust, SIS et Prüm, par exemple, appliquent des régimes différents. Le CEPD est d’avis que le rapprochement des règles issues des différents systèmes devra se faire avec précaution et de manière progressive. |
| --- | --- |

180.

Le nouveau cadre juridique devrait, dans la mesure du possible, être clair, simple et cohérent. Il faut éviter qu’Europol, Eurojust, SIS et Prüm, par exemple, appliquent des régimes différents. Le CEPD est d’avis que le rapprochement des règles issues des différents systèmes devra se faire avec précaution et de manière progressive.

Les APD et la coopération entre les APD

| 181. | Le CEPD soutient pleinement l’objectif de la Commission de trancher la question du statut des autorités chargées de la protection des données (APD), et plus explicitement de renforcer leur indépendance, leurs ressources et leurs pouvoirs de mise en œuvre de la législation. Il recommande:






  — | de codifier, dans le nouvel instrument juridique, la notion essentielle d’indépendance des APD, telle que définie par la CJUE; |
| --- | --- | --- |

181.

Le CEPD soutient pleinement l’objectif de la Commission de trancher la question du statut des autorités chargées de la protection des données (APD), et plus explicitement de renforcer leur indépendance, leurs ressources et leurs pouvoirs de mise en œuvre de la législation. Il recommande:

—

de codifier, dans le nouvel instrument juridique, la notion essentielle d’indépendance des APD, telle que définie par la CJUE;

| — | de prévoir dans la législation que les APD doivent disposer de ressources suffisantes; |
| --- | --- |

—

de prévoir dans la législation que les APD doivent disposer de ressources suffisantes;

| — | d’attribuer aux autorités des pouvoirs d’enquête et d’application de sanctions harmonisés. |
| --- | --- |

—

d’attribuer aux autorités des pouvoirs d’enquête et d’application de sanctions harmonisés.

| 182. | Le CEPD suggère de nouvelles améliorations concernant le fonctionnement du groupe de travail «Article 29», notamment son indépendance et son infrastructure. Le groupe de travail devrait par ailleurs disposer de ressources suffisantes et d’un secrétariat renforcé. |
| --- | --- |

182.

Le CEPD suggère de nouvelles améliorations concernant le fonctionnement du groupe de travail «Article 29», notamment son indépendance et son infrastructure. Le groupe de travail devrait par ailleurs disposer de ressources suffisantes et d’un secrétariat renforcé.

| 183. | Le CEPD suggère de renforcer le rôle consultatif du groupe en introduisant une obligation, pour les APD et la Commission, de tenir le plus grand compte des avis et positions communes adoptés par le groupe. Il pense préférable de ne pas donner une force contraignante aux positions du groupe, en particulier du fait du statut indépendant de chaque APD. Il recommande l’introduction par la Commission de dispositions spécifiques visant à améliorer la coopération avec le CEPD dans le nouvel instrument juridique. |
| --- | --- |

183.

Le CEPD suggère de renforcer le rôle consultatif du groupe en introduisant une obligation, pour les APD et la Commission, de tenir le plus grand compte des avis et positions communes adoptés par le groupe. Il pense préférable de ne pas donner une force contraignante aux positions du groupe, en particulier du fait du statut indépendant de chaque APD. Il recommande l’introduction par la Commission de dispositions spécifiques visant à améliorer la coopération avec le CEPD dans le nouvel instrument juridique.

| 184. | Le CEPD prie instamment la Commission de se positionner aussi rapidement que possible sur la question de la supervision des organes de l’UE et de systèmes d’informations européens à grande échelle, à la lumière du fait que tous les organes de supervision doivent remplir les critères indispensables d’indépendance, de ressources suffisantes et de pouvoirs de mise en œuvre de la législation et qu’il convient de s’assurer que la perspective européenne est correctement représentée. Le CEPD soutient le modèle de «supervision coordonnée». |
| --- | --- |

184.

Le CEPD prie instamment la Commission de se positionner aussi rapidement que possible sur la question de la supervision des organes de l’UE et de systèmes d’informations européens à grande échelle, à la lumière du fait que tous les organes de supervision doivent remplir les critères indispensables d’indépendance, de ressources suffisantes et de pouvoirs de mise en œuvre de la législation et qu’il convient de s’assurer que la perspective européenne est correctement représentée. Le CEPD soutient le modèle de «supervision coordonnée».

Améliorations dans le cadre du système actuel:

| 185. | Le CEPD encourage la Commission à:






  — | continuer de vérifier que les États membres se conforment à la directive 95/46/CE et, si nécessaire, user de ses pouvoirs en vertu de l’article 258 TFUE; |
| --- | --- | --- |

185.

Le CEPD encourage la Commission à:

—

continuer de vérifier que les États membres se conforment à la directive 95/46/CE et, si nécessaire, user de ses pouvoirs en vertu de l’article 258 TFUE;

| — | promouvoir la mise en œuvre de la législation au niveau national et sa coordination; |
| --- | --- |

—

promouvoir la mise en œuvre de la législation au niveau national et sa coordination;

| — | intégrer à titre préventif des principes de protection des données dans de nouvelles réglementations susceptibles d’avoir une incidence, directement ou indirectement, sur la protection des données; |
| --- | --- |

—

intégrer à titre préventif des principes de protection des données dans de nouvelles réglementations susceptibles d’avoir une incidence, directement ou indirectement, sur la protection des données;

| — | promouvoir activement une coopération plus étroite entre les divers acteurs au niveau international. |
| --- | --- |

—

promouvoir activement une coopération plus étroite entre les divers acteurs au niveau international.

Fait à Bruxelles, le 14 janvier 2011.

Peter HUSTINX

Contrôleur européen de la protection des données

---

(1)  JO L 281 du 23.11.1995, p. 31.

1

(2)  JO L 8 du 12.1.2001, p. 1.

2

(3)  COM(2010) 609 final.

3

(4)  Voir p. 5 de la communication, premier paragraphe.

4

(5)  Avis du contrôleur européen de la protection des données du 25 juillet 2007 sur la communication de la Commission au Parlement européen et au Conseil relative au suivi du programme de travail pour une meilleure mise en application de la directive sur la protection des données, (JO C 255 du 27.10.2007, p. 1).

5

(6)  En particulier (voir le point 77 du présent avis): il n’est pas nécessaire de modifier les principes existants, mais il est indispensable de prendre d’autres dispositions administratives; le vaste champ d’application de la législation sur la protection des données applicable à toute utilisation de données à caractère personnel ne devrait pas être modifié; cette législation devrait permettre l’adoption d’une approche équilibrée dans des cas concrets, ainsi que la définition de priorités par les autorités de la protection des données; le système devrait s’appliquer totalement à l’utilisation de données à caractère personnel à des fins répressives, bien que des mesures supplémentaires adéquates puissent s’avérer nécessaires pour traiter certains problèmes particuliers dans ce domaine.

6

(7)  Document WP 168 (http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2009/wp168_fr.pdf). Son principal message est qu’un changement législatif est une bonne occasion d’éclaircir certaines règles et certains principes clés (p. ex. le consentement, la transparence), d’introduire de nouveaux principes (p. ex. la prise en compte du respect de la vie privée dès la conception, la responsabilité), de renforcer l’efficacité du système par la modernisation des dispositions existantes (p. ex. en limitant les exigences existantes en matière de notification) et d’intégrer tous les éléments dans un seul cadre juridique global (y compris la coopération policière et judiciaire).

7

(8)  Les points de discussion pour la conférence de presse sont disponibles sur le site du CEPD, à l’adresse suivante: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Speeches/2010/10-11-15_Press_conf_speaking_points_PHBG_EN.pdf

8

(9)  Le programme de Stockholm — Une Europe ouverte et sûre qui sert et protège les citoyens, (JO C 115 du 4.5.2010, p. 1), p. 10.

9

(10)  Convention 108 du Conseil de l’Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, STCE no 108, 28 janvier 1981.

10

o

(11)  Lignes directrices de l'OCDE sur la protection de la vie privée et les flux transfrontières de données de caractère personnel, publiées sur http://www.oecd.org

11

(12)  Cette importance accordée à la protection des données et le lien avec la protection de la vie privée dans la charte ont été mis en évidence par la Cour de justice dans son arrêt du 9 novembre 2010, affaires jointes C-92/09 et C-93/09, Schecke, non encore publié au Recueil.

12

Schecke

(13)  Voir l’avis du CEPD du 18 mars 2010 sur la promotion de la confiance dans la société de l’information par la protection des données et de la vie privée, (JO C 280 du 16.10.2010, p. 1), para 113.

13

(14)  Voir p. ex. l’avis du contrôleur européen de la protection des données du 10 juillet 2009 sur la communication de la Commission au Parlement européen et au Conseil intitulée «Un espace de liberté, de sécurité et de justice au service des citoyens», (JO C 276 du 17.9.2009, p. 8).

14

(15)  La sécurité est une notion plus vaste que la sécurité physique, mais en tant qu’illustration des arguments avancés, elle est utilisée dans le cas présent dans son sens plus limité.

15

(16)  Voir également l’avis du contrôleur européen de la protection des données du 25 juillet 2007 sur la communication de la Commission au Parlement européen et au Conseil relative au suivi du programme de travail pour une meilleure mise en application de la directive sur la protection des données, paragraphe 17, qui se base sur la jurisprudence de la Cour européenne des droits de l’homme et de la Cour de justice.

16

(17)  Cf. note 7.

17

(18)  Le présent avis sera essentiellement axé sur l’ancien troisième pilier (coopération policière et judiciaire en matière pénale), étant donné que l’ancien deuxième pilier est non seulement un domaine plus complexe du droit de l’UE (comme le reconnaissent l’article 16 TFUE et l’article 39 UE), mais également moins pertinent pour le traitement de données.

18

(19)  Voir par exemple la communication de la Commission relative à la démarche globale en matière de transfert des données des dossiers passagers (PNR) aux pays tiers, COM(2010) 492 final.

19

(20)  La directive 2006/24/CE du Parlement européen et du Conseil du 15 mars 2006 sur la conservation de données générées ou traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public ou de réseaux publics de communications, et modifiant la directive 2002/58/CE (JO L 105 du 13.4.2006, p. 54).

20

(21)  Décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (JO L 350 du 30.12.2008, p. 60).

21

(22)  Tel que défini dans «L'internet des objets — Un plan d'action pour l'Europe», COM(2009) 278 final.

22

(23)  Voir la page 14 de la communication et la section 3.2.5 du présent avis.

23

(24)  Voir aussi l’avis du CEPD du 24 novembre 2010 sur la communication de la Commission au Parlement européen et au Conseil intitulée «La politique antiterroriste de l'UE: principales réalisations et défis à venir», point 31.

24

(25)  Voir aussi le document des groupes de travail sur l’avenir de la protection de la vie privée (note de bas de page 7), points 18 à 21.

25

(26)  Communication, p. 10.

26

(27)  Voir le document des groupes de travail sur l’avenir de la protection de la vie privée (note de bas de page 7), point 70. Le document fait en particulier référence aux dispositions en matière d’établissement des responsabilités et à la possibilité de réclamer une indemnisation pour préjudice immatériel.

27

(28)  Les approches divergent aussi en ce qui concerne les données traitées manuellement.

28

(29)  Voir l’avis 1/2010 du groupe de travail «Article 29» sur les notions de «responsable du traitement» et de «sous-traitant» (WP 169).

29

(30)  L’article 8, paragraphes 4 et 5, autorise actuellement les États membres, dans certaines conditions, à prévoir des dérogations supplémentaires pour les données sensibles.

30

(31)  Voir, à cet égard, le premier rapport de la Commission sur la mise en œuvre de la directive relative à la protection des données, précité, p. 14.

31

(32)  Document des groupes de travail sur l’avenir de la protection de la vie privée, paragraphe 87.

32

(33)  Affaire C-518/07, Commission/Allemagne, non encore publiée au Recueil.

33

Commission/Allemagne

(34)  Cf. note 26.

34

(35)  Cf. note 26.

35

(36)  Rapport du groupe de travail «Article 29» sur l’obligation de notification aux autorités nationales de contrôle, sur la meilleure utilisation des dérogations et des simplifications et sur le rôle des détachés à la protection des données dans l’Union européenne, WP 106, 2005, p. 7.

36

(37)  Voir l’article 27 du règlement, (JO L 8 du 12.1.2001, p. 1).

37

(38)  Voir la communication, p. 6.

38

(39)  Le groupe de travail «Article 29» élabore en ce moment un avis sur le «consentement», lequel pourrait déboucher sur de nouvelles suggestions.

39

(40)  Le consentement est généralement lié à l’âge à partir duquel les enfants peuvent être soumis à des obligations contractuelles. C’est l’âge auquel les enfants sont censés avoir atteint un certain degré de maturité. Par exemple, le droit espagnol exige d’obtenir le consentement parental pour collecter des données concernant des enfants de moins de 14 ans. Les enfants plus âgés sont réputés aptes à donner leur consentement. Au Royaume-Uni, la loi sur la protection des données ne mentionne aucun âge ou limite d’âge particulier. Cependant, l’autorité britannique de la protection des données a conclu que les enfants de plus de 12 ans pouvaient donner leur consentement, ce qui n’est pas le cas pour les enfants de moins de 12 ans, pour lesquels des données ne peuvent être collectées qu’après avoir obtenu l’autorisation d’un parent ou d’un tuteur.

40

(41)  Aux États-Unis, la loi sur la protection de la vie privée en ligne des enfants (COPPA) requiert des opérateurs de sites commerciaux ou de services en ligne destinés aux enfants de moins de 13 ans qu’ils obtiennent le consentement des parents avant de collecter des informations personnelles; elle impose également aux opérateurs de sites commerciaux destinés au grand public de garder à l’esprit que certains visiteurs sont des enfants.

41

(42)  Voir aussi l’avis du contrôleur européen de la protection des données du 25 juillet 2007 sur la communication de la Commission au Parlement européen et au Conseil relative au suivi du programme de travail pour une meilleure mise en application de la directive sur la protection des données, (JO C 255 du 27.10.2007, p. 10).

42

(43)  Certaines législations nationales prévoient déjà des mécanismes similaires.

43

(44)  Résolution sur la protection intégrée de la vie privée, adoptée lors de la 32e Conférence internationale des commissaires à la protection des données et de la vie privée, tenue à Jérusalem du 27 au 29 octobre 2010.

44

e

(45)  La directive inclut des dispositions qui, de manière indirecte, dans différentes situations, exigent l’application de ce principe. En particulier, l’article 17 prévoit que les responsables du traitement prennent des mesures techniques et d’organisation appropriées pour prévenir tout traitement de données illicite. La directive «Vie privée et communications électroniques» est plus explicite. En vertu de son article 14, paragraphe 3, «au besoin, des mesures peuvent être adoptées afin de garantir que les équipements terminaux seront construits de manière compatible avec le droit des utilisateurs de protéger et de contrôler l'utilisation de leurs données à caractère personnel, conformément à la directive 1999/5/CE et à la décision 87/95/CEE du Conseil du 22 décembre 1986 relative à la normalisation dans le domaine des technologies de l'information et des télécommunications».

45

(46)  Dans le cadre actuel, le considérant 46 encourage les responsables du traitement à mettre en œuvre ce type de mesures, mais un considérant n’a bien entendu aucun effet contraignant.

46

(47)  Comme suggéré par la résolution sur les normes internationales, adoptée lors de la 32e Conférence internationale des commissaires à la protection des données et de la vie privée, tenue à Jérusalem du 27 au 29 octobre 2010.

47

e

(48)  Avis 8/2010 du groupe de travail «Article 29» sur le droit applicable, WP 179.

48

(49)  Sur les transferts internationaux, voir aussi le chapitre 8 du présent avis.

49

(50)  Voir à cet égard l’avis du Contrôleur européen de la protection des données du 30 septembre 2010 sur la communication de la Commission au Parlement européen et au Conseil — «Présentation générale de la gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice», paragraphes 9-19.

50

(51)  Voir la section 3.2.5 ci-dessus.

51

(52)  Il s’agit à l’heure actuelle du champ d’application limité de la décision-cadre 2008/977.

52

(53)  À cet égard, voir le document du groupe de travail sur l’avenir de la protection de la vie privée, point 112.

53

(54)  Affaire C-518/07, Commission/Allemagne, non encore publiée au Recueil.

54

Commission/Allemagne

(55)  Voir, par exemple, l’article 43, paragraphe 2, du règlement (CE) no 45/2001, qui prévoit une telle exigence pour le CEPD.

55

o

(56)  Règlement (CE) no 1211/2009 du Parlement européen et du Conseil du 25 novembre 2009 instituant l’Organe des régulateurs européens des communications électroniques (ORECE) ainsi que l’Office, (JO L 337 du 18.12.2009, p. 1).

56

o

(57)  Outre le groupe de travail «Article 29», la conférence européenne des commissaires à la protection des données a créé, il y a une dizaine d’années, un atelier permanent chargé de traiter les plaintes transfrontières de manière coordonnée. Bien que cet atelier présente une valeur ajoutée indéniable en termes d’échanges entre les membres des personnels des APD et fournisse un réseau fiable de points de contact, il ne peut être considéré comme un mécanisme de coordination des processus décisionnels.

57

(58)  Voir les lettres du groupe de travail du 12 mai 2010 et du 26 mai 2010, publiées sur le site du groupe (http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/2010-others_en.htm).

58

(59)  Comme indiqué plus haut, une obligation similaire est prévue dans le règlement (CE) no 1211/2009, qui précise le rôle de l’Organe des régulateurs européens des communications électroniques (ORECE).

59

o

(60)  Voir, à cet égard, l’article 3 du règlement (CE) no 1211/2009, précité.

60

o

(61)  Par exemple sur la base de l’inventaire des activités législatives publiées annuellement et mises à jour régulièrement, qui est disponible sur le site du CEPD.

61

(62)  En vertu du règlement (CE) no 45/2001, le CEPD est tenu de coopérer avec ces organes.

62

o

(63)  Pour Eurojust, un modèle devrait également prendre en compte le fait que la supervision de la protection des données doit respecter l’indépendance des magistrats, dans la mesure où Eurojust traite des données dans le cadre de procédures pénales.

63

(64)  Voir l’affaire C-518/07, précitée, et le communiqué de presse de la Commission du 28 octobre 2010 (IP/10/1430).

64

(65)  La Commission a engagé une procédure en infraction à l’encontre du Royaume-Uni pour violation présumée de diverses dispositions en matière de protection des données, dont l’exigence de confidentialité pour les communications électroniques dans le cadre de la publicité comportementale. Voir le communiqué de presse de la Commission du 9 avril 2009 (IP/09/570).

65

(66)  Voir le premier rapport de la Commission sur la mise en œuvre de la directive sur la protection des données, précité, p. 22 et suivantes.

66

---

| 22.6.2011 | FR | Journal officiel de l'Union européenne | C 181/24 |
| --- | --- | --- | --- |

22.6.2011

FR

Journal officiel de l'Union européenne

C 181/24

---

Avis du Contrôleur européen de la protection des données sur la proposition de directive du Parlement européen et du Conseil relative à l’utilisation des données des dossiers passagers pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière

2011/C 181/02

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu la demande d’avis formulée conformément à l’article 28, paragraphe 2, du règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (2),

A ADOPTÉ L’AVIS SUIVANT:

I.   INTRODUCTION

I.1.   Consultation du CEPD

| 1. | Le 2 février 2011, la Commission a adopté une proposition de directive du Parlement européen et du Conseil relative à l’utilisation des données des dossiers passagers pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière (ci-après «la proposition») (3). La proposition a été envoyée au CEPD pour consultation le même jour. |
| --- | --- |

1.

Le 2 février 2011, la Commission a adopté une proposition de directive du Parlement européen et du Conseil relative à l’utilisation des données des dossiers passagers pour la prévention et la détection des infractions terroristes et des formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière (ci-après «la proposition») (3). La proposition a été envoyée au CEPD pour consultation le même jour.

| 2. | Le CEPD se félicite d’avoir été consulté par la Commission. Déjà avant l’adoption de la proposition, le CEPD avait eu la possibilité de présenter des observations informelles. Certaines de ces observations ont été prises en considération dans la proposition et le CEPD relève que dans l’ensemble, les garanties de protection des données ont été renforcées dans la proposition. Cependant, un certain nombre de points restent préoccupants, notamment en ce qui concerne l’ampleur et les finalités de la collecte des données à caractère personnel. |
| --- | --- |

2.

Le CEPD se félicite d’avoir été consulté par la Commission. Déjà avant l’adoption de la proposition, le CEPD avait eu la possibilité de présenter des observations informelles. Certaines de ces observations ont été prises en considération dans la proposition et le CEPD relève que dans l’ensemble, les garanties de protection des données ont été renforcées dans la proposition. Cependant, un certain nombre de points restent préoccupants, notamment en ce qui concerne l’ampleur et les finalités de la collecte des données à caractère personnel.

I.2.   La proposition dans son contexte

| 3. | Des discussions sur un possible système PNR à l’échelle de l’Union sont engagées depuis 2007, date à laquelle la Commission a adopté une proposition de décision-cadre du Conseil sur cette question (4). Le principal objectif d’un système PNR au niveau de l’Union est la mise en place d’un système obligeant les transporteurs aériens assurant des vols internationaux entre l’UE et des pays tiers à transmettre aux autorités compétentes les données PNR de tous les passagers, afin de prévenir et de détecter les infractions terroristes et les formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière. Les données seraient centralisées et analysées par des unités de renseignements passagers et le résultat de l’analyse serait transmis aux autorités nationales compétentes de chaque État membre. |
| --- | --- |

3.

Des discussions sur un possible système PNR à l’échelle de l’Union sont engagées depuis 2007, date à laquelle la Commission a adopté une proposition de décision-cadre du Conseil sur cette question (4). Le principal objectif d’un système PNR au niveau de l’Union est la mise en place d’un système obligeant les transporteurs aériens assurant des vols internationaux entre l’UE et des pays tiers à transmettre aux autorités compétentes les données PNR de tous les passagers, afin de prévenir et de détecter les infractions terroristes et les formes graves de criminalité, ainsi que pour les enquêtes et les poursuites en la matière. Les données seraient centralisées et analysées par des unités de renseignements passagers et le résultat de l’analyse serait transmis aux autorités nationales compétentes de chaque État membre.

| 4. | Depuis 2007, le CEPD suit de près les développements liés à un possible système PNR au niveau de l’Union, parallèlement aux développements concernant les systèmes PNR de pays tiers. Le 20 décembre 2007, le CEPD a adopté un avis sur cette proposition de la Commission (5). À de nombreuses autres occasions, des observations concordantes ont été formulées, non seulement par le CEPD mais également par le groupe de travail «Article 29» (6), sur la question de la conformité du traitement des données PNR à des fins répressives avec les principes de nécessité et de proportionnalité ainsi qu’avec d’autres garanties essentielles en matière de protection des données. |
| --- | --- |

4.

Depuis 2007, le CEPD suit de près les développements liés à un possible système PNR au niveau de l’Union, parallèlement aux développements concernant les systèmes PNR de pays tiers. Le 20 décembre 2007, le CEPD a adopté un avis sur cette proposition de la Commission (5). À de nombreuses autres occasions, des observations concordantes ont été formulées, non seulement par le CEPD mais également par le groupe de travail «Article 29» (6), sur la question de la conformité du traitement des données PNR à des fins répressives avec les principes de nécessité et de proportionnalité ainsi qu’avec d’autres garanties essentielles en matière de protection des données.

| 5. | Le principal aspect régulièrement soulevé par le CEPD porte sur la justification de la nécessité d’un système PNR européen qui viendrait s’ajouter à un certain nombre d’autres instruments autorisant le traitement de données à caractère personnel à des fins répressives. |
| --- | --- |

5.

Le principal aspect régulièrement soulevé par le CEPD porte sur la justification de la nécessité d’un système PNR européen qui viendrait s’ajouter à un certain nombre d’autres instruments autorisant le traitement de données à caractère personnel à des fins répressives.

| 6. | Le CEPD reconnaît que des améliorations visibles sur le plan de la protection des données ont été apportées à la proposition actuelle, par rapport à la version sur laquelle il a déjà rendu un avis. Ces améliorations portent notamment sur le champ d’application de la proposition, la définition du rôle des différentes parties prenantes (unités de renseignements passagers), l’exclusion du traitement de données sensibles, l’adoption d’une méthode «push» sans période de transition (7) et la limitation de la période de conservation des données. |
| --- | --- |

6.

Le CEPD reconnaît que des améliorations visibles sur le plan de la protection des données ont été apportées à la proposition actuelle, par rapport à la version sur laquelle il a déjà rendu un avis. Ces améliorations portent notamment sur le champ d’application de la proposition, la définition du rôle des différentes parties prenantes (unités de renseignements passagers), l’exclusion du traitement de données sensibles, l’adoption d’une méthode «push» sans période de transition (7) et la limitation de la période de conservation des données.

| 7. | Le CEPD se félicite également des éléments supplémentaires inclus dans l’analyse d’impact sur la justification d’un système PNR au niveau de l’Union. Cependant, alors qu’il existe une volonté claire d’expliquer la nécessité du système, le CEPD ne trouve toujours dans ces nouvelles justifications aucun motif probant pour développer le système, notamment en ce qui concerne «l’information préalable» à grande échelle de tous les passagers. La nécessité et la proportionnalité seront analysées ci-dessous au chapitre II. Le chapitre III portera sur des aspects plus spécifiques de la proposition. |
| --- | --- |

7.

Le CEPD se félicite également des éléments supplémentaires inclus dans l’analyse d’impact sur la justification d’un système PNR au niveau de l’Union. Cependant, alors qu’il existe une volonté claire d’expliquer la nécessité du système, le CEPD ne trouve toujours dans ces nouvelles justifications aucun motif probant pour développer le système, notamment en ce qui concerne «l’information préalable» à grande échelle de tous les passagers. La nécessité et la proportionnalité seront analysées ci-dessous au chapitre II. Le chapitre III portera sur des aspects plus spécifiques de la proposition.

II.   NÉCESSITÉ ET PROPORTIONNALITÉ DE LA PROPOSITION

II.1.   Observations préliminaires sur la nécessité et la proportionnalité

| 8. | La démonstration de la nécessité et de la proportionnalité du traitement de données est un préalable indispensable au développement du système PNR. Dans le passé, le CEPD a déjà insisté, notamment dans le contexte de la révision possible de la directive 2006/24/CE (ci-après la «directive relative à la conservation des données»), sur le fait que la nécessité de traiter ou de stocker d’énormes quantités de données doit s’appuyer sur une démonstration claire de la relation entre l’utilisation et le résultat, et permettre l’évaluation sine qua non de la possibilité d'obtenir des résultats comparables avec d’autres moyens, plus respectueux de la vie privée (8). |
| --- | --- |

8.

La démonstration de la nécessité et de la proportionnalité du traitement de données est un préalable indispensable au développement du système PNR. Dans le passé, le CEPD a déjà insisté, notamment dans le contexte de la révision possible de la directive 2006/24/CE (ci-après la «directive relative à la conservation des données»), sur le fait que la nécessité de traiter ou de stocker d’énormes quantités de données doit s’appuyer sur une démonstration claire de la relation entre l’utilisation et le résultat, et permettre l’évaluation sine qua non de la possibilité d'obtenir des résultats comparables avec d’autres moyens, plus respectueux de la vie privée (8).

| 9. | En vue de justifier le système, la proposition, et notamment son analyse d’impact, comprennent une documentation complète et des arguments juridiques afin d’établir, d’une part, que le système est nécessaire et, d’autre part, qu’il est conforme aux exigences en matière de protection des données. Elle va même encore plus loin en énonçant qu’elle apporte de la valeur ajoutée sur le plan de l’harmonisation des normes en matière de protection des données. |
| --- | --- |

9.

En vue de justifier le système, la proposition, et notamment son analyse d’impact, comprennent une documentation complète et des arguments juridiques afin d’établir, d’une part, que le système est nécessaire et, d’autre part, qu’il est conforme aux exigences en matière de protection des données. Elle va même encore plus loin en énonçant qu’elle apporte de la valeur ajoutée sur le plan de l’harmonisation des normes en matière de protection des données.

| 10. | Après avoir analysé ces éléments, le CEPD considère que la proposition dans sa version actuelle ne satisfait pas aux exigences de nécessité et de proportionnalité imposées par l’article 8 de la Charte des droits fondamentaux de l’Union, l’article 8 de la CEDH et l’article 16 TFUE. Le raisonnement qui sous-tend cette observation est développé dans les paragraphes suivants. |
| --- | --- |

10.

Après avoir analysé ces éléments, le CEPD considère que la proposition dans sa version actuelle ne satisfait pas aux exigences de nécessité et de proportionnalité imposées par l’article 8 de la Charte des droits fondamentaux de l’Union, l’article 8 de la CEDH et l’article 16 TFUE. Le raisonnement qui sous-tend cette observation est développé dans les paragraphes suivants.

II.2.   Documents et statistiques communiqués par la Commission

| 11. | Le CEPD constate que l’analyse d’impact comprend d’abondantes explications et statistiques visant à justifier la proposition. Ces éléments ne sont cependant pas convaincants. À titre d’exemple, la description de la menace du terrorisme et des formes graves de criminalité dans l’analyse d’impact ainsi que dans l’exposé des motifs de la proposition (9) cite le nombre de 14 000 infractions pénales par tranche de 100 000 habitants dans les États membres en 2007. Si ce chiffre peut paraître impressionnant, il concerne en fait des types de criminalité non différenciés et ne peut en aucune façon contribuer à justifier une proposition qui ne cible et ne combat qu’un type limité de criminalité grave et transnationale et de terrorisme. Prenons un autre exemple: le fait de citer un rapport sur les «problèmes» de drogue sans lier les statistiques au type de trafic de stupéfiants concerné par la proposition ne constitue pas selon le CEPD une référence valable. Il en est de même pour les indications des conséquences de la criminalité, qui citent la «valeur du patrimoine volé» et l’impact physique et émotionnel sur les victimes, alors qu’il ne s’agit pas de données directement liées à l’objet de la proposition. |
| --- | --- |

11.

Le CEPD constate que l’analyse d’impact comprend d’abondantes explications et statistiques visant à justifier la proposition. Ces éléments ne sont cependant pas convaincants. À titre d’exemple, la description de la menace du terrorisme et des formes graves de criminalité dans l’analyse d’impact ainsi que dans l’exposé des motifs de la proposition (9) cite le nombre de 14 000 infractions pénales par tranche de 100 000 habitants dans les États membres en 2007. Si ce chiffre peut paraître impressionnant, il concerne en fait des types de criminalité non différenciés et ne peut en aucune façon contribuer à justifier une proposition qui ne cible et ne combat qu’un type limité de criminalité grave et transnationale et de terrorisme. Prenons un autre exemple: le fait de citer un rapport sur les «problèmes» de drogue sans lier les statistiques au type de trafic de stupéfiants concerné par la proposition ne constitue pas selon le CEPD une référence valable. Il en est de même pour les indications des conséquences de la criminalité, qui citent la «valeur du patrimoine volé» et l’impact physique et émotionnel sur les victimes, alors qu’il ne s’agit pas de données directement liées à l’objet de la proposition.

| 12. | Un dernier exemple: l’analyse d’impact indique que la Belgique a «signalé que 95 % de toutes les saisies de drogues en 2009 étaient exclusivement ou essentiellement consécutives au traitement des données PNR». Il convient cependant de souligner que la Belgique n’a pas (encore) mis en place de projet PNR systématique, comparable à celui que prévoit la proposition. Les données PNR pourraient donc être utiles dans des cas bien précis, ce que le CEPD ne conteste pas. C’est plutôt la collecte à grande échelle aux fins d’une évaluation systématique de tous les passagers qui soulève de sérieuses préoccupations en matière de protection des données. |
| --- | --- |

12.

Un dernier exemple: l’analyse d’impact indique que la Belgique a «signalé que 95 % de toutes les saisies de drogues en 2009 étaient exclusivement ou essentiellement consécutives au traitement des données PNR». Il convient cependant de souligner que la Belgique n’a pas (encore) mis en place de projet PNR systématique, comparable à celui que prévoit la proposition. Les données PNR pourraient donc être utiles dans des cas bien précis, ce que le CEPD ne conteste pas. C’est plutôt la collecte à grande échelle aux fins d’une évaluation systématique de tous les passagers qui soulève de sérieuses préoccupations en matière de protection des données.

| 13. | Le CEPD considère que les documents de référence ne sont pas suffisamment pertinents et précis pour démontrer la nécessité de l’instrument. |
| --- | --- |

13.

Le CEPD considère que les documents de référence ne sont pas suffisamment pertinents et précis pour démontrer la nécessité de l’instrument.

II.3.   Conditions pour limiter un droit fondamental

| 14. | Si le document établit le lien entre les mesures de traitement des données et la Charte, la CEDH et l’article 16 TFUE, il mentionne directement les limitations possibles de ces droits et adhère à la conclusion selon laquelle «les mesures proposées étant destinées à lutter contre le terrorisme et d’autres infractions graves, contenues dans un acte législatif, elles respecteraient manifestement de telles exigences à condition qu’elles soient nécessaires dans une société démocratique et sous réserve du respect du principe de proportionnalité» (10). Cependant, une démonstration claire de la nécessité des mesures et de l’absence d’autres solutions moins intrusives fait défaut. |
| --- | --- |

14.

Si le document établit le lien entre les mesures de traitement des données et la Charte, la CEDH et l’article 16 TFUE, il mentionne directement les limitations possibles de ces droits et adhère à la conclusion selon laquelle «les mesures proposées étant destinées à lutter contre le terrorisme et d’autres infractions graves, contenues dans un acte législatif, elles respecteraient manifestement de telles exigences à condition qu’elles soient nécessaires dans une société démocratique et sous réserve du respect du principe de proportionnalité» (10). Cependant, une démonstration claire de la nécessité des mesures et de l’absence d’autres solutions moins intrusives fait défaut.

| 15. | En ce sens, le fait que des finalités supplémentaires telles que l’application de la loi en matière d’immigration, la «no-flight list» et la sécurité sanitaire ont été envisagées et n’ont finalement pas été incluses pour des raisons de proportionnalité ne signifie pas que la «limitation» du traitement des données PNR aux infractions terroristes et autres formes graves de criminalité soit de fait proportionnée car moins invasive. L’option consistant à limiter le système à la lutte contre le terrorisme, sans inclure d’infractions supplémentaires, comme envisagé dans de précédents systèmes PNR, et notamment dans le précédent système PNR australien, n’a pas non plus été envisagée. Le CEPD souligne que dans ce système antérieur, sur lequel le groupe de travail «Article 29» a adopté un avis positif en 2004, les finalités étaient limitées à «[l’identification] des passagers susceptibles de représenter une menace de terrorisme ou d’activité criminelle connexe» (11). Le système australien ne prévoyait pas non plus de conserver les données PNR à l’exception de celles concernant certains passagers, identifiés comme présentant une menace spécifique (12). |
| --- | --- |

15.

En ce sens, le fait que des finalités supplémentaires telles que l’application de la loi en matière d’immigration, la «no-flight list» et la sécurité sanitaire ont été envisagées et n’ont finalement pas été incluses pour des raisons de proportionnalité ne signifie pas que la «limitation» du traitement des données PNR aux infractions terroristes et autres formes graves de criminalité soit de fait proportionnée car moins invasive. L’option consistant à limiter le système à la lutte contre le terrorisme, sans inclure d’infractions supplémentaires, comme envisagé dans de précédents systèmes PNR, et notamment dans le précédent système PNR australien, n’a pas non plus été envisagée. Le CEPD souligne que dans ce système antérieur, sur lequel le groupe de travail «Article 29» a adopté un avis positif en 2004, les finalités étaient limitées à «[l’identification] des passagers susceptibles de représenter une menace de terrorisme ou d’activité criminelle connexe» (11). Le système australien ne prévoyait pas non plus de conserver les données PNR à l’exception de celles concernant certains passagers, identifiés comme présentant une menace spécifique (12).

| 16. | En outre, en ce qui concerne la prévisibilité de la surveillance pour les personnes concernées, on peut douter que la proposition de la Commission satisfasse aux exigences d’une base juridique solide conformément au droit de l’Union: l’«évaluation» des passagers («évaluation des risques» dans la version précédente) sera réalisée sur la base de critères non transparents et en constante évolution. Comme cela est explicitement mentionné dans le texte, le principal objet du système n’est pas le traditionnel contrôle aux frontières, mais plutôt le renseignement en matière criminelle (13) et l’arrestation de personnes qui ne sont pas des suspects, avant qu’une infraction ait été commise. Le développement d’un tel système à l’échelle européenne, impliquant la collecte des données de tous les passagers et la prise de décisions sur la base de critères d’évaluation inconnus et qui évoluent, suscite de sérieuses préoccupations en matière de transparence et de proportionnalité. |
| --- | --- |

16.

En outre, en ce qui concerne la prévisibilité de la surveillance pour les personnes concernées, on peut douter que la proposition de la Commission satisfasse aux exigences d’une base juridique solide conformément au droit de l’Union: l’«évaluation» des passagers («évaluation des risques» dans la version précédente) sera réalisée sur la base de critères non transparents et en constante évolution. Comme cela est explicitement mentionné dans le texte, le principal objet du système n’est pas le traditionnel contrôle aux frontières, mais plutôt le renseignement en matière criminelle (13) et l’arrestation de personnes qui ne sont pas des suspects, avant qu’une infraction ait été commise. Le développement d’un tel système à l’échelle européenne, impliquant la collecte des données de tous les passagers et la prise de décisions sur la base de critères d’évaluation inconnus et qui évoluent, suscite de sérieuses préoccupations en matière de transparence et de proportionnalité.

| 17. | Selon le CEPD, la seule finalité qui serait conforme aux exigences de transparence et de proportionnalité serait l’utilisation des données PNR au cas par cas, comme indiqué à l’article 4, paragraphe 2, point c), mais uniquement quand survient une menace réelle et sérieuse appuyée par des indicateurs concrets. |
| --- | --- |

17.

Selon le CEPD, la seule finalité qui serait conforme aux exigences de transparence et de proportionnalité serait l’utilisation des données PNR au cas par cas, comme indiqué à l’article 4, paragraphe 2, point c), mais uniquement quand survient une menace réelle et sérieuse appuyée par des indicateurs concrets.

II.4.   Le risque de détournement d’usage

| 18. | L’article 4, paragraphe 2, point b), dispose que les unités de renseignements passagers peuvent procéder à l’évaluation du risque que représentent les passagers et, ce faisant, confronter les données PNR aux «bases de données pertinentes». Cette disposition n’indique pas quelles sont les bases de données pertinentes. La mesure n’est donc pas prévisible, alors qu’il s’agit d’une condition prévue dans la Charte et la CEDH. Cette disposition soulève également la question de sa compatibilité avec le principe de limitation de la finalité: selon le CEPD, elle devrait par exemple être exclue pour une base de données telle qu’Eurodac qui a été développée pour des finalités différentes (14). En outre, elle ne devrait être envisagée qu’en cas de besoin spécifique, dans une situation particulière où il existe une suspicion préexistante concernant une personne après qu’une infraction a été commise. Par exemple, la confrontation systématique de la base de données du système d’information sur les visas (15) avec les données PNR serait excessive et disproportionnée. |
| --- | --- |

18.

L’article 4, paragraphe 2, point b), dispose que les unités de renseignements passagers peuvent procéder à l’évaluation du risque que représentent les passagers et, ce faisant, confronter les données PNR aux «bases de données pertinentes». Cette disposition n’indique pas quelles sont les bases de données pertinentes. La mesure n’est donc pas prévisible, alors qu’il s’agit d’une condition prévue dans la Charte et la CEDH. Cette disposition soulève également la question de sa compatibilité avec le principe de limitation de la finalité: selon le CEPD, elle devrait par exemple être exclue pour une base de données telle qu’Eurodac qui a été développée pour des finalités différentes (14). En outre, elle ne devrait être envisagée qu’en cas de besoin spécifique, dans une situation particulière où il existe une suspicion préexistante concernant une personne après qu’une infraction a été commise. Par exemple, la confrontation systématique de la base de données du système d’information sur les visas (15) avec les données PNR serait excessive et disproportionnée.

II.5.   La valeur ajoutée de la proposition sur le plan de la protection des données

| 19. | L’idée selon laquelle la proposition améliorerait la protection des données en offrant des conditions égales en ce qui concerne les droits des personnes est critiquable. Le CEPD reconnaît le fait que, si la nécessité et la proportionnalité du système étaient établies, des normes uniformes à travers l’Union, y compris en matière de protection des données, amélioreraient la sécurité juridique. Cependant, le libellé actuel de la proposition, au considérant 28, mentionne que «la présente directive ne porte pas atteinte à la possibilité offerte aux États membres de prévoir, en vertu de leur législation nationale, un système de collecte et de traitement des données PNR à des fins autres que celles visées dans la présente directive, ou de collecter, auprès de transporteurs autres que ceux que la directive mentionne, des données relatives à des vols intérieurs (...)». |
| --- | --- |

19.

L’idée selon laquelle la proposition améliorerait la protection des données en offrant des conditions égales en ce qui concerne les droits des personnes est critiquable. Le CEPD reconnaît le fait que, si la nécessité et la proportionnalité du système étaient établies, des normes uniformes à travers l’Union, y compris en matière de protection des données, amélioreraient la sécurité juridique. Cependant, le libellé actuel de la proposition, au considérant 28, mentionne que «la présente directive ne porte pas atteinte à la possibilité offerte aux États membres de prévoir, en vertu de leur législation nationale, un système de collecte et de traitement des données PNR à des fins autres que celles visées dans la présente directive, ou de collecter, auprès de transporteurs autres que ceux que la directive mentionne, des données relatives à des vols intérieurs (...)».

| 20. | L’harmonisation apportée par la proposition est donc limitée. Elle peut concerner les droits des personnes concernées, mais non la limitation des finalités, et on peut supposer que selon ce libellé, les systèmes PNR déjà utilisés pour lutter par exemple contre l’immigration illégale pourraient poursuivre cette lutte conformément à la directive. |
| --- | --- |

20.

L’harmonisation apportée par la proposition est donc limitée. Elle peut concerner les droits des personnes concernées, mais non la limitation des finalités, et on peut supposer que selon ce libellé, les systèmes PNR déjà utilisés pour lutter par exemple contre l’immigration illégale pourraient poursuivre cette lutte conformément à la directive.

| 21. | Cela signifie, d'une part, que des différences subsisteraient entre les États membres ayant déjà développé un système PNR, et, d’autre part, que la grande majorité des États membres qui ne collectent pas systématiquement de données PNR (21 sur 27 États membres) y seront contraints. Le CEPD estime que sous cet angle, toute valeur ajoutée sur le plan de la protection des données est très contestable. |
| --- | --- |

21.

Cela signifie, d'une part, que des différences subsisteraient entre les États membres ayant déjà développé un système PNR, et, d’autre part, que la grande majorité des États membres qui ne collectent pas systématiquement de données PNR (21 sur 27 États membres) y seront contraints. Le CEPD estime que sous cet angle, toute valeur ajoutée sur le plan de la protection des données est très contestable.

| 22. | Les conséquences du considérant 28 constituent au contraire une grave violation du principe de limitation de la finalité. Selon le CEPD, la proposition devrait explicitement prévoir que les données PNR ne peuvent pas être utilisées pour d’autres finalités. |
| --- | --- |

22.

Les conséquences du considérant 28 constituent au contraire une grave violation du principe de limitation de la finalité. Selon le CEPD, la proposition devrait explicitement prévoir que les données PNR ne peuvent pas être utilisées pour d’autres finalités.

| 23. | Le CEPD parvient à une conclusion similaire à celle tirée de l’évaluation de la directive sur la conservation des données: dans les deux contextes, l’absence d’harmonisation réelle va de pair avec l’absence de sécurité juridique. En outre, la collecte et le traitement supplémentaires de données à caractère personnel deviennent obligatoires pour l’ensemble des États membres, alors que la nécessité réelle du système n’a pas été démontrée. |
| --- | --- |

23.

Le CEPD parvient à une conclusion similaire à celle tirée de l’évaluation de la directive sur la conservation des données: dans les deux contextes, l’absence d’harmonisation réelle va de pair avec l’absence de sécurité juridique. En outre, la collecte et le traitement supplémentaires de données à caractère personnel deviennent obligatoires pour l’ensemble des États membres, alors que la nécessité réelle du système n’a pas été démontrée.

II.6.   Lien avec la communication sur la gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice

| 24. | Le CEPD constate également que les développements du système PNR sont liés à l’évaluation générale en cours de l’ensemble des instruments de l’UE dans le domaine de la gestion de l’échange d’informations, lancée par la Commission en janvier 2010 et développée dans la récente communication sur la présentation générale de la gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice (16). Notamment, un lien est clairement établi avec le débat actuel sur la stratégie européenne relative à la gestion de l’information. Le CEPD considère à cet égard que les résultats des travaux actuels sur le modèle européen d’échange d’informations, dont la publication est prévue pour 2012, devraient être pris en considération dans l’évaluation de la nécessité d’un système PNR à l’échelle de l’Union. |
| --- | --- |

24.

Le CEPD constate également que les développements du système PNR sont liés à l’évaluation générale en cours de l’ensemble des instruments de l’UE dans le domaine de la gestion de l’échange d’informations, lancée par la Commission en janvier 2010 et développée dans la récente communication sur la présentation générale de la gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice (16). Notamment, un lien est clairement établi avec le débat actuel sur la stratégie européenne relative à la gestion de l’information. Le CEPD considère à cet égard que les résultats des travaux actuels sur le modèle européen d’échange d’informations, dont la publication est prévue pour 2012, devraient être pris en considération dans l’évaluation de la nécessité d’un système PNR à l’échelle de l’Union.

| 25. | Dans ce contexte, et eu égard aux faiblesses de la proposition et notamment de son analyse d’impact, le CEPD estime qu’une analyse d’impact de la protection des données et de la vie privée est nécessaire dans des cas comme celui-ci, où le contenu de la proposition concerne les droits fondamentaux à la vie privée et à la protection des données. Une analyse d’impact générale ne suffit pas. |
| --- | --- |

25.

Dans ce contexte, et eu égard aux faiblesses de la proposition et notamment de son analyse d’impact, le CEPD estime qu’une analyse d’impact de la protection des données et de la vie privée est nécessaire dans des cas comme celui-ci, où le contenu de la proposition concerne les droits fondamentaux à la vie privée et à la protection des données. Une analyse d’impact générale ne suffit pas.

III.   OBSERVATIONS PARTICULIERES

III.1.   Champ d’application

| 26. | Les infractions terroristes, les infractions graves et les infractions transnationales graves sont définies à l’article 2, points g), h) et i) de la proposition. Le CEPD se félicite du fait que les définitions — et leur champ d’application— aient été affinées et qu’une distinction ait été établie entre les infractions graves et les infractions transnationales graves. Cette distinction est appréciée, surtout parce qu’elle implique un traitement différent des données à caractère personnel, excluant une évaluation au regard de critères préétablis lorsqu’il s’agit d’infractions graves qui ne sont pas transnationales. |
| --- | --- |

26.

Les infractions terroristes, les infractions graves et les infractions transnationales graves sont définies à l’article 2, points g), h) et i) de la proposition. Le CEPD se félicite du fait que les définitions — et leur champ d’application— aient été affinées et qu’une distinction ait été établie entre les infractions graves et les infractions transnationales graves. Cette distinction est appréciée, surtout parce qu’elle implique un traitement différent des données à caractère personnel, excluant une évaluation au regard de critères préétablis lorsqu’il s’agit d’infractions graves qui ne sont pas transnationales.

| 27. | La définition d’infractions graves reste cependant trop large selon le CEPD. La proposition le reconnaît et indique que les États membres ont toujours la possibilité d’exclure les infractions mineures relevant de la définition d’infractions graves (17) mais pour lesquelles le traitement de données PNR ne serait pas conforme au principe de proportionnalité. Ce libellé laisse entendre que la définition prévue dans la proposition pourrait aussi bien inclure des infractions mineures, dont le traitement serait disproportionné. Ce que les infractions mineures devraient couvrir n’est pas clairement défini. Au lieu de laisser aux États membres la possibilité de limiter le champ d’application, le CEPD considère que la proposition devrait explicitement énumérer les infractions qui devraient être incluses dans son champ d’application, et celles qui devraient être exclues étant donné qu’elles devraient être considérées comme mineures et ne satisfont pas au critère de la proportionnalité. |
| --- | --- |

27.

La définition d’infractions graves reste cependant trop large selon le CEPD. La proposition le reconnaît et indique que les États membres ont toujours la possibilité d’exclure les infractions mineures relevant de la définition d’infractions graves (17) mais pour lesquelles le traitement de données PNR ne serait pas conforme au principe de proportionnalité. Ce libellé laisse entendre que la définition prévue dans la proposition pourrait aussi bien inclure des infractions mineures, dont le traitement serait disproportionné. Ce que les infractions mineures devraient couvrir n’est pas clairement défini. Au lieu de laisser aux États membres la possibilité de limiter le champ d’application, le CEPD considère que la proposition devrait explicitement énumérer les infractions qui devraient être incluses dans son champ d’application, et celles qui devraient être exclues étant donné qu’elles devraient être considérées comme mineures et ne satisfont pas au critère de la proportionnalité.

| 28. | Il en est de même pour la possibilité laissée à l’article 5, paragraphe 5, de traiter des données liées à tout type d’infraction détectée lors d’actions répressives, ainsi que la possibilité mentionnée au considérant (28) d’étendre le champ d’application à d’autres fins que celles visées dans la proposition, ou à d’autres transporteurs. |
| --- | --- |

28.

Il en est de même pour la possibilité laissée à l’article 5, paragraphe 5, de traiter des données liées à tout type d’infraction détectée lors d’actions répressives, ainsi que la possibilité mentionnée au considérant (28) d’étendre le champ d’application à d’autres fins que celles visées dans la proposition, ou à d’autres transporteurs.

| 29. | Le CEPD est également préoccupé par la possibilité visée à l’article 17 d’inclure les vols internes dans le champ d’application de la directive, compte tenu de l’expérience acquise par les États membres qui recueillent déjà des données PNR relatives à des vols internes. Un tel élargissement du champ d’application du système PNR menacerait de manière encore plus importante les droits fondamentaux des personnes et ne devrait pas être envisagé avant d’effectuer une analyse correcte comprenant une analyse d’impact détaillée. |
| --- | --- |

29.

Le CEPD est également préoccupé par la possibilité visée à l’article 17 d’inclure les vols internes dans le champ d’application de la directive, compte tenu de l’expérience acquise par les États membres qui recueillent déjà des données PNR relatives à des vols internes. Un tel élargissement du champ d’application du système PNR menacerait de manière encore plus importante les droits fondamentaux des personnes et ne devrait pas être envisagé avant d’effectuer une analyse correcte comprenant une analyse d’impact détaillée.

| 30. | Pour conclure, le fait de laisser le champ d’application ouvert et de donner aux États membres la possibilité d’étendre les finalités est contraire à l’exigence selon laquelle les données ne peuvent être collectées que pour des finalités spécifiées et explicites. |
| --- | --- |

30.

Pour conclure, le fait de laisser le champ d’application ouvert et de donner aux États membres la possibilité d’étendre les finalités est contraire à l’exigence selon laquelle les données ne peuvent être collectées que pour des finalités spécifiées et explicites.

III.2.   Unités de renseignements passagers

| 31. | Le rôle des unités de renseignements passagers et les garanties qui entourent le traitement des données PNR soulèvent des questions spécifiques, notamment compte tenu du fait que les unités de renseignements passagers reçoivent les données de tous les passagers qui leur sont communiquées par les transporteurs aériens et qu’elles sont dotées — en vertu du texte de la proposition — de compétences larges pour traiter ces données. Ce rôle comprend l’évaluation du comportement de passagers qui ne sont suspectés d’aucune infraction et la possibilité de recouper des données PNR avec des bases de données indéterminées (18). Le CEPD constate que la proposition prévoit des conditions «d’accès restrictif», mais considère que ces conditions ne suffisent pas à elles seules, étant donné l’ampleur des compétences des unités de renseignements passagers. |
| --- | --- |

31.

Le rôle des unités de renseignements passagers et les garanties qui entourent le traitement des données PNR soulèvent des questions spécifiques, notamment compte tenu du fait que les unités de renseignements passagers reçoivent les données de tous les passagers qui leur sont communiquées par les transporteurs aériens et qu’elles sont dotées — en vertu du texte de la proposition — de compétences larges pour traiter ces données. Ce rôle comprend l’évaluation du comportement de passagers qui ne sont suspectés d’aucune infraction et la possibilité de recouper des données PNR avec des bases de données indéterminées (18). Le CEPD constate que la proposition prévoit des conditions «d’accès restrictif», mais considère que ces conditions ne suffisent pas à elles seules, étant donné l’ampleur des compétences des unités de renseignements passagers.

| 32. | En premier lieu, la nature de l’autorité désignée en tant qu’unité de renseignements passagers et sa composition ne sont pas clairement établies. La proposition mentionne la possibilité que des membres du personnel puissent être «détachés par les autorités publiques compétentes», mais n’offre aucune garantie concernant la compétence et l’intégrité du personnel de l’unité de renseignements passagers. Le CEPD recommande d’inclure de telles garanties dans le texte de la directive, lesquelles doivent tenir compte du caractère sensible du traitement qui doit être réalisé par les unités de renseignements passagers. |
| --- | --- |

32.

En premier lieu, la nature de l’autorité désignée en tant qu’unité de renseignements passagers et sa composition ne sont pas clairement établies. La proposition mentionne la possibilité que des membres du personnel puissent être «détachés par les autorités publiques compétentes», mais n’offre aucune garantie concernant la compétence et l’intégrité du personnel de l’unité de renseignements passagers. Le CEPD recommande d’inclure de telles garanties dans le texte de la directive, lesquelles doivent tenir compte du caractère sensible du traitement qui doit être réalisé par les unités de renseignements passagers.

| 33. | En deuxième lieu, la proposition mentionne la possibilité de désigner une unité de renseignements passagers pour plusieurs États membres. Cela ouvre la voie à des risques d’utilisation abusive et de transmission de données en dehors des conditions de la proposition. Le CEPD reconnaît que certains États, notamment les plus petits, peuvent trouver des avantages à allier leurs forces, mais recommande tout de même d’assortir cette possibilité de conditions. Celles-ci devraient tenir compte de la coopération avec les autorités compétentes et de la surveillance, notamment en ce qui concerne l’autorité de protection des données chargée de la supervision et l’exercice des droits de la personne concernée, étant donné que plusieurs autorités peuvent être compétentes pour superviser une unité de renseignements passagers. |
| --- | --- |

33.

En deuxième lieu, la proposition mentionne la possibilité de désigner une unité de renseignements passagers pour plusieurs États membres. Cela ouvre la voie à des risques d’utilisation abusive et de transmission de données en dehors des conditions de la proposition. Le CEPD reconnaît que certains États, notamment les plus petits, peuvent trouver des avantages à allier leurs forces, mais recommande tout de même d’assortir cette possibilité de conditions. Celles-ci devraient tenir compte de la coopération avec les autorités compétentes et de la surveillance, notamment en ce qui concerne l’autorité de protection des données chargée de la supervision et l’exercice des droits de la personne concernée, étant donné que plusieurs autorités peuvent être compétentes pour superviser une unité de renseignements passagers.

| 34. | Il existe un risque de détournement d’usage lié aux éléments susmentionnés, notamment compte tenu de la qualité du personnel compétent pour analyser les données et du «partage» d’une unité de renseignements passagers entre plusieurs États membres. |
| --- | --- |

34.

Il existe un risque de détournement d’usage lié aux éléments susmentionnés, notamment compte tenu de la qualité du personnel compétent pour analyser les données et du «partage» d’une unité de renseignements passagers entre plusieurs États membres.

| 35. | En troisième lieu, le CEPD émet des doutes quant aux garanties prévues contre les abus. Les obligations d’enregistrement sont appréciées mais insuffisantes. L’autocontrôle devrait être complété par un contrôle externe plus structuré. Le CEPD suggère que des audits soient organisés systématiquement, tous les quatre ans. Un ensemble complet de règles de sécurité devrait être élaboré et imposé horizontalement à toutes les unités de renseignements passagers. |
| --- | --- |

35.

En troisième lieu, le CEPD émet des doutes quant aux garanties prévues contre les abus. Les obligations d’enregistrement sont appréciées mais insuffisantes. L’autocontrôle devrait être complété par un contrôle externe plus structuré. Le CEPD suggère que des audits soient organisés systématiquement, tous les quatre ans. Un ensemble complet de règles de sécurité devrait être élaboré et imposé horizontalement à toutes les unités de renseignements passagers.

III.3.   Échange de données entre États membres

| 36. | L’article 7 de la proposition envisage plusieurs scénarios autorisant l’échange de données entre unités de renseignements passagers — ceci étant la situation normale — ou entre les autorités compétentes d’un État membre et des unités de renseignements passagers dans des circonstances exceptionnelles. Les conditions sont également plus strictes selon qu’un accès est demandé à la base de données visée à l’article 9, paragraphe 1, dans laquelle les données sont conservées les 30 premiers jours, ou à la base de données mentionnée à l’article 9, paragraphe 2, dans laquelle les données sont conservées pendant cinq ans. |
| --- | --- |

36.

L’article 7 de la proposition envisage plusieurs scénarios autorisant l’échange de données entre unités de renseignements passagers — ceci étant la situation normale — ou entre les autorités compétentes d’un État membre et des unités de renseignements passagers dans des circonstances exceptionnelles. Les conditions sont également plus strictes selon qu’un accès est demandé à la base de données visée à l’article 9, paragraphe 1, dans laquelle les données sont conservées les 30 premiers jours, ou à la base de données mentionnée à l’article 9, paragraphe 2, dans laquelle les données sont conservées pendant cinq ans.

| 37. | Les conditions d’accès sont définies de manière plus stricte lorsque la demande d’accès va au-delà de la procédure normale. Le CEPD relève cependant que le libellé utilisé prête à confusion: l’article 7, paragraphe 2, est applicable dans un «cas précis de prévention ou de détection d’infractions terroristes ou d’infractions graves ou d’enquêtes ou de poursuites en la matière»; l’article 7, paragraphe 3, mentionne «des circonstances exceptionnelles, afin de réagir à une menace spécifique ou dans le cadre d’une enquête ou de poursuites spécifiques concernant des infractions terroristes ou des infractions graves», tandis que l’article 7, paragraphe 4, concerne «une menace immédiate et grave à la sécurité publique», et que l’article 7, paragraphe 5, mentionne une «menace spécifique et réelle ayant trait à des infractions terroristes ou à des infractions graves». Les conditions d’accès par différentes parties prenantes aux bases de données varient en fonction de ces critères. Cependant, la différence entre une menace spécifique, une menace immédiate et grave et une menace spécifique et réelle n’est pas clairement établie. Le CEPD souligne la nécessité de préciser davantage les conditions dans lesquelles les transferts de données seront autorisés. |
| --- | --- |

37.

Les conditions d’accès sont définies de manière plus stricte lorsque la demande d’accès va au-delà de la procédure normale. Le CEPD relève cependant que le libellé utilisé prête à confusion: l’article 7, paragraphe 2, est applicable dans un «cas précis de prévention ou de détection d’infractions terroristes ou d’infractions graves ou d’enquêtes ou de poursuites en la matière»; l’article 7, paragraphe 3, mentionne «des circonstances exceptionnelles, afin de réagir à une menace spécifique ou dans le cadre d’une enquête ou de poursuites spécifiques concernant des infractions terroristes ou des infractions graves», tandis que l’article 7, paragraphe 4, concerne «une menace immédiate et grave à la sécurité publique», et que l’article 7, paragraphe 5, mentionne une «menace spécifique et réelle ayant trait à des infractions terroristes ou à des infractions graves». Les conditions d’accès par différentes parties prenantes aux bases de données varient en fonction de ces critères. Cependant, la différence entre une menace spécifique, une menace immédiate et grave et une menace spécifique et réelle n’est pas clairement établie. Le CEPD souligne la nécessité de préciser davantage les conditions dans lesquelles les transferts de données seront autorisés.

III.4.   Droit applicable

| 38. | La proposition mentionne, comme base juridique générale des principes de protection de données, la décision-cadre 2008/977/JAI du Conseil, et étend son champ d’application au traitement de données au niveau national. |
| --- | --- |

38.

La proposition mentionne, comme base juridique générale des principes de protection de données, la décision-cadre 2008/977/JAI du Conseil, et étend son champ d’application au traitement de données au niveau national.

| 39. | Le CEPD a déjà souligné en 2007 (19) les lacunes de la décision-cadre en ce qui concerne les droits des personnes concernées. Parmi les éléments qui font défaut dans la décision-cadre, citons par exemple des conditions régissant l’information de la personne concernée en cas de demande d’accès aux données la concernant: les informations devraient être communiquées sous une forme intelligible, la finalité du traitement devrait être indiquée, et les garanties devraient être renforcées en cas de recours à l’autorité chargée de la protection des données dans l’éventualité où un accès direct est refusé. |
| --- | --- |

39.

Le CEPD a déjà souligné en 2007 (19) les lacunes de la décision-cadre en ce qui concerne les droits des personnes concernées. Parmi les éléments qui font défaut dans la décision-cadre, citons par exemple des conditions régissant l’information de la personne concernée en cas de demande d’accès aux données la concernant: les informations devraient être communiquées sous une forme intelligible, la finalité du traitement devrait être indiquée, et les garanties devraient être renforcées en cas de recours à l’autorité chargée de la protection des données dans l’éventualité où un accès direct est refusé.

| 40. | La référence à la décision-cadre a également des conséquences en ce qui concerne l’identification de l’autorité chargée de la protection des données, compétente pour contrôler l’application de la future directive, étant donné qu’il ne s’agit pas nécessairement de la même APD que celle qui est compétente pour les questions concernant (l’ancien) premier pilier. Le CEPD estime qu’il est insatisfaisant d’invoquer uniquement la décision-cadre dans le contexte de l’après-Lisbonne, alors que l’un des principaux objectifs est d’adapter le cadre juridique pour garantir un niveau de protection élevé et harmonisé entre les (anciens) piliers. Il considère que des dispositions supplémentaires doivent être intégrées dans la proposition afin de compléter la référence à la décision-cadre du Conseil, dans laquelle des lacunes ont été décelées, notamment en ce qui concerne les conditions d’accès aux données à caractère personnel. |
| --- | --- |

40.

La référence à la décision-cadre a également des conséquences en ce qui concerne l’identification de l’autorité chargée de la protection des données, compétente pour contrôler l’application de la future directive, étant donné qu’il ne s’agit pas nécessairement de la même APD que celle qui est compétente pour les questions concernant (l’ancien) premier pilier. Le CEPD estime qu’il est insatisfaisant d’invoquer uniquement la décision-cadre dans le contexte de l’après-Lisbonne, alors que l’un des principaux objectifs est d’adapter le cadre juridique pour garantir un niveau de protection élevé et harmonisé entre les (anciens) piliers. Il considère que des dispositions supplémentaires doivent être intégrées dans la proposition afin de compléter la référence à la décision-cadre du Conseil, dans laquelle des lacunes ont été décelées, notamment en ce qui concerne les conditions d’accès aux données à caractère personnel.

| 41. | Ces préoccupations valent également pour les dispositions concernant les transferts de données à des pays tiers. La proposition mentionne l’article 13, paragraphe 3, point ii), de la décision-cadre, qui prévoit de larges exceptions aux garanties de protection des données: elle déroge notamment à la condition de caractère adéquat lorsque «des intérêts légitimes prévalent, en particulier des intérêts publics importants». Cette exception est formulée en des termes très vagues et pourrait s’appliquer potentiellement à de nombreux cas de traitement de données PNR, en cas d’interprétation large. Le CEPD estime que la proposition devrait explicitement empêcher l’application des exceptions de la décision-cadre dans le contexte du traitement des données PNR, et maintenir la condition d’une analyse stricte du caractère adéquat. |
| --- | --- |

41.

Ces préoccupations valent également pour les dispositions concernant les transferts de données à des pays tiers. La proposition mentionne l’article 13, paragraphe 3, point ii), de la décision-cadre, qui prévoit de larges exceptions aux garanties de protection des données: elle déroge notamment à la condition de caractère adéquat lorsque «des intérêts légitimes prévalent, en particulier des intérêts publics importants». Cette exception est formulée en des termes très vagues et pourrait s’appliquer potentiellement à de nombreux cas de traitement de données PNR, en cas d’interprétation large. Le CEPD estime que la proposition devrait explicitement empêcher l’application des exceptions de la décision-cadre dans le contexte du traitement des données PNR, et maintenir la condition d’une analyse stricte du caractère adéquat.

III.5.   Conservation des données

| 42. | La proposition prévoit une période de 30 jours de conservation, ainsi qu’une période supplémentaire de cinq ans dans les archives. Cette durée de conservation des données a été considérablement diminuée par rapport aux versions précédentes du document, dans lesquelles les périodes de conservation allaient jusqu’à cinq ans et huit ans. |
| --- | --- |

42.

La proposition prévoit une période de 30 jours de conservation, ainsi qu’une période supplémentaire de cinq ans dans les archives. Cette durée de conservation des données a été considérablement diminuée par rapport aux versions précédentes du document, dans lesquelles les périodes de conservation allaient jusqu’à cinq ans et huit ans.

| 43. | Le CEPD approuve la réduction de la première période de conservation à 30 jours. Il conteste cependant la période de conservation supplémentaire de cinq ans: selon lui, la la nécessité de conserver ultérieurement ces données sous une forme permettant toujours d’identifier les personnes concernées n'apparait pas clairement. |
| --- | --- |

43.

Le CEPD approuve la réduction de la première période de conservation à 30 jours. Il conteste cependant la période de conservation supplémentaire de cinq ans: selon lui, la la nécessité de conserver ultérieurement ces données sous une forme permettant toujours d’identifier les personnes concernées n'apparait pas clairement.

| 44. | Il relève également un problème de terminologie dans le texte, qui a d’importantes conséquences juridiques: l’article 9, paragraphe 2, indique que les données PNR seront «masquées», et qu’elles seront donc «anonymisées». Cependant, le texte mentionne plus bas qu’il est toujours possible d’accéder à «l’intégralité des données PNR». Si cela est possible, cela signifie que les données PNR n’ont jamais été totalement anonymisées: tout en étant masquées, elles demeurent identifiables. Le cadre de protection des données reste par conséquent pleinement applicable, ce qui soulève la question fondamentale de la nécessité et de la proportionnalité quant à la conservation de données identifiables de tous les passagers pour une durée de cinq ans. |
| --- | --- |

44.

Il relève également un problème de terminologie dans le texte, qui a d’importantes conséquences juridiques: l’article 9, paragraphe 2, indique que les données PNR seront «masquées», et qu’elles seront donc «anonymisées». Cependant, le texte mentionne plus bas qu’il est toujours possible d’accéder à «l’intégralité des données PNR». Si cela est possible, cela signifie que les données PNR n’ont jamais été totalement anonymisées: tout en étant masquées, elles demeurent identifiables. Le cadre de protection des données reste par conséquent pleinement applicable, ce qui soulève la question fondamentale de la nécessité et de la proportionnalité quant à la conservation de données identifiables de tous les passagers pour une durée de cinq ans.

| 45. | Le CEPD recommande que la proposition soit reformulée, en conservant le principe d’anonymisation réelle, sans qu’il soit possible de revenir à des données identifiables, ce qui signifie qu’aucune enquête rétroactive ne devrait être autorisée. Ces données pourraient toujours — et uniquement — être utilisées afin de servir des intérêts de renseignements généraux basés sur l’identification de types de terrorisme et d’infractions connexes dans les flux migratoires. Cette condition devrait être différenciée de la conservation de données sous une forme identifiable — sous réserve de certaines garanties — dans des cas ayant donné lieu à des suspicions concrètes. |
| --- | --- |

45.

Le CEPD recommande que la proposition soit reformulée, en conservant le principe d’anonymisation réelle, sans qu’il soit possible de revenir à des données identifiables, ce qui signifie qu’aucune enquête rétroactive ne devrait être autorisée. Ces données pourraient toujours — et uniquement — être utilisées afin de servir des intérêts de renseignements généraux basés sur l’identification de types de terrorisme et d’infractions connexes dans les flux migratoires. Cette condition devrait être différenciée de la conservation de données sous une forme identifiable — sous réserve de certaines garanties — dans des cas ayant donné lieu à des suspicions concrètes.

III.6.   Liste de données PNR

| 46. | Le CEPD se réjouit du fait que les données sensibles ne soient pas incluses dans la liste des données à traiter. Il souligne cependant que la proposition prévoit toujours la possibilité que ces données soient envoyées à l’unité de renseignements passagers, qui a ensuite l’obligation de les effacer (article 4, paragraphe 1, et article 11). Ce libellé ne permet pas de savoir au juste si les unités de renseignements passagers ont toujours une obligation d’effacer les données sensibles envoyées par les compagnies aériennes, ou si elles doivent effacer ces données uniquement dans le cas exceptionnel où les compagnies aériennes les auraient envoyées par erreur. Le CEPD recommande que le texte soit modifié afin d’établir clairement qu’aucune donnée sensible ne devrait être envoyée par les compagnies aériennes, à la source même du traitement de données. |
| --- | --- |

46.

Le CEPD se réjouit du fait que les données sensibles ne soient pas incluses dans la liste des données à traiter. Il souligne cependant que la proposition prévoit toujours la possibilité que ces données soient envoyées à l’unité de renseignements passagers, qui a ensuite l’obligation de les effacer (article 4, paragraphe 1, et article 11). Ce libellé ne permet pas de savoir au juste si les unités de renseignements passagers ont toujours une obligation d’effacer les données sensibles envoyées par les compagnies aériennes, ou si elles doivent effacer ces données uniquement dans le cas exceptionnel où les compagnies aériennes les auraient envoyées par erreur. Le CEPD recommande que le texte soit modifié afin d’établir clairement qu’aucune donnée sensible ne devrait être envoyée par les compagnies aériennes, à la source même du traitement de données.

| 47. | Hormis les données sensibles, la liste de données qui peuvent faire l’objet de transferts reflète dans une large mesure la liste PNR des États-Unis, qualifiée de trop large dans plusieurs avis du groupe de travail «Article 29» (20). Le CEPD considère que cette liste devrait être limitée conformément à l’avis du groupe de travail, et que tout ajout devrait être dûment justifié. C’est notamment le cas du champ «remarques générales», qui devrait être exclu de la liste. |
| --- | --- |

47.

Hormis les données sensibles, la liste de données qui peuvent faire l’objet de transferts reflète dans une large mesure la liste PNR des États-Unis, qualifiée de trop large dans plusieurs avis du groupe de travail «Article 29» (20). Le CEPD considère que cette liste devrait être limitée conformément à l’avis du groupe de travail, et que tout ajout devrait être dûment justifié. C’est notamment le cas du champ «remarques générales», qui devrait être exclu de la liste.

III.7.   Décisions individuelles automatisées

| 48. | Selon l’article 4, paragraphe 2, points a) et b), l’évaluation du risque représenté par les passagers au regard de critères préétablis ou de bases de données pertinentes peut comprendre un traitement automatisé mais qui doit être contrôlé individuellement par des moyens non automatisés. |
| --- | --- |

48.

Selon l’article 4, paragraphe 2, points a) et b), l’évaluation du risque représenté par les passagers au regard de critères préétablis ou de bases de données pertinentes peut comprendre un traitement automatisé mais qui doit être contrôlé individuellement par des moyens non automatisés.

| 49. | Le CEPD se félicite des clarifications apportées dans cette nouvelle version du texte. Le caractère ambigu du précédent champ d’application de la disposition, concernant des décisions automatisées produisant «un effet juridique négatif sur une personne ou l’affectant considérablement (...)» a été remplacé par une formulation plus explicite. Il est désormais clair que toute correspondance positive sera examinée individuellement. |
| --- | --- |

49.

Le CEPD se félicite des clarifications apportées dans cette nouvelle version du texte. Le caractère ambigu du précédent champ d’application de la disposition, concernant des décisions automatisées produisant «un effet juridique négatif sur une personne ou l’affectant considérablement (...)» a été remplacé par une formulation plus explicite. Il est désormais clair que toute correspondance positive sera examinée individuellement.

| 50. | Il est également clairement établi dans la nouvelle version qu’en aucun cas une évaluation ne peut être fondée sur la race ou l’origine ethnique d’une personne, ses convictions religieuses ou philosophiques, ses opinions politiques, son appartenance à un syndicat, son état de santé ou sa vie sexuelle. En d’autres termes, le CEPD comprend d’après ce nouveau libellé qu’aucune décision ne peut être prise, même en partie, sur la base de données sensibles. Cette disposition cadre avec celle prévoyant qu’aucune donnée sensible ne peut être traitée par des unités de renseignements passagers et devrait également être considérée comme bienvenue. |
| --- | --- |

50.

Il est également clairement établi dans la nouvelle version qu’en aucun cas une évaluation ne peut être fondée sur la race ou l’origine ethnique d’une personne, ses convictions religieuses ou philosophiques, ses opinions politiques, son appartenance à un syndicat, son état de santé ou sa vie sexuelle. En d’autres termes, le CEPD comprend d’après ce nouveau libellé qu’aucune décision ne peut être prise, même en partie, sur la base de données sensibles. Cette disposition cadre avec celle prévoyant qu’aucune donnée sensible ne peut être traitée par des unités de renseignements passagers et devrait également être considérée comme bienvenue.

III.8.   Réexamen et données statistiques

| 51. | Le CEPD considère qu’il est de la plus haute importance qu’une évaluation complète de la mise en œuvre de la directive soit réalisée, comme prévu à l’article 17. Il estime que le réexamen devrait non seulement permettre d’évaluer le respect général des normes de protection des données, mais plus fondamentalement et spécifiquement d’évaluer si les systèmes PNR constituent une mesure nécessaire. Les données statistiques mentionnées à l’article 18 jouent un rôle important à cet égard. Le CEPD considère que ces informations devraient inclure le nombre d’actions répressives, comme le prévoit le projet, mais également le nombre de condamnations effectives qui en ont résulté ou non. Ces données sont indispensables pour que le résultat de l’évaluation soit concluant. |
| --- | --- |

51.

Le CEPD considère qu’il est de la plus haute importance qu’une évaluation complète de la mise en œuvre de la directive soit réalisée, comme prévu à l’article 17. Il estime que le réexamen devrait non seulement permettre d’évaluer le respect général des normes de protection des données, mais plus fondamentalement et spécifiquement d’évaluer si les systèmes PNR constituent une mesure nécessaire. Les données statistiques mentionnées à l’article 18 jouent un rôle important à cet égard. Le CEPD considère que ces informations devraient inclure le nombre d’actions répressives, comme le prévoit le projet, mais également le nombre de condamnations effectives qui en ont résulté ou non. Ces données sont indispensables pour que le résultat de l’évaluation soit concluant.

III.9.   Relation avec d’autres instruments

| 52. | La proposition s’applique sans préjudice d’accords existants avec des pays tiers (article 19). Le CEPD estime que cette disposition devrait mentionner plus explicitement l’objectif d’un cadre global prévoyant des garanties harmonisées de protection des données dans le domaine des données PNR, au sein de l’UE et en dehors de ses frontières, comme demandé par le Parlement européen et explicité par la Commission dans sa communication du 21 septembre 2010 relative à «la démarche globale en matière de transfert des données des dossiers passagers (PNR) aux pays tiers». |
| --- | --- |

52.

La proposition s’applique sans préjudice d’accords existants avec des pays tiers (article 19). Le CEPD estime que cette disposition devrait mentionner plus explicitement l’objectif d’un cadre global prévoyant des garanties harmonisées de protection des données dans le domaine des données PNR, au sein de l’UE et en dehors de ses frontières, comme demandé par le Parlement européen et explicité par la Commission dans sa communication du 21 septembre 2010 relative à «la démarche globale en matière de transfert des données des dossiers passagers (PNR) aux pays tiers».

| 53. | En ce sens, les accords avec les pays tiers ne devraient pas inclure de dispositions en deçà du seuil de protection des données de la directive. Cette condition revêt une importance particulière au moment où les accords avec les États-Unis, l’Australie et le Canada sont renégociés dans la perspective d'un cadre global et harmonisé. |
| --- | --- |

53.

En ce sens, les accords avec les pays tiers ne devraient pas inclure de dispositions en deçà du seuil de protection des données de la directive. Cette condition revêt une importance particulière au moment où les accords avec les États-Unis, l’Australie et le Canada sont renégociés dans la perspective d'un cadre global et harmonisé.

IV.   CONCLUSION

| 54. | La mise en place d’un système PNR à l’échelon de l’Union, ainsi que la négociation d’accords PNR avec des pays tiers, est un projet de longue haleine. Le CEPD reconnaît que, par rapport à la proposition de décision-cadre du Conseil de 2007 relative à l’utilisation des données des dossiers passagers, des améliorations visibles ont été apportées au projet de texte. Des garanties de protection des données ont été ajoutées, sur la base des débats et avis de différentes parties prenantes et notamment du groupe de travail «Article 29», du CEPD et du Parlement européen. |
| --- | --- |

54.

La mise en place d’un système PNR à l’échelon de l’Union, ainsi que la négociation d’accords PNR avec des pays tiers, est un projet de longue haleine. Le CEPD reconnaît que, par rapport à la proposition de décision-cadre du Conseil de 2007 relative à l’utilisation des données des dossiers passagers, des améliorations visibles ont été apportées au projet de texte. Des garanties de protection des données ont été ajoutées, sur la base des débats et avis de différentes parties prenantes et notamment du groupe de travail «Article 29», du CEPD et du Parlement européen.

| 55. | Le CEPD se félicite de ces améliorations et plus particulièrement des efforts visant à limiter le champ d’application de la proposition et les conditions de traitement des données PNR. Cependant, force est de constater que la condition préalable indispensable à tout développement d’un système PNR — à savoir le respect des principes de nécessité et de proportionnalité — n’est pas satisfaite dans la proposition. Le CEPD rappelle que selon lui, les données PNR pourraient certainement être nécessaires à des fins répressives dans des cas bien déterminés et être utilisées de façon conforme aux exigences en matière de protection des données. C’est leur utilisation de façon systématique et sans discernement pour tous les passagers qui soulève des préoccupations particulières. |
| --- | --- |

55.

Le CEPD se félicite de ces améliorations et plus particulièrement des efforts visant à limiter le champ d’application de la proposition et les conditions de traitement des données PNR. Cependant, force est de constater que la condition préalable indispensable à tout développement d’un système PNR — à savoir le respect des principes de nécessité et de proportionnalité — n’est pas satisfaite dans la proposition. Le CEPD rappelle que selon lui, les données PNR pourraient certainement être nécessaires à des fins répressives dans des cas bien déterminés et être utilisées de façon conforme aux exigences en matière de protection des données. C’est leur utilisation de façon systématique et sans discernement pour tous les passagers qui soulève des préoccupations particulières.

| 56. | L’analyse d’impact fournit des éléments visant à justifier la nécessité des données PNR pour lutter contre la criminalité, mais la nature de ces informations est trop générale et ne parvient pas à étayer le traitement à grande échelle des données PNR à des fins de renseignement. Selon le CEPD, la seule mesure conforme aux exigences en matière de protection des données serait l’utilisation des données PNR au cas par cas, quand survient une menace sérieuse accompagnée par des indicateurs concrets. |
| --- | --- |

56.

L’analyse d’impact fournit des éléments visant à justifier la nécessité des données PNR pour lutter contre la criminalité, mais la nature de ces informations est trop générale et ne parvient pas à étayer le traitement à grande échelle des données PNR à des fins de renseignement. Selon le CEPD, la seule mesure conforme aux exigences en matière de protection des données serait l’utilisation des données PNR au cas par cas, quand survient une menace sérieuse accompagnée par des indicateurs concrets.

| 57. | Au-delà de cette lacune majeure, les observations du CEPD concernent les aspects suivants:






  — | le champ d’application devrait être beaucoup plus limité compte tenu du type d’infractions concernées. Le CEPD émet des doutes quant à l’inclusion dans la proposition de formes graves de criminalité n’ayant aucun lien avec le terrorisme. En tout état de cause, les infractions mineures devraient être explicitement circonscrites et écartées. Le CEPD recommande d’exclure la possibilité pour les États membres d’élargir le champ d’application; |
| --- | --- | --- |

57.

Au-delà de cette lacune majeure, les observations du CEPD concernent les aspects suivants:

—

le champ d’application devrait être beaucoup plus limité compte tenu du type d’infractions concernées. Le CEPD émet des doutes quant à l’inclusion dans la proposition de formes graves de criminalité n’ayant aucun lien avec le terrorisme. En tout état de cause, les infractions mineures devraient être explicitement circonscrites et écartées. Le CEPD recommande d’exclure la possibilité pour les États membres d’élargir le champ d’application;

| — | la nature des différentes menaces autorisant l’échange de données entre unités de renseignements passagers ou avec les États membres n’a pas été suffisamment définie; |
| --- | --- |

—

la nature des différentes menaces autorisant l’échange de données entre unités de renseignements passagers ou avec les États membres n’a pas été suffisamment définie;

| — | les principes de protection des données applicables ne devraient pas uniquement se fonder sur la décision-cadre 2008/977/JAI du Conseil qui comprend des lacunes, notamment au niveau des droits des personnes concernées et des transferts à des pays tiers. Un niveau plus élevé de garanties, basé sur les principes de la directive 95/46/CE, devrait être introduit dans la proposition; |
| --- | --- |

—

les principes de protection des données applicables ne devraient pas uniquement se fonder sur la décision-cadre 2008/977/JAI du Conseil qui comprend des lacunes, notamment au niveau des droits des personnes concernées et des transferts à des pays tiers. Un niveau plus élevé de garanties, basé sur les principes de la directive 95/46/CE, devrait être introduit dans la proposition;

| — | aucune donnée ne devrait être conservée au-delà de 30 jours sous une forme identifiable, sauf dans les cas nécessitant une enquête plus approfondie; |
| --- | --- |

—

aucune donnée ne devrait être conservée au-delà de 30 jours sous une forme identifiable, sauf dans les cas nécessitant une enquête plus approfondie;

| — | la liste des données PNR à traiter devrait être restreinte, conformément aux recommandations formulées préalablement par le groupe de travail «Article 29» et le CEPD. Notamment, le champ «remarques générales» ne devrait pas être inclus; |
| --- | --- |

—

la liste des données PNR à traiter devrait être restreinte, conformément aux recommandations formulées préalablement par le groupe de travail «Article 29» et le CEPD. Notamment, le champ «remarques générales» ne devrait pas être inclus;

| — | l’évaluation de la directive devrait être fondée sur des données exhaustives, incluant le nombre de personnes effectivement condamnées — et pas seulement poursuivies — sur la base du traitement de leurs données. |
| --- | --- |

—

l’évaluation de la directive devrait être fondée sur des données exhaustives, incluant le nombre de personnes effectivement condamnées — et pas seulement poursuivies — sur la base du traitement de leurs données.

| 58. | Le CEPD recommande également que les développements relatifs à un système PNR au niveau de l’Union soient évalués dans une perspective plus large, incluant l’évaluation générale actuelle de l’ensemble des instruments européens dans le domaine de la gestion de l’échange de l’information mise en œuvre par la Commission en janvier 2010. En particulier, les résultats des travaux actuels sur le modèle européen d’échange d'informations, dont la publication est prévue pour 2012, devraient être pris en considération lors de l’évaluation de la nécessité d’un système PNR à l’échelle de l’Union. |
| --- | --- |

58.

Le CEPD recommande également que les développements relatifs à un système PNR au niveau de l’Union soient évalués dans une perspective plus large, incluant l’évaluation générale actuelle de l’ensemble des instruments européens dans le domaine de la gestion de l’échange de l’information mise en œuvre par la Commission en janvier 2010. En particulier, les résultats des travaux actuels sur le modèle européen d’échange d'informations, dont la publication est prévue pour 2012, devraient être pris en considération lors de l’évaluation de la nécessité d’un système PNR à l’échelle de l’Union.

Fait à Bruxelles, le 25 mars 2011.

Peter HUSTINX

Contrôleur européen de la protection des données

---

(1)  JO L 281 du 23.11.1995, p. 31.

1

(2)  JO L 8 du 12.1.2001, p. 1.

2

(3)  COM(2011) 32 final.

3

(4)  COM(2007) 654 final.

4

(5)  Avis du CEPD du 20 décembre 2007 sur le projet de proposition de décision-cadre du Conseil relative à l’utilisation des données des dossiers passagers (Passenger Name Record — PNR) à des fins répressives, JO C 110 du 1.5.2008, p. 1.

5

(6)

6

| — | Avis du 19 octobre 2010 sur la démarche globale en matière de transfert des données des dossiers passagers (PNR) aux pays tiers, disponible à l’adresse http://www.edps.europa.eu/EDPSWEB/edps/Consultation/OpinionsC/OC2010 |
| --- | --- |

—

Avis du 19 octobre 2010 sur la démarche globale en matière de transfert des données des dossiers passagers (PNR) aux pays tiers, disponible à l’adresse http://www.edps.europa.eu/EDPSWEB/edps/Consultation/OpinionsC/OC2010

| — | Les avis du groupe de travail «Article 29» peuvent être consultés en cliquant sur le lien suivant: http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm#data_transfers |
| --- | --- |

—

Les avis du groupe de travail «Article 29» peuvent être consultés en cliquant sur le lien suivant: http://ec.europa.eu/justice/policies/privacy/workinggroup/wpdocs/index_en.htm#data_transfers

(7)  Ce qui signifie que les données PNR sont activement transmises par les compagnies aériennes, et non extraites (méthode «pull») par les autorités publiques en accédant directement à la base de données des compagnies aériennes.

7

(8)  Voir «Le moment de vérité pour la directive sur la conservation des données», discours de Peter Hustinx prononcé à la conférence «Taking on the Data Retention Directive», Bruxelles, le 3 décembre 2010, disponible à l’adresse http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Speeches/2010/10-12-03_Data_retention_speech_PH_FR.pdf

8

(9)  Analyse d’impact, chapitre 2.1.1, et exposé des motifs, chapitre 1, premier paragraphe.

9

(10)  Analyse d’impact, chapitre 3.2, deuxième paragraphe.

10

(11)  Avis 1/2004 du 16 janvier 2004 sur le niveau de protection assuré en Australie à la transmission de données des dossiers passagers par les compagnies aériennes, WP85.

11

(12)  L’avis du groupe de travail «article 29» explique également que «[e]n ce qui concerne la conservation des données PNR, il n’existe pas d’obligation juridique en ce sens pour les douanes. La législation n’interdit pas non plus aux douanes de stocker ces données. Les données PNR des passagers considérés comme présentant un risque peu élevé par le logiciel d’analyse automatisée de profil (95 % à 97 % du total) ne sont pas stockées et aucune trace de ces informations n’est conservée. La politique générale appliquée par les douanes consiste donc à ne pas garder ces données. Dans le cas des 0,05 % à 0,1 % de passagers signalés aux douanes pour une évaluation complémentaire, les données PNR des compagnies aériennes sont temporairement conservées — mais pas stockées — en attendant l’issue de l’évaluation à la frontière. Après celle-ci, les données PNR sont effacées du PC du fonctionnaire de la PAU concerné et ne sont pas introduites dans des bases de données australiennes».

12

(13)  Exposé des motifs, chapitre 1. Contexte de la proposition, cohérence avec les autres politiques et objectifs de l’Union.

13

(14)  L’objet d’Eurodac «est de contribuer à déterminer l’État membre qui, en vertu de la convention de Dublin, est responsable de l’examen d’une demande d’asile présentée dans un État membre et de faciliter à d’autres égards l’application de la convention de Dublin dans les conditions prévues dans le présent règlement», en vertu de l’article premier, paragraphe 1, du règlement (CE) no 2725/2000 du Conseil du 11 décembre 2000 concernant la création du système «Eurodac» pour la comparaison des empreintes digitales aux fins de l’application efficace de la convention de Dublin, JO L 316 du 15.12.2000, p 1.

14

o

(15)  «Le VIS a pour objet d’améliorer la mise en œuvre de la politique commune en matière de visas, la coopération consulaire et la consultation des autorités consulaires centrales chargées des visas en facilitant l’échange de données entre les États membres sur les demandes de visas et les décisions y relatives», en vertu de l’article 2 du règlement (CE) no 767/2008 du Parlement européen et du Conseil du 9 juillet 2008 concernant le système d’information sur les visas (VIS) et l’échange de données entre les États membres sur les visas de court séjour (règlement VIS), JO L 218 du 13.8.2008, p. 60.

15

o

(16)  COM(2010) 385 final.

16

(17)  Comme indiqué dans les décisions-cadres 2008/841/JAI et 2002/584/JAI du Conseil.

17

(18)  Voir également l’avis du CEPD du 20 décembre 2007 concernant les unités de renseignements passagers.

18

(19)  Troisième avis du Contrôleur européen de la protection des données du 27 avril 2007 sur la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale, JO C 139 du 23.6.2007, p. 1.

19

(20)  Avis du 23 juin 2003 sur le niveau de protection assuré aux États-Unis pour la transmission de données passagers, WP78. Cet avis ainsi que les avis ultérieurs du groupe de travail sur cette question sont disponibles à l’adresse: http://ec.europa.eu/justice_home/fsj/privacy/workinggroup/wpdocs/index_en.htm#data_transfers

20

---

II Communications

COMMUNICATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

| 22.6.2011 | FR | Journal officiel de l'Union européenne | C 181/31 |
| --- | --- | --- | --- |

22.6.2011

FR

Journal officiel de l'Union européenne

C 181/31

---

Autorisation des aides d'État dans le cadre des dispositions des articles 107 et 108 du TFUE

Cas à l'égard desquels la Commission ne soulève pas d'objection

(Texte présentant de l'intérêt pour l'EEE)

2011/C 181/03

| Date d'adoption de la décision | 29.9.2010 |
| --- | --- |
| Numéro de référence de l'aide d'État | N 325/08 |
| État membre | France |
| Région | Saint-Martin |
| Titre (et/ou nom du bénéficiaire) | Aide fiscale à l’investissement à Saint-Martin |
| Base juridique | Articles 199 undecies D, 199 undecies E et 217 septdecies du code général des impôts |
| Type de la mesure | Régime |
| Objectif | Développement régional |
| Forme de l'aide | Allégement fiscal |
| Budget | Dépenses annuelles prévues: 3,5 Mio EUR |
| Intensité | 50 % |
| Durée | 1.1.2009-31.12.2013 |
| Secteurs économiques | Tous les secteurs |
| Nom et adresse de l'autorité chargée de l'octroi | Collectivité de Saint-Martin |
| Hôtel de collectivité |
| Marigot BP 374 |
| 97054 Saint-Martin Cedex |
| FRANCE |

Date d'adoption de la décision

29.9.2010

Numéro de référence de l'aide d'État

N 325/08

État membre

France

Région

Saint-Martin

Titre (et/ou nom du bénéficiaire)

Aide fiscale à l’investissement à Saint-Martin

Base juridique

Articles 199 undecies D, 199 undecies E et 217 septdecies du code général des impôts

Type de la mesure

Régime

Objectif

Développement régional

Forme de l'aide

Allégement fiscal

Budget

Dépenses annuelles prévues: 3,5 Mio EUR

Intensité

50 %

Durée

1.1.2009-31.12.2013

Secteurs économiques

Tous les secteurs

Nom et adresse de l'autorité chargée de l'octroi

Collectivité de Saint-Martin

Hôtel de collectivité

Marigot BP 374

97054 Saint-Martin Cedex

FRANCE

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

| Date d'adoption de la décision | 30.3.2011 |
| --- | --- |
| Numéro de référence de l'aide d'État | SA.31305 (11/N) |
| État membre | France |
| Région | — |
| Titre (et/ou nom du bénéficiaire) | Notification d’un régime de financement de mesures supplémentaires de PPRT (Plan de Prévention des Risques Technologiques) |
| Base juridique | 1) | Code de l’Environnement (L.515.15 à L.515.25), et particulièrement les articles L.515.16 et L.515.19 — la codification de la loi no 2003-699 du 30 juillet 2003 relative à la prévention des risques technologiques et naturels et à la réparation des dommages (JORF 31 juillet 2003). |

Date d'adoption de la décision

30.3.2011

Numéro de référence de l'aide d'État

SA.31305 (11/N)

État membre

France

Région

—

Titre (et/ou nom du bénéficiaire)

Notification d’un régime de financement de mesures supplémentaires de PPRT (Plan de Prévention des Risques Technologiques)

Base juridique

1)

Code de l’Environnement (L.515.15 à L.515.25), et particulièrement les articles L.515.16 et L.515.19 — la codification de la loi no 2003-699 du 30 juillet 2003 relative à la prévention des risques technologiques et naturels et à la réparation des dommages (JORF 31 juillet 2003).

| 2) | Décret no 2005-1130 du 7 septembre 2005 relatif aux PPRT (JORF du 9 septembre 2005); cf en particulier les articles 3.II.1 et 9 |
| --- | --- |

2)

Décret no 2005-1130 du 7 septembre 2005 relatif aux PPRT (JORF du 9 septembre 2005); cf en particulier les articles 3.II.1 et 9

Type de la mesure

Régime

Objectif

Protection de l'environnement

Forme de l'aide

Subvention directe

Budget

Montant global de l'aide prévue: 250 Mio EUR

Intensité

67 %

Durée

jusqu'au 31.12.2018

Secteurs économiques

Tous les secteurs

Nom et adresse de l'autorité chargée de l'octroi

| Ministère de l'écologie, du développement durable, des transports et du logement |
| --- |
| Grande Arche |
| Paroi Nord |
| 92055 Paris-La Défense Cedex |
| FRANCE |

Ministère de l'écologie, du développement durable, des transports et du logement

Grande Arche

Paroi Nord

92055 Paris-La Défense Cedex

FRANCE

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

| Date d'adoption de la décision | 19.4.2011 |
| --- | --- |
| Numéro de référence de l'aide d'État | SA.32549 (11/N) |
| État membre | Espagne |
| Région | País Vasco |
| Titre (et/ou nom du bénéficiaire) | Subvenciones para la promoción, difusión y/o normalización del euskera en la sociedad |
| Base juridique | Orden de ... de ... de 2011, de la Consejera de Cultura, por la que se regula la concesión de subvenciones para la promoción, difusión y/o normalización del euskera en la sociedad (Convocatoria EUSKALGINTZA) |
| Type de la mesure | Régime |
| Objectif | Promotion de la culture |
| Forme de l'aide | Subvention directe |
| Budget | | Dépenses annuelles prévues: 1,2 Mio EUR |

Date d'adoption de la décision

19.4.2011

Numéro de référence de l'aide d'État

SA.32549 (11/N)

État membre

Espagne

Région

País Vasco

Titre (et/ou nom du bénéficiaire)

Subvenciones para la promoción, difusión y/o normalización del euskera en la sociedad

Base juridique

Orden de ... de ... de 2011, de la Consejera de Cultura, por la que se regula la concesión de subvenciones para la promoción, difusión y/o normalización del euskera en la sociedad (Convocatoria EUSKALGINTZA)

Type de la mesure

Régime

Objectif

Promotion de la culture

Forme de l'aide

Subvention directe

Budget

Dépenses annuelles prévues: 1,2 Mio EUR

| | Montant global de l'aide prévue: 3,8 Mio EUR |
| --- | --- |

Montant global de l'aide prévue: 3,8 Mio EUR

Intensité

45 %

Durée

24.5.2011-31.12.2013

Secteurs économiques

Services récréatifs, culturels et sportifs

Nom et adresse de l'autorité chargée de l'octroi

| Departamento de Cultura del Gobierno Vasco |
| --- |
| Donostia — San Sebastián, 1 |
| 01010 Vitoria — Gasteiz |
| ESPAÑA |

Departamento de Cultura del Gobierno Vasco

Donostia — San Sebastián, 1

01010 Vitoria — Gasteiz

ESPAÑA

Autres informations

—

Le texte de la décision dans la (les) langue(s) faisant foi, expurgé des données confidentielles, est disponible sur le site:

http://ec.europa.eu/community_law/state_aids/state_aids_texts_fr.htm

---

IV Informations

INFORMATIONS PROVENANT DES INSTITUTIONS, ORGANES ET ORGANISMES DE L'UNION EUROPÉENNE

Commission européenne

| 22.6.2011 | FR | Journal officiel de l'Union européenne | C 181/34 |
| --- | --- | --- | --- |

22.6.2011

FR

Journal officiel de l'Union européenne

C 181/34

---

Taux de change de l'euro (1)

21 juin 2011

2011/C 181/04

1 euro =

| | Monnaie | Taux de change |
| --- | --- | --- |
| USD | dollar des États-Unis | 1,4373 |
| JPY | yen japonais | 115,20 |
| DKK | couronne danoise | 7,4587 |
| GBP | livre sterling | 0,88670 |
| SEK | couronne suédoise | 9,1564 |
| CHF | franc suisse | 1,2127 |
| ISK | couronne islandaise | |
| NOK | couronne norvégienne | 7,9120 |
| BGN | lev bulgare | 1,9558 |
| CZK | couronne tchèque | 24,213 |
| HUF | forint hongrois | 266,93 |
| LTL | litas lituanien | 3,4528 |
| LVL | lats letton | 0,7088 |
| PLN | zloty polonais | 3,9762 |
| RON | leu roumain | 4,2355 |
| TRY | lire turque | 2,3090 |
| AUD | dollar australien | 1,3568 |
| CAD | dollar canadien | 1,4023 |
| HKD | dollar de Hong Kong | 11,1957 |
| NZD | dollar néo-zélandais | 1,7694 |
| SGD | dollar de Singapour | 1,7731 |
| KRW | won sud-coréen | 1 550,02 |
| ZAR | rand sud-africain | 9,7082 |
| CNY | yuan ren-min-bi chinois | 9,2926 |
| HRK | kuna croate | 7,3833 |
| IDR | rupiah indonésien | 12 361,23 |
| MYR | ringgit malais | 4,3586 |
| PHP | peso philippin | 62,568 |
| RUB | rouble russe | 40,1950 |
| THB | baht thaïlandais | 43,881 |
| BRL | real brésilien | 2,2870 |
| MXN | peso mexicain | 17,0106 |
| INR | roupie indienne | 64,4590 |

Monnaie

Taux de change

USD

dollar des États-Unis

1,4373

JPY

yen japonais

115,20

DKK

couronne danoise

7,4587

GBP

livre sterling

0,88670

SEK

couronne suédoise

9,1564

CHF

franc suisse

1,2127

ISK

couronne islandaise

NOK

couronne norvégienne

7,9120

BGN

lev bulgare

1,9558

CZK

couronne tchèque

24,213

HUF

forint hongrois

266,93

LTL

litas lituanien

3,4528

LVL

lats letton

0,7088

PLN

zloty polonais

3,9762

RON

leu roumain

4,2355

TRY

lire turque

2,3090

AUD

dollar australien

1,3568

CAD

dollar canadien

1,4023

HKD

dollar de Hong Kong

11,1957

NZD

dollar néo-zélandais

1,7694

SGD

dollar de Singapour

1,7731

KRW

won sud-coréen

1 550,02

ZAR

rand sud-africain

9,7082

CNY

yuan ren-min-bi chinois

9,2926

HRK

kuna croate

7,3833

IDR

rupiah indonésien

12 361,23

MYR

ringgit malais

4,3586

PHP

peso philippin

62,568

RUB

rouble russe

40,1950

THB

baht thaïlandais

43,881

BRL

real brésilien

2,2870

MXN

peso mexicain

17,0106

INR

roupie indienne

64,4590

---

(1)  Source: taux de change de référence publié par la Banque centrale européenne.

---

INFORMATIONS PROVENANT DES ÉTATS MEMBRES

| 22.6.2011 | FR | Journal officiel de l'Union européenne | C 181/35 |
| --- | --- | --- | --- |

22.6.2011

FR

Journal officiel de l'Union européenne

C 181/35

---

Renseignements communiqués par les États membres sur les aides d'État accordées conformément au règlement (CE) no 1857/2006 de la Commission concernant l'application des articles 87 et 88 du traité aux aides d'État accordées aux petites et moyennes entreprises actives dans la production de produits agricoles et modifiant le règlement (CE) no 70/2001

2011/C 181/05

Aide no: SA.32914 (11/XA)

État membre: Italie

Région: Lombardia

Intitulé du régime d'aide ou nom de l'entreprise bénéficiaire de l'aide individuelle: Iniziative per la promozione dei prodotti agroalimentari — anno 2011

Base juridique: DGR n. 1583 del 20 aprile 2011 Programma di iniziative regionali per la promozione dei prodotti agroalimentari — anno 2011 (art. 12, L.R. 31/2008)

L.R. 31/2008 (Testo unico Leggi Agricoltura) art. 12

Dépenses annuelles prévues dans le cadre du régime d'aide ou montant total de l'aide individuelle octroyée à l'entreprise bénéficiaire: Montant annuel total du budget prévu au titre du régime: 1 Mio EUR

Intensité maximale des aides: 100 %

Date de la mise en oeuvre: —

Durée du régime d'aide ou de l'aide individuelle: 9 juin 2011-31 décembre 2012

Objectif de l'aide: Assistance technique [article 15 du règlement (CE) no 1857/2006]

Secteur(s) concerné(s): Agriculture, sylviculture et pêche

Nom et adresse de l'autorité responsable:

| Regione Lombardia |
| --- |
| DG Agricoltura |
| Piazza Città di Lombardia 1 |
| 20124 Milano MI |
| ITALIA |

Regione Lombardia

DG Agricoltura

Piazza Città di Lombardia 1

20124 Milano MI

ITALIA

Adresse du site web: http://www.agricoltura.regione.lombardia.it/cs/Satellite?c=Page&childpagename=DG_Agricoltura%2FDGLayout&cid=1213337053885&p=1213337053885&pagename=DG_AGRWrapper

http://www.regione.lombardia.it clicca di seguito «Settori e politiche», «Agricoltura», «Argomenti», «Aiuti di stato nel settore agricolo: pubblicazione dei regimi di aiuto»

Autres informations: —

Aide no: SA.33089 (11/XA)

État membre: France

Région: France

Intitulé du régime d'aide ou nom de l'entreprise bénéficiaire de l'aide individuelle: aides de FranceAgriMer à des actions d’assistance technique en faveur des producteurs des plantes à parfum, aromatiques et médicinales (PPAM).

Base juridique:

| — | articles L. 621-1 et suivants du Code rural et de la pêche maritime, |
| --- | --- |

—

articles L. 621-1 et suivants du Code rural et de la pêche maritime,

| — | projet de décision du directeur général de FranceAgriMer |
| --- | --- |

—

projet de décision du directeur général de FranceAgriMer

Dépenses annuelles prévues dans le cadre du régime d'aide ou montant total de l'aide individuelle octroyée à l'entreprise bénéficiaire: Montant annuel total du budget prévu au titre du régime: 0,75 Mio EUR

Intensité maximale des aides: 100 %

Date de la mise en oeuvre: —

Durée du régime d'aide ou de l'aide individuelle: 1er juillet 2011-30 juin 2016

Objectif de l'aide: Assistance technique [article 15 du règlement (CE) no 1857/2006]

Secteur(s) concerné(s): Culture de plantes à épices, aromatiques, médicinales et pharmaceutiques, Autres cultures permanentes

Nom et adresse de l'autorité responsable:

| FranceAgriMer |
| --- |
| 12 rue Henri Rol Tanguy |
| TSA 20002 |
| 93555 Montreuil sous Bois Cedex |
| FRANCE |

FranceAgriMer

12 rue Henri Rol Tanguy

TSA 20002

93555 Montreuil sous Bois Cedex

FRANCE

Adresse du site web: http://www.franceagrimer.fr/Projet-02/05aides/ppam-0511/text-AT-ppam-BUE.pdf

Autres informations: —

Aide no: SA.33121 (11/XA)

État membre: Slovénie

Région: Slovenia

Intitulé du régime d'aide ou nom de l'entreprise bénéficiaire de l'aide individuelle: Zatiranje varoze pri čebeljih družinah na območju Republike Slovenije, 2011–2013

Base juridique: Uredba o izvajanju Programa ukrepov na področju čebelarstva v Republiki Sloveniji v letih 2011–2013 (Ur.l. RS, št. 4/11 in 40/2011)

Dépenses annuelles prévues dans le cadre du régime d'aide ou montant total de l'aide individuelle octroyée à l'entreprise bénéficiaire: Montant total de l'aide ad hoc accordée à l'entreprise: 0,45 Mio EUR

Montant annuel total du budget prévu au titre du régime 0,15 Mio EUR

Intensité maximale des aides: 100 %

Date de la mise en oeuvre: —

Durée du régime d'aide ou de l'aide individuelle: 9 juin 2011-15 octobre 2013

Objectif de l'aide: Maladies animales [article 10 du règlement (CE) no 1857/2006]

Secteur(s) concerné(s): Culture et production animale, chasse et services annexes

Nom et adresse de l'autorité responsable:

| Ministrstvo za kmetijstvo, gozdarstvo in prehrano Republike Slovenije |
| --- |
| Dunajska 22 |
| SI-1000 Ljubljana |
| SLOVENIJA |

Ministrstvo za kmetijstvo, gozdarstvo in prehrano Republike Slovenije

Dunajska 22

SI-1000 Ljubljana

SLOVENIJA

Adresse du site web: http://www.pisrs.si/predpis.aspx?p_rD=r04&p_predpis=URED5347

Autres informations: —

---

V Avis

PROCÉDURES RELATIVES À LA MISE EN ŒUVRE DE LA POLITIQUE DE CONCURRENCE

Commission européenne

| 22.6.2011 | FR | Journal officiel de l'Union européenne | C 181/37 |
| --- | --- | --- | --- |

22.6.2011

FR

Journal officiel de l'Union européenne

C 181/37

---

Notification préalable d'une concentration

(Affaire COMP/M.6274 — Bridgepoint/Eurazeo/Foncia Groupe)

Cas susceptible d'être traité selon la procédure simplifiée

(Texte présentant de l'intérêt pour l'EEE)

2011/C 181/06

| 1. | Le 15 juin 2011, la Commission a reçu notification, conformément à l'article 4 du règlement (CE) no 139/2004 du Conseil (1), d'un projet de concentration par lequel les entreprises Bridgepoint Europe IV Investments (2) Sàrl (Luxembourg), contrôlée en dernier ressort par Bridgepoint Capital Group Limited («Bridgepoint», Royaume-Uni), et Eurazeo SA («Eurazeo», France) acquièrent, au sens de l'article 3, paragraphe 1, point b), du règlement CE sur les concentrations, le contrôle en commun de Foncia Groupe SA («Foncia», France) par achat d'actions. |
| --- | --- |

1.

Le 15 juin 2011, la Commission a reçu notification, conformément à l'article 4 du règlement (CE) no 139/2004 du Conseil (1), d'un projet de concentration par lequel les entreprises Bridgepoint Europe IV Investments (2) Sàrl (Luxembourg), contrôlée en dernier ressort par Bridgepoint Capital Group Limited («Bridgepoint», Royaume-Uni), et Eurazeo SA («Eurazeo», France) acquièrent, au sens de l'article 3, paragraphe 1, point b), du règlement CE sur les concentrations, le contrôle en commun de Foncia Groupe SA («Foncia», France) par achat d'actions.

| 2. | Les activités des entreprises considérées sont les suivantes:






  — | Bridgepoint: fonds de capital-investissement investissant dans des sociétés opérant dans un large éventail de secteurs, dont les services financiers, les soins de santé et les médias, |
| --- | --- | --- |

2.

Les activités des entreprises considérées sont les suivantes:

—

Bridgepoint: fonds de capital-investissement investissant dans des sociétés opérant dans un large éventail de secteurs, dont les services financiers, les soins de santé et les médias,

| — | Eurazeo: société d'investissement présente dans un vaste éventail de secteurs, notamment la location de voitures, la gestion de parkings, l'immobilier et la location/le nettoyage de textiles, |
| --- | --- |

—

Eurazeo: société d'investissement présente dans un vaste éventail de secteurs, notamment la location de voitures, la gestion de parkings, l'immobilier et la location/le nettoyage de textiles,

| — | Foncia: groupe spécialisé dans les services de gestion de biens immobiliers résidentiels, principalement en France. |
| --- | --- |

—

Foncia: groupe spécialisé dans les services de gestion de biens immobiliers résidentiels, principalement en France.

| 3. | Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission estime que l'opération notifiée pourrait entrer dans le champ d'application du règlement CE sur les concentrations. Conformément à la communication de la Commission relative à une procédure simplifiée de traitement de certaines opérations de concentration en application du règlement CE sur les concentrations (2), il convient de noter que ce cas est susceptible d'être traité selon la procédure définie par ladite communication. |
| --- | --- |

3.

Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission estime que l'opération notifiée pourrait entrer dans le champ d'application du règlement CE sur les concentrations. Conformément à la communication de la Commission relative à une procédure simplifiée de traitement de certaines opérations de concentration en application du règlement CE sur les concentrations (2), il convient de noter que ce cas est susceptible d'être traité selon la procédure définie par ladite communication.

| 4. | La Commission invite les tiers intéressés à lui présenter leurs observations éventuelles sur le projet de concentration.
  Ces observations devront lui parvenir au plus tard dans un délai de dix jours à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie (+32 22964301), par courrier électronique à l’adresse COMP-MERGER-REGISTRY@ec.europa.eu ou par courrier postal, sous la référence COMP/M.6274 — Bridgepoint/Eurazeo/Foncia Groupe, à l'adresse suivante:





  Commission européenne |
| --- | --- |
| Direction générale de la concurrence |
| Greffe des concentrations |
| J-70 |
| 1049 Bruxelles |
| BELGIQUE |

4.

La Commission invite les tiers intéressés à lui présenter leurs observations éventuelles sur le projet de concentration.

Ces observations devront lui parvenir au plus tard dans un délai de dix jours à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie (+32 22964301), par courrier électronique à l’adresse COMP-MERGER-REGISTRY@ec.europa.eu ou par courrier postal, sous la référence COMP/M.6274 — Bridgepoint/Eurazeo/Foncia Groupe, à l'adresse suivante:

Commission européenne

Direction générale de la concurrence

Greffe des concentrations

J-70

1049 Bruxelles

BELGIQUE

---

(1)  JO L 24 du 29.1.2004, p. 1 (le «règlement CE sur les concentrations»).

(2)  JO C 56 du 5.3.2005, p. 32 (la «communication sur une procédure simplifiée»).

---

| 22.6.2011 | FR | Journal officiel de l'Union européenne | C 181/39 |
| --- | --- | --- | --- |

22.6.2011

FR

Journal officiel de l'Union européenne

C 181/39

---

Notification préalable d'une concentration

(Affaire COMP/M.6265 — CSN/AG Cementos Balboa/Corrugados Azpeitia/Corrugados Lasao/Stahlwerk Thuringen)

Cas susceptible d'être traité selon la procédure simplifiée

(Texte présentant de l'intérêt pour l'EEE)

2011/C 181/07

| 1. | Le 14 juin 2011, la Commission a reçu notification, conformément à l’article 4 du règlement (CE) no 139/2004 du Conseil (1), d’un projet de concentration par lequel l’entreprise CSN Steel S.L., (Espagne), appartenant au groupe Companhia Siderúrgica Nacional, acquiert, au sens de l'article 3, paragraphe 1, point b), du règlement CE sur les concentrations, le contrôle de l'ensemble des entreprises:






  — | AG Cementos Balboa, SA, (Espagne), |
| --- | --- | --- |

1.

Le 14 juin 2011, la Commission a reçu notification, conformément à l’article 4 du règlement (CE) no 139/2004 du Conseil (1), d’un projet de concentration par lequel l’entreprise CSN Steel S.L., (Espagne), appartenant au groupe Companhia Siderúrgica Nacional, acquiert, au sens de l'article 3, paragraphe 1, point b), du règlement CE sur les concentrations, le contrôle de l'ensemble des entreprises:

—

AG Cementos Balboa, SA, (Espagne),

| — | Corrugados Azpeitia, S.L., (Espagne), |
| --- | --- |

—

Corrugados Azpeitia, S.L., (Espagne),

| — | Corrugados Lasao, S.L., (Espagne), et |
| --- | --- |

—

Corrugados Lasao, S.L., (Espagne), et

| — | Stahlwerk Thüringen GmbH (Allemagne), |
| --- | --- |

—

Stahlwerk Thüringen GmbH (Allemagne),

par achat d'actions.

| 2. | Les activités des entreprises considérées sont les suivantes:






  — | CSN: opère principalement dans la production d’acier (essentiellement de produits plats en acier), dans l'extraction minière, les infrastructures, le ciment et les produits carbochimiques, |
| --- | --- | --- |

2.

Les activités des entreprises considérées sont les suivantes:

—

CSN: opère principalement dans la production d’acier (essentiellement de produits plats en acier), dans l'extraction minière, les infrastructures, le ciment et les produits carbochimiques,

| — | AG Cementos Balboa, SA: produit principalement du ciment, |
| --- | --- |

—

AG Cementos Balboa, SA: produit principalement du ciment,

| — | Corrugados Azpeitia, S.L.: fabrique essentiellement des produits semi-finis en acier et des barres d’armature en acier, |
| --- | --- |

—

Corrugados Azpeitia, S.L.: fabrique essentiellement des produits semi-finis en acier et des barres d’armature en acier,

| — | Corrugados Lasao, S.L.: produit essentiellement du treillis soudé en acier; et, |
| --- | --- |

—

Corrugados Lasao, S.L.: produit essentiellement du treillis soudé en acier; et,

| — | Stahlwerk Thüringen GmbH: fabrique principalement des produits semi-finis en acier et certains produits longs en acier (essentiellement des prolilés et des poutrelles). |
| --- | --- |

—

Stahlwerk Thüringen GmbH: fabrique principalement des produits semi-finis en acier et certains produits longs en acier (essentiellement des prolilés et des poutrelles).

| 3. | Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission estime que l'opération notifiée pourrait entrer dans le champ d'application du règlement CE sur les concentrations. Conformément à la communication de la Commission relative à une procédure simplifiée de traitement de certaines opérations de concentration en application du règlement CE sur les concentrations (2), il convient de noter que ce cas est susceptible d'être traité selon la procédure définie par ladite communication. |
| --- | --- |

3.

Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission estime que l'opération notifiée pourrait entrer dans le champ d'application du règlement CE sur les concentrations. Conformément à la communication de la Commission relative à une procédure simplifiée de traitement de certaines opérations de concentration en application du règlement CE sur les concentrations (2), il convient de noter que ce cas est susceptible d'être traité selon la procédure définie par ladite communication.

| 4. | La Commission invite les tiers intéressés à lui présenter leurs observations éventuelles sur le projet de concentration.
  Ces observations devront lui parvenir au plus tard dans un délai de dix jours à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie (+32 22964301), par courrier électronique à l’adresse COMP-MERGER-REGISTRY@ec.europa.eu ou par courrier postal, sous la référence COMP/M.6265 — CSN/AG Cementos Balboa/Corrugados Azpeitia/Corrugados Lasao/Stahlwerk Thuringen, à l'adresse suivante:





  Commission européenne |
| --- | --- |
| Direction générale de la concurrence |
| Greffe des concentrations |
| J-70 |
| 1049 Bruxelles |
| BELGIQUE |

4.

La Commission invite les tiers intéressés à lui présenter leurs observations éventuelles sur le projet de concentration.

Ces observations devront lui parvenir au plus tard dans un délai de dix jours à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie (+32 22964301), par courrier électronique à l’adresse COMP-MERGER-REGISTRY@ec.europa.eu ou par courrier postal, sous la référence COMP/M.6265 — CSN/AG Cementos Balboa/Corrugados Azpeitia/Corrugados Lasao/Stahlwerk Thuringen, à l'adresse suivante:

Commission européenne

Direction générale de la concurrence

Greffe des concentrations

J-70

1049 Bruxelles

BELGIQUE

---

(1)  JO L 24 du 29.1.2004, p. 1 (le «règlement CE sur les concentrations»).

(2)  JO C 56 du 5.3.2005, p. 32 (la «communication sur une procédure simplifiée»).

---

| 22.6.2011 | FR | Journal officiel de l'Union européenne | C 181/40 |
| --- | --- | --- | --- |

22.6.2011

FR

Journal officiel de l'Union européenne

C 181/40

---

Notification préalable d'une concentration

(Affaire COMP/M.6253 — Talis International Holding/Raphael Valves Industries)

Cas susceptible d'être traité selon la procédure simplifiée

(Texte présentant de l'intérêt pour l'EEE)

2011/C 181/08

| 1. | Le 14 juin 2011, la Commission européenne a reçu notification, conformément à l'article 4 du règlement (CE) no 139/2004 du Conseil (1), d'un projet de concentration par lequel l'entreprise Talis International Holding GmbH (Allemagne), holding de l'entreprise comprenant le groupe Talis («Talis»), acquiert, au sens de l'article 3, paragraphe 1, point b), du règlement sur les concentrations, le contrôle de l'ensemble de l'entreprise Raphael Valves Industries (1975) («Raphael», Israël) par achat d'actions. |
| --- | --- |

1.

Le 14 juin 2011, la Commission européenne a reçu notification, conformément à l'article 4 du règlement (CE) no 139/2004 du Conseil (1), d'un projet de concentration par lequel l'entreprise Talis International Holding GmbH (Allemagne), holding de l'entreprise comprenant le groupe Talis («Talis»), acquiert, au sens de l'article 3, paragraphe 1, point b), du règlement sur les concentrations, le contrôle de l'ensemble de l'entreprise Raphael Valves Industries (1975) («Raphael», Israël) par achat d'actions.

| 2. | Les activités des entreprises considérées couvrent, tant pour Talis que pour Raphael, la conception, la fabrication et la distribution de vannes et autres produits et équipements destinés au secteur de l'eau, notamment pour la production, le transport, la distribution et l'évacuation. |
| --- | --- |

2.

Les activités des entreprises considérées couvrent, tant pour Talis que pour Raphael, la conception, la fabrication et la distribution de vannes et autres produits et équipements destinés au secteur de l'eau, notamment pour la production, le transport, la distribution et l'évacuation.

| 3. | Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission européenne estime que l'opération notifiée pourrait entrer dans le champ d'application du règlement sur les concentrations. Conformément à la communication de la Commission relative à une procédure simplifiée de traitement de certaines opérations de concentration en application du règlement sur les concentrations (2), il convient de noter que ce cas est susceptible d'être traité selon la procédure définie par ladite communication. |
| --- | --- |

3.

Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission européenne estime que l'opération notifiée pourrait entrer dans le champ d'application du règlement sur les concentrations. Conformément à la communication de la Commission relative à une procédure simplifiée de traitement de certaines opérations de concentration en application du règlement sur les concentrations (2), il convient de noter que ce cas est susceptible d'être traité selon la procédure définie par ladite communication.

| 4. | La Commission européenne invite les tiers intéressés à lui présenter leurs observations éventuelles sur ce projet de concentration.
  Ces observations devront lui parvenir au plus tard dans un délai de dix jours à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie (+32 22964301), par courrier électronique à l'adresse COMP-MERGER-REGISTRY@ec.europa.eu ou par courrier postal, sous la référence COMP/M.6253 — Talis International Holding/Raphael Valves Industries (1975) Ltd, à l'adresse suivante:





  Commission européenne |
| --- | --- |
| Direction générale de la concurrence |
| Greffe des concentrations |
| J-70 |
| 1049 Bruxelles |
| BELGIQUE |

4.

La Commission européenne invite les tiers intéressés à lui présenter leurs observations éventuelles sur ce projet de concentration.

Ces observations devront lui parvenir au plus tard dans un délai de dix jours à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie (+32 22964301), par courrier électronique à l'adresse COMP-MERGER-REGISTRY@ec.europa.eu ou par courrier postal, sous la référence COMP/M.6253 — Talis International Holding/Raphael Valves Industries (1975) Ltd, à l'adresse suivante:

Commission européenne

Direction générale de la concurrence

Greffe des concentrations

J-70

1049 Bruxelles

BELGIQUE

---

(1)  JO L 24 du 29.1.2004, p. 1 (le «règlement sur les concentrations»).

(2)  JO C 56 du 5.3.2005, p. 32 (la «communication relative à une procédure simplifiée»).

---