Bruxelles, le 20.7.2010

COM(2010)385 final

COMMUNICATION DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

Présentation générale de la gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice

COMMUNICATION DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

Présentation générale de la gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice

INTRODUCTION

L’Union européenne a parcouru un long chemin depuis que les dirigeants de cinq pays européens sont convenus, en 1985 à Schengen, de supprimer les contrôles à leurs frontières communes. L’accord conclu à cette occasion a débouché, en 1990, sur la convention de Schengen, qui contenait les germes de nombreuses politiques actuelles de gestion de l’information. La suppression des contrôles aux frontières intérieures a encouragé la mise en place de toute une série de mesures aux frontières extérieures, portant pour la plupart sur la délivrance des visas, la coordination des politiques d’asile et d’immigration et le renforcement de la coopération policière, judiciaire et douanière dans la lutte contre la criminalité transfrontalière. Sans échange de données par-delà les frontières, ni l’espace Schengen ni le marché intérieur de l’UE ne pourraient fonctionner à l'heure actuelle.

Les attentats terroristes perpétrés aux États-Unis en 2001 ainsi que les attentats à la bombe de Madrid en 2004 et de Londres en 2005 ont incité les instances politiques à insuffler une nouvelle dynamique à l'élaboration des politiques européennes de gestion de l’information. En 2006, le Conseil et le Parlement européen ont adopté la directive sur la conservation de données afin de permettre aux autorités nationales de lutter contre les formes graves de criminalité en conservant les données de localisation et les données relatives au trafic des télécommunications[1]. Le Conseil a ensuite adopté l'initiative suédoise visant à simplifier l’échange transfrontalier d’informations dans le cadre d’enquêtes pénales et d’opérations de renseignement. En 2008, il a adopté la décision de Prüm destinée à accélérer l’échange de profils ADN, d’empreintes digitales et de données relatives à l'immatriculation des véhicules dans le cadre de la lutte contre le terrorisme et d’autres formes de criminalité. La coopération transfrontalière entre cellules de renseignement financier, bureaux de recouvrement des avoirs et plateformes de lutte contre la cybercriminalité ainsi que le recours par les États membres à Europol et Eurojust constituent autant de moyens supplémentaires de lutter contre les formes graves de criminalité dans l’espace Schengen.

Au lendemain des attentats terroristes du 11 septembre 2001, le gouvernement américain a mis en place son programme de surveillance du financement du terrorisme ( Terrorist Finance Tracking Program - TFTP) dans le but de déjouer des complots analogues en surveillant les transactions financières suspectes. Le Parlement européen a récemment approuvé la conclusion de l'accord entre l'Union européenne et les États-Unis d'Amérique portant sur le traitement et le transfert des données de messagerie financière de l'Union européenne aux États-Unis aux fins du programme de surveillance du financement du terrorisme (l'accord TFTP UE-États-Unis)[2]. Les échanges avec les pays tiers de données relatives aux passagers aériens ( Passenger Name Records - PNR) ont également aidé l'UE à lutter contre le terrorisme et d’autres formes graves de criminalité[3]. Après avoir conclu des accords PNR avec les État-Unis, l’Australie et le Canada, la Commission a récemment décidé de repenser totalement son approche de la mise en place d'un système PNR dans l'UE et du partage de ces données avec des pays tiers.

Les mesures présentées ci-dessus ont permis la libre circulation dans l’espace Schengen, contribué à prévenir et combattre les attentats terroristes ainsi que d’autres formes graves de criminalité et soutenu la mise en place d’une politique commune en matière de visas et d'asile.

La présente communication propose, pour la première fois, un panorama complet des mesures qui, au niveau de l’UE, sont en place, en cours de mise en œuvre ou d’examen et qui régissent la collecte, le stockage ou l’échange transfrontalier d'informations à caractère personnel à des fins répressives ou de gestion des flux migratoires. Les citoyens ont le droit de connaître les données à caractère personnel les concernant qui sont traitées et échangées et de savoir par qui elles le sont et à quelle fin. Le présent document apporte une réponse transparente à ces questions. Il précise, pour chacun de ces instruments, son objectif principal, sa structure, le type de données à caractère personnel sur lequel il porte et la liste des services ayant accès à ces données, et rappelle les dispositions régissant la protection et la conservation de données. Il contient en outre un nombre limité d'exemples illustrant la manière dont ces instruments fonctionnent concrètement (voir l’annexe I). Enfin, il énonce les principes fondamentaux qui devraient servir de base à la conception et à l’évaluation des instruments en matière de gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice.

En présentant un panorama des mesures régissant, au niveau de l’UE, la gestion des informations à caractère personnel et en proposant un ensemble de principes à suivre pour mettre au point et évaluer les mesures de ce type, la présente communication contribue à l’émergence d’un dialogue éclairé avec l’ensemble des parties prenantes sur les politiques. Dans le même temps, elle apporte une première réponse aux demandes des États membres de mettre au point une approche plus «cohérente» de l’échange d’informations à caractère personnel à des fins répressives, question qui a récemment été abordée dans la stratégie de gestion de l'information de l’UE[4], et permet de réfléchir à la nécessité éventuelle de concevoir un modèle européen d’échange d’informations fondé sur une évaluation des mesures actuelles régissant l’échange d’informations[5].

La limitation des finalités est un aspect essentiel pour la plupart des instruments sur lesquels porte la présente communication. Un système d’information unique et global au niveau de l’UE, aux objectifs multiples, permettrait d’atteindre le degré le plus élevé d’échange d’informations. La création d’un tel système serait toutefois synonyme de restriction illégitime et abusive des droits des personnes à la protection des données et au respect de la vie privée et engendrerait de très grandes difficultés concernant sa mise au point et son fonctionnement. En pratique, les politiques dans le domaine de la liberté, de la sécurité et de la justice ont été élaborées progressivement, ce qui a donné naissance à plusieurs instruments et systèmes d’information dont la taille, la portée et la finalité sont variables. La structure compartimentée de la gestion de l’information qui a vu le jour au cours des dernières décennies est plus propice à garantir le respect du droit à la vie privée que tout autre système centralisé.

La présente communication ne porte pas sur les mesures impliquant l’échange de données à caractère non personnel à des fins stratégiques, comme les analyses des risques ou les évaluations des menaces de portée générale; elle n’analyse pas davantage en détail les dispositions en matière de protection des données prévues par les instruments examinés, la Commission procédant actuellement, au titre de l’article 16 du traité sur le fonctionnement de l’Union européenne, à un exercice distinct consacré à un nouveau cadre général de protection des données à caractère personnel dans l'UE. Le Conseil examine à l’heure actuelle le projet de directives de négociation en vue d’un accord UE-États-Unis relatif à la protection des données à caractère personnel lors de leur transfert et de leur traitement aux fins de prévenir les infractions pénales, dont les actes terroristes, d'enquêter en la matière, de les détecter ou de les poursuivre dans le cadre de la coopération policière et de la coopération judiciaire en matière pénale. Ces négociations devant déterminer les modalités selon lesquelles les deux parties peuvent assurer un niveau élevé de protection des libertés et droits fondamentaux lors du transfert ou du traitement des données à caractère personnel plutôt que la teneur proprement dite de ces transferts ou traitements de données, la présente communication ne porte pas sur cette initiative[6].

INSTRUMENTS DE L’UE RÉGISSANT LA COLLECTE, LE STOCKAGE OU L’ÉCHANGE DE DONNÉES À CARACTÈRE PERSONNEL À DES FINS RÉPRESSIVES OU DE GESTION DES FLUX MIGRATOIRES

La présente section propose un panorama des instruments adoptés par l’Union européenne et régissant la collecte, le stockage ou l’échange transfrontalier de données à caractère personnel à des fins répressives ou de gestion des flux migratoires. La section 2.1 s’attache plus particulièrement aux mesures actuellement en vigueur ou en cours de mise en œuvre ou d’examen, et la section 2.2 concerne les initiatives annoncées dans le plan d'action mettant en œuvre le programme de Stockholm[7]. Cette section contient, pour chaque instrument, des informations sur les aspects suivants:

- contexte (la mesure a-t-elle été proposée par les États membres ou par la Commission)[8];

- finalités(s) pour laquelle/lesquelles les données sont collectées, stockées ou échangées;

- structure (système d’information centralisé ou échange décentralisé de données);

- données à caractère personnel sur lesquelles porte l’instrument;

- services ayant accès aux données;

- dispositions en matière de protection des données;

- règles relatives à la conservation des données;

- degré de mise en œuvre;

- mécanisme de réexamen.

Instruments actuellement utilisés ou en cours de mise en œuvre ou d’examen

Instruments de l’UE visant à améliorer le fonctionnement de l'espace Schengen et de l’union douanière

Le système d’information Schengen (SIS) est né du souhait des États membres de créer un espace sans contrôles aux frontières intérieures tout en facilitant le franchissement par les personnes des frontières extérieures[9]. Fonctionnant depuis 1995, il s’efforce de maintenir la sécurité publique, y compris la sécurité nationale, à l’intérieur de l’espace Schengen et de faciliter la circulation des personnes au moyen des informations qu'il permet de transmettre. Le SIS est un système d’information centralisé doté d’une composante nationale dans chaque État participant et d’une fonction de support technique située en France. Les États membres peuvent signaler les personnes recherchées pour l’arrestation aux fins d'extradition; les ressortissants de pays tiers non admissibles; les personnes disparues; les témoins ou personnes citées à comparaître devant les autorités judiciaires; les personnes et véhicules faisant l’objet d’une surveillance exceptionnelle en raison de la menace qu’ils constituent pour la sécurité publique ou nationale; les armes à feu, documents et véhicules perdus ou volés; et les billets de banque suspects. Les données saisies dans le SIS comprennent les noms et pseudonymes («alias»), les caractéristiques physiques, les date et lieu de naissance, la nationalité et l’indication que la personne concernée est ou non armée et violente. Dans le cadre de procédures pénales, les autorités policières, douanières et judiciaires et celles chargées des contrôles aux frontières peuvent, dans les limites de leurs prérogatives légales respectives, accéder aux informations précitées. Les services d’immigration et les postes consulaires ont accès aux données relatives aux ressortissants de pays tiers figurant sur la liste des personnes non admissibles ainsi qu’aux signalements concernant les documents perdus ou volés. Europol peut avoir accès à certaines catégories de données figurant dans le SIS, notamment les signalements se rapportant aux personnes recherchées pour l’arrestation aux fins d'extradition et aux personnes faisant l’objet d’une surveillance exceptionnelle en raison de la menace qu’elles constituent pour la sécurité publique ou nationale. Eurojust peut accéder aux signalements se rapportant aux personnes recherchées pour l’arrestation aux fins d'extradition et aux témoins ou personnes citées à comparaître devant les autorités judiciaires. Les données à caractère personnel ne peuvent être utilisées qu’aux fins des signalements spécifiques pour lesquels elles ont été fournies. Les données à caractère personnel saisies dans le SIS à des fins de recherche de personnes ne peuvent être conservées que pendant la durée nécessaire pour atteindre les finalités pour lesquelles elles ont été fournies et doivent être effacées au plus tard trois ans après la date de leur introduction dans le système. Les données relatives aux personnes faisant l’objet d’une surveillance exceptionnelle en raison de la menace qu’elles constituent pour la sécurité publique ou nationale doivent être supprimées après un an. Les États membres doivent adopter des dispositions nationales prévoyant un niveau de protection des données au moins égal à celui résultant de la convention de 1981 du Conseil de l’Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel et de la recommandation de 1987 du Comité des ministres du Conseil de l’Europe aux États membres visant à réglementer l'utilisation de données à caractère personnel dans le secteur de la police[10]. Bien que la convention de Schengen ne prévoie pas de mécanisme de réexamen, ses signataires peuvent proposer des modifications à la convention, à la suite de quoi le texte modifié doit être approuvé à l’unanimité et ratifié par les parlements nationaux. Le SIS est applicable dans son intégralité dans 22 États membres, ainsi qu’en Suisse, en Norvège et en Islande. Le Royaume-Uni et l’Irlande participent aux aspects liés à la coopération policière de la convention de Schengen et du SIS, sauf pour ce qui est des signalements concernant les ressortissants de pays tiers figurant sur la liste des personnes non admissibles. Chypre a signé la convention de Schengen, mais ne l’a pas encore mise en œuvre. Le Liechtenstein doit la mettre en œuvre en 2010, et la Bulgarie et la Roumanie devraient le faire en 2011. Une recherche effectuée dans le SIS donne lieu à un «résultat positif» ( hit ) lorsque les données relatives à une personne ou un objet recherchés correspondent à celles d’un signalement existant. Lorsqu’elles ont obtenu un résultat positif, les autorités répressives peuvent, par l’intermédiaire de leur réseau de bureaux SIRENE, demander des informations supplémentaires afin de savoir sur qui et/ou sur quoi porte un signalement[11].

L’adhésion de nouveaux États membres à l’espace Schengen a entraîné une croissance correspondante de la taille de la base de données du SIS: entre janvier 2008 et 2010, le nombre total de signalements dans le SIS a augmenté de 22,9 à 31,6 millions[12]. Anticipant cette hausse des volumes de données échangées et les évolutions des besoins des utilisateurs, les États membres ont, en 2001, décidé de mettre au point un système d’information Schengen de deuxième génération (SIS II) et confié cette mission à la Commission[13]. Le SIS II, qui est actuellement en cours de mise au point, a pour finalité d'assurer un niveau élevé de sécurité dans le domaine de la liberté, de la sécurité et de la justice en améliorant les fonctionnalités du système de première génération, et de faciliter la circulation des personnes au moyen des informations qu'il permet de transmettre. Outre les catégories initiales de données sur lesquelles portait le système de première génération, le SIS II sera en mesure de traiter les empreintes digitales, les photographies, les copies du mandat d’arrêt européen, les dispositions visant à protéger les intérêts des personnes dont l'identité est usurpée et les liens entre différents signalements. Ainsi, le SIS II sera capable de mettre en relation le signalement concernant une personne recherchée pour enlèvement, celui concernant la victime de cet enlèvement et celui concernant le véhicule utilisé pour commettre cette infraction. La réglementation en matière de droits d’accès et de conservation des données est identique à celle prévue pour le système de première génération. Les données à caractère personnel ne peuvent être utilisées qu’aux fins des signalements spécifiques pour lesquels elles ont été fournies. Les données à caractère personnel se trouvant dans le SIS II doivent être traitées conformément aux dispositions spécifiques figurant dans les actes législatifs de base régissant ce système [règlement (CE) n° 1987/2006 et décision 2007/533/JAI du Conseil], qui précisent les principes énoncés dans la directive 95/46/CE, et conformément au règlement (CE) n° 45/2001, à la convention n° 108 du Conseil de l’Europe et à la recommandation relative à la police[14]. Le SIS II fera usage de s-TESTA, le réseau sécurisé de communication de données de la Commission[15]. Dès qu’il sera opérationnel, ce système sera applicable dans tous les États membres, en Suisse, au Liechtenstein, en Norvège et en Islande[16]. La Commission est tenue de faire parvenir au Parlement européen et au Conseil un rapport semestriel sur l'état d'avancement des travaux concernant le développement du SIS II et la migration éventuelle du système de première génération vers le SIS II[17].

La mise au point d’ EURODAC remonte à la suppression des frontières intérieures, qui a imposé de définir des règles claires relatives au traitement des demandes d’asile. EURODAC est un système centralisé et automatisé d’identification des empreintes digitales contenant les données dactyloscopiques de certains ressortissants de pays tiers. Il est opérationnel depuis janvier 2003 et son objectif est de contribuer à déterminer l’État membre responsable, au titre du règlement «Dublin», de l’examen d’une demande d’asile[18]. Les personnes âgées de 14 ans ou plus qui introduisent une demande d’asile dans un État membre font automatiquement l’objet d'un relevé d’empreintes digitales, au même titre que les ressortissants de pays tiers appréhendés lors du franchissement irrégulier d’une frontière extérieure. En comparant les empreintes digitales de ces personnes avec celles figurant dans EURODAC, les autorités nationales cherchent à déterminer où cette personne aurait pu avoir présenté une demande d’asile ou par quel pays elle est entrée pour la première fois dans l’Union européenne. Les autorités peuvent aussi comparer aux données figurant dans EURODAC les empreintes digitales de ressortissants de pays tiers se trouvant illégalement sur leur territoire. Les États membres doivent préciser la liste des services ayant accès à cette base de données, parmi lesquelles figurent en général les services chargés de l’asile et des migrations, les gardes-frontières et les services de police. Les États membres transfèrent les données pertinentes à la base de données centrale par l’intermédiaire de leurs points d’accès nationaux. Les données à caractère personnel se trouvant dans EURODAC ne peuvent être utilisées qu’aux fins de faciliter l’application du règlement «Dublin»; toute autre utilisation de ces données est passible de sanctions. Les empreintes digitales des demandeurs d'asile sont conservées pour une durée de dix ans; celles des migrants en situation irrégulière pour une durée de deux ans. Les données des demandeurs d’asile sont supprimées dès lors qu’ils acquièrent la citoyenneté d’un État membre; celles des migrants en situation irrégulière le sont dès lors qu’ils obtiennent un titre de séjour ou la citoyenneté, ou quittent le territoire des États membres. La directive 95/46/CE s’applique au traitement de données à caractère personnel au titre de cet instrument[19]. EURODAC utilise le réseau s-TESTA de la Commission et est applicable dans tous les États membres, ainsi qu'en Norvège, en Islande et en Suisse. Un accord permettant au Liechtenstein d’être connecté devrait être conclu sous peu. La Commission est tenue de soumettre au Parlement européen et au Conseil des rapports annuels sur le fonctionnement de l’unité centrale d’EURODAC.

Au lendemain des attentats du 11 septembre 2001, les États membres ont décidé d’accélérer la mise en œuvre d’une politique commune des visas en créant un système d’échange d’informations pour les visas de court séjour[20]. La suppression des frontières intérieures a également simplifié l’utilisation frauduleuse des régimes de visas des États membres. Le système d'information sur les visas (VIS) a pour but de répondre à ces deux préoccupations: il vise à soutenir la mise en œuvre d’une politique commune des visas en simplifiant l’examen des demandes de visa et les contrôles aux frontières extérieures tout en contribuant à la prévention des menaces dirigées contre la sécurité intérieure des États membres[21]. Le VIS sera un système d’information centralisé doté d’une composante nationale dans chaque État participant et d’une fonction de support technique située en France. Il aura recours à un système de correspondance biométrique destiné à garantir la fiabilité des comparaisons d’empreintes digitales et vérifiera l’identité des titulaires de visas aux frontières extérieures. Il comprendra des données concernant les demandes de visas, des photographies, des empreintes digitales, des décisions connexes des services de visas et des liens entre demandes connexes. Les services chargés des visas, de l’asile, de l’immigration et des contrôles aux frontières disposeront d’un accès à cette base de données afin de vérifier l’identité des titulaires de visas et l’authenticité des visas; les services de police ainsi qu’Europol peuvent la consulter afin de prévenir et combattre le terrorisme et les autres formes graves de criminalité[22]. Les dossiers liés aux demandes peuvent être conservés pour une durée de cinq ans. Les données à caractère personnel se trouvant dans le VIS doivent être traitées conformément aux dispositions spécifiques figurant dans les actes législatifs de base régissant ce système [règlement (CE) n° 767/2006 et décision 2008/633/JAI du Conseil], qui complètent les dispositions de la directive 95/46/CE, du règlement (CE) n° 45/2001, de la décision-cadre 2008/977/JAI du Conseil, de la convention n° 108 du Conseil de l’Europe, de son protocole additionnel n° 181 et de la recommandation relative à la police[23]. Le VIS sera applicable dans tous les États membres (à l’exception du Royaume-Uni et de l’Irlande) ainsi qu’en Suisse, en Norvège et en Islande. Il fonctionnera sur la base du réseau s-TESTA de la Commission. La Commission procédera à l’évaluation du système trois ans après son lancement et ensuite tous les quatre ans.

Sur initiative espagnole, le Conseil a adopté en 2004 une directive régissant la transmission d’ informations anticipées sur les passagers ( Advance Passenger Information – API) par les transporteurs aériens aux autorités chargées des contrôles aux frontières[24]. Cet instrument a pour but d’améliorer les contrôles aux frontières et de lutter contre les migrations irrégulières. Sur demande, les transporteurs aériens doivent communiquer aux autorités chargées des contrôles aux frontières le nom, la date de naissance, la nationalité, le point d’embarquement et le point de passage frontalier utilisé pour entrer sur le territoire de l’UE des passagers se rendant dans l’UE au départ de pays tiers. Ces données à caractère personnel sont généralement extraites des parties lisibles par machine des passeports des passagers et transmises aux autorités après l’enregistrement. Après l’arrivée d'un vol, les autorités et les transporteurs aériens peuvent conserver les données API pendant 24 heures. Le système API fonctionne de manière décentralisée grâce au partage d'informations entre opérateurs privés et pouvoirs publics. Cet instrument ne permet pas l’échange de données API entre États membres; toutefois, les autorités répressives autres que les gardes-frontières peuvent demander d’avoir accès à ces informations à des fins répressives. Les données à caractère personnel ne peuvent être utilisées que par les pouvoirs publics à des fins de contrôles aux frontières et de lutte contre les migrations irrégulières et doivent être traitées conformément à la directive 95/46/CE[25]. En vigueur dans toute l’UE, cet instrument n’est utilisé que par un faible nombre d’États membres. La Commission procédera à un réexamen de cette directive en 2011.

Une partie importante du programme de la Commission de 1992, qui prévoyait la création du marché intérieur, concernait la suppression de tous les contrôles et formalités concernant les marchandises circulant dans la Communauté[26]. La suppression de ces procédures aux frontières intérieures a accru le risque de fraude, ce qui a contraint les États membres à mettre en place, d’une part, un mécanisme d’assistance administrative mutuelle afin de contribuer à la prévention des opérations contraires à la législation douanière et agricole communautaire, ainsi qu'aux enquêtes et aux poursuites en la matière, et, d’autre part, une coopération douanière visant à permettre de détecter et de poursuivre les infractions aux dispositions douanières nationales, notamment en renforçant l’échange transfrontalier d’informations. Sans préjudice de la compétence de l’UE en matière d’union douanière[27], la convention Naples II relative à l'assistance mutuelle et à la coopération entre les administrations douanières vise à permettre aux administrations douanières nationales de prévenir et de détecter les infractions aux réglementations douanières nationales et à les aider à poursuivre et réprimer les infractions aux réglementations douanières communautaires et nationales[28]. Au titre de cet instrument, un ensemble de services centraux de coordination peuvent demander par écrit l’assistance de leurs homologues d’autres États membres dans le cadre d’enquêtes pénales concernant des infractions aux réglementations douanières nationales et communautaires. Ces services ne sont autorisés à traiter les données à caractère personnel qu’aux fins prévues par la convention Naples II. Ils peuvent transmettre ces informations aux administrations douanières, autorités de poursuite et instances judiciaires nationales et, moyennant le consentement préalable de l’État membre fournissant les informations, à d’autres autorités. Les données peuvent être conservées pour une durée n’excédant pas celle nécessaire pour atteindre les finalités pour lesquelles elles ont été fournies. Dans l’État membre destinataire, les données à caractère personnel bénéficient au moins du même niveau de protection que dans l’État membre qui les a fournies et leur traitement doit respecter les dispositions de la directive 95/46/CE et de la convention n° 108 du Conseil de l’Europe[29]. La convention Naples II a été ratifiée par tous les États membres. Ceux-ci peuvent proposer des amendements, le texte modifié devant ensuite être adopté par le Conseil des ministres et ratifié par les États membres.

Venant compléter la convention Naples II, la convention SID déploie le système d'information douanier (SID) afin d'aider à prévenir, rechercher et poursuivre les infractions graves aux lois nationales en renforçant, par une diffusion plus rapide des informations, l'efficacité des procédures de coopération et de contrôle des administrations douanières des États membres[30]. Le SID, géré par la Commission, est un système d’information centralisé accessible à partir de terminaux dans chacun des États membres et à la Commission, Europol et Eurojust. Il comprend les données à caractère personnel se rapportant à des marchandises, moyens de transports, entreprises, personnes et retenues, saisies ou confiscations d’articles et d’argent liquide. Ces données à caractère personnel sont les noms et noms d'emprunt, les date et lieu de naissance, la nationalité, le sexe, les signes particuliers, les documents d’identité, l’adresse, tout antécédent de faits de violence, le motif d'introduction des données dans le SID, l’action suggérée et le numéro d'immatriculation du moyen de transport. Dans le cas des retenues, saisies ou confiscations d’articles et d’argent liquide, seuls les éléments biographiques et l’adresse peuvent être introduits dans le SID. Ces informations peuvent être utilisées uniquement aux fins d'observation ou de compte rendu, d’inspections particulières ou de contrôles spécifiques, ou d’analyses opérationnelles ou stratégiques concernant des personnes suspectées d’avoir enfreint les dispositions douanières nationales. Les autorités douanières, fiscales, agricoles, de santé publique et policières nationales, Europol et Eurojust peuvent accéder aux données du SID[31]. Le traitement des données à caractère personnel doit se faire dans le respect des règles spécifiques arrêtées dans la convention SID et des dispositions de la directive 95/46/CE, du règlement (CE) n° 45/2001, de la convention n° 108 du Conseil de l’Europe et de la recommandation relative à la police[32]. Les données à caractère personnel ne peuvent être copiées du SID dans d’autres systèmes de traitement des données qu'à des fins d’analyses opérationnelles ou de gestion des risques, et seuls les analystes désignés par les États membres peuvent y accéder. Les données à caractère personnel copiées du SID ne peuvent être conservées que pendant la durée nécessaire pour atteindre les finalités pour lesquelles elles ont été copiées et doivent être effacées au plus tard après dix ans. Le SID crée également un fichier d’identification des dossiers d’enquêtes douanières (FIDE) afin de contribuer à la prévention des infractions graves aux législations nationales, ainsi qu'aux enquêtes et aux poursuites en la matière[33]. Le FIDE permet aux autorités nationales chargées de mener des enquêtes en matière douanière, lorsqu’elles ouvrent un dossier d’enquête, d’identifier les autres autorités qui auraient pu enquêter sur une personne ou une entreprise donnée. Ces autorités peuvent introduire des données dans le FIDE au départ de leurs dossiers d’enquêtes, y compris les données biographiques des personnes faisant l’objet d'enquêtes ainsi que la raison sociale, la raison commerciale, le numéro de TVA et l’adresse des entreprises faisant l’objet d’enquêtes. Les données provenant des dossiers d’enquêtes dans lesquels aucune fraude douanière n’a été détectée peuvent être conservées pendant trois ans au maximum; celles provenant de dossiers dans lesquels un cas de fraude douanière a été détecté peuvent être conservées pendant six ans au maximum; et celles provenant de dossiers dans lesquels une condamnation ou une sanction ont été prononcées peuvent être conservées pendant dix ans au maximum. Le SID et le FIDE utilisent le réseau commun de communication, l'interface commune des systèmes ou l'accès internet sécurisé que fournit la Commission. Le SID est en vigueur dans tous les États membres. La Commission, en collaboration avec les États membres, présente un rapport annuel au Parlement européen et au Conseil sur le fonctionnement du SID.

Instruments de l’UE visant à prévenir et à combattre le terrorisme et les autres formes graves de criminalité transfrontalière

Les attentats terroristes de mars 2004 à Madrid ont donné lieu à plusieurs nouvelles initiatives au niveau de l’UE. À la demande du Conseil européen, la Commission a présenté, en 2005, une proposition d’instrument régissant l’échange d’informations en vertu du principe de disponibilité[34]. Au lieu d’approuver cette proposition, le Conseil a adopté, en 2006, l’ initiative suédoise , qui rationalise l’échange entre États membres d’informations ou de renseignements de nature pénale existants, susceptibles d’être nécessaires à des enquêtes pénales ou des opérations de renseignement en matière pénale[35]. Cet instrument se fonde sur le principe politique de l’«accès équivalent», en vertu duquel les conditions applicables aux échanges transfrontaliers de données ne devraient pas être plus strictes que celles régissant l’accès national. L’initiative suédoise prévoit un fonctionnement décentralisé et permet aux autorités policières, douanières et autres habilitées à enquêter sur des infractions pénales (à l’exception des services de renseignement, qui, en général, traitent de renseignements se rapportant à la sécurité publique ou nationale) de partager des informations et des renseignements de nature pénale avec leurs homologues de tous les pays de l’UE. Les États membres doivent désigner des points de contact nationaux pour répondre aux demandes urgentes d’informations. Cet instrument fixe des délais précis pour l’échange d’informations et contraint les États membres à compléter un formulaire lorsqu’ils demandent des informations. Les États membres sont tenus de répondre aux demandes d’informations et de renseignements dans un délai de huit heures dans les cas urgents, dans un délai d’une semaine dans les cas non urgents et dans un délai de deux semaines dans tous les autres cas. L’utilisation d’informations et de renseignements obtenus grâce à cet instrument est soumise au respect des législations nationales en matière de protection de données, tandis que les États membres ne sont pas autorisés à appliquer un traitement différencié aux données selon qu’elles soient d’origine nationale ou qu'elles proviennent d’autres États membres. Un État membre fournisseur peut toutefois soumettre l’utilisation d’informations ou de renseignements dans d’autres États membres au respect de certaines conditions. Le traitement de données à caractère personnel doit être conforme à la législation nationale en matière de protection des données ainsi qu’aux dispositions de la convention n° 108 du Conseil de l'Europe, de son protocole additionnel n° 181 et de la recommandation relative à la police[36]. Douze des trente-et-un signataires de cet instrument (à savoir les États membres de l’UE, ainsi que la Norvège, l’Islande, la Suisse et le Liechtenstein) ont adopté une législation nationale pour le mettre en œuvre; cinq États remplissent régulièrement le formulaire de demande d’informations; mais seuls deux États y ont fréquemment recours pour échanger des informations[37]. La Commission est tenue de présenter son rapport d’évaluation au Conseil avant la fin de 2010.

La décision de Prüm se fonde sur un accord conclu en 2005 par l’Allemagne, la France, l’Espagne, les pays du Benelux et l’Autriche afin d’approfondir la coopération en matière de lutte contre le terrorisme, la criminalité transfrontalière et la migration illégale. En réponse à l’intérêt exprimé par plusieurs États membres d'adhérer à cet accord, l’Allemagne a proposé, au cours de sa présidence du Conseil de 2007, de le transformer en instrument de l’UE. La décision de Prüm de 2008, qui doit être mise en œuvre d’ici août 2011, énonce les règles applicables à l’échange transfrontalier de profils ADN, d’empreintes digitales, de données relatives à l'immatriculation des véhicules et d’informations relatives aux personnes suspectées de planifier des attentats terroristes[38]. Son objectif est de renforcer la prévention des infractions pénales, en particulier le terrorisme et la criminalité transfrontalière, et de maintenir l’ordre public lors d’événements de grande envergure. Ce système fonctionnera de manière décentralisée en prévoyant l’interconnexion, par l’intermédiaire de points de contact nationaux, des bases de données en matière d’immatriculation des véhicules, d’empreintes digitales et de profils ADN des États participants. En utilisant le réseau s-TESTA de la Commission, les points de contact traiteront les demandes entrantes et sortantes de comparaison de profils ADN, d’empreintes digitales et de données relatives à l’immatriculation des véhicules. Leurs capacités à transmettre ces données aux utilisateurs finaux sont régies par le droit national. À compter d’août 2011, la comparaison de données sera entièrement automatisée. Toutefois, les États membres doivent se soumettre à une procédure rigoureuse d’évaluation (portant, en particulier, sur leur respect des exigences techniques et en matière de protection des données) pour obtenir l’autorisation de commencer l’échange automatisé de données. Les données à caractère personnel ne peuvent pas être échangées au titre de cet instrument tant que les États membres n'ont pas assuré un niveau de protection des données au moins équivalent à celui résultant de l'application de la convention n° 108 du Conseil de l'Europe, de son protocole additionnel n° 181 et de la recommandation relative à la police[39]. Le Conseil statuera à l'unanimité afin de déterminer si cette condition a été remplie. Les informations à caractère personnel ne peuvent être utilisées qu’aux fins pour lesquelles elles ont été communiquées, sauf si l’État membre fournisseur accepte qu’elles soient utilisées à d’autres fins. Les personnes physiques peuvent également s’adresser à leur délégué national à la protection des données, désigné conformément à la directive 95/46/CE, pour faire valoir leurs droits relatifs au traitement des données à caractère personnel au titre de cet instrument. La comparaison des profils ADN et des empreintes digitales se fera selon un système (anonyme) de concordance/non-concordance ( hit/no hit ), en vertu duquel les autorités ne seront en mesure de demander des informations à caractère personnel au sujet d’une personne concernée que si leur recherche initiale a établi l’existence d’une concordance. Ces demandes d’informations complémentaires seront d’ordinaire transmises au moyen de l’initiative suédoise. La décision de Prüm est en cours de mise en œuvre dans l'ensemble des 27 États membres, tandis que la Norvège et l’Islande sont sur le point d’y adhérer[40]. La Commission est tenue de présenter son rapport d’évaluation au Conseil en 2012.

À la suite des attentats à la bombe de Londres de juillet 2005, la Grande-Bretagne, l’Irlande, la Suède et la France ont proposé l’adoption d’un instrument de l’UE harmonisant les dispositions nationales applicables à la conservation de données. La directive sur la conservation de données de 2006 oblige les fournisseurs de services de téléphonie et d’accès à l’internet à conserver, à des fins de recherche, de détection et de poursuite d'infractions graves, les données de localisation et les données relatives au trafic des communications électroniques, ainsi que des renseignements sur les abonnés (y compris leur numéro de téléphone, leur adresse IP et l’identifiant de leur équipement mobile)[41]. La directive sur la conservation de données ne réglemente ni l’accès aux données conservées par les autorités nationales ni leur utilisation. Son champ d’application exclut explicitement le contenu des communications électroniques; en d’autres termes, elle ne permet pas la mise sur écoute. Cet instrument laisse aux États membres le soin de définir les «infractions graves». Les États membres peuvent aussi spécifier les autorités nationales qui peuvent accéder à ces données au cas par cas ainsi que les procédures permettant d’accorder l’accès à ces informations et les conditions de cet accès. Les durées de conservation de données varient de six à vingt-quatre mois. La directive 95/46/CE et la directive 2002/58/CE régissent la protection des données à caractère personnel au titre de cet instrument[42]. Six États membres n’ont pas encore totalement transposé cette mesure, et les Cours constitutionnelles allemande et roumaine ont déclaré inconstitutionnelle la législation nationale d’exécution adoptée par ces pays. La Cour constitutionnelle allemande a estimé que les dispositions régissant l’accès aux données ainsi que leur utilisation, telles que figurant dans la législation nationale, étaient anticonstitutionnelles[43]. La Cour constitutionnelle roumaine a jugé que la conservation de données était en soi contraire à l’article 8 de la convention de sauvegarde des droits de l'homme et des libertés fondamentales (convention européenne des droits de l’homme) et était donc anticonstitutionnelle[44]. La Commission procède actuellement à l’évaluation de cet instrument et doit présenter son rapport d’évaluation au Parlement européen et au Conseil à la fin 2010.

La mise en place, toujours en cours, d’un système européen d'information sur les casiers judiciaires (ECRIS), remonte à une initiative belge de 2004, dont l’objectif était de retirer aux délinquants sexuels ayant été condamnés le droit de travailler avec des enfants dans d’autres États membres. Par le passé, les États membres se fondaient sur la convention du Conseil de l’Europe d'entraide judiciaire en matière pénale afin d’échanger des informations relatives aux condamnations de leurs ressortissants, mais ce système s’est avéré inefficace[45]. Le Conseil a effectué un premier pas sur la voie de la réforme en adoptant la décision 2005/876/JAI du Conseil, qui obligeait chaque État membre à mettre en place une autorité centrale qui transmettrait, à intervalles réguliers, aux autres États membres les condamnations prononcées à l’égard des ressortissants de ces autres États membres[46]. Cet instrument permettait aussi aux États membres d’obtenir, pour la première fois et sous réserve des dispositions législatives nationales, les condamnations prononcées antérieurement à l’encontre de leurs ressortissants dans d’autres États membres. Les États membres pouvaient demander ces informations en complétant un formulaire type plutôt qu’en recourant aux procédures d’entraide judiciaire. En 2006 et 2007, la Commission a présenté un ensemble complet de mesures législatives composé de trois instruments: la décision-cadre 2008/675/JAI du Conseil obligeant les États membres à prendre en compte les décisions de condamnation antérieures à l’occasion d’une nouvelle procédure pénale; la décision-cadre 2009/315/JAI du Conseil concernant l'organisation et le contenu des échanges d'informations extraites des casiers judiciaires; et la décision 2009/316/JAI du Conseil relative à la création de l’ECRIS comme moyen technique d’échanger des informations extraites des casiers judiciaires[47]. Devant être mises en œuvre au plus tard en avril 2012, les décisions-cadres 2009/315/JAI et 2009/316/JAI du Conseil visent à définir les procédures selon lesquelles un État membre prononçant une condamnation doit transmettre les informations relatives à une nouvelle condamnation à l’État membre ou aux États membres de nationalité de la personne condamnée, à préciser les obligations en matière de stockage et à arrêter un cadre pour un système informatisé d’échange d’informations. L’ECRIS sera un système d’information décentralisé permettant l’interconnexion des casiers judiciaires des États membres grâce au réseau s-TESTA de la Commission. Un ensemble d’autorités centrales échangeront des données relatives aux antécédents judiciaires et aux nouvelles condamnations des citoyens. Les données seront cryptées et structurées selon un format prédéfini, et comprendront les éléments suivants: éléments biographiques; condamnation, peine et infraction sous-jacente; et informations complémentaires (y compris les empreintes digitales, le cas échéant). À compter d’avril 2012, des extraits de casier judiciaire doivent être fournis pour les procédures pénales en cours et transmises aux autorités judiciaires ou administratives compétentes, telles que les instances habilitées à évaluer les personnes souhaitant occuper un poste sensible ou détenir une arme à feu. Les données à caractère personnel communiquées pour des procédures pénales ne peuvent être utilisées qu’à cette seule fin; leur utilisation à d’autres fins nécessite l’accord de l’État membre fournisseur. Le traitement de données à caractère personnel doit être conforme aux dispositions spécifiques de la décision-cadre 2009/315/JAI, qui intègre les dispositions de la décision 2005/876/JAI du Conseil, ainsi qu’à la décision-cadre 2009/977/JAI du Conseil et à la convention n° 108 du Conseil de l’Europe[48]. Le règlement (CE) n° 45/2001[49] s’applique à tout traitement de données à caractère personnel effectué par les institutions de l’UE au moyen de l’ECRIS, par exemple pour garantir la sécurité des données. Ce paquet législatif ne contient pas de dispositions relatives à la conservation des données, le stockage des informations relatives aux condamnations pénales étant régi par le droit national. Quinze États membres participent actuellement à un projet pilote et, parmi ceux-ci, neuf ont commencé à échanger électroniquement des informations extraites des casiers judiciaires. La Commission doit soumettre au Parlement européen et au Conseil deux rapports d’évaluation relatifs au fonctionnement de ce paquet législatif: la décision-cadre 2008/675/JAI doit être réexaminée en 2011; et la décision-cadre 2009/315/JAI doit l’être en 2015. À compter de 2016, la Commission doit aussi publier des rapports réguliers sur le fonctionnement de l’ECRIS.

À la suite d’une initiative finlandaise, le Conseil a adopté, en 2000, un instrument organisant l’échange d’informations entre les cellules de renseignement financier (CRF) des États membres aux fins de lutter contre le blanchiment de capitaux et, ultérieurement, le financement du terrorisme[50]. Les CRF sont en général créées au sein des services répressifs, des autorités judiciaires ou des instances administratives faisant rapport aux autorités financières. Elles sont tenues de partager avec leurs homologues de l’UE les données financières ou de nature répressive nécessaires, y compris les détails des transactions financières, sauf dans les cas où leur communication serait disproportionnée par rapport aux intérêts de personnes physiques ou morales. Les données communiquées aux fins de procéder à l'analyse d'informations ou à des enquêtes relatives au blanchiment de capitaux ou au financement du terrorisme peuvent également être utilisées pour des enquêtes ou poursuites en matière pénale, sauf si l'État membre fournisseur interdit leur utilisation à ces fins. Le traitement des données à caractère personnel doit se faire dans le respect des dispositions de la décision-cadre 2008/977/JAI du Conseil, de la convention n° 108 du Conseil de l’Europe et de sa recommandation relative à la police[51]. En 2002, plusieurs États membres ont créé FIU.net, une application de réseau décentralisée permettant l’échange de données entre cellules de renseignement financier et utilisant le réseau s-TESTA de la Commission[52]. Cette initiative rassemble vingt CRF qui ont le statut de membres. Des discussions sont en cours sur l'opportunité d'utiliser l’application sécurisée SIENA d’Europol pour faire fonctionner l’application FIU.net[53]. Après avoir évalué le respect par les États membres de cet instrument, le Conseil a, dans sa troisième directive sur le blanchiment de capitaux, donné compétence aux CRF pour recevoir, analyser et communiquer les déclarations relatives aux transactions suspectes concernant le blanchiment de capitaux et le financement du terrorisme[54]. Dans le cadre de son plan d'action pour les services financiers, la Commission réexamine depuis 2009 la mise en œuvre de la troisième directive sur le blanchiment de capitaux[55].

Souscrivant à une initiative proposée par l’Autriche, la Belgique et la Finlande, le Conseil a adopté, en 2007, un instrument dont l’objectif est d’accroître la coopération entre bureaux de recouvrement des avoirs (BRA) en matière de dépistage et d’identification des produits du crime[56]. Comme les CRF, les BRA coopèrent de manière décentralisée, mais sans l’aide d’une plateforme en ligne. Ils sont tenus de faire usage de l’initiative suédoise pour échanger des données, en précisant les informations relatives aux biens visés, comme les comptes bancaires, biens immobiliers et véhicules, et les informations relatives aux personnes physiques ou morales recherchées, comme les noms, adresses, date de naissance et renseignements relatifs aux actionnaires ou aux sociétés. L’utilisation des données échangées grâce à cet instrument est soumise au respect des législations nationales en matière de protection de données, tandis que les États membres ne sont pas autorisés à appliquer un traitement différencié aux données selon qu’elles soient d’origine nationale ou qu'elles proviennent d’autres États membres. Le traitement des données à caractère personnel doit respecter les dispositions de la convention n° 108 du Conseil de l’Europe, de son protocole additionnel n° 181 et de la recommandation relative à la police[57]. À ce jour, plus de vingt États membres ont mis en place des BRA. Compte tenu de la nature sensible des informations échangées, des discussions sont en cours sur l'opportunité d'utiliser l’application sécurisée SIENA d’Europol pour le partage de données entre BRA. Dans le cadre d’un projet pilote lancé en mai 2010, douze BRA ont commencé à utiliser SIENA pour échanger des données présentant un intérêt pour le dépistage d'avoirs. La Commission est tenue de présenter un rapport d’évaluation au Conseil en 2010.

En 2008, la présidence française du Conseil a invité les États membres à mettre en place, au niveau national, des plateformes de signalement de la cybercriminalité , et Europol à créer une plateforme européenne de signalement de la cybercriminalité, aux fins de la collecte, de l'échange et de l'analyse d’informations relatives à des infractions perpétrées sur l’internet[58]. Les citoyens peuvent signaler à leur plateforme nationale les cas de contenu ou de comportement illicites détectés sur l'internet. La «plateforme européenne de lutte contre la cybercriminalité» (ECCP pour European Cybercrime Platform ), gérée par Europol, devrait servir de point central d’information, en analysant et en échangeant avec les services répressifs nationaux des informations liées à la cybercriminalité qui relèvent du mandat d’Europol[59]. À ce jour, presque tous les États membres ont mis en place des plateformes nationales de signalement de la cybercriminalité. Europol travaille actuellement à la mise en œuvre technique de l'ECCP et pourrait bientôt déployer son application SIENA pour accroître l’échange de données avec les plateformes nationales. Dans la mesure où cet échange d’informations implique le traitement de données à caractère personnel par Europol, les règles spécifiques en matière de protection des données figurant dans la décision portant création d’Europol (décision 2009/371/JAI du Conseil), ainsi que le règlement (CE) n° 45/2001, la convention n° 108 du Conseil de l'Europe, son protocole additionnel n° 181 et la recommandation relative à la police s’appliquent[60]. Les dispositions de la décision-cadre 2008/977/JAI du Conseil régissent l’échange de données à caractère personnel entre les États membres et Europol[61]. En l’absence d’instrument juridique, il n’existe aucun mécanisme de réexamen formel pour les plateformes de signalement de la cybercriminalité. Toutefois, Europol couvre déjà ce domaine important et, à l'avenir, rendra compte des activités de l'ECCP dans son rapport annuel présenté au Conseil pour approbation et au Parlement européen pour information.

Agences et organismes de l'UE mandatés pour aider les États membres à prévenir et à combattre les formes graves de criminalité transfrontalière

Créé en 1995, l' Office européen de police (Europol) a commencé ses activités en 1999 et est devenu une agence de l'UE en janvier 2010[62]. Son objectif est d'aider les États membres à prévenir et à combattre la criminalité organisée, le terrorisme et les autres formes graves de criminalité affectant deux États membres ou plus. Ses tâches principales consistent à collecter, stocker, traiter, analyser et échanger des informations et des renseignements, à faciliter les enquêtes, et à fournir aux États membres des renseignements et une aide à l’analyse. Les principaux organes de liaison entre Europol et les États membres sont les unités nationales Europol (UNE), qui détachent des officiers de liaison auprès d'Europol. Les chefs des UNE se réunissent périodiquement pour assister Europol sur des questions opérationnelles, tandis que le fonctionnement de l'agence est supervisé par son conseil d'administration et son directeur. Les outils de gestion de l'information utilisés par Europol sont le système d'information Europol (SIE), les fichiers de travail aux fins d'analyse (FTA) et l'application SIENA. Le SIE contient les données à caractère personnel, dont les identifiants biométriques, les condamnations pénales et les liens avec la criminalité organisée, des personnes soupçonnées d'avoir commis une infraction relevant du mandat d'Europol. L'accès est limité aux UNE, aux officiers de liaison, au personnel autorisé d'Europol et à son directeur. Les FTA, ouverts afin de faciliter les enquêtes pénales, comprennent des données relatives à des personnes ainsi que toute autre information que les UNE pourraient décider d'y joindre. Ces fichiers sont accessibles aux officiers de liaison, mais seuls les analystes d'Europol peuvent y saisir des données. Un système d'index permet aux UNE et aux officiers de liaison de vérifier si un FTA contient des informations présentant un intérêt pour leur État membre. L'application SIENA d'Europol est de plus en plus utilisée par les États membres pour partager des données sensibles à des fins répressives. Europol peut traiter des informations et des renseignements, y compris des données à caractère personnel, dans le cadre de ses activités; les États membres ne peuvent utiliser les informations extraites des fichiers de données d'Europol que pour prévenir et combattre les formes graves de criminalité de nature transfrontalière. Toute restriction imposée par un État membre fournisseur à l'utilisation des informations fournies s'applique également aux autres utilisateurs qui extraient ces données des fichiers d'Europol. Europol peut également échanger des informations personnelles avec des pays tiers ayant conclu avec lui des accords de mise en œuvre et garantissant un niveau adéquat de protection des données. Il ne peut conserver des données que le temps nécessaire pour lui permettre de remplir ses fonctions. Les FTA peuvent être conservés pendant une durée de trois ans maximum, pouvant éventuellement être renouvelée une fois. Le traitement des données à caractère personnel par Europol doit être conforme aux règles spécifiques en matière de protection des données contenues dans l'acte régissant son fonctionnement (décision 2009/371/JAI du Conseil), ainsi qu'au règlement (CE) n° 45/2001, à la convention n° 108 du Conseil de l'Europe, à son protocole additionnel n° 181 et à la recommandation relative à la police[63]. Les dispositions de la décision-cadre 2008/977/JAI du Conseil s'appliquent aux échanges de données à caractère personnel entre les États membres et Europol[64]. Une autorité de contrôle commune, composée de membres des autorités de contrôle nationales, surveille les activités d'Europol liées au traitement des données à caractère personnel et à leur transmission à d'autres parties. Elle présente des rapports périodiques au Parlement européen et au Conseil. Europol transmet un rapport annuel sur ses activités au Conseil, pour approbation, et au Parlement européen, pour information.

Outre l'incidence qu'ils ont eue sur plusieurs des instruments décrits ci-dessus, les attentats terroristes du 11 septembre 2001 ont conduit à la création, en 2002, de l' unité de coopération judiciaire de l'Union européenne (Eurojust)[65]. Eurojust est un organe de l'UE dont l'objectif est d'améliorer la coordination des enquêtes et des poursuites dans les États membres et de renforcer la coopération entre les autorités nationales compétentes. Il couvre les mêmes formes de criminalité et infractions pénales qu'Europol. Dans le cadre de ce mandat et aux fins de l'exercice de leurs fonctions, les 27 membres nationaux d'Eurojust, qui composent son collège, ont accès aux données à caractère personnel concernant les suspects et auteurs d'infractions. Ces données comprennent, entre autres: les données biographiques, les coordonnées, les données d'immatriculation des véhicules, les profils ADN, les photographies, les empreintes digitales, ainsi que les données relatives au trafic, les données de localisation, et les données connexes nécessaires pour identifier l’abonné, transmises par les fournisseurs de services de télécommunication. Les États membres sont tenus de partager ces informations avec Eurojust afin de lui permettre d'accomplir sa mission. Toutes les données à caractère personnel liées à une affaire doivent être saisies dans le système automatisé de gestion des affaires, qui utilise le réseau s-TESTA de la Commission. Un système d'index enregistre les données à caractère personnel et non personnel présentant un intérêt pour les enquêtes en cours. Eurojust peut traiter des données à caractère personnel dans l'accomplissement de sa mission, mais ce traitement doit être conforme aux règles spécifiques contenues dans l'acte régissant son fonctionnement (décision 2009/426/JAI du Conseil), ainsi qu'à la convention n° 108 du Conseil de l'Europe, à son protocole additionnel n° 181 et à la recommandation relative à la police. Les dispositions de la décision-cadre 2008/977/JAI du Conseil s'appliquent aux échanges de données à caractère personnel entre les États membres et Eurojust[66]. Eurojust peut échanger des données avec des autorités nationales et des pays tiers avec lesquels il a conclu un accord, pour autant que le membre national ayant fourni les données ait accepté ce transfert et que le pays tiers assure un niveau adéquat de protection des données à caractère personnel. Les données à caractère personnel peuvent être conservées aussi longtemps que cela est nécessaire pour atteindre les objectifs d'Eurojust, mais doivent être supprimées dès qu'une affaire est classée. Les États membres doivent mettre en œuvre la base juridique modifiée d'Eurojust d'ici à juin 2011. Pour juin 2014 au plus tard, la Commission devra réexaminer l'échange d'informations entre les membres nationaux d'Eurojust et pourra proposer toute modification qu'elle jugera utile. D'ici à 2013, Eurojust fera rapport au Conseil et à la Commission sur l'ouverture au niveau national de l'accès à son système de gestion des affaires. Les États membres pourront revoir les droits d'accès nationaux sur cette base. Un organe de contrôle commun, composé de juges nommés par les États membres, surveille les activités d'Eurojust liées au traitement des données à caractère personnel et fait rapport annuellement au Conseil. Le président du collège présente au Conseil un rapport annuel sur les activités d'Eurojust, que le Conseil transmet au Parlement européen.

Accords internationaux visant à prévenir et à combattre le terrorisme et les autres formes graves de criminalité transnationale

À la suite des attentats terroristes du 11 septembre 2001, les États-Unis ont adopté une législation obligeant les compagnies aériennes assurant des vols à destination ou au départ des États-Unis, ou via ceux-ci, à fournir aux autorités américaines les données relatives aux passagers aériens (ou données PNR – Passenger Name Records ) stockées dans leurs systèmes de réservation automatisés respectifs. Le Canada et l'Australie leur ont rapidement emboîté le pas. La législation de l'UE en la matière exigeant une évaluation préalable du niveau de protection des données assuré par les pays tiers, la Commission est intervenue à cet effet et a négocié des accords PNR avec ces pays[67]. Elle a signé un tel accord avec les États-Unis en juillet 2007 et avec l'Australie en juin 2008, ainsi qu'un accord API/PNR avec le Canada en octobre 2005[68]. Les accords conclus avec les États-Unis et l'Australie sont provisoirement applicables, tandis que l'accord avec le Canada reste en vigueur malgré l'expiration, en septembre 2009, de la décision de la Commission relative à l'adéquation du niveau de protection des données assuré par les normes canadiennes de protection des données[69]. Critique à l'égard du contenu des trois accords, le Parlement européen a invité la Commission a les renégocier sur la base d'un ensemble de principes clairs[70]. Grâce à la transmission des données PNR bien avant le départ d'un vol, les services répressifs peuvent déceler plus aisément les liens pouvant exister entre certains passagers et le terrorisme ou d'autres formes graves de criminalité. Chacun de ces accords vise donc à prévenir et à combattre le terrorisme et les autres formes graves de criminalité transfrontalière. En contrepartie des données PNR provenant de l'UE, le ministère américain de la sécurité intérieure (DHS - Department of Homeland Security ) partage les «indices» tirés de son analyse des données PNR avec les services répressifs de l'UE, Europol et Eurojust; et tant le Canada que les États-Unis se sont engagés, dans leurs accords respectifs, à coopérer avec l'UE aux fins de la mise en place d'un système PNR européen. Les accords avec les États-Unis et l'Australie portent sur 19 types de données, dont les informations biographiques, les informations relatives aux réservations et aux paiements, et les informations supplémentaires; l'accord canadien porte quant à lui sur 25 types de données similaires. Les informations supplémentaires comprennent, entre autres, les données relatives aux allers simples, aux passagers en «stand by» et aux passagers répertoriés comme «défaillants». L'accord avec les États-Unis autorise également, sous certaines conditions, l'utilisation d'informations sensibles. Le DHS peut traiter ces informations si la vie de l'intéressé ou d'autres personnes est en danger, mais doit les supprimer dans les 30 jours. Les données PNR sont envoyées à un ensemble d'unités centrales au sein du DHS, de l'Agence des services frontaliers du Canada et du service des douanes australien, qui ne peuvent les transférer qu'à d'autres services nationaux compétents en matière de répression ou de lutte antiterroriste. Dans l'accord américain, le DHS s'attend à ne pas devoir assurer, lors du traitement de données PNR en provenance de l'UE, une protection des données «plus stricte» que celle assurée par les autorités de l'UE dans leurs systèmes PNR nationaux. Dans le cas contraire, certaines parties de l'accord pourraient être suspendues. L'UE considère que le Canada et l'Australie assurent un niveau de protection «adéquat» pour les données PNR provenant de l'UE s'ils respectent les termes de leurs accords respectifs. Aux États-Unis, les données PNR provenant de l'UE sont conservées pendant sept ans dans une base de données active, et pendant huit années supplémentaires dans une base de données inactive. En Australie, elles sont stockées dans une base de données active pendant 3 ans et demi, puis dans une base de données inactive pendant deux ans. Dans ces deux pays, la base de données inactive n'est accessible que sur autorisation spéciale. Au Canada, les données sont conservées pendant 3 ans et demi, les informations étant rendues anonymes après 72 heures. Chaque accord prévoit des révisions périodiques, et les accords canadien et australien contiennent également une clause de dénonciation. Dans l'UE, seul le Royaume-Uni dispose d'un système PNR. La France, le Danemark, la Belgique, la Suède et les Pays-Bas ont adopté une législation ad hoc ou testent actuellement l'utilisation des données PNR en vue de la mise en place de leur propre système PNR. Plusieurs autres États membres envisagent de mettre en place un système PNR, et l'ensemble des États membres utilisent, au cas par cas, les données PNR à des fins répressives.

À la suite des attentats du 11 septembre 2001, le département du Trésor des États-Unis a élaboré un programme de surveillance du financement du terrorisme (TFTP - Terrorist Finance Tracking Program ) afin d'identifier, de surveiller et de poursuivre les terroristes et leurs appuis financiers. Au titre du TFTP, le département du Trésor des États-Unis a obligé, par injonctions administratives, la filiale américaine d'une entreprise belge à lui transférer certaines données de messagerie financière transitant par son réseau. En janvier 2010, cette entreprise a modifié l'architecture de son réseau, ce qui a réduit de plus de moitié le volume des données relevant de la compétence des juridictions américaines qui font normalement l'objet des injonctions ministérielles. En novembre 2009, la présidence du Conseil de l'Union européenne et le gouvernement des États-Unis ont signé un accord intermédiaire relatif au traitement et au transfert de l'UE vers les États-Unis de données de messagerie financière aux fins du TFTP, accord que le Parlement européen n'a pas approuvé[71]. Sur la base d'un nouveau mandat, la Commission européenne a négocié un nouveau projet d'accord avec les États-Unis et a présenté au Conseil, le 18 juin 2010, une proposition de décision du Conseil relative à la conclusion de l'accord entre l'Union européenne et les États-Unis d'Amérique sur le traitement et le transfert de données de messagerie financière de l'Union européenne aux États-Unis aux fins du programme de surveillance du financement du terrorisme (l'accord TFTP UE-États-Unis)[72]. Le Parlement européen a approuvé la conclusion de cet accord le 8 juillet 2010[73]. Le Conseil devrait à présent adopter une décision du Conseil relative à la conclusion de cet accord, après quoi l'accord entrera en vigueur par l'intermédiaire d'un échange de lettres entre les deux parties. L'accord TFTP UE-États-Unis a pour objet la prévention et la détection du terrorisme ou de son financement, ainsi que les enquêtes et les poursuites dans ce domaine. Il oblige les fournisseurs désignés de services de messagerie financière à transférer au Trésor américain, sur la base d'évaluations spécifiques des menaces géographiques et de demandes adaptées aux besoins, des séries de données de messagerie financière contenant, entre autres, le nom, le numéro de compte, l'adresse et le numéro d'identification du donneur d'ordre et du ou des bénéficiaires de certaines opérations. Le Trésor ne peut interroger ces données qu'aux fins du TFTP et seulement s'il a des raisons de croire à l'existence d'un lien entre une personne identifiée et le terrorisme ou son financement. L'extraction et le transfert de données relatives aux transactions effectuées à l'intérieur de l'espace unique de paiement en euros sont interdits. Les États-Unis fournissent aux États membres de l'UE, à Europol et à Eurojust tout «indice» relatif à l'existence de complots terroristes dans l'UE et aideront l'UE à mettre en place un système analogue au système TFTP. Si l'UE élaborait un tel programme, les deux parties pourraient revoir les termes de cet accord. Avant tout transfert de données, chaque demande d'informations émanant des États-Unis doit être vérifiée par Europol afin de s'assurer qu'elle respecte bien les conditions de l'accord. Les informations extraites des messages financiers ne peuvent être conservées plus longtemps que cela n'est nécessaire aux fins d'enquêtes ou de poursuites spécifiques; les données non extraites peuvent être conservées pendant 5 ans maximum. Si nécessaires aux fins de la prévention du terrorisme ou de son financement, ainsi que des enquêtes ou des poursuites en la matière, le Trésor américain peut transférer aux services répressifs, aux organismes chargés de la sécurité publique ou aux autorités chargées de la lutte contre le terrorisme aux États-Unis, aux États membres de l'UE, à Europol ou à Eurojust toutes les données à caractère personnel extraites des messages financiers. Il peut aussi partager avec des pays tiers tout indice relatif à des citoyens et des résidents de l'UE, sous réserve de l'autorisation de l'État membre concerné. Le respect par les parties de la limitation stricte de la finalité de l'accord à la lutte antiterroriste ainsi que des autres garanties prévues fait l'objet d'un contrôle par des superviseurs indépendants, dont une personne désignée par la Commission. L'accord a une durée de cinq ans et peut être dénoncé ou suspendu par chacune des parties. Une équipe de réexamen de l'UE, dirigée par la Commission et composée de représentants de deux autorités chargées de la protection des données et d'une personnalité issue du monde judiciaire, réexaminera l'accord six mois après son entrée en vigueur, et évaluera en particulier la mise en œuvre par les parties des dispositions relatives à la limitation des finalités et à la proportionnalité, ainsi que le respect des obligations qui leur incombent en matière de protection des données. Le rapport de la Commission sera présenté au Parlement européen et au Conseil.

Initiatives au titre du plan d'action mettant en œuvre le programme de Stockholm

Propositions législatives devant être présentées par la Commission

Dans le programme de Stockholm, le Conseil européen a invité la Commission à soumettre trois propositions présentant un intérêt direct pour la présente communication: un système PNR européen aux fins de la prévention et de la détection du terrorisme et des formes graves de criminalité, ainsi que des poursuites en la matière; un système d'entrée/de sortie; et un programme d'enregistrement des voyageurs. Le Conseil européen a souligné que les deux dernières propositions devaient être présentées «le plus rapidement possible». La Commission a intégré chacune de ces trois demandes dans son plan d'action mettant en œuvre le programme de Stockholm[74]. Elle s'attachera dans l'immédiat à donner suite à ces demandes et, plus tard, à évaluer ces instruments sur la base des principes d'élaboration des politiques énoncés à la section 4.

En novembre 2007, la Commission a présenté une proposition de décision-cadre du Conseil relative à l’utilisation des données PNR à des fins répressives[75]. Cette initiative a reçu le soutien du Conseil et a ensuite été modifiée pour tenir compte des modifications proposées par le Parlement européen et des observations du contrôleur européen de la protection des données. Toutefois, elle est devenue caduque à l'entrée en vigueur du traité de Lisbonne. Comme elle l'a indiqué dans son plan d'action mettant en œuvre le programme de Stockholm, la Commission prépare actuellement, en vue d'une présentation début 2011, un paquet PNR composé: d'une communication relative à une stratégie PNR extérieure de l'UE énonçant les principes fondamentaux régissant la négociation d'accords avec les pays tiers; de directives de négociation pour la renégociation d'accords PNR avec les États-Unis et l'Australie; et de directives de négociation pour la conclusion d'un nouvel accord avec le Canada. La Commission élabore également une nouvelle proposition PNR de l'UE.

En 2008, la Commission a présenté plusieurs propositions visant à développer la gestion intégrée des frontières de l'UE en facilitant les déplacements des ressortissants de pays tiers tout en renforçant la sécurité intérieure[76]. La communication consacrée à cette question précisait que les personnes qui dépassent la durée de séjour autorisée constituaient la catégorie la plus nombreuse d’immigrés en séjour irrégulier dans l’UE, et proposait l'introduction éventuelle d'un système d'entrée/de sortie (SES) pour les ressortissants de pays tiers entrant dans l'UE pour de courts séjours de trois mois maximum. Ce système enregistrerait l'heure et le lieu d'entrée et la durée de séjour autorisée, et transmettrait des signalements automatiques aux autorités compétentes en cas de dépassement de la durée de séjour autorisée. Fondé sur la vérification des données biométriques, il exploiterait le même le système de correspondance biométrique et le même équipement opérationnel que ceux utilisés par le SIS II et le VIS. La Commission réalise actuellement une analyse d'impact et, comme indiqué dans le plan d'action mettant en œuvre le programme de Stockholm, s'appliquera à présenter une proposition législative en 2011.

L'établissement d'un programme d'enregistrement des voyageurs (PEV) constituait la troisième proposition à examiner[77]. Ce programme permettrait de simplifier les contrôles aux frontières pour certaines catégories de voyageurs réguliers en provenance de pays tiers qui pourraient, après avoir fait l'objet d'une procédure adéquate d’examen préalable, entrer dans l'UE en franchissant des barrières automatiques. Le PEV prévoirait également une vérification d'identité sur la base des données biométriques et permettrait d'abandonner progressivement l'approche actuelle du contrôle général aux frontières au profit d'une nouvelle approche fondée sur le risque individuel. La Commission a effectué une analyse d'impact et, conformément au plan d'action mettant en œuvre le programme de Stockholm, prévoit de présenter une proposition législative en 2011.

Initiatives devant être examinées par la Commission

Dans le programme de Stockholm, le Conseil européen a invité la Commission à examiner trois initiatives présentant un intérêt pour la présente communication et portant sur: les moyens permettant de pister le financement du terrorisme au sein de l'UE; la possibilité et l'utilité de développer un système européen d'autorisation de voyage; et la nécessité et la valeur ajoutée de la mise en place d'un système européen d'information sur les registres de la police. La Commission a également intégré ces initiatives dans son plan d'action mettant en œuvre le programme de Stockholm. Elle doit à présent en apprécier la faisabilité et l'opportunité et déterminer, le cas échéant, la manière de les mettre en œuvre sur la base des principes d'élaboration des politiques énoncés à la section 4.

L'accord TFTP UE-États-Unis invite la Commission européenne à réaliser une étude sur l'opportunité de mettre en place un système européen de surveillance du financement du terrorisme équivalent au TFTP américain et permettant un transfert «plus ciblé» de données entre l'UE et les États-Unis. Le projet de décision de Conseil relative à la conclusion de cet accord invite également la Commission à présenter au Parlement européen et au Conseil, au plus tard un an après l'entrée en vigueur de l'accord TFTP UE-États-Unis, un cadre juridique et technique pour l'extraction de données sur le territoire de l'UE[78]. Dans les trois ans à compter de l'entrée en vigueur de cet accord, la Commission présentera un état d'avancement de l'élaboration d'un tel système équivalent propre à l'UE. Si ce système n'est pas mis en place dans les cinq ans à compter de l'entrée en vigueur de l'accord, l'UE peut décider de dénoncer l'accord. De plus, en vertu de l'accord TFTP UE-États-Unis, les États-Unis s'engagent à coopérer avec l'UE et à lui fournir conseils et assistance dans le cas où elle déciderait de mettre en place un tel système. Sans préjudice de la décision qui sera finalement prise, la Commission a commencé à étudier les conséquences d'une telle initiative pour la protection des données et les ressources, ainsi que sur le plan pratique. Comme indiqué dans le plan d'action mettant en œuvre le programme de Stockholm, la Commission présentera, en 2011, une communication sur la faisabilité de la création d'un programme européen de surveillance du financement du terrorisme (TFTP de l'UE).

Dans sa communication de 2008 sur la gestion intégrée des frontières, la Commission a proposé la création éventuelle d'un système électronique d’autorisation de voyage (ESTA) pour les ressortissants de pays tiers exemptés de l'obligation de visa[79]. Au titre de ce programme, les ressortissants de pays tiers éligibles seraient invités, avant leur départ, à s'inscrire par voie électronique en fournissant leurs informations biographiques, les données figurant sur leur passeport et les informations relatives à leur voyage. Par rapport à la procédure de demande de visa, l'ESTA offrirait un moyen plus rapide et plus simple de vérifier si une personne remplit les conditions d'entrée nécessaires. La Commission étudie actuellement les avantages, les inconvénients et les conséquences pratiques qu'entraînerait la mise en place de l'ESTA. Comme indiqué dans le plan d'action mettant en œuvre le programme de Stockholm, elle vise à présenter, en 2011, une communication sur la faisabilité de l'élaboration d'un tel programme.

Durant sa présidence du Conseil en 2007, l'Allemagne a lancé une discussion sur la possibilité de mettre en place un système européen d'information sur les registres de la police (EPRIS)[80]. L'EPRIS aiderait les agents des services répressifs à trouver des informations dans toute l'UE, notamment en ce qui concerne les relations entre les personnes soupçonnées de participer à la criminalité organisée. En 2010, la Commission présentera au Conseil un projet de cahier des charges pour son étude de faisabilité relative à l'EPRIS. Comme indiqué dans le plan d'action mettant en œuvre le programme de Stockholm, elle s'attachera à présenter, en 2012, une communication sur la faisabilité de la mise en place d'un tel système.

ANALYSE DES INSTRUMENTS ACTUELLEMENT UTILISÉS OU EN COURS DE MISE EN œUVRE OU D'EXAMEN

À la lumière de la présentation générale ci-dessus, les observations préliminaires suivantes peuvent être formulées.

Structure décentralisée

Parmi les divers instruments actuellement utilisés ou en cours de mise en œuvre ou d'examen, seuls six prévoient la collecte ou le stockage de données à caractère personnel au niveau de l'UE, à savoir le SIS (et le SIS II), le VIS, EURODAC, le SID, Europol et Eurojust. Toutes les autres mesures régissent l'échange décentralisé et transfrontalier d'informations personnelles collectées au niveau national par les pouvoirs publics ou des entreprises privées ainsi que leur transfert vers des pays tiers. La majorité des données à caractère personnel sont collectées et stockées au niveau national; l'UE cherche à apporter une valeur ajoutée en permettant, sous certaines conditions, l'échange de ces informations avec des partenaires de l'UE et des pays tiers. La Commission a récemment présenté au Parlement européen et au Conseil une proposition modifiée relative à la création d’une agence pour la gestion opérationnelle des systèmes d’information à grande échelle dans le domaine de la liberté, de la sécurité et de la justice[81]. La future agence IT aura pour mission d'assurer la gestion opérationnelle du SIS II, du VIS et d'EURODAC, ainsi que de tout autre futur système informatique dans le domaine de la liberté, de la sécurité et de la justice, de manière à ce que ces systèmes fonctionnent en permanence, en garantissant ainsi la continuité du flux d'information.

Finalité limitée

La plupart des instruments analysés ci-dessus poursuivent chacun un objectif spécifique: EURODAC vise à améliorer le fonctionnement du système de Dublin; le système API, à améliorer les contrôles aux frontières; l'initiative suédoise, à renforcer les enquêtes pénales et les opérations de renseignement; la convention Naples II, à contribuer à la prévention et à la détection de la fraude douanière, ainsi qu'aux poursuites et à la répression en la matière; le SID, à contribuer à la prévention des infractions graves aux lois nationales, ainsi qu'aux enquêtes et aux poursuites en la matière, en renforçant l'efficacité de la coopération entre les administrations douanières nationales; l'ECRIS, les CRF et les BRA, à rationaliser le partage transfrontalier de données dans des domaines particuliers; et la décision de Prüm, la directive sur la conservation des données, le TFTP et le système PNR, à lutter contre le terrorisme et les formes graves de criminalité. Le SIS, le SIS II et le VIS semblent être les seules exceptions à cette règle: l'objectif initial du VIS était de faciliter les échanges transfrontaliers de données sur les visas, mais il a ensuite été étendu à la prévention du terrorisme et des formes graves de criminalité et à la lutte contre ces phénomènes. Le SIS et le SIS II visent à assurer un niveau élevé de sécurité dans le domaine de la liberté, de la sécurité et de la justice, ainsi qu'à faciliter la circulation des personnes au moyen des informations qu'ils permettent de transmettre. Exception faite de ces systèmes d'information centralisés, la limitation des finalités semble constituer un critère essentiel dans la conception des mesures de gestion de l'information au niveau de l'UE.

Chevauchements potentiels entre les fonctions des différents instruments

Les mêmes informations personnelles peuvent être collectées au moyen de différents instruments, mais ces informations ne peuvent être utilisées que pour une finalité limitée au titre d'un instrument particulier (à l'exception du VIS, du SIS et du SIS II). Par exemple, les données biographiques d'une personne, y compris son nom, sa date et son lieu de naissance et sa nationalité, peuvent être traitées dans le cadre du SIS, du SIS II, du VIS, du système API, du SID, de l'initiative suédoise, de la décision de Prüm, de l'ECRIS, des CRF, des BRA, d'Europol, d'Eurojust et des accords PNR et TFTP. En revanche, ces données peuvent uniquement être traitées aux fins du contrôle aux frontières dans le cas du système API; de la prévention de la fraude douanière et des enquêtes et poursuites en la matière dans le cas du SID; des enquêtes pénales et des opérations de renseignement dans le cas de l'initiative suédoise; de la prévention du terrorisme et de la criminalité transfrontalière dans le cas de la décision de Prüm; de l'examen du casier judiciaire d'une personne dans le cas de l'ECRIS; des enquêtes sur les liens qu'entretient une personne avec la criminalité organisée et les réseaux terroristes dans le cas des CRF; du dépistage d'avoirs dans le cas des BRA; des enquêtes et des poursuites relatives aux formes graves de criminalité transfrontalière dans le cas d'Europol et d'Eurojust; de la prévention du terrorisme et des autres formes graves de criminalité transfrontalière et de la lutte contre ces phénomènes dans le cas des systèmes PNR; et de l'identification et de la poursuite des terroristes et de leurs appuis financiers dans le cas du TFTP. Les données biométriques, telles que les empreintes digitales et les photographies, peuvent être traitées dans le cadre du SIS II, du VIS, d'EURODAC, de l'initiative suédoise, de la décision de Prüm, de l'ECRIS, d'Europol et d'Eurojust – également en fonction de leurs finalités respectives. La décision de Prüm est l'unique instrument permettant l'échange transfrontalier de profils ADN anonymes (bien que ce type de données puisse également être transmis à Europol et à Eurojust). D'autres mesures prévoient le traitement d'informations personnelles hautement spécialisées présentant un intérêt pour la réalisation de leur objectif unique: les systèmes PNR traitent les informations relatives aux réservations d'avion des passagers; le FIDE, les données présentant un intérêt pour les enquêtes en matière de fraude douanière; la directive sur la conservation des données, les adresses IP et les identifiants des équipements mobiles; l'ECRIS, les casiers judiciaires; les BRA, les avoirs privés et les informations relatives aux sociétés; les plateformes de lutte contre la cybercriminalité, les infractions sur l'internet; Europol, les liens avec les filières criminelles; et le TFTP, les données de messagerie financière. Seul l'échange transfrontalier d'informations et de renseignements aux fins des enquêtes pénales présente d'importants chevauchements entre les fonctions des différents instruments. Du point de vue juridique, l'initiative suédoise serait suffisante pour échanger tout type d'informations présentant un intérêt pour ces enquêtes (pour autant que l'échange de ces données à caractère personnel soit autorisé par le droit national). Toutefois, sous l'angle opérationnel, la décision de Prüm pourrait se révéler préférable pour le partage de profils ADN et d'empreintes digitales, son système de concordance/non-concordance ( hit/no hit ) garantissant des réponses instantanées, et sa méthode de partage automatisé des données offrant un niveau élevé de sécurité des données[82]. De même, il pourrait s'avérer plus efficace pour les CRF, les BRA et les plateformes de lutte contre la cybercriminalité de traiter directement avec leurs homologues de l'UE, sans avoir à remplir les formulaires requis par l'initiative suédoise pour toute demande d'information.

Droits d'accès contrôlés

Les droits d'accès aux instruments créés dans la logique de la lutte contre le terrorisme et les formes graves de criminalité ne sont généralement accordés qu'à une partie restreinte des services répressifs, c'est-à-dire aux services de police, aux autorités de contrôle aux frontières et aux autorités douanières. Les droits d'accès aux mesures répondant à la logique «Schengen» sont en principe octroyés aux services de l'immigration et, sous certaines conditions, aux services de police, aux autorités de contrôle aux frontières et aux autorités douanières. Le flux d'information est contrôlé par les interfaces nationales dans le cas du SIS et du VIS centralisés et par les points de contact nationaux ou les unités centrales de coordination dans le cas des instruments décentralisés, tels que la décision de Prüm, l'initiative suédoise, la convention Naples II, l'ECRIS, le TFTP, les accords PNR, les CRF, les BRA et les plateformes de lutte contre la cybercriminalité.

Disparité des règles en matière de conservation des données

Les durées de conservation des données varient fortement en fonction des objectifs des divers instruments. L'accord PNR avec les États-Unis prévoit la plus longue durée de conservation, soit 15 ans, tandis que le système API prévoit la plus courte, à savoir 24 heures. Les accords PNR établissent une distinction intéressante entre les données utilisées activement et celles qui sont utilisées passivement: après un certain temps, les informations doivent être archivées et ne peuvent être «déverrouillées» que sur autorisation spéciale. L'utilisation que fait le Canada des données PNR provenant de l'UE illustre bien cette approche: les informations doivent être rendues anonymes après 72 heures, mais restent disponibles pour les agents autorisés pendant 3 ans et demi.

Gestion efficace de l'identité

Plusieurs mesures analysées ci-dessus, dont le futur SIS II et le VIS, visent à permettre la vérification de l'identité au moyen des données biométriques. La mise en place du SIS II devrait renforcer la sécurité dans le domaine de la liberté, de la sécurité et de la justice, notamment en contribuant, par exemple, à identifier les personnes faisant l'objet d'un mandat d'arrêt européen, celles auxquelles l'entrée dans l'espace Schengen doit être refusée et celles qui sont recherchées pour d'autres motifs spécifiques liés à des enquêtes en cours (telles que des personnes disparues ou des témoins dans le cadre d'affaires judiciaires), indépendamment de la disponibilité ou de l'authenticité des documents d'identification. La mise en œuvre du VIS devrait faciliter la procédure de délivrance des visas ainsi que la gestion des visas.

Des solutions européennes pour garantir la sécurité des données

Pour les échanges d'informations sensibles par-delà les frontières de l'Union, les États membres privilégient les solutions européennes. Plusieurs instruments de tailles, de structures et de finalités différentes exploitent, pour le partage d'informations sensibles, le réseau de communication de données s-TESTA, financé par la Commission. Il s'agit notamment des systèmes d'information centralisés SIS II, VIS, et EURODAC, des instruments décentralisés que constituent la décision de Prüm, l'ECRIS et les CRF, ainsi que d'Europol et d'Eurojust. Le SID et le FIDE utilisent le réseau commun de communication, l'interface commune des systèmes ou l'accès internet sécurisé que fournit la Commission. Entre-temps, SIENA, l'application de réseau d'échange d'informations d'Europol semble être devenue l'application de prédilection pour plusieurs initiatives récentes fondées sur le transfert sécurisé de données: des discussions sont en cours sur l'opportunité de faire fonctionner le réseau FIU.net, les BRA et les plateformes de lutte contre la cybercriminalité sur la base de cette application.

Disparité des mécanismes de réexamen

Les instruments analysés ci-dessus prévoient une série de mécanismes de réexamen différents. Dans le cas de systèmes d'information complexes tels que le SIS II, le VIS et EURODAC, la Commission doit présenter au Parlement européen et au Conseil des rapports annuels et semestriels sur le fonctionnement de ces systèmes ou leur degré de mise en œuvre. En ce qui concerne les instruments d'échange d'informations décentralisés, la Commission est tenue de soumettre aux autres institutions un rapport d'évaluation unique quelques années après la mise en œuvre: la directive sur la conservation des données, l'initiative suédoise et les mesures BRA doivent être évaluées en 2010; la décision de Prüm en 2012; et l'ECRIS en 2016. Les trois accords PNR prévoient des réexamens périodiques et ad hoc, et deux d'entre eux comprennent également des clauses de caducité. Europol et Eurojust présentent des rapports annuels au Conseil, qui les transmet pour information au Parlement européen. Ces considérations portent à croire que la structure actuelle de la gestion de l'information dans l'UE n'est pas propice à l'adoption d'un mécanisme d'évaluation unique pour l'ensemble des instruments. En raison de cette diversité, il est essentiel que toute modification future d'un instrument dans le domaine de la gestion de l'information tienne compte de son impact potentiel sur toutes les autres mesures régissant la collecte, le stockage ou l'échange de données à caractère personnel dans le domaine de la liberté, de la sécurité et de la justice.

PRINCIPES D'ÉLABORATION DES POLITIQUES

La section 2 décrit plusieurs initiatives que la Commission européenne a mises en œuvre, présentées ou envisagées au cours de ces dernières années. En raison du foisonnement d'idées nouvelles et d'une législation de plus en plus abondante dans le domaine de la sécurité intérieure et de la gestion des flux migratoires, il convient de définir un socle de principes appelé à guider le lancement et l'évaluation des propositions d'actions au cours des prochaines années. Ces principes se fondent sur les principes généraux, qu'ils sont destinés à compléter, consacrés par les traités de l'UE, la jurisprudence de la Cour européenne de justice et de la Cour européenne des droits de l'homme, et les accords interinstitutionnels pertinents conclus entre le Parlement européen, le Conseil et la Commission européenne. La Commission propose d'élaborer et de mettre en œuvre de nouvelles initiatives et d'évaluer les instruments existants sur la base des deux catégories de principes suivants:

Principes matériels

Protéger les droits fondamentaux, notamment le droit au respect de la vie privée et à la protection des données

La protection des droits fondamentaux des personnes telle que prévue par la charte des droits fondamentaux de l'Union européenne, et en particulier le droit au respect de la vie privée et à la protection des données à caractère personnel, constituera une priorité pour la Commission lors de l'élaboration de nouvelles propositions impliquant le traitement de données à caractère personnel dans le domaine de la sécurité intérieure et de la gestion des flux migratoires. Les articles 7 et 8 de la charte consacrent le droit de toute personne «au respect de sa vie privée et familiale» et «à la protection des données à caractère personnel la concernant»[83]. L'article 16 du traité sur le fonctionnement de l'Union européenne (TFUE), qui revêt un caractère contraignant pour les activités des États membres et des institutions, agences, organes et organismes de l'Union, réaffirme le droit de toute personne «à la protection des données à caractère personnel la concernant»[84]. Lorsqu'elle élaborera de nouveaux instruments reposant sur l'utilisation des technologies de l'information, la Commission s'attachera à suivre une approche fondée sur la prise en compte du respect de la vie privée dès la conception (« privacy by design »). Pour ce faire, elle intégrera la protection des données à caractère personnel dans la base technologique des instruments proposés, en limitant le traitement des données au strict nécessaire compte tenu de la finalité envisagée et en n'accordant l'accès aux données qu'aux entités ayant «besoin d'en connaître»[85].

Nécessité

L'ingérence d'une autorité publique dans l'exercice par les personnes de leur droit au respect de leur vie privée peut être nécessaire dans l'intérêt de la sécurité nationale, de la sûreté publique ou de la prévention de la criminalité[86]. La jurisprudence de la Cour européenne des droits de l'homme établit trois conditions auxquelles ces restrictions peuvent être justifiées: si elles sont prévues par la loi, si elles poursuivent un but légitime et si elles sont nécessaires dans une société démocratique. L'ingérence dans le droit au respect de la vie privée est considérée comme nécessaire si elle répond à un besoin social impérieux, si elle est proportionnée au but poursuivi et si les motifs invoqués par les autorités publiques pour la justifier apparaissent pertinents et suffisants[87]. Dans toutes ses futures propositions, la Commission évaluera l'incidence attendue de l'initiative en question sur le droit des personnes au respect de la vie privée et à la protection des données à caractère personnel et précisera en quoi cette incidence est nécessaire et en quoi la solution proposée est proportionnée au but légitime que constituent le maintien de la sécurité intérieure dans l'Union européenne, la prévention de la criminalité ou la gestion des flux migratoires. Le respect des règles relatives à la protection des données à caractère personnel fera dans tous les cas l'objet d'un contrôle par une autorité indépendante au niveau national ou de l'UE.

Subsidiarité

La Commission s'attachera à justifier ses nouvelles propositions au regard des principes de subsidiarité et de proportionnalité, conformément à l'article 5 du protocole (n° 2) annexé au traité sur l'Union européenne. Toute nouvelle proposition législative comprendra une fiche contenant des éléments permettant d'apprécier le respect du principe de subsidiarité, tel qu'énoncé à l'article 5 du traité sur l'Union européenne. Cette fiche comportera des éléments permettant d'évaluer l'impact financier et socio-économique de la proposition et, lorsqu'il s'agira d'une directive, ses implications sur la réglementation à mettre en œuvre par les États membres[88]. Les raisons permettant de conclure qu'un objectif de l'UE peut être mieux atteint au niveau de l'UE s'appuieront sur des indicateurs qualitatifs. Les propositions législatives devront veiller à ce que toute charge incombant à l'UE, aux gouvernements nationaux, aux autorités régionales, aux opérateurs économiques et aux citoyens soit réduite au minimum et proportionnée à l'objectif à atteindre. Dans le cas de propositions visant la conclusion de nouveaux accords internationaux, cette fiche mentionnera les effets escomptés de la proposition sur les relations avec les pays tiers concernés.

Gestion rigoureuse des risques

Les échanges d'informations dans le domaine de la liberté, de la sécurité et de la justice visent généralement à analyser les menaces qui pèsent sur la sécurité, à mettre en évidence des tendances dans les activités criminelles ou à évaluer les risques liés à certains domaines d'action[89]. Les risques sont souvent, mais pas nécessairement, liés à des personnes dont le comportement passé ou le mode comportemental indique la persistance d'un risque à l'avenir. Toutefois, les risques doivent être évalués sur la base de preuves et non d'hypothèses. Il est essentiel pour toute mesure de gestion de l'information de prévoir une vérification de la nécessité et de respecter le principe de limitation des finalités. L'élaboration de profils de risque – à ne pas confondre avec les profils raciaux ou autre profils discriminatoires, qui ne sont pas compatibles avec les droits fondamentaux – présente un intérêt certain. En effet, ces profils peuvent contribuer à concentrer les ressources sur certaines personnes aux fins du recensement des menaces pour la sécurité et de la protection des victimes de la criminalité.

Principes axés sur les processus [90]

Un bon rapport coût-efficacité

Des services publics fondés sur les technologies de l'information devraient permettre d'offrir aux contribuables de meilleurs services et un meilleur rapport qualité-prix. Compte tenu de la situation économique actuelle, toutes les nouvelles propositions, et en particulier celles qui porteront sur la création ou la mise à niveau de systèmes d'information, devront présenter le rapport coût-efficacité le plus intéressant possible. Cette approche se fondera sur les solutions préexistantes afin de réduire les chevauchements au minimum et de maximiser les synergies éventuelles. La Commission établira si un meilleur usage des instruments existants permettrait d'atteindre les objectifs des propositions. Elle envisagera également, avant de proposer la création de nouveaux systèmes, de doter les systèmes d'information existants de fonctions auxiliaires supplémentaires.

Élaborer les politiques en partant de la base

Il est essentiel que les contributions de toutes les parties prenantes, dont celles des autorités nationales responsables de la mise en œuvre, des acteurs économiques et de la société civile, soient prises en considération le plus tôt possible dans le cadre des nouvelles initiatives. L'élaboration de politiques qui tiennent compte des intérêts des utilisateurs finals requiert que soient menées une réflexion horizontale et une large consultation[91]. C'est pourquoi la Commission s'attachera à nouer des liens permanents avec les fonctionnaires et praticiens nationaux par l'intermédiaire des structures du Conseil, de comités de gestion et de formations ad hoc.

Une répartition claire des responsabilités

Compte tenu de la complexité technique des projets de collecte et d'échange d'informations dans le domaine de la liberté, de la sécurité et de la justice, une attention particulière doit être accordée à la conception initiale des structures de gouvernance. L'expérience du projet SIS II a démontré que si des objectifs, rôles et responsabilités globaux clairs et stables ne sont pas définis d'entrée de jeu, des dépassements de budget considérables et d'importants retards dans la mise en œuvre peuvent survenir. Selon une première évaluation de la mise en œuvre de la décision de Prüm, une structure de gouvernance décentralisée ne serait pas non plus la panacée, les États membres n'ayant aucun «chef de projet» vers qui se tourner pour obtenir des conseils concernant les aspects financiers ou techniques de la mise en œuvre. Peut-être la future agence IT pourrait-elle prodiguer ce genre de conseils techniques aux responsables des systèmes d'information dans le domaine de la liberté, de la sécurité et de la justice. Elle pourrait également offrir une plateforme en vue d'une large participation des parties prenantes à la gestion opérationnelle et au développement des systèmes informatiques. Afin d'éviter autant que possible les dépassements de budget et les retards dus à une modification des exigences, tout nouveau système d'information dans le domaine de la liberté, de la sécurité et de la justice, en particulier s'il s'agit d'un système informatique à grande échelle, ne sera pas développé avant que les instruments juridiques de base définissant son objet, sa portée, ses fonct