FR Journal officiel de l'Union européenne C 355/16

Avis du Contrôleur européen de la protection des données sur la communication de la Commission au Parlement européen et au Conseil — «Présentation générale de la gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice»

2010/C 355/03

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment son article 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu la demande d’avis présentée conformément au règlement (CE) no 45/2001 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (2), et notamment son article 41,

A ADOPTÉ L’AVIS SUIVANT:

I. INTRODUCTION

1. Le 20 juillet 2010, la Commission a adopté une communication intitulée «Présentation générale de la gestion de l’information dans le domaine de la liberté, de la sécurité et de la justice» (ci-après «la communication») (3). Elle a été transmise au CEPD pour consultation.

2. Le CEPD se félicite d’avoir été consulté par la Commission. Il s'était déjà vu proposer de soumettre des observations de manière informelle avant l'adoption de la communication. Bon nombre de ces observations ont été prises en considération dans la version finale du document.

Objectifs et champ d’application de la communication

3. Le CEPD accueille favorablement l’objectif de la communication, qui est de proposer, «pour la première fois, un panorama complet des mesures qui, au niveau de l’UE, sont en place, en cours de mise en œuvre ou d’examen et qui régissent la collecte, le stockage ou l’échange transfrontalier d'informations à caractère personnel à des fins répressives ou de gestion des flux migratoires» (4). L’objectif de ce document est également de fournir aux citoyens une explication globale des informations collectées, conservées et échangées à leur propos ainsi que de l’objectif et des responsables de ce traitement. Par ailleurs, selon la Commission, la communication doit également servir d'outil de référence transparent pour toutes les parties prenantes qui souhaitent participer à un débat au sujet de la direction que doit prendre la politique de l’UE dans ce domaine à l’avenir. Elle devrait ainsi contribuer à l’émergence d’un dialogue éclairé avec l’ensemble des parties prenantes sur les politiques.

4. Concrètement, la communication indique chercher à préciser, pour chacun des instruments décrits, son objectif principal, sa structure, le type de données à caractère personnel sur lequel il porte et la «liste des services ayant accès à ces données» (5), et rappelle les dispositions régissant la protection et la conservation de données. L’annexe I contient en outre un nombre limité d'exemples illustrant la manière dont ces instruments fonctionnent concrètement.

5. Par ailleurs, ce document énonce les grands principes («Principes matériels» et «Principes axés sur les processus») que la Commission entend suivre lors de l’élaboration de nouveaux instruments de collecte, de conservation et d’échange de données. Sous l’intitulé «Principes matériels», la communication reprend les principes visant à garantir les droits fondamentaux, notamment le droit au respect de la vie privée et à la protection des données, le caractère nécessaire des transferts de données, le principe de subsidiarité et la gestion rigoureuse des risques. Parmi les «Principes axés sur les processus» se trouvent le rapport coût-efficacité, l’élaboration des politiques en partant de la base, la répartition claire des responsabilités et les clauses de réexamen et de caducité.

6. Selon la communication, ces principes seront également appliqués pour évaluer les instruments existants. L'adoption d'une approche de l'élaboration et de l'évaluation des politiques fondée sur une série de principes aussi clairement définis devrait, selon la Commission, renforcer la cohérence et l'efficacité des instruments actuels et futurs, tout en respectant pleinement les droits fondamentaux des citoyens.

Objectif de l’avis rendu par le CEPD

7. Le CEPD remarque que la communication est un document important présentant une vue d’ensemble des instruments existants et (éventuellement) élaborés à l’avenir afin d’échanger des informations dans le domaine de la liberté, de la sécurité et de la justice. Elle contient une explicitation des chapitres 4.2.2 (Maîtriser l’information) et 5.1 (Gestion intégrée des frontières extérieures) du programme de Stockholm (6). Cette communication jouera un rôle important pour le développement ultérieur de ce domaine. C’est la raison pour laquelle le CEPD estime qu’il est utile de présenter des observations sur les différents éléments de la communication, malgré le fait que le texte de la communication lui-même ne sera pas modifié.

8. Le CEPD entend apporter quelques notions supplémentaires qui doivent, selon lui, être prises en considération dans le cadre du futur développement de l’espace de liberté, de sécurité et de justice. Le présent avis expose un certain nombre de notions qui ont déjà été énoncées dans l’avis rendu par le CEPD le 10 juillet 2009 au sujet de la communication intitulée «Un espace de liberté, de sécurité et de justice au service des citoyens» (7), ainsi que dans plusieurs autres avis et observations. Il développe également les avis précédemment présentés. Il convient également, dans ce contexte, de mentionner le rapport sur l’avenir de la protection de la vie privée, adopté le 1er décembre 2009 par le groupe de travail «Article 29» et le groupe de travail «Police et justice». Ce rapport, qui constituait une contribution conjointe à la consultation de la Commission européenne sur le cadre juridique du droit fondamental à la protection des données à caractère personnel et qui a été soutenu par le CEPD, a présenté des orientations importantes au sujet de l’avenir de la protection des données, qui peuvent également s’appliquer aux échanges d’informations effectués dans le domaine de la coopération policière et judiciaire en matière pénale.

Contexte de l’avis

9. Le CEPD se félicite de la communication en indiquant qu’il s’agit d’une réponse à la demande du Conseil européen (8) visant à élaborer des instruments de gestion de l'information au niveau de l'UE conformément à une stratégie de gestion de l'information de l’UE et à lancer une réflexion au sujet d’un modèle européen d'échange d'informations.

10. Le CEPD note par ailleurs que la communication doit également être envisagée comme une réponse au programme de Stockholm, déjà évoqué ci-dessus, qui préconise une action cohérente et structurée dans le cadre des échanges d’informations exécutés dans le domaine de la sécurité intérieure de l’UE. Plus précisément, le chapitre 4.2.2 du programme de Stockholm invite la Commission européenne à évaluer la nécessité de mettre au point un modèle européen en matière d'échange d'informations, à partir d'une évaluation des instruments existants, y compris la «décision-cadre Prüm» et la «décision-cadre suédoise». Ces évaluations devraient aider à déterminer si ces instruments fonctionnent comme il était initialement prévu et s'ils répondent aux objectifs de la stratégie en matière de gestion de l'information.

11. Dans ce contexte, il est utile de souligner le fait que le programme de Stockholm prévoit comme principale exigence pour la stratégie de gestion de l'information de l’UE un dispositif renforcé de protection des données. Cette importance particulière accordée à la protection des données s’inscrit pleinement dans le cadre du traité de Lisbonne qui, comme déjà mentionné ci-dessus, contient une disposition générale sur la protection des données accordant à toutes les personnes — même aux ressortissants de pays tiers — un droit à la protection des données dont elles peuvent se prévaloir devant le juge et contraint le Conseil et le Parlement européen à établir un cadre général de protection des données.

12. Le CEPD appuie également la disposition de la stratégie de gestion de l'information prévoyant qu’une nouvelle mesure législative visant à faciliter la conservation et l’échange de données à caractère personnel ne peut être proposée que si sa nécessité est prouvée par des faits concrets. Le CEPD a défendu cette approche dans de nombreux avis sur des propositions législatives portant sur l’espace de liberté, de sécurité et de justice, p.ex. sur le SIS de deuxième génération (9), sur l'accès des services de répression à Eurodac (10), sur la révision des règlements Eurodac et de Dublin (11), sur la communication de la Commission relative au programme de Stockholm (12) ainsi que sur les données PNR (13).

13. En effet, il est extrêmement important d’évaluer tous les instruments existants en matière d’échange d’informations avant d’en proposer de nouveaux. Cette évaluation est d’autant plus importante quand on sait que le cadre actuel est un patchwork complexe formé de divers instruments et systèmes dont certains viennent d’être mis en œuvre et n’ont dès lors pas encore été évalués, tandis que d’autres sont en cours de mise en œuvre et que d’autres sont encore en cours d’élaboration législative.

14. C’est la raison pour laquelle le CEPD note avec satisfaction que la communication établit un lien manifeste avec les autres actions entreprises par la Commission afin de dresser le bilan et d’évaluer ce domaine, pour donner suite au programme de Stockholm.

15. Dans ce contexte, le CEPD se félicite particulièrement de l’exercice de cartographie de l'information entrepris par la Commission en janvier 2010 et réalisé en étroite collaboration avec une équipe ad hoc composée de représentants des États membres de l'UE et de l'AELE, d'Europol, d'Eurojust, de Frontex et du CEPD (14). Comme indiqué dans la communication, la Commission entend présenter les résultats de cet exercice de «cartographie de l’information» au Conseil et au Parlement avant la fin 2010. La prochaine étape visera à présenter une communication relative au modèle européen en matière d'échange d'informations.

16. De l’avis du CEPD, il est particulièrement intéressant d’établir un lien manifeste entre la communication et l’exercice de «cartographie de l’information», car les deux éléments sont clairement reliés. Il est évidemment encore trop tôt pour déterminer quel sera le résultat de ces exercices et, plus généralement, des discussions sur le modèle européen en matière d'échange d'information (jusqu’ici, la Commission a uniquement présenté son «exercice de cartographie» comme un «exercice d’inventaire»). Le CEPD continuera à suivre l’évolution de ces travaux. Par ailleurs, il attire déjà l’attention sur la nécessité d’assurer des synergies et d’éviter de tirer des conclusions divergentes pour tous les exercices entrepris par la Commission dans le cadre des discussions sur le modèle européen en matière d’échange d’information.

17. Le CEPD souhaite en outre faire référence au processus de révision du cadre de protection des données actuellement en cours et plus particulièrement à l’intention exprimée par la Commission de proposer un cadre général de protection des données englobant la coopération policière et judiciaire en matière pénale.

18. À ce sujet, le CEPD remarque que la communication fait référence (au chapitre «Protéger les droits fondamentaux, notamment le droit au respect de la vie privée et à la protection des données») à l’article 16 du traité sur le fonctionnement de l’Union européenne (TFUE), prévoyant une base juridique pour l’élaboration d’un tel mécanisme général de protection des données. Il note également à cet égard que la communication indique ne pas analyser les dispositions spécifiques sur la protection des données contenues dans les instruments examinés, étant donné qu’aux termes de l’article 16 susmentionné, la Commission travaille actuellement sur un nouveau cadre général pour la protection des données à caractère personnel dans l’UE. Il espère qu’à cette occasion, une présentation efficace des systèmes de protection des données existants, et peut-être même divergents, sera effectuée, et que la Commission utilisera cette présentation pour prendre ses prochaines décisions.

19. Dernier point, mais non des moindres: si le CEPD se félicite des objectifs et du contenu général de la communication, il attire tout de même l’attention sur le fait que ce document doit uniquement être considéré comme la première étape du processus d’évaluation, qu’il faudra compléter par d’autres mesures concrètes dont l’objectif sera d’élaborer une politique européenne globale, intégrée et bien structurée en matière d’échange et de gestion des informations.

II. ANALYSE DES QUESTIONS SPÉCIFIQUES COUVERTES PAR LA COMMUNICATION

Limitation des finalités

20. Dans le texte de la communication, la Commission qualifie le principe de limitation des finalités d’«aspect essentiel pour la plupart des instruments sur lesquels porte la présente communication».

21. Le CEPD se félicite du fait que la communication insiste sur le principe de limitation des finalités, disposant que les finalités pour lesquelles les données sont collectées doivent être clairement précisées au plus tard au moment de la collecte et que les données ne peuvent pas être traitées à des fins incompatibles avec ces finalités initiales. Toute déviation par rapport au principe de limitation des finalités constituera une exception et ne sera autorisée que dans de strictes conditions et en prenant les garanties nécessaires sur le plan juridique, technique, etc.

22. Le CEPD déplore toutefois que la communication ne considère ce principe fondamental de protection des données comme un aspect essentiel que «pour la plupart des instruments sur lesquels porte la présente communication». De plus, à la page 22, la communication fait référence aux systèmes SIS, SIS II et VIS et indique qu’«[e]xception faite de ces systèmes d'information centralisés, la limitation des finalités semble constituer un critère essentiel dans la conception des mesures de gestion de l'information au niveau de l'UE».

23. Cette phrase pourrait être interprétée comme suggérant que ce principe n’a pas été considéré comme un aspect essentiel pour la totalité des cas et pour tous les systèmes et instruments relatifs aux échanges d’informations dans l’UE. Le CEPD note à cet égard qu’il peut être possible, voire nécessaire, d’admettre des exceptions et des restrictions à ce principe, comme indiqué à l’article 13 de la directive 95/46/CE ainsi qu’à l’article 3, paragraphe 2, de la décision-cadre 2008/977/JAI (15). Il est toutefois obligatoire de veiller à ce que tout nouvel instrument relatif aux échanges d’informations dans l’UE ne soit proposé et adopté que si le principe de limitation des finalités a été dûment pris en considération et que toute éventuelle exception ou restriction à ce principe soit déterminée au cas par cas et à l’issue d’une évaluation sérieuse. Il en va de même pour les systèmes SIS, SIS II et VIS.

24. Toute autre pratique serait contraire à l’article 8 de la Charte des droits fondamentaux de l’Union européenne, à la législation de l’UE en matière de protection des données (p.ex. la directive 95/46/CE, le règlement (CE) no 45/2001 ou la décision-cadre 2008/977/JAI) ainsi qu’à la jurisprudence de la Cour européenne des droits de l’homme. Le non-respect du principe de limitation des finalités pourrait également entraîner un «détournement d’usage» de ces systèmes (16).

Nécessité et proportionnalité

25. La communication évoque (à la page 25) les dispositions établies par la jurisprudence de la Cour européenne des droits de l’homme au sujet du «critère de proportionnalité» et indique que «[d]ans toutes ses futures propositions, la Commission évaluera l'incidence attendue de l'initiative en question sur le droit des personnes au respect de la vie privée et à la protection des données à caractère personnel et précisera en quoi cette incidence est nécessaire et en quoi la solution proposée est proportionnée au but légitime que constituent le maintien de la sécurité intérieure dans l'Union européenne, la prévention de la criminalité ou la gestion des flux migratoires».

26. Le CEPD se félicite des déclarations susmentionnées, car il a également toujours insisté sur le fait que le respect des principes de proportionnalité et de nécessité doit prévaloir au moment de prendre des décisions au sujet des systèmes existants et nouveaux impliquant la collecte et l’échange de données à caractère personnel. En se projetant dans l’avenir, il ressort que ces principes sont également essentiels pour les réflexions actuellement en cours afin de définir l’aspect que devraient prendre la stratégie de gestion de l’information de l’UE et le modèle européen en matière d’échange d’information.

27. Dans ce contexte, le CEPD se félicite de constater qu’en ce qui concerne la nécessité, la Commission, contrairement à ce qu’elle a indiqué au sujet du principe de limitation des finalités (voir les points 20 à 22 du présent avis), s’engage à évaluer les répercussions de toutes ses futures propositions politiques sur le droit des personnes au respect de la vie privée et à la protection des données à caractère personnel.

28. Cela étant dit, le CEPD attire néanmoins l’attention sur le fait que toutes ces dispositions relatives à la proportionnalité et à la nécessité sont dérivées de la législation de l’UE actuellement en vigueur (notamment de la Charte des droits fondamentaux, qui fait désormais partie du droit primaire de l’UE) et de la jurisprudence constante de la Cour européenne des droits de l’homme. En d’autres termes, la communication n’apporte aucun nouvel élément. Pourtant, selon le CEPD, la communication ne devrait pas se contenter de réitérer les mêmes exigences, mais plutôt fournir des mesures et mécanismes concrets garantissant le respect et l’application concrète des principes de nécessité et de proportionnalité dans toutes les propositions ayant des répercussions sur les droits des personnes. L’évaluation de l'impact sur la protection de la vie privée abordée aux points 38 à 41 pourrait se révéler être un instrument utile pour atteindre cet objectif. Cette évaluation devrait en outre couvrir non seulement les nouvelles propositions, mais aussi les systèmes et mécanismes existants.

29. Par ailleurs, le CEPD profite également de l’occasion qui lui est donnée pour insister sur l’importance, au moment d’examiner le respect des principes de proportionnalité et de nécessité dans le cadre de la stratégie de gestion de l’information de l’UE, de respecter un équilibre adéquat entre, d’une part, la protection des données et, d’autre part, l’application de la loi. Respecter cet équilibre ne signifie pas que la protection des données empêcherait d’utiliser les informations nécessaires à la résolution d’une affaire criminelle. Toutes les informations nécessaires à cet égard peuvent être utilisées, conformément aux règles sur la protection des données (17).

Une évaluation complète et objective doit également indiquer les lacunes et les problèmes existants

30. Le programme de Stockholm demande une évaluation complète et objective de tous les instruments et systèmes traitant des échanges d’informations dans l’Union européenne. Le CEPD soutient bien entendu pleinement cette approche.

31. Toutefois, la communication ne semble pas complètement équilibrée, paraissant privilégier (en tout cas au niveau des chiffres et statistiques) les instruments s’étant avérés efficaces au fil des ans et considérés comme des «réussites» (p.ex. nombre d’alertes générées dans les systèmes SIS et Eurodac). Le CEPD ne conteste pas l’efficacité globale de ces systèmes. Toutefois, à titre d’exemple, il indique que selon les rapports d’activité de l’autorité de contrôle commune en charge du système SIS (18), dans un nombre non négligeable de cas, les signalements dans le SIS étaient périmés, mal orthographiés ou erronés, ce qui a entraîné (ou aurait pu entraîner) des répercussions négatives pour les personnes concernées. La communication ne contient pas ces informations.

32. Le CEPD conseille à la Commission d’examiner à nouveau l’approche adoptée dans la communication. Il propose qu’à l’avenir, les travaux relatifs à la gestion des informations fassent également état des insuffisances et faiblesses des systèmes (nombre de personnes arrêtées à tort ou mises dans l'embarras suite à un faux résultat positif dans le système), afin d’assurer un juste équilibre.

33. Le CEPD suggère par exemple que les données relatives aux résultats positifs obtenus dans SIS/Sirene (annexe 1) soient complétées par une référence aux travaux effectués par l’ACC au sujet de la fiabilité et de l’exactitude des alertes.

Responsabilité

34. Parmi les «Principes axés sur les processus» énoncés aux pages 26 et 27, la communication mentionne le principe de «répartition claire des responsabilités», notamment lorsqu’il s’agit de la conception initiale des structures de gouvernance. La communication renvoie à cet égard aux problèmes rencontrés dans le cadre du projet de SIS II et aux futures responsabilités de l’agence IT.

35. Le CEPD souhaite profiter de cette occasion pour souligner l’importance du principe de «responsabilité», qui doit également être appliqué dans le domaine de la coopération policière et judiciaire en matière pénale et jouer un rôle important dans la conception et le développement des politiques de l’UE en matière d’échange de données et de gestion de l’information. Le principe est actuellement discuté dans le cadre de l’élaboration du futur cadre européen pour la protection des données, en vue de servir d’instrument pour inciter davantage les responsables de traitements à réduire le risque de non-conformité en instaurant des mécanismes efficaces garantissant une protection adéquate des données. La responsabilité exige que les responsables des traitements mettent en place des mécanismes et systèmes de contrôle internes garantissant le respect des dispositions et fournissant aux parties prenantes externes, et notamment aux organismes de surveillance, des preuves de conformité (p.ex. des rapports d’audit) (19). Le CEPD insistait déjà sur l’importance de ces mesures dans les avis qu’il a rendus en 2005 au sujet du VIS et du SIS II.

Prise en compte du respect de la vie privée dès la conception («privacy by design»)

36. La Commission évoque le concept de la prise en compte du respect de la vie privée dès la conception («privacy by design») à la page 25 de la communication (sous l’intitulé «Principes matériels», point «Protéger les droits fondamentaux, notamment le droit au respect de la vie privée et à la protection des données»), en déclarant que «[l]orsqu'elle élaborera de nouveaux instruments reposant sur l'utilisation des technologies de l'information, la Commission s'attachera à suivre une approche fondée sur la prise en compte du respect de la vie privée dès la conception (“privacy by design”)».

37. Le CEPD se félicite de la référence à ce concept (20) qui est actuellement en cours de développement, dans le secteur public comme dans le secteur privé, et qui doit également jouer un rôle important dans le domaine de la police et de la justice (21).

Analyse d'impact sur la protection des données et de la vie privée

38. Le CEPD est convaincu que cette communication constitue une bonne occasion de préciser davantage la signification d’une véritable «analyse d’impact sur la protection des données et de la vie privée».

39. Le CEPD remarque que ni les orientations générales décrites dans cette communication, ni les lignes directrices élaborées par la Commission en matière d’analyse d’impact (22) n’explicitent cet aspect et n’en font une exigence politique.

40. Le CEPD recommande donc d’effectuer une analyse d’impact plus spécifique et rigoureuse sur la protection des données et de la vie privée pour les futurs instruments, soit sous la forme d’une analyse distincte, soit dans le cadre de l’analyse d’impact générale sur les droits fondamentaux. Il convient de définir des indicateurs spécifiques afin de garantir que chaque proposition ayant des répercussions sur la protection des données et le respect de la vie privée fasse l’objet d’un examen approfondi. Le CEPD propose également d’inclure cette activité aux travaux actuellement en cours dans le cadre de l’élaboration d’un cadre général de protection des données.

41. Il pourrait également s’avérer utile, dans ce contexte, de rappeler l’article 4 de la recommandation relative aux RFID (23), dans lequel la Commission demande aux États membres de veiller à ce que l’industrie établisse, en collaboration avec les acteurs pertinents de la société civile, un cadre pour les analyses d’impact sur la protection des données et de la vie privée. De même, la résolution de Madrid, adoptée en novembre 2009 par la Conférence internationale des commissaires à la protection des données et de la vie privée, encourage la réalisation d’analyses d’impact sur la protection des données et de la vie privée avant la mise en œuvre de nouveaux systèmes d’information et de nouvelles technologies de traitement des données à caractère personnel et avant d’apporter des modifications substantielles aux procédures de traitement existantes.

Droits des personnes concernées

42. Le CEPD remarque que la communication n’aborde pas spécifiquement la question importante des droits des personnes concernées, qui constituent pourtant un élément essentiel de la protection des données. Il est primordial de veiller à ce que les citoyens bénéficient de droits similaires au sujet de la manière dont leurs données à caractère personnel sont traitées et ce, quel que soit le système ou l’instrument utilisé pour effectuer les échanges d’informations. En effet, si bon nombre de systèmes mentionnés dans la communication prévoient des règles spécifiques sur les droits des personnes concernées, on recense néanmoins de nombreuses variations d’un système à l’autre ou d’un instrument à l’autre, sans raison valable.

43. Le CEPD invite par conséquent la Commission à examiner de plus près, dans un avenir proche, la question de l’harmonisation des droits des personnes concernées dans l’UE.

Utilisation de la biométrie

44. Si la Commission évoque l’utilisation de la biométrie (24), elle n’aborde pas spécifiquement le phénomène actuel caractérisé par une augmentation de l’utilisation des données biométriques dans le domaine de l’échange d’informations au sein de l’UE, notamment dans les systèmes d’information à grande échelle et dans les autres outils de gestion des frontières. La communication ne donne pas non plus d’indication concrète sur la manière dont la Commission entend traiter ce sujet à l’avenir et n’indique pas si la Commission travaille sur une politique générale abordant cette tendance de plus en plus fréquente. Cela est regrettable, car il s’agit d’une question particulièrement importante et sensible du point de vue de la protection des données.

45. Dans ce contexte, le CEPD souhaite indiquer qu’il a insisté, à de nombreuses reprises, dans diverses assemblées et dans différents avis (25), sur les possibles risques liés aux grandes répercussions de l’utilisation de la biométrie sur les droits des personnes. À ces occasions, il a également suggéré d’introduire des garanties strictes pour l’utilisation de la biométrie dans certains instruments ou systèmes. Le CEPD a également attiré l’attention sur un problème lié aux inexactitudes inhérentes à la collecte et à la comparaison de données biométriques.

46. Pour toutes ces raisons, le CEPD profite de la présente occasion pour demander à la Commission d’élaborer une politique précise et stricte sur l’utilisation de la biométrie dans le domaine de la liberté, de la sécurité et de la justice, en se basant sur une évaluation sérieuse et sur une analyse au cas par cas de la nécessité de l’utilisation de la biométrie, en respectant pleinement les principes fondamentaux de la protection des données que sont la proportionnalité, la nécessité et la limitation des finalités.

Opérabilité du système

47. Le CEPD avait déjà soulevé précédemment (26) plusieurs problèmes relatifs au concept d’interopérabilité. L’une des conséquences de l’interopérabilité des systèmes est que celle-ci pourrait encourager à proposer de nouveaux objectifs pour les systèmes d’information à grande échelle dépassant leur finalité initiale ou prévoyant la prédominance de l’utilisation de la biométrie dans ce domaine. Il convient de mettre en place des garanties et des conditions spécifiques pour les différents types d’interopérabilité. Le CEPD a également insisté, à cet égard, sur la nécessité de mettre en œuvre l’interopérabilité des systèmes en respectant pleinement les principes de protection des données et notamment le principe de limitation des finalités.

48. Dans ce contexte, le CEPD remarque que la communication ne fait pas spécifiquement référence à la question de l’interopérabilité des systèmes. Le CEPD demande par conséquent à la Commission d’élaborer une politique sur cet aspect essentiel des échanges d’informations dans l’UE, qui devrait être inclus dans l’exercice d’évaluation.

Propositions législatives devant être présentées par la Commission

49. La communication contient un chapitre sur les propositions législatives devant être prochainement proposées par la Commission. Le document fait notamment référence à une proposition relative à un programme d’enregistrement des voyageurs (PEV) ainsi qu’à une proposition relative à un système d’entrée/de sortie (SES). Le CEPD voudrait formuler quelques remarques sur les deux propositions susmentionnées, au sujet desquelles la Commission a déjà pris une décision, comme le laisse entendre la communication.

Programme d’enregistrement des voyageurs

50. Comme souligné au point 3 du présent avis, la communication vise à présenter «un panorama complet des mesures qui, au niveau de l’UE, (…) régissent la collecte, le stockage ou l’échange transfrontalier d'informations à caractère personnel à des fins répressives ou de gestion des flux migratoires».

51. Dans ce contexte, le CEPD se demande quel sera l’objectif final du programme d’enregistrement des voyageurs et comment cette proposition, actuellement examinée par la Commission, sera utilisée à des fins répressives ou de gestion des flux migratoires. La communication indique à la page 20 que «[c]e programme permettrait [à] certaines catégories de voyageurs réguliers en provenance de pays tiers [d’]entrer dans l'UE en franchissant des barrières automatiques». La finalité de ces instruments semble donc être la facilitation des déplacements des voyageurs réguliers. Ces instruments n’auraient par conséquent aucun lien (direct ou évident) avec des finalités répressives et de gestion des flux migratoires.

Système d’entrée/de sortie de l’UE

52. Au sujet du futur système d’entrée/de sortie de l’UE, la communication (page 20) mentionne le problème des «personnes qui dépassent la durée de séjour autorisée» et indique que cette catégorie de personnes «constitu[e] la catégorie la plus nombreuse d’immigrés en séjour irrégulier dans l’UE». Ce dernier argument est présenté comme la raison pour laquelle la Commission a décidé de proposer l’introduction d’un système d’entrée/de sortie pour les ressortissants de pays tiers entrant dans l’UE pour de courts séjours de trois mois maximum.

53. La communication indique également que «[c]e système enregistrerait l'heure et le lieu d'entrée et la durée de séjour autorisée, et transmettrait des signalements automatiques aux autorités compétentes en cas de dépassement de la durée de séjour autorisée. Fondé sur la vérification des données biométriques, il exploiterait le même système de correspondance biométrique et le même équipement opérationnel que ceux utilisés par le SIS II et le VIS».

54. Le CEPD estime qu’il est essentiel d’expliciter davantage le groupe cible des personnes dépassant la durée de séjour autorisée en s’appuyant sur une définition juridique existante ou sur des chiffres ou statistiques fiables. Ces précisions sont d’autant plus importantes compte tenu du fait que tous les calculs du nombre de «personnes dépassant la durée de séjour autorisée» dans l’UE sont actuellement basés sur de simples estimations. Il convient également de préciser les mesures qui seraient prises à l’égard des «personnes qui dépassent la durée de séjour autorisée» une fois qu’elles auraient été identifiées par le système: en effet, l’UE n’a pas adopté de politique claire et complète au sujet des personnes qui «dépassent la durée de séjour autorisée» sur son territoire.

55. Par ailleurs, le libellé de la communication laisse entendre que la décision visant à introduire le système a déjà été prise par la Commission, tout en indiquant paradoxalement que la Commission réalise actuellement une analyse d’impact. Le CEPD souligne qu’une décision visant à introduire un système aussi complexe et susceptible de porter atteinte à la vie privée ne doit être prise qu’en se basant sur une analyse d’impact spécifique fournissant des preuves et des informations concrètes sur la nécessité d’un tel système et indiquant pourquoi d’autres solutions basées sur les systèmes existants n’ont pas pu être envisagées.

56. Enfin, la Commission semble établir un lien entre, d’une part, ce futur système et, d’autre part, le système de correspondance biométrique et l’équipement opérationnel utilisés par le SIS II et le VIS. Toutefois, pour ce faire, elle ne mentionne aucunement le fait que ni le SIS II, ni le VIS n’ont encore été lancés et que la date exacte de leur mise en service n’est pas encore connue à ce stade. En d’autres termes, le système d’entrée/de sortie dépendrait fortement de systèmes biométriques et opérationnels qui ne sont pas encore mis en œuvre et dont les performances et fonctionnalités n’auraient dès lors pas encore été correctement évaluées.

Initiatives devant être examinées par la Commission

57. Dans le cadre des initiatives que la Commission doit examiner (et sur lesquelles elle n’a donc pas encore pris de décision définitive), la communication, en se basant sur les demandes formulées dans le programme de Stockholm, fait référence à trois initiatives: un système européen de surveillance du financement du terrorisme (équivalent au TFTP américain), un système électronique d’autorisation de voyage (ESTA) et un système européen d'information sur les registres de la police (EPRIS).

58. Le CEPD suivra de près l’évolution de ces initiatives et présentera, le cas échéant, des observations et des suggestions.

III. CONCLUSION ET RECOMMANDATIONS

59. Le CEPD soutient pleinement la communication qui décrit en détail les systèmes d’échange d’informations actuel et futur de l’UE. Le CEPD a souligné dans de nombreux avis et dans de nombreuses observations la nécessité d’effectuer une évaluation de tous les instruments existants dans le domaine de l’échange d’informations, et ce, avant d’en proposer de nouveaux.

60. Le CEPD se félicite également de la référence faite dans la communication aux travaux actuellement en cours dans le cadre de l’élaboration d’un cadre général de protection des données, au titre de l’article 16 TFUE, qui doit également être pris en considération dans le cadre des travaux sur le panorama de la gestion des informations au niveau de l’UE.

61. Le CEPD considère cette communication comme étant la première étape du processus d’évaluation. Elle devra être suivie d’une véritable évaluation débouchant sur une politique européenne globale, intégrée et bien structurée en matière d’échange et de gestion des informations. À cet égard, le CEPD est heureux de constater qu’un lien a été établi avec d’autres exercices entamés par la Commission en réaction au programme de Stockholm, en particulier avec l’exercice de «cartographie de l’information» réalisé par la Commission, en collaboration étroite avec une équipe ad hoc.

62. Le CEPD propose qu’à l’avenir, les travaux relatifs à la gestion des informations fassent également état des insuffisances et faiblesses des systèmes, par exemple le nombre de personnes arrêtées à tort ou mises dans l'embarras suite à un faux résultat positif dans le système.

63. Le principe de limitation des finalités doit être considéré comme primordial pour tous les instruments traitant de l’échange d’informations dans l’UE et de nouveaux instruments ne pourront être proposés que si le principe de limitation des finalités a bien été pris en considération et respecté pendant leur élaboration. Il faudra également continuer à observer ce principe pendant la mise en œuvre des instruments.

64. Le CEPD encourage par ailleurs la Commission à garantir, en adoptant des mesures et des mécanismes concrets, que les principes de nécessité et de proportionnalité soient respectés et appliqués concrètement dans toutes les nouvelles propositions ayant un impact sur les droits des personnes. Il importe également de réaliser une évaluation des systèmes existants en tenant compte de ces principes.

65. Le CEPD est également convaincu que cette communication constitue une excellente occasion d’engager une discussion sur «l’analyse d’impact sur la protection des données et de la vie privée» et de préciser davantage la signification de ce concept.

66. Il invite également la Commission à élaborer une politique plus complète et cohérente sur les conditions indispensables à l’utilisation de la biométrie, une politique sur l’opérabilité des systèmes ainsi qu’une harmonisation accrue des droits des personnes concernées au niveau de l’UE.

67. Le CEPD se félicite aussi de la référence au concept de la prise en compte du respect de la vie privée dès la conception («privacy by design») qui est actuellement en cours de développement, dans le secteur public comme dans le secteur privé, et qui doit donc jouer un rôle important dans le domaine de la police et de la justice.

68. Dernier point, mais non des moindres, le CEPD attire l’attention sur ses remarques et préoccupations relatives au chapitre intitulé «Propositions législatives devant être présentées par la Commission», au sujet du système d’entrée/de sortie et du programme d’enregistrement des voyageurs.

Fait à Bruxelles, le 30 septembre 2010. Peter HUSTINX Contrôleur européen de la protection des données

(1) JO L 281 du 23.11.1995, p. 31.

(2) JO L 8 du 12.1.2001, p. 1.

(3) COM(2010) 385 final.

(4) Page 3 de la communication.

(5) Au sujet de ce paragraphe, le CEPD pense que la phrase «la communication précise […] la liste des services ayant accès aux données» peut induire en erreur, car la communication ne contient aucune liste de ce genre et ne précise donc pas quels sont ces services. Elle se contente de faire référence aux principales catégories de personnes ou de services ayant accès à ces données.

(6) Le programme de Stockholm — Une Europe ouverte et sûre qui sert et protège les citoyens, document 5731/2010 du Conseil, 3.3.2010.

(7) Avis du 10 juillet 2009 sur la communication de la Commission au Parlement européen intitulée «Un espace de liberté, de sécurité et de justice au service des citoyens».

(8) Conclusions du Conseil concernant une stratégie de gestion de l'information pour la sécurité intérieure de l'UE, Conseil «Justice et affaires intérieures», 30.11.2009.

(9) Avis du 19 octobre 2005 sur trois propositions relatives au système d'information Schengen de deuxième génération (SIS II).

(10) Avis du 7 octobre 2009 sur les propositions relatives à l'accès à Eurodac à des fins répressives.

(11) Avis du 18 février 2009 sur la proposition de règlement concernant la création du système Eurodac pour la comparaison des empreintes digitales aux fins de l'application efficace du règlement (CE) no (…/…) (établissant les critères et mécanismes de détermination de l’État membre responsable de l'examen d'une demande de protection internationale présentée dans l'un des États membres par un ressortissant de pays tiers ou un apatride) et avis du 18 février 2009 sur la proposition de règlement du Parlement européen et du Conseil établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale présentée dans l'un des États membres par un ressortissant de pays tiers ou un apatride.

(12) Voir la note de bas de page 6.

(13) Avis du 20 décembre 2007 sur le projet de proposition de décision-cadre du Conseil relative à l'utilisation des données des dossiers passagers (Passenger Name Record — PNR) à des fins répressives.

(14) L’objet de cet exercice est le même que celui de la décision-cadre suédoise (décision-cadre 2006/960/JAI du Conseil), à savoir l’échange d’informations nécessaires aux enquêtes pénales et aux opérations de renseignement en matière pénale.

(15)

«Le traitement ultérieur des données pour une autre finalité est permis, dans la mesure où: a) ce traitement n'est pas incompatible avec la finalité pour laquelle les données ont été collectées; b) les autorités compétentes sont autorisées à traiter ces données pour d'autres finalités conformément aux dispositions légales applicables; et c) ce traitement est nécessaire et proportionné à ces finalités».

(16) Voir notamment l’avis du CEPD sur les propositions relatives à l’accès à Eurodac à des fins répressives, mentionné à la note de bas de page 10.

(17) Voir par exemple l’avis du CEPD sur les données PNR européennes, cité à la note de bas de page 13.

(18) Voir les 7e et 8e rapports d’activités de l’ACC en charge du SIS, consultables à l’adresse http://www.schengen-jsa.dataprotection.org/ et notamment les chapitres relatifs aux articles 96 et 99 de la convention de Schengen.

(19) Voir la déclaration du CEPD lors de la conférence des commissaires à la protection des données et de la vie privée d'Europe qui s’est tenue à Prague le 29 avril 2010.

(20) Voir, au sujet du principe «privacy by design», l’avis du 18 mars 2010 sur la promotion de la confiance dans la société d’information par des mesures d’encouragement de la protection des données et de la vie privée, ainsi que l’avis du 22 juillet 2009 concernant la communication de la Commission sur le plan d'action pour le déploiement de systèmes de transport intelligents en Europe et la proposition de directive du Parlement européen et du Conseil établissant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d'interfaces avec d'autres modes de transport.

(21) Dans son avis sur la communication de la Commission concernant le programme de Stockholm, le CEPD préconisait l’adoption d’une obligation légale pour les constructeurs et les utilisateurs de systèmes d'information d'utiliser des systèmes respectant le principe de la prise en compte du respect de la vie privée dès la conception.

(22) SEC(2009) 92, 15.1.2009.

(23) C(2009) 3200 final, 12.5.2009.

(24) P.ex. dans le cadre de la limitation des finalités, des chevauchements potentiels entre les fonctions des différents instruments (p. 22) et la gestion efficace de l’identité (p. 23).

(25) Voir par exemple l’avis sur le programme de Stockholm (note de bas de page 7), l’avis sur trois propositions relatives au système d'information Schengen de deuxième génération (note de bas de page 9) ou encore les observations du 10 mars 2006 sur la communication de la Commission du 24 novembre 2005 sur le renforcement de l'efficacité et de l'interopérabilité des bases de données européennes dans le domaine de la justice et des affaires intérieures et sur la création de synergies entre ces bases de données (note de bas de page 22).

(26) Observations du CEPD du 10 mars 2006 sur la communication de la Commission du 24 novembre 2005 sur le renforcement de l'efficacité et de l'interopérabilité des bases de données européennes dans le domaine de la justice et des affaires intérieures et sur la création de synergies entre ces bases de données.