Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement du Parlement européen et du Conseil relatif aux règles financières applicables au budget général de l’Union (refonte)

(2022/C 288/05)

(Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD https://edps.europa.eu)

Le 16 mai 2022, la Commission européenne a émis une proposition de règlement du Parlement européen et du Conseil relatif aux règles financières applicables au budget général de l’Union, modifiant le règlement financier. Le CEPD remarque que la proposition vise à améliorer la qualité et l'interopérabilité des données sur les bénéficiaires d’un financement de l’Union et sur ceux bénéficiant en dernier ressort, directement ou indirectement, d’un financement de l’Union afin de prévenir, détecter, corriger les fraudes et d’enquêter sur celles-ci de manière efficace ou de remédier aux irrégularités.

Le CEPD soutient pleinement les objectifs de la proposition, y compris le recours accru à la numérisation pour mieux protéger les intérêts financiers de l’UE et lutter contre la fraude et d’autres irrégularités. Si le traitement de données à caractère personnel peut être nécessaire pour atteindre cet objectif, il incombe au législateur de l’UE de veiller à ce que toute atteinte au droit à la protection des données reste limitée à ce qui est strictement nécessaire et proportionné aux objectifs poursuivis.

Le CEPD se félicite de ce que la proposition vise à établir les catégories de données qui feront l’objet d’un traitement afin d’atteindre ses objectifs. Cependant, le CEPD comprend que le processus d’exploration de données et de calcul du risque ne se limitera pas aux données explicitement identifiées par la proposition et que ces données seront comparées à des données provenant d’autres sources. Le CEPD considère qu’il est nécessaire d’identifier explicitement toutes les catégories de données à caractère personnel destinées à faire l’objet d’un traitement, ainsi que les sources de ces données. Des garanties adaptées pour assurer la qualité et l’exactitude de ces données doivent également être mises en place, notamment dans les cas où ces autres données seraient collectées auprès de tiers.

Le CEPD observe qu’aucune information supplémentaire n’est fournie dans la proposition concernant le système informatique en tant que tel. Par conséquent, il recommande de préciser le type de système informatique qui sera utilisé, en particulier si la Commission envisage de baser ce système sur le système informatique «Arachne» existant ou de créer un tout nouveau système informatique. Indépendamment de l’utilisation des structures existantes, le CEPD souhaite rappeler que des garanties appropriées doivent être établies et introduites dans l’architecture de ce système informatique, conformément aux règles générales en matière de protection des données applicables au traitement des données à caractère personnel. Il conviendra de bien réfléchir à cet aspect dans la phase de conception et de développement du système informatique, conformément à l’exigence de protection des données dès la conception.

Le CEPD recommande également vivement au colégislateur de définir clairement la durée maximale pendant laquelle les données à caractère personnel visées peuvent être conservées et mises à disposition dans le système informatique intégré unique d’exploration de données et de calcul du risque fourni par la Commission.

En ce qui concerne la publication d’informations pertinentes relatives à tous les bénéficiaires de fonds financés par le budget de l’UE, le CEPD note avec satisfaction les efforts déployés pour concilier le principe de transparence et l’atteinte au droit des bénéficiaires concernés au respect de leur vie privée en général et à la protection de leurs données à caractère personnel en dispensant ces derniers de publier leurs données à caractère personnel si certaines conditions étaient remplies (seuil en ce qui concerne le montant de l’aide reçue, nature de la mesure, risques pour les droits et libertés, etc.).

1. INTRODUCTION

1. Le 16 mai 2022, la Commission européenne a émis une proposition de règlement du Parlement européen et du Conseil relatif aux règles financières applicables au budget général de l’Union (refonte) («la proposition»), modifiant le règlement financier ( 1 )

2. L’objectif de la proposition est d’aligner le règlement financier sur le paquet relatif au cadre financier pluriannuel (CFP) 2021-2027, afin de maintenir un «corpus réglementaire unique» régissant les dépenses de l’Union, de sorte que toutes les règles financières générales soient incluses dans le règlement financier. En outre, la proposition comprend des améliorations et des simplifications ciblées qui ont été identifiées depuis l’entrée en vigueur du règlement financier 2018. La proposition vise également à accroître le recours à la numérisation afin de mieux protéger les intérêts financiers de l’UE, de mieux contribuer à la réalisation des objectifs politiques de l’UE et de parvenir à une simplification supplémentaire pour les bénéficiaires de fonds de l’Union ( 2 )

3. Le présent avis du CEPD fait suite à une consultation de la Commission européenne du 16 mai 2022, conformément à l’article 42, paragraphe 1, du RPDUE ( 3 ) . Le CEPD salue la référence faite à cette consultation au considérant 257 de la proposition. À cet égard, le CEPD se félicite également d’avoir déjà été préalablement consulté de manière informelle, conformément au considérant 60 du RPDUE.

5. CONCLUSIONS

26. À la lumière des considérations qui précèdent, le CEPD émet les recommandations suivantes: (1) Préciser le rôle de toutes les entités qui utiliseront et accéderont à toute donnée à caractère personnel traitée par le système informatique intégré unique pour l’exploration de données et le calcul du risque. (2) Préciser le type de système informatique à utiliser, en particulier si la Commission envisage de baser ce système sur le système informatique «Arachne» déjà existant ou d’en créer un totalement nouveau. (3) Identifier explicitement toutes les catégories de données à caractère personnel à traiter, à savoir quelles données seront traitées/mises en relation avec les données d’identification visées à l’article 36, paragraphe 6, de la proposition, ainsi que les sources de ces données. (4) Introduire des garanties appropriées afin d’assurer la qualité et l’exactitude des données, en particulier dans les cas où d’autres données seraient collectées auprès de tiers. (5) Que la Commission ait ou non l’intention d’utiliser les structures existantes, inclure dans la proposition en tant que telle une description détaillée de l’outil informatique, comprenant les rôles et responsabilités en matière de protection des données ainsi que les garanties applicables pertinentes. (6) Appliquer des garanties supplémentaires pour les types de données non publiées. Par exemple, la pseudonymisation des données doit être envisagée. (7) Préciser si l’enregistrement et le stockage électroniques des données seront effectués dans le système informatique pour l’exploration de données et le calcul du risque ou si le système informatique n’aura accès qu’aux données stockées ailleurs. (8) Définir clairement la durée maximale pendant laquelle les données visées à l’article 36 de la proposition sont susceptibles d’être conservées et mises à disposition dans le système informatique intégré unique d’exploration de données et de calcul du risque fourni par la Commission.

Bruxelles, le 7 juillet 2022. Wojciech Rafał WIEWIOROWSKI

(1) Règlement (UE, Euratom) 2018/1046 du Parlement européen et du Conseil du 18 juillet 2018 relatif aux règles financières applicables au budget général de l’Union, modifiant les règlements (UE) no 1296/2013, (UE) no 1301/2013, (UE) no 1303/2013, (UE) no 1304/2013, (UE) no 1309/2013, (UE) no 1316/2013, (UE) no 223/2014, (UE) no 283/2014 et la décision no 541/2014/UE, et abrogeant le règlement (UE, Euratom) no 966/2012 (JO L 193 du 30.7.2018, p. 1).

(2) Voir COM(2022) 223 final, p. 1.

(3) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).