Résumé de l’avis du Contrôleur européen de la protection des données sur le mandat de négociation d’un accord entre l’Union européenne et les États-Unis d’Amérique sur l’accès transfrontière aux preuves électroniques

[Le texte complet de l’avis en allemand, anglais et français est disponible sur le site internet du CEPD (www.edps.europa.eu)]

(2019/C 186/06)

Le 5 février 2019, la Commission européenne a émis une recommandation de décision du Conseil autorisant l’ouverture de négociations en vue de conclure un accord international avec les États-Unis d’Amérique sur l’accès transfrontière aux preuves électroniques. L’annexe de la recommandation définit les directives du Conseil pour la négociation de cet accord. La proposition d’accord aurait pour objet de traiter, au moyen de règles communes, la question juridique de l’accès aux données relatives ou non relatives au contenu détenues par des fournisseurs de services dans l’Union européenne et aux États-Unis d’Amérique.

Le Contrôleur européen de la protection des données (CEPD) salue et soutient l’objectif de la Commission de conclure avec les États-Unis d’Amérique un accord sur l’accès transfrontière aux preuves électroniques, qui garantirait ainsi un degré élevé de protection des données à caractère personnel transférées entre l’Union européenne et les États-Unis à des fins répressives, et apprécie son engagement en faveur de l’introduction de garanties suffisantes. Comme le préconise le CEPD depuis longtemps, l’Union doit conclure avec des pays tiers des accords viables concernant le partage de données à caractère personnel à des fins répressives, qui soient pleinement compatibles avec la charte des droits fondamentaux. Même lorsqu’elles enquêtent sur des affaires internes, les autorités répressives rencontrent de plus en plus souvent des «questions transfrontières», tout simplement parce qu’un fournisseur de services étranger a été utilisé et que les informations sont stockées sous forme électronique dans un pays tiers. En pratique, il s’agit souvent de fournisseurs de services dont le siège social est établi aux États-Unis d’Amérique en raison de la position dominante de ces derniers sur les marchés mondiaux. Le volume croissant de demandes de preuves électroniques et le caractère volatil des informations numériques met à mal les modèles de coopération existants, tels que les traités d’entraide judiciaire. Le CEPD entend bien que les autorités sont engagées dans une course contre la montre lorsqu’il s’agit d’obtenir des données pour leurs enquêtes, et soutient les efforts en vue de concevoir de nouveaux modèles de coopération, y compris dans le contexte de la coopération avec des pays tiers.

Le présent avis vise à fournir des recommandations constructives et objectives alors que le Conseil doit émettre ses directives avant que cette tâche délicate ne commence. Il s’appuie sur la jurisprudence de la Cour de justice de l’Union européenne de ces dernières années, qui confirme les principes relatifs à la protection des données, y compris la loyauté, l’exactitude et la pertinence des informations, la supervision indépendante et les droits individuels des personnes. De tels principes s’imposent tant aux organismes publics qu’aux entreprises privées et sont particulièrement importants compte tenu du caractère sensible des données nécessaires à la poursuite des enquêtes pénales.

Dans ce contexte, le CEPD souhaite formuler les observations suivantes:

— il salue le fait que la recommandation inclut déjà d’importantes garanties relatives à la protection des données, notamment la nécessité de rendre l’accord-cadre applicable en s’y référant, et soutient la nécessité de le compléter par des garanties supplémentaires, comme le propose la Commission;

— compte tenu des risques spécifiques existant dans le contexte d’une coopération directe entre les fournisseurs de services et les autorités judiciaires, il propose que l’autre partie à l’accord fasse participer une autorité judiciaire;

— il recommande d’ajouter l’article 16 du traité sur le fonctionnement de l’Union européenne (TFUE) en tant que base juridique matérielle.

En outre, l’avis émet des recommandations supplémentaires relatives à des améliorations et des éclaircissements possibles à apporter aux directives de négociation. Le CEPD se tient à la disposition des institutions pour tout conseil complémentaire au cours des négociations et avant la finalisation du futur accord entre les États-Unis d’Amérique et l’Union européenne.

1. INTRODUCTION ET CONTEXTE

1. Le 17 avril 2018, la Commission a présenté conjointement deux propositions législatives: une proposition de règlement relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale ( 1 ) (ci-après la «proposition relative aux preuves électroniques»), ainsi qu’une proposition de directive établissant des règles harmonisées concernant la désignation de représentants légaux aux fins de la collecte de preuves en matière pénale ( 2 ) . Bien que les travaux préparatoires se poursuivent au Parlement européen, le Conseil de l’Union européenne (ci-après le «Conseil») est parvenu à adopter une orientation générale sur ces deux propositions ( 3 )

2. o 185) Le 5 février 2019, la Commission a adopté deux recommandations relatives aux décisions du Conseil: une recommandation d’autoriser l’ouverture de négociations en vue d’un accord international entre l’Union européenne (ci-après l’ «Union» ou l’«UE») et les États-Unis d’Amérique sur l’accès transfrontière aux preuves électroniques à des fins de coopération judiciaire en matière pénale ( 4 ) (ci-après la «recommandation»), ainsi qu’une recommandation d’autoriser la Commission à participer aux négociations sur un deuxième protocole additionnel à la convention sur la cybercriminalité du Conseil de l’Europe (STCE n185) ( 5 ) . L’annexe de la recommandation (ci-après l’«annexe») est de la plus haute importance puisqu’elle établit les directives de négociation recommandées à la Commission par le Conseil en vue de conclure l’accord au nom de l’Union européenne. La seconde recommandation fait l’objet d’un avis distinct du CEPD ( 6 ) . Le CEPD estime néanmoins que les deux négociations, celle engagée avec les États-Unis d’Amérique et celle au sein du Conseil de l’Europe, sont étroitement liées.

3. La recommandation a été adoptée conformément à la procédure établie à l’article 218 du TFUE relativement aux accords conclus entre l’Union et les pays tiers. Par ladite recommandation, la Commission vise à obtenir du Conseil l’autorisation de négocier au nom de l’Union et à engager les négociations avec les États-Unis d’Amérique, selon les directives de négociation annexées à la recommandation. Une fois les négociations terminées, et en vue de conclure cet accord, le Parlement européen devra approuver le texte de l’accord négocié, puis le Conseil adoptera une décision visant à déclarer cet accord conclu formellement. Le CEPD s’attend à être consulté sur le texte du projet d’accord en temps voulu, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725.

4. Le CEPD se félicite d’avoir été consulté par la Commission européenne à la suite de l’adoption de la recommandation, ainsi que par la commission des libertés civiles, de la justice et des affaires intérieures du Parlement européen. Le CEPD salue également la référence faite à son avis dans le considérant 4 de la recommandation. Il souhaite souligner que le présent avis est délivré sans préjudice des commentaires additionnels que le CEPD pourrait émettre sur la base d’informations supplémentaires disponibles ultérieurement.

5. CONCLUSIONS

66. Le CEPD comprend que les autorités répressives doivent pouvoir recueillir et obtenir des preuves électroniques rapidement et efficacement. Le CEPD soutient ces efforts visant à trouver des approches innovantes aux fins d’obtenir l’accès transfrontière aux preuves électroniques. Par conséquent, le présent avis vise à fournir des recommandations constructives et objectives aux institutions européennes alors que la Commission cherche à obtenir l’autorisation de Conseil de négocier avec les États-Unis d’Amérique.

67. Le CEPD partage l’opinion de la Commission selon laquelle l’accord envisagé devrait être subordonné à la mise en place de mécanismes forts de protection des droits fondamentaux. Les directives de négociation envisagent déjà un certain nombre de principes et de garanties relatifs à la protection des données. Il recommande tout d’abord d’inclure l’article 16 du TFUE dans les bases juridiques matérielles figurant en préambule de la décision du Conseil. Il salue le fait que l’accord-cadre, qu’il a activement soutenu, s’applique, par référence, au futur accord. Dans son avis 1/2016 relatif à l’accord-cadre, le CEPD préconise des améliorations essentielles ainsi que le renforcement de plusieurs garanties; il préconise que ces garanties soient incluses dans les directives de négociation.

68. Compte tenu de l’incidence de l’accord envisagé sur les droits fondamentaux, le CEPD considère en outre qu’au-delà des garanties envisagées dans les directives de négociation, certaines garanties supplémentaires devraient être incluses afin de s’assurer que l’accord final respecte l’exigence de proportionnalité. Il recommande en particulier que les autorités judiciaires désignées par l’autre partie à l’accord participent aussi tôt que possible au processus de collecte des preuves électroniques, afin que lesdites autorités puissent contrôler la conformité des injonctions aux droits fondamentaux et soulever des motifs de refus.

69. Outre ces recommandations générales, les recommandations et observations formulées par le CEPD dans le présent avis portent sur les aspects spécifiques suivants des futurs accords internationaux à négocier avec les États-Unis d’Amérique dans le cadre des directives de négociation: — le caractère obligatoire de l’accord; — les transferts ultérieurs par les autorités américaines compétentes; — les droits des personnes concernées aux États-Unis d’Amérique, notamment le droit à être informé et le droit d’accès; — le contrôle par une autorité indépendante aux États-Unis; — les recours juridictionnel et administratif aux États-Unis; — les catégories de personnes concernées; — la définition et le type de données couvertes par l’accord envisagé; — les infractions pénales couvertes par l’accord envisagé; — les garanties spécifiques destinées à assurer un niveau approprié de sécurité des données transférées; — les types d’autorité pouvant émettre des injonctions relatives à l’obtention de preuves électroniques; — la possibilité, pour les fournisseurs de services auxquels une injonction relative à l’obtention de preuves électroniques a été adressée, de s’opposer sur le fondement de motifs spécifiques.

70. Enfin le CEPD reste à la disposition de la Commission, du Conseil et du Parlement européen pour fournir des conseils au cours des étapes ultérieures de ce processus. Les commentaires du présent avis sont sans préjudice des observations supplémentaires que le CEPD pourrait faire ultérieurement, notamment si de nouveaux problèmes étaient soulevés et abordés par le CEPD à la lumière d’informations complémentaires. Il s’attend à être consulté au sujet du texte du projet d’accord avant que celui-ci ne soit finalisé.

Bruxelles, le 2 avril 2019. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) Proposition de règlement du Parlement européen et du Conseil relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale [COM(2018) 225 final].

(2) Proposition de directive du Parlement européen et du Conseil établissant des règles harmonisées concernant la désignation de représentants légaux aux fins de la collecte de preuves en matière pénale [COM(2018) 226 final].

(3) Le Conseil a adopté son orientation générale sur la proposition de règlement le 7 décembre 2018, disponible à l’adresse https://www.consilium.europa.eu/fr/press/press-releases/2018/12/07/regulation-on-cross-border-access-to-e-evidence-council-agrees-its-position/. Le Conseil a adopté son orientation générale sur la proposition de directive le 8 mars 2018, disponible à l’adresse https://www.consilium.europa.eu/fr/press/press-releases/2019/03/08/e-evidence-package-council-agrees-its-position-on-rules-to-appoint-legal-representatives-for-the-gathering-of-evidence/

(4) Recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et les États-Unis d’Amérique sur l’accès transfrontière aux preuves électroniques à des fins de coopération judiciaire en matière pénale [COM(2019) 70 final].

(5) Recommandation de décision du Conseil autorisant la participation aux négociations sur un deuxième protocole additionnel à la convention sur la cybercriminalité du Conseil de l’Europe (SCTE no 185) [COM(2019) 71 final]; convention sur la coopération internationale renforcée sur la cybercriminalité et les preuves électroniques, Budapest, 23 novembre 2001, SCTE no 185.

(6) Avis 3/2019 du CEPD relatif à la participation aux négociations en vue d’un second protocole additionnel à la convention de Budapest sur la cybercriminalité.