Résumé de l’avis du Contrôleur européen de la protection des données relatif à la participation aux négociations en vue d’un deuxième protocole additionnel à la convention de Budapest sur la cybercriminalité

[Le texte complet de l’avis en allemand, anglais et français est disponible sur le site internet du CEPD (www.edps.europa.eu)]

(2019/C 186/05)

Le 5 février 2019, la Commission européenne a publié une recommandation de décision du Conseil autorisant la Commission à participer au nom de l’Union européenne aux négociations d’un deuxième protocole additionnel à la convention de Budapest sur la cybercriminalité. L’annexe de la recommandation définit les directives recommandées du Conseil pour la négociation du protocole. Ledit protocole vise à améliorer les moyens traditionnels de coopération et à inclure des dispositions pour une coopération directe entre les autorités répressives et les prestataires de services transfrontaliers, ainsi que des dispositions sur l’accès transfrontalier direct aux données par les autorités répressives.

Le Contrôleur européen de la protection des données (CEPD) salue et soutient activement la recommandation visant à autoriser la Commission européenne à négocier, au nom de l’Union européenne, un deuxième protocole additionnel à la convention sur la cybercriminalité. Comme le préconise le CEPD depuis longtemps, l’Union doit conclure avec des pays tiers des accords viables concernant le partage de données à caractère personnel à des fins répressives, qui soient pleinement compatibles avec les traités de l’Union et la charte des droits fondamentaux. Même lorsqu’elles enquêtent sur des affaires internes, les autorités répressives rencontrent de plus en plus souvent des «questions transfrontières», parce que les informations sont stockées au format électronique dans un pays tiers. Le volume croissant de demandes et le caractère volatil des informations numériques met à mal les modèles de coopération existants, tels que les traités d’entraide judiciaire. Le CEPD entend bien que les autorités sont engagées dans une course contre la montre lorsqu’il s’agit d’obtenir des données pour leurs enquêtes, et soutient les efforts en vue de concevoir de nouveaux modèles de coopération, y compris dans le contexte de la coopération avec des pays tiers.

Le présent avis vise à fournir des recommandations constructives et objectives aux institutions de l’Union alors que le Conseil doit émettre ses directives avant que cette tâche délicate ne commence et n’entraîne d’importantes conséquences. Le CEPD souligne le besoin de garantir le plein respect des droits fondamentaux, en ce compris à la vie privée et à la protection des données à caractère personnel. Même si le CEPD reconnaît qu’il est impossible de transposer entièrement la terminologie et les définitions du droit de l’Union dans un accord avec des pays tiers, il insiste sur le fait que les garanties des particuliers doivent être claires et efficaces afin de pleinement respecter le droit primaire de l’Union. Ces dernières années, la Cour de justice de l’Union européenne a confirmé les principes relatifs à la protection des données, y compris la loyauté, l’exactitude et la pertinence des informations, la supervision indépendante et les droits individuels des personnes. De tels principes s’imposent tant aux organismes publics qu’aux entreprises privées et sont particulièrement importants compte tenu du caractère sensible des données nécessaires à la poursuite des enquêtes pénales.

De nombreuses garanties déjà envisagées sont saluées, mais devraient être renforcées. Le CEPD a défini trois améliorations principales qu’il recommande pour les directives de négociation, afin de garantir le respect de la charte et de l’article 16 du traité sur le fonctionnement de l’Union européenne (TFUE):

— garantir le caractère obligatoire du protocole envisagé,

— introduire des garanties détaillées — en ce compris le principe de limitation des finalités — étant donné la multitude de signataires potentiels, tous ne constituant pas parties à la convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel ou n’ayant pas conclu d’accord équivalent à l’accord-cadre UE-US,

— s’opposer à toutes dispositions sur l’accès direct aux données.

En outre, l’avis émet des recommandations supplémentaires relatives à des améliorations et des éclaircissements à apporter aux directives de négociation. Le CEPD se tient à la disposition des institutions pour tout conseil complémentaire au cours des négociations et avant la finalisation du protocole.

1. INTRODUCTION ET CONTEXTE

1. Le 17 avril 2018, la Commission a présenté conjointement deux propositions législatives: une proposition de règlement relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale ( 1 ) (ci-après la «proposition relative aux preuves électroniques»), ainsi qu’une proposition de directive établissant des règles harmonisées concernant la désignation de représentants légaux aux fins de la collecte de preuves en matière pénale ( 2 ) . Bien que les travaux préparatoires se poursuivent au Parlement européen, le Conseil de l’Union européenne (ci-après le «Conseil») est parvenu à adopter une orientation générale sur ces deux propositions ( 3 )

2. o 185) (ci-après la «recommandation») Le 5 février 2019, la Commission a adopté deux recommandations relatives aux décisions du Conseil: une recommandation d’autoriser l’ouverture de négociations en vue d’un accord international entre l’Union européenne et les États-Unis d’Amérique sur l’accès transfrontière aux preuves électroniques à des fins de coopération judiciaire en matière pénale ( 4 ) , ainsi qu’une recommandation d’autoriser la Commission, au nom de l’Union européenne, à participer aux négociations sur un deuxième protocole additionnel à la convention sur la cybercriminalité du Conseil de l’Europe (STCE n185) (ci-après la «recommandation») ( 5 ) . La première recommandation fait l’objet d’un avis distinct du CEPD ( 6 ) . Le CEPD estime néanmoins que les deux négociations, celle engagée avec les États-Unis d’Amérique et celle au sein du Conseil de l’Europe, sont étroitement liées.

3. o 185) La recommandation a été adoptée conformément à la procédure établie à l’article 218 du TFUE relativement aux accords conclus entre l’Union et les pays tiers. Par ladite recommandation, la Commission vise à obtenir du Conseil l’autorisation de négocier au nom de l’Union pour le deuxième protocole additionnel à la convention de Budapest sur la cybercriminalité (SCTE n185) ( 7 ) , selon les directives de négociation annexées à la recommandation. L’annexe de la recommandation (ci-après l’«annexe») est de la plus haute importance puisqu’elle établit les directives de négociation recommandées à la Commission par le Conseil en vue de conclure le protocole au nom de l’Union européenne. Une fois les négociations terminées, et en vue de conclure cet accord, le Parlement européen devra approuver le texte de l’accord négocié, puis le Conseil adoptera une décision visant à déclarer cet accord conclu formellement. Le CEPD s’attend à être consulté sur le texte du projet d’accord en temps voulu, conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725.

4. Le CEPD se félicite d’avoir été consulté à la suite de l’adoption de la recommandation par la Commission européenne en vertu de l’article 42, paragraphe 1, du règlement (UE) 2018/1725. Le CEPD salue également la référence faite à son avis dans le considérant 8 de la recommandation. Il souhaite souligner que cet avis est sans préjudice de tout commentaire supplémentaire que le CEPD pourrait émettre sur la base d’autres informations disponibles, des dispositions du projet de protocole dans le cadre des négociations et des avancées législatives au sein de pays tiers.

5. CONCLUSIONS

58. Le CEPD comprend que les autorités répressives doivent pouvoir recueillir et obtenir des preuves électroniques rapidement et efficacement. Il est en faveur de l’utilisation d’approches innovantes pour obtenir un accès transfrontalier aux preuves électroniques et trouver une réponse aux interrogations actuelles à ce sujet. Un deuxième protocole additionnel négocié à l’échelle de l’Union permettrait de mieux préserver le niveau de protection garanti par le cadre européen en matière de protection des données et de garantir un niveau cohérent de protection dans l’ensemble de l’Union européenne, plutôt qu’une série d’accords distincts conclus bilatéralement par les États membres. Par conséquent, le présent avis vise à fournir des recommandations constructives et objectives aux institutions européennes alors que la Commission cherche à obtenir l’autorisation du Conseil de participer aux négociations relatives au protocole.

59. Le CEPD salue le fait que l’objectif du mandat est de veiller à ce que le protocole prévoit des garanties appropriées pour la protection des données.

60. Le CEPD émet trois recommandations principales pour que le protocole envisagé garantisse le respect de la charge et de l’article 16 du TFUE. Il recommande que les directives de négociation visent à: — garantir le caractère obligatoire du protocole envisagé, — introduire des garanties détaillées — en ce compris le principe de limitation des finalités — étant donné la multitude de signataires potentiels, tous ne constituant pas parties à la convention 108 ou n’ayant pas conclu d’accord équivalent à l’accord-cadre UE-US, — s’opposer à toutes dispositions sur l’accès direct aux données.

61. Outre ces recommandations générales, les recommandations et observations formulées par le CEPD dans le présent avis portent sur les aspects spécifiques suivants: — la base juridique de la décision du Conseil, — les transferts ultérieurs par les autorités compétentes des pays tiers, — les droits des personnes concernées, notamment le droit d’être informé et le droit d’accès, — le contrôle par une autorité indépendante, — le recours juridictionnel et administratif, — les infractions pénales définies par le protocole envisagé et les catégories de données à caractère personnel, — les garanties spécifiques destinées à assurer un niveau approprié de sécurité des données transférées, — les garanties spécifiques pour les données protégées par des privilèges et immunités, — l’assistance mutuelle d’urgence, — en cas de coopération directe, le transfert de données à caractère personnel, la définition et les types de données, la participation d’autres autorités, la possibilité pour les prestataires de services ayant reçu une injonction de soumettre des preuves électroniques de s’opposer sur la base de motifs spécifiques, — la possibilité de suspendre le protocole en cas de manquements aux dispositions et de le réviser.

62. Enfin, le CEPD reste à la disposition de la Commission, du Conseil et du Parlement européen pour fournir des conseils au cours des étapes ultérieures de ce processus. Les commentaires du présent avis sont sans préjudice des observations supplémentaires que le CEPD pourrait faire ultérieurement, notamment si de nouveaux problèmes étaient soulevés et abordés par le CEPD à la lumière d’informations complémentaires. Il s’attend à être ultérieurement consulté à propos des dispositions du projet de protocole avant que celui-ci ne soit finalisé.

Bruxelles, le 2 avril 2019. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) Proposition de règlement du Parlement européen et du Conseil relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale [COM(2018) 225 final].

(2) Proposition de directive du Parlement européen et du Conseil établissant des règles harmonisées concernant la désignation de représentants légaux aux fins de la collecte de preuves en matière pénale [COM(2018) 226 final].

(3) Le Conseil a adopté son orientation générale sur la proposition de règlement le 7 décembre 2018, disponible à l’adresse https://www.consilium.europa.eu/fr/press/press-releases/2018/12/07/regulation-on-cross-border-access-to-e-evidence-council-agrees-its-position/. Le Conseil a adopté son orientation générale sur la proposition de directive le 8 mars 2018, disponible à l’adresse https://www.consilium.europa.eu/fr/press/press-releases/2019/03/08/e-evidence-package-council-agrees-its-position-on-rules-to-appoint-legal-representatives-for-the-gathering-of-evidence/

(4) Recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et les États-Unis d’Amérique sur l’accès transfrontière aux preuves électroniques à des fins de coopération judiciaire en matière pénale [COM(2019) 70 final].

(5) Recommandation de décision du Conseil autorisant la participation aux négociations sur un deuxième protocole additionnel à la convention sur la cybercriminalité du Conseil de l’Europe (SCTE no 185) [COM(2019) 71 final].

(6) Avis 2/2019 du CEPD sur le mandat de négociation d’un accord entre l’Union européenne et les États-Unis d’Amérique sur l’accès transfrontière aux preuves électroniques.

(7) Convention sur la coopération internationale renforcée sur la cybercriminalité et les preuves électroniques, Budapest, 23 novembre 2001, SCTE no 185.