FR Journal officiel de l'Union européenne C 87/1

Avis du CEPD sur la proposition d’un cadre commun pour des statistiques européennes relatives aux personnes et aux ménages

(2017/C 87/01)

La proposition vise à établir un cadre commun pour des statistiques européennes relatives aux personnes et aux ménages fondées sur des données au niveau individuel collectées principalement à partir d’échantillons.

La proposition contient, pour une part importante, des références à l’utilisation de fichiers administratifs et à d’autres sources ou approches innovantes pour fournir des données statistiques dans le contexte des mégadonnées. De nouvelles approches innovantes sont certes prometteuses pour la statistique et la recherche, mais elles suscitent aussi des risques et soulèvent des défis, et les législateurs doivent faire en sorte que les avantages potentiels de ces approches ne nuisent pas aux droits des personnes physiques. Pour garantir une protection efficace du droit au respect de la vie privée et du droit à la protection des données à caractère personnel, les législateurs doivent non seulement anticiper les risques et les défis potentiels que ces techniques prometteuses peuvent poser, mais aussi mettre en place des garanties appropriées.

À cet effet, nous recommandons de réviser l’article 8 de façon à s’assurer que tout traitement de données impliquant des fichiers administratifs et d’autres sources de données soit réalisé conformément aux législations applicables en matière de protection des données et que toute fourniture directe de données par des personnes physiques (hormis certaines exceptions prévues par la loi et sous réserve des garanties appropriées) soit effectuée sur une base volontaire.

En ce qui concerne l’interconnexion des fichiers administratifs, comme prévu à l’article 11, nous tenons également à souligner la nécessité de faire en sorte que cette interconnexion soit effectuée en conformité avec la législation relative à la protection des données, dans le respect des principes de nécessité et de proportionnalité, et sous réserve des garanties spécifiques prévues par le droit des États membres ou de l’Union.

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la charte des droits fondamentaux de l’Union européenne, et notamment ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données,

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, et en particulier son article 28, paragraphe 2,

A ADOPTÉ L’AVIS SUIVANT:

1. Contexte et objet de la proposition

1. Le 8 août 2016, la Commission européenne (ci-après la «Commission») a publié une proposition de règlement du Parlement européen et du Conseil établissant un cadre commun pour des statistiques européennes relatives aux personnes et aux ménages fondées sur des données au niveau individuel collectées à partir d’échantillons (ci-après la «proposition») (1). Le même jour, la Commission a demandé au Contrôleur européen de la protection des données (ci-après le «CEPD») de rendre un avis en sa qualité d’organe consultatif indépendant. Le Conseil de l’Union européenne (ci-après le «Conseil») a également saisi le CEPD le 25 novembre 2016.

2. Comme prévu en son article premier («Objet»), la proposition a pour but de définir un cadre commun pour des statistiques européennes relatives aux personnes et aux ménages fondées sur des données au niveau individuel collectées à partir d’échantillons.

3. Le CEPD prend acte des objectifs stratégiques de la proposition. Il se félicite: — du fait d’avoir été consulté et que cette consultation soit mentionnée au considérant 23 de la proposition de règlement; — de l’inclusion du considérant 20 se rapportant au droit applicable en matière de protection des données [directive 95/46/CE et règlement (CE) no 45/2001 du Parlement européen et du Conseil]; ainsi que — de la référence aux règles de protection des données applicables à l’interconnexion de différents fichiers concernant une personne physique (article 11).

2. Vue d’ensemble et principales inquiétudes

4. Notre principale inquiétude porte sur l’ambiguïté de la rédaction actuelle concernant la possibilité d’utiliser des données «administratives» et des sources de «mégadonnées», comme par exemple les données de localisation de téléphones, les documents et comptes de sociétés, les fichiers fiscaux, les fichiers médicaux et de sécurité sociale, les fichiers d’agences pour l’emploi et d’organismes chargés de la gestion de la sécurité sociale. Si les mégadonnées sont porteuses de nouvelles possibilités et de gains d’efficacité pour la production de statistiques officielles, elles posent aussi des risques spécifiques. C’est pourquoi nous suggérons de procéder à un examen attentif de toutes les dispositions concernées (2).

5. Nous serions également favorables à davantage de clarté en ce qui concerne le fait que, lorsque des informations sont fournies directement par des personnes physiques, cette communication devrait se faire sur une base volontaire, en se servant du consentement prévu aux articles 6 et 7 du règlement général sur la protection des données (ci-après le «RGPD») (3) comme base juridique pour le traitement de données à caractère personnel, à moins que la fourniture d’informations ne soit spécifiquement exigée par le droit de l’Union ou des États membres, conformément à la législation applicable en matière de protection des données.

6. À la lumière de ces inquiétudes, nous nous féliciterions particulièrement de ce que les législateurs introduisent plus de clarté dans la rédaction de l’article 8 (sur les sources de données et les méthodes).

7. Parmi les autres dispositions pertinentes qui, d’après le CEPD, pourraient être améliorées, on peut notamment citer: — l’article 2, point e), sur la définition des «fichiers administratifs»; — le considérant 4 sur l’utilisation de «sources administratives» à des fins statistiques; — le considérant 20 sur la législation applicable en matière de protection des données et sur la notion de «motifs d’intérêt public important»; — l’article 11, paragraphe 1, sur les bases d’échantillonnage.

3. Recommandations

3.1. Références au droit applicable en matière de protection des données (considérant 20)

8. En fonction de la date d’entrée en vigueur de la proposition de règlement, il est possible qu’il soit nécessaire de mettre à jour les références au droit applicable mentionnées au considérant 20. En particulier, il est possible que ces références doivent être remplacées par des références au RGPD, qui sera applicable à partir du 25 mai 2018, et par des références au nouvel acte législatif remplaçant le règlement (CE) no 45/2001.

9. Nous nous réjouirions également de la mention, dans un considérant de la proposition, d’une référence à la conformité avec les garanties relatives au traitement à des fins statistiques au titre de l’article 89 du RGDP.

10. Étant donné que la proposition prévoit l’utilisation de données tirées de nouvelles sources de données, comme par exemple les données de localisation obtenues à partir des relevés de téléphones mobiles (voir section 3.4 sur l’article 8 ci-dessous), nous recommandons également d’ajouter une référence spécifique à la directive Vie privée et communications électroniques (4), actuellement en cours de révision (ou, le cas échéant, au nouveau règlement Vie privée et communications électroniques, selon les délais).

3.2. Références aux «motifs d’intérêt public important» (considérant 20)

11. Afin de faciliter la compréhension pour les non-experts, nous recommandons que les mots «au titre de l’article 8, paragraphe 4, de la directive 95/46/CE» soient ajoutés après l’expression «motifs d’intérêt public important». Dans le cas où le texte ferait référence au RGPD, la référence appropriée serait l’article 9, paragraphe 2, point g), du RGPD.

3.3. Définition de fichiers administratifs [article 2, point e), et considérant 4]

12. L’article 2, point e), de la proposition définit les «fichiers administratifs» comme des «données générées par une source non statistique, généralement un organisme public dont le but n’est pas de fournir des statistiques, à des fins internes». Le terme «fichiers administratifs» est ensuite repris aussi bien à l’article 8 qu’au considérant 4.

13. Cette définition de fichiers administratifs paraît très générale et semble inclure, dans la pratique, «toutes autres sources [de données]», autre expression également utilisée à l’article 8. Le terme «données administratives», tel qu’il est défini, peut donc englober non seulement les fichiers administratifs d’organismes publics, par exemple, mais aussi les sources comme les données de localisation de téléphones mobiles, qui ne sont pas toujours considérées comme des «fichiers administratifs» au sens où ce terme est utilisé dans le langage courant.

14. Cela ne semble pas avoir en soi un impact direct sur le niveau de protection des données à caractère personnel, dans la mesure où, quoi qu’il arrive, l’article 8 inclut «toutes autres sources [de données]». Cependant, par souci de clarté, les législateurs pourraient envisager de revoir l’article 2, point e), de façon à proposer une définition plus étroite du terme «fichiers administratifs». À titre subsidiaire, les législateurs pourraient purement et simplement supprimer l’article 2, point e), et, à la place, faire référence, dans l’article 8, aux «fichiers administratifs créés par une organisation, généralement un organisme public, à d’autres fins non statistiques, et toutes autres sources, méthodes ou approches innovantes…».

15. En outre, comme mentionné ci-dessus, le considérant 4 encourage spécifiquement l’utilisation de sources administratives à des fins statistiques. Nous nous félicitons de ce que ce considérant mette l’accent sur la nécessité de veiller «à la qualité, à l’exactitude, à l’actualité et à la comparabilité de ces statistiques». Afin d’améliorer encore cette disposition, nous recommandons d’ajouter une référence à la protection des données à caractère personnel. Ainsi, par exemple, le texte suivant pourrait être ajouté à la fin du paragraphe: «et en garantissant le droit à la protection des données à caractère personnel».

3.4. Sources de données et méthodes (article 8)

16. Outre les données directement fournies par les répondants, l’article 8 fait également référence aux «fichiers administratifs et toutes autres sources, méthodes ou approches innovantes, dès lors qu’ils permettent la production de données comparables et conformes aux exigences spécifiques applicables fixées par le présent règlement».

17. L’article 8 reflète la volonté, formulée à la page 13 de l’exposé des motifs, de permettre et d’encourager «l’utilisation de nouvelles formes de collecte de données et de sources de données alternatives, dont les données administratives et les estimations obtenues à partir de données de modélisation et de mégadonnées». Voir également le considérant 4 de la proposition, déjà mentionné ci-dessus, qui encourage «l’utilisation [de] sources administratives […] grâce aux avancées technologiques», et l’article 13 sur les études pilotes et de faisabilité, qui aborde également l’utilisation d’autres sources de données.

18. Dans le domaine des statistiques, comme dans d’autres domaines, les mégadonnées peuvent présenter des avantages, et notamment apporter des gains d’efficacité. Cependant, elles peuvent aussi générer des risques supplémentaires. Le nouveau cadre en matière de protection des données, et plus singulièrement l’adoption du RGPD, vise à répondre à ces risques d’une façon qui garantisse la protection mais permette également une certaine flexibilité en vue d’un usage ultérieur des données, notamment à des fins statistiques.

19. Pour autant, l’adoption de mesures législatives supplémentaires dans le domaine du droit national ou européen régissant les statistiques demeurera sans doute nécessaire, afin de permettre une utilisation plus large des mégadonnées dans le domaine des statistiques d’une manière qui soit compatible avec la législation applicable en matière de protection des données.

20. La proposition actuelle ne devrait pas donner l’illusion que l’article 8 constitue en soi une base juridique suffisante pour l’utilisation des mégadonnées aux fins de la proposition. Il est essentiel que les considérants et l’article 8, lus conjointement, indiquent clairement qu’une telle utilisation de sources de mégadonnées est soumise à la législation applicable en matière de protection des données, et notamment la nécessité d’une base juridique appropriée au titre de l’article 6 du RGPD.

21. À cet effet, nous recommandons que l’article 8 soit révisé comme suit: Article 8 Sources de données et méthodes 1. Les États membres fournissent les données visées à l’article 1er en utilisant l’une des sources suivantes, ou une combinaison de celles-ci, à condition qu’elles respectent les exigences de qualité indiquées à l’article 12 et qu’elles soient collectées et traitées ultérieurement conformément aux garanties prévues par les législations applicables en matière de protection des données, et sous réserve de celles-ci: a) informations directement fournies par les répondants sur une base volontaire, sur la base du consentement des personnes concernées fournissant les données au titre de l’article 7 du [RGPD] (à moins que la fourniture d’informations ne soit spécifiquement exigée en vertu du droit de l’Union ou des États membres auquel est soumis le responsable du traitement et qui prévoit également des mesures appropriées garantissant la sauvegarde des droits et libertés ainsi que de l’intérêt légitime des personnes concernées) ; b) fichiers administratifs et toutes autres sources, méthodes ou approches innovantes, dès lors qu’ils permettent la production de données comparables et conformes aux exigences spécifiques applicables fixées par le présent règlement. 2. Les États membres fournissent à la Commission (Eurostat) des informations détaillées sur les sources et méthodes utilisées.

3.5. Bases d’échantillonnage (article 11)

22. L’article 11, paragraphe 1, dispose que les bases d’échantillonnage incluent aussi «les informations nécessaires pour lier les personnes à d’autres fichiers administratifs, dans les limites autorisées par les règles de protection des données».

23. Nous recommandons de reformuler la seconde partie de cette phrase de la manière suivante: «dans la mesure où l’interconnexion de ces autres fichiers est nécessaire et proportionnée, et où elle est spécifiquement autorisée en vertu du droit applicable de l’Union ou des États membres auquel est soumis le responsable du traitement et qui prévoit également des mesures appropriées garantissant la sauvegarde des droits et libertés ainsi que de l’intérêt légitime des personnes concernées».

4. Conclusions

24. Le CEPD recommande: — d’inclure une référence à la directive Vie privée et communications électroniques dans le considérant 20 portant sur le droit applicable et de procéder aux mises à jour nécessaires de toutes les références pertinentes, le cas échéant, à la lumière de la révision actuelle du cadre de protection des données; — de clarifier les références aux «motifs d’intérêt public important» mentionnées au considérant 20; — de réviser en profondeur l’article 8 de façon à s’assurer que tout traitement de données impliquant des fichiers administratifs et d’autres sources de données soit réalisé conformément aux législations applicables en matière de protection des données et que toute fourniture directe de données par des personnes physiques (hormis certaines exceptions prévues par la loi et sous réserve des garanties appropriées) soit effectuée sur une base volontaire. — en ce qui concerne l’interconnexion des fichiers administratifs, comme prévu à l’article 11, de faire en sorte que cette interconnexion soit effectuée en conformité avec la législation relative à la protection des données, dans le respect des principes de nécessité et de proportionnalité, et sous réserve des garanties spécifiques prévues par le droit des États membres ou de l’Union; — d’envisager de réviser la définition de «fichier administratif» visée à l’article 2, point e), et d’ajouter une référence à la protection du droit à la protection des données à caractère personnel au considérant 4 correspondant.

Bruxelles, le 1er mars 2017. Wojciech Rafał WIEWIÓROWSKI Contrôleur européen adjoint de la protection des données

(1) COM(2016) 551 final.

(2) En ce qui concerne les opportunités, les risques et les défis posés par les mégadonnées, voir l’avis du CEPD o 7/2015, intitulé «Relever les défis des données massives»:

https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-11-19_Big_Data_EN.pdf. Voir en particulier la section 1.

(3) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(4) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive «vie privée et communications électroniques») (JO L 201 du 31.7.2002, p. 37).