FR Journal officiel de l'Union européenne C 355/1

Avis du Contrôleur européen de la protection des données sur l’initiative du Royaume de Belgique, de la République de Bulgarie, de la République d’Estonie, du Royaume d’Espagne, de la République française, de la République italienne, de la République de Hongrie, de la République de Pologne, de la République portugaise, de la Roumanie, de la République de Finlande et du Royaume de Suède en vue de l’adoption d’une directive du Parlement européen et du Conseil relative à la décision de protection européenne, et sur l’initiative du Royaume de Belgique, de la République de Bulgarie, de la République d’Estonie, du Royaume d’Espagne, de la République d’Autriche, de la République de Slovénie et du Royaume de Suède en vue d’une directive du Parlement européen et du Conseil concernant la décision d’enquête européenne en matière pénale

2010/C 355/01

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment son article 8,

vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, et notamment son article 41 (2),

vu la décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (3),

A ADOPTÉ L’AVIS SUIVANT

I. INTRODUCTION

1. Les efforts se sont intensifiés, ces dernières années, pour améliorer la coopération judiciaire en matière pénale. Ce sujet, qui occupe désormais une position clé dans le programme de Stockholm (4), est défini par le caractère particulièrement sensible des données à caractère personnel en cause ainsi que par les effets que le traitement des données associées peut avoir sur les personnes concernées.

2. Pour ces raisons, le Contrôleur européen de la protection des données (CEPD) a accordé une attention particulière à ce sujet (5) et il entend, au moyen du présent avis, souligner une fois de plus la nécessité de défendre les droits fondamentaux en tant qu’élément essentiel de l’espace de liberté, de sécurité et de justice (ELSJ) tel que présenté dans le programme de Stockholm.

3. Le présent avis réagit sur deux initiatives en vue d’une directive présentées par un certain nombre d’États membres, comme prévu à l’article 76 TFUE, à savoir: a) l’initiative de 12 États membres en vue de l’adoption d’une directive du Parlement européen et du Conseil relative à la décision de protection européenne («initiative relative à la décision de protection européenne»), présentée en janvier 2010 (6), et b) l’initiative de 7 États membres en vue d’une directive du Parlement européen et du Conseil concernant la décision d’enquête européenne en matière pénale («initiative relative à la décision d’enquête européenne»), présentée en avril 2010 (7).

4. La notification d’un avis sur ces initiatives relève du mandat confié au CEPD à l’article 41 du règlement (CE) no 45/2001 prévoyant que celui-ci conseille les institutions et les organes de l’Union pour toutes les questions concernant le traitement des données à caractère personnel. Le présent avis formule donc des observations sur les initiatives dans la mesure où elles concernent le traitement de données à caractère personnel. Étant donné qu’aucune demande d’avis ne lui a été adressée, le CEPD rend le présent avis de sa propre initiative (8).

5. Le CEPD rappelle, en application de l’article 28, paragraphe 2, du règlement (CE) no 45/2001, que la Commission est tenue de consulter le CEPD lorsqu’elle adopte une proposition de législation relative à la protection des droits et libertés des personnes à l’égard du traitement de données à caractère personnel. Lorsqu’il s’agit d’une initiative présentée par des États membres, cette obligation ne s’applique pas stricto sensu. Cependant, depuis l’entrée en vigueur du traité de Lisbonne, la procédure législative ordinaire s’applique également au domaine de la coopération policière et judiciaire, à une exception bien précise visée à l’article 76 TFUE, à savoir que les mesures de l’Union peuvent être adoptées sur initiative d’un quart des États membres. En application du traité de Lisbonne, ces initiatives cadrent le plus possible avec les propositions de la Commission et des garanties de procédure sont utilisées dans la mesure du possible. C’est pour cette raison que les présentes initiatives sont accompagnées d’une analyse d’impact.

6. À cet égard, le CEPD regrette non seulement de ne pas avoir été consulté lorsque les initiatives ont été présentées, mais recommande également au Conseil de mettre en place une procédure prévoyant de consulter le CEPD lorsqu’une initiative introduite par des États membres concerne le traitement de données à caractère personnel.

7. Les deux initiatives ne partagent certes pas les mêmes objectifs, à savoir l’amélioration de la protection des victimes d’une part et la coopération transfrontière en matière pénale au moyen de l’obtention de preuves transfrontières d’autre part, mais elles présentent tout de même des similitudes importantes: a) elles se fondent toutes les deux sur le principe de reconnaissance mutuelle des jugements et décisions judiciaires (9); b) elles trouvent leur origine dans le programme de Stockholm (10); et c) elles prévoient l’échange de données à caractère personnel entre les États membres (voir les points 10 et 13 ainsi que la section II.4). Le CEPD estime pour ces raisons qu’il convient de les examiner conjointement.

8. Dans ce cadre, il convient de mentionner que la Commission européenne a également récemment examiné la question de la collecte de preuves en vue de les présenter aux autorités compétentes dans d’autres États membres (ce qui constitue l’objet précis de l’initiative relative à la décision d’enquête européenne). En effet, un livre vert (11) a été publié fin 2009 (la phase de consultation est aujourd’hui terminée (12)), la Commission ayant pour objectif (tiré du «Plan d’action mettant en œuvre le programme de Stockholm» (13)) de soumettre en 2011 une proposition législative relative à un système global d’obtention de preuves en matière pénale, fondé sur le principe de la reconnaissance mutuelle et couvrant tous les types d’éléments de preuves (14).

II. COOPÉRATION JUDICIAIRE EN MATIÈRE PÉNALE ET TRAITEMENT DES DONNÉES À CARACTÈRE PERSONNEL DANS LE CADRE DES INITIATIVES RELATIVES À LA DÉCISION DE PROTECTION EUROPÉENNE ET À LA DÉCISION D’ENQUÊTE EUROPÉENNE

II.1. Contexte des initiatives

9. Les initiatives susmentionnées s’inscrivent dans la tendance des actions menées par l’UE dans l’ELSJ ces dernières années. Depuis septembre 2001, la collecte et le partage d’informations se sont intensifiés au sein de l’Union européenne (et avec les pays tiers), notamment grâce au développement des technologies de l’information et de la communication et à un certain nombre d’instruments juridiques de l’UE. Les initiatives relatives à la décision de protection européenne et à la décision d’enquête européenne visent également à améliorer l’échange d’informations concernant les personnes physiques dans l’ELSJ.

II.2. Initiative relative à la décision de protection européenne

10. L’initiative relative à la décision de protection européenne, fondée sur l’article 82, paragraphe 1, point d), du TFUE, est axée sur la protection des victimes d’infractions pénales, plus particulièrement les femmes, et a pour objectif de leur garantir une véritable protection au sein de l’Union européenne. Afin de réaliser cet objectif, l’initiative relative à la décision de protection européenne permet d’étendre les mesures de protection énumérées à l’article 2, paragraphe 2, et adoptées selon la législation d’un État membre («l’État d’émission») à un autre État membre dans lequel la personne faisant l’objet d’une mesure de protection se rend («l’État d’exécution») sans que la victime ait besoin d’engager une nouvelle procédure ou de reproduire les éléments de preuve dans l’État d’exécution.

11. Les mesures de protection imposées (à la demande de la victime) à la personne à l’origine du danger encouru visent dès lors à protéger la vie, l’intégrité physique et psychologique, la liberté ou l’intégrité sexuelle de la victime au sein de l’UE, sans qu’il soit tenu compte des frontières nationales, et à éviter que la personne ne soit à nouveau victime d’une infraction pénale.

12. Une décision de protection européenne est émise, à la demande de la victime dans «l’État (membre) d’émission», par une autorité judiciaire (ou une autre autorité compétente). La procédure se déroule en deux étapes: a) «l’État d’émission» demande une décision de protection européenne; b) à réception de la décision de protection européenne, «l’État d’exécution» adopte une décision suivant sa législation nationale afin de continuer à assurer la protection de la personne concernée.

13. Pour réaliser cet objectif, des mesures administratives doivent être mises en place. Elles concerneront en partie l’échange de renseignements personnels entre les États membres «d’émission» et «d’exécution» se rapportant à la personne concernée (la «victime») ainsi qu’à la personne à l’origine du danger encouru. L’échange de données à caractère personnel est prévu dans les dispositions suivantes: a) l’article 6 dispose que la décision de protection européenne comporte de nombreux éléments d’informations personnelles, telles que précisées aux points a), e), f), g) et h) ainsi qu’à l’annexe I; b) les obligations de l’autorité compétente de l’État d’exécution visées à l’article 8, paragraphe 1, exigent le traitement des données à caractère personnel, notamment l’obligation de signaler tout manquement à la mesure de protection (article 8, paragraphe 1, point d) et annexe II); c) les obligations de l’autorité compétente des États membres d’émission et d’exécution en cas de modification, d’expiration ou de révocation de la décision de protection ou des mesures de protection (article 14).

14. Les informations mentionnées au précédent paragraphe entrent clairement dans le champ d’application des données à caractère personnel, définies au sens large dans la législation relative à la protection des données comme étant «toute information concernant une personne physique identifiée ou identifiable» (15) et expliquées plus en détail par le groupe de travail «Article 29». L’initiative relative à la décision de protection européenne porte sur les informations concernant une personne (la victime ou la personne à l’origine du danger encouru) ou les informations qui sont utilisées ou susceptibles d’être utilisées afin d’évaluer, de traiter d’une certaine manière ou d’influer sur le statut d’une personne physique (en particulier la personne à l’origine du danger) (16).

II.3. Initiative relative à la décision d’enquête européenne EIO initiative

15. L’initiative relative à la décision d’enquête européenne, qui se fonde sur l’article 82, paragraphe 1, point a), du TFUE, demande aux États membres de recueillir, de conserver et de transmettre des éléments de preuve, même si cela n’est pas encore prévu dans la juridiction nationale. L’initiative va donc au-delà du principe de disponibilité, présenté dans le programme de la Haye de 2004 comme une approche innovante de l’échange transfrontière des informations répressives (17). Elle va également au-delà de la décision-cadre 2008/978/JAI du Conseil du 18 décembre 2008 relative au mandat européen d’obtention de preuves, qui s’applique uniquement à des preuves (données) qui existent déjà (18).

16. Une décision d’enquête européenne doit être émise pour faire réaliser une ou plusieurs mesures d’enquête spécifiques dans l’État d’exécution en vue de recueillir des preuves (qui n’existent pas forcément lorsque la décision est émise) et de les transférer (article 12). Elle s’applique à presque toutes les mesures d’enquête (voir les considérants 6 et 7 de l’initiative).

17. L’objectif de l’initiative relative à la décision d’enquête européenne est de créer un instrument unique, efficace et flexible pour obtenir des preuves situées dans un autre État membre dans le cadre d’une procédure pénale, en vue de remplacer l’instrument juridique plus complexe actuellement utilisé par les autorités judiciaires (basé sur l’entraide judiciaire, d’une part, et la reconnaissance mutuelle, d’autre part) (19).

18. Les preuves recueillies au moyen d’une décision d’enquête européenne (voir également l’annexe A de l’initiative) peuvent évidemment contenir des données à caractère personnel, comme dans le cas des informations relatives aux comptes bancaires (article 23), des informations relatives aux transactions bancaires (article 24) et du suivi des transactions bancaires (article 25), ou peuvent couvrir la communication de données à caractère personnel (comme dans le cas des auditions par vidéoconférence et téléconférence, visées aux articles 21 et 22).

19. Pour ces raisons, l’initiative relative à la décision d’enquête européenne a un impact considérable sur le droit à la protection des données à caractère personnel. Étant donné également que le délai de mise en œuvre de la décision-cadre 2008/978/JAI n’a pas encore expiré (et qu’il est dès lors difficile d’apprécier l’efficacité de l’instrument et la nécessité de mesures juridiques supplémentaires) (20), le CEPD rappelle la nécessité d’une vérification périodique, à la lumière des principes de protection des données, de l’efficacité et de la proportionnalité des mesures juridiques adoptées dans l’ELSJ (21). Le CEPD recommande dès lors d’ajouter une clause d’évaluation à l’initiative relative à la décision d’enquête européenne, demandant aux États membres de rendre régulièrement compte de l’application de l’instrument et à la Commission de synthétiser ces comptes rendus et, le cas échéant, de soumettre des propositions adéquates de modifications.

II.4. Traitement des données à caractère personnel envisagé dans les initiatives relatives à la décision de protection européenne et à la décision d’enquête européenne

20. Comme expliqué ci-dessus aux points 13, 14 et 18, il ressort clairement des propositions de directives que des données à caractère personnel seront traitées et échangées par les autorités compétentes des différents États membres. Dans ces conditions, la personne concernée est protégée par le droit fondamental à la protection des données, tel que visé à l’article 16 TFUE et à l’article 8 de la Charte des droits fondamentaux de l’Union européenne.

21. Malgré cela, dans l’«exposé détaillé» qui accompagne l’initiative relative à la décision de protection européenne, le «risque de porter atteinte aux droits fondamentaux» est estimé à «0» (zéro) (22) et dans l’analyse d’impact contenue dans l’«exposé détaillé» qui accompagne l’initiative relative à la décision d’enquête européenne, les questions de protection des données ne sont pas prises en considération (23).

22. Le CEPD regrette que ces conclusions aient été tirées et souligne l’importance de la protection des données dans le contexte particulier dans lequel les données à caractère personnel sont traitées, à savoir: a) le vaste domaine de la coopération judiciaire en matière pénale; b) le fait que les données revêtent assez souvent un caractère sensible et soient généralement obtenues par les autorités policières et judiciaires à la suite d’une enquête; c) le contenu possible des données, notamment par rapport à l’initiative relative à la décision d’enquête européenne, qui s’étendrait à tous les types de preuves, et d) la possible communication de preuves en dehors de l’UE, conformément à l’article 13 de la décision 2008/977/JAI relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (24).

23. Ce contexte confère aux traitements des données un impact particulier susceptible de porter considérablement atteinte aux droits fondamentaux de la personne concernée, y compris le droit à la protection des données à caractère personnel.

24. Eu égard aux considérations qui précèdent, le CEPD s'interroge sur le fait que les initiatives ne tiennent pas compte de la protection des données à caractère personnel (hormis la référence aux obligations de confidentialité imposées aux acteurs concernés par une enquête aux termes de l’article 18 de l’initiative relative à la décision d’enquête européenne), et pourquoi elles ne renvoient pas explicitement à la décision-cadre 2008/977/JAI. Cette décision-cadre s’appliquerait en effet aux traitements envisagés dans les deux initiatives [voir l’article premier, paragraphe 2, point a)].

25. Pour cette raison, le CEPD se félicite du fait que, durant les travaux préparatoires au Conseil concernant l’initiative relative à la décision de protection européenne, une référence à la décision-cadre 2008/977/JAI ait été introduite (25) et ne doute pas que le Parlement européen confirmera cette modification dans les initiatives originales (26).

26. Le CEPD regrette qu’un considérant similaire n’ait pas encore été introduit dans l’initiative relative à la décision d’enquête européenne, qui concerne un échange de données à caractère personnel plus intense. Le CEPD se félicite à cet égard que la Commission européenne, lorsqu’elle a soumis des observations sur l’initiative relative à la décision de protection européenne, ait suggéré qu’une référence (à la fois dans le préambule et dans le texte de la proposition) à l’applicabilité de la décision-cadre 2008/977/JAI soit introduite (27).

27. De ce fait, et sans préjudice de la section III ci-dessous, les deux initiatives devraient inclure une disposition spécifique précisant que la décision-cadre 2008/977/JAI s’applique au traitement des données prévu dans les initiatives.

III. RÈGLES SPÉCIFIQUES NÉCESSAIRES EN SUS DU CADRE JURIDIQUE EXISTANT DE PROTECTION DES DONNÉES POUR LA COOPÉRATION JUDICIAIRE EN MATIÈRE PÉNALE

28. Les deux initiatives soulèvent une fois de plus la question fondamentale de l’application incomplète et contradictoire des principes de protection des données dans le domaine de la coopération judiciaire en matière pénale (28).

29. Le CEPD est conscient qu’il est important d’améliorer l’efficacité de la coopération judiciaire entre les États membres, également dans les domaines couverts par les initiatives relatives à la décision de protection européenne et à la décision d’enquête européenne (29). Le CEPD est également conscient des avantages et de la nécessité de partager des informations, mais tient à souligner que le traitement de ces données doit être conforme, notamment (30), aux règles de l’Union relatives à la protection des données. Cela est d’autant plus manifeste eu égard au traité de Lisbonne qui introduit l’article 16 TFUE et qui rend obligatoire l’article 8 de la Charte des droits fondamentaux de l’Union européenne.

30. Les situations qui concernent l’échange transfrontière d’informations au sein de l’UE méritent une attention particulière étant donné que le traitement des données à caractère personnel dans plus d’une juridiction augmente le risque de porter atteinte aux droits et aux intérêts des personnes physiques concernées. Les données à caractère personnel seront traitées dans de multiples juridictions dans lesquelles les prescriptions légales ainsi que le cadre technique ne sont pas nécessairement les mêmes.

31. Cela entraîne également une insécurité juridique pour les personnes concernées: les parties d’autres États membres peuvent être concernées, les lois nationales de plusieurs États membres peuvent être applicables et peuvent différer des lois auxquelles les personnes concernées sont habituées, ou s’appliquer dans un système juridique avec lequel la personne concernée n’est pas familiarisée. Des efforts plus importants doivent donc être déployés pour garantir la conformité avec les prescriptions qui découlent de la législation de l’Union relative à la protection des données (31).

32. Selon le CEPD, apporter des précisions sur l’applicabilité de la décision-cadre 2008/977/JAI, comme proposé au point 27, ne constitue qu’une première étape.

33. Les obstacles spécifiques à une protection efficace dans le domaine de la coopération judiciaire en matière pénale, associés à une décision-cadre 2008/977/JAI qui n’est pas pleinement satisfaisante (voir les points 52 à 56) peuvent nécessiter des dispositions particulières sur la protection des données, lorsque des instruments juridiques spécifiques de l’UE requièrent l’échange de données à caractère personnel.

IV. OBSTACLES À UNE PROTECTION EFFICACE DES DONNÉES EN MATIÈRE DE COOPÉRATION PÉNALE: RECOMMANDATIONS SUR LES INITIATIVES RELATIVES À LA DÉCISION DE PROTECTION EUROPÉENNE ET À LA DÉCISION D’ENQUÊTE EUROPÉENNE

IV.1. Remarques préliminaires

34. Une protection efficace des données à caractère personnel (comme souligné au point 29) est non seulement importante pour les personnes concernées, mais elle contribue aussi au succès de la coopération judiciaire à proprement parler. En fait, la volonté d’échanger ces données avec les autorités d’autres États membres sera accrue si une autorité est assurée du niveau de protection, de l’exactitude et de la fiabilité des données à caractère personnel dans cet autre État membre (32). En bref, le fait d’établir un niveau commun (élevé) de protection des données dans ce domaine sensible favorisera la confiance réciproque entre les États membres et renforcera la coopération judiciaire basée sur la reconnaissance mutuelle, améliorant de ce fait la qualité des données lors de l’échange d’informations.

35. Dans ce contexte particulier, le CEPD recommande d’inclure des garanties spécifiques pour la protection des données dans les initiatives relatives à la décision de protection européenne et à la décision d’enquête européenne, en plus de la référence générale à la décision-cadre 2008/977/JAI (comme proposé au point 27).

36. Certaines de ces garanties sont de nature plus générale et sont censées être incluses dans les deux initiatives; il s’agit notamment des garanties visant à améliorer l’exactitude des données ainsi que la sécurité et la confidentialité. D’autres garanties renvoient à des dispositions spécifiques de l’initiative relative à la décision de protection européenne ou à la décision d’enquête européenne.

IV.2. Garanties de nature plus générale

Exactitude

37. Dans les situations prévues par les initiatives lorsque des données sont échangées entre les États membres, une attention particulière devrait être accordée à la garantie de l’exactitude de l’information. À cet égard, le CEPD se félicite du fait que l’initiative relative à la décision de protection européenne contienne à l’article 14 des obligations claires qui incombent à l’autorité compétente de l’État d’émission, notamment d’informer l’autorité compétente de l’État d’exécution de toute modification, de l’expiration ou de la révocation de la décision de protection.

38. Le CEPD relève également que la nécessité de traduction pourrait compromettre l’exactitude des données, étant donné que les initiatives concernent des instruments juridiques spécifiques qui peuvent avoir une signification différente dans différentes langues et différents systèmes juridiques. Dans ce contexte, le CEPD, tout en se félicitant du fait que l’initiative relative à la décision de protection européenne examine la question des traductions (article 16), suggère également d’inclure une disposition similaire dans l’initiative relative à la décision d’enquête européenne.

Sécurité, connaissance et responsabilité

39. Le renforcement de la coopération transfrontière qui pourrait résulter de l’adoption des deux initiatives nécessite d’examiner attentivement les aspects de sécurité de la transmission transfrontière des données à caractère personnel liées à l’exécution d’une décision de protection européenne ou d’une décision d’enquête européenne (33). Cet examen est nécessaire, non seulement pour satisfaire aux critères de sécurité lors du traitement de données à caractère personnel requis à l’article 22 de la décision-cadre 2008/977/JAI, mais également pour garantir le secret des enquêtes ainsi que la confidentialité des procédures pénales en cause qui est régie à l’article 18 de l’initiative relative à la décision d’enquête européenne et, en règle générale, pour les données à caractère personnel résultant de l’échange transfrontière, en application de l’article 21 de la décision-cadre 2008/977/JAI.

40. Le CEPD souligne la nécessité d’établir des systèmes de télécommunication sécurisés dans les procédures de transmission. Il se félicite dès lors de la disposition visant à utiliser le Réseau judiciaire européen (34) comme outil pour veiller à ce que les décisions de protection européenne et les décisions d’enquête européenne soient bien adressées aux autorités nationales compétentes, permettant de prévenir ou de réduire le risque que des autorités non compétentes soient concernées par l’échange de données à caractère personnel (voir l’article 7, paragraphes 2 et 3 de l’initiative relative à la décision de protection européenne et l’article 6, paragraphes 3 et 4, de l’initiative relative à la décision d’enquête européenne).

41. Les initiatives devraient dès lors inclure des dispositions demandant aux États membres de veiller à ce que: a) les autorités compétentes disposent de ressources adéquates pour l’application des propositions de directives; b) les responsables compétents observent les normes professionnelles et soient soumis à des procédures internes appropriées qui garantissent, notamment, la protection des personnes physiques en ce qui concerne le traitement de données à caractère personnel, une procédure équitable ainsi que le respect des dispositions de confidentialité et de secret professionnel (comme prévu à l’article 18 de l’initiative relative à la décision d’enquête européenne).

42. Le CEPD recommande également d’introduire des dispositions visant à garantir le respect des principes essentiels de protection des données lors du traitement de données à caractère personnel, et de mettre en place les mécanismes internes nécessaires pour démontrer la conformité aux parties prenantes extérieures. De telles dispositions seraient des instruments qui permettraient de responsabiliser les responsables du traitement (selon le «principe de responsabilité» qui est discuté dans le cadre de la révision actuelle du cadre de protection des données (35)). Il exige d’eux de mener à bien les mesures nécessaires pour garantir la conformité. Ces dispositions doivent inclure: a) des systèmes d’authentification qui autorisent uniquement les personnes autorisées à avoir accès aux bases de données contenant des données à caractère personnel ou aux locaux dans lesquels se trouvent les preuves; b) l’identification des accès aux données à caractère personnel ainsi que des traitements dont elles font l’objet; c) la mise en œuvre d’un contrôle d’audit.

IV.3. Garanties envisagées dans l’initiative relative à la décision d’enquête européenne

43. Compte tenu du caractère particulièrement intrusif de certaines mesures d’enquête, le CEPD appelle de ses vœux une réflexion approfondie sur la recevabilité des preuves recueillies à des fins autres que la prévention et la détection des infractions pénales, les enquêtes ou les poursuites en la matière ou l’exécution de sanctions pénales et l’exercice du droit de défense. Plus particulièrement, l’utilisation de preuves obtenues au titre de l’article 11, paragraphe 1, point d), de la décision-cadre 2008/977/JAI doit faire l’objet d’un examen attentif (36).

44. Une exception à l’application de la disposition de l’article 11, paragraphe 1, point d), devrait donc être incluse dans l’initiative relative à la décision d’enquête européenne, précisant que les preuves recueillies en application de la décision d’enquête européenne ne peuvent pas être utilisées à des fins autres que la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière, ou l’exécution de sanctions pénales et l’exercice du droit de défense.

IV.4. Garanties envisagées dans l’initiative relative à la décision de protection européenne

45. Concernant l’initiative relative à la décision de protection européenne, le CEPD reconnaît que les données à caractère personnel échangées entre les autorités compétentes et qui sont énumérées à l’annexe I de l’initiative (concernant à la fois la victime et la personne à l’origine du danger encouru) sont adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement.

46. Cependant, il ne ressort pas suffisamment clairement de l’initiative, surtout à l’article 8, paragraphe 1, point b), quelles sont les données à caractère personnel concernant la victime qui seront communiquées à la personne à l’origine du danger encouru par l’autorité compétente de l’État d’exécution.

47. Le CEPD estime qu’il convient d’examiner les circonstances et le contenu des mesures de protection émises par l’autorité judiciaire dans l’État membre d’émission avant d’informer la personne à l’origine du danger encouru. Celle-ci devrait donc avoir uniquement connaissance des données à caractère personnel de la victime (qui dans certains cas peuvent comprendre les coordonnées) qui concernent strictement la bonne exécution de la mesure de protection.

48. Le CEPD est conscient que le fait de communiquer des coordonnées (par exemple numéros de téléphone, adresse de la victime, lieux habituellement fréquentés, tels que le lieu de travail ou l’école des enfants) peut réellement compromettre le bien-être physique et psychologique de la victime, mais également porter atteinte à son droit à la vie privée et à la protection des données à caractère personnel. En revanche, il peut parfois s’avérer nécessaire d’indiquer à la personne à l’origine du danger les adresses en question, ne serait-ce que pour connaître les endroits où elle n’a pas le droit de se rendre. Cela lui permet de respecter la décision et d’empêcher toute éventuelle sanction pour non-respect. En outre, en fonction des circonstances, l’identification du ou des lieux dans lesquels la personne à l’origine du danger n’a pas le droit de se rendre peut être requise, afin de ne pas limiter inutilement sa liberté de circulation.

49. À la lumière de ces éléments, le CEPD souligne l’importance de cet aspect et recommande que l’initiative relative à la décision de protection européenne précise clairement, en fonction des circonstances du cas d’espèce, que la personne à l’origine du danger encouru doit uniquement recevoir les données à caractère personnel de la victime (qui dans certains cas peuvent comprendre les coordonnées) qui concernent strictement la bonne exécution de la mesure de protection (37).

50. Enfin, le CEPD demande des précisions sur l’expression «moyens électroniques» employée au considérant 10 de l’initiative relative à la décision de protection européenne. Il convient notamment d’expliquer si les données à caractère personnel sont traitées par le biais de «moyens électroniques» et, le cas échéant, quelles sont les garanties données.

V. DISPOSITIONS DE PROTECTION DES DONNÉES ET COOPÉRATION JUDICIAIRE EN MATIÈRE PÉNALE: PRÉOCCUPATIONS SOULEVÉES PAR LES INITIATIVES RELATIVES À LA DÉCISION DE PROTECTION EUROPÉENNE ET À LA DÉCISION D’ENQUÊTE EUROPÉENNE

51. La décision-cadre 2008/977/JAI s’applique à tous les échanges de données à caractère personnel réalisés dans le cadre des initiatives relatives à la décision de protection européenne et à la décision d’enquête européenne.

52. Même si le CEPD a reconnu que la décision-cadre 2008/977/JAI, lorsqu’elle est appliquée par les États membres, constitue une avancée notable pour la protection des données dans le domaine de la coopération policière et judiciaire (38), la décision-cadre en elle-même n’est pas pleinement satisfaisante (39). La principale inquiétude non dissipée concerne son champ d’application limité. La décision-cadre se limite aux échanges de données à caractère personnel dans le domaine de la police et de la justice entre les autorités et les systèmes dans différents États membres et à l’échelle de l’Union européenne (40).

53. Même si cette inquiétude ne peut être dissipée dans le cadre des initiatives relatives à la décision de protection européenne et à la décision d’enquête européenne, le CEPD insiste sur le fait qu’il est important de souligner que l’absence d’un niveau commun (élevé) de protection des données dans le domaine de la coopération judiciaire pourrait laisser entendre qu’une autorité judiciaire, au niveau national ou européen, lorsqu’elle traite un dossier pénal contenant des informations provenant d’autres États membres (comprenant, par exemple, des éléments de preuve recueillis au titre d’une décision d’enquête européenne), devrait appliquer des règles de traitement différentes: des règles nationales autonomes (qui doivent être conformes à la convention 108 du Conseil de l’Europe) pour les données qui proviennent de l’État membre lui-même et les modalités d’exécution de la décision-cadre 2008/977/JAI pour les données provenant d’autres États membres. Différents «éléments d’information» pourraient donc relever de différents systèmes juridiques.

54. Les conséquences de l’application d’un «double» niveau de protection des données à chaque dossier pénal contenant des éléments transfrontières sont importantes dans la pratique courante (par exemple, délais de conservation des données fixés par les lois applicables de chaque organe qui transmet les données; limitations de traitement requises par chacun des organes transmettant les données; en cas de demande d’un État tiers, chaque organe transmettant les données donnerait son consentement conformément à sa propre évaluation du niveau de protection ou des engagements internationaux; et différences au niveau de la réglementation du droit d’accès par la personne concernée). En outre, la protection et les droits des citoyens pourraient varier et faire l’objet d’importantes dérogations diverses en fonction de l’État membre où s’effectue le traitement (41).

55. Le CEPD profite donc de l’occasion qui lui est ici donnée pour réitérer ses avis concernant la nécessité d’un cadre juridique détaillé de protection des données couvrant l’ensemble des compétences de l’Union européenne, y compris la police et la justice, à appliquer aux données à caractère personnel transmises ou mises à disposition par les autorités compétentes d’autres États membres ainsi qu’au traitement intérieur dans l’ELSJ (42).

56. Enfin, le CEPD relève que les règles relatives à la protection des données doivent s’appliquer à tous les secteurs ainsi qu’à l’utilisation des données à toutes fins (43). Bien sûr, des exceptions dûment justifiées et clairement énoncées doivent être possibles, notamment en ce qui concerne les données à caractère personnel traitées à des fins répressives (44). Les lacunes au niveau de la protection des données à caractère personnel sont contraires au cadre juridique actuel (renouvelé) de l’Union européenne. L’article 3, paragraphe 2, de la directive 95/46/CE, qui exclut du champ d’application de la directive le domaine de la police et de la justice, ne reflète pas la philosophie visée à l’article 16 TFUE. En outre, ces lacunes ne sont pas suffisamment couvertes par la Convention 108 du Conseil de l’Europe (45), à laquelle tous les États membres sont liés.

VI. CONCLUSIONS ET RECOMMANDATIONS

57. Le CEPD recommande en ce qui concerne les initiatives relatives à la décision de protection européenne et à la décision d’enquête européenne: — d’inclure des dispositions particulières précisant que les instruments s’appliquent sans préjudice de la décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale; — d’inclure des dispositions demandant aux États membres de veiller à ce que: — les autorités compétentes disposent des ressources nécessaires à l’application des propositions de directives; — les responsables compétents observent les normes professionnelles et soient soumis à des procédures internes appropriées qui garantissent, notamment, la protection des personnes physiques dans le cadre du traitement de données à caractère personnel, une procédure équitable ainsi que le respect des dispositions de confidentialité et de secret professionnel; — les systèmes d’authentification autorisent uniquement les personnes autorisées à avoir accès aux bases de données contenant des données à caractère personnel ou aux locaux dans lesquels se trouvent les preuves; — les accès et les traitements soient identifiés; — des contrôles d’audit soient réalisés.

58. Le CEPD recommande en ce qui concerne l’initiative relative à la décision de protection européenne: — de préciser clairement, en fonction des circonstances du cas d’espèce, que la personne à l’origine du danger doit uniquement recevoir les données à caractère personnel de la victime (qui dans certains cas peuvent comprendre les coordonnées) qui concernent strictement la bonne exécution de la mesure de protection; — d’apporter des précisions sur l’expression «moyens électroniques» employée au considérant 10 de l’initiative relative à la décision de protection européenne.

59. Le CEPD recommande en ce qui concerne l’initiative relative à la décision d’enquête européenne: — d’inclure une disposition sur les traductions, semblable à celle de l’article 16 de l’initiative relative à la décision de protection européenne; — d’inclure une disposition qui interdit l’utilisation de preuves à des fins autres que la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière, ou l’exécution de sanctions pénales et l’exercice du droit de défense, comme exception à l’article 11, paragraphe 1, point d), de la décision-cadre 2008/977/JAI; — d’ajouter une clause d’évaluation à l’initiative relative à la décision d’enquête européenne, demandant aux États membres de rendre régulièrement compte de l’application de l’instrument et à la Commission de synthétiser ces comptes rendus et, le cas échéant, de soumettre des propositions adéquates de modifications.

60. Par ailleurs, et de façon plus générale, le CEPD: — recommande au Conseil de mettre en place une procédure prévoyant de consulter le CEPD lorsqu’une initiative introduite par des États membres concerne le traitement de données à caractère personnel; — réitère la nécessité d’un cadre juridique détaillé de protection des données couvrant l’ensemble des compétences de l’Union européenne, y compris la police et la justice, à appliquer aux données à caractère personnel transmises ou mises à disposition par les autorités compétentes d’autres États membres ainsi qu’au traitement intérieur dans l’ELSJ.

Fait à Bruxelles, le 5 octobre 2010. Peter HUSTINX Contrôleur européen de la protection des données

(1) JO L 281 du 23.11.1995, p. 31.

(2) JO L 8 du 12.1.2001, p. 1.

(3) JO L 350 du 30.12.2008, p. 60.

(4) Conseil européen, Le programme de Stockholm — une Europe ouverte et sûre qui sert et protège les citoyens (2010/C 115/01), chapitre 3, «Faciliter la vie des citoyens: une Europe du droit et de la justice», JO C 115 du 4.5.2010, p. 1; voir également l’avis du CEPD sur la communication de la Commission au Parlement européen et au Conseil intitulée «Un espace de liberté, de sécurité et de justice au service des citoyens», JO C 276 du 17.11.2009, p. 8.

(5) Ces dernières années, le CEPD a adopté un grand nombre d’avis et d’observations concernant des initiatives sur l’espace de liberté, de sécurité et de justice. Ils peuvent tous être consultés sur le site web du CEPD.

(6) JO C 69 du 18.3.2010, p. 5.

(7) JO C 165 du 24.6.2010, p. 22.

(8) Le CEPD a déjà adopté des avis sur les initiatives présentées par des États membres: voir par exemple l’avis du CEPD du 4 avril 2007 sur l’initiative de 15 États membres en vue de l’adoption d’une décision du Conseil relative à l’approfondissement de la coopération transfrontière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontière (JO C 169 du 21.7.2007, p. 2) et l’avis du CEPD du 25 avril 2008 sur l’initiative de 14 États membres en vue de l’adoption d’une décision du Conseil sur le renforcement d’Eurojust et modifiant la décision 2002/187/JAI (JO C 310 du 5.12.2008, p. 1).

(9) Ce principe, introduit dans le plan d’action de Vienne [Plan d’action du Conseil et de la Commission concernant les modalités optimales de mises en œuvre des dispositions du traité d’Amsterdam relatives à l’établissement d’un espace de liberté, de sécurité et de justice. Texte adopté par le Conseil justice et affaires intérieures du 3 décembre 1998, JO C 19 du 23.1.1999, p. 1, point 45, sous f)], a été clairement formulé dans les conclusions du Conseil européen de Tampere des 15 et 16 octobre 1999, aux points 33, 35 et 37.

(10) Une troisième initiative (en vue d’une directive du Parlement européen et du Conseil concernant les droits à l’interprétation et à la traduction dans le cadre des procédures pénales, 22 janvier 2010, 2010/0801) a la même origine, mais il n’en est pas tenu compte dans le présent avis étant donné qu’elle n’aborde aucune question relative à la protection des données à caractère personnel. Sur le même sujet, voir également la proposition de directive du Parlement européen et du Conseil relative au droit à l’interprétation et à la traduction dans le cadre des procédures pénales, 9.3.2010, COM(2010) 82 final.

(11) Livre vert relatif à l’obtention de preuves en matière pénale d’un État membre à l’autre et à la garantie de leur recevabilité, COM(2009) 624 final, 11.11.2009.

(12) Les diverses réponses parfois contradictoires sont examinées par la Commission européenne et peuvent être consultées à l’adresse suivante: http://ec.europa.eu/justice_home/news/consulting_public/news_consulting_0004_en.htm

(13) Communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions, Mettre en place un espace de liberté, de sécurité et de justice au service des citoyens européens. Plan d’action mettant en œuvre le programme de Stockholm, Bruxelles, le 20.4.2010, COM(2010) 171 final, p. 18.

(14) On ne sait pas exactement, actuellement, comment un éventuel futur instrument sera lié à l’initiative relative à la décision d’enquête européenne.

(15) Voir l’article 2, point a), de la décision-cadre 2008/977/JAI du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale, ainsi que l’article 2, point a), de la directive 95/46/CE et l’article 2, point a), du règlement (CE) no 45/2001.

(16) Voir l’avis 4/2007 sur le concept de données à caractère personnel du groupe de travail «article 29» sur la protection des données, WP 136, adopté le 20 juin 2007, p. 10.

(17) Le principe consacré par Le programme de la Haye: renforcer la liberté, la sécurité et la justice dans l’Union européenne, point 2.1, signifie que «dans l’ensemble de l’Union, tout agent des services répressifs d’un État membre qui a besoin de certaines informations dans l’exercice de ses fonctions peut les obtenir d’un autre État membre, l’administration répressive de l’autre État membre qui détient ces informations les mettant à sa disposition aux fins indiquées et en tenant compte des exigences des enquêtes en cours dans cet autre État». Voir à ce sujet l’avis du CEPD sur la proposition de décision-cadre du Conseil relative à l’échange d’informations en vertu du principe de disponibilité [COM(2005) 490 final], JO C 116 du 17.5.2006, p. 8.

(18) Décision-cadre 2008/978/JAI du Conseil du 18 décembre 2008 relative au mandat européen d’obtention de preuves visant à recueillir des objets, des documents et des données en vue de leur utilisation dans le cadre de procédures pénales, JO L 350 du 30.12.2008, p. 72.

(19) Il existe actuellement deux instruments de reconnaissance mutuelle applicables à l’obtention de preuves: la décision-cadre 2003/577/JAI du Conseil du 22 juillet 2003 relative à l’exécution dans l’Union européenne des décisions de gel de biens ou d’éléments de preuve (JO L 196 du 2.8.2003, p. 45) et la décision-cadre 2008/978/JAI, citée à la note de bas de page 18.

(20) L’article 23, paragraphe 1, de la décision-cadre 2008/978/JAI dispose que «[l]es États membres prennent les mesures nécessaires pour se conformer aux dispositions de la présente décision-cadre avant le 19 janvier 2011».

(21) Le paragraphe 1.2.3 du programme de Stockholm demande que de nouvelles initiatives législatives soient présentées seulement après que le respect du principe de proportionnalité a été vérifié.

(22) Exposé détaillé en vue d’apprécier le respect des principes de subsidiarité et de proportionnalité conformément à l’article 5 du protocole (no 2) au traité de Lisbonne du 6 janvier 2010.

(23) L’exposé détaillé du 23 juin 2010, dossier interinstitutionnel: 2010/0817 (COD), mentionne explicitement uniquement le droit à la liberté et à la sécurité ainsi que le droit de bonne administration (voir p. 25 et 41).

(24) Voir également la décision-cadre 2008/977/JAI.

(25) Voir le considérant 27 du dernier projet d’initiative relative à la décision de protection européenne (28 mai 2010, doc. du Conseil no 10384/2010): «les données à caractère personnel traitées dans le cadre de la mise en œuvre de la présente décision-cadre devraient être protégées conformément à la décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale et conformément aux principes énoncés dans la Convention du Conseil de l’Europe du 28 janvier 1981 pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, que tous les États membres ont ratifiée».

(26) À cet égard, voir l’amendement 21 inclus dans le projet de rapport sur l’initiative en vue d’une directive du Parlement européen et du Conseil relative à la décision de protection européenne [00002/2010 — C7-0006/2010 — 2010/0802 (COD)], 20.5.2010, Commission des libertés civiles, de la justice et des affaires intérieures — Commission des droits de la femme et de l’égalité des genres, rapporteurs: Teresa Jiménez-Becerril Barrio, Carmen Romero López, à l’adresse http://www.europarl.europa.eu/meetdocs/2009_2014/documents/femm/pr/817/817530/817530fr.pdf

(27) Voir les observations de la Commission sur la proposition de décision d’enquête européenne en matière pénale, 24.8.2010, JUST/B/1/AA-et D(2010) 6815, p. 9 et 38, à l’adresse http://ec.europa.eu/justice/news/intro/doc/comment_2010_08_24_fr.pdf

(28) Voir également la section V de l’avis.

(29) Voir notamment la souscription à la nécessité d’améliorer l’accès à la justice, la coopération entre les autorités judiciaires européennes et l’efficacité de la justice proprement dite dans l’avis du CEPD sur une stratégie européenne en matière d’e-Justice, JO C 128 du 6.6.2009, p. 13, points 9 et 21.

(30) Concernant l’aspect lié au respect des règles de procédure pénale dans les États membres, notamment dans le cadre de la proposition de décision d’enquête européenne, on peut mentionner les considérations et les préoccupations contenues dans les réponses envoyées à la Commission européenne lors de la consultation publique sur le livre vert (voir les notes de bas de page 11 et 12).

(31) Voir également Conseil, Le programme de la Haye: renforcer la liberté, la sécurité et la justice dans l’Union européenne (2005/C 53/01), JO C 53 du 3.3.2005, p. 1, 7 et suivantes.

(32) Voir l’avis du CEPD sur la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale [COM(2005) 475 final], JO C 47 du 25.2.2006, p. 27, points 5 à 7.

(33) De façon plus générale, voir la communication de la Commission au Conseil, au Parlement européen et au Comité économique et social européen intitulée «Vers une stratégie européenne en matière d’e-Justice», Bruxelles, le 30.5.2008, COM(2008) 329 final, p. 8: «[l]es autorités judiciaires doivent pouvoir échanger en toute confiance des données confidentielles».

(34) Décision 2008/976/JAI du Conseil du 16 décembre 2008 concernant le Réseau judiciaire européen (JO L 348 du 24.12.2008, p. 130).

(35) Voir la contribution conjointe du groupe de travail «Article 29» sur la protection des données et du groupe de travail «Police et justice», L’avenir de la protection de la vie privée, p. 20 et suivantes.

(36) Cette disposition admet également l’utilisation de preuves pour «toute autre finalité uniquement avec l’accord préalable de l’État membre qui transmet les données ou avec le consentement de la personne concernée, donné conformément au droit national».

(37) Ce qui semble être le sens des amendements 13 et 55 du projet de rapport sur l’initiative en vue d’une directive du Parlement européen et du Conseil relative à la décision de protection européenne [00002/2010 — C7-0006/2010 — 2010/0802 (COD)], 20.5.2010, Commission des libertés civiles, de la justice et des affaires intérieures — Commission des droits de la femme et de l’égalité des genres.

(38) Voir l’avis du CEPD sur la communication de la Commission au Parlement européen, au Conseil et au Comité économique et social européen intitulée «Vers une stratégie européenne en matière d’e-Justice» (2009/C 128/02), JO C 128 du 6.6.2009, p. 13, point 17.

(39) Voir les trois avis du CEPD sur la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale [COM(2005) 475 final], JO C 47 du 25.2.2006, p. 27, JO C 91 du 26.4.2007, p. 9, JO C 139 du 23.6.2007, p. 1. Voir également l’avis du CEPD sur la communication de la Commission au Parlement européen et au Conseil intitulée «Un espace de liberté, de sécurité et de justice au service des citoyens», JO C 276 du 17.11.2009, p. 8, points 19, 29 et 30.

(40) Voir l’article 2 de la décision-cadre 2008/977/JAI.

(41) Voir le troisième avis du CEPD sur la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (JO C 139 du 23.6.2007, p. 41), mentionné à la note de bas de page 39, point 46.

(42) Cet avis du CEPD est manifestement soutenu par le groupe de travail «article 29» sur la protection des données et le groupe de travail «Police et justice» dans L’avenir de la protection de la vie privée. Contribution conjointe à la consultation de la Commission européenne sur le cadre juridique du droit fondamental à la protection des données à caractère personnel, WP 168, adoptée le 1er décembre 2009, p. 4, 7 et suivantes et 24 et suivantes.

(43) Voir la communication de la Commission au Parlement européen et au Conseil, Un espace de liberté, de sécurité et de justice au service du citoyen, Bruxelles, le 10.6.2009, COM(2009) 262 final, p. 30: «L’Union doit se doter d’un régime complet de protection des données personnelles couvrant l’ensemble des compétences de l’Union».

(44) Une telle approche doit également se conformer à l’objectif de la déclaration 21 annexée au traité de Lisbonne sur la protection des données à caractère personnel dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière.

(45) Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel, 28 janvier 1981, no 108.