FR Journal officiel de l'Union européenne C 151/11

Avis du Contrôleur européen de la protection des données sur la proposition de règlement du Conseil instituant un régime communautaire de contrôle afin d'assurer le respect des règles de la politique commune de la pêche

2009/C 151/03

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité instituant la Communauté européenne, et notamment son article 286,

vu la Charte des droits fondamentaux de l'Union européenne, et notamment son article 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données,

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, et notamment son article 41,

vu la demande d'avis formulée conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001, transmise au CEPD le 14 novembre 2008,

A ADOPTÉ L'AVIS SUIVANT:

I. REMARQUES PRÉLIMINAIRES

1. Le 14 novembre 2008, la Commission a adopté une proposition de règlement du Conseil instituant un régime communautaire de contrôle afin d'assurer le respect des règles de la politique commune de la pêche (ci-après dénommée «la proposition»). La Commission a transmis cette proposition au CEPD pour consultation, conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001 (1).

2. Le même jour, la Commission a adopté deux autres instruments faisant partie de l'ensemble de mesures concernant la pêche. En premier lieu, la Commission a adopté une Communication relative à la proposition de règlement du Conseil instituant un régime communautaire de contrôle afin d'assurer le respect des règles de la politique commune de la pêche. De plus, elle a également adopté un document de travail des services de la Commission (analyse d'impact) accompagnant la proposition de règlement du Conseil instituant un régime communautaire de contrôle afin d'assurer le respect des règles de la politique commune de la pêche. Ces deux documents constituent, avec la proposition, l'ensemble des documents adressés au CEPD pour consultation.

3. L'objectif de la politique commune de la pêche, énoncé dans le règlement (CE) no 2371/2002 du 20 décembre 2002 relatif à la conservation et à l'exploitation durable des ressources halieutiques dans le cadre de la politique commune de la pêche (2), est de garantir une exploitation des ressources aquatiques vivantes qui crée les conditions de durabilité nécessaires tant sur le plan économique, environnemental qu'en matière sociale.

4. La proposition établit un régime communautaire de contrôle, de suivi, de surveillance, d'inspection et d'exécution des règles de la politique commune de la pêche.

5. Le CEPD se félicite d'être consulté sur cette question et de la mention de cette consultation dans les considérants de la proposition, comme cela a été fait dans un certain nombre d'autres textes législatifs sur lesquels le CEPD a été consulté, conformément au règlement (CE) no 45/2001.

6. Le CEPD rappelle qu'il a formulé des observations informelles le 3 octobre 2008 sur un projet de proposition; dans ces observations, il soulignait que le cadre juridique de la protection des données doit être examiné non seulement en ce qui concerne le transfert et de l'échange de données à caractère personnel, mais aussi en ce qui concerne la collecte de ces données.

7. Enfin, le CEPD souligne que le présent avis ne porte que sur un petit nombre de dispositions de la proposition, à savoir les considérants 36 à 38 et les articles 102 à 108.

II. HISTORIQUE ET CONTEXTE

8. Les dispositions en matière de protection des données dans le cadre de cette proposition sont pertinentes à plus d'un titre. Tout d'abord, la proposition prévoit le traitement de différentes données, qui, dans certains cas, peuvent être considérées comme présentant un caractère personnel. Par exemple, lorsque l'identification d'un navire est requise, elle doit contenir une référence au capitaine du navire ou à son représentant. Dans certaines dispositions, la proposition souligne également clairement la nécessité de communiquer le nom du propriétaire ou du capitaine du navire. Dans ce cas, les données concernent non seulement le navire, mais aussi des personnes identifiables qui jouent un rôle dans la façon dont le navire est utilisé et dont les règles de la politique commune de la pêche sont respectées. Par ailleurs, la proposition prévoit également le transfert de ces données, ainsi que l'échange d'informations, entre les États membres et la Commission ou l'Agence communautaire de contrôle des pêches. Le CEPD observe également que la proposition prévoit l'utilisation de données agrégées dans certaines circonstances. Tous ces éléments requièrent le respect du cadre juridique applicable en matière de protection des données.

9. Le CEPD relève avec satisfaction que la proposition précise clairement que le cadre juridique européen en matière de protection des données à caractère personnel [directive 95/46/CE (3) et règlement (CE) no 45/2001] s'applique au traitement des données à caractère personnel effectué dans le cadre de l'application du règlement, que ce soit par les États membres ou par la Commission. Ces principes sont énoncés à la fois dans les considérants 36 à 38 et dans les articles 104 et 105.

10. Il ne fait aucun doute, comme cela est précisé dans les considérants, que des règles claires quant au traitement des données à caractère personnel sont nécessaires pour des raisons de sécurité juridique et de transparence, et pour garantir la protection des droits fondamentaux, et notamment le droit à la protection de la vie privée et des données à caractère personnel des personnes physiques.

III. PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL ET CONFIDENTIALITÉ DES DONNÉES

11. L'article 104 de la proposition concerne plus précisément la protection des données à caractère personnel, alors que l'article 105 traite de la confidentialité et du secret professionnel ou commercial. Le premier article traite des principes généraux établis dans la directive 95/46/CE et dans le règlement (CE) no 45/2001, alors que le second développe des aspects particuliers ayant trait à la confidentialité des données traitées.

12. Le CEPD se félicite des restrictions et des références que contiennent ces deux articles en ce qui concerne l'usage et la transmission des données relatives à des personnes physiques, conformément à la directive 95/46/CE et au règlement (CE) no 45/2001.

13. Le CEPD souhaite apporter un commentaire au sujet de l'article 104, paragraphe 2, selon lequel «le nom des personnes physiques n'est communiqué à la Commission ou à un autre État membre que dans le cas où le présent règlement le prévoit expressément ou lorsque cela est nécessaire pour prévenir ou poursuivre des infractions ou pour vérifier des présomptions d'infractions. Les données visées au paragraphe 1 ne sont transmises que si elles sont intégrées à d'autres données de sorte qu'on ne puisse identifier directement ou indirectement les personnes physiques concernées». En premier lieu, le CEPD estime que le libellé actuel de l'article 104, paragraphe 2, restreint indûment le champ de la protection. Le texte devrait préciser que la protection ne concerne pas seulement la communication du nom des personnes physiques, mais aussi d'autres données à caractère personnel (4). Il demande donc que le libellé soit reformulé de façon à tenir compte de cet aspect. Par ailleurs, le CEPD suggère également, par souci de cohérence, que la deuxième phrase de ce paragraphe soit modifiée comme suit: «Les données visées au présent article…» car le paragraphe 1 est essentiellement une référence au cadre juridique communautaire relatif à la protection des données à caractère personnel.

14. L'article 105 traite de la confidentialité et du secret professionnel ou commercial. Cette disposition s'applique, que les données puissent être considérées comme présentant un caractère personnel ou non. Les paragraphes 1 à 3 visent à établir les principes généraux de confidentialité, alors que le paragraphe 4 a pour objet d'apporter une protection supplémentaire dans certains cas, bien que l'objet de ce paragraphe ne soit pas tout à fait clair. Le CEPD a trouvé une grande similitude entre l'article 105, paragraphe 4, point a), de la proposition et l'article 4, paragraphe 1, point b), du règlement (CE) 1049/2001 relatif à l'accès du public aux documents du Parlement européen, du Conseil et de la Commission, qu'il a analysé en détail (5). L'article 4, paragraphe 1, point b), de ce règlement a été amplement critiqué du fait de son ambiguïté quant à la relation précise entre l'accès aux documents et le droit à la vie privée et la protection des données à caractère personnel. Cet article a également été contesté devant le Tribunal de première instance (6). Un pourvoi sur des questions de droit est actuellement pendant devant la Cour de justice (7). Le CEPD invite le législateur communautaire à clarifier l'article 105, paragraphe 4, de la proposition en ce qui concerne les préjudices envisagés, susceptibles de porter atteinte à la protection des données à caractère personnel dans le contexte de la politique commune de la pêche et sur les conséquences que cela aurait par rapport à l'accès du public ou à d'autres situations concernées par cette disposition.

15. Le CEPD suggère que le législateur communautaire précise également la relation entre le paragraphe 4 et le paragraphe 6 de l'article 105. Bien que l'un semble concerner l'accès du public et ses éventuelles restrictions et l'autre, les actions et procédures en justice, le libellé ne permet pas d'établir nettement une distinction. Il convient d'apporter des éclaircissements.

16. Sans préjudice de l'applicabilité de la directive 95/46/CE et du règlement (CE) no 45/2001, le CEPD reconnaît que les dérogations et les restrictions à la protection des données à caractère personnel peuvent être appliquées en conformité avec l'article 13 de la directive 95/46/CE (8). Toutefois, le CEPD souhaiterait que le législateur communautaire mentionne les cas particuliers pouvant donner lieu à ces dérogations et qu'il précise les situations dans lesquelles ce type d'utilisation des données peut se produire, si cela peut présenter un intérêt en l'espèce.

IV. BASES DE DONNÉES ÉLECTRONIQUES NATIONALES

17. L'article 102, paragraphe 3, de la proposition dispose: «Les États membres mettent en place une base de données informatique pour le système de validation visé au paragraphe 1 en tenant compte du principe de la qualité des données applicable aux bases de données informatiques» (9). Le CEPD constate avec satisfaction que l'article 102 de la proposition applique le principe de la qualité des données (10) lorsque les États membres mettent en place une base de données informatique qui permet d'identifier les navires de pêche ou les opérateurs qui ont à plusieurs reprises communiqués des données incohérentes, ainsi que de corriger les entrées erronées.

18. Le premier exemple de mise en œuvre du principe de la qualité des données concerne les caractéristiques nécessaires du système informatique. Aux termes de l'article 102, paragraphe 1, le système informatique comprend des procédures de contrôle de la qualité de toutes les données enregistrées conformément au règlement, des contrôles croisés, une analyse et la vérification de toutes les données enregistrées conformément au règlement, des procédures de contrôle du respect des délais fixés pour la transmission de toutes les données enregistrées conformément au règlement. Comme autre exemple de l'application du principe de qualité des données, il convient de citer l'article 102, paragraphe 2, qui précise que le système de validation permet la détection immédiate des incohérences dans les données correspondantes, ainsi que leur suivi. Le CEPD considère que le suivi devrait consister à supprimer les incohérences et les données obsolètes. C'est pourquoi il faudrait mettre en place une forme de contrôle automatique de la durée de conservation des données afin d'éviter que des incohérences restent dans le système.

19. On peut trouver une autre raison d'insister sur le respect du principe de la qualité des données à l'article 103, qui traite de la communication des données de la base de données informatique. Cet article prévoit que la Commission dispose d'un accès direct et en temps réel, à tout moment et sans préavis, à la base de données informatique de chaque État membre. L'objectif de l'ouverture de cet accès à la Commission est précisément de permettre à celle-ci de contrôler la qualité des données.

20. Toutefois, l'article 103 dispose également que la Commission a la possibilité de télécharger ces données pour n'importe quelle période et n'importe quel nombre de navires. À cet égard, le CEPD invite le législateur communautaire à envisager l'introduction de règles supplémentaires relatives au contrôle des informations téléchargées par les fonctionnaires de la Commission, qui seront conformes à l'objectif du règlement. Cet accès à l'information devrait respecter les limites du règlement lui-même.

21. Un autre élément devrait être pris en considération dans ce contexte: il s'agit du fait qu'il n'est pour l'instant pas fait mention d'une durée précise de conservation des données figurant dans la base de données informatique. Toutefois, l'article 108 de la proposition prévoit que la base de données informatique fait partie des bases de données accessibles dans la partie sécurisée des sites web nationaux. En ce qui concerne cette partie sécurisée, il est prévu une durée de conservation des données (minimum trois ans). Compte tenu des observations formulées ci-après au sujet de la période de conservation des données dans la partie sécurisée des sites web nationaux (titre V ci-dessous), le législateur communautaire devrait également prévoir des règles concernant la durée de conservation, au niveau national, des données qui ne devraient être stockées qu'aussi longtemps qu'elles sont nécessaires aux fins de ce règlement et ensuite supprimées. Cette disposition serait conforme à l'article 6, point e), de la directive 95/46/CE et à l'article 4, point e), du règlement (CE) no 45/2001.

22. Par ailleurs, dans des cas semblables au cas présent, la Commission peut être amenée à traiter des données (et parfois des données à caractère personnel) qui entraîneraient l'applicabilité du règlement (CE) no 45/2001 à l'égard de ces traitements. Le contrôle exercé par la Commission sur l'utilisation de ces données par ses services peut entraîner la nécessité d'un contrôle préalable de la part du CEPD sur la base de l'article 27 du règlement (CE) no 45/2001 (11). Le CEPD invite la Commission à examiner l'éventuelle nécessité de soumettre une notification en vue d'un contrôle préalable.

V. SITES WEB NATIONAUX

23. L'article 106 concerne la création par chaque État membre d'un site web officiel accessible par Internet et composé d'une partie accessible au public et d'une partie sécurisée. En ce qui concerne la partie sécurisée du site web, l'article 108 de la proposition établit les principes relatifs à différents points: les listes et les bases de données qu'elle contient (paragraphe 1); les échanges directs d'informations avec les autres États membres, la Commission ou l'organisme désigné par celle-ci (paragraphe 2); l'accès à distance ouvert à la Commission ou à l'organisme désigné par celle-ci (paragraphe 3); les utilisateurs des États membres, de la Commission ou de l'organisme désigné par celle-ci, auxquels l'accès aux données est octroyé (paragraphe 4) et la période de conservation (minimum de trois ans) des données (paragraphe 5).

24. Le CEPD souhaite attirer l'attention du législateur communautaire sur les articles 25 et 26 de la directive 95/46/CE, qui concerne le transfert de données à caractère personnel vers les autorités de pays tiers. L'article 108, paragraphe 2, de la proposition prévoit que chaque État membre, dans la partie sécurisée de son site web, met en place un système d'information national sur les pêches permettant des échanges directs d'informations par voie électronique avec les autres États membres, la Commission ou l'organisme désigné par celle-ci visé à l'article 109. Or, l'article 109 ne mentionne pas de liste d'utilisateurs désignés, mais souligne que les autorités chargées de la mise en œuvre du règlement dans les États membres coopèrent entre elles, ainsi qu'avec les autorités des pays tiers et avec la Commission et l'organisme désigné par celle-ci, afin d'assurer le respect des dispositions du règlement.

25. Selon le CEPD, il existe une certaine contradiction entre le contenu de l'article 108, paragraphe 2, et l'article 109, en ce qui concerne les autorités des pays tiers. En premier lieu, il est dit que les autorités des pays tiers coopèrent avec les États membres, mais l'article 108 ne fait aucune mention de ces autorités. Ensuite, le CEPD souhaite souligner que, si des transferts d'informations vers des pays tiers sont envisagés dans le cadre de cette coopération, les articles 25 et 26 de la directive 95/46/CE devront être respectés, notamment l'exigence que le pays tiers garantisse un niveau de protection adéquat.

26. En ce qui concerne l'accès à distance (paragraphe 3) ouvert par l'État membre aux fonctionnaires de la Commission, le CEPD note avec satisfaction que celui-ci s'effectue sur la base de certificats électroniques délivrés par la Commission ou par l'organisme désigné par celle-ci.

27. Le CEPD note avec satisfaction que le paragraphe 4 précise que les utilisateurs des données sont soumis au principe de limitation de la finalité et aux règles de confidentialité: l'accès aux données n'est octroyé qu'à des utilisateurs agréés à cette fin et en limitant l'accès aux données dont ils ont besoin pour effectuer les tâches et activités visant à assurer le respect des règles de la politique commune de la pêche.

28. Le CEPD estime que la durée de conservation (paragraphe 5) devrait être établie avec plus de précision en fixant une durée maximale de conservation (au lieu d'une durée minimale seulement). Par ailleurs, le législateur communautaire pourrait également envisager l'élaboration d'un ensemble minimal de règles en vue de garantir l'interopérabilité et d'autres aspects du système en matière de sécurité, éventuellement en utilisant les mécanismes prévus par la proposition (article 111). Cette remarque est également liée au point 21 du présent avis, en ce qui concerne la conservation dans la base de données informatique (voir ci-dessus).

VI. PROCÉDURE DE COMITOLOGIE

29. Plusieurs articles de la proposition renvoient à son article 111, qui met en œuvre une procédure de comitologie (par l'intermédiaire du comité de la pêche et de l'aquaculture). Même si plusieurs des références faites à l'article 111 tout au long de la proposition concernent des aspects techniques, certaines d'entre elles portent sur des aspects liés à la protection des données. Par exemple: — l'article 103 relatif à la communication des données prévoit que les États membres s'assurent que la Commission dispose d'un accès direct et en temps réel, à tout moment et sans préavis, à la base de données informatique visée à l'article 102. La Commission a la possibilité de télécharger ces données pour n'importe quelle période et n'importe quel nombre de navires. Les modalités d'application de ces articles, en particulier l'établissement d'un format harmonisé pour le téléchargement des données visées à l'article 102, sont adoptées conformément à la procédure de comitologie; — l'article 109 prévoit que la coopération administrative des États membres (entre États membres et avec la Commission) est adoptée selon la procédure de comitologie. — une autre référence à la procédure de comité figure à l'article 70 relatif à la liste des inspecteurs communautaires établie par la Commission.

30. Le CEPD comprend que la mise en œuvre de ces articles dépendra de l'adoption de règles spécifiques conformément à la procédure prévue à l'article 111 de la proposition. Compte tenu de l'incidence que peuvent avoir ces règles détaillées sur la protection des données, le CEPD considère qu'il devrait être consulté avant l'adoption de ces règles détaillées.

VII. CONCLUSIONS

31. Le CEPD a pris note de l'initiative visant à instituer un régime communautaire de contrôle, de suivi, de surveillance, d'inspection et d'application des règles de la politique commune de la pêche.

32. Le CEPD se félicite que la proposition fasse référence au respect de la vie privée et à la protection des données. Toutefois, comme cela a été expliqué plus haut, il convient d'apporter quelques modifications afin de formuler des exigences précises pour que les États membres aussi bien que la Commission tiennent compte des aspects de ce régime de contrôle liés à la protection des données.

33. Les observations formulées dans le présent avis qu'il convient de prendre en considération sont les suivantes: — le réexamen de l'article 104, paragraphe 2, afin d'y inclure toute donnée à caractère personnel, et pas seulement le nom des personnes physiques. — le réexamen de l'article 105, paragraphes 4 et 6, relatifs à la confidentialité et au secret professionnel ou commercial, de façon à clarifier les cas particuliers auxquels s'appliquent ces paragraphes; — l'introduction à l'article 103 de règles supplémentaires concernant le contrôle exercé sur les informations téléchargées par les fonctionnaires de la Commission; — l'établissement d'une durée précise de conservation des données dans les bases de données électroniques nationales et sur les sites web nationaux; — le respect des procédures concernant le transfert de données à caractère personnel vers des pays tiers; — la consultation du CEPD lors du recours à la procédure visée à l'article 111.

Fait à Bruxelles, le 4 mars 2009. Peter HUSTINX Contrôleur européen de la protection des données

(1) Règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, JO L 8 du 12.1.2001, p. 1.

(2) JO L 358 du 31.12.2002, p. 59.

(3) Directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, JO L 281 du 23.11.1995, p. 31.

(4) Définies, à l'article 2, point a), de la directive 95/46/CE comme «toute information concernant une personne physique identifiée ou identifiable». Cela comprend également par exemple les informations concernant le comportement d'une personne et toute mesure prise à son égard.

(5) Voir par exemple l'avis du Contrôleur européen de la protection des données sur la proposition de règlement relatif à l'accès du public aux documents du Parlement européen, du Conseil et de la Commission, 30 juin 2008, sur le site du CEPD.

(6) Arrêt du 8 novembre 2007, dans l'affaire T-194/04 Bavarian Lager contre Commission. Deux autres affaires sont toujours pendantes concernant cette même question.

(7) Affaire pendante C-28/08 P, Commission contre Bavarian Lager, JO C 79 du 29.3.2008, p. 21.

(8) Voir également l'article 20 du règlement (CE) no 45/2001.

(9) Correction d'une erreur dans le texte anglais («… is applicable»).

(10) Voir, de façon plus générale, l'article 6 de la directive 95/46/CE.

(11) L'article 27, paragraphe 1, du règlement (CE) no 45/2001 prévoit le contrôle préalable des «traitements susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées du fait de leur nature, de leur portée ou de leurs finalités». L'article 27, paragraphe 2, précise un certain nombre de situations, dont a) le traitement de données relatives à des suspicions et b) les traitements destinés à évaluer des aspects de la personnalité des personnes concernées.