Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2022/C 258/06)

Le 22 mars 2022, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union (la «proposition»).

Le CEPD se félicite de l’objectif de la proposition qui vise à améliorer la sécurité des informations traitées par les institutions de l’Union, en établissant des règles communes en matière de sécurité de l’information et en favorisant une culture cohérente de la sécurité de l’information dans un instrument juridique spécifique.

Le CEPD observe que la sécurité des données à caractère personnel, telle que prescrite par le RPDUE, a une portée qui n’empiète que partiellement sur celle de la sécurité de l’information prévue par la proposition. Cette dernière porte sur la confidentialité des informations, tandis que le RPDUE garantit également l’intégrité et la disponibilité. En outre, les dispositions relatives à la sécurité des données à caractère personnel du RPDUE traitent spécifiquement des risques pour les droits et libertés des personnes physiques.

La proposition exige des institutions de l’Union qu’elles adoptent des mesures de sécurité de l’information, qui impliqueront inévitablement le traitement de données à caractère personnel et de données de communications électroniques, notamment des données relatives au trafic. Le CEPD estime qu’il convient de mettre en évidence le fait que toutes les mesures de sécurité de l’information impliquant le traitement de données à caractère personnel devraient se conformer au cadre juridique actuel en matière de protection des données et de la vie privée et que les institutions de l’Union devraient prendre les garanties techniques et organisationnelles nécessaires pour garantir ce respect de manière responsable.

Afin de garantir la sécurité juridique et la prévisibilité, ainsi que le respect du RPDUE, le CEPD recommande vivement que la proposition, ou à tout le moins un acte délégué qui sera adopté ultérieurement par la Commission, définisse clairement les activités de traitement de données à caractère personnel autorisées aux fins du présent règlement. Le CEPD attire également l’attention sur la nécessité de veiller au respect des dispositions du RPDUE relatives aux transferts de données à caractère personnel vers des pays tiers et des organisations internationales. En outre, le CEPD recommande d’expliquer dans un considérant que toutes les dispositions du RPDUE s’appliqueront, y compris les règles relatives aux transferts internationaux.

Le CEPD souligne l’importance d’intégrer la dimension de la protection de la vie privée et des données dans la gestion de la sécurité de l’information, pour créer des synergies positives entre la proposition et la législation relative à la protection des données et de la vie privée, et fournit des recommandations spécifiques sur la manière de créer de telles synergies, y compris: l’obligation spécifique pour les fonctionnaires de l’Union chargés de la sécurité de l’information de coopérer étroitement avec le délégué à la protection des données désigné conformément à l’article 43 du RPDUE; l’intégration du chiffrement de bout en bout dans la liste des mesures de sécurité minimales de la proposition, le cas échéant, et en particulier dans le cadre de l’échange d’informations sensibles non classifiées; et la promotion d’une procédure intégrée de gestion des risques liés à la sécurité de l’information et de traitement des incidents qui à la fois garantisse la sécurité de l’information et satisfasse aux obligations en matière de protection des données s’agissant des notifications de violations des données.

1. INTRODUCTION

1. Le 22 mars 2022, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à la sécurité de l’information dans les institutions, organes et organismes de l’Union (1) (la «proposition»).

2. Le même jour, la Commission européenne a adopté une autre proposition de règlement établissant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans les institutions, organes et organismes de l’Union (2) (la «proposition sur la cybersécurité»).

3. Ces deux propositions avaient été envisagées dans la stratégie de cybersécurité de l’UE pour la décennie numérique présentée le 16 décembre 2020 (3) (la «stratégie»). La stratégie visait principalement à renforcer l’autonomie stratégique de l’Union dans les domaines de la cybersécurité et à améliorer sa résilience et sa réponse collective, ainsi qu’à construire un internet ouvert et mondial doté de solides garde-fous pour faire face aux risques pour la sécurité et les libertés et droits fondamentaux des citoyens en Europe (4).

4. La proposition constitue l’une des initiatives réglementaires de la stratégie, en particulier dans le domaine de la cybersécurité des institutions, organes et organismes de l’UE (les «institutions de l’Union»). Selon la stratégie, l’objectif de la proposition est double: — faciliter l’interopérabilité des systèmes d’informations classifiées, en permettant un transfert sans heurts d’informations entre les différentes entités, et — permettre une approche interinstitutionnelle du traitement des informations classifiées et des informations sensibles non classifiées de l’UE, qui pourrait également servir de modèle d’interopérabilité entre les États membres, en indiquant que l’UE devrait également développer sa capacité à communiquer de manière sécurisée avec les partenaires concernés, en s’appuyant, dans la mesure du possible, sur les modalités et procédures existantes.

5. Le CEPD fait observer que l’objet de la proposition en question est également directement lié à celui de la proposition de directive du Parlement européen et du Conseil concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union, abrogeant la directive (UE) 2016/1148 (la «proposition SRI 2.0»). Le CEPD rappelle qu’il a publié l’avis 5/2021 sur la stratégie en matière de cybersécurité (5) et la directive SRI 2.0 (l’«avis SRI 2.0») (6). C’est pourquoi le présent avis fera référence à l’avis SRI 2.0.

6. Selon l’exposé des motifs de la proposition, en raison des volumes toujours plus conséquents d’informations sensibles non classifiées (les «ISNC») et d’informations classifiées de l’Union européenne (les «ICUE») que les institutions de l’Union doivent se partager, et compte tenu de l’évolution spectaculaire des menaces, l’administration européenne est exposée à des attaques dans tous ses domaines d’activité. Les informations traitées par les institutions de l’Union intéressent au plus haut point les acteurs malveillants, et elles doivent être correctement protégées.

7. Selon l’exposé des motifs, la proposition devrait: — définir des catégories d’informations exhaustives et harmonisées, ainsi que des règles communes à toutes les institutions de l’Union; — établir un système rationalisé de coopération entre les institutions de l’Union dans le domaine de la sécurité de l’information, capable de favoriser une culture cohérente de la sécurité de l’information dans l’ensemble de l’administration européenne; — moderniser les politiques en matière de sécurité de l’information à tous les niveaux de classification/de catégorisation, pour l’ensemble des institutions de l’Union, en tenant compte de la transformation numérique et du développement du télétravail en tant que pratique structurelle.

8. Le 22 mars 2022, la Commission a consulté le Contrôleur européen de la protection des données conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725 du Parlement européen et du Conseil (le «RPDUE») (7). Les observations et recommandations contenues dans le présent avis se limitent aux dispositions les plus pertinentes de la proposition du point de vue de la protection des données et de la vie privée.

4. CONCLUSIONS

31. À la lumière des considérations qui précèdent, le CEPD émet les recommandations principales suivantes: — le CEPD recommande vivement que la proposition définisse clairement les activités de traitement des données à caractère personnel qui sont autorisées aux fins du présent règlement, y compris: la ou les finalités du traitement; les catégories de données à caractère personnel; les catégories de personnes concernées; la définition des rôles le cas échéant (responsable du traitement, sous-traitant, responsables conjoints du traitement), les durées de conservation, les destinataires en cas de transmission à des entités qui ne font pas l’objet du RPDUE. Le CEPD estime que ces éléments devraient être explicitement prévus dans la proposition ou, à tout le moins, dans un acte délégué qui sera adopté ultérieurement par la Commission. La proposition devrait prévoir une telle délégation. — le CEPD recommande d’expliquer dans un considérant que toutes les dispositions du RPDUE s’appliqueront, y compris les règles relatives aux transferts internationaux. Le considérant 6 peut également être utilisé pour inclure toute autre recommandation générale sur la protection des données formulée dans le présent avis qui ne vise pas à modifier les dispositions de fond. — le CEPD recommande vivement d’inclure le chiffrement de bout en bout dans la liste des mesures de sécurité minimales de la proposition, le cas échéant, et en particulier lors de l’échange d’informations sensibles non classifiées. — le CEPD recommande d’ajouter à l’article 5, paragraphe 3, que, parmi les facteurs pris en considération dans le processus de gestion des risques liés à la sécurité de l’information, les menaces découlant de l’accès fondé sur la juridiction de pays tiers (par exemple, par leurs pouvoirs publics) doivent également être prises en considération. — le CEPD recommande vivement d’expliquer dans un considérant pertinent les avantages que présentent une procédure intégrée de gestion des risques liés à la sécurité de l’information et de traitement des incidents qui à la fois garantisse la sécurité de l’information et satisfasse aux obligations en matière de protection des données s’agissant des notifications de violations des données. — le CEPD recommande vivement que la proposition prévoie l’obligation spécifique pour les fonctionnaires de l’UE chargés de la sécurité de l’information de coopérer étroitement avec le délégué à la protection des données désigné conformément à l’article 43 du RPDUE, dans le cadre d’activités telles que l’application de la protection des données dès la conception et par défaut aux mesures de sécurité de l’information, la sélection de mesures de sécurité impliquant le traitement de données à caractère personnel, la gestion intégrée des risques et le traitement intégré des incidents de sécurité.

Bruxelles, le 17 mai 2022. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 119 final.

(2) COM(2022) 122 final.

(3) Stratégie de cybersécurité de l’UE pour la décennie numérique | «Façonner l’avenir numérique de l’Europe» (europa.eu), qui inclut une communication conjointe avec le haut représentant de l’Union pour les affaires étrangères et la politique de sécurité [JOIN(2020)18].

(4) Voir chapitre I. INTRODUCTION, page 4 de la stratégie.

(5) Communication conjointe de la Commission européenne et du haut représentant de l’Union pour les affaires étrangères et la politique de sécurité au Parlement européen et au Conseil, intitulée «La stratégie de cybersécurité de l’UE pour la décennie numérique».

(6) Avis 5/2021 du CEPD sur la stratégie en matière de cybersécurité et la directive SRI 2.0.

(7) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).