FR Journal officiel de l'Union européenne C 170/2

Résumé de l’avis du contrôleur européen de la protection des données sur huit mandats de négociation en vue de la conclusion d’accords internationaux autorisant l’échange de données entre Europol et des pays tiers

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site internet du CEPD www.edps.europa.eu)

(2018/C 170/02)

1. INTRODUCTION ET CONTEXTE

Le règlement Europol (1) fixe des règles spécifiques concernant les transferts de données effectués par Europol en dehors de l’Union européenne. Son article 25, paragraphe 1, énumère un certain nombre de fondements juridiques sur lesquels Europol pourrait s’appuyer pour transférer en toute légalité des données aux autorités de pays tiers. L’un de ces fondements serait une décision d’adéquation de la Commission adoptée conformément à l’article 36 de la directive (UE) 2016/680 du Parlement européen et du Conseil (2), selon laquelle le pays tiers vers lequel Europol transfère des données assure un niveau de protection adéquat. Étant donné qu’il n’existe pas actuellement de telles décisions d’adéquation, un autre fondement sur lequel Europol pourrait s’appuyer pour transférer régulièrement des données vers un pays tiers serait un cadre approprié résultant de la conclusion d’un accord international contraignant entre l’Union européenne et le pays tiers destinataire.

Le 20 décembre 2017, la Commission a adopté huit recommandations (3) de décisions du Conseil autorisant l’ouverture de négociations en vue d’accords internationaux entre l’Union européenne et huit pays tiers de la région du Proche-Orient et de l’Afrique du Nord (MENA), à savoir l’Algérie, l’Égypte, Israël, la Jordanie, le Liban, le Maroc, la Tunisie et la Turquie. Ces accords internationaux constitueraient le cadre juridique nécessaire à l’échange de données à caractère personnel entre Europol et les autorités de ces pays tiers compétentes pour lutter contre les formes graves de criminalité et le terrorisme.

La Commission estime qu’il est nécessaire de renforcer la coopération entre Europol et ces huit pays compte tenu de la stratégie politique de l’Union européenne exposée dans le programme européen en matière de sécurité (4), les conclusions du Conseil (5) et la stratégie globale pour la politique étrangère et de sécurité de l’Union européenne (6), ainsi que des besoins opérationnels d’Europol et des autorités répressives dans l’ensemble de l’Union européenne. Ces huit pays tiers ont également été identifiés dans le onzième rapport sur les progrès accomplis dans la mise en place d’une union de la sécurité réelle et effective (7). La coopération avec les pays de la région MENA est envisagée dans le contexte de la région prise dans son ensemble (8). L’instabilité qui règne actuellement dans cette région, notamment la situation en Syrie et en Iraq, fait peser sur la sécurité de l’Union européenne une importante menace à long terme. Cela concerne tant la lutte efficace contre le terrorisme et la criminalité organisée qui s’y rapporte que les problèmes liés aux migrations tels que l’aide à l’immigration irrégulière et la traite des êtres humains. La coopération avec les autorités répressives locales est également cruciale pour venir à bout de ces problèmes.

Conformément à la procédure prévue à l’article 218 du traité sur le fonctionnement de l’Union européenne (TFUE), la Commission sera chargée de négocier ces accords internationaux avec les pays tiers au nom de l’Union européenne. Avec ces huit recommandations, la Commission cherche à obtenir l’autorisation du Conseil de l’Union européenne (Conseil) pour entamer les négociations avec les huit pays tiers concernés. Une fois les négociations terminées et en vue de conclure formellement ces accords, le Parlement européen devra approuver les textes des accords négociés, tandis que le Conseil devra signer les accords.

5. CONCLUSION

Le CEPD se félicite de l’attention accordée à la protection des données dans les annexes des recommandations de la Commission du 20 décembre 2017 qui constitueront le mandat de la Commission pour négocier, au nom de l’Union européenne, les accords internationaux respectifs avec chacun des huit pays de la région MENA pour lesquels une coopération avec Europol est envisagée.

La nécessité et la proportionnalité des accords internationaux envisagés pour autoriser Europol à transférer régulièrement des données aux autorités compétentes des huit pays tiers en question doivent faire l’objet d’une évaluation approfondie afin de garantir le respect de l’article 52, paragraphe 1, de la charte. Pour permettre une telle évaluation en profondeur et au cas par cas, le CEPD recommande de restreindre et de différencier davantage les besoins de transfert en fonction de la situation particulière de chaque pays tiers et de la réalité sur le terrain. Le champ d’application de chaque accord international et les finalités des transferts vers chaque pays tiers devraient être précisés en conséquence dans les annexes. Le CEPD recommande de réaliser de nouvelles analyses d’impact afin de mieux évaluer les risques que présentent les transferts de données vers ces pays tiers pour les droits des personnes physiques au respect de la vie privée et à la protection des données, mais aussi pour les autres libertés et droits fondamentaux garantis par la charte, de manière à définir précisément les garanties nécessaires.

Le CEPD note que, conformément à l’article 25, paragraphe 1, point b), du règlement Europol, Europol pourrait transférer régulièrement des données vers un pays tiers en concluant un accord international contraignant entre l’Union européenne et le pays tiers destinataire, à condition qu’un tel accord offre des garanties suffisantes. Le CEPD estime que l’«offre de garanties suffisantes» au sens du règlement Europol implique que les accords internationaux conclus avec les pays tiers:

— garantissent que les pays tiers destinataires respectent pleinement l’article 8 de la charte, en particulier le principe de limitation de la finalité, le droit d’accès, le droit de rectification et le contrôle par une autorité indépendante expressément prévue par la charte,

— se conforment à l’avis 1/15 de la CJUE en veillant à ce que le niveau de protection résultant de ces accords soit essentiellement équivalent au niveau de protection offert par le droit de l’Union,

— appliquent mutatis mutandis les critères énoncés au considérant 71 de la directive (UE) 2016/680, à savoir le fait que les transferts de données à caractère personnel sont soumis à des obligations de confidentialité, le principe de spécificité et le fait que les données à caractère personnel ne seront pas utilisées pour demander, prononcer ou mettre à exécution une condamnation à la peine de mort ou toute forme de traitement cruel et inhumain,

— reprennent les garanties spécifiques prévues dans le règlement Europol, telles que les limitations spécifiées par les fournisseurs d’informations, et

— appliquent des garanties essentielles dans le cadre des enquêtes pénales et prévoient des garanties qui tiennent compte, au cas par cas, des risques prévisibles que les transferts vers ces pays tiers pourraient présenter au regard d’autres libertés et droits fondamentaux.

Outre ces recommandations générales, les recommandations et observations formulées par le CEPD dans le présent avis portent sur les aspects spécifiques suivants des futurs accords internationaux à négocier avec les pays de la région MENA dans le cadre des mandats de négociation:

— les principes de limitation et de détermination des finalités des transferts de données effectués par Europol,

— les transferts ultérieurs effectués par les autorités compétentes des pays tiers en question,

— les limitations du traitement des informations transmises par Europol aux autorités compétentes des pays tiers,

— la surveillance par une autorité indépendante dans les pays tiers,

— les droits des personnes concernées,

— le transfert de catégories particulières de données aux autorités compétentes des pays tiers,

— la conservation des données transférées par Europol, et

— la possibilité de suspendre et de dénoncer les accords internationaux en cas de violation de leurs dispositions.

Fait à Bruxelles, le 14 mars 2018. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI (JO L 135 du 24.5.2016, p. 53), ci-après le «règlement Europol».

(2) Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (JO L 119 du 4.5.2016, p. 89).

(3) Recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et le Royaume hachémite de Jordanie sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités jordaniennes compétentes pour lutter contre les formes graves de criminalité et le terrorisme, COM(2017) 798 final; recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et la République de Turquie sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités turques compétentes pour lutter contre les formes graves de criminalité et le terrorisme, COM(2017) 799 final; recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et la République libanaise sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités libanaises compétentes pour lutter contre les formes graves de criminalité et le terrorisme, COM(2017) 805 final; recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et l’État d’Israël sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités israéliennes compétentes pour lutter contre les formes graves de criminalité et le terrorisme, COM(2017) 806 final; recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et la Tunisie sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités tunisiennes compétentes pour lutter contre les formes graves de criminalité et le terrorisme, COM(2017) 807 final; recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et le Royaume du Maroc sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités marocaines compétentes pour lutter contre les formes graves de criminalité et le terrorisme, COM(2017) 808 final; recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et la République arabe d’Égypte sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités égyptiennes compétentes pour lutter contre les formes graves de criminalité et le terrorisme, COM(2017) 809 final; recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et la République algérienne démocratique et populaire sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités algériennes compétentes pour lutter contre les formes graves de criminalité et le terrorisme, COM(2017) 811 final.

(4) Communication de la Commission du 28 avril 2015 au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions — Le programme européen en matière de sécurité, COM(2015) 185 final.

(5) Conclusions du Conseil du 19 juin 2017 sur l’action extérieure de l’Union européenne en matière de lutte contre le terrorisme, document 10384/17.

(6) Vision partagée, action commune: Une Europe plus forte — Une stratégie globale pour la politique étrangère et de sécurité de l’Union européenne, disponible à l’adresse: https://europa.eu/globalstrategy/sites/globalstrategy/files/eugs_fr_version.pdf

(7) Communication de la Commission du 18 octobre 2017 au Parlement européen, au Conseil européen et au Conseil — Onzième rapport sur les progrès accomplis dans la mise en place d’une union de la sécurité réelle et effective, COM(2017) 608 final.

(8) Voir le mémorandum d’accord de toutes les recommandations de la Commission de décisions du Conseil déposées le 20 décembre 2017, à l’exception de celle concernant Israël.