À cet égard, l’article 16, paragraphe 2, du TFUE constitue la base juridique la plus appropriée. Il permet l’adoption de règles relatives à la protection des personnes physiques dans le cadre du traitement des données à caractère personnel par les États membres dans l’exercice d’activités relevant du champ d’application du droit de l’Union et de règles relatives à la libre circulation des données à caractère personnel.

La proposition vise à aligner les règles régissant la protection des données de la directive 2014/41/UE sur les principes et règles prévus par la directive en matière de protection des données dans le domaine répressif afin de mettre en place un cadre de protection des données solide et cohérent dans l’Union.

La Commission a exposé les résultats de son réexamen dans une communication intitulée «Marche à suivre en ce qui concerne la mise en conformité de l’acquis de l’ancien troisième pilier avec les règles en matière de protection des données» (24 juin 2020), qui mentionne dix actes juridiques qui devraient être alignés sur la directive et fixe un calendrier à cet effet. La liste comprend la directive 2014/41/UE du Parlement européen et du Conseil concernant la décision d’enquête européenne en matière pénale. La Commission a indiqué qu’elle présenterait des modifications ciblées à ladite directive au dernier trimestre de 2020; tel est l’objet de la présente proposition.

En vertu de l’article 62, paragraphe 6, de la directive en matière de protection des données dans le domaine répressif, la Commission était tenue de réexaminer, au plus tard le 6 mai 2019, d’autres actes juridiques adoptés par l’Union qui réglementent le traitement des données à caractère personnel par les autorités compétentes à des fins répressives, afin d’apprécier la nécessité de les mettre en conformité avec la directive et de formuler, le cas échéant, les propositions nécessaires en vue de modifier ces actes pour assurer une approche cohérente de la protection des données à caractère personnel dans le cadre de la directive.

La directive (UE) 2016/680 (directive en matière de protection des données dans le domaine répressif) est entrée en vigueur le 6 mai 2016 et les États membres avaient jusqu’au 6 mai 2018 pour la transposer en droit national. Elle a abrogé et remplacé la décision-cadre 2008/977/JAI du Conseil, mais elle constitue un instrument de protection des données beaucoup plus complet et plus général. Il est important de noter que la directive s’applique aux traitements nationaux et transfrontières de données à caractère personnel effectués par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces (article 1er, paragraphe 1).

La présente proposition garantit que tout traitement de données à caractère personnel au titre de la directive 2014/41/UE est soumis aux principes et règles «horizontaux» de la législation de l’UE en matière de protection des données, renforçant ainsi la mise en œuvre de l’article 8 de la charte. Cette législation vise à assurer un niveau élevé de protection des données à caractère personnel et à préciser que les principes et règles de la directive (UE) 2016/680 s’appliquant au traitement des données au titre de la directive auront une incidence positive en ce qui concerne les droits fondamentaux au respect de la vie privée et à la protection des données.

Le droit à la protection des données à caractère personnel est énoncé à l’article 8 de la charte des droits fondamentaux de l’Union européenne et à l’article 16 du TFUE. Ainsi que l’a souligné la Cour de justice de l’Union européenne, le droit à la protection des données à caractère personnel n’est pas absolu, mais doit être pris en considération par rapport à sa fonction dans la société. La protection des données est également étroitement liée au respect de la vie privée et familiale, tel que protégé par l’article 7 de la charte.

Lorsqu’elle a procédé au réexamen, la Commission a tenu compte d’une étude réalisée dans le cadre du projet pilote intitulé «Examen des instruments et programmes de collecte de données de l’UE sous l’angle des droits fondamentaux». L’étude a défini les actes de l’Union couverts par l’article 62, paragraphe 6, de la directive en matière de protection des données dans le domaine répressif et a recensé des dispositions susceptibles de nécessiter un alignement sur les questions de protection des données.

3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT

L’article 20 de la directive 2014/41/UE exige également que l’accès aux données à caractère personnel soit limité, sans préjudice des droits de la personne concernée, et que seules les personnes autorisées aient accès à ces données. La directive en matière de protection des données dans le domaine répressif et le RGPD établissent un cadre complet pour ce qui est des droits des personnes concernées et des obligations du responsable du traitement, y compris en ce qui concerne la protection des données dès la conception et par défaut, ainsi que la sécurité du traitement. Le deuxième alinéa de l’article 20 est donc redondant.

Étant donné que la directive en matière de protection des données dans le domaine répressif et le RGPD (chacun pour ce qui est de son champ d’application) s’appliquent au traitement de données à caractère personnel au titre de la directive 2014/41/UE, le traitement de ces données à des fins autres que celles pour lesquelles elles sont collectées sera effectué conformément à la directive en matière de protection des données dans le domaine répressif (article 4, paragraphe 2, et article 9, paragraphe 1) ou au RGPD (article 6, paragraphe 4). Aucune nouvelle disposition n’est nécessaire à cet effet.

En vertu de son article 2, paragraphe 1, la directive en matière de protection des données dans le domaine répressif s’applique au traitement de données à caractère personnel effectué par les autorités compétentes aux fins énoncées à son article 1er, paragraphe 1, à savoir la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution des sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Toutefois, la directive 2014/41/UE s’applique également à certains types de procédures non pénales – celles-ci sont régies par le RGPD.

L’article 1er supprime l’article 20 de la directive 2014/41/UE. Ce faisant, la présente proposition est limitée à ce qui est nécessaire pour traiter les points susmentionnés. L’article 20 exige que tout traitement de données à caractère personnel au titre de la directive soit conforme à la décision-cadre 2008/977/JAI du Conseil et aux principes énoncés dans la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (28 janvier 1981) et son protocole additionnel.

•Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information

modifiant la directive 2014/41/UE en ce qui concerne son alignement sur les règles de l’UE relatives à la protection des données à caractère personnel

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16, paragraphe 2,

vu la proposition de la Commission européenne,

après transmission du projet d’acte législatif aux parlements nationaux,

statuant conformément à la procédure législative ordinaire,

considérant ce qui suit:

(1)Conformément à l’article 62, paragraphe 6, de la directive (UE) 2016/680, la Commission réexamine d’autres actes juridiques adoptés par l’Union qui réglementent le traitement de données à caractère personnel par les autorités compétentes aux fins énoncées à l’article 1er, paragraphe 1, de ladite directive, afin d’apprécier la nécessité de les mettre en conformité avec ladite directive et de formuler, le cas échéant, les propositions nécessaires en vue de modifier ces actes pour assurer une approche cohérente de la protection des données à caractère personnel dans le cadre de ladite directive. Ce réexamen a permis de déterminer que la directive 2014/41/UE figurait parmi ces autres actes à modifier.

(2)Dans un souci de cohérence et de protection effective des données à caractère personnel, le traitement des données à caractère personnel au titre de la directive 2014/41/UE devrait, le cas échéant, respecter les règles énoncées dans la directive (UE) 2016/680. Le règlement (UE) 2016/679 devrait s’appliquer au traitement de données à caractère personnel dans le cadre des procédures visées à l’article 4, points b), c) et d), de la directive 2014/41/UE lorsqu’elles ne sont pas couvertes par la directive (UE) 2016/680.

(3)Conformément à l’article 1er, à l’article 2 et à l’article 4 bis, paragraphe 1, du protocole nº 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, et sans préjudice de l’article 4 dudit protocole, l’Irlande ne participe pas à l’adoption de la présente directive et n’est pas liée par celle-ci ni soumise à son application.

(4)Conformément aux articles 1er et 2 du protocole nº 22 sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption de la présente directive et n’est pas lié par celle-ci ni soumis à son application.

(5)Il y a donc lieu de modifier la directive 2014/41/UE en conséquence.

(6)Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42 du règlement (UE) 2018/1725 et a rendu un avis le XX XXXX,

ONT ADOPTÉ LA PRÉSENTE DIRECTIVE:

Article premier

Modifications de la directive 2014/41/UE

L’article 20 de la directive 2014/41/UE est supprimé.

Article 2

1.Les États membres mettent en vigueur les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à la présente directive au plus tard [un an après son adoption]. Ils communiquent immédiatement à la Commission le texte de ces dispositions.

Lorsque les États membres adoptent ces dispositions, celles-ci contiennent une référence à la présente directive ou sont accompagnées d’une telle référence lors de leur publication officielle. Les modalités de cette référence sont arrêtées par les États membres.