67.

À ce stade, le CEPD souhaiterait souligner une nouvelle fois, en rappelant l'avis qu'il a rendu au sujet de la décision-cadre relative à la protection des données à caractère personnel, l'importance de disposer, dans le cas de la coopération en matière pénale, de règles cohérentes et exhaustives dans le domaine de la protection des données qui s'appliquent à tous les traitements. Le CEPD rappelle aussi les autres observations qu'il a formulées dans cet avis. Nous reviendrons ici sur les questions relatives à la protection des données: — Licéité du traitement des données à caractère personnel. Le CEPD est favorable au principe selon lequel les informations ne peuvent être traitées comme des informations disponibles que si elles ont été collectées légalement (comme le précise l'article 2, paragraphe 2, en ce qui concerne les informations collectées en recourant à des mesures coercitives). La licéité du traitement des données à caractère personnel garantirait également que les informations rendues disponibles et échangées peuvent aussi être valablement utilisées dans une procédure judiciaire. En effet, même si les informations traitées après l'engagement de poursuites n'entrent pas dans le champ d'application de l'instrument proposé, il est probable que les informations préalablement échangées par les autorités répressives se retrouvent finalement dans la procédure judiciaire. — La qualité des données à caractère personnel revêt une importance particulière dès lors que, selon le principe de disponibilité, les informations seront utilisées par des autorités répressives qui opèrent en dehors du cadre dans lequel les données ont été recueillies. Ces autorités disposent même d'un accès direct aux bases de données des autres États membres. La qualité des données à caractère personnel ne peut être garantie que si leur exactitude est régulièrement et correctement vérifiée, si les informations sont différenciées en fonction des catégories de personnes concernées (victimes, suspects, témoins, etc.) et si, le cas échéant, le degré d'exactitude est indiqué (voir avis du CEPD sur la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale, point IV.6). Cela montre une nouvelle fois pourquoi les règles relatives à la protection des données et, en particulier celles concernant leur exactitude, devraient s'appliquer à tous les types de traitements, y compris aux traitements nationaux. Sinon, les données à caractère personnel qui sont directement accessibles pourraient être incorrectes, obsolètes et, par conséquent, affecter les droits des personnes concernées et l'efficacité des enquêtes. — Limitation de la finalité. Conformément au principe de disponibilité, les données à caractère personnel sont accessibles aux autorités compétentes équivalentes des autres États membres. Toutefois, les compétences des autorités répressives peuvent fortement varier d'un pays à l'autre. Il est donc essentiel de veiller à ce que le principe fondamental de limitation de la finalité soit respecté malgré les différences qui existent dans la portée des compétences des autorités compétentes qui échangent des données. Les informations recueillies et traitées par une autorité pour une finalité particulière ne peuvent ensuite être utilisées pour une finalité différente uniquement parce que l'autorité réceptrice a des compétences différentes, éventuellement plus larges. Le CEPD juge donc intéressant l'article 7 de la proposition de décision-cadre, qui précise en fait les règles générales énoncées dans la proposition de décision-cadre relative à la protection des données à caractère personnel. Le CEPD note en outre que l'évaluation de l'équivalence entre les différentes autorités (qui, dans la proposition à l'examen, relève d'une procédure de comité) devrait être réalisée avec soin et dans le respect du principe de limitation de la finalité. — Les délais prévus pour la conservation des informations échangées doivent également être considérés à la lumière du principe de limitation de la finalité. Les informations auxquelles on accède ou que l'on échange dans un but déterminé devraient être supprimées dès qu'elles ne sont plus nécessaires à cet effet. Cela éviterait une duplication inutile des bases de données, tout en permettant aux autorités compétentes d'avoir à nouveau accès aux informations disponibles (actualisées) au cas où cela serait nécessaire pour une autre finalité légitime. — Inscription dans un registre (logging) des informations transmises conformément au principe de disponibilité. Cette inscription devrait avoir lieu aussi bien dans l'État membre requis que dans l'État membre requérant. Il faudrait tenir des registres des échanges, mais également des registres des accès (voir avis du CEPD sur la protection des données à caractère personnel, point 133), y compris afin que les autorités compétentes nationales se fassent confiance et ne perdent pas totalement le contrôle sur les informations disponibles. La nécessité de conserver une trace documentaire va de pair avec la possibilité d'actualiser et/ou de corriger les informations. — Droits des personnes concernées. Les systèmes d'échange d'informations entre les autorités répressives de l'UE augmentent le nombre de cas où des données à caractère personnel sont (provisoirement) traitées simultanément par des autorités compétentes dans différents États membres. Il faudrait donc, d'une part, que soient établies des normes communes de l'UE concernant les droits des personnes concernées et, d'autre part, que ces dernières puissent exercer leurs droits, dans la mesure où les règles de protection des données relevant du troisième pilier les y autorisent, tant à l'égard des autorités qui rendent les données disponibles qu'à l'égard des autorités qui y ont accès et qui les traitent. — Contrôle. Le CEPD fait observer que, suivant le cas, plusieurs autorités nationales de contrôle peuvent être compétentes pour surveiller le traitement de données à caractère personnel réalisé sur la base des propositions à l'examen. Dans ces conditions, l'accès direct en ligne à des informations en matière répressive nécessite une surveillance et une coordination renforcées des autorités nationales compétentes en matière de protection des données.