FR Journal officiel de l'Union européenne C 190/2

Avis du contrôleur européen de la protection des données sur la proposition de décision du Conseil relative à une position à prendre par l’Union au sein du comité mixte de coopération douanière UE-Japon concernant la reconnaissance mutuelle des programmes relatifs aux opérateurs économiques agréés dans l’Union européenne et au Japon

2010/C 190/02

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment son article 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (2), et notamment son article 41,

A ADOPTÉ L’AVIS SUIVANT:

I. INTRODUCTION

1. Le 19 février 2010, la Commission a adopté une proposition de décision du Conseil relative à une position à prendre par l’Union au sein du comité mixte de coopération douanière UE-Japon concernant la reconnaissance mutuelle des programmes relatifs aux opérateurs économiques agréés dans l’Union européenne et au Japon (3).

2. Le CEPD n’a pas été consulté, contrairement à ce qu’exige l’article 28, paragraphe 2, du règlement (CE) no 45/2001. L’avis est donc basé sur l’article 41, paragraphe 2, du même règlement. Le CEPD recommande qu’il soit fait référence à cet avis dans le préambule de la décision.

3. Le CEPD a détecté des insuffisances et un manque de clarté en ce qui concerne la protection des données à caractère personnel. Ces observations seront exposées au chapitre IV, après une description du contexte et de la genèse de la proposition au chapitre III.

II. CONSULTATION AVEC LE CEPD

4. Le CEPD a publié un document stratégique intitulé Le CEPD en tant que conseiller des institutions communautaires à l’égard des propositions de législation et documents connexes (4), décrivant son rôle consultatif. Ce rôle s’appuie sur les articles 28, paragraphe 2, et 41 du règlement (CE) no 45/2001. En outre, le considérant 17 du règlement énonce que: «L’efficacité de la protection des personnes à l’égard du traitement des données à caractère personnel dans l’Union présuppose la cohérence des règles et des procédures applicables en la matière aux activités relevant de différents cadres juridiques». En effet, la cohérence doit être considérée comme un élément indispensable en vue d’atteindre un degré élevé de protection des données à l’échelle européenne, qui englobe également l’action extérieure de l’Union.

5. Cette responsabilité étendue du CEPD a été reconnue par la Commission européenne, qui le consulte systématiquement concernant toutes les propositions entrant en ligne de compte, qu’elles concernent des instruments législatifs ou non législatifs. La mission de conseil du CEPD englobe «les questions concernant le traitement des données à caractère personnel». Cela suppose que toute législation comportant des dispositions sur le traitement des données à caractère personnel ou des dispositions qui ont un effet (ou un effet potentiel) sur un tel traitement doit faire l’objet d’une consultation. Il en va de même pour tout instrument relevant des compétences extérieures de l’Union.

6. Le document stratégique décrit également la chronologie de la consultation. Sa programmation à un stade précoce du processus législatif permet au CEPD d’agir efficacement et de proposer des modifications du texte. Cette consultation informelle sur le projet de texte doit être adressée au CEPD par le service responsable de la Commission, s’il y a lieu, avant l’adoption de la proposition formelle. L’adoption de la proposition est suivie d’une deuxième étape, la consultation formelle. À ce stade, l’avis du CEPD est publié au Journal officiel (édition C).

7. Dans le cas de la présente proposition, comme cela a été indiqué ci-desssus, le CEPD n’a reçu pour consultation ni le projet de proposition, ni la proposition proprement dite après son adoption. Le CEPD est particulièrement déçu par cette situation car, comme cela sera expliqué ci-dessous, son intervention aurait constitué une occasion idéale d’apporter une valeur ajoutée à la proposition.

III. CONTEXTE ET GENÈSE DE LA PROPOSITION

8. La proposition a pour but la reconnaissance mutuelle de l’équivalence et de la compatibilité des programmes relatifs aux opérateurs économiques agréés (OEA) de l’Union et du Japon et l’acceptation mutuelle des statuts d’OEA correspondants accordés.

9. Les relations entre l’Union européenne et le Japon dans le domaine douanier reposent sur l’accord relatif à la coopération et à l’assistance administrative mutuelle en matière douanière (ACAAMD) (5) qui est entré en vigueur le 1er février 2008. Conformément à l’ACAAMD, la coopération douanière couvre tous les domaines relatifs à l’application de la législation douanière. Cet accord engage aussi l’Union et le Japon à faire des efforts en matière de coopération afin d’élaborer des mesures de facilitation commerciale dans le domaine douanier, conformément aux normes internationales (6). La reconnaissance mutuelle des programmes relatifs aux opérateurs économiques agréés (OEA) et des mesures de sécurité concourent à la fois à l’amélioration de la sécurité de l’ensemble de la chaîne logistique et à la facilitation des échanges.

10. La proposition stipule également, entre autres, que les autorités douanières maintiennent la compatibilité qui existe entre les programmes et que chaque autorité douanière accorde des avantages comparables aux opérateurs économiques bénéficiant du statut d’OEA. Elle précise en outre que les autorités douanières doivent améliorer la communication ainsi que l’échange d’informations. Elle énumère les informations à échanger sur les opérateurs économiques agréés.

IV. ANALYSE DE LA PROPOSITION

IV.1. Applicabilité du droit relatif à la protection des données à caractère personnel

11. L’article IV de l’annexe de la proposition concerne l’échange d’informations et la communication. Il précise que les informations et les données connexes, notamment celles qui ont trait aux membres des programmes, sont échangées systématiquement sous forme électronique. Les informations à échanger sur les opérateurs économiques agréés au titre des programmes relatifs aux OEA sont mentionnées, y compris, par exemple, le nom de l’opérateur économique bénéficiant du statut d’OEA, l’adresse de l’opérateur économique concerné, etc.

12. Le régime relatif aux OEA est établi par l’article 5 bis du règlement (CE) no 648/2005 du Parlement européen et du Conseil (7). Il précise que «1. […]. Un opérateur économique agréé bénéficie de certaines facilités en ce qui concerne les contrôles douaniers touchant à la sécurité et à la sûreté et/ou de certaines simplifications prévues par la réglementation douanière. […]».

13. Un «opérateur économique» est défini à l’article 1er, point 12, du règlement (CE) no 1875/2006 de la Commission (8) comme «une personne qui, dans le cadre de ses activités professionnelles, exerce des activités couvertes par la législation douanière». Il peut donc s’agir d’une personne morale ou physique. La notion d’«opérateur économique» englobe les OEA au sens du paragraphe 9. Les informations sur certains OEA peuvent donc être considérées comme des «données à caractère personnel» au sens des définitions des articles 2, point a), du règlement (CE) no 45/2001 et de la directive 95/46/CE, du moins les informations sur les OEA qui sont des personnes physiques. Il est même possible que les informations sur les OEA qui sont des personnes morales puissent dans certains cas être considérées comme des données à caractère personnel. Dans ces cas, le facteur déterminant concerne la possibilité que les informations «soient relatives à» une personne physique «identifiable» (9). Par conséquent, il ne fait aucun doute que des données à caractère personnel pourraient être échangées dans le contexte de la proposition en question.

14. Les données à caractère personnel seront traitées par les autorités douanières. L’article I, paragraphe 2, de l’annexe de la proposition prévoit que «Les autorités douanières au sens de l’article 1er, point c), de l’ACAAMD (ci-après dénommées “les autorités douanières”) sont responsables de la mise en oeuvre de la présente décision.» La définition de référence est la suivante: «“autorité douanière”: […] dans la Communauté, les services douaniers compétents de la Commission des Communautés européennes et les autorités douanières des États membres de la Communauté». Par conséquent, le règlement (CE) no 45/2001 et la directive 95/46/CE sont tous deux applicables dans le présent cadre (10). Le règlement (CE) no 45/2001 s’applique au traitement effectué par la Commission, la directive 95/46/CE au traitement effectué par les autorités douanières nationales.

IV.2. Transferts internationaux de données à caractère personnel

15. La directive et le règlement prévoient tous deux des règles analogues concernant les flux transfrontaliers de données à caractère personnel aux articles 25 à 26 et 9 respectivement. Le principe établi dans ceux-ci implique que les données à caractère personnel ne peuvent être transférées d’un État membre à un pays tiers que si ce dernier garantit un niveau adéquat de protection (ou que si des garanties adéquates sont adoptées, ou que l’une des exceptions prévues est applicable).

Déclaration sur le caractère adéquat dans la proposition

16. L’exposé des motifs contient un point sur la protection des données (le point 5). Il est déclaré au point 5, paragraphe 1, que le régime de protection des données japonais est adéquat au sens de l’article 9 du règlement (CE) no 45/2001. L’article 9 traite du régime à respecter dans le cas du transfert de données à caractère personnel à des destinataires autres que les institutions et organes communautaires et ne relevant pas de la directive 95/46/CE, comme dans le cas de pays tiers tels que le Japon.

17. L’article 9, paragraphe 1, du règlement stipule que «[l]e transfert de données à caractère personnel à des destinataires autres que les institutions et organes communautaires, et qui ne sont pas soumis à la législation nationale adoptée en application de la directive 95/46/CE, ne peut avoir lieu que pour autant qu’un niveau de protection adéquat soit assuré dans le pays du destinataire ou au sein de l’organisation internationale destinataire, et que ce transfert vise exclusivement à permettre l’exécution des missions qui relèvent de la compétence du responsable du traitement».

18. L’article 9, paragraphe 2, énonce que le niveau de protection offert par un pays tiers ou une organisation internationale s’apprécie au regard de «toutes les circonstances entourant une opération ou un ensemble d’opérations de transfert de données». Il donne en outre quelques exemples des aspects dont il convient de tenir compte dans l’appréciation: «Il est notamment tenu compte de la nature des données, de la finalité et de la durée du (ou des) traitement(s) envisagé(s), du pays tiers ou de l’organisation internationale destinataire, de la législation, tant générale que sectorielle, en vigueur dans le pays tiers ou applicable à l’organisation internationale en question ainsi que des règles professionnelles et des mesures de sécurité appliquées dans ce pays ou dans cette organisation internationale». Cette liste n’est pas exhaustive; d’autres éléments pourraient également être pertinents selon le cas en question.

19. L’article 9 du règlement doit être interprété à la lumière des articles 25 et 26 de la directive 95/46/CE. L’article 25, paragraphe 6, de la directive établit que «La Commission peut constater, conformément à la procédure prévue à l’article 31 paragraphe 2, qu’un pays tiers assure un niveau de protection adéquat au sens du paragraphe 2 du présent article, en raison de sa législation interne ou de ses engagements internationaux, souscrits, […]». La procédure visée à l’article 31, paragraphe 2, de la directive — une procédure de comitologie — doit donc être respectée pour pouvoir déclarer qu’un pays tiers est «adéquat».

20. Cette procédure n’a pas été respectée dans le cas de la présente proposition; par conséquent, la déclaration figurant au point 5, paragraphe 1, concernant le caractère adéquat du régime de protection des données japonais est en violation de l’article 25, paragraphe 6, de la directive. Le CEPD en recommande donc vivement la suppression.

21. Le CEPD reconnaît que l’article IV, paragraphe 6, de l’annexe de la proposition stipule que: «Les autorités douanières garantissent la protection des données en application de l’ACAAMD, en particulier de son article 16.» L’article 16 traite de l’aspect «Échange d’informations et confidentialité», et son paragraphe 2 énonce que: «Des données à caractère personnel ne peuvent être échangées que si la partie contractante qui est susceptible de les recevoir s’engage à les protéger d’une façon au moins équivalente à celle applicable en l’espèce dans la partie contractante susceptible de les fournir. Cette dernière n’applique aucune exigence qui soit plus stricte que celles qui sont applicables à ce type de donnée sur le territoire relevant de sa juridiction».

22. Le CEPD souhaite souligner cependant que, comme cela a été expliqué ci-dessus, le système servant à analyser le niveau de protection d’un pays tiers est celui du «caractère adéquat», et non pas celui de l’«équivalence» (cf. les engagements internationaux actuels de l’Union) (11). En tout cas, l’article 16 semble être de nature déclarative, car aucune preuve n’est fournie dans l’ACAAMD de l’existence d’une réelle «équivalence». En outre, il ne fait référence à aucune exécution d’analyse d’«équivalence» ni même de «caractère adéquat». Par conséquent, cette simple déclaration de l’article 16 ne peut être considérée comme un élément décisif dans une appréciation du caractère adéquat et ne peut servir de base à la déclaration établie au point 5, paragraphe 1, de l’exposé des motifs.

Une perspective plus large, au regard des spécificités du cas

23. Il convient de noter que l’appréciation du niveau de protection existant dans un pays particulier peut-être effectuée à différents niveaux et avec des effets juridiques différents par la Commission européenne, par les autorités de protection des données et par les responsables du traitement des données. La détermination du caractère adéquat par la Commission européenne sur la base de l’article 25, paragraphe 6, de la directive 95/46/CE est contraignante pour les États membres. Cette règle s’applique également aux institutions et organes de l’Union européenne en vertu de l’article 9, paragraphe 5, du règlement. En l’absence d’une telle décision, l’appréciation du caractère adéquat est confiée aux autorités chargées de la protection des données dans de nombreux États membres, et dans d’autres, aux responsables du traitement des données, sous la supervision des autorités de protection des données. L’article 9 du règlement suit clairement ce dernier modèle.

24. Cela veut dire que même si un pays n’a pas été, dans son ensemble, déclaré «adéquat» suite à la procédure mentionnée à l’article 25, paragraphe 6, de la directive, le régime légal de protection des données applicable à un transfert particulier ou à un ensemble particulier de transferts peut être considéré comme «adéquat» par le responsable du traitement (dans le contexte expliqué ci-dessous).

25. À la lumière de l’article 9, paragraphe 2, du règlement (ainsi que de l’article 25, paragraphe 2, de la directive), le responsable du traitement doit apprécier toutes les circonstances entourant une opération ou un ensemble d’opérations de transfert de données. L’analyse doit être effectuée in concreto, en tenant compte des caractéristiques spécifiques (garanties et/ou risques) du transfert ou de l’ensemble de transferts en question. Une telle appréciation aboutirait à une conclusion quant au niveau existant de protection concernant un transfert ou un ensemble de transferts spécifique, et serait limitée aux fins prises en considération par le responsable du traitement des données et les destinataires du pays de destination. Dans ce cas, le responsable du traitement prendrait la responsabilité de vérifier si les conditions du caractère adéquat sont réunies. Lorsque l’analyse est effectuée par le responsable du traitement des données, la conclusion serait soumise à la supervision de l’autorité de protection des données.

26. Le point 5, paragraphe 1, de l’exposé des motifs mentionne que le régime japonais en question est défini dans le code des douanes japonais (article 108-2), la loi en matière d’assistance internationale dans les enquêtes et d’autres domaines connexes (articles 1er et 3), la loi sur le service public national (article 100), la loi sur la protection des données à caractère personnel détenues par des instances administratives (article 8) et la loi sur l’accès aux données à caractère personnel détenues par des instances administratives (article 5).

27. Le CEPD n’a aucune preuve que ce régime ait été évalué à la lumière du document de travail «Transferts de données personnelles vers des pays tiers: application des articles 25 et 26 de la directive relative à la protection des données» du groupe de travail «article 29», ni que cela ait été effectué en respectant les principes établis dans ce document (12).

28. Il ne faut pas oublier non plus que la méthode de l’adéquation impose de prendre en considération à la fois la lettre et la pratique de la loi (approche objective et fonctionnelle). Par conséquent, la seule prise en considération de ce régime légal n’est pas une preuve suffisante de la mise en oeuvre de ses règles dans la pratique.

29. Cela signifie qu’il est nécessaire de réaliser une vérification de la mise en oeuvre et de l’application efficaces de ces règles dans la pratique, avant de pouvoir déterminer si un niveau adéquat de protection est réellement garanti concernant l’opération de transfert de données ou l’ensemble d’opérations de transfert de données en question et, dans le cas présent, concernant l’échange d’informations dans le contexte des programmes des OEA.

30. À la lumière de ce qui précède, les responsables du traitement (dans le cas présent, les services compétents de la Commission européenne responsables des questions douanières et les autorités douanières des États membres de l’Union) doivent effectuer une appréciation afin de vérifier si un pays de destination (dans le cas présent le Japon) offre réellement un niveau de protection adéquat pour les transferts spécifiques en question et que ceux-ci sont limités aux fins et aux destinataires spécifiques de ce pays (13) (c’est-à-dire l’échange de données pour la mise en oeuvre des programmes OEA). Cependant, cette appréciation n’a pas été réalisée.

31. La proposition aurait pu suivre cette approche à la place de la procédure relative au caractère «adéquat» du Japon décrite ci-dessus.

Autres alternatives

32. La proposition aurait pu également examiner s’il était possible pour les responsables du traitement d’offrir d’autres types de «garanties adéquates», conformément aux articles 9, paragraphe 7, du règlement et 26, paragraphe 2, de la directive, ou si l’une des exceptions mentionnées aux articles 9, paragraphe 6, du règlement ou 26, paragraphe 1, de la directive était applicable (14).

IV.3. Exigences supplémentaires du droit sur la protection des données

Qualité des données

33. Le principe de la qualité des données est décrit à l’article 4 du règlement. Il énonce entre autres que : «Les données à caractère personnel doivent être: […] c) adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées et pour lesquelles elles sont traitées ultérieurement; […]». Les catégories de données mentionnées à l’article IV, paragraphe 4, semblent respecter ce principe.

34. En outre, l’article 4 du règlement énonce que: «Les données à caractère personnel doivent être: […] conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ou pour lesquelles elles sont traitées ultérieurement.. (…)». Par conséquent, il faudra définir une période de conservation pour les données à caractère personnel à traiter.

Droits de la personne concernée

35. La Commission devra prévoir des mécanismes garantissant l’exercice des droits de la personne concernée, tels que les droits d’accès et de rectification (articles 13 et 14 du règlement).

Obligation de fournir des informations

36. Les articles 11 et 12 du règlement prévoient que des informations soient fournies à la personne concernée et précisent dans quels délais. La Commission devra établir la procédure à suivre, en déterminant par exemple si les informations seront fournies au moment de la collecte des données (par le pays tiers) ou par la Commission.

V. CONCLUSIONS ET RECOMMANDATIONS

37. Le CEPD est déçu que la procédure de consultation décrite au chapitre II n’ait pas été respectée.

38. Le CEPD recommande de supprimer la déclaration du caractère adéquat du régime japonais, y compris au point 5, paragraphe 1, de l’exposé des motifs, étant donné que cette déclaration n’est conforme ni aux exigences du règlement (CE) no 45/2001 ni à celles de la directive 95/46/CE. Il recommande en outre d’étudier les différentes possibilités offertes par le règlement et la directive afin de garantir le respect des règles sur les transferts internationaux.

39. Le CEPD recommande également que la Commission: — définisse une période de conservation pour les données à caractère personnel à traiter; — prévoie des mécanismes visant à garantir l’exercice des droits du sujet des données; — établisse une procédure pour la fourniture d’informations aux sujets des données.

Fait à Bruxelles, le 12 mars 2010. Peter HUSTINX Contrôleur européen de la protection des données

(1) JO L 281 du 23.11.1995, p. 31.

(2) JO L 8 du 12.1.2001, p. 1.

(3) COM(2010) 55 final.

(4) Le document stratégique est disponible à l’adresse suivante: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/EDPS/Publications/Papers/PolicyP/05-03-18_PP_EDPSadvisor_FR.pdf

(5) JO L 62, 6.3.2008, p. 24.

(6) Article 4 de l’ACAAMD.

(7) JO L 117 du 4.5.2005, p. 13.

(8) JO L 360 du 19.12.2006, p. 64.

(9) Voir groupe de travail «article 29» sur la protection des données, Avis 4/2007 sur le concept de données à caractère personnel, WP 136, disponible à l’adresse suivante: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2007/wp136_fr.pdf en particulier les pages 23 et 24.

(10) Articles 3, paragraphe 1, du règlement (CE) no 45/2001 et de la directive 95/46/CE.

(11) Voir l’article XIV du GATS: «Sous réserve que ces mesures ne soient pas appliquées de façon à constituer soit un moyen de discrimination arbitraire ou injustifiable entre les pays où des conditions similaires existent, soit une restriction déguisée au commerce des services, aucune disposition du présent accord ne sera interprétée comme empêchant l’adoption ou l’application par tout Membre de mesures: […] c) nécessaires pour assurer le respect des lois ou réglementations qui ne sont pas incompatibles avec les dispositions du présent accord, y compris celles qui se rapportent: […] ii) à la protection de la vie privée des personnes pour ce qui est du traitement et de la dissémination de données personnelles, ainsi qu’à la protection du caractère confidentiel des dossiers et comptes personnels; […]».

(12) Groupe de travail «article 29» sur la protection des données, document de travail «Transferts de données personnelles vers des pays tiers: application des articles 25 et 26 de la directive relative à la protection des données», disponible sur le site suivant: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/1998/wp12_fr.pdf

(13) Le CEPD a émis une interprétation semblable dans le cadre d’une consultation émanant de l’OLAF sur «Transfers of personal data to third countries: ‘adequacy’ of signatories of Council of Europe Convention 108 (case 2009-03330» [Les transferts de données à caractère personnel: «caractère adéquat» des signataires de la Convention 108 du Conseil de l’Europe (affaire 2009-0333)], qui est disponible sur le site suivant: http://www.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Supervision/Adminmeasures/2009/09-07-02_OLAF_transfer_third_countries_EN.pdf

(14) En ce qui concerne l’article 26, paragraphe 1, de la directive, voir: groupe de travail «article 29» sur la protection des données, Document de travail relatif à une interprétation commune des dispositions de l'article 26, paragraphe 1, de la directive 95/46/CE du 24 octobre 1995, WP114, disponible sur le site suivant: http://ec.europa.eu/justice_home/fsj/privacy/docs/wpdocs/2005/wp114_fr.pdf