Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de modification du règlement Europol

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2021/C 143/05)

Le 9 décembre 2020, la Commission européenne a présenté une proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) 2016/794 en ce qui concerne la coopération d’Europol avec les parties privées, le traitement de données à caractère personnel par Europol à l’appui d’enquêtes pénales et le rôle d’Europol en matière de recherche et d’innovation. La proposition législative vise à renforcer et, dans certains, cas, à étendre le mandat d’Europol afin de répondre à l’évolution de la situation en matière de sécurité et à des menaces en constante mutation et de plus en plus complexes.

Le CEPD comprend que les autorités répressives ont besoin de disposer des meilleurs outils techniques et juridiques possibles pour s’acquitter de leurs tâches, à savoir détecter, enquêter et prévenir les infractions et autres menaces à la sécurité publique. En outre, il est convaincu qu’il n’existe pas de conflit intrinsèque et inconciliable entre la sécurité et les droits fondamentaux, y compris le droit à la protection des données. Par conséquent, le présent avis vise à donner une évaluation juste et objective de la nécessité et de la proportionnalité des mesures proposées, ainsi qu’à formuler un certain nombre de recommandations spécifiques en vue d’assurer un juste équilibre entre les valeurs et les intérêts en jeu.

Les enquêtes pénales et les opérations de renseignement en matière pénale incluent de plus en plus fréquemment la collecte et le traitement d’ensembles de données vastes et complexes par les autorités répressives. Si le CEPD prend note avec satisfaction des garanties qui accompagnent les dérogations proposées dans ces cas, il craint que les exceptions aux règles actuelles en matière de protection des données, qui s’appliquent à Europol, puissent, en réalité, devenir la règle. Il recommande dès lors que le règlement Europol définisse plus précisément les situations et les conditions dans lesquelles Europol peut recourir aux dérogations proposées. En outre, même dans ces cas, le traitement de données à caractère personnel par l’Agence devrait être parfaitement conforme aux principes et obligations généraux énoncés au chapitre IX du règlement (UE) 2018/1725.

S’agissant des possibilités légales élargies permettant à Europol de coopérer avec les parties privées, notamment dans le cas d’ensembles de données relevant de la compétence de plusieurs autorités ou ne pouvant être rattachés à la compétence d’une ou plusieurs autorités spécifiques, le CEPD apprécie qu’elles soient contrebalancées par des garanties spécifiques, telles que l’interdiction de transferts de données systémiques, massifs ou structurels. Dans le même temps, le CEPD recommande que cette restriction importante soit appliquée à tous les échanges entre Europol et les parties privées, où qu’elles se trouvent, à l’intérieur ou en dehors de l’Union. Le CEPD estime également que le rôle et les responsabilités juridiques exacts d’Europol, en tant que prestataire de services pour les autorités nationales et, partant, en tant que sous-traitant, devraient être précisés dans un acte juridique contraignant. En outre, il juge nécessaire d’évaluer les risques potentiels pour la sécurité que pose l’ouverture de l’infrastructure de communication d’Europol à une utilisation par des parties privées.

Le CEPD attache également une attention particulière à l’utilisation envisagée par Europol de données à caractère personnel à des fins de recherche et d’innovation. Dans le même temps, il est parfaitement conscient que l’alternative, à savoir qu’Europol et les autorités répressives nationales s’appuient sur des outils et des produits mis au point par des fournisseurs externes souvent établis en dehors de l’UE, représente clairement des risques beaucoup plus grands pour les droits fondamentaux. Néanmoins, le CEPD est d’avis que la définition de la nouvelle finalité du traitement est trop vague et il recommande que la portée des activités de recherche et d’innovation soit précisée dans un document contraignant.

Le CEPD se réjouit de la proposition de renforcement accru du cadre d’Europol en matière de protection des données et la soutient pleinement, notamment l’application directe des règles horizontales, énoncées au chapitre IX du règlement (UE) 2018/1725, au traitement de données opérationnelles par l’Agence. Cela marque également une étape importante vers une harmonisation complète du cadre de la protection des données pour toutes les institutions, organes et agences de l’UE, que le CEPD n’a cessé de demander.

Un mandat renforcé d’Europol devrait toujours aller de pair avec un contrôle accru. Le CEPD demande donc une harmonisation complète de ses pouvoirs de contrôle à l’égard d’Europol avec les pouvoirs généraux conférés au CEPD par le règlement (UE) 2018/1725 et applicables aux autres institutions, organes et agences de l’UE, y compris le Parlement européen, le Conseil et la Commission. Cette harmonisation serait conforme à la volonté du législateur de l’Union et contribuerait également à éviter un traitement différencié des organes de l’Union et à les mettre dans une situation plus ou moins privilégiée.

1. INTRODUCTION ET CONTEXTE

1. er mai 2017. L’Agence de l’Union européenne pour la coopération des services répressifs (Europol) a été créée par le règlement (UE) 2016/794 du Parlement européen et du Conseil (ci-après le «règlement Europol») en vue de soutenir et de renforcer l’action des autorités compétentes des États membres et leur coopération mutuelle en matière de prévention des formes graves de criminalité transfrontière, de terrorisme et d’autres activités criminelles portant atteinte aux intérêts communs de l’Union et de lutte contre ces phénomènes. Le règlement Europol a remplacé l’acte juridique de base précédent, à savoir la décision 2009/371/JAI du Conseil ( 1 ) , et a confié au CEPD la tâche de contrôler la licéité du traitement de données à caractère personnel par Europol à compter du 1mai 2017.

2. Le 9 décembre 2020, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) 2016/794 en ce qui concerne la coopération d’Europol avec les parties privées, le traitement de données à caractère personnel par Europol à l’appui d’enquêtes pénales et le rôle d’Europol en matière de recherche et d’innovation ( 2 )

3. La proposition a été incluse dans le programme de travail de la Commission pour 2020 en tant qu’initiative législative visant à «renforce[r] le mandat d’Europol afin d’intensifier la coopération policière opérationnelle». Il s’agit également d’une action clé de la stratégie de l’UE pour l’union de la sécurité, adoptée en juillet 2020 ( 3 ) . En outre, la proposition législative fait partie d’un train de mesures annoncées par la Commission le 9 décembre 2020 en vue de renforcer la réponse de l’Union à la menace terroriste ( 4 )

4. La proposition a pour objet de renforcer et, le cas échéant, d’étendre le mandat d’Europol dans le cadre de sa mission et de ses tâches telles qu’énoncées à l’article 88 du traité sur le fonctionnement de l’Union européenne (TFUE). Les trois principaux domaines couverts par la proposition sont explicitement mentionnés dans le titre du projet de règlement, à savoir la coopération avec les parties privées, l’appui opérationnel aux enquêtes pénales et la recherche et l’innovation. Toutefois, un certain nombre de modifications supplémentaires ont été apportées à d’autres aspects importants du travail d’Europol, tels que le régime juridique relatif à la protection des données, les transferts de données vers des pays tiers, l’introduction de signalements dans le système d’information Schengen, etc. Ce dernier point fait l’objet d’une proposition législative distincte ( 5 ) , sur laquelle le CEPD a également été consulté et qu’il a commentée dans un autre avis.

5. Selon l’exposé des motifs, la proposition législative répond à l’évolution de la situation en matière de sécurité et à des menaces en constante mutation et de plus en plus complexes, notamment l’exploitation par des groupes criminels de la transformation numérique, des nouvelles technologies et de la crise de la COVID-19. Dans ce contexte, la Commission rappelle plusieurs déclarations politiques récentes du Conseil et du Parlement européen, qui abordent spécifiquement la nécessité de renforcer davantage le mandat et les capacités d’Europol ( 6 )

6. Le CEPD a été consulté de manière informelle par la Commission à plusieurs reprises tout au long du processus d’élaboration de la proposition législative et pour la dernière fois le 25 novembre 2020, et il a transmis ses observations informelles. Il se réjouit que son avis ait été sollicité à un stade précoce de la procédure et encourage la Commission à maintenir cette bonne pratique. De plus, le 9 octobre 2020, le CEPD a organisé un webinaire d’experts intitulé «La réforme d’Europol du point de vue de la protection des données», l’accent étant mis en particulier sur l’alignement des dispositions relatives à la protection des données du règlement Europol sur les règles générales relatives au traitement des données opérationnelles à caractère personnel.

7. Le CEPD a été officiellement consulté par la Commission le 7 janvier 2021 sur la proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) 2016/794 et a adopté le présent avis conformément à l’article 42, paragraphe 3, du règlement (UE) 2018/1725.

2. CONCLUSIONS

49. À la lumière des considérations qui précèdent, le CEPD émet les recommandations suivantes:

Sur la coopération avec les parties privées

— l’interdiction des transferts systémiques, massifs ou structurels (article 26, paragraphe 6, dernier alinéa) devrait s’appliquer à tous les échanges avec des parties privées, y compris au sein de l’UE;

— les obligations incombant à Europol lorsqu’il agit en tant que sous-traitant/prestataire de services, en particulier les éléments obligatoires visés à l’article 87, paragraphe 3, du règlement (UE) 2018/1725, devraient être énoncées dans un acte juridique contraignant relevant du droit de l’Union ou du droit des États membres;

— le CEPD recommande qu’Europol procède à une évaluation des risques potentiels pour la sécurité que pose l’ouverture de son infrastructure à une utilisation par des parties privées et, si nécessaire, qu’il mette en œuvre les mesures de prévention et d’atténuation appropriées.

Sur le traitement d’ensembles de données vastes et complexes, notamment à l’appui d’enquêtes pénales spécifiques

— le règlement Europol devrait prévoir des garanties suffisantes pour que les dérogations visées à l’article 8, paragraphe 5 bis, et à l’article 18 bis ne deviennent pas la règle dans la pratique;

— le règlement Europol devrait définir plus précisément les cas dans lesquels Europol pourrait appliquer la dérogation prévue à l’article 18, paragraphe 5 bis, ou quand l’Agence peut demander une prolongation de la période maximale d’un an. En outre, l’interaction entre les paragraphes 5 bis et 6 de l’article 18 devrait être clarifiée.

— l’article 18 bis devrait fixer des conditions et des seuils supplémentaires pour le traitement par Europol de données ne relevant pas des catégories de personnes concernées énumérées à l’annexe II à l’appui d’une enquête pénale spécifique, tels que l’ampleur, la complexité, le type ou l’importance de l’enquête;

— le traitement de données à caractère personnel au titre des dérogations prévues à l’article 18, paragraphe 5 bis, et de l’article 18 bis devrait toujours être conforme aux principes et obligations généraux énoncés au chapitre IX du règlement (UE) 2018/1725.

Sur l’utilisation de données à des fins de recherche et d’innovation

— la portée des activités de recherche et d’innovation devrait être mieux définie dans le règlement Europol et précisée dans un document contraignant, qui pourrait être mis à jour ultérieurement.

Sur la coopération d’Europol avec les pays tiers

— la signification de l’expression «catégories de transferts» visée à l’article 25, paragraphe 5, et la distinction par rapport à la «série de transferts» visée au paragraphe 6 du même article devraient être précisées et clarifiées davantage dans le règlement Europol.

Sur le cadre de protection des données applicable à Europol

— les pouvoirs de contrôle du CEPD à l’égard d’Europol devraient être pleinement alignés sur les pouvoirs généraux conférés au CEPD par l’article 58 du règlement (UE) 2018/1725;

— la nouvelle finalité proposée à l’article 37 bis devrait être supprimée et la limitation du traitement de données à caractère personnel par Europol devrait donc être directement régie par l’article 82 du règlement (UE) 2018/1725.

Sur les autres éléments de la proposition

— les conditions applicables aux transferts de données à d’autres organes de l’Union prévues à l’article 24 du règlement Europol devraient être alignées sur les règles générales énoncées à l’article 71, paragraphe 2, du règlement (UE) 2018/1725, notamment l’exigence de proportionnalité;

— la notion d’«analyse opérationnelle conjointe» et les règles juridiques applicables au traitement de données à caractère personnel dans le cadre d’une telle analyse devraient être clairement définies dans le règlement Europol.

Bruxelles, le 8 mars 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Décision 2009/371/JAI du Conseil du 6 avril 2009 portant création de l’Office européen de police (Europol) (JO L 121 du 15.5.2009, p. 37).

(2) COM(2020) 796 final.

(3) COM(2020) 605 final (24 juillet 2020).

(4) https://ec.europa.eu/commission/presscorner/detail/fr/ip_20_2326

(5) Proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) 2018/1862 sur l’établissement, le fonctionnement et l’utilisation du système d’information Schengen (SIS) dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale en ce qui concerne l’introduction de signalements par Europol, COM(2020) 791 final.

(6) Voir, notamment, la résolution du Parlement européen du 10 juillet 2020 sur une politique globale de l’Union en matière de prévention du blanchiment de capitaux et du financement du terrorisme (2020/2686(RSP), les conclusions du Conseil sur la coopération d’Europol avec les parties privées du 2 décembre 2019 ou la déclaration des ministres de l’Intérieur de l’UE («Plan d’action en dix points sur l’avenir d’Europol») du 21 octobre 2020.