FR Journal officiel de l'Union européenne C 37/1

Avis du Contrôleur européen de la protection des données sur le règlement d’exécution (UE) no 404/2011 de la Commission portant modalités d’application du règlement (CE) no 1224/2009 du Conseil instituant un régime communautaire de contrôle afin d’assurer le respect des règles de la politique commune de la pêche

2012/C 37/01

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (2), et notamment son article 41, paragraphe 2,

A ADOPTÉ L’AVIS SUIVANT:

1. INTRODUCTION

1.1. Contexte

1. Le 8 avril 2011, la Commission a adopté le règlement d'exécution (UE) no 404/2011 portant modalités d’application du règlement (CE) no 1224/2009 du Conseil instituant un régime communautaire de contrôle afin d’assurer le respect des règles de la politique commune de la pêche (le «règlement d’exécution») (3).

2. Le CEPD n’a pas été consulté conformément à l’article 28, paragraphe 2, du règlement (CE) no 45/2001, en dépit du fait que l’initiative législative était incluse dans l’inventaire des priorités de consultation législative du CEPD (4). Le présent avis est donc basé sur l’article 41, paragraphe 2, dudit règlement.

1.2. Objectifs du règlement d’exécution

3. Le règlement (CE) no 1224/2009 du Conseil du 20 novembre 2009 instituant un régime communautaire de contrôle afin d’assurer le respect des règles de la politique commune de la pêche (le «règlement de contrôle») (5), vise à établir un régime européen de contrôle, d’inspection et d’exécution, de façon à garantir le respect de toutes les règles de la politique commune de la pêche.

4. Le règlement de contrôle a obligé la Commission à adopter les modalités d’application et les mesures nécessaires à la mise en œuvre de certaines de ses dispositions. Le règlement d’exécution établit ces modalités d’application en ce qui concerne les domaines suivants: conditions générales d’accès aux eaux et aux ressources (titre II), contrôle de la pêche (titre III), contrôle de la commercialisation (titre IV), mesures de surveillance (titre V), inspection (titre VI), exécution (titre VII), mesures visant à assurer le respect par les États membres (titre VIII), données et informations (titre IX) et mise en œuvre (titre X).

1.3. Objectif du présent avis

5. En mars 2009, le CEPD a publié un avis sur le règlement de contrôle (6). Il soulignait dans cet avis que la proposition prévoyait le traitement de différentes données qui, dans certains cas, pouvaient être considérées comme présentant un caractère personnel. Les données à caractère personnel seraient normalement toujours traitées lorsque le capitaine ou le propriétaire du navire ou tout pêcheur ou membre de l’équipage est identifié ou identifiable. À cet égard, le CEPD a formulé certaines recommandations sur quelques dispositions de la proposition.

6. Le CEPD a ensuite souligné que plusieurs articles de la proposition de règlement renvoyaient à une procédure de comitologie pour l’adoption des modalités d’application et que certaines de ces modalités portaient également sur des aspects liés à la protection des données (7). Compte tenu de l’impact que ces modalités peuvent avoir sur la protection des données, le CEPD a donc recommandé à la Commission de le consulter avant que lesdites modalités ne soient adoptées. Le règlement d’exécution a été adopté le 8 avril 2011 dernier, mais le CEPD n’a pas été consulté avant l’adoption.

7. Le CEPD regrette que le règlement d’exécution ne lui ait pas été soumis pour une consultation préalable comme il l’avait recommandé dans son avis de 2009. Il tient néanmoins à attirer l’attention de la Commission sur quelques aspects du règlement d’exécution de nature à susciter des préoccupations du point de vue de la protection des données. Pour cette raison, le CEPD a décidé de soumettre ce bref avis. Les observations du CEPD porteront essentiellement sur les aspects suivants: 1) surveillance des activités des navires de pêche et protection des données; 2) systèmes de télésurveillance des navires; 3) conservation des données à caractère personnel par la Commission et les autorités compétentes; et 4) applicabilité du règlement (CE) no 45/2001.

2. ANALYSE DU RÈGLEMENT D’EXÉCUTION

2.1. Surveillance des activités des navires de pêche et protection des données

8. Le considérant 31 prévoit que le traitement de données à caractère personnel dans le cadre du règlement d’exécution est régi par la directive 95/46/CE et le règlement (CE) no 45/2001, «en particulier en ce qui concerne les exigences relatives à la confidentialité et à la sécurité des traitements, le transfert de données à caractère personnel des systèmes nationaux des États membres vers la Commission, la licéité du traitement et les droits des personnes concernées en matière d’information, d’accès à leurs données à caractère personnel et de rectification de celles-ci». Le CEPD accueille favorablement cette référence à la législation applicable en matière de protection des données.

9. Les activités des navires de pêche font l’objet d’une surveillance systématique et détaillée par le biais de moyens technologiques avancés, y compris des dispositifs de repérage par satellite et des bases de données informatiques (8). La position, le cap et la vitesse des navires de pêche sont régulièrement surveillés par le système de surveillance des navires (VMS) (9) et, le cas échéant, le système d’identification automatique (AIS) (10) ou le système de détection des navires (VDS) (11). Toutes ces données sont systématiquement contrôlées par recoupement, analysées et vérifiées au moyen d’algorithmes informatisés et de mécanismes automatiques afin de détecter les incohérences ou les suspicions d’infractions. Comme il ressort de l’article 145, paragraphe 3, du règlement d’exécution, ce traitement peut recourir, le cas échéant, à des activités d’extraction de données et de profilage (12).

10. Tant que ces données peuvent être associées à des personnes identifiées ou identifiables (p. ex. le capitaine du navire, son propriétaire, ou les membres de l’équipage), une telle surveillance comprend le traitement de données à caractère personnel. Il est donc important que le système de contrôle soit bien équilibré et que des garanties appropriées soient mises en place et en œuvre afin d’éviter que les droits des personnes concernées ne soient excessivement limités. Cela nécessite par exemple de délimiter clairement les finalités pour lesquelles les données pertinentes peuvent être traitées, de limiter autant que possible les données (à caractère personnel) qui sont traitées et de déterminer des durées de conservation maximales pour ces données. Ces points revêtent une importance particulière en l’espèce lorsque les traitements portent potentiellement sur des données concernant des infractions ou des suspicions d’infractions susceptibles d’être associées aux données à caractère personnel du propriétaire et/ou du capitaine du navire.

11. Compte tenu de la portée et de l’ampleur des activités de surveillance, il s’avère que le règlement d’exécution ne parvient pas toujours à concilier avec succès l’objectif de garantie de la conformité d’une part et le respect de la vie privée et de la protection des données des personnes concernées d’autre part. Étant donné que le règlement d’exécution a déjà été adopté, le CEPD considère qu’il est important que la Commission précise a posteriori, si possible, la portée et les limites des activités de traitement et fournisse des garanties spécifiques le cas échéant. Pour ce faire, elle pourrait par exemple adopter des recommandations générales ou particulières ou des règles internes visant à clarifier certains aspects des activités de traitement eu égard à la protection des données à caractère personnel ou dans le cadre de contrôles préalables du CEPD conformément à l’article 27 du règlement (CE) no 45/2001.

12. Les principaux aspects qui, selon le CEPD, nécessitent des précisions supplémentaires sont examinés ci-dessous.

2.2. Utilisation des données du système de surveillance des navires, du système d’identification automatique et du système de détection des navires et principe de limitation de la finalité

13. Selon un des principes de base du droit fondamental à la protection des données, les données à caractère personnel doivent être traitées pour des finalités déterminées, explicites et légitimes (13). Le principe de limitation de la finalité confère une responsabilité particulière aux responsables du traitement des données mais impose également une obligation au législateur, en exigeant que les dispositions législatives ne soient pas libellées dans des termes suffisamment généraux pour justifier l’utilisation de données à caractère personnel pour des finalités qui ne sont pas suffisamment déterminées. Des exceptions au principe de limitation de la finalité sont possibles, à condition qu’elles soient nécessaires et proportionnées et que les autres conditions visées à l’article 52 de la Charte des droits fondamentaux de l’Union européenne soient remplies.

14. Comme mentionné, le règlement de contrôle et le règlement d’exécution prévoient la surveillance systématique et détaillée des activités de la pêche au moyen du système de surveillance des navires, du système d’identification automatique et du système de détection des navires. Conformément à l’article 12 du règlement de contrôle, les données du système de surveillance des navires, du système d’identification automatique et du système de détection des navires peuvent être transmises aux agences de l’Union et aux autorités compétentes des États membres chargées d’effectuer des opérations de surveillance aux fins «de la sécurité et de la sûreté maritimes, du contrôle des frontières, de la protection du milieu marin et de l’application générale de la législation». L’article 27 du règlement d’exécution précise en outre que les États membres utilisent les données du système de surveillance des navires «pour assurer une surveillance efficace des activités des navires de pêche» et qu’ils «prennent toutes les mesures nécessaires pour qu’elles ne soient utilisées qu’à des fins officielles».

15. Eu égard au principe de limitation de la finalité, le CEPD considère que l’article 12 du règlement de contrôle et l’article 27 du règlement d’exécution sont formulés de manière trop large. Si elles ne sont pas interprétées de manière restrictive, les expressions «application générale de la législation», «surveillance des activités des navires de pêche» et «fins officielles» risquent de couvrir un ensemble trop vaste d’activités de traitement qui ne seraient même pas un tant soit peu associées aux finalités du règlement de contrôle. Cette approche ouverte suscite des préoccupations quant au principe de limitation de la finalité.

16. Compte tenu des considérations qui précèdent, le CEPD conseille à la Commission de donner des orientations concrètes sur l’interprétation de l’article 27 du règlement d’exécution. La Commission devrait notamment préciser le sens, et limiter la portée du traitement des données du système de surveillance des navires, du système d’identification automatique et du système de détection des navires pour «l’application générale de la législation» ou d’autres finalités non liées à la politique commune de la pêche.

2.3. Durées de conservation

17. Selon un autre principe fondamental de la législation en matière de protection des données, les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées (14). Ce principe est également directement lié à la limitation de la finalité. Si les données à caractère personnel ne sont plus nécessaires pour la finalité initiale, leur conservation n’est plus acceptable puisqu’elles constitueraient un traitement incompatible avec la finalité initiale.

18. Le règlement d’exécution fixe une durée de conservation minimale de trois ans concernant un certain nombre de données. En ce qui concerne les données du système de surveillance des navires, par exemple, l’article 27, paragraphe 2, point a), prévoit que les États membres veillent à ce que les données concernées soient enregistrées sous forme électronique, et conservées en toute sécurité dans des bases de données informatiques «pendant au moins trois ans». De même, l’article 92, paragraphe 3, prévoit que les données des rapports de surveillance restent disponibles dans la base de données «pendant au moins trois ans». En outre, l’article 118 dispose que les données des rapports d’inspection restent disponibles dans la base de données «pendant au moins trois ans».

19. Dans l’ensemble, le CEPD considère que la période de stockage aurait dû être établie plus précisément en fixant une durée de conservation maximale (et non une durée de conservation minimale). En tout état de cause, il est d’avis que les dispositions susmentionnées devraient être interprétées conformément à l’article 6, paragraphe 1, point e), de la directive 95/46/CE et à l’article 4, paragraphe 1, point e), du règlement (CE) no 45/2001, ce qui signifie que la durée de conservation de trois ans devrait en principe être interprétée comme une durée de conservation maximale, à moins que la nécessité de conserver les données pendant une durée plus longue puisse être suffisamment démontrée sur la base d’éléments de preuve convaincants.

2.4. Coopération administrative et transferts de données vers des pays tiers

20. L’article 164 du règlement d’exécution régit les échanges d’informations avec les pays tiers. L’article 164, paragraphe 2, notamment, porte sur la communication d’informations par un État membre à un pays tiers ou une organisation régionale de gestion de la pêche, dans le cadre d’un accord bilatéral avec ce pays tiers ou conformément aux règles de cette organisation. L’article 164, paragraphe 3, porte sur la communication d’informations concernant des activités non conformes aux règles de la politique commune de la pêche, par la Commission, ou l’organisme qu’elle désigne, dans le cadre des accords de pêche conclus entre l’Union et les pays tiers ou dans le cadre des organisations régionales de gestion des pêches ou d’arrangements similaires.

21. Alors que l’article 164, paragraphe 2, précise que la communication d’informations par les États membres aux pays tiers se fait «conformément à la législation de l’UE et à la législation nationale concernant la protection des personnes physiques à l’égard du traitement des données à caractère personnel», le paragraphe 3 ne contient pas de référence similaire en ce qui concerne la communication d’informations émanant de la Commission. Au paragraphe 3, la communication d’informations se fait sous réserve du consentement de l’État membre ayant fourni les informations.

22. À cet égard, le CEPD souligne que la communication de données à caractère personnel par la Commission ou d’autres institutions ou organes de l’Union à des pays tiers au titre de l’article 164 peut uniquement avoir lieu si les dispositions du règlement (CE) no 45/2001 et notamment son article 9, sont respectées.

2.5. La Commission devrait examiner la nécessité d’un contrôle préalable

23. Le règlement de contrôle et le règlement d’exécution peuvent concerner le traitement de données à caractère personnel par la Commission ou d’autres organes de l’Union européenne, entraînant de ce fait l’applicabilité du règlement (CE) no 45/2001 à ces traitements. Dans la mesure où ces traitements sont susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées, ils doivent être soumis au contrôle préalable du CEPD en vertu de l’article 27 du règlement (CE) no 45/2001.

24. Notamment, il s’avère que les traitements effectués dans le cadre du règlement de contrôle et du règlement d’exécution peuvent concerner le traitement de données relatives à des infractions ou des suspicions d’infractions commises par un navire. Ces données sont susceptibles d’être associées aux données à caractère personnel du propriétaire ou du capitaine du navire (ou d’un membre de l’équipage) en rapport avec les violations des règles applicables.

25. Par conséquent, le CEPD invite la Commission (et les autres organes de l’Union concernés) à examiner la nécessité d’un contrôle préalable des traitements effectués dans le cadre du règlement de contrôle et du règlement d’exécution et à soumettre les notifications nécessaires suite à cet examen (15).

CONCLUSIONS

26. Le CEPD regrette que le texte du règlement d’exécution ne lui ait pas été notifié en vue d’une consultation législative conformément à l’article 28, paragraphe 2, du règlement (CE) no 45/2001, comme il l’avait recommandé dans son avis de 2009. Bien que le CEPD accueille favorablement la référence à la législation applicable en matière de protection des données au considérant 31 du règlement d’exécution, il estime que certaines dispositions dudit règlement sont de nature à susciter des préoccupations sur le plan de la protection des données.

27. Étant donné que le règlement d’exécution a déjà été adopté, le CEPD conseille à la Commission de préciser a posteriori, si possible, la portée et les limites des activités de traitement et de fournir des garanties spécifiques le cas échéant. Pour ce faire, elle pourrait adopter des recommandations générales ou particulières ou des règles internes dans le cadre de contrôles préalables du CEPD, conformément à l’article 27 du règlement (CE) no 45/2001.

28. Notamment, le CEPD conseille à la Commission et aux autres organes de l’UE concernés de: — donner des orientations concrètes sur l’interprétation de l’article 27 du règlement d’exécution. La Commission devrait notamment préciser le sens, et limiter la portée du traitement des données du système de surveillance des navires, du système d'identification automatique et du système de détection des navires pour «l’application générale de la législation» ou d’autres finalités non liées à la politique commune de la pêche; — lorsque le règlement d’exécution fixe une durée de conservation minimale concernant certaines catégories particulières de données (voir les exemples cités au point 19), ne conserver les données à caractère personnel pendant des durées plus longues que si la nécessité de les conserver plus longtemps peut être suffisamment démontrée; — s’assurer que le transfert de données à caractère personnel de la Commission ou d’autres institutions ou organes de l’Union vers des pays tiers au titre de l’article 164 du règlement d’exécution est conforme aux dispositions du règlement (CE) no 45/2001 et notamment son article 9; — examiner la nécessité d’un contrôle préalable par le CEPD des traitements effectués dans le cadre du règlement de contrôle et du règlement d’exécution et soumettre les notifications nécessaires suite à cet examen.

Fait à Bruxelles, le 28 octobre 2011. Giovanni BUTTARELLI Contrôleur adjoint européen de la protection des données

(1) JO L 281 du 23.11.1995, p. 31.

(2) JO L 8 du 12.1.2001, p. 1.

(3) JO L 112 du 30.4.2011, p. 1.

(4) Disponible sur le site internet du CEPD (http://www.edps.europa.eu) à la rubrique: Consultation/priorités.

(5) JO L 343 du 22.12.2009, p. 1.

(6) Avis du Contrôleur européen de la protection des données sur la proposition de règlement du Conseil instituant un régime communautaire de contrôle afin d’assurer le respect des règles de la politique commune de la pêche (JO C 151 du 3.7.2009, p. 11).

(7) Voir l’avis du CEPD sur la proposition de règlement du Conseil instituant un régime communautaire de contrôle afin d’assurer le respect des règles de la politique commune de la pêche, suscité, points 29 et 30.

(8) Voir, à cet égard, le mémorandum de la Commission du 12.4.2011, MEMO/11/234.

(9) Le système de surveillance des navires (VMS) consiste en un dispositif de repérage par satellite installé à bord des navires de pêche qui collecte des données relatives à l’identification du navire de pêche, à sa position, à la date, à l’heure, au cap et à la vitesse et transmet ces données au centre de surveillance des pêches de l’État membre du pavillon (voir l’article 4, point 12, du règlement de contrôle).

(10) Le système d’identification automatique (AIS) est un système d’identification et de suivi autonome et continu des navires, qui permet aux navires d’échanger par voie électronique avec les autres navires à proximité et avec les autorités à terre les données du navire, et notamment son identification, sa position, son cap et sa vitesse (voir l’article 4, point 11, du règlement de contrôle).

(11) Le système de détection des navires (VDS) est un système de télédétection par satellite qui peut identifier les navires et déterminer leur position en mer (voir l’article 4, point 13, du règlement de contrôle).

(12) Aux termes de l’article 145, paragraphe 3, «Tous les résultats du système de validation informatique, à la fois positifs et négatifs, sont stockés dans une base de données. Il doit être possible de mettre en évidence immédiatement toute incohérence et tout problème de non-conformité constatés par les procédures de validation, ainsi que le suivi de ces incohérences. Il doit être possible également de retrouver l’identification des navires de pêche, des capitaines de navires ou des opérateurs pour lesquels des incohérences et des problèmes éventuels de non-conformité ont été constatés à plusieurs reprises au cours des trois dernières années».

(13) Article 8 de la Charte des droits fondamentaux de l’Union européenne, article 6, paragraphe 1, point b), de la directive 95/46/CE et article 4, paragraphe 1, point b), du règlement (CE) no 45/2001.

(14) Article 6, paragraphe 1, point e), de la directive 95/46/CE et article 4, paragraphe 1, point e), du règlement (CE) no 45/2001.

(15) Comme recommandé préalablement dans l’avis de 2009, voir le point 22.