Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement en ce qui concerne la transformation du réseau d'information comptable agricole (RICA) en un réseau d’information sur la durabilité des exploitations agricoles (RIDEA)

(2022/C 440/06)

(Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD https://edps.europa.eu)

Le 22 juin 2022, la Commission européenne a publié une proposition de règlement du Parlement européen et du Conseil modifiant le règlement (CE) no 1217/2009 du Conseil en ce qui concerne la transformation du réseau d’information comptable agricole en un réseau d’information sur la durabilité des exploitations agricoles (1).

Cette proposition a pour objectif de réglementer le traitement de données à caractère personnel dans le contexte de la collecte de données et d’informations économiques, environnementales et sociales au niveau des exploitations; elle vise également à réglementer la gestion et l’utilisation ultérieures de ces données au sein du réseau d’information sur la durabilité des exploitations agricoles (RIDEA). À cet égard, le CEPD se félicite de la référence expresse à la nécessité de se conformer à la fois au règlement général sur la protection des données (RGPD (2)) et au règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’UE (RPDUE (3)). Il se félicite également que la proposition se réfère au RGPD et au RPDUE dans la définition des expressions pertinentes telles que «données à caractère personnel» et «traitement de données». Dans un souci de sécurité juridique, le CEPD recommande vivement de revoir les définitions proposées pour s’assurer qu’il soit fait référence au RGPD et au RPDUE d’une manière systématique et cohérente et pour éviter d’introduire des définitions de notions déjà couvertes par ces instruments.

Le CEPD note avec satisfaction que dans le cas où des données individuelles seraient partagées par la Commission ou des organes de liaison, les données relatives aux agriculteurs et tous les autres renseignements individuels obtenus en vertu de la présente proposition seront anonymisés ou pseudonymisés. L’anonymisation et la pseudonymisation constituent en effet des techniques importantes de réduction des risques inhérents à la protection des données. Le CEPD considère néanmoins qu'il convient d’établir une distinction claire entre ces deux notions, dans la mesure où des données pseudonymisées peuvent toujours être liées à une personne identifiable et dès lors être considérées comme étant à caractère personnel.

S’agissant de la publication des données provenant du RIDEA, le CEPD rappelle que toute obligation de publier des données à caractère personnel doit nécessairement, en plus d’être expressément prévue par la loi, satisfaire à toutes les exigences découlant de l'article 52, paragraphe 1, de la Charte des droits fondamentaux de l’Union européenne et de l'article 6, paragraphe 3, du RGPD. Il considère que, dans sa forme actuelle, la proposition soumise ne fournit aucune indication précise quant au motif d'intérêt public justifiant la publication de données à caractère personnel sous une forme identifiable, même dans l’hypothèse où ces données seraient pseudonymisées avant leur publication. Il recommande en conséquence que soit expressément spécifié que seules les données dûment anonymisées provenant du RIDEA puissent être rendues publiques.

Le CEPD estime que certaines précisions afférentes au traitement des données à caractère personnel devraient être prévues dans le texte même de la proposition, plutôt que de faire l’objet d'actes délégués. Le CEPD considère notamment que les catégories de données à caractère personnel, ainsi que les finalités spécifiques pour lesquelles elles peuvent être traitées, devraient directement être précisées dans la proposition. En outre, le CEPD recommande de préciser (selon des critères à définir) la période de conservation pour les catégories pertinentes de données à caractère personnel et de clarifier le rôle des acteurs concernés. Enfin, dans la mesure où la proposition vise à mettre en place un système informatisé destiné à établir un lien entre des bases de données, le CEPD recommande d’inclure dans la proposition une description détaillée de l’outil informatique, y compris des rôles et responsabilités en matière de protection des données et des mesures de protection applicables en la matière.

1. INTRODUCTION

1. Le 22 juin 2022, la Commission européenne a publié une proposition de règlement du Parlement européen et du Conseil modifiant le règlement (CE) n o 1217/2009 du Conseil en ce qui concerne la transformation du réseau d’information comptable agricole en un réseau d’information sur la durabilité des exploitations agricoles.

2. o 1217/2009 du Conseil La proposition a pour objectif principal de modifier le règlement (CE) n1217/2009 du Conseil ( 4 ) afin de transformer le réseau d’information comptable agricole (RICA) en un réseau d’information sur la durabilité des exploitations agricoles (RIDEA), en vue de collecter des données sur la durabilité au niveau des exploitations. La transformation permettrait aussi de contribuer à l’amélioration des services de conseil aux agriculteurs et de comparer les performances des exploitations.

3. Actuellement, les données sont collectées principalement pour évaluer les aspects économiques des exploitations agricoles, alors qu’il est nécessaire d’évaluer la durabilité globale de l’exploitation, en incluant des données environnementales liées au sol, à l’air, à l’eau et à la biodiversité, ainsi que des données portant sur la dimension sociale de l’agriculture. Le passage à un réseau d’information sur la durabilité des exploitations agricoles permettrait de comparer les performances des exploitations aux moyennes régionales, nationales et sectorielles. En ce qui concerne les données comptables, les comptabilités des exploitations agricoles constituent la source la plus importante pour évaluer les revenus des exploitations agricoles et analyser leur fonctionnement économique. Les informations recueillies pourraient également être utilisées pour proposer des services de conseil et un retour d’information personnalisés aux agriculteurs, dans le but d’améliorer la durabilité des exploitations agricoles ( 5 ) ..

4. La proposition de règlement modifierait aussi la manière dont les données seraient collectées, en prévoyant notamment l’interopérabilité avec d’autres systèmes contenant des données agricoles, ce qui permettrait de combiner des données initialement collectées en vue de poursuivre des finalités différentes. À cette fin, un identifiant d’exploitation unique serait introduit. La proposition prescrit également la publication des données provenant du RIDEA.

5. Le présent avis est émis par le CEPD en réponse à une demande de consultation présentée par la Commission européenne le 22 juin 2022, en vertu de l’article 42, paragraphe 1, du RPDUE. Le CEPD invite dès lors les colégislateurs à faire expressément référence à cette consultation dans l’un des considérants de la proposition.

4. CONCLUSIONS

32. À la lumière des considérations qui précèdent, le CEPD émet les recommandations suivantes: a) revoir les définitions proposées pour s’assurer qu’il soit fait référence au RGPD et au RPDUE d’une manière systématique et cohérente et pour éviter d’introduire des définitions de notions déjà couvertes par ces instruments; b) modifier le considérant 8 et l’article 16, paragraphe 2, de la proposition de façon à ne plus aucunement suggérer que la pseudonymisation éviterait toute possibilité d’identification; c) préciser, à l’article 16 de la proposition, que seules les données dûment anonymisées provenant du RIDEA peuvent effectivement être rendues publiques; d) préciser les catégories de données à caractère personnel de manière à garantir que le traitement de données à caractère personnel soit limité à ce qui est directement pertinent et nécessaire au regard des finalités prévues par la proposition; e) préciser, dans le dispositif de la proposition, l’ensemble des finalités pour lesquelles les données à caractère personnel sont susceptibles d’être traitées; f) prévoir une période de conservation pour les catégories pertinentes de données à caractère personnel ou, à tout le moins, fixer des critères permettant de définir ces périodes, tout en tenant compte des finalités du traitement; g) déterminer clairement les rôles des différents acteurs intervenant en tant que responsables du traitement, responsables conjoints du traitement ou sous-traitants; h) dans la mesure où la proposition vise à mettre en place un système informatisé destiné à établir un lien entre des bases de données, inclure dans la proposition une description détaillée de l’outil informatique, y compris des rôles et responsabilités en matière de protection des données et des mesures de protection applicables en la matière.

Bruxelles, le 11 août 2022. Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 296 final.

(2) Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1).

(3) Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n° 45/2001 et la décision n° 1247/2002/CE (JO L 295 du 21.11.2018, p. 39).

(4) Règlement (CE) no 217/2009 du Conseil du 30 novembre 2009 portant création d'un réseau d'information comptable agricole sur les revenus et l'économie des exploitations agricoles dans la Communauté européenne (JO L 328 du 15.12.2009, p. 27).

(5) Considérant 4 de la proposition.