À la suite de propositions du groupe sur les preuves en nuage, le comité de la convention sur la cybercriminalité a adopté plusieurs recommandations visant à remédier – notamment en négociant un deuxième protocole additionnel à la convention sur la cybercriminalité relatif à la coopération internationale renforcée – au problème lié au fait que les preuves électroniques concernant la cybercriminalité et d’autres infractions sont de plus en plus détenues par des fournisseurs de services sur le territoire de juridictions étrangères, tandis que les pouvoirs des services répressifs restent limités par les frontières territoriales. En juin 2017, le comité de la convention sur la cybercriminalité a approuvé le mandat pour la préparation d’un deuxième protocole additionnel à la convention au cours de la période de septembre 2017 à décembre 2019. Compte tenu de la nécessité de disposer de plus de temps pour achever les discussions, ainsi que des contraintes imposées par la pandémie de COVID-19 en 2020 et 2021, le comité de la convention sur la cybercriminalité a ensuite prorogé ce mandat à deux reprises, jusqu’en décembre 2020, puis jusqu’en mai 2021.

La convention de Budapest du Conseil de l’Europe sur la cybercriminalité (STCE nº 185) (ci-après la «convention») a pour objectif de faciliter la lutte contre les infractions pénales commises au moyen des réseaux informatiques. 1) Elle contient des dispositions harmonisant les éléments constitutifs des infractions en droit pénal matériel national et des dispositions connexes dans le domaine de la cybercriminalité, 2) elle prévoit les pouvoirs nécessaires en droit pénal procédural national pour les enquêtes et les poursuites concernant ces infractions ainsi que d’autres infractions commises au moyen d’un système informatique ou dont les preuves revêtent une forme électronique, et 3) elle vise à mettre en place un système rapide et efficace de coopération internationale.

Les preuves électroniques revêtent une importance croissante pour les enquêtes pénales. La Commission estime qu’à l’heure actuelle, les services répressifs et les autorités judiciaires ont besoin d’avoir accès à des preuves électroniques dans 85 % des enquêtes pénales, y compris en matière de cybercriminalité. Les preuves d’infractions pénales étant de plus en plus détenues sous forme électronique par des fournisseurs de services sur le territoire de juridictions étrangères et, pour permettre une réponse effective de la justice pénale, il est nécessaire d'obtenir ces preuves par des mesures appropriées afin de défendre l’état de droit.

Sur cette base, l’article 14, paragraphes 2 à 15, énonce les principes fondamentaux en matière de protection des données, y compris la limitation au regard de la finalité, la base juridique, la qualité des données et les règles applicables au traitement de catégories particulières de données, les obligations applicables aux responsables du traitement, notamment pour la conservation, la tenue de registres, la sécurité et les transferts ultérieurs, les droits individuels opposables, y compris en ce qui concerne la notification, l’accès, la rectification et la prise de décision automatisée, la supervision indépendante et effective par une ou plusieurs autorités ainsi que les recours administratifs et judiciaires. Les garanties couvrent toutes les formes de coopération présentées dans le protocole, moyennant des adaptations, s’il y a lieu, pour tenir compte des spécificités de la coopération directe (par exemple, dans le contexte de la notification d’une violation). L’exercice de certains droits individuels peut être retardé, limité ou refusé lorsque cela est nécessaire et proportionné pour poursuivre des objectifs d’intérêt public importants, en particulier pour éviter de mettre en péril une enquête en cours menée par des services répressifs, ce qui est également conforme au droit de l’Union.

Le chapitre II du protocole prévoit des dispositions pour renforcer la coopération. Tout d’abord, l’article 5, paragraphe 1, prévoit que les parties s’assurent la coopération mutuelle la plus large possible. L’article 5, paragraphes 2 à 5, détermine l’application des mesures du protocole par rapport aux traités ou arrangements d’entraide existants. L’article 5, paragraphe 7, indique que les mesures visées au chapitre II ne restreignent pas la coopération entre les parties, ou entre les parties et les fournisseurs de services ou d’autres entités, par le biais d’autres accords, arrangements, pratiques ou le droit interne applicables.

Le protocole reconnaît également que des conditions et garanties effectives en matière de protection des droits fondamentaux sont indispensables pour une coopération transfrontière efficace aux fins de la justice pénale, y compris entre les secteurs public et privé. À cette fin, le protocole suit une approche fondée sur les droits et prévoit des conditions et des garanties conformes aux instruments internationaux en matière de droits de l’homme, y compris la convention de sauvegarde des droits de l’homme et des libertés fondamentales du Conseil de l’Europe de 1950. Étant donné que les preuves électroniques concernent souvent des données à caractère personnel, le protocole prévoit également des garanties solides pour la protection de la vie privée et des données à caractère personnel.

L’objectif du protocole est de renforcer la coopération concernant la cybercriminalité et le recueil de preuves sous forme électronique d’une infraction pénale aux fins d’enquêtes ou de procédures pénales spécifiques. Le protocole reconnaît la nécessité d’une coopération accrue et plus efficace entre les États et le secteur privé et d’une plus grande clarté ou sécurité juridique pour les fournisseurs de services et autres entités concernant les circonstances dans lesquelles ils peuvent répondre à des demandes de divulgation de preuves électroniques émanant des autorités de justice pénale d’autres parties.

L’article 14 du protocole devrait également être lu en liaison avec l’article 23 du protocole. L’article 23 renforce l’effectivité des garanties prévues par le protocole en prévoyant que le comité de la convention sur la cybercriminalité évaluera la mise en œuvre et l’application des mesures prises dans la législation nationale pour donner effet aux dispositions du protocole. En particulier, l’article 23, paragraphe 3, reconnaît explicitement que la mise en œuvre par les parties de l’article 14 sera évaluée dès que dix parties à la convention auront exprimé leur consentement à être liées par le protocole. À titre de garantie supplémentaire, conformément à l’article 14, paragraphe 15, lorsqu’une partie dispose de preuves substantielles qu’une autre partie viole de manière systématique ou flagrante les garanties énoncées dans le protocole, elle peut suspendre le transfert de données à caractère personnel vers cette partie après consultation (laquelle n’est pas exigée en cas d’urgence). Toutes les données à caractère personnel transférées avant la suspension continuent à être traitées conformément au protocole. Enfin, compte tenu du caractère multilatéral du protocole, l’article 14, paragraphe 1, points b) et c), du protocole permet aux parties, dans le cadre de leurs relations bilatérales, de convenir, sous certaines conditions, d’autres moyens d’assurer la protection des données à caractère personnel transférées en vertu du protocole. Si les garanties prévues à l’article 14, paragraphes 2 à 15, s’appliquent par défaut aux parties recevant des données à caractère personnel, sur la base de l’article 14, paragraphe 1, point b), les parties liées mutuellement par un accord international établissant un cadre global pour la protection des données à caractère personnel, conformément aux exigences applicables de la législation des parties concernées, peuvent également s’appuyer sur ce cadre. Il s’agit par exemple de la convention 108+ (pour les parties qui autorisent les transferts de données vers d’autres parties en vertu de cette convention) ou de l’accord-cadre UE-États-Unis (dans le cadre de son champ d’application, c’est-à-dire pour le transfert de données à caractère personnel entre autorités et, en combinaison avec un accord spécifique de transfert entre les États-Unis et l’UE, pour la coopération directe entre les autorités et les fournisseurs de services). En outre, sur la base de l’article 14, paragraphe 1, point c), les parties peuvent également déterminer d’un commun accord que le transfert de données à caractère personnel a lieu sur la base d’autres accords ou arrangements entre les parties concernées. En ce qui concerne les États membres de l’UE, un autre accord ou arrangement de ce type ne peut être invoqué pour les transferts de données au titre du protocole que si ces transferts sont conformes aux exigences du droit de l’Union en matière de protection des données, à savoir le chapitre V de la directive (UE) 2016/680 (directive dans le domaine répressif) et (pour la coopération directe entre autorités et fournisseurs de services en vertu des articles 6 et 7 du protocole) le chapitre V du règlement (UE) 2016/679 (règlement général sur la protection des données).

2.2.4.Dispositions finales

Le chapitre IV du protocole comprend les dispositions finales. Entre autres, l’article 15, paragraphe 1, point a), garantit que les parties peuvent établir leurs relations concernant les questions traitées dans le protocole conformément à l’article 39, paragraphe 2, de la convention. L’article 15, paragraphe 1, point b), garantit que les États membres de l’UE qui sont parties au protocole peuvent continuer à appliquer le droit de l’Union dans leurs relations mutuelles. L’article 15, paragraphe 2, dispose également que l’article 39, paragraphe 3, de la convention s’applique au protocole.

L’article 16, paragraphe 3, indique que le protocole entrera en vigueur après que cinq parties à la convention auront exprimé leur consentement à être liées par le protocole.

L’article 19, paragraphe 1, prévoit que les parties peuvent se prévaloir de la ou des réserves prévues à l’article 7, paragraphe 9, points a) et b), à l’article 8, paragraphe 13, et à l’article 17. L’article 19, paragraphe 2, prévoit que les parties peuvent faire la ou les déclarations prévues à l’article 7, paragraphe 2, point b), et paragraphe 8, à l’article 8, paragraphe 11, à l’article 9, paragraphe 1, point b), et paragraphe 5, à l’article 10, paragraphe 9, à l’article 12, paragraphe 3, et à l’article 18, paragraphe 2. L’article 19, paragraphe 3, prévoit que toute partie à la convention fait toute(s) déclaration(s), notifications ou communications visées à l’article 7, paragraphe 5, points a) et e), à l’article 8, paragraphe 4 et paragraphe 10, points a) et b), à l’article 14, paragraphe 7, point c) et paragraphe 10, point b), et à l’article 17, paragraphe 2.

L’article 23, paragraphe 1, offre une base pour les consultations entre les parties, y compris par l’intermédiaire du comité de la convention sur la cybercriminalité, conformément à l’article 46 de la convention. L’article 23, paragraphe 2, offre également une base pour l’évaluation de l’utilisation et de la mise en œuvre des dispositions du protocole. L’article 23, paragraphe 3, garantit que l’examen de l’utilisation et de la mise en œuvre de l’article 14 relatif à la protection des données débute lorsque dix parties à la convention ont exprimé leur consentement à être liée par le protocole.

2.3.Droit et politique de l’Union dans le domaine

Le domaine régi par le protocole est couvert en grande partie par les règles communes fondées sur l’article 82, paragraphe 1, et l’article 16 du TFUE. Le cadre juridique actuel de l’Union européenne comprend notamment des instruments de coopération des services répressifs et judiciaires en matière pénale, tels que la directive 2014/41/UE concernant la décision d’enquête européenne en matière pénale, la convention relative à l’entraide judiciaire en matière pénale entre les États membres de l’Union européenne et la décision-cadre 2002/465/JAI du Conseil relative aux équipes communes d’enquête. Sur le plan extérieur, l’Union européenne a conclu plusieurs accords bilatéraux avec des pays tiers, tels que les accords en matière d’entraide judiciaire avec, respectivement, les États-Unis d’Amérique, le Japon ainsi que la Norvège et l’Islande. L’actuel cadre juridique de l’Union européenne comprend également le règlement (UE) 2017/1939 mettant en œuvre une coopération renforcée concernant la création du Parquet européen. Les États membres qui participent à cette coopération renforcée devraient veiller à ce que le Parquet européen puisse, dans l’exercice de ses compétences prévues par les articles 22, 23 et 25 du règlement (UE) 2017/1939, solliciter une coopération en vertu du protocole au même titre que les procureurs nationaux de ces États membres. Ces instruments et accords concernent notamment les articles 8, 9, 10, 11 et 12 du protocole.

Par ailleurs, l’Union a adopté plusieurs directives qui renforcent les droits procéduraux des suspects et des personnes poursuivies. Ces instruments concernent notamment les articles 6, 7, 8, 9, 10, 11, 12 et 13 du protocole. Un ensemble particulier de garanties touche à la protection des données à caractère personnel, qui constitue un droit fondamental consacré par les traités de l’UE et par la charte des droits fondamentaux de l’Union européenne. Les données à caractère personnel ne peuvent faire l’objet d’un traitement que dans le respect du règlement (UE) 2016/679 (règlement général sur la protection des données) et de la directive (UE) 2016/680 (directive en matière de protection des données dans le domaine répressif). Le droit fondamental de toute personne au respect de sa vie privée et familiale, de son domicile et de ses communications inclut le respect de la confidentialité de ses communications, en tant qu’élément essentiel de ce droit. Les données de communications électroniques ne peuvent faire l’objet d’un traitement que dans le respect de la directive 2002/58/CE (directive «vie privée et communications»). Ces instruments concernent, en particulier, l’article 14 du protocole.

L’article 14 du protocole prévoit, en ses paragraphes 2 à 15, des garanties appropriées en matière de protection des données au sens, d’une part, des règles de l’Union dans ce domaine, en particulier l’article 46 du règlement général sur la protection des données et l’article 37 de la directive en matière de protection des données dans le domaine répressif, et, d’autre part, de la jurisprudence pertinente de la Cour de justice de l’Union européenne. Conformément aux exigences du droit de l’Union et afin d’assurer l’effectivité des garanties énoncées à l’article 14 du protocole, les États membres devraient veiller à ce que les personnes dont les données ont été transférées en reçoivent notification, sous réserve de certaines restrictions, visant, par exemple, à éviter de compromettre des enquêtes en cours. L’article 14, paragraphe 11, point c), du protocole constitue la base juridique permettant aux États membres de satisfaire à cette exigence. La compatibilité de l’article 14, paragraphe 1, du protocole avec les règles de l’Union en matière de protection des données impose également aux États membres d’examiner les points suivants en ce qui concerne d’autres possibilités de garantir la protection appropriée des données à caractère personnel transférées au titre du protocole. Pour ce qui est d’autres accords internationaux établissant un cadre global pour la protection des données à caractère personnel conformément aux exigences applicables de la législation des parties concernées, en application de l’article 14, paragraphe 1, point b), les États membres devraient prendre en compte la nécessité, aux fins d’une coopération directe, de compléter l’accord-cadre UE-États-Unis par des garanties supplémentaires – qui doivent être prévues dans un arrangement de transfert spécial entre les États-Unis et l’UE/ses États membres – intégrant les exigences spécifiques d’un transfert de preuves électroniques effectué directement par des fournisseurs de services plutôt qu’entre autorités. De même, en application de l’article 14, paragraphe 1, point b), du protocole, les États membres ne devraient pas perdre de vue que, pour les États membres de l’UE qui sont parties à la convention 108+, cette dernière n’offre pas en soi une base appropriée pour les transferts de données transfrontières en vertu du protocole vers d’autres parties à cette convention. À cet égard, ils devraient prendre en compte l’article 14, paragraphe 1, dernière phrase, de la convention 108+. Enfin, pour ce qui est des autres accords ou arrangements visés à l’article 14, paragraphe 1, point c), les États membres devraient tenir compte du fait qu’ils ne peuvent se prévaloir de ces autres accords ou arrangements que si la Commission européenne a adopté, au sujet du pays tiers concerné, une décision d’adéquation conformément à l’article 45 du règlement général (UE) 2016/679 sur la protection des données ou à l’article 36 de la directive (UE) 2016/680 en matière de protection des données dans le domaine répressif, décision qui s’applique aux transferts de données respectifs, ou si cet autre accord ou arrangement prévoit lui-même des garanties appropriées en matière de protection des données conformément à l’article 46 du règlement général sur la protection des données ou à l’article 37, paragraphe 1, point a), de la directive en matière de protection des données dans le domaine répressif.

Il convient de prendre en compte non seulement l’état actuel du droit de l’Union dans le domaine concerné, mais également ses perspectives d’évolution, dans la mesure où celles-ci sont prévisibles au moment de l’analyse. Le domaine couvert par le protocole présente un intérêt direct pour les perspectives d’évolution prévisibles du droit de l’Union. À cet égard, il conviendrait de mentionner les propositions de la Commission relatives à l’accès transfrontière aux preuves électroniques d’avril 2018.

La Commission, tout en participant aux négociations au nom de l’Union, a veillé à ce que le protocole soit totalement compatible avec le droit de l’Union et les obligations qui incombent aux États membres en application de celui-ci. En particulier, la Commission a veillé à ce que les dispositions du protocole permettent aux États membres de respecter les droits fondamentaux, les libertés et les principes généraux du droit de l’Union, tels qu’inscrits dans les traités et la charte des droits fondamentaux de l’Union européenne, dont la proportionnalité, les droits procéduraux, la présomption d’innocence et les droits de la défense des personnes faisant l’objet d’une procédure pénale, ainsi que le respect de la vie privée, la protection des données à caractère personnel et des données de communications électroniques lorsqu’elles font l’objet d’un traitement, y compris les transferts aux services répressifs de pays non membres de l’Union européenne, et toute obligation qui incombe aux autorités répressives ou judiciaires à cet égard. La Commission a également pris en compte les avis respectifs du Contrôleur européen de la protection des données et du comité européen de la protection des données.

La Commission a en outre veillé à ce que les dispositions du protocole et les propositions de la Commission relatives aux preuves électroniques soient compatibles, notamment parce que ces projets d’actes législatifs ont évolué lors des discussions avec les colégislateurs, et à ce que le protocole ne donne pas lieu à des conflits de lois. En particulier, elle a veillé à ce que le protocole intègre des garanties appropriées en matière de protection des données et de la vie privée, ce qui permet aux fournisseurs de services de l’UE de se conformer aux obligations qui leur incombent en application de la législation de l’UE en matière de protection des données et de la vie privée, dans la mesure où le protocole sert de fondement juridique à des transferts de données à la suite d’injonctions ou de demandes émises par une autorité d’un État non membre de l’UE partie au protocole exigeant qu’un responsable du traitement ou un sous-traitant dans l’UE communique des données à caractère personnel ou des données de communications électroniques.

2.4.Réserves, déclarations, notifications et communications, et autres considérations

Le protocole fournit une base permettant aux parties de se prévaloir de certaines réserves et de faire des déclarations, des notifications ou des communications en ce qui concerne certains articles. Les États membres devraient adopter une approche uniforme de certaines réserves et déclarations, notifications et communications telles qu’énoncées en annexe de la présente décision. Afin que la mise en œuvre du protocole soit compatible avec le droit de l’Union, les États membres de l’UE devraient adopter la position exposée ci-après en ce qui concerne ces réserves et déclarations. Lorsque le protocole fournit une base pour d’autres réserves, déclarations, notifications ou communications, la présente proposition autorise les États membres à envisager leurs propres réserves, déclarations, notifications ou communications et à y procéder.