Résumé de l’avis du Contrôleur européen de la protection des données sur le mandat de négociation en vue de la conclusion d’un accord international sur l’échange de données à caractère personnel entre Europol et les autorités répressives néo-zélandaises

(Le texte complet de l’avis en allemand, anglais et français est disponible sur le site internet du CEPD www.edps.europa.eu)

(2020/C 182/08)

Le 30 octobre 2019, la Commission européenne a adopté une recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et la Nouvelle-Zélande sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités néo-zélandaises compétentes pour lutter contre les formes graves de criminalité et le terrorisme. L’accord envisagé a pour objectif de constituer la base juridique du transfert de données à caractère personnel entre Europol et les autorités compétentes de la Nouvelle-Zélande respectivement, afin d’appuyer et de renforcer leurs actions ainsi que leur collaboration mutuelle dans la prévention des formes graves de criminalité transnationale et du terrorisme et dans la lutte contre ceux-ci, tout en offrant des garanties appropriées en ce qui concerne la protection de la vie privée, des données à caractère personnel et des autres libertés et droits fondamentaux des personnes.

Les transferts de données à caractère personnel collectées dans le cadre d’enquêtes pénales et traitées ensuite par Europol pour produire des renseignements en matière pénale sont susceptibles d’avoir une incidence considérable sur la vie des personnes concernées. C’est pourquoi l’accord international doit garantir que les limitations des droits à la vie privée et à la protection des données dans le cadre de la lutte contre les formes graves de criminalité et le terrorisme s’opèrent dans les limites du strict nécessaire.

Le CEPD note que la Nouvelle-Zélande dispose d’une législation nationale bien établie en matière de protection des données et d’une autorité indépendante chargée de la protection des données, compétente pour superviser également les autorités répressives. En outre, il salue le fait que la Commission ait intégré dans la proposition de mandat de négociation avec la Nouvelle-Zélande un certain nombre de recommandations spécifiques déjà indiquées par le CEPD dans son avis 2/2018 sur huit mandats de négociation en vue de la conclusion d’accords internationaux autorisant l’échange de données entre Europol et des pays tiers.

Par conséquent, les recommandations formulées dans le présent avis visent à préciser et, le cas échéant, à développer davantage les garanties et les contrôles en matière de protection des données à caractère personnel, en tenant compte du contexte spécifique de la Nouvelle-Zélande. À cette fin, le CEPD formule les recommandations suivantes:

— la décision du Conseil autorisant l’ouverture de négociations en vertu de l’article 218 du TFUE devrait comporter une référence non seulement à la base juridique procédurale, mais également à la base juridique matérielle pertinente, qui devrait comprendre l’article 16 du TFUE,

— conformément au principe de limitation de la finalité, l’accord envisagé devrait établir explicitement la liste des infractions pénales pour lesquelles des données à caractère personnel pourraient être échangées,

— en vue de la mise en œuvre concrète du principe de limitation de la conservation, le futur accord devrait prévoir expressément un examen périodique de la nécessité de conserver les données à caractère personnel qui ont été transférées,

— étant donné l’importance du droit à l’information pour l’exercice des autres droits en matière de protection des données, l’accord devrait comporter des règles claires et détaillées concernant les informations qui devraient être fournies aux personnes concernées.

Enfin, le CEPD s’attend à être consulté à des stades ultérieurs de la finalisation du projet d’accord, conformément à l’article 42 du règlement (UE) 2018/1725. Il se tient à disposition pour tout conseil complémentaire au cours des négociations

1. Introduction et contexte

1. Le règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI ( 1 ) (ci-après le «règlement Europol»), fixe des règles spécifiques concernant les transferts de données effectués par Europol en dehors de l’Union européenne. Son article 25, paragraphe 1, énumère un certain nombre de fondements juridiques sur lesquels Europol pourrait s’appuyer pour transférer en toute légalité des données aux autorités de pays tiers. L’un de ces fondements serait une décision d’adéquation de la Commission adoptée conformément à l’article 36 de la directive (UE) 2016/680, selon laquelle le pays tiers vers lequel Europol transfère des données assure un niveau de protection adéquat. Étant donné qu’il n’existe pas actuellement de telles décisions d’adéquation, un autre fondement sur lequel Europol pourrait s’appuyer pour transférer régulièrement des données vers un pays tiers serait la conclusion d’un accord international contraignant entre l’Union européenne et le pays tiers destinataire offrant des garanties suffisantes au regard de la protection de la vie privée et des autres libertés et des droits fondamentaux des personnes.

2. Aucune base juridique ne permet à l’heure actuelle l’échange régulier et structuré de données à caractère personnel entre les autorités répressives néo-zélandaises et Europol. Europol et la police néo-zélandaise ont signé un arrangement de travail en avril 2019. Celui-ci établit un cadre pour une coopération structurée au niveau stratégique, qui comprend notamment une ligne sécurisée permettant une communication directe sécurisée, et la Nouvelle-Zélande a détaché un officier de liaison auprès d’Europol. Cet arrangement ne constitue toutefois pas une base juridique pour l’échange de données à caractère personnel.

3. La Commission estime que la Nouvelle-Zélande doit être incluse parmi les pays prioritaires avec lesquels entamer des négociations à brève échéance compte tenu de la stratégie politique exposée dans le programme européen en matière de sécurité ( 2 ) , les conclusions du Conseil sur l’action extérieure de l’UE en matière de lutte contre le terrorisme ( 3 ) et la stratégie globale ( 4 ) et des besoins opérationnels des autorités répressives dans l’ensemble de l’Union européenne. Elle souligne que les bénéfices potentiels d’une coopération plus étroite ont également été démontrés au travers du suivi de l’attentat de Christchurch de mars 2019. La Nouvelle-Zélande a officiellement demandé, le 23 août 2019, que l’initiative soit prise.

4. Le 30 octobre 2019, la Commission européenne a adopté une recommandation de décision du Conseil autorisant l’ouverture de négociations en vue d’un accord entre l’Union européenne et la Nouvelle-Zélande sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités néo-zélandaises compétentes pour lutter contre les formes graves de criminalité et le terrorisme ( 5 ) (ci-après la «recommandation»). L’annexe de la recommandation (ci-après l’«annexe») établit les directives de négociation du Conseil à l’intention de la Commission, c’est-à-dire les objectifs que celle-ci devrait s’efforcer d’atteindre au nom de l’Union européenne au cours des négociations.

5. L’accord a pour objectif de constituer la base juridique du transfert de données à caractère personnel entre Europol et les autorités compétentes de la Nouvelle-Zélande respectivement, afin d’appuyer et de renforcer l’action des autorités compétentes de ce pays et des États membres ainsi que leur collaboration mutuelle dans la prévention des formes graves de criminalité transnationale et du terrorisme et dans la lutte contre ceux-ci, tout en offrant des garanties appropriées en ce qui concerne la protection de la vie privée, des données à caractère personnel et des libertés et droits fondamentaux des personnes ( 6 )

6. Conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725, la Commission doit consulter le CEPD à la suite de l’adoption de propositions de recommandations au Conseil en vertu de l’article 218 du TFUE en cas d’incidence sur la protection des droits et libertés des personnes physiques à l’égard du traitement des données à caractère personnel.

7. Par ailleurs, le considérant 35 du règlement Europol dispose que «[l]e cas échéant et conformément au règlement (UE) 2018/1725, la Commission devrait pouvoir consulter le Contrôleur européen de la protection des données (CEPD) avant et pendant la négociation d’un accord international» entre l’Union européenne et un pays tiers afin d’autoriser l’échange de données entre Europol et les autorités de ce pays tiers.

8. Le CEPD se réjouit d’avoir été consulté par la Commission européenne sur la recommandation et espère qu’une référence au présent avis sera intégrée dans le préambule de la décision du Conseil. Le présent avis est sans préjudice des observations supplémentaires que le CEPD pourrait formuler ultérieurement sur la base des informations disponibles.

4. Conclusions

27. Les transferts de données à caractère personnel collectées dans le cadre d’enquêtes pénales et traitées ensuite par Europol pour produire des renseignements en matière pénale sont susceptibles d’avoir une incidence considérable sur la vie des personnes concernées car ils serviront éventuellement dans le cadre de poursuites engagées dans le pays destinataire en vertu de son droit national. Par conséquent, l’accord international doit garantir que les limitations des droits à la vie privée et à la protection des données dans le cadre de la lutte contre les formes graves de criminalité et le terrorisme s’opèrent dans les limites du strict nécessaire.

28. Le CEPD se félicite de l’objectif du mandat de négociation visant à garantir le respect des droits fondamentaux et à observer les principes qui sont reconnus par la charte, en particulier le droit à la vie privée et familiale, prévu à l’article 7 de la charte, le droit à la protection des données à caractère personnel, prévu à l’article 8 de la charte, et le droit à un recours effectif et à accéder à un tribunal impartial, prévu à l’article 47 de la charte. En outre, le CEPD salue le fait que la Commission ait intégré dans la proposition de mandat de négociation avec la Nouvelle-Zélande un certain nombre de recommandations spécifiques déjà indiquées par le CEPD dans son avis 2/2018 sur huit mandats de négociation en vue de la conclusion d’accords internationaux autorisant l’échange de données entre Europol et des pays tiers.

29. Les recommandations du CEPD formulées dans le présent avis visent à préciser et, le cas échéant, à développer davantage les garanties et les contrôles prévus dans le futur accord en ce qui concerne la protection des données à caractère personnel dans le contexte spécifique de la Nouvelle-Zélande. Elles sont sans préjudice des éventuelles recommandations supplémentaires que le CEPD pourrait formuler sur la base de nouvelles informations disponibles au cours des négociations.

30. À cet effet, le CEPD réaffirme sa position, déjà exprimée dans ses avis précédents ( 7 ) , selon laquelle la décision du Conseil autorisant l’ouverture de négociations en vertu de l’article 218 du TFUE devrait comporter une référence non seulement à la base juridique procédurale, mais également à la base juridique matérielle pertinente, qui devrait comprendre l’article 16 du TFUE. Par ailleurs, conformément au principe de limitation de la finalité, le futur accord devrait établir explicitement la liste des infractions pénales pour lesquelles des données à caractère personnel pourraient être échangées. En outre, pour assurer la mise en œuvre concrète du principe de limitation de la conservation, le futur accord devrait prévoir expressément un examen périodique de la nécessité de conserver les données à caractère personnel qui ont été transférées. Enfin, étant donné l’importance particulière du droit à l’information pour l’exercice des autres droits en matière de protection des données, le CEPD souligne la nécessité d’établir des règles claires et détaillées concernant les informations qui devraient être fournies aux personnes concernées.

31. Le CEPD reste à la disposition de la Commission, du Conseil et du Parlement européen pour fournir des conseils au cours des étapes ultérieures de ce processus. Les observations présentées dans le présent avis sont sans préjudice des observations supplémentaires que le CEPD pourrait formuler ultérieurement, notamment si de nouveaux problèmes étaient soulevés et abordés à la lumière d’informations complémentaires. À cette fin, le CEPD s’attend à être ultérieurement consulté à propos des dispositions du projet d’accord avant que celui-ci ne soit finalisé.

Fait à Bruxelles, le 31 janvier 2020. Wojciech Rafał WIEWIÓROWSKI Contrôleur européen de la protection des données

(1) JO L 135 du 24.5.2016, p. 53.

(2) COM(2015) 185 final.

(3) Document 10384/17 du Conseil du 19 juin 2017.

(4) Vision partagée, action commune: Une Europe plus forte — une stratégie globale pour la politique étrangère et de sécurité de l’Union européenne, http://europa.eu/globalstrategy/fr

(5) COM(2019) 551 final.

(6) Voir la directive 1 de l’annexe.

(7) Voir l’avis 6/2019 du CEPD sur le mandat de négociation d’un accord entre l’UE et le Japon pour le transfert et l’utilisation de données des dossiers passagers, l’avis 2/2019 du CEPD sur le mandat de négociation d’un accord entre l’Union européenne et les États-Unis d’Amérique sur l’accès transfrontière aux preuves électroniques et l’avis 3/2019 du CEPD relatif à la participation aux négociations en vue d’un deuxième protocole additionnel à la convention de Budapest sur la cybercriminalité, disponibles à l’adresse suivante: https://edps.europa.eu/data-protection/our-work/our-work-by-type/opinions_fr