FR Journal officiel de l'Union européenne C 313/26

Avis du Contrôleur européen de la protection des données concernant la proposition de décision-cadre du Conseil relative à l'organisation et au contenu des échanges d'informations extraites du casier judiciaire entre les États membres (COM(2005) 690 final)

(2006/C 313/12)

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité instituant la Communauté européenne, et notamment son article 286,

vu la Charte des droits fondamentaux de l'Union européenne, et notamment son article 8,

vu la directive 95/46/CE du Parlement européen et du Conseil du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données,

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, et notamment son article 41,

vu la demande d'avis formulée conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001, adressée au CEPD le 19 janvier 2006,

A ADOPTÉ L'AVIS SUIVANT:

I. OBSERVATIONS PRÉLIMINAIRES

1. Conformément à l'article 28, paragraphe 2, du règlement 45/2001/CE, la Commission a soumis au CEPD pour avis la proposition de décision-cadre du Conseil relative à l'organisation et au contenu des échanges d'informations extraites du casier judiciaire entre les États membres. Le CEPD estime que le présent avis devrait être mentionné dans le préambule de la décision-cadre.

2. La décision-cadre à l'examen abrogera la décision 2005/876/JAI du Conseil du 21 novembre 2005 relative à l'échange d'informations extraites du casier judiciaire (1), qui avait un horizon temporel limité et était motivée par l'urgence. Le 13 janvier 2005, le CEPD a rendu son avis sur la proposition de décision du Conseil en question (2). Dans cet avis, certaines questions cruciales concernant l'échange d'informations extraites du casier judiciaire ont été examinées, par exemple la nécessité et la proportionnalité de l'instrument proposé. Le CEPD avait fait part de ses réserves concernant le champ d'application de l'instrument (son application n'étant pas limitée à certaines infractions graves) et les garanties qu'offre la proposition aux personnes concernées.

3. Ces questions seront de nouveau examinées dans le présent avis. En outre, il sera tenu compte du fait que la proposition à l'examen est beaucoup plus approfondie et qu'elle envisage la création d'un système permanent d'échanges d'informations dans un domaine caractérisé par une très grande diversité des lois des États membres relatives au casier judiciaire.

4. Le présent avis examinera d'abord le contexte de la proposition. Dans une Union européenne sans frontières internes, l'efficacité de la lutte contre la criminalité nécessite, au minimum, une étroite coopération entre les autorités des États membres. Il existe toutefois d'importants obstacles à une telle coopération, en partie parce que la lutte contre la criminalité relève pour l'essentiel de la compétence des États membres.

5. Deuxièmement, le CEPD tiendra compte du fait qu'un cadre pour l'échange d'informations peut être établi selon plusieurs modèles dont les effets sur la protection des données sont différents. Le présent avis examinera les principaux éléments de la proposition, dans une section générale puis article par article, et, ce faisant, se livrera entre autres à un examen approfondi des questions qui suivent: — Les grandes options qui sous-tendent la proposition. La proposition concerne le casier judiciaire des ressortissants des États membres mais ne prévoit ni la création de bases de données centralisées au niveau européen, ni l'accès direct des autorités d'un État membre aux bases de données d'autres États membres, ni une coopération par le biais d'Eurojust. — Les garanties en matière de protection des données. L'article 9 de la proposition fixe les conditions d'utilisation des données à caractère personnel et prévoit des restrictions en ce qui concerne les finalités et l'utilisation ultérieure. La proposition ne traite pas de ses rapports avec les règles générales concernant la protection des données dans le cadre du troisième pilier, établies par la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale. — La répartition des responsabilités, puisque, comme nous le verrons, trois États membres au moins pourraient être concernés. Il faut déterminer clairement quel État membre est chargé, entre autres, de l'inclusion des données dans le casier judiciaire, de leur mise à jour, de leur traitement et de leur utilisation ultérieure. Cette question est d'autant plus importante que le cadre juridique des États membres en la matière n'est pas harmonisé, comme souligné à la section II. Dans ce contexte, il faut également déterminer clairement comment assurer un contrôle adéquat de l'utilisation des données à caractère personnel.

II. CONTEXTE

6. Selon la déclaration du Conseil européen des 25 et 26 mars 2004 sur la lutte contre le terrorisme, la création d'un registre européen recensant les condamnations et les interdictions figure parmi les mesures législatives qui permettraient de consolider le cadre juridique de la lutte contre le terrorisme.

7. Dans le programme de La Haye, il semble que l'objectif et les ambitions aient changé. En ce qui concerne l'objectif, ledit programme établit un lien entre la proposition et les informations issues des registres nationaux des condamnations et déchéances, notamment celles concernant les délinquants sexuels. En ce qui concerne les ambitions, une proposition a été annoncée sur l'intensification de l'échange d'informations issues des casiers judiciaires nationaux (dans le domaine de la coopération judiciaire en matière pénale, dans la section concernant la reconnaissance mutuelle).

8. La proposition à l'examen est l'un des nombreux instruments juridiques visant à améliorer l'échange d'informations entre les services répressifs des États membres. Comme le prévoit le traité sur l'UE (notamment aux articles 29 à 31), les instruments destinés à intensifier la coopération entre les États membres jouent un rôle central dans le cadre du troisième pilier. Ainsi, ledit troisième pilier offre d'abord un cadre permettant une confiance et une reconnaissance mutuelles et, dans une mesure nettement moindre, une harmonisation des droits nationaux. C'est pourquoi la proposition est liée aux objectifs visés au titre VI du traité sur l'UE. Cependant, comme des compétences essentielles continuent de relever des États membres, il convient d'accorder une attention particulière à l'efficacité du nouvel instrument juridique, vu la multiplicité des niveaux de compétence.

9. En outre, il faut évaluer la proposition à la lumière du cadre juridique existant en matière d'échange d'informations extraites du casier judiciaire. Le principal instrument juridique concerné est la Convention européenne d'entraide judiciaire en matière pénale de 1959. La proposition ne vise pas à changer fondamentalement le système d'échange mis en place par la convention. Au contraire, elle vise à renforcer l'efficacité du système actuel, notamment en établissant le cadre permettant de créer un système informatisé d'échanges d'informations sur les condamnations pénales.

10. Toutefois, les différences linguistiques et la disparité des cadres technologiques et juridiques des États membres font obstacle à un fonctionnement réellement efficace de l'échange d'informations extraites du casier judiciaire entre les États membres. Manifestement, les lois nationales sur les casiers judiciaires ne sont pas suffisamment harmonisées. Les législations nationales diffèrent en ce qui concerne les condamnations qui doivent figurer dans le casier judiciaire, la durée pendant laquelle ces condamnations restent inscrites au casier, les informations extraites du casier qui doivent être transmises aux tiers ainsi que les fins auxquelles lesdites informations peuvent être communiquées. À cet égard, on peut se reporter aux observations formulées par le CEPD dans son avis sur la proposition de décision-cadre du Conseil relative à l'échange d'informations en vertu du principe de disponibilité (3). D'autres mesures sont nécessaires pour garantir que les informations puissent effectivement être trouvées et consultées (voir également les points 50 à 54 du présent avis).

Cadre général pour la protection des données à caractère personnel

11. La proposition n'examine pas d'une façon exhaustive la question de la protection des données à caractère personnel. Seules quelques dispositions traitent spécifiquement de cette question. Ceci est parfaitement compréhensible, dans la mesure où le considérant 10 de la proposition renvoie explicitement à la (proposition de) décision-cadre relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale. En effet, cette décision-cadre s'appliquerait, en tant que lex generalis, aux opérations de traitement effectuées dans le cadre des échanges d'informations extraites du casier judiciaire, alors que les dispositions plus particulières en matière de protection des données prévues dans la proposition à l'examen devraient être considérées comme une lex specialis. Par exemple, les règles en matière d'accès sont plus favorables à la personne concernée (voir en outre, dans le présent avis, les observations concernant l'article 9).

12. Le CEPD appuie cette approche, comme il l'a déjà souligné dans de précédents avis (4). Toutefois, la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel est encore examinée par le Parlement européen et le Conseil, et certaines questions fondamentales sont loin d'être résolues, par exemple celles du champ d'application et des garanties en cas de transfert vers des pays tiers. Cette situation a d'importantes conséquences pour l'évaluation de la proposition actuelle.

13. Il s'ensuit tout d'abord que la proposition à l'examen ne peut, en elle-même, garantir une protection suffisante des données à caractère personnel dans le cadre de l'échange d'informations extraites du casier judiciaire. Par conséquent, le CEPD souligne que la décision-cadre du Conseil à l'examen ne devrait pas entrer en vigueur avant la décision-cadre du Conseil sur la protection des données à caractère personnel. Il conviendrait qu'une disposition spécifique, figurant dans l'un des articles finals de la proposition à l'examen, garantisse cet ordre d'entrée en vigueur.

14. En outre, il est extrêmement difficile d'évaluer les garanties en matière de protection des données qu'offre la proposition actuelle sans disposer d'une vue d'ensemble claire et stable des règles générales en matière de protection des données dans le cadre du troisième pilier. Ainsi, la proposition à l'examen envisage également des transferts de données à caractère personnel vers des pays tiers mais, partant du principe que des règles générales figureront dans la décision-cadre du Conseil sur la protection des données à caractère personnel, elle ne prévoit que quelques garanties plus particulières, d'ailleurs partielles (voir aussi les observations relatives à l'article 7). D'une manière générale, toute modification importante du champ d'application et de la teneur de la décision-cadre sur la protection des données à caractère personnel aura, en raison des négociations qui ont lieu au sein du Conseil, une incidence directe sur les garanties en matière de protection des données dans le domaine des échanges d'informations extraites du casier judiciaire. Le CEPD recommande que le Conseil établisse un lien étroit entre les négociations relatives à la proposition à l'examen et les négociations relatives à la décision-cadre sur la protection des données à caractère personnel.

III. PRINCIPAUX ÉLÉMENTS DE LA PROPOSITION

15. Tout d'abord, la proposition ne couvre pas les condamnations prononcées dans les États membres à l'encontre de ressortissants de pays tiers. Pour des raisons évidentes, le système proposé ne peut s'appliquer dans de tels cas, les pays tiers n'étant pas soumis au droit de l'Union européenne.

16. Le CEPD considère que, dans une certaine mesure, les instruments juridiques existants permettent l'échange d'informations sur des ressortissants des pays tiers ayant fait l'objet d'une condamnation. En particulier, l'obligation d'introduire certaines données sur ces personnes dans le Système d'information Schengen (5) garantit que les informations relatives à certaines condamnations soient disponibles dans l'ensemble de l'Union européenne. Par ailleurs, le système d'informations établi par l'article 7 de la Convention Europol envisage l'échange de données, notamment, sur les personnes condamnées pour une infraction. Toutefois, les objectifs de la collecte de données à caractère personnel, au titre de ces instruments existants, et ceux de l'inclusion de ces données dans un casier judiciaire ne sont pas les mêmes. Par conséquent, le recours aux données recueillies en application de l'un de ces instruments existants, dans le cadre d'une procédure pénale, ne serait pas toujours conforme au principe de limitation de la finalité.

17. En outre, les instruments existants ne garantissent pas que les informations de tous les casiers judiciaires puissent être échangées, surtout celles qui concernent des personnes non couvertes par la définition qui figure aux articles 95 et 96 de la Convention d'application de Schengen. Enfin, la situation juridique de ces ressortissants n'est pas claire. Par exemple, l'article 14, paragraphe 4, prévoit l'abrogation de la décision du 21 novembre 2005 (6), qui s'applique aux ressortissants des pays tiers.

18. Un autre système pourrait s'avérer nécessaire pour les ressortissants des pays tiers. Selon l'exposé des motifs, les États membres sont favorables à la création d'un index des personnes condamnées pour lesdits ressortissants. La Commission a annoncé qu'elle présenterait, pour le quatrième trimestre de 2006, une proposition concernant l'échange d'informations sur les condamnations prononcées à l'encontre de ces ressortissants. Le CEPD évaluera cette proposition après son adoption.

19. Deuxièmement, la proposition ne débouche nullement sur la création d'un casier judiciaire européen, ni sur l'établissement, au niveau européen, de toute autre base de données contenant des informations de fond. Les principaux effets de la proposition, en ce qui concerne les bases de données, sont que les casiers judiciaires existants au niveau national doivent être centralisés, que les informations concernant des ressortissants condamnés dans d'autres États membres doivent être introduites et que des systèmes techniques facilitant l'échange d'informations entre les États membres devront être créés et développés. Le CEPD se félicite du fait que la proposition n'encourage pas l'interconnexion sans condition des bases de données et, par conséquent, la mise en place d'un réseau de bases de données difficile à contrôler (7).

20. Troisièmement, le CEPD souligne que la proposition semble établir, d'une manière générale, un système adéquat et, a priori, efficace d'échange d'informations, et met l'accent, en particulier, sur les éléments suivants, qui constituent les points essentiels de la proposition.

21. Selon l'article 4, paragraphe 2, de la proposition, un État membre qui prononce une condamnation pénale à l'encontre d'un ressortissant d'un autre État membre et inscrit cette condamnation dans le casier judiciaire de la personne concernée en informe cet autre État membre. L'article 5 dispose que l'État membre de nationalité conserve les informations transmises afin d'être en mesure de les retransmettre, à la demande d'un État membre (tiers), dans le cadre d'une procédure pénale ou, dans le respect de conditions strictes, à d'autres fins. Si une telle demande est présentée, l'État membre de nationalité fournit certaines informations (articles 6 et 7).

22. La proposition prévoit d'autres dispositions de nature à assurer le fonctionnement du système, dont la plus importante est l'obligation de désigner une autorité centrale (ou, dans certains cas, des autorités plus centralisées) chargée de transmettre et de conserver les informations. À cet égard, le CEPD souhaite également attirer l'attention sur les articles 10 et 11. L'article 10 prévoit un régime linguistique complet et l'article 11 des modalités harmonisées d'échange d'informations qui, à l'issue d'une période transitoire, déboucheront sur l'obligation d'utiliser un format standardisé et de transmettre les données par voie électronique. Le CEPD se félicite de l'inclusion de ces dispositions essentielles. Un instrument juridique destiné à favoriser l'échange d'informations doit prévoir des mesures supplémentaires pour garantir que les informations puissent effectivement être trouvées et consultées.

23. En outre, le CEPD souligne qu'un tel instrument juridique doit définir clairement les responsabilités des différentes parties concernées et délimiter les compétences nationales et européennes. Il faut éviter que cet instrument aille trop loin en matière répressive et veiller à ce qu'il assure un équilibre entre les différents intérêts en présence, comme celui de la personne concernée et celui de la sécurité publique. Les possibilités d'accès aux données doivent être limitées à des finalités strictement définies. Dans le cas contraire, l'instrument juridique ne correspondrait pas à son objectif et, par conséquent, il ne serait pas conforme au principe de proportionnalité. D'une manière générale, nonobstant les observations formulées aux points 37 à 40, la proposition remplit ces conditions.

IV. ARTICLE PAR ARTICLE

Article 2: Définitions

24. La proposition n'est pas limitée aux condamnations pour les crimes sérieux. Elle s'applique a toutes les condamnations transmises au casiers judicaire national, en accords avec la loi de l'État membre condamnant. La proposition s'étend aux décisions finales prises par les autorités administratives.

25. Ce large champ d'application par les différences importantes de législations des ÉtatsMembres sur les condamnations qui sont transférées aux casiers judiciaires nationaux. Il n'appartient pas au CEPD de se prononcer sur les compétences des États membres pour ce qui est des condamnations qu'ils décident de transmettre au casier judiciaire, y compris les décisions des autorités administratives, dans la mesure où elles peuvent donner lieu à un recours devant une juridiction pénale. Toutefois, le CEPD rappelle son avis du 13 janvier 2005 (voir le point 2 du présent avis), dans lequel il a estimé qu'il convenait de limiter l'échange d'informations aux condamnations liées à certaines infractions graves. En l'occurrence, le CEPD regrette que le législateur communautaire n'explique pas — ni dans l'exposé des motifs, ni dans aucun autre document officiel — pourquoi le champ d'application de la proposition à l'examen sur l'échange d'informations ne pouvait pas être limité aux infractions pénales plus graves. Une telle explication devrait indiquer la raison pour laquelle ce champ d'application étendu est nécessaire dans un espace de liberté, de sécurité et de justice et en quoi il ne dépasse pas les limites fixées par le principe de proportionnalité.

Article 3: autorité centrale

26. À cet égard, la désignation d'une autorité centrale est importante. Bien que cela nécessite la mise en place d'une base de données centralisée reprenant le nom des personnes condamnées dans chaque État membre, cela permet aussi de définir clairement la responsabilité d'une autorité spécialisée pour ce qui est du traitement du casier judiciaire (ou des informations qui en sont extraites) et rend par ailleurs improbable que des informations concernant les condamnations de certaines personnes puissent être demandées par des autorités non compétentes, ce qui à son tour pourrait entraîner un flux superflu de données à caractère personnel. Cela suppose évidemment que les missions de l'autorité centrale soient clairement définies (8). D'une manière générale, la proposition semble être satisfaisante sur ce point. Elle rend également possible un contrôle efficace et relativement simple du traitement par les autorités nationales chargées de la protection des données. Selon le CEPD, le recours par un État membre à la possibilité offerte par l'article 3 de désigner plusieurs autorités centrales n'aura pas d'incidences significatives sur ce contrôle.

27. En ce qui concerne l'article 3, paragraphe 2, le CEPD suggère de publier que la liste des autorités désignées soit publiée au Journal officiel, ce qui renforcera la transparence du système.

28. Par ailleurs, le CEPD se demande pourquoi le Secrétariat général du Conseil devrait informer Eurojust de la désignation des autorités. Il s'interroge sur l'objet de cette notification, d'autant plus qu'Eurojust ne joue aucun rôle dans le système prévu dans la proposition.

Articles 4 et 5: obligations incombant à l'État membre de condamnation et à l'État membre de nationalité

29. L'article 4 impose à l'État membre de condamnation d'informer l'État membre de nationalité de la personne condamnée des condamnations concernant cette personne. L'autorité centrale de cet État membre conserve alors les informations transmises conformément à l'obligation énoncée à l'article 5.

30. Pour ce qui est de la période de conservation des informations contenues dans le casier judiciaire, la proposition semble appliquer le critère de l'«État de condamnation». En effet, la transmission des informations relatives aux condamnations comporte également la mention de la durée de conservation de l'inscription de la condamnation dans le casier judiciaire de l'État membre de condamnation, conformément à la législation nationale de cet État membre. Toute mesure ultérieure affectant la durée de conservation des informations est également communiquée. L'État membre qui reçoit les informations devrait alors supprimer les données concernées en conséquence. Cette procédure semble aussi s'appliquer lorsque la législation de cet État membre n'autorise qu'une période plus courte de conservation. La même procédure est prévue pour une modification ou une suppression des informations contenues dans le casier judiciaire: l'État membre de condamnation informe l'État membre de nationalité de la personne condamnée des modifications intervenues et celui-ci doit alors mettre à jour ses registres en conséquence.

31. En d'autres termes, l'«État de condamnation» peut être considéré comme le détenteur des données, que l'État membre de nationalité conserve en son nom. Le CEPD recommande de préciser cette notion de «propriété» — précision qui doit également permettre une répartition claire des responsabilités — dans le dispositif ou les considérants de la proposition.

32. Le CEPD accueille avec satisfaction la procédure susmentionnée en tant que telle; en effet, en veillant à ce que les données à caractère personnel soient rapidement mises à jour et à ce qu'elles ne soient pas utilisées si elles ne sont pas à jour (voir également l'article 5, paragraphe 3, de la proposition), elle en garantit l'exactitude. L'exactitude des informations contenues dans le casier judiciaire est d'autant plus importante lorsque ces informations font l'objet de nombreux transfert et traductions.

33. Afin d'assurer l'exactitude des informations également lors des transfert ultérieurs conformément à l'article 7, le CEPD recommande qu'il soit fait obligation à l'autorité centrale de l'État membre de nationalité de la personne condamnée de notifier aux autorités centrales des autres États membres ou des pays tiers qui les ont demandées les mises à jour ou suppressions d'informations avant qu'il y soit procédé. Par ailleurs, les autorités centrales de ces États membres devraient être tenues de mettre à jour ou de supprimer les informations en question et ne devraient pas avoir la possibilité d'utiliser des informations qui ne sont pas à jour. Ces obligations devraient aussi faciliter un meilleur contrôle des conditions régissant l'utilisation des données à caractère personnel (voir les observations relatives à l'article 9).

34. Enfin, l'article 4, paragraphe 2, porte sur la situation spécifique des personnes qui sont des ressortissants de plusieurs États membres. Dans ce cas, les informations concernant une condamnation sont transmises à chacun de ces États membres. La nécessité d'une transmission multiple va de soi. Dans une telle situation, l'importance des procédures assurant l'exactitude de toutes les bases de données est encore plus évidente.

Articles 6 et 7: demandes d'informations sur les condamnations, réponse à ces demandes et transfert aux pays tiers

35. Une répartition et une définition claires des responsabilités sont également nécessaires, dans la mesure où un troisième État membre, qui sera l'État membre requérant, peut intervenir. Les articles 6 et 7 portent sur de telles situations.

36. L'article 7 précise dans quels cas des informations concernant les condamnations sont ou pourraient être transmises à l'autorité centrale de l'État membre requérant. Il détermine également quelles informations sont transmises. Il prévoit en outre la possibilité de transmettre aux pays tiers des informations concernant les condamnations. Tous ces aspects devraient être examinés attentivement.

37. Il convient de noter qu'une obligation de transmettre les données n'est prévue que dans le cas où la demande d'informations extraites du casier judiciaire est adressée dans le cadre d'une procédure pénale, conformément à une liste de renseignements énoncée à l'article 7, paragraphe 1. En revanche, lorsque la demande d'informations extraites du casier judiciaire est adressée à d'autres fins, l'État membre de nationalité y répond conformément à son droit national. Par ailleurs, il vérifie si les informations concernées peuvent être transmises à l'État membre requérant conformément au droit de l'État membre de condamnation (article 7, paragraphe 2).

38. Ce système est donc plutôt compliqué car toute demande adressée à des fins autres qu'une procédure pénale étant en définitive soumise à trois critères de licéité différents, à savoir le droit de l'État membre requérant, le droit de l'État membre de nationalité de la personne condamnée et le droit de l'État membre de condamnation. Ce casse-tête, où peuvent intervenir non seulement des éléments de procédure pénale, mais aussi des règles nationales applicables en matière de protection des données, devra être résolu par l'autorité centrale de l'État membre de nationalité de la personne condamnée dans le délai (10 jours) fixé à l'article 8.

39. Le CEPD se demande si ce système est le plus pratique et le plus efficace. En effet, le CEPD convient que la transmission des informations devrait être limitée dans les cas évoqués ci-dessus, comme cela est souligné dans le considérant 11 de la proposition. Cependant, on pourrait probablement mieux établir cette limitation en définissant de manière plus précise les fins auxquelles des informations sur le casier judiciaire peuvent être transmises et en limitant le groupe de personnes, autres que l'intéressé lui-même, habilitées à demander de telles informations. Le CEPD estime que les personnes autres que l'intéressé devraient être autorisées à demander ces informations, conformément aux critères de licéité, uniquement dans des circonstances exceptionnelles.

40. Par conséquent, le CEPD recommande de simplifier la procédure et de prévoir une définition limitée et plus précise des fins, autres qu'une procédure pénale, auxquelles des informations peuvent être demandées, ainsi qu'une limitation du groupe de personnes habilitées à demander de telles informations.

41. L'article 6, paragraphe 2, porte sur une question spécifique. Il prévoit la possibilité, pour l'intéressé, de demander des informations sur son propre casier judiciaire à l'autorité centrale d'un État membre, à condition que la partie requérante soit ou ait été un résident ou un ressortissant de l'État membre requérant ou de l'État membre requis. Cette disposition doit être placée dans le contexte du droit plus général qu'a l'intéressé d'avoir accès aux données à caractère personnel le concernant, compte tenu également de la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale.

42. Le CEPD accueille avec satisfaction cette disposition, dans la mesure où la proposition permet à l'intéressé d'exercer son droit non seulement directement, en s'adressant à l'autorité centrale qui contrôle les données, mais aussi indirectement, en s'adressant à l'autorité centrale de l'État membre dans lequel il réside. Néanmoins, les dispositions plus favorables contenues dans cette lex specialis ne peuvent en aucun cas restreindre les droits fondamentaux de l'intéressé, ni créer de confusion dans son esprit pour ce qui est de ses droits. En ce qui concerne ce point, le CEPD suggère de prévoir que l'autorité centrale du lieu de résidence «adresse» — et non «peut adresser» — la demande à l'autorité centrale de l'autre État membre.

43. Enfin, le CEPD se penche sur l'article 7, paragraphe 3, qui porte sur les demandes d'informations adressées par des pays tiers et sur la transmission d'informations aux pays tiers. La disposition comporte des garanties spécifiques visant à faire en sorte que les échanges avec des pays tiers ne portent pas atteinte aux garanties applicables aux échanges sur le territoire de l'Union européenne. En soi, cette disposition est satisfaisante.

44. Cependant, il convient d'évaluer cette disposition en liaison avec l'article 15 de la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale. L'article 15 de cette proposition est l'un des principaux points discutés au sein du Conseil et il ne va pas de soi qu'il sera maintenu dans la version définitive du texte. Le CEPD souligne que, dans le cas où les négociations sur la décision-cadre du Conseil relative à la protection des données à caractère personnel déboucheraient sur l'exclusion de son champ d'application des règles concernant les transferts des données à caractère personnel aux pays tiers, des règles plus précises sur cette même question devraient figurer dans la proposition à l'examen, en vue de la rendre conforme aux principes de base de la protection des données ainsi qu'au Protocole additionnel à la Convention 108 sur les autorités de contrôle et les flux transfrontières de données du Conseil de l'Europe.

Article 9: conditions d'utilisation des données à caractère personnel

45. L'échange d'informations extraites du casier judiciaire relèvera du champ d'application de la décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale, une fois que celle-ci aura été adoptée (9). Cela s'appliquera également aux casiers judiciaires proprement dits, à condition que le champ d'application de la décision-cadre du Conseil susmentionnée ne soit pas limité aux données à caractère personnel échangées entre les États membres. Conformément à cette décision-cadre du Conseil, le traitement des données à caractère personnel sera contrôlé par les autorités nationales chargées de la protection des données.

46. Les articles de la proposition à l'examen ne font pas référence à la décision-cadre du Conseil susmentionnée. Cette référence n'est pas nécessaire dans la mesure où ladite décision-cadre s'applique automatiquement. L'article 9 définit les conditions d'utilisation des données à caractère personnel. Cet article doit être considéré comme une lex specialis au regard des garanties générales applicables à la protection des données. L'article 9 précise les fins auxquelles les données peuvent être utilisées. L'article 9, paragraphe 1, énonce une règle de base claire. Les données demandées aux fins d'une procédure pénale ne peuvent être utilisées qu'aux fins de la procédure pénale pour laquelle elles ont été demandées. L'article 9, paragraphe 2, prévoit une règle similaire pour les données qui sont demandées en dehors du cadre d'une procédure pénale. Toutefois, cette disposition doit être précisée, car elle suppose que les données ne peuvent être demandées qu'aux fins d'autres procédures judiciaires (ou quasi-judiciaires), alors que cette limitation ne figure pas dans l'article 7. Il convient de préciser à quelles autres finalités les informations peuvent être transmises au titre des articles 7 et 9 (voir également les observations relatives à l'article 7).

47. L'article 9, paragraphe 3, donne la possibilité à l'État membre requérant d'utiliser les données pour prévenir un danger immédiat et sérieux pour la sécurité publique. Le CEPD convient qu'il y a lieu d'autoriser l'utilisation de ces données dans ce genre de situations exceptionnelles. Toutefois, il convient de garantir que les autorités chargées de la protection des données peuvent contrôler cette utilisation exceptionnelle. Par conséquent, le CEPD recommande d'inclure dans la proposition une disposition allant dans ce sens, par exemple en prévoyant l'obligation d'informer l'autorité nationale chargée de la protection des données de cette utilisation.

48. Examinons à présent la question du contrôle. Les informations sont conservées par l'autorité centrale de l'État membre de nationalité. Le contrôle est réalisé par l'autorité chargée de la protection des données de cet État membre, conformément à la décision-cadre relative à la protection des données dans le cadre du troisième pilier, une fois que celle-ci aura été adoptée et sera entrée en vigueur. Cependant, l'autorité centrale de cet État membre ne peut être tenue responsable de la qualité des données, car elle est totalement tributaire des informations qui lui sont communiquées par l'État membre de condamnation. Il va de soi que cela a un impact sur l'efficacité du contrôle.

49. Selon le CEPD, la proposition ne devrait pas porter uniquement sur la coopération entre les autorités centrales, mais aussi sur la coopération entre les autorités des États membres chargées de la protection des données. Le CEPD recommande d'introduire à l'article 9 une disposition encourageant les autorités chargées de la protection des données à coopérer activement entre elles (10), de manière à permettre un contrôle efficace en ce qui concerne les aspects de la protection des données, notamment la qualité des données.

Articles 10 et 11: langues et format

50. Le CEPD accueille avec satisfaction ces dispositions complémentaires, dans la mesure où l'efficacité du système d'échange d'informations entre les États membres sert également les intérêts de la protection des données.

51. Un régime linguistique approprié est fondamental pour l'efficacité du système. Bien qu'il ait pleinement connaissance du principe d'égalité des langues et soit conscient du caractère sensible de la question des régimes linguistiques dans le cadre de la coopération européenne, le CEPD exprime quelques préoccupations quant au régime linguistique prévu à l'article 10 de la proposition. La règle de base, telle qu'elle est énoncée à l'article 10, prévoit que l'échange d'informations se fait dans une langue officielle de l'État membre requis. Cela est logique, sachant que les traductions des textes de loi et des qualifications juridiques ne sont pas toujours dépourvues d'ambiguïté. Toutefois, observer cette règle de base dans une Union européenne comptant actuellement vingt-cinq États membres rendrait le système inapplicable.

52. Conformément au troisième alinéa de l'article 10, un État membre peut indiquer qu'il accepte d'autres langues. Il est évident que cet alinéa vise à encourager les échanges dans une langue ou un petit nombre de langues plus largement diffusées au sein de l'Union européenne. Néanmoins, le CEPD estime que cet alinéa devrait être formulé de telle manière qu'il garantisse effectivement le fonctionnement du régime linguistique, par exemple en obligeant les États membres à accepter des informations dans une langue largement diffusée sur le territoire de l'Union européenne. Comme cela a été sous-entendu précédemment, il s'agit d'une condition pour que le système puisse fonctionner.

53. Par ailleurs, l'utilisation du format standardisé peut contribuer à la qualité des données. Ce format permet d'éviter toute ambiguïté quant au contenu des informations extraites du casier judiciaire, ce qui améliore la qualité des données. L'absence d'ambiguïté permet aussi d'écarter le risque que les autorités des États membres demandent plus d'informations que ce qui est strictement nécessaire.

54. Pour ces raisons, le CEPD regrette que l'utilisation obligatoire du format puisse être différée pendant une période de transition relativement longue. En premier lieu, le format (etc …), doit être établi selon une procédure de comité — sans qu'un délai soit fixé pour prendre une décision sur la question. En second lieu, les États membres disposent d'un délai de trois ans à compter de la mise en place du format avant d'être obligés de l'utiliser (article 11, paragraphe 6). Le CEPD recommande: — d'inclure la mise en place du format dans le dispositif même de la décision-cadre; — de définir les spécifications techniques selon une procédure de comitologie, dans un délai clairement établi; — de supprimer la période de transition prévue pour la mise en œuvre du format commun par les États membres ou, si cela n'est pas techniquement faisable, de limiter cette période à un an.

V. CONCLUSION

55. Le CEPD est d'accord avec les grandes options qui sous-tendent la proposition. D'une manière générale, la proposition tient compte des obstacles à des échanges d'informations extraites du casier judiciaire véritablement efficaces entre les États membres, qui sont la conséquence des différences linguistiques et des disparités entre les cadres techniques et juridiques des États membres, notamment: — en précisant que l'État membre de condamnation est le «détenteur» des données et qu'il est responsable de leur qualité; — en prévoyant la désignation d'une autorité centrale dans chaque État membre; — en prévoyant des mesures complémentaires visant à faire en sorte que les informations puissent effectivement être trouvées et consultées.

56. Le CEPD note que la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel est toujours en cours d'examen au Parlement européen et au Conseil et que des questions fondamentales — notamment le champ d'application du texte et les garanties concernant les transferts aux pays tiers — sont loin d'être réglées. Le CEPD recommande ce qui suit: — la décision-cadre du Conseil à l'examen ne devrait pas entrer en vigueur avant la date d'entrée en vigueur de la décision-cadre du Conseil relative à la protection des données à caractère personnel; — le Conseil devrait lier étroitement les négociations relatives à la proposition à l'examen aux négociations sur la décision-cadre du Conseil relative à la protection des données à caractère personnel. Dans le cas où les négociations sur cette décision-cadre déboucheraient sur l'exclusion de son champ d'application des règles concernant les transferts des données à caractère personnel aux pays tiers, des règles plus précises sur cette même question devraient figurer dans la proposition à l'examen.

57. Le CEPD recommande de simplifier la procédure et de prévoir une définition limitée et plus précise des fins, autres qu'une procédure pénale, auxquelles des informations peuvent être demandées, ainsi qu'une limitation du groupe de personnes habilitées à demander de telles informations. Le CEPD estime que les personnes autres que l'intéressé devraient être autorisées à demander ces informations, conformément aux critères de licéité, uniquement dans des circonstances exceptionnelles. Il conviendrait d'inclure dans la proposition une disposition autorisant les autorités chargées de la protection des données à contrôler une telle utilisation exceptionnelle.

58. Le CEPD recommande que la notion de «propriété» soit précisée dans le dispositif ou les considérants de la proposition et qu'il soit fait obligation à l'autorité centrale de l'État membre de nationalité de la personne condamnée de notifier aux autorités centrales des autres États membres ou des pays tiers qui les ont demandées les mises à jour ou suppressions d'informations avant qu'il y soit procédé.

59. Le CEPD demande au législateur communautaire d'expliquer pourquoi le champ d'application de la proposition à l'examen ne pouvait pas être limité aux infractions pénales plus graves, compte tenu notamment des limites fixées par le principe de proportionnalité.

60. Le CEPD est d'accord avec les dispositions complémentaires énoncées à l'article 10 et à l'article 11, à condition que: — l'article 10 soit formulé de telle manière qu'il garantisse effectivement le fonctionnement du régime linguistique; — l'article 11 soit modifié de telle sorte que la mise en place du format soit incluse dans le dispositif même de la décision-cadre, que les spécifications techniques soient définies selon une procédure de comitologie et dans un délai clairement établi et que la période de transition prévue pour la mise en œuvre du format commun par les États membres soit supprimée ou, si cela n'est pas techniquement faisable, que cette période soit limitée à un an.

61. Le CEPD formule également des recommandations sur les points suivants: — à l'article 3, paragraphe 2, il conviendrait de préciser pourquoi le Secrétariat général du Conseil devrait informer Eurojust de la désignation des autorités; — à l'article 6, paragraphe 2, il conviendrait de modifier le libellé comme suit: l'autorité centrale du lieu de résidence «adresse» — et non «peut adresser» — la demande à l'autorité centrale de l'autre État membre; — à l'article 9, il conviendrait d'introduire une disposition encourageant les autorités chargées de la protection des données à coopérer activement entre elles.

Fait à Bruxelles, le 29 mai 2006. Peter HUSTINX Contrôleur européen de la protection des données

(1) JO L 322 du 9.12.2005, p. 33.

(2) JO C 58 du 8.3.2005, p. 3.

(3) Avis du 28 février 2006 (JO C 116 du 17.5.2006, p. 8), et notamment la section III.

(4) Notamment l'avis du 19 décembre 2005 sur la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (JO C 47 du 25.2.2006, p. 27) et l'avis du 20 janvier 2006 sur la proposition de décision du Conseil concernant l'accès en consultation au système d'information sur les visas (VIS) par les autorités des États membres compétentes en matière de sécurité intérieure et par l'Office européen de police (Europol) aux fins de la prévention et de la détection des infractions terroristes et des autres infractions pénales graves, ainsi qu'aux fins des enquêtes en la matière (JO C 97 du 25.4.2006, p. 6).

(5) Voir notamment les articles 95 et 96 de la Convention d'application de l'Accord de Schengen du 14 juin 1985 entre les gouvernement des États de l'Union économique Benelux, de la République fédérale d'Allemagne et de la République française relatif à la suppression graduelle des contrôles aux frontières communes (JO L 239 du 22.9.2000, p. 19).

(6) Voir le point 2 du présent avis.

(7) Voir également, à ce sujet, l'avis du CEPD sur la proposition de décision-cadre du Conseil relative à l'échange d'informations en vertu du principe de disponibilité, mentionné à la note 3.

(8) Dans le même ordre d'idées, voir l'avis du 15 mai 2006 sur la proposition de règlement du Conseil relatif à la compétence, la loi applicable, la reconnaissance et l'exécution des décisions et la coopération en matière d'obligations alimentaires (COM(2005) 649 final).

(9) Voir l'avis du CEPD mentionné à la note de bas de page 4.

(10) Des dispositions analogues figurant dans les propositions relatives au SIS II pourraient servir de modèle pour la formulation d'une telle disposition, toutefois sans prévoir de rôle pour le CEPD.