FR Journal officiel de l'Union européenne C 158/46

Exposé des motifs du Conseil: position (UE) no 5/2016 du Conseil en première lecture en vue de l'adoption d'une directive du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil

(2016/C 158/02)

I. INTRODUCTION

La Commission a présenté, le 25 janvier 2012, un train complet de mesures sur la protection des données, comprenant:

— une proposition de règlement général sur la protection des données, qui est destinée à remplacer la directive de 1995 sur la protection des données (ex-premier pilier) (ci-après dénommée le «projet de règlement»);

— la proposition de directive relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données (1), visée en objet, qui est destinée à remplacer la décision-cadre de 2008 sur la protection des données (ex-troisième pilier) (ci-après dénommée le «projet de directive»).

Le Parlement européen a adopté son avis sur le projet de directive en mars 2014 (2).

Le Conseil a arrêté une orientation générale le 9 octobre 2015 (3), donnant ainsi à la présidence un mandat de négociation pour engager les trilogues avec le Parlement européen.

Les 17 et 18 décembre 2015 respectivement, le Parlement européen, au niveau de la commission des libertés civiles, de la justice et des affaires intérieures, et le Conseil, au niveau du Comité des représentants permanents, ont confirmé l’accord intervenu sur le texte de compromis issu des négociations menées lors des trilogues.

Lors de sa réunion du 12 février, le Conseil est parvenu à un accord politique sur le projet de directive (4). Le 8 avril 2016, le Conseil a adopté sa position en première lecture, position pleinement conforme au texte de compromis sur la directive approuvé au cours des négociations informelles entre le Conseil et le Parlement européen.

Le Comité des régions a rendu un avis sur le règlement (JO C 391 du 18.12.2012, p. 127).

Le contrôleur européen de la protection des données a été consulté et a rendu un premier avis en 2012 (JO C 192 du 30.6.2012, p. 7) et un deuxième avis en 2015 (JO C 301 du 12.9.2015, p. 1).

L’Agence des droits fondamentaux a rendu un avis le 1er octobre 2012.

II. OBJECTIF DE LA PROPOSITION

L’objectif du projet de directive est de garantir l’efficacité de la coopération judiciaire en matière pénale et de la coopération policière et de faciliter l’échange de données à caractère personnel entre les autorités compétentes des États membres, tout en assurant un niveau élevé et homogène de protection des données à caractère personnel des personnes physiques. Par rapport à la décision-cadre 2008/977/JAI du Conseil que le projet de directive remplacera, ce dernier portera également sur le traitement des données à caractère personnel au niveau national.

L’article 16 du traité sur le fonctionnement de l’Union européenne introduit une nouvelle base juridique spécifique pour l’adoption de règles en matière de protection des données à caractère personnel, qui s’applique également au traitement de données à caractère personnel dans le domaine de la coopération judiciaire en matière pénale et de la coopération policière.

III. ANALYSE DE LA POSITION DU CONSEIL EN PREMIÈRE LECTURE

A. Observations générales

Le projet de directive fait partie du train de mesures sur la protection des données. L’autre proposition est celle relative au règlement général sur la protection des données mentionné plus haut.

Sur la base de la proposition de directive de la Commission, le Parlement européen et le Conseil ont mené des négociations informelles en vue de parvenir à un accord au stade de la position du Conseil en première lecture. Le texte de la position du Conseil en première lecture sur le projet de directive reflète tout à fait le compromis intervenu sur la directive entre les deux colégislateurs, assistés par la Commission européenne. Dans ce contexte, les références faites à la position du Conseil en première lecture s’entendent comme faites au compromis obtenu au sein des trilogues.

La protection des personnes physiques à l’égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne et l’article 16, paragraphe 1, du traité sur le fonctionnement de l’Union européenne disposent que toute personne a droit à la protection des données à caractère personnel la concernant. Sur cette base, la position du Conseil en première lecture établit les principes et les règles régissant la protection des personnes physiques à l’égard du traitement des données les concernant. Ces principes et ces règles doivent, quelle que soit la nationalité ou la résidence de ces personnes, respecter leurs libertés et droits fondamentaux, en particulier leur droit à la protection des données à caractère personnel.

La position du Conseil en première lecture maintient les objectifs de la décision-cadre (5) et de la proposition de la Commission, notamment le principe de l’harmonisation minimale figurant dans la décision-cadre. Le texte du projet de directive clarifie et précise la plupart des dispositions de la décision-cadre; en particulier, les dispositions relatives aux transferts à des pays tiers ou à des organisations internationales ont été étoffées et approfondies.

Le Conseil a arrêté une orientation générale sur le projet de règlement en juin 2015 et une autre sur le projet de directive en octobre 2015.

La nouvelle base juridique fournie par le traité sur le fonctionnement de l’Union européenne concernant la protection des données à caractère personnel s’applique à tous les domaines politiques, sans préjudice des règles spécifiques qui doivent êtres établies dans le domaine de la politique étrangère et de sécurité commune. Toutefois, la déclaration 21 annexée au traité de Lisbonne reconnaît que des règles spécifiques dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière pourraient s’avérer nécessaires. Pour ces raisons, et compte tenu du fait que le projet de directive fait partie du train de mesures sur la protection des données, le Conseil s’est employé à aligner le texte d’un certain nombre de dispositions du projet de directive sur le texte du projet de règlement. C’est notamment le cas en ce qui concerne les définitions, les principes, le chapitre sur le responsable du traitement et le sous-traitant, les décisions constatant le caractère adéquat de la protection ainsi que le chapitre sur les autorités de contrôle indépendantes. Par conséquent, ces parties du texte seront moins développées dans la présente note.

B. Questions de fond

1. Champ d’application (matériel et personnel)

La position du Conseil en première lecture définit, à l’article 1er, paragraphe 1, le champ d’application matériel du projet de directive. Celui-ci comprend le traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre des menaces pour la sécurité publique et la prévention de telles menaces. Cela signifie que, contrairement à la décision-cadre 2008/977/JAI, le projet de directive s’applique également au traitement des données à caractère personnel au niveau national.

Le projet de règlement, qui constitue l’autre partie du train de mesures sur la protection des données, exclut quant à lui de son champ d’application celui de la directive, les deux s’excluant ainsi mutuellement. Le projet de règlement contient les règles générales, tandis que le projet de directive s’applique au secteur spécifique de la coopération judiciaire en matière pénale et de la coopération policière.

Les activités de la police et des autres autorités répressives comprennent également l’exercice de l’autorité par l’adoption de mesures coercitives, par exemple les activités de police lors de manifestations, de grands événements sportifs et d’émeutes. La position du Conseil en première lecture vise à autoriser ces autorités, principalement la police, à traiter ces données dans le cadre d’un seul instrument, à savoir la législation de l’État membre qui transpose le projet de directive. Néanmoins, lorsque la police traite des données à caractère personnel à des fins ne relevant pas du champ d’application du projet de directive, le projet de règlement s’applique, comme précisé au point 7 ci-après. Afin d’atteindre cet objectif, la position du Conseil en première lecture précise le champ d’application du projet de directive en ajoutant «la protection contre les menaces pour la sécurité publique et la prévention de telles menaces».

Pour ce qui est du champ d’application personnel, la position du Conseil en première lecture a étendu le champ d’application au-delà des autorités publiques compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, aux organismes ou entités auxquels le droit d’un État membre confie l’exercice de l’autorité publique et des prérogatives de puissance publique aux fins susmentionnées. Toutefois, seules les autorités publiques sont autorisées à transférer des données à caractère personnel à des destinataires, autres que les autorités compétentes aux fins du projet de directive, établis dans des pays tiers.

2. Principes relatifs aux données à caractère personnel

a) Transparence

Contrairement à la position du Conseil en première lecture sur le projet de règlement, la position du Conseil en première lecture sur le projet de directive n’inscrit pas la notion de «transparence» au nombre des principes régissant le traitement des données à caractère personnel en raison du fait que, en matière répressive, la transparence pourrait porter préjudice aux enquêtes en cours. Néanmoins, la transparence a été incluse dans le considérant relatif aux principes, étant clairement entendu que des activités telles que des enquêtes discrètes ou de la vidéosurveillance seront autorisées.

b) Sécurité du traitement

Le Conseil ajoute dans sa position en première lecture que les données à caractère personnel devraient être traitées de manière à garantir une sécurité appropriée de celles-ci, ce qui inclut la protection contre le traitement non autorisé ou illicite et contre la perte, la destruction ou les dégâts d’origine accidentelle. Il précise également que des mesures techniques ou organisationnelles appropriées devraient être utilisées à cette fin. Ces précisions sont conformes au texte du projet de règlement.

3. Traitement ultérieur

a) Compatibilité

La question du traitement ultérieur et de savoir si celui-ci pourrait être effectué par le même responsable du traitement ou un autre ainsi que la question des fins compatibles avaient suscité des difficultés lors des débats sur le projet de règlement. En fin de compte, le Conseil considère dans sa position en première lecture sur le projet de directive que tout traitement effectué pour l’une des finalités énoncées à l’article 1er, paragraphe 1, devrait être considéré comme permis dès lors que le responsable du traitement est autorisé à traiter les données à caractère personnel pour une telle finalité conformément soit au droit de l’Union, soit au droit d’un État membre, et que le traitement est nécessaire et proportionné à cette autre finalité conformément au droit de l’Union ou au droit d’un État membre.

b) Traitement à d’autres fins relevant du champ d’application du projet de directive

La position du Conseil en première lecture prévoit que le traitement des données, par le même responsable du traitement ou un autre, pour l’une des finalités énoncées à l’article 1er, paragraphe 1, autre que celle pour laquelle les données à caractère personnel ont été collectées, n’est permis que lorsque le responsable du traitement est autorisé à traiter ces données à caractère personnel pour une telle finalité conformément au droit de l’Union ou au droit d’un État membre et que le traitement est nécessaire et proportionné à cette autre finalité conformément au droit de l’Union ou au droit d’un État membre. Cela permet, par exemple, à un procureur à traiter à des fins de poursuites pénales les mêmes données à caractère personnel que celles que la police traite aux fins d’une enquête criminelle, étant donné que les deux finalités citées dans cet exemple relèvent de l’article 1er, paragraphe 1.

4. Délais de conservation et d’examen

La position du Conseil en première lecture prévoit que des délais appropriés doivent être fixés en vue de l’effacement des données à caractère personnel ou en vue d’un examen périodique des données à caractère personnel qui sont sauvegardées afin de vérifier s’il est nécessaire de les conserver. Il existait déjà dans la décision-cadre une disposition relative aux délais, et le Conseil estime utile dans sa position en première lecture d’ajouter une telle disposition.

Cette disposition renforce le principe énoncé à l’article 4 selon lequel les données ne doivent pas être conservées pendant une durée excédant celle nécessaire au regard des finalités pour lesquelles elles sont traitées.

5. Différentes catégories de personnes concernées

La position du Conseil en première lecture prévoit que les États membres doivent permettre au responsable du traitement d’établir une distinction claire, «le cas échéant et dans la mesure du possible», entre les données à caractère personnel de différentes catégories de personnes concernées. Toutefois, il est fait en sorte dans la position du Conseil en première lecture que le classement des personnes concernées en différentes catégories, en particulier les personnes à l’égard desquelles il existe des motifs sérieux de croire qu’elles ont commis ou sont sur le point de commettre une infraction pénale, n’empêche pas l’application du droit à la présomption d’innocence garanti par la charte des droits fondamentaux de l’Union européenne.

6. Licéité du traitement

La position du Conseil en première lecture prévoit que le traitement de données à caractère personnel n’est licite que si, et dans la mesure où, il est nécessaire à l’exécution d’une mission par une autorité compétente à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces, et si, et dans la mesure où, il se fonde sur le droit de l’Union ou le droit d’un État membre. Il est explicitement indiqué dans les considérants que la protection des intérêts vitaux de la personne concernée fait partie de ces activités.

La position du Conseil en première lecture précise les éléments que le droit des États membres en matière de protection des données doivent inclure, comme les objectifs et les finalités du traitement.

7. Conditions spécifiques applicables au traitement

La règle principale est que des données à caractère personnel initialement collectées par une autorité compétente pour les finalités énoncées à l’article 1er, paragraphe 1, du projet de directive ne peuvent être traitées qu’à l’une des fins du projet de directive. Néanmoins, le traitement des données à caractère personnel initialement collectées par de telles autorités aux fins du projet de directive peut être fondé sur le projet de règlement, si ce traitement est autorisé par le droit de l’Union ou le droit d’un État membre, à moins qu’il ne soit effectué dans le cadre d’une activité ne relevant pas du champ d’application du droit de l’Union. La position du Conseil en première lecture décrit en outre deux cas dans lesquels le projet de règlement s’applique: premièrement, lorsque les autorités compétentes sont chargées en vertu du droit des États membres d’exécuter des missions autres que celles énoncées à l’article 1er, paragraphe 1, et deuxièmement, lorsque des données sont traitées à des fins archivistiques dans l’intérêt public, à des fins de recherche scientifique ou historique ou à des fins statistiques, à moins que le traitement ne soit effectué dans le cadre d’une activité ne relevant pas du champ d’application du droit de l’Union.

8. Catégories particulières de données à caractère personnel

Les données à caractère personnel qui sont, par nature, particulièrement sensibles du point de vue des libertés et droits fondamentaux méritent une protection spécifique, car le contexte dans lequel elles sont traitées pourrait engendrer des risques importants pour ces libertés et droits. La position du Conseil en première lecture autorise le traitement de ces données, mais uniquement lorsque cela est strictement nécessaire et à condition que des garanties appropriées applicables aux droits et aux libertés de la personne concernée soient fournies. En outre, un tel traitement est uniquement permis lorsqu’il est autorisé par le droit de l’Union européenne ou le droit d’un État membre pour protéger les intérêts vitaux de la personne concernée ou lorsqu’il porte sur des données manifestement rendues publiques par la personne concernée.

Étant donné que le projet de directive et le projet de règlement font partie d’un ensemble, la position du Conseil en première lecture concernant le projet de directive a repris, pour ce qui est de la liste des catégories, les catégories énoncées dans le projet de règlement, en ajoutant à la liste les «données biométriques» et «l’orientation sexuelle».

9. Décision individuelle automatisée, y compris le profilage

Selon un autre principe consacré dans le projet de directive, toute décision fondée exclusivement sur un traitement automatisé, y compris le profilage, qui produit des effets juridiques défavorables pour la personne concernée ou l’affecte de manière significative doit être interdite, sauf si le droit de l’Union ou le droit d’un État membre l’autorise et si des garanties appropriées applicables aux droits et aux libertés de la personne concernée sont fournies. Parmi ces garanties doivent au moins figurer le droit d’obtenir une intervention humaine de la part du responsable du traitement. Il est explicitement indiqué dans la position du Conseil en première lecture que toute décision fondée exclusivement sur un traitement automatisé ne saurait être fondée sur les catégories particulières de données énoncées à l’article 10, à moins que des mesures appropriées pour la sauvegarde des droits et des libertés et des intérêts légitimes de la personne concernée ne soient en place. Il est aussi précisé explicitement que le profilage fondé sur les catégories particulières de données visées à l’article 10 qui entraînerait une discrimination doit être interdit.

10. Droits de la personne concernée

a) Communication à la personne concernée

La position du Conseil en première lecture contient des dispositions relatives aux droits des personnes concernées. Afin de permettre à la personne concernée d’exercer ses droits, il est nécessaire qu’elle soit informée que des données la concernant sont en cours de traitement. Ces informations doivent être communiquées d’une manière facile à comprendre et d’une façon concise, compréhensible et aisément accessible et elles devraient être formulées par écrit en des termes clairs et simples. Contrairement à ce que prévoit le texte du projet de règlement, la position du Conseil en première lecture sur le projet de directive n’exige pas que ces informations soient communiquées en toute transparence. Dans le domaine couvert par la directive, par exemple, les finalités d’une enquête peuvent être compromises si la personne concernée est informée, dès le début d’une enquête, de la mesure d’enquête spécifique la concernant.

b) Informations mises à la disposition de la personne concernée

La position du Conseil en première lecture définit les informations qui doivent systématiquement être fournies à la personne concernée, telles que l’identité et les coordonnées du responsable du traitement et les finalités du traitement. Ces informations pourraient figurer sur le site internet de l’autorité compétente. La position du Conseil en première lecture précise également les informations supplémentaires qui doivent être communiquées dans des cas particuliers. Il s’agit notamment de la base juridique du traitement, de la durée pendant laquelle les données à caractère personnel peuvent être conservées et des catégories de destinataires. Dans certaines circonstances, il est possible de retarder ou limiter la fourniture d’informations supplémentaires ou de ne pas fournir ces informations, par exemple lorsqu’une limitation constitue une mesure nécessaire et proportionnée dans une société démocratique compte tenu des droits fondamentaux et des intérêts légitimes de la personne physique concernée. En outre, s’agissant des informations supplémentaires, les États membres devraient être autorisés à prévoir, par voie législative, que certaines catégories de traitement de données à caractère personnel sont susceptibles de faire l’objet d’une exemption de l’obligation d’information.

c) Droit d’accès

La position du Conseil en première lecture prévoit aussi bien le droit d’accès aux données à caractère personnel que les limitations de ce droit. Les États membres devraient pouvoir limiter le droit d’accès dans les mêmes conditions que celles où la fourniture d’informations supplémentaires peut être retardée ou limitée ou que ces informations peuvent ne pas être fournies. Lorsque le droit d’accès a été limité, les États membres doivent prévoir que le responsable du traitement informe la personne concernée des motifs du refus, à moins que l’objectif de la mesure, par exemple une enquête, risque d’être compromis si la personne concernée est informée des motifs de cette limitation.

d) Cas particuliers de limitation du traitement de données à caractère personnel

Les États membres doivent prévoir que la personne concernée a le droit d’obtenir la rectification ou l’effacement des données à caractère personnel la concernant ou la limitation de leur traitement. La position du Conseil en première lecture prévoit en outre la possibilité pour la personne concernée d’obtenir la limitation du traitement des données à caractère personnel la concernant au lieu de leur effacement dans deux cas précis: premièrement, lorsque la personne concernée conteste l’exactitude des données et qu’il ne peut être déterminé si ces données sont exactes ou non; deuxièmement, si les données à caractère personnel doivent être conservées à des fins probatoires. Le considérant correspondant cite, en ce qui concerne ce dernier cas, l’exemple de situations où il existe des motifs raisonnables de penser que l’effacement pourrait nuire aux intérêts légitimes de la personne concernée. Dans ce dernier exemple, les données ne peuvent être traitées que pour les raisons qui ont empêché leur effacement.

11. Exercice des droits des personnes concernées et vérification

Lorsque le droit à l’information, le droit d’accès, le droit de rectification, le droit d’effacement ou le droit de limitation du traitement d’une personne concernée a été limité, les États membres doivent adopter des mesures afin que les droits de la personne concernée puissent également être exercés par l’intermédiaire de l’autorité de contrôle compétente.

12. Responsable du traitement et sous-traitant

Le projet de directive sera appliqué par les autorités compétentes soit au niveau national soit lors du transfert de données à caractère personnel entre les États membres de l’Union européenne ou du transfert de telles données à des pays tiers ou à des organisations internationales. Les autorités compétentes sont définies comme des autorités publiques ou tout autre organisme ou entité à qui la législation d’un État membre confie l’exercice de l’autorité publique et de prérogatives de puissance publique. Les dispositions du projet de directive seront appliquées par les autorités publiques et, dans certaines circonstances, par des organismes privés. Lorsque des autorités compétentes au sens du projet de directive traitent des données à caractère personnel à des fins qui ne sont pas celles de la directive, elles doivent appliquer le projet de règlement. La position du Conseil en première lecture, comme il a déjà été indiqué dans l’introduction du présent exposé des motifs, aligne donc, dans une certaine mesure, les dispositions du projet de directive sur celles du projet de règlement.

Conformément au projet de règlement, la position du Conseil en première lecture prévoit que le responsable du traitement doit mettre en œuvre les mesures techniques et organisationnelles appropriées afin de veiller à la conformité du traitement des données et d’être à même de la démontrer. La position du Conseil en première lecture énonce explicitement les obligations du sous-traitant, selon lesquelles celui-ci:

— n’agit que sur instruction du responsable du traitement;

— veille à ce que les personnes autorisées à traiter les données respectent la confidentialité;

— met à la disposition du responsable du traitement toutes les informations prouvant qu’il respecte ses obligations.

13. Registre des activités de traitement

La position du Conseil en première lecture impose moins d’obligations au sous-traitant en matière de tenue de registres et établit donc la liste des obligations du responsable du traitement et de celles du sous-traitant dans deux paragraphes distincts. Elle prévoit qu’il n’est pas nécessaire qu’un registre soit tenu pour chaque activité de traitement, soit par le responsable du traitement soit par le sous-traitant, mais uniquement pour les catégories de traitement. Les autres parties du paragraphe obligent le responsable du traitement à fournir une quantité suffisante d’informations pour servir la finalité du registre. Le responsable du traitement est par exemple tenu d’ajouter des informations concernant les catégories de destinataires auxquels des données à caractère personnel ont été ou seront communiquées, les catégories de transferts de données à caractère personnel vers un pays tiers ou à une organisation internationale ou, dans la mesure du possible, les délais prévus pour l’effacement des différentes catégories de données à caractère personnel. Le responsable du traitement doit également fournir des informations sur le profilage, ce qui n’est pas le cas dans le projet de règlement. La position du Conseil en première lecture prévoit que le sous-traitant doit uniquement tenir un registre comprenant, par exemple, les catégories de traitements effectués pour le compte de chaque responsable du traitement et, dans la mesure du possible, une description générale des mesures de sécurité techniques et organisationnelles.

14. Journalisation

Il est important que des journaux soient établis pour permettre d’établir le motif, la date et l’heure de certaines opérations de traitement dans des systèmes de traitement automatisé, telles que la collecte, la consultation, la communication et les transferts. Les journaux des opérations de consultation et de communication permettent également l’identification de la personne qui a consulté ou communiqué les données à caractère personnel, ainsi que l’identité du destinataire. Conformément à la décision-cadre, les journaux doivent être utilisés uniquement à des fins de vérification de la licéité du traitement, d’autocontrôle et de garantie de l’intégrité et de la sécurité des données à caractère personnel. Le projet de directive introduit un nouvel élément, à savoir que les journaux peuvent également être utilisés à des fins de procédures pénales. Toutefois, la mise en conformité des systèmes de traitement automatisé est un processus lourd, long et onéreux. La position du Conseil en première lecture autorise donc exceptionnellement à prolonger le délai de transposition pour mettre en conformité les systèmes de traitement automatisé installés avant l’entrée en vigueur du projet de directive lorsque cela exige des efforts disproportionnés. Une prolongation supplémentaire du délai de mise en conformité des systèmes de traitement automatisé est permise, dans des circonstances exceptionnelles, pour un système donné de traitement automatisé installé avant la date d’entrée en vigueur du projet de directive lorsque, à défaut de cela, de graves difficultés se poseraient pour le fonctionnement du système de traitement automatisé en question.

15. Analyse d’impact

Si la proposition initiale de la Commission ne prévoyait aucune analyse d’impact relative à la protection des données, le texte du projet de règlement comprend un article consacré à l’analyse d’impact, de même que la position du Conseil en première lecture concernant le projet de directive, qui prévoit que le responsable du traitement a l’obligation d’en effectuer une. Une analyse d’impact est nécessaire avant que le responsable du traitement puisse effectuer une opération de traitement, lorsque cette dernière est susceptible d’engendrer un risque élevé pour les droits et les libertés des personnes physiques.

Le projet de directive énonce les situations dans lesquelles une analyse d’impact est obligatoire dans les mêmes termes que le texte du projet de règlement. Les éléments que l’analyse d’impact doit comporter sont toutefois exposés de façon moins détaillée que dans le projet de règlement. Cette analyse doit contenir au moins une description générale des opérations de traitement à effectuer, une évaluation des risques pour les droits et libertés des personnes concernées, les garanties, mesures et mécanismes de sécurité visant à assurer la protection des données à caractère personnel et à apporter la preuve de la conformité avec les dispositions du projet de directive.

16. Délégué à la protection des données

Selon la position du Conseil en première lecture, les États membres doivent prévoir que les responsables du traitement désignent un délégué à la protection des données. Les États membres devraient néanmoins pouvoir dispenser les tribunaux et d’autres autorités judiciaires de cette obligation dans l’exercice de leur fonction juridictionnelle. La désignation d’un délégué à la protection des données vise à améliorer le respect du projet de directive.

17. Transferts

Afin d’échanger des données avec des pays tiers et des organisations internationales, des règles régissant les transferts sont nécessaires. En ce qui concerne les principes généraux applicables aux transferts de données à caractère personnel, dans sa position en première lecture, le Conseil a complété les conditions proposées par la Commission, en exigeant que l’autorité destinataire soit compétente aux fins visées à l’article 1er, paragraphe 1, et que, en cas de transmission ou de mise à disposition de données provenant d’un autre État membre, celui-ci doit avoir préalablement autorisé ce transfert. La position du Conseil en première lecture indique en outre clairement que toutes les dispositions du chapitre relatif aux transferts doivent être appliquées de manière que le niveau de protection des personnes physiques garanti par le projet de directive ne soit pas compromis.

L’article relatif aux principes généraux énonce les choix qui s’offrent aux responsables du traitement pour transférer des données à caractère personnel par ordre décroissant de préférence, en commençant par les décisions constatant le caractère adéquat de la protection. Viennent ensuite les transferts moyennant des garanties appropriées, puis les transferts auxquels s’appliquent des dérogations pour des situations particulières. L’article portant sur les décisions constatant le caractère adéquat de la protection ne s’applique plus à présent qu’aux décisions prises au titre du projet de directive et plus à celles prises en vertu du règlement. Les éléments dont, selon le projet de directive, la Commission doit tenir compte lorsqu’elle évalue le caractère adéquat du niveau de protection sont identiques à ceux qui figurent dans le projet de règlement.

Dans les articles relatifs aux transferts moyennant des garanties appropriées et aux dérogations pour des situations particulières, la position du Conseil en première lecture précise que ces transferts doivent être documentés et que la documentation doit être mise à la disposition de l’autorité de contrôle, et elle spécifie les éléments que cette documentation doit contenir.

La position du Conseil en première lecture ajoute une base pour les transferts, à savoir la possibilité pour l’autorité compétente, mais uniquement s’il s’agit d’une autorité publique (et non d’organismes ou d’entités à qui la législation d’un État membre confie l’exercice de prérogatives de puissance publique) de transférer des données à caractère personnel à des destinataires établis dans des pays tiers. Cette possibilité constitue une exemption au principe général selon lequel les données à caractère personnel ne sont transférées que si le responsable du traitement dans un pays tiers ou l’organisation internationale est une autorité compétente aux fins visées à l’article 1er, paragraphe 1, du projet de directive. La position du Conseil en première lecture autorise, par conséquent, les autorités compétentes susmentionnées, dans certains cas particuliers et pour autant que les autres dispositions de la directive soient respectées et qu’un certain nombre des conditions répertoriées de manière exhaustive soient remplies, à transférer des données à caractère personnel directement à des destinataires, car les accords internationaux ne permettent pas toujours d’obtenir rapidement la réponse qui peut être nécessaire. Parmi les conditions susvisées figurent les suivantes: le transfert est strictement nécessaire à l’exécution de la mission de l’autorité compétente qui transfère les données ainsi que le prévoit le droit de l’Union ou la législation d’un État membre aux fins énoncées à l’article 1er, paragraphe 1; l’autorité compétente qui transfère les données estime que le transfert, aux fins visées à l’article 1er, paragraphe 1, à une autorité compétente dans le pays tiers est inefficace ou inapproprié, notamment parce que le transfert ne peut pas être effectué en temps opportun et; l’autorité qui transfère les données informe le destinataire de la finalité ou des finalités déterminées pour lesquelles les données à caractère personnel doivent faire l’objet d’un traitement. Comme pour les transferts réalisés sur la base de garanties et sur la base de dérogations pour des situations particulières, une obligation de documenter le transfert a été ajoutée. Ces transferts pourraient être particulièrement utiles lorsqu’il est urgent de transférer des données à caractère personnel afin de sauver la vie d’une personne qui risque de devenir la victime d’une infraction pénale ou pour éviter la commission imminente d’un crime, y compris d’un acte de terrorisme.

18. Autorités de contrôle

Afin de garantir le respect des dispositions du projet de directive, des autorités de contrôle seront chargées de surveiller l’application du projet de directive ainsi que du projet de règlement. Les dispositions relatives aux autorités de contrôle figurant dans le projet de directive sont, dans une large mesure, reprises du projet de règlement. Les États membres peuvent prévoir que les autorités de contrôle instituées dans le cadre du projet de règlement surveillent également l’application du projet de directive. Toutefois, le projet de directive exclut la possibilité pour les autorités de contrôle définies dans le projet de directive de contrôler les traitements effectués par les juridictions dans l’exercice de leur fonction juridictionnelle. Les États membres devraient pouvoir exclure la possibilité pour les autorités de contrôle définies dans le projet de directive de contrôler les traitements effectués par d’autres autorités judiciaires indépendantes dans l’exercice de leur fonction juridictionnelle. Cependant, cela ne signifie pas que les traitements effectués par de telles instances sont exemptés de contrôle. Par conséquent, il est ajouté, dans le considérant correspondant, que les opérations de traitement effectuées par les juridictions et les autres autorités judiciaires font, conformément à la charte des droits fondamentaux de l’Union européenne, l’objet d’un contrôle indépendant.

19. Pouvoirs des autorités de contrôle

La position du Conseil en première lecture prévoit que les autorités de contrôle devraient avoir, dans chaque État membre, les mêmes missions et les mêmes pouvoirs effectifs, afin qu’elles puissent exercer les fonctions consistant à assurer l’efficacité, la fiabilité et la cohérence du contrôle du respect et de l’application du projet de directive dans l’ensemble de l’Union.

La position du Conseil en première lecture classe les pouvoirs des autorités de contrôle, qui doivent être prévus par voie législative, en trois catégories, à savoir les pouvoirs d’enquête effectifs, les pouvoirs effectifs en matière d’adoption de mesures correctrices et les pouvoirs consultatifs effectifs, ainsi que le pouvoir de porter les violations des dispositions adoptées en vertu du projet de directive à la connaissance des autorités judiciaires.

20. Relation avec les accords internationaux conclus antérieurement

La position du Conseil en première lecture, à l’instar de la position du Conseil en première lecture relative au projet de règlement, précise que les accords internationaux qui ont été conclus par les États membres avant la date d’entrée en vigueur du projet de directive et qui sont conformes au droit de l’Union applicable avant la date d’entrée en vigueur du projet de directive restent en vigueur jusqu’à leur modification, leur remplacement ou leur révocation. Comme indiqué dans le projet de règlement, le maintien des accords en vigueur garantit la sécurité juridique pour les responsables du traitement.

IV. CONCLUSION

La position du Conseil en première lecture reflète le compromis intervenu lors des négociations menées entre le Conseil et le Parlement européen, avec l’aide de la Commission. En approuvant la position du Conseil en première lecture sans amendements, le Parlement européen établit, conjointement avec le Conseil, des normes élevées en matière de protection des données, au niveau tant national que transfrontière, afin de renforcer la coopération entre les autorités répressives.

(1) Doc. 5833/12.

(2) Doc. 7428/14.

(3) Doc. 12555/15.

(4) Doc. 5463/16.

(5) Décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (JO L 350 du 30.12.2008, p. 60).