FR Journal officiel de l'Union européenne C 160/1

Avis du Contrôleur européen de la protection des données sur la proposition de décision du Conseil relative à une position à prendre par l’Union au sein du comité mixte de coopération douanière Union européenne-États-Unis concernant la reconnaissance mutuelle du programme relatif aux opérateurs économiques agréés de l’Union européenne et du programme de partenariat douane-commerce contre le terrorisme des États-Unis

2012/C 160/01

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données, et notamment son article 41 (2),

A ADOPTÉ L’AVIS SUIVANT

I. INTRODUCTION

I.1. Consultation du CEPD et objectif de l’avis

1. Le 5 janvier 2011, la Commission a adopté une proposition de décision du Conseil relative à une position à prendre par l’Union au sein du comité mixte de coopération douanière Union européenne-États-Unis concernant la reconnaissance mutuelle du programme relatif aux opérateurs économiques agréés de l’Union européenne et du programme de partenariat douane-commerce des États-Unis contre le terrorisme (3) (ci-après «la proposition»). La proposition a été envoyée le même jour au CEPD.

2. Le CEPD avait été précédemment consulté de manière informelle et a émis un certain nombre d’observations informelles à l’intention de la Commission. L’objectif du présent avis est de compléter ces observations à la lumière de la présente proposition et de rendre ses considérations publiques.

3. Le CEPD reconnaît que le traitement des données à caractère personnel n’est pas au cœur de la proposition. Les informations traitées ne contiendront pas, pour la plupart, de données à caractère personnel, telles qu’elles sont définies dans la législation sur la protection des données (4). Cependant, la législation sur la protection des données devrait être respectée également dans les circonstances où cela serait le cas, comme cela est expliqué ci-après.

I.2. Contexte de la proposition

4. La proposition vise à établir une reconnaissance mutuelle des programmes de partenariat commercial de l’UE et des États-Unis — notamment les opérateurs économiques agréés de l’UE (OEA) et le partenariat douane-commerce contre le terrorisme des États-Unis (C-TPAT) — de manière à faciliter les échanges entre les opérateurs ayant investi dans la sécurité de la chaîne d’approvisionnement et acquis le statut de membre du C-TPAT ou de l’OEA.

5. Les relations entre l’Union européenne et les États-Unis dans le domaine douanier sont fondées sur l’accord sur la coopération douanière et l’assistance mutuelle dans le domaine douanier (ACAM) (5). Cet accord institue le comité mixte de coopération douanière (CMCD), qui est composé de représentants des autorités douanières de l’Union européenne et des États-Unis. La reconnaissance mutuelle doit être établie par une décision de ce comité. La proposition contient donc: — un exposé des motifs; — une proposition de décision du Conseil établissant que l’Union européenne prendra une position au sein du CMCD comme il est indiqué dans le projet de décision sur la reconnaissance mutuelle; — le projet de décision du CMCD établissant la reconnaissance mutuelle de l’OEA européen et du C-TPAT américain (ci-après «le projet de décision») (6).

6. Le projet de décision doit être mis en œuvre par les autorités douanières, qui ont établi une procédure de validations conjointes (processus de demande d’adhésion pour les opérateurs, évaluation des demandes, octroi et contrôle du statut de membre).

7. Le bon fonctionnement de la reconnaissance mutuelle est ainsi basé sur l’échange d’informations entre les autorités douanières de l’Union européenne et des États-Unis sur les opérateurs commerciaux qui sont déjà membres d’un programme de partenariat.

II. ANALYSE DU PROJET DE DÉCISION

II.1. Traitement des données se rapportant à des personnes physiques

8. Bien que l’objectif du projet de décision ne soit pas le traitement de données à caractère personnel, certaines des informations échangées auront un rapport avec des personnes physiques, particulièrement lorsque l’opérateur est une personne physique (7) ou que le nom légal de la personne morale agissant en tant qu’opérateur désigne une personne physique (8).

9. La pertinence de la protection des données dans ce contexte a été soulignée par la Cour européenne de justice dans sa décision Schecke. De l’avis de la Cour, les personnes morales ne peuvent se prévaloir du respect des droits à la vie privée et à la protection des données, tels qu’ils sont reconnus par la Charte des droits fondamentaux de l’Union européenne, que dans la mesure où le nom légal de la personne morale identifie une ou plusieurs personnes physiques (9). Le présent avis analyse donc la manière dont l’échange de données à caractère personnel concernant les opérateurs est réglementé dans le projet de décision.

II.2. Applicabilité du cadre européen de protection des données

10. Le traitement sera effectué par les autorités douanières définies à l’article 1er, paragraphe b), de l’ACAM (10). Cette définition renvoie, dans l’Union européenne, aux «services compétents» de la Commission européenne et aux autorités douanières des États membres de l’UE. Selon la législation européenne en matière de protection des données, le traitement par des États membres est soumis à la directive 95/46/CE (ci-après «la directive sur la protection des données») et aux législations nationales de protection des données mettant en œuvre la directive sur la protection des données, alors que le traitement de données à caractère personnel par les institutions et les organes de l’Union européenne est soumis au règlement (CE) no 45/2001 (ci-après «le règlement»). Dès lors, dans le cas présent, la directive sur la protection des données et le règlement sont tous deux applicables.

II.3. Niveau de protection

11. Les échanges d’informations doivent se faire au format électronique et conformément aux dispositions de l’ACAM. L’article 17, paragraphe 2, de l’ACAM établit que les données à caractère personnel ne peuvent être transférées entre les parties à l’accord que si la partie destinataire garantit un niveau de protection au moins équivalent à celui qui s’applique au cas particulier dans le pays qui fournit les données.

12. Le CEPD se réjouit de cette disposition, qu’il convient de comprendre comme une démarche visant à se conformer à la législation européenne sur la protection des données. Aux termes de l’article 25 de la directive sur la protection des données et de l’article 9 du règlement, en règle générale, les données ne peuvent être transférées de l’UE à des pays tiers que pour autant qu’un niveau de protection «adéquat» (11) soit assuré dans le pays du destinataire. L’article 17, paragraphe 2, de l’ACAM semble ainsi plus strict que la directive sur la protection des données.

13. Il convient donc d’établir, sur la base de toutes les circonstances pertinentes, dans quelle mesure les autorités destinataires aux États-Unis assurent effectivement un niveau équivalent de protection (ou, au moins, un niveau «adéquat»). L’analyse du caractère adéquat doit être menée à la lumière de toutes les circonstances entourant l’opération ou l’ensemble d’opérations de transfert de données (12).

14. La Commission européenne n’a pas considéré que les États-Unis dans l’ensemble assurent un niveau de protection adéquat. En l’absence d’une décision générale sur le caractère adéquat du niveau de protection offert, les responsables du traitement (13), sous la supervision des autorités de protection des données (14), peuvent décider que la protection fournie dans ce cas particulier est adéquate. Les États membres de l’UE (ou le CEPD, si les transferts sont effectués par des institutions ou des organes de l’UE) peuvent aussi autoriser une opération particulière ou un ensemble d’opérations de transfert de données à caractère personnel vers un pays tiers dans lequel le responsable du traitement offre des mesures de protection adéquates (15).

15. Ces décisions ad hoc sur le caractère adéquat du niveau de protection offert pourraient s’appliquer dans ce cas si les autorités douanières nationales et les services de la Commission européenne responsables des questions douanières présentent des preuves suffisantes à l’appui des allégations concernant l’adoption de garanties adéquates par les autorités douanières américaines en ce qui concerne les transferts prévus dans le projet de décision (16).

16. Cependant, le CEPD ne dispose pas de preuve suffisante que les autorités douanières américaines assurent un niveau de protection des données qui soit «adéquat» ou «au moins équivalent à celui qui s’applique dans ce cas particulier dans le pays qui fournit les données», comme l’exige l’article 17, paragraphe 2, de l’ACAM.

17. Le CEPD demande donc instamment de vérifier que la preuve démontrant que les autorités douanières américaines assurent un niveau de protection des données qui est «adéquat» ou «au moins équivalent à celui qui s’applique dans ce cas particulier dans le pays qui fournit les données» comme en dispose l’article 17, paragraphe 2, de l’ACAM, soit fournie au CEPD et aux autorités nationales chargées de la protection des données. Cela devrait faire l’objet d’une disposition du projet de décision.

18. Enfin, les transferts de données à caractère personnel de l’UE vers des pays qui ne garantissent pas un niveau de protection «adéquat» peuvent aussi être autorisés si s’applique l’une des dérogations de l’article 26, paragraphe 1, de la directive sur la protection des données ou de l’article 9, paragraphe 6, du règlement. Dans ce cas particulier, le fait que le transfert est «nécessaire ou rendu juridiquement obligatoire pour des motifs d’intérêt public importants» (17) peut se discuter. Cependant, ces dérogations doivent être interprétées de manière restrictive et ne peuvent servir de prétexte à des transferts massifs ou systématiques de données à caractère personnel (18). De l’avis du CEPD, ces dérogations ne seraient pas utiles dans le cas présent.

II.4. Limitation de la finalité

19. La section V, paragraphe 1, du projet de décision indique que les données échangées ne peuvent être traitées par les autorités douanières réceptrices qu’aux fins de la mise en œuvre du projet de décision, conformément à l’article 17 de l’ACAM.

20. Cependant, la section V, paragraphe 3, quatrième alinéa, et l’article 17, paragraphe 3, de l’ACAM autorisent aussi le traitement de données à d’autres fins. Considérant que l’objectif du projet de décision dépasse la coopération douanière et inclut la lutte contre le terrorisme, le CEPD conseille que soient précisés dans le texte de la décision toutes les finalités autorisées des transferts de données à caractère personnel. En outre, les données transférées doivent être nécessaires et proportionnelles aux fins pour lesquelles elles sont transférées. Il conviendrait aussi de préciser que les personnes concernées doivent être informées de manière exhaustive sur toutes les finalités et conditions du traitement de leurs données à caractère personnel.

II.5. Catégories de données devant être échangées

21. Les données concernant les membres des programmes de partenariat dans le domaine commercial qui peuvent être échangées entre les autorités douanières comprennent: le nom, l’adresse; le statut de membre; la date de validation ou d’agrément; les suspensions et les retraits; le numéro unique d’autorisation ou d’identification; et les «détails pouvant être mutuellement déterminés entre les autorités douanières, et étant soumis, s’il y a lieu, aux garanties nécessaires» (19). Ce dernier champ étant trop ouvert, le CEPD recommande de préciser les catégories de données qu’il peut comprendre.

22. Le CEPD remarque aussi que les données échangées peuvent inclure des données sur des infractions ou des infractions présumées, par exemple, des données relatives à la suspension et au retrait du statut de membre. Le CEPD souligne que la législation européenne en matière de protection des données restreint le traitement des données à caractère personnel relatives à des infractions, condamnations pénales ou mesures de sûreté (20). Le traitement des données appartenant à ces catégories peut être soumis au contrôle préalable du CEPD et des autorités nationales de protection des données dans l’UE (21).

II.6. Transferts ultérieurs

23. La section V, paragraphe 3, troisième alinéa, autorise le transfert de données à des pays tiers ou des organes internationaux si l’autorité expéditrice a donné son approbation préalable et dans le respect des conditions spécifiées par cette dernière. Les transferts ultérieurs ne devraient pas être autorisés à moins qu’une justification ne soit fournie.

24. Dès lors, il apparaît que la section V, paragraphe 3, devrait comporter une disposition similaire à celle prévue à l’article 17, paragraphe 2, de l’ACAM, établissant que les données à caractère personnel ne peuvent être transférées vers un pays tiers que lorsque le pays destinataire assure un niveau de protection qui est au moins équivalent à celui requis dans le projet de décision. Dans le cas contraire, la protection accordée aux données à caractère personnel aux termes du présent projet de décision pourrait être contournée par des transferts ultérieurs.

25. Cette disposition devrait, en tout état de cause, préciser les finalités de tels transferts et les situations spécifiques dans lesquelles ils sont autorisés. Elle devrait aussi indiquer de manière explicite que le respect des principes de nécessité et de proportionnalité doit être vérifié au cas par cas dans le cas de transferts internationaux ultérieurs et que des transferts massifs ou systématiques ne sont pas autorisés. L’obligation d’informer les personnes concernées sur la possibilité de transferts internationaux ultérieurs devrait être aussi incluse dans le texte.

II.7. Rétention de données

26. Le CEPD se réjouit de ce que la section V, paragraphe 2, interdise de traiter ou de conserver des informations plus longtemps que ce qui est nécessaire aux fins pour lesquelles elles sont transférées. Cependant, une période maximale de rétention devrait aussi être fixée.

II.8. Sécurité et obligation de rendre compte

27. La section IV précise que les échanges d’informations seront effectués au format électronique. De l’avis du CEPD, il convient dans cette section de fournir plus de détails sur le système d’échange d’informations à établir. En tout état de cause, le système choisi devrait intégrer, dès le stade de la conception, la protection de la vie privée et des données à caractère personnel (principe du respect de la vie privée dès la conception).

28. À cet égard, le CEPD se réjouit du fait que des garanties sont prévues à la section V, paragraphe 3, premier et deuxième alinéas, qui comprennent le contrôle de l’accès aux informations, «la protection contre l’accès non autorisé, la diffusion et la modification, la suppression et la destruction» et un contrôle de ce que les données sont uniquement destinées aux fins du projet de décision. Il approuve aussi la consignation des accès prévue à la section V, paragraphe 3, cinquième alinéa.

29. Le CEPD recommande aussi d’inclure dans ces dispositions l’obligation d’effectuer une étude d’impact de la protection des données (y compris une évaluation des risques) avant le commencement des échanges de données. Cette étude devrait inclure une évaluation des risques et les mesures envisagées pour éliminer ces risques (22). Le texte devrait aussi préciser que le respect de ces mesures et leur mise en œuvre feront l’objet d’une vérification et de rapports périodiques. Cela est d’autant plus pertinent au regard de la possibilité que des données sensibles soient traitées.

II.9. Qualité des données et droits des personnes concernées

30. Le CEPD approuve l’obligation pour les autorités douanières de s’assurer que les informations échangées sont précises et régulièrement mises à jour (voir la section V, paragraphes 2 et 5). Il approuve aussi la disposition de la section V, paragraphe 4, qui garantit aux opérateurs qui sont membres des programmes de partenariat un droit d’accès et de rectification de leurs données personnelles.

31. Cependant, le CEPD remarque que l’exercice de ces droits est régi par la législation nationale à laquelle est soumise l’autorité douanière. Pour ce qui est des données fournies par des autorités douanières de l’UE, et afin de garantir un niveau de protection «adéquat» (voir la section II.3 du présent avis), ces droits ne devraient être limités que si cette restriction est nécessaire pour protéger un intérêt économique ou financier important.

32. Le CEPD approuve aussi le fait que les autorités douanières soient tenues de supprimer les informations reçues si leur collecte ou leur traitement ultérieur enfreint le projet de décision ou l’ACAM (23). Le CEPD souhaite rappeler que, selon l’article 17, paragraphe 2, de l’ACAM, cette disposition s’appliquerait à tout traitement qui enfreint la législation de l’UE sur la protection des données.

33. Le CEPD approuve l’obligation qu’ont les autorités douanières de fournir des informations aux membres des programmes quant aux voies de recours à leur disposition (24). Cependant, il conviendrait de préciser quels sont les choix en matière de recours en cas de violation des mesures de protection des données garantie par le projet de décision. Cette disposition devrait aussi préciser que d’autres personnes concernées (à savoir les opérateurs faisant une demande d’adhésion) doivent aussi être informées des voies de recours disponibles.

II.10. Contrôle

34. Le CEPD approuve la disposition de la section V, paragraphe 6, qui soumet la section V en totalité au «contrôle et à l’examen indépendant» du haut responsable de la protection de la vie privée (Chief Privacy Officer) au ministère américain de la sécurité intérieure (US Department of Homeland Security), du CEPD et des autorités nationales chargées de la protection des données à caractère personnel.

35. Il conviendrait aussi de préciser que le CEPD et les autorités nationales chargées de la protection des données devraient surveiller que le niveau de protection assuré pour les données à caractère personnel par l’autorité douanière destinataire est bien «adéquat» (voir la section III.1). La section IV devrait, elle aussi, faire l’objet d’un contrôle et d’un examen.

III. CONCLUSION

36. Le CEPD accueille favorablement les mesures de protection prévues dans le projet de décision, particulièrement en ce qui concerne la sécurité des données. Cependant, la preuve que les autorités douanières américaines assurent un niveau de protection des données «adéquat» ou «au moins équivalent à celui qui s’applique à ce cas particulier dans le pays qui fournit les données», comme l’exige l’article 17, paragraphe 2, de l’ACAM, devrait être fournie au CEPD et aux autorités nationales chargées de la protection des données. Cette obligation devrait faire l’objet d’une disposition du projet de décision.

37. Il recommande, de surcroît, ce qui suit: — préciser la ou les finalités des échanges de données prévus dans le projet de décision, qui devraient être nécessaires et proportionnels; — préciser les catégories de données comprises dans la section IV, paragraphe 3, point g); — préciser que, dans le cas où la nécessité de transferts internationaux ultérieurs est justifiée, ceux-ci ne seront autorisés, au cas par cas, que pour des objectifs compatibles et à condition que le pays destinataire garantisse un niveau de protection qui est au moins équivalent à celui assuré par le projet de décision; — inclure une obligation d’informer de ce qui précède toutes les personnes concernées; — compléter les dispositions sur la sécurité; — préciser les périodes maximales de rétention des données; — ne pas limiter les droits des personnes concernées de l’UE à moins qu’une restriction de ce type ne soit nécessaire pour protéger un intérêt économique ou financier important; — garantir le droit de former un recours; — soumettre la section IV à un contrôle et à un examen; — préciser que le CEPD, les autorités nationales de l’UE chargées de la protection des données et le haut responsable de la protection de la vie privée (Chief Privacy Officer) au ministère américain de la sécurité intérieure (US Department of Homeland Security) vérifient que les mesures de protection mises en œuvre par l’autorité douanière destinataire pour assurer un niveau de protection adéquat des données à caractère personnel sont effectives et conformes aux exigences de l’UE.

38. Le CEPD remarque aussi que la proposition peut comporter le traitement de données à caractère personnel concernant des infractions ou des infractions présumées. Ces données sont soumises à des mesures de protection plus strictes aux termes de la législation de l’UE et peuvent faire l’objet d’une vérification préalable du CEPD et des autorités nationales de l’UE chargées de la protection des données.

Fait à Bruxelles, le 9 février 2012. Giovanni BUTTARELLI Contrôleur adjoint européen de la protection des données

(1) JO L 281 du 23.11.1995, p. 31.

(2) JO L 8 du 12.1.2001, p. 1.

(3) COM(2011) 937 final.

(4) Comme il est établi aux points 8-9 du présent avis.

(5) Accord entre l’Union européenne et les États-Unis d’Amérique sur la coopération douanière et l’assistance mutuelle dans le domaine douanier (JO L 222 du 12.8.1997, p. 17), consultable à l’adresse http://ec.europa.eu/world/agreements/prepareCreateTreatiesWorkspace/treatiesGeneralData.do?step=0&redirect=true&treatyId=308 (résumé et texte intégral).

(6) Proposition de décision du comité mixte de coopération douanière États-Unis-Union européenne concernant la reconnaissance mutuelle du programme de partenariat douane-commerce contre le terrorisme des États-Unis et du programme relatif aux opérateurs économiques agréés de l’Union européenne.

(7) Les données à caractère personnel sont définies à l’article 2, point a), de la directive 95/46/CE et à l’article 2, point a), du règlement (CE) no 45/2001 comme étant «toute information concernant une personne physique identifiée ou identifiable».

(8) Voir également l’avis du CEPD sur la proposition de décision du Conseil relative à une position à prendre par l’Union au sein du comité mixte de coopération douanière UE-Japon concernant la reconnaissance mutuelle des programmes relatifs aux opérateurs économiques agréés dans l’Union européenne et au Japon, consultable à l’adresse http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:C:2010:190:0002:0006:FR:PDF

(9) Cour européenne de justice, 9 novembre 2010, Volker und Markus Schecke, C-92/09 et C-93/09, point 53 (consultable à l’adresse http://curia.europa.eu/jurisp/cgi-bin/gettext.pl?where=&lang=fr&num=79898890C19090092&doc=T&ouvert=T&seance=ARRET).

(10) Voir la section I, paragraphe 2, du projet de décision.

(11) Le règlement ajoute que ces transferts ne peuvent avoir lieu que s’ils visent «exclusivement à permettre l’exécution des missions qui relèvent de la compétence du responsable du traitement»

(12) Voir l’article 9, paragraphes 1 et 2, du règlement, l’article 25, paragraphes 1 et 2, de la directive sur la protection des données et les lois nationales de protection des données qui les mettent en œuvre dans les États membres. Voir aussi l’avis du CEPD sur le comité mixte de coopération douanière UE-Japon, précité.

(13) Dans ce cas, les autorités douanières de l’UE et de ses États membres.

(14) Dans certains États membres, seules les autorités de protection des données peuvent autoriser le transfert.

(15) Article 26, paragraphe 2, de la directive sur la protection des données et article 9, paragraphe 7, du règlement.

(16) Voir également la lettre du CEPD sur les transferts de données à caractère personnel vers les pays tiers: «caractère adéquat» des signataires de la convention 108 du Conseil de l’Europe (affaire 2009-0333), consultable à l’adresse http://www.edps.europa.eu/EDPSWEB/webdav/shared/Documents/Supervision/Adminmeasures/2009/09-07-02_OLAF_transfer_third_countries_EN.pdf

(17) Voir l’article 9, paragraphe 6, point d), du règlement ou l’article 26, paragraphe 1, point d), de la directive sur la protection des données qui, selon le cinquante-huitième considérant de la directive sur la protection des données, inclut les transferts entre les autorités fiscales ou douanières.

(18) Voir le document de travail du 25 novembre 2005 du groupe de travail «Article 29» relatif à une interprétation commune de l’article 26, paragraphe 1, de la directive 95/46/CE du 24 octobre 1995 (WP114), pages 7-9, consultable à l’adresse http://ec.europa.eu/justice/policies/privacy/docs/wpdocs/2005/wp114_fr.pdf

(19) Voir la section IV, paragraphe 3, points a) à g), du projet de décision.

(20) Voir l’article 8, paragraphe 5, de la directive no 95/46/CE et l’article 10, paragraphe 5, du règlement (CE) no 45/2001.

(21) Voir l’article 27, point a), du règlement (CE) no 45/2001 et les lois nationales sur la protection des données mettant en application l’article 20 de la directive 95/46/CE.

(22) Comme prévu déjà à l’article 33 de la nouvelle proposition de règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données) [COM(2012) 11/4, projet].

(23) Voir la section V, paragraphe 5, du projet de décision.

(24) Voir la section V, paragraphe 4, dernière phrase.