FR Journal officiel de l'Union européenne C 279/11

Avis du Contrôleur européen de la protection des données concernant la proposition de règlement du Parlement européen et du Conseil modifiant le règlement (CE) no 1073/1999 relatif aux enquêtes effectuées par l’Office européen de lutte antifraude (OLAF) et abrogeant le règlement (Euratom) no 1074/1999

2011/C 279/02

LE CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES,

vu le traité sur le fonctionnement de l’Union européenne et en particulier son article 16,

vu la Charte des droits fondamentaux de l’Union européenne, et notamment ses articles 7 et 8,

vu la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (1),

vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (2), et notamment son article 28, paragraphe 2,

A ADOPTÉ L’AVIS SUIVANT:

1. INTRODUCTION

1. Le 17 mars 2011, la Commission a adopté une proposition de règlement du Parlement européen et du Conseil modifiant le règlement (CE) no 1073/1999 relatif aux enquêtes menées par l’Office européen de lutte antifraude (l’Office) et abrogeant le règlement (Euratom) no 1074/1999 (ci-après «la proposition»).

1.1. Consultation avec le CEPD

2. La proposition a été envoyée au CEPD par le Conseil le 8 avril 2011. Le CEPD considère cette communication comme une demande d’avis qui lui est faite par les institutions et organes communautaires, comme le prévoit l’article 22, paragraphe 2, du règlement (CE) no 45/2001 du 18 décembre 2000 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (ci-après le «règlement (CE) no 45/2001»). Le CEPD juge encourageante la référence explicite à cette consultation dans le préambule de la proposition.

3. La proposition vise à modifier les articles 1 à 14 et à supprimer l’article 15 du règlement (CE) no 1073/1999. Le règlement (Euratom) du Conseil no 1074/1999 du 25 mai 1999 relatif aux enquêtes menées par l’Office européen de lutte antifraude doit être abrogé.

4. Auparavant (3), avant l’adoption de la proposition, la Commission avait donné au CEPD la possibilité de présenter des observations informelles. Le CEPD se félicite du caractère ouvert du processus qui a, très tôt, aidé à améliorer le texte du point de vue de la protection des données. En effet, certaines de ces observations ont été prises en compte dans la proposition.

5. Ce nouveau texte est le résultat d’un long processus de révision. En 2006, la Commission a mis en avant une proposition pour amender le règlement (CE) no 1073/1999. La proposition législative visait avant tout à «renforcer l’efficience opérationnelle et la gouvernance de l’Office».

6. Cette précédente proposition a été discutée à la fois au Conseil et au Parlement européen selon la procédure de codécision. Le CEPD a émis son avis en avril 2007, ainsi que de nombreuses observations visant à rendre le texte de la proposition plus cohérent avec les règles de protection des données garanties par le règlement (CE) no 45/2001 (4). Le 20 novembre 2008 (5), le Parlement a adopté en première lecture une résolution comportant une centaine d’amendements à la proposition.

7. À la demande de la présidence tchèque du Conseil (janvier-juin 2009), la Commission a présenté au Parlement européen et au Conseil en juillet 2010 un exposé actualisé sur la réforme de l’Office. En octobre 2010, le Parlement européen a accueilli cet exposé et demandé à la Commission de reprendre la procédure législative. Le 6 décembre 2010, le Conseil a adopté ses conclusions sur le document de réflexion soumis par la Commission. Le comité de surveillance de l’Office a contribué à la discussion en communiquant ses avis sur l’exposé et sur le respect des droits fondamentaux et des garanties procédurales dans les enquêtes menées par l’Office. La Commission a ensuite présenté la nouvelle proposition.

1.2. Importance de la proposition et de l’avis du CEPD

8. La proposition comprend des dispositions qui ont une forte incidence sur les droits des personnes. L’Office continuera à recueillir et à traiter des données sensibles liées à des allégations d’activités illégales, des infractions, des condamnations pénales ainsi qu’à des informations qui pourraient servir à exclure des personnes du bénéfice d’un droit, d’une prestation ou d’un contrat, dans la mesure où ces informations représentent un risque particulier pour les droits et les libertés des personnes concernées. Le droit fondamental à la protection des données personnelles vaut bien sûr en soi mais il a des liens étroits avec d’autres droits fondamentaux comme le refus de la discrimination et l’application d’une procédure équitable, ainsi que le droit de se défendre dans les enquêtes menées par l’Office. Le respect d’une procédure équitable a une influence sur la validité de la preuve et doit être considéré comme une priorité par l’Office pour renforcer son obligation de rendre compte. Il est donc essentiel de s’assurer que, lors des enquêtes, les droits fondamentaux, dont les droits à la protection des données et au respect de la vie privée, des personnes impliquées sont effectivement garantis.

1.3. Principaux éléments de la proposition

9. L’objectif déclaré de la proposition est d’augmenter l’effectivité, l’efficacité et l’obligation de justification de l’Office, tout en sauvegardant son indépendance en matière d’enquêtes. Cet objectif serait atteint principalement: i) en intensifiant la coopération et l’échange d’informations avec d’autres institutions, offices, organes et agences ou États membres de l’Union; ii) en affinant l’approche de minimis (6) aux enquêtes; iii) en renforçant les garanties procédurales pour les personnes sur lesquelles l’Office enquête; iv) en incluant la possibilité que l’Office conclue des arrangements administratifs pour faciliter l’échange d’informations avec Europol, Eurojust, les autorités compétentes de pays tiers ainsi qu’avec des organisations internationales et v) en clarifiant le rôle de contrôle du comité de surveillance.

10. Le CEPD reconnaît l’importance des objectifs visés par les amendements proposés et, à cet égard, se félicite de la proposition. Il apprécie particulièrement l’introduction du nouvel article 7 bis qui est consacré aux garanties de procédure offertes aux personnes. Du point de vue de la défense des droits de l’individu à la protection de ses données personnelles et de sa vie privée, le CEPD considère que, dans l’ensemble, la proposition représente une amélioration par rapport à la situation actuelle. Il se félicite, notamment, de la reconnaissance expresse de l’importance des droits des personnes concernées en vertu des articles 11 et 12 du règlement (CE) no 45/2001 (7).

11. Toutefois, en dépit de cette impression globalement positive, le CEPD estime que, du point de vue de la protection des données à caractère personnel, la proposition pourrait être encore améliorée sans compromettre les objectifs qu’elle poursuit. Le CEPD craint en particulier que, en raison d’un manque de cohérence sur certains aspects, la proposition soit considérée comme une lex specialis réglementant le traitement des données à caractère personnel collectées dans le cadre des enquêtes de l’OLAF, qui primerait dès lors sur l’application du cadre général de la protection des données prévu par le règlement (CE) no 45/2001. Dès lors, il existe un risque que les normes de protection des données contenues dans la proposition soient interprétées ex contrario comme étant moins exigeantes que celles du règlement, et cela sans que rien dans la proposition elle-même ni dans l’exposé des motifs ne le justifie apparemment.

12. Afin d’éviter d’en arriver là, le chapitre suivant contient une analyse de la proposition qui, d’une part, décrit ses insuffisances et, de l’autre, suggère des moyens précis pour les surmonter. L’objet de cette analyse se limite aux dispositions ayant une incidence directe sur la protection des données à caractère personnel, et particulièrement à l’article 1, paragraphes 8), 9), 10), 11) et 12) en vertu desquels les articles 7 bis et 7 ter, l'article 8, l'article 9, l'article 10 et l'article 10 bis sont ajoutés ou modifiés.

2. ANALYSE DE LA PROPOSITION

2.1. Contexte général

13. L’OLAF a été créé en 1999 (8) pour protéger les intérêts financiers de la Communauté européenne et l’argent des contribuables contre la fraude, la corruption et toute autre activité illégale. L’Office est rattaché à la Commission mais il est indépendant de celle-ci. L’Office mène des enquêtes qui peuvent être externes (9) (en particulier des enquêtes qui peuvent être menées dans les États membres ou dans les pays tiers) et internes (10) (enquêtes menées à l’intérieur des institutions, organes, offices et agences de l’UE) dans le but de lutter contre la fraude et les activités illégales qui peuvent porter atteinte aux intérêts de l’Union européenne.

14. En outre, l’OLAF peut aussi i) transmettre aux autorités compétentes des États membres concernés des informations obtenues au cours d’enquêtes externes; ii) transmettre aux autorités judiciaires de l’État membre concerné les informations obtenues par l’Office lors d’enquêtes internes sur des faits susceptibles de poursuites pénales et iii) transmettre à l’institution, organe, ou organisme concerné des informations obtenues au cours d’enquêtes internes (11).

15. L’Office peut aussi coopérer étroitement avec Eurojust (12) et Europol (13) pour mener à bien sa mission de lutte contre la fraude, la corruption et toute autre activité qui pourrait affecter l'intérêt financier de la Communauté. Dans ce contexte, Europol (14) et Eurojust (15) peuvent échanger des informations de nature opérationnelle, stratégique ou technique avec l’OLAF, parmi lesquelles des données à caractère personnel.

16. Selon le règlement (CE) no 1073/1999, l’OLAF peut aussi enquêter dans des pays tiers conformément aux différents accords de coopération en vigueur entre l’Union européenne et ces pays tiers. Des activités frauduleuses au détriment du budget communautaire peuvent aussi se dérouler en dehors du territoire de l’Union européenne, par exemple en ce qui concerne l’aide étrangère accordée par l’Union européenne aux pays en développement, aux pays candidats ou à d’autres pays qui la reçoivent, ou les violations de la législation douanière. Afin de détecter efficacement et de poursuivre ces infractions, l’Office doit effectuer dans les pays tiers également des inspections et des vérifications sur place. L’Union européenne a actuellement plus de cinquante accords d’assistance administrative mutuelle en matière de douanes, y compris avec de grands partenaires commerciaux comme la Chine, les États-Unis, le Japon, la Turquie, la Fédération de Russie et l’Inde, ce qui illustre l’importance de la coopération internationale et aussi de l’échange de données.

17. La mise en œuvre du règlement (CE) no 45/2001 dans les activités de l’OLAF a fait l’objet de nombreuses interventions du CEPD ces dernières années. En relation avec le sujet de la proposition (les enquêtes de l’Office), il importe de considérer l’avis du 23 juin 2006 sur une notification de contrôle préalable des enquêtes internes de l’Office (16); l’avis du 4 octobre 2007 sur cinq notifications de contrôle préalable des enquêtes externes (17) et l’avis du 19 juillet 2007 sur une notification de contrôle préalable de la surveillance régulière de la mise en œuvre de la fonction d’enquête (18), qui se rapporte aux activités du comité de surveillance.

2.2. Vie privée et analyse d’impact

18. Ni la proposition ni l’exposé des motifs qui y est joint ne fait référence à l’impact de la proposition sur les règles de protection des données, pas plus qu’à une analyse d’impact en matière de respect de la vie privée et de protection des données. Expliquer de quelle manière a été traitée l’incidence sur la protection des données accroitrait certainement la transparence de l’ensemble de l’évaluation de la proposition. Le CEPD est surpris que l’exposé des motifs ne comporte aucun chapitre sur «les résultats des consultations avec les parties intéressées et des analyses d’impact».

2.3. Application du règlement (CE) no 45/2001

19. Comme cela est indiqué dans l’avis précédent sur la proposition 2006 (19), le CEPD se félicite de ce que la proposition reconnaît que le règlement (CE) no 45/2001 s’applique à toutes les activités de traitement de données de l’Office. En particulier, la nouvelle formulation de l’article 8, paragraphe 4 (20), mentionne clairement le rôle du règlement dans le contexte des différentes activités de l’Office. Cela constitue une actualisation du texte du règlement (CE) no 1073/1999, qui mentionnait seulement comme référence la directive 95/46/CE en ce qui concerne les obligations en matière de protection des données.

20. La dernière phrase de l’article 8, paragraphe 4, introduit la mise en œuvre de la nécessité de nommer un délégué à la protection des données: «L’Office doit nommer un délégué à la protection des données conformément à l’article 24 du règlement (CE) no 45/2001». Cette mention, qui formalise la nomination effective du DPD de l’OLAF, est également bien accueillie par le CEPD.

21. Cependant le CEPD s’inquiète du fait que la mise en œuvre des normes de protection des données dans le texte proposé n’est pas en totale conformité avec les exigences du règlement, ce qui pourrait soulever des problèmes en ce qui concerne sa cohérence. Cet aspect est analysé en détail ci-après.

3. OBSERVATIONS SPÉCIFIQUES

3.1. L’Office européen de lutte antifraude et le respect des droits fondamentaux, parmi lesquels les principes de protection des données

22. Les enquêtes de l’Office peuvent avoir un impact important sur les droits fondamentaux des personnes. Comme cela est indiqué par la Cour de justice dans l’arrêt Kadi (21), ces droits sont protégés par le droit communautaire. Plus précisément, dans l’arrêt Schecke (22), le Tribunal, se référant à la charte des droits fondamentaux de l’Union européenne (la «Charte») (23), et en particulier à ses articles 8 et 52, souligne que des limitations du droit à la protection des données à caractère personnel ne peuvent se justifier que si elles sont prévues par le droit, si elles respectent le contenu essentiel dudit droit et si, dans le respect du principe de proportionnalité, elles respectent les objectifs d’intérêt général reconnus par l’Union. Le CEPD accorde une grande valeur au respect des droits fondamentaux dans le domaine d’activité de l’Office.

23. Le considérant 13 de la proposition explique que le respect des droits fondamentaux des personnes concernées par des enquêtes devrait être assuré à tout moment, notamment lors de la communication d'informations sur des enquêtes en cours. Ce préambule souligne ensuite la nécessité du respect de la confidentialité des enquêtes, des droits légitimes des personnes concernées, des dispositions nationales applicables aux procédures judiciaires et, enfin, de la législation de l’Union relative à la protection des données. Il est spécifié que l’échange d’informations devrait se fonder sur les principes de proportionnalité et de besoin de connaître du dossier.

24. Ce considérant semble introduire une restriction à l’applicabilité des droits fondamentaux à la fois ratione personae (limités aux personnes concernées par l’enquête) et ratione materiae (limités à l’échange d’informations). Ceci pourrait conduire à une interprétation incorrecte du texte selon laquelle les droits fondamentaux dans le domaine des activités de l’Office s’appliqueraient d’une manière «restrictive». (24)

25. Le CEPD suggère donc de modifier le texte du considérant de manière à éviter toute mauvaise interprétation possible: le considérant mentionne que le respect des droits fondamentaux des «personnes concernées par des enquêtes» devrait être assuré à tout moment. Comme l’OLAF ne s’occupe pas seulement de personnes concernées par une enquête (les «suspects») mais aussi des informateurs (personnes fournissant des informations sur le fait d’une affaire éventuelle ou effective), des dénonciateurs (25) (personnes à l’intérieur des institutions communautaires qui signalent à l’Office des faits liés à une affaire éventuelle ou effective), et des témoins, la disposition doit définir de manière plus large les catégories des «personnes» qui jouissent des droits fondamentaux.

26. En outre, le treizième considérant concerne le respect des droits fondamentaux, en particulier dans le contexte de l’«échange d’informations». Ce considérant mentionne, en plus des droits fondamentaux et de la confidentialité, que les «informations communiquées ou obtenues dans le cadre des enquêtes devraient être traitées conformément à la législation de l'Union relative à la protection des données». La position de cette phrase pourrait prêter à confusion et elle devrait figurer dans un considérant à part pour expliquer que le respect de la législation en matière de protection des données est un élément à part et indépendant et n’est pas seulement lié à l’échange d’informations.

27. Le CEPD se félicite du fait que l’article 7 bis soit spécifiquement axé sur les garanties de procédure lors des enquêtes. Cette nouvelle disposition est en harmonie avec l’objectif déclaré de la proposition de renforcer la responsabilité de l’OLAF. Cet article fait aussi référence à la charte, qui contient des dispositions pertinentes en ce qui concerne les enquêtes de l’Office, à savoir l’article 8 («Protection des données à caractère personnel») et la totalité du chapitre VI («Justice»).

28. L’article 7 bis, paragraphe 1, de la proposition fait obligation à l’Office de rechercher des preuves à charge et à décharge de la personne concernée et rappelle l’obligation d’effectuer des enquêtes de façon objective et impartiale. Ces principes ont un impact positif sur le principe de la «qualité des données» (26) établi à l’article 4 du règlement (CE) no 45/2001, dans la mesure où ce critère exige que les données soient exactes, conformes à une réalité objective, complètes et mises à jour. Le CEPD se félicite de l’introduction de ce paragraphe.

Droit à l’information, à l’accès et à la rectification

29. Les paragraphes suivants de l’article 7 bis concernent les différentes étapes des enquêtes de l’Office. Ces étapes peuvent être résumées comme suit: i) entretiens avec les témoins ou les personnes concernées (article 7 bis, paragraphe 2); ii) personne concernée par les enquêtes (article 7 bis, paragraphe 3); iii) conclusions de l’enquête faisant référence au nom d’une personne (article 7 bis, paragraphe 4).

30. Le CEPD remarque que l’obligation de fournir des informations en vertu des articles 11 et 12 du règlement (CE) no 45/2001 est mentionnée (seulement) pour l’étape iii) ci-dessus. Le CEPD se félicite de ce que la proposition comporte les recommandations qu’il a présentées dans son avis législatif de 2006 (27).

31. Cependant, une mention si sélective des droits de la personne concernée pour une seule étape de la procédure pourrait être interprétée comme signifiant que ces informations ne doivent pas lui être accordées (témoin ou personne concernée) lorsqu’elle est invitée à un entretien ou lorsque le membre du personnel est informé qu’il peut être concerné par l’enquête. Pour des raisons de certitude juridique, le CEPD suggère donc que soit insérée une référence aux articles pertinents pour les trois situations indiquées aux points i), ii) et iii) ci-dessus. Cependant, une fois que les informations relatives aux articles 11 et 12 du règlement (CE) no 45/2001 ont été fournies à la personne concernée, il ne sera pas nécessaire de fournir les mêmes informations aux étapes suivantes.

32. En outre, le texte n’introduit pas de spécification en ce qui concerne les droits d’accès et de rectification des données de la personne concernée en vertu des articles 13 et 14 du règlement (CE) no 45/2001. Ces droits sont protégés par l’article 8, paragraphe 2, de la charte et ont donc une importance particulière parmi les droits de la personne concernée. Le CEPD a déjà demandé (28) que soit introduite une spécification plus claire des droits d’accès et de rectification de la personne concernée de manière à éviter le risque d’une interprétation du texte qui introduirait un régime de protection des données spécial «de niveau inférieur» pour les personnes concernées par les enquêtes de l’OLAF. Le CEPD regrette que ces aspects ne soient pas évoqués dans la proposition.

33. Le CEPD souhaite aussi souligner la possibilité de limiter les droits à l’information, l’accès et la rectification dans des cas particuliers, comme le prévoit l’article 20 du règlement (CE) no 45/2001. L’Office peut donc se conformer aux règles de protection des données tout en respectant la nécessité de préserver le caractère confidentiel de ses enquêtes. Cet aspect sera développé dans les paragraphes qui suivent.

Caractère confidentiel de l’enquête et droits des personnes concernées

34. À titre de remarque générale, le CEPD reconnaît que le rôle d’investigation de l’Office exige la capacité de protéger le caractère confidentiel de ses enquêtes afin de s’attaquer efficacement à la fraude et aux activités illicites qu’il se doit de poursuivre. Le CEPD souligne cependant que cette capacité influe sur certains droits des personnes concernées et que le règlement (CE) no 45/2001 établit des conditions spécifiques dans lesquelles certains droits peuvent être restreints dans ce contexte (article 20).

35. Selon l’article 20 du règlement (CE) no 45/2001, les droits prévus aux articles 4 (qualité des données) et 11 à 17 (informations à fournir, droit d’accès, de rectification, de verrouillage, d’effacement et de notification aux tiers) peuvent être restreints dans la mesure nécessaire pour sauvegarder, entre autres: «a) la prévention, la recherche, la détection et la poursuite d’infractions pénales» ou «b) un intérêt économique ou financier d’un État membre ou des Communautés européennes» et «e) une mission de contrôle, d’inspection […] liée à l’exercice de l’autorité publique dans les cas visés aux points a) et b) ci-dessus». Ce même article dispose que les principales raisons pour lesquelles une restriction est imposée doivent être communiquées à la personne concernée et que celle-ci doit être informée de la possibilité de saisir le contrôleur européen de la protection des données (article 20, paragraphe 3). En outre, l’article 20, paragraphe 5, dispose que cette information peut être reportée aussi longtemps que le fait de fournir les informations à la personne concernée prive de son effet la limitation imposée.

36. Le texte de la proposition introduit essentiellement des exceptions aux droits des personnes concernées pour des raisons de confidentialité des enquêtes. L’article 7 bis, paragraphe 4, prévoit que «sans préjudice de l'article 4, paragraphe 6, et de l'article 6, paragraphe 5,» (29), des conclusions se rapportant nommément à une personne concernée ne peuvent être tirées «à l’issue de l’enquête sans que l’intéressé ait la possibilité de présenter ses observations sur les faits le concernant par écrit ou lors d’un entretien […] et reçoive les informations prescrites par les articles 11 et 12 du règlement (CE) no 45/2001». Le texte semble donc suggérer que, dans les cas prévus par l'article 4, paragraphe 6, et l'article 6, paragraphe 5, le droit d’être entendu et le droit à l’information de la personne concernée pourraient être limités.

37. La proposition établit en outre que, s’il est nécessaire de préserver la confidentialité de l’enquête et dans les cas qui impliquent le recours à des procédures d’investigation relevant de la compétence d’une autorité judiciaire nationale, le directeur général de l’OLAF peut décider de différer l’exécution de l’obligation d’inviter la personne concernée à présenter ses observations. Le texte ne spécifie pas si, dans ce contexte aussi, les informations requises par les articles 11 et 12 du règlement (CE) no 45/2001 doivent être reportées.

38. La formulation du texte n’est pas claire. En premier lieu, la relation entre les limitations éventuelles des droits de la personne faisant l’objet d’une enquête pour ce qui est des conclusions liées à son nom et le type d’informations que l’Office doit communiquer à l’entité communautaire pertinente dans l’enquête effective est loin d’être clair. En deuxième lieu, il n’est pas clairement indiqué quelles catégories des droits de la personne concernée font l’objet d’une restriction potentielle. En troisième lieu, l’article n’introduit pas la garantie nécessaire prévue à l’article 20, paragraphe 3, du règlement (CE) no 45/2001.

39. Il pourrait s’ensuivre que des personnes pourraient, dans certains cas, se retrouver face à des conclusions d’enquête sans avoir été informées du fait qu’elles étaient soumises à une enquête et sans avoir reçu d’informations sur les raisons pour lesquelles leurs droits d’être entendues et leurs droits à l’information, en vertu des articles 11 et 12 du règlement (CE) no 45/2001, ont été restreints.

40. Si l’article 20, paragraphes 3 et 5, du règlement (CE) no 45/2001 est respecté, un tel scénario ne serait pas, en soi, en conflit avec le règlement. Cependant, l’absence d’une référence claire aux articles du règlement dans le texte ne semble pas cohérente avec l’objet de la proposition de renforcer les garanties procédurales en faveur des personnes concernées par les enquêtes de l’Office et d’accroître la responsabilité de l’Office.

41. Le CEPD suggère donc qu’une limitation éventuelle du droit de la personne concernée au sens de l’article 20 du règlement (CE) no 45/2001 doit être introduite de manière explicite. En outre, les garanties procédurales de l’article 20, paragraphe 3, doivent être mentionnées dans le texte, ainsi que l’éventuelle exception de l’article 20, paragraphe 5. La clarté d’une telle disposition augmenterait la certitude juridique pour la personne concernée et la responsabilité de l’Office.

42. En conclusion, afin d’établir un ensemble précis des droits de la personne concernée et d’introduire des exceptions éventuelles en raison du caractère confidentiel des enquêtes conformes aux dispositions de l’article 20 du règlement (CE) no 45/2001, le CEPD suggère que le texte indique clairement: — les informations à fournir à la personne concernée pour se conformer à la législation en matière de protection des données [articles 11 et 12 du règlement (CE) no 45/2001] dans le cadre des différentes étapes des enquêtes de l’Office (30): i) entretiens (article 7 bis, paragraphe 2); ii) communication d’informations lorsqu’une personne peut être concernée par l’enquête (article 7 bis, paragraphe 3) et iii) à l’issue de l’enquête (article 7 bis, paragraphe 4), — le type d’informations qui pourrait être reporté par l’Office pour des raisons de confidentialité de l’enquête, en établissant clairement les conditions et les catégories de personnes concernées par le report, — les informations qui doivent être communiquées à la personne concernée pour respecter la législation en matière de protection des données dans le cas où la communication en vertu des articles 11 et 12 est reportée ou si les droits d’accès et de rectification sont limités [c’est-à-dire, les informations en vertu de l’article 20, paragraphe 3, du règlement (CE) no 45/2001], comprenant l’exception liée à la possibilité de reporter encore les informations en vertu de l’article 20, paragraphe 5, du règlement (CE) no 45/2001.

3.2. Politique en matière d’informations

43. Le CEPD souligne que les informations sur les enquêtes qui pourraient être rendues publiques par l’Office peuvent comprendre des données personnelles sensibles et la nécessité de les rendre publiques doit être soigneusement évaluée. Le Tribunal de première instance (aujourd’hui le Tribunal de l’Union européenne), dans son arrêt rendu dans l’affaire Nikolaou en 2007 (31), a statué que l’Office avait violé l’article 8, paragraphe 3, du règlement 1073/1999 (32) et le règlement (CE) no 45/2001 en ne respectant pas son obligation de garantir la protection des données personnelles dans le cadre d’une «fuite» (33) et de la publication d’un article de presse (34).

44. Dès lors, le CEPD se félicite de l’introduction de l’article 8, paragraphe 5, qui prévoit expressément que le directeur général doit veiller à ce que toute information du public soit faite de façon «neutre, impartiale» et dans le respect des principes arrêtés à l’article 8 et à l’article 7 bis. À la lumière des observations faites plus haut sur l’article 7 bis en ce qui concerne son approche restrictive des règles du règlement (CE) no 45/2001, le CEPD se félicite particulièrement de la référence, dans l’article 8, paragraphe 5, à la disposition plus générale de l’article 8 qui suppose que le traitement de données personnelles dans le cadre d’informations du public doit se faire en conformité avec tous les principes du règlement (CE) no 45/2001.

3.3. Caractère confidentiel de l’identité des dénonciateurs et des informateurs

45. Le CEPD voudrait insister, dans le cadre de la révision actuelle, sur la nécessité d’introduire une disposition spécifique pour garantir la confidentialité de l’identité des dénonciateurs et des informateurs. Le CEPD souligne que la position des dénonciateurs est sensible. Les personnes qui fournissent ces informations doivent avoir la garantie que leur identité est gardée secrète, en particulier vis-à-vis de la personne au sujet de laquelle est signalé un acte présumé répréhensible (35). Les présentes garanties (communication de la Commission SEC/2004/151/2) ne semblent pas suffisantes du point de vue juridique. Le CEPD remarque que cette disposition serait conforme à l’avis du groupe de travail «Article 29» sur la protection des données pour les mécanismes internes de dénonciation (36).

46. Le CEPD recommande de modifier la proposition actuelle et de garantir que l’identité des dénonciateurs et des informateurs reste confidentielle pendant les enquêtes aussi longtemps que cela ne va pas à l’encontre des règles nationales qui régissent les procédures judiciaires. En particulier, la personne qui fait l’objet d’allégations pourrait avoir le droit de connaître l’identité du dénonciateur et/ou de l’informateur pour entamer des procédures judiciaires à leur encontre s’il a été établi qu’ils ont fait intentionnellement de fausses déclarations sur elle (37).

3.4. Transmission de données à caractère personnel par l’Office

Coopération avec Eurojust et Europol

47. Le CEPD se félicite des spécifications apportées dans le sixième considérant et l’article 10 bis et en particulier l’introduction de l’exigence d’une base juridique claire régissant la coopération avec Eurojust et Europol, qui est totalement conforme au règlement (CE) no 45/2001. Cependant, la proposition doit être plus détaillée afin de refléter les différents régimes de protection des données pour Eurojust et Europol.

48. À ce jour, l’Office a un accord pratique avec Eurojust (38), qui énonce les conditions dans lesquelles peut avoir lieu la transmission de données à caractère personnel. La coopération entre l’Office et Eurojust comprend en particulier l’échange de résumés d’affaires, d’informations stratégiques et de fonctionnement liées aux affaires, la participation à des réunions et l’assistance mutuelle qui peuvent contribuer à la réalisation effective et efficace de leurs tâches respectives. Cet accord pratique (39) définit principalement le modus operandi de l’échange d’informations, parmi lesquelles les données à caractère personnel, et dans certains cas, souligne ou spécifie également certains éléments du cadre juridique existant.

49. En ce qui concerne Europol, il n’existe pas d’accord de ce type avec l’Office européen de lutte antifraude (40), mais la décision de création d’Europol lui permet de recevoir directement, d’utiliser et de transmettre des informations, dont des données à caractère personnel, communiquées, entre autres, par l’Office même avant la conclusion d’un accord formel d’échange aussi longtemps que cela est nécessaire à la réalisation des tâches d’Europol et de l’Office (41). L’échange dépend aussi de l’existence d’un accord de confidentialité entre les deux entités. L’article 24 de la décision instituant Europol spécifie quelques mesures de protection qu’Europol doit observer pour des transmissions de données qui se produisent avant la conclusion d’un accord d’échange formel: «Europol est responsable du caractère licite de la transmission des données. Europol consigne toutes les transmissions effectuées au titre du présent article ainsi que leur motif. Les données ne sont transmises que si le destinataire s’engage à les utiliser exclusivement aux fins auxquelles elles ont été transmises». L’article 29 de la même décision spécifie aussi à quel moment la responsabilité des données transmises par les tierces parties incombe à Europol.

50. La conclusion d’un accord spécifique avec Europol sur les transmissions de données est fortement encouragée par le CEPD, et le fait qu’il n’ait pas encore été conclu renforce le besoin de garanties spécifiques dans le texte de la proposition. Au vu des différents régimes de protection des données en ce qui concerne la transmission de données à caractère personnel de l’Office à Eurojust et Europol et vice versa, le CEPD pense que la proposition doit évoquer plus clairement les garanties et les normes nécessaires qui doivent régir la coopération entre l’Office et ces organes et être prises en compte dans les arrangements de travail actuels et à venir entre eux.

51. Afin de renforcer la nécessité de la conclusion d’un arrangement administratif, le libellé de l’article 10 bis paragraphe 2, doit être modifié comme suit: «L’Office doit conclure des arrangements administratifs […]». Cela reflèterait ainsi la disposition similaire contenue dans la décision Europol (42), qui établit qu’Europol doit conclure des accords ou des arrangements de travail avec d’autres institutions, organes et agences communautaires. En outre, la proposition pourrait clarifier dans l’article 10 bis que, et c’est un principe général, l’échange de données à caractère personnel avec Eurojust et Europol doit être limité et ne saurait outrepasser ce qui est nécessaire à l’exécution légitime des tâches confiées à l’Office, à Europol et à Eurojust. La proposition doit aussi introduire l’obligation pour l’Office de consigner toutes les transmissions de données ainsi que les raisons présidant à ces transmissions, afin de renforcer la responsabilité de l’Office en ce qui concerne la mise en œuvre des obligations imposées par le règlement (CE) no 45/2001 aux transferts de données à caractère personnel.

Coopération avec les pays tiers et les organisations internationales

52. L’article 10 bis, paragraphe 3, mentionne que «(l)’Office peut également conclure, en fonction des besoins, des arrangements administratifs avec les services compétents des pays tiers et des organisations internationales. L’Office se coordonne avec les services concernés de la Commission et le service européen pour l’action extérieure.»

53. Le CEPD se félicite du fait que la coopération de l’Office avec les pays tiers et les organisations internationales est liée à la conclusion d’arrangements administratifs. Cependant, les implications en matière de protection des données résultant d’un éventuel échange de données avec des pays tiers et des organisations internationales doivent être traitées de manière plus spécifique dans la proposition.

54. La proposition doit être plus précise sur les exigences et les conditions particulières d’éventuels transferts de données en provenance et vers des pays tiers et des organisations. Le CEPD indique que le texte de l’article 10 bis, paragraphe 3, doit inclure aussi le libellé suivant: «Dans la mesure où la coopération avec les organisations internationales et les pays tiers comporte le transfert de données à caractère personnel de l’Office à d’autres entités, tout transfert de ce type doit se faire conformément aux critères de l’article 9 du règlement (CE) no 45/2001».

Accès du comité de surveillance aux données à caractère personnel

55. Le CEPD exprime son accord pour le libellé de l’article 11 de la proposition selon lequel «(l)e comité de surveillance peut, dans des circonstances dûment justifiées, demander à l’Office un complément d’informations sur les enquêtes, sans interférer toutefois dans leur déroulement», car il exprime le principe de nécessité par rapport à un éventuel transfert de données à caractère personnel de l’Office au comité de surveillance.

56. La question de l’accès du comité de surveillance aux données personnelles de personnes impliquées ou pouvant être impliquées dans des enquêtes doit aussi être éclaircie dans le cadre des règles de procédure qui doivent être adoptées par le comité sur la base du nouvel article 11, paragraphe 6. Le CEPD apprécierait d’intervenir dans le processus conduisant à l’adoption des règles de procédure du comité de surveillance. La consultation du CEPD peut aussi être intégrée dans le texte de la proposition comme une exigence pour l’adoption des règles de procédure.

4. PLAN STRATÉGIQUE

57. En dehors de tous les points particuliers mentionnés ci-dessus, le CEPD aimerait encourager la Commission à proposer à l’Office une approche plus ouverte vis-à-vis du régime de l’UE en matière de protection des données. Le moment serait bien choisi pour l’Office d’élaborer un plan stratégique concernant sa conformité en termes de protection des données en clarifiant volontairement l’approche pratique du traitement de ses nombreux fichiers contenant des données à caractère personnel. L’Office pourrait expliquer de manière proactive et publiquement comment il traite les données à caractère personnel dans ses différentes activités. Le CEPD pense qu’une approche globale et explicite de ce type se traduirait par une transparence accrue du traitement des données à caractère personnel par l’Office et une convivialité améliorée de ses processus d’enquête.

58. Dès lors, le CEPD suggère que les dispositions de la proposition confèrent au directeur général la mission de s’assurer qu’une vue d’ensemble de toutes les différentes opérations de traitement de l’Office est réalisée et maintenue à jour ou, tout au moins, expliquée dans un considérant. Cette vue d’ensemble — dont les résultats doivent être transparents grâce, par exemple, à un rapport annuel ou par d’autres moyens — non seulement accroîtrait l’efficacité des différentes activités de l’Office et leur interaction mais aussi encouragerait celui-ci à adopter une approche plus globale sur la nécessité et la proportionnalité des opérations de traitement. Cela permettrait aussi à l’Office de mieux montrer qu’il garantit effectivement le respect de la vie privée par des principes de conception et de responsabilité.

5. CONCLUSION

59. En conclusion, le CEPD se félicite des modifications introduites dans le texte qui améliorent la conformité de la proposition avec le régime de l’UE en matière de protection des données.

60. Toutefois, le CEPD voudrait aussi souligner nombre de manquements qu’il convient de traiter en modifiant le texte, et surtout: — la proposition doit clairement indiquer le droit à l’information des différentes catégories de personnes concernées, ainsi que le droit d’accès et de rectification en ce qui concerne toutes les phases des enquêtes effectuées par l’Office, — la proposition doit clarifier la relation entre la nécessité du secret des enquêtes et le régime de protection des données applicable pendant les enquêtes: le CEPD suggère que les droits des personnes concernées soient clairement définis et traités séparément ainsi que d’éventuelles exceptions dues aux exigences de confidentialité, et que les garanties prévues à l’article 20 du règlement (CE) no 45/2001 soient introduites de manière explicite, — la proposition doit clarifier la politique de l’Office en matière d’information du public en ce qui concerne la protection des données, — la proposition doit introduire des dispositions spécifiques relatives au caractère confidentiel des dénonciateurs et des informateurs, — la proposition doit clarifier les principes généraux de protection des données sur la base desquels l’Office peut échanger des informations, y compris des données à caractère personnel, avec d’autres offices et agences de l’UE, des pays tiers et des organisations internationales, — les dispositions de la proposition doivent conférer comme tâche au directeur général de s’assurer qu’une vue d’ensemble stratégique et complète des différentes opérations de traitement de l’Office est réalisée, maintenue à jour et rendue transparente, ou tout au moins que la nécessité de cette mesure est expliquée dans un considérant.

Fait à Bruxelles, le 1er juin 2011. Giovanni BUTTARELLI Contrôleur adjoint européen de la protection des données

(1) JO L 281 du 23.11.1995, p. 31.

(2) JO L 8 du 12.1.2001, p. 1.

(3) En janvier 2011.

(4) Avis du Contrôleur européen de la protection des données sur la proposition de règlement du Parlement européen et du Conseil modifiant le règlement (CE) no 1073/1999 relatif aux enquêtes menées par l’Office européen de lutte antifraude (OLAF), JO C 91 du 26.4.2007, p. 1.

(5) Résolution législative du Parlement européen du 20 novembre 2008 sur la proposition d’un règlement du Parlement européen et du Conseil modifiant le règlement (CE) no 1073/1999 relatif aux enquêtes menées par l’Office européen de lutte antifraude (OLAF), P6_TA-PROV(2008) 553.

(6) C’est-à-dire que l’OLAF doit définir et se concentrer sur ses priorités d’enquête de manière à utiliser efficacement ses ressources.

(7) Voir la proposition, nouvel article 7 bis et nouvel article 8, paragraphe 4).

(8) Décision de la Commission 1999/352/CE du 28 avril 1999 créant l’Office européen de lutte anti-fraude (OLAF), JO L 136 du 31.5.1999, p. 20. Voir aussi le règlement (CE) no 1073/1999 du Parlement européen et du Conseil du 25 mai 1999 concernant l’enquête menée par l’Office européen de lutte anti-fraude (OLAF), JO L 136 du 31.5.1999, p. 1.

(9) Voir l’article 3, règlement (CE) no 1073/1999.

(10) Voir les articles 1 et 4, règlement (CE) no 1073/1999.

(11) Voir l’article 10, règlement (CE) no 1073/1999.

(12) Eurojust a été créé par décision du Conseil 2002/187/JAI (modifiée ensuite par la décision du Conseil 2003/659/JAI, et la décision du Conseil 2009/426/JAI du 16 décembre 2008 sur le renforcement d’Eurojust) en tant qu’organe de l’Union européenne doté d’une personnalité juridique pour stimuler et améliorer la coordination et la coopération entre les autorités judiciaires compétentes de l’État membre. En particulier, l’article 26.4 de cette décision établit que «L’OLAF peut contribuer aux travaux d’Eurojust visant à coordonner les enquêtes et poursuites en ce qui concerne la protection des intérêts financiers de la Communauté, soit à l’initiative d’Eurojust, soit à la demande de l’OLAF, pour autant que les autorités nationales compétentes en la matière ne s’y opposent pas». En 2008, Eurojust et l’Office ont conclu un accord administratif (accord pratique sur les modalités de coopération entre Eurojust et l’OLAF du 24 septembre 2008) qui vise à intensifier la coopération entre les deux entités et comporte une disposition spécifique sur le transfert de données à caractère personnel.

(13) Europol est l’agence européenne d’application des lois qui a pour objet d’améliorer l’efficacité et la coopération des autorités compétentes des États membres pour prévenir et combattre le terrorisme, le trafic de drogues illicites et d’autres formes graves de crime organisé. L’article 22 de la décision du Conseil du 6 avril 2009 instituant l’Office européen de police (Europol) (2009/371/JAI) prévoit que «(d)ans la mesure où cela est utile à l’exécution de ses fonctions, Europol peut établir et entretenir des relations de coopération avec […] l’OLAF». Cet article prévoit aussi qu’Europol peut, avant l’entrée en vigueur d’accords ou d’arrangements de travail avec les différentes entités communautaires avec lesquelles Europol est appelé à coopérer, «directement recevoir et utiliser les informations, y compris les données à caractère personnel, reçues des entités […] dans la mesure où cela est nécessaire à l’exécution légitime des missions lui incombant, et peut […] transmettre directement des informations, y compris des données à caractère personnel, à ces entités, dans la mesure où cela est nécessaire à l’exécution légitime des missions incombant au destinataire.»

(14) Voir l’article 22 de la décision du Conseil du 6 avril 2009 instituant l’Office européen de police (Europol) (2009/371/JAI), JO L 121 du 15.5.2009, p. 37.

(15) Voir l’article 1, paragraphe 26, de la décision du Conseil 2009/426/JAI du 16 décembre 2008 sur le renforcement d’Eurojust et modifiant la décision 2002/187/JAI.

(16) Affaire 2005-418, consultable sur http://www.edps.europa.eu

(17) Affaires 2007-47, 2007-48, 2007-49, 2007-50, 2007-72, consultables sur http://www.edps.europa.eu

(18) Affaire 2007-73, consultable sur http://www.edps.europa.eu

(19) Avis du CEPD concernant la proposition de règlement du Parlement européen et du Conseil modifiant le règlement (CE) no 1073/1999 relatif aux enquêtes effectuées par l’Office européen de lutte antifraude (OLAF), JO C 91 du 26.4.2007, p. 1.

(20) «L'Office ne traite que les données à caractère personnel nécessaires à l'accomplissement de sa mission au titre du présent règlement. Ce traitement de données à caractère personnel s'effectue conformément au règlement (CE) no 45/2001, y compris la communication des informations pertinentes à la personne concernée, prescrite par les articles 11 et 12 de ce règlement. Ces informations ne peuvent être communiquées à des personnes autres que celles qui, au sein des institutions de l'Union ou des États membres, sont, par leurs fonctions, appelées à les connaître, ni être utilisées à des fins différentes de la lutte contre la fraude, contre la corruption et contre toute autre activité illégale (…)».

(21) Jugement du 3 septembre 2008 dans les affaires jointes C-402/05 P et C-415/05 P, Kadi/Conseil de l’Union européenne et Commission des communautés européennes, point 283: «[…] les droits fondamentaux font partie intégrante des principes généraux du droit dont la Cour assure le respect. À cet effet la Cour s’inspire des traditions constitutionnelles communes aux États membres ainsi que des indications fournies par les instruments internationaux concernant la protection des droits de l’homme auxquels les États membres ont coopéré ou adhéré. La CEDH revêt, à cet égard, une signification particulière.» Voir aussi le point 304.

(22) Arrêt du 9 novembre 2010 dans les affaires jointes C-92/09 et C-93/09, Volker und Markus Schecke, points 44 et suivants.

(23) Après l’entrée en vigueur du traité de Lisbonne, la CEDH s’applique à tous les domaines d’activité de l’Union européenne.

(24) Voir aussi le point 36 ci-après.

(25) Voir l’avis sur la notification de contrôle préalable reçue du délégué à la protection des données de l’Office européen de lutte antifraude (OLAF) sur les enquêtes internes de l’Office, 23 juin 2006, affaire 2005/0418, consultable sur http://www.edps.europa.eu

(26) Cf. note 25.

(27) Avis du Contrôleur européen de la protection des données sur la proposition d’un règlement du Parlement européen et du Conseil modifiant le règlement (CE) no 1073/1999 concernant les enquêtes conduites par l’Office européen de lutte antifraude (OLAF), JO C 91 du 26.4.2007, p. 1, points 14 et suivants.

(28) Dans son avis de 2006, voir la note 19 de bas de page ci-dessus.

(29) L’article 4, paragraphe 6, — «Enquête interne» — est libellé comme suit: «Lorsque les investigations révèlent la possibilité qu’un membre ou un membre du personnel soit concerné par une enquête interne, l’institution, l’organe ou l’organisme auquel il appartient en est informé. Dans les cas exceptionnels où la confidentialité de l’enquête ne peut être assurée, l’Office recourt à d’autres moyens appropriés pour communiquer l’information». L’article 6, paragraphe 5, — «Procédure d’investigation» — est libellé comme suit: «Lorsque les investigations montrent qu’il pourrait être opportun de prendre des mesures administratives conservatoires afin de protéger les intérêts financiers de l'Union, l'Office informe dans les meilleurs délais l'institution, l'organe ou l'organisme concerné de l'enquête en cours. Les informations transmises comprennent les éléments suivants: a) l'identité de tout membre ou membre du personnel concerné ainsi qu'un résumé des faits en question; b) toute information susceptible d'aider l'institution, l'organe ou l'organisme à décider de l'opportunité de prendre des mesures administratives conservatoires afin de protéger les intérêts financiers de l'Union; c) les mesures de confidentialité particulières préconisées, notamment en cas de recours à des moyens d'investigation qui relèvent de la compétence d'une autorité judiciaire nationale ou, dans le cas d'une enquête externe, de la compétence d'une autorité nationale, conformément aux dispositions nationales applicables aux enquêtes. […]», soulignement ajouté.

(30) Comme indiqué ci-dessus, une fois que les informations ont été communiquées à la personne concernée, il ne serait pas nécessaire de répéter les mêmes informations dans les étapes suivantes.

(31) Affaire T-259/03, Nikolaou/Commission, 12 juillet 2007, JO C 247 du 20.10.2007, p. 23.

(32) L’article fait spécifiquement référence au droit de la protection des données.

(33) Nikolaou, point 213.

(34) Nikolaou, point 232.

(35) L’importance de la nécessité de garder secrète l’identité du dénonciateur a déjà été soulignée par le CEPD dans une lettre au Médiateur européen du 30 juillet 2010 dans l’affaire 2010-0458, que l’on peut trouver sur le site internet du CEPD (http://www.edps.europa.eu). Voir aussi les avis de contrôle préalable du CEPD du 23 juin 2006, sur les enquêtes de l’Office (affaire 2005-0418), et du 4 octobre 2007 concernant les enquêtes externes de l’Office (affaires 2007-47, 2007-48, 2007-49, 2007-50, 2007-72).

(36) Voir l’avis 1/2006 du groupe de travail «Article 29» du 1er février 2006 sur l’application des règles de l’UE en matière de protection des données aux mécanismes internes de dénonciation des dysfonctionnements dans les domaines de la comptabilité, des contrôles comptables internes, de l’audit, de la lutte contre la corruption et la criminalité bancaire et financière, consultable sur: http://ec.europa.eu/justice/policies/privacy/workinggroup/index_en.htm

(37) Voir l’avis sur les règles financières applicables au budget annuel de l’Union du 15 avril 2011, consultable sur http://www.edps.europa.eu

(38) Accord pratique sur les arrangements de coopération entre Eurojust et l’Office du 24 septembre 2008: voir la note 12 de bas de page ci-dessus.

(39) Accord pratique Eurojust-Office, point 4.1.

(40) L’arrangement administratif du 8 avril 2004 se limite à l’échange d’informations stratégiques et exclut expressément l’échange de données à caractère personnel, laissant cette question pour un accord ultérieur entre Europol et l’OLAF.

(41) Décision instituant Europol, article 22, paragraphe 3, note 14 de bas de page ci-dessus.

(42) Décision Europol, article 22, paragraphe 2, voir note 14 de bas de page ci-dessus: «Europol doit conclure des accords d’arrangements de travail avec les entités mentionnées à l’article 1» [notamment, Eurojust, l’OLAF, Frontex, le CEPOL, la BCE et l’Observatoire européen des drogues et des toxicomanies (EMCDDA)].