6 Règles en matière de protection des données pour les organes et organismes chargés de la coopération policière et judiciaire en matière pénale

·Le chapitre du RPDUE applicable aux organes et organismes de l’UE dans le domaine pénal est équivalent, du point de vue fonctionnel, à la directive en matière de protection des données dans le domaine répressif pour ces organes et organismes. Toutefois, en tant que règlement directement applicable, il est formulé différemment. Il prévoit des règles générales à compléter par des dispositions spécifiques dans les actes constitutifs des organes et organismes agissant dans ce domaine, le cas échéant. Il prévoit un régime sur mesure pour le traitement des données opérationnelles à caractère personnel tenant compte de la nature spécifique de ce secteur, par exemple les règles relatives à l’information des personnes concernées, qui garantissent la protection des enquêtes.

·Le RPDUE établit également directement le CEPD, en définissant ses missions, ses pouvoirs et ses procédures de nomination. En vertu du RGPD et de la directive en matière de protection des données dans le domaine répressif, les autorités de contrôle respectives sont établies en vertu du droit national, conformément aux exigences de ces deux actes.

Afin de garantir une approche cohérente de la protection des données à caractère personnel et de la libre circulation de celles-ci dans l’Union, le RPDUE est aligné autant que possible sur les règles en matière de protection des données adoptées pour le secteur public, énoncées dans le RGPD et dans la directive en matière de protection des données dans le domaine répressif. Chaque fois que le RPDUE suit les mêmes principes que le RGPD, il devrait être interprété de la même manière, du fait qu’il devrait être compris comme étant équivalent au RGPD. On peut partir du principe qu’il en va de même pour les règles alignées sur les dispositions de la directive en matière de protection des données dans le domaine répressif.

Les principaux instruments de l’UE dans le domaine de la protection des données sont le règlement général sur la protection des données (RGPD), la directive en matière de protection des données dans le domaine répressif et la directive vie privée et communications électroniques. Ils ne s’appliquent toutefois pas au traitement de données à caractère personnel par les IUE. Par conséquent, des règles de protection des données certes distinctes, mais alignées, sont nécessaires pour les IUE, règles que fixe le RPDUE.

Le présent rapport situe le RPDUE dans le cadre de la législation de l’UE en matière de protection des données, présente son application par les IUE et les activités du CEPD et analyse l’application du chapitre applicable aux organes et organismes de l’UE qui exercent des activités relevant de la coopération policière et de la coopération judiciaire en matière pénale. Le rapport conclut en exposant des pistes.

Le règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union (ci-après le «RPDUE») constitue le principal cadre en matière de protection des données pour les institutions, organes et organismes de l’UE (ci-après les «IUE») lorsque ceux-ci traitent des données à caractère personnel en tant que responsables du traitement ou sous-traitants. Le règlement constitue l’un des piliers de la bonne gouvernance et de la bonne conduite administrative au niveau de l’UE. Il est entré en vigueur le 11 décembre 2018, date à laquelle il a abrogé et remplacé son prédécesseur, le règlement (CE) n° 45/2001.

3.1Rôle des IUE en tant que responsables du traitement

Le retour d’information général de la part des IUE montre que les premières années d’application du RPDUE ont contribué positivement au renforcement de leur culture générale de la protection des données. À cet égard, 94 % des IUE ont déclaré que l’entrée en vigueur du RPDUE avait amélioré la conscientisation de leur organisation quant aux règles en matière de protection des données, dans une certaine mesure ou dans une large mesure. D’une manière générale, les IUE ont indiqué que le RPDUE avait eu une incidence positive sur leurs politiques de protection des données, et que leur personnel avait pris davantage conscience de la responsabilité de leur organisation en tant que responsable du traitement des données et des exigences en matière de traitement des données à caractère personnel.

Parmi les principaux effets produits par le RPDUE par rapport au règlement 45/2001 abrogé, les IUE ont mentionné la réalisation d’analyses d’impact relatives à la protection des données, la détection et la gestion des violations de données et la prise en compte de la protection des données dès la conception et par défaut. Le RPDUE rend plus visible la possibilité d’une responsabilité conjointe — plusieurs organisations définissant ensemble les finalités et les moyens du traitement des données à caractère personnel —, au même titre que le RGPD. Le CEPD a fourni des lignes directrices à ce sujet et la Commission a élaboré des modèles internes pour les modalités relatives à la responsabilité conjointe.

Si les exigences supplémentaires en matière de responsabilité qui sont nécessaires pour démontrer le respect du RPDUE pour les IUE ont été généralement accueillies favorablement, certaines IUE ont noté que les dispositions du règlement ont entraîné une augmentation de la charge de travail. Elles ont également souligné que le RPDUE définit des règles relativement complexes, ce qui exige des IUE une plus grande expertise, notamment de la part de leurs délégués à la protection des données (DPD), ainsi que, pour les IUE qui en ont, de la part des réseaux de coordinateurs de la protection des données (CPD).

Toutes les IUE, à l’exception de deux d’entre elles, tiennent leurs registres des traitements dans un registre central. Bien qu’il ne s’agisse pas d’une exigence spécifique au titre du RPDUE, il s’agit d’une bonne pratique également recommandée par le CEPD. En outre, 72 % des IUE ont converti en registres toutes les notifications qu’elles avaient transmises au DPD au titre du règlement précédent. Celles qui n’ont pas encore mené cette tâche à bien devraient examiner et mettre à jour leurs documents relatifs aux traitements afin de s’assurer qu’ils sont complets et à jour.

3.2Exercice des droits des personnes concernées

Le RPDUE confère aux personnes concernées un large éventail de droits relatifs au traitement de leurs données à caractère personnel, conformément au RGPD. En tant que responsables du traitement, les IUE ont l’obligation spécifique de faciliter l’exercice de ces droits. En conséquence, 96 % des IUE ont indiqué avoir mené des activités de sensibilisation, telles que la mise à jour d’informations accessibles au public sur leurs traitements, des messages d’information ou des guides à l’intention des personnes concernées.

Plusieurs IUE, telles que la Commission, la Banque centrale européenne et le Service européen pour l’action extérieure, ont fait état d’une nette augmentation du nombre de demandes reçues de particuliers entre 2018 et 2021. Toutefois, pour d’autres, comme la Cour de justice de l’Union européenne, le Comité économique et social européen et l’Agence de l’Union européenne pour l’asile, les chiffres ont été stables ou ont fluctué sans tendance claire. Il n’est pas encore possible de dégager une nette tendance dans le nombre de demandes émanant de personnes concernées depuis l’entrée en vigueur du RPDUE, étant donné que l’enregistrement des différents types de demandes varie d’une IUE à l’autre.

3.3Limitation des droits des personnes concernées au moyen de règles internes

À l’instar du RGPD, le RPDUE prévoit la possibilité de limiter certains droits dont bénéficient les personnes concernées. De telles limitations peuvent être mises en œuvre au moyen d’actes législatifs et de règles internes. Des critères stricts s’appliquent à ces règles internes. Elles doivent être claires et précises et leur application doit être prévisible pour les personnes qui y sont soumises. Les règles doivent être publiées au Journal officiel et respecter les exigences énoncées dans la Charte des droits fondamentaux et dans la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentale.

Les limitations fondées sur des règles internes ne peuvent concerner que le fonctionnement des IUE. Elles doivent respecter les droits fondamentaux, constituer des mesures nécessaires et proportionnées dans une société démocratique et viser à garantir l’un des objectifs spécifiquement énumérés dans le RPDUE. Toute personne concernée dont les droits ont été limités a le droit de saisir le CEPD.

Une grande majorité (84 %) des IUE ont adopté des règles internes. Par exemple, de telles règles ont été introduites pour permettre de différer la communication d’informations à une personne concernée dans le cadre d’une enquête administrative interne. Dans d’autres cas, l’objectif de ces règles a été d’assurer la poursuite d’une coopération efficace avec les États membres dans les domaines où les activités des IUE reposent sur les informations reçues des autorités compétentes des États membres. Par exemple, les règles internes adoptées par la Commission pour le traitement des données à caractère personnel dans le cadre de ses activités de concurrence, de lutte contre la fraude et d’audit interne prévoient la possibilité d’introduire des limitations des droits des personnes concernées lorsque des données à caractère personnel sont obtenues auprès des autorités compétentes des États membres. Ces règles prévoient la possibilité d’imposer des limitations similaires lorsque les autorités nationales ont imposé des limitations fondées sur une mesure législative permise par le RGPD ou la directive en matière de protection des données dans le domaine répressif.

Les règles internes permettant de limiter les droits des personnes concernées, adoptées par les IUE, sont généralement appliquées au cas par cas, conformément aux exigences prévues par lesdites règles. Toutefois, 69 % des IUE ayant adopté des règles au titre de l’article 25 indiquent ne pas encore y avoir eu recours. Celles qui y ont fait appel ont signalé moins de 10 cas de limitations, à l’exception du Parlement européen et de la Commission. La nécessité de procéder à des limitations s’est présentée plus souvent dans les activités de l’OLAF, notamment en ce qui concerne le report de la communication d’informations aux personnes concernées sur le traitement de leurs données à caractère personnel lorsqu’une enquête en est encore à un stade précoce afin de ne pas compromettre la collecte de preuves. L’OLAF a également appliqué plusieurs limitations concernant les demandes d’accès des personnes concernées à leurs propres données à caractère personnel, qui n’avaient été rejetées que dans le but de protéger les droits et libertés d’autrui, par exemple lorsque la divulgation des données ferait courir à un informateur un risque de représailles.

Les règles internes des IUE obligent généralement ces dernières à informer leurs DPD de toute limitation appliquée et à leur donner accès au registre et à tout document concernant ces limitations.

3.4Délégués à la protection des données

L’obligation que chaque IUE dispose d’un DPD était déjà prévue dans le précédent règlement (CE) n° 45/2001. Le RPDUE a donné plus de visibilité à ce rôle en introduisant le principe de responsabilité, ce qui signifie que le responsable du traitement est responsable de la bonne application des règles en matière de protection des données et doit être capable de démontrer le respect desdites règles.

Dans 46 % des IUE, les DPD sont soutenus par des réseaux de CPD ou des structures similaires. Les IUE de plus grande taille sont davantage susceptibles de disposer de tels réseaux [par exemple, le Parlement européen, le Secrétariat général du Conseil, la Commission et le Service européen pour l’action extérieure (SEAE)]. Le SEAE organise et gère également un réseau de correspondants pour la protection des données dans les délégations de l’UE.

Un certain nombre d’IUE ont pris acte de l’augmentation des responsabilités et de la charge de travail de leur DPD (et, par extension, des CPD). Elles ont reconnu la nécessité de fournir davantage de ressources aux DPD (et aux CPD) afin de leur permettre de mettre en œuvre efficacement les politiques de protection des données en leur sein. La nécessité de garantir l’indépendance des DPD a également été mentionnée.

Deux tendances se dégagent dans ce contexte: d’une part, le RPDUE met davantage l’accent sur la responsabilité du responsable du traitement, par exemple en supprimant la procédure de contrôle préalable qui existait en vertu du précédent règlement (CE) n° 45/2001, réduisant ainsi la charge administrative; d’autre part, les responsables du traitement sollicitent davantage de lignes directrices auprès des DPD/CPD quant à la meilleure manière de se conformer au RPDUE. À cet égard, il a été noté que le réseau des DPD des IUE constituait un forum important pour aborder et clarifier certains aspects juridiques et techniques spécifiques au traitement des données par les IUE. Ce réseau fournit une plateforme d’échanges entre les DPD et le CEPD et entre les DPD eux-mêmes. Ses membres entretiennent une coopération permanente et se réunissent généralement deux fois par an.

Plus de la moitié (54 %) des IUE ont accordé plus de ressources à leurs DPD et, plus généralement, à leurs fonctions de protection des données. La plupart (84 %) des IUE ont adapté leurs processus internes afin de veiller à ce que leur personnel informe et consulte les DPD au sujet des nouvelles opérations de traitement des données à caractère personnel. À cet effet, elles ont généralement inclus les DPD dans les processus de gestion du changement ou dans les comités de pilotage des projets par exemple.