Résumé de l’avis du contrôleur européen de la protection des données sur la recommandation de décision du Conseil autorisant les négociations en vue d’une convention internationale générale sur la lutte contre l’utilisation des technologies de l’information et des communications à des fins criminelles

(Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2022/C 240/05)

Le 29 mars 2022, la Commission européenne a publié une recommandation de décision du Conseil l’autorisant à participer, au nom de l’Union européenne, aux négociations que les Nations unies mènent en vue d’une convention internationale générale sur la lutte contre l’utilisation des technologies de l’information et des communications à des fins criminelles.

Le CEPD comprend que les services répressifs doivent pouvoir recueillir et obtenir des preuves électroniques rapidement et efficacement. Il souligne toutefois qu’un instrument international similaire est déjà en vigueur, à savoir la convention sur la cybercriminalité et son deuxième protocole additionnel, à présent ouvert à la signature.

Le CEPD fait observer que les Nations unies ont déjà entamé des négociations en vue d’une autre convention visant à traiter les questions de la cybercriminalité et de la coopération transfrontière en matière pénale. Il approuve donc la recommandation autorisant la Commission à participer aux négociations au nom de l’Union, étant donné que cela contribuerait à préserver le niveau de protection que garantit le cadre de l’Union en matière de protection des données. Le CEPD constate toutefois que les Nations unies comptent de nombreux pays, lesquels disposent de systèmes juridiques extrêmement hétérogènes. Dans ce contexte, il estime qu’il existe un risque important que la version définitive de la convention puisse entraîner une réduction des libertés et droits fondamentaux dont les personnes physiques jouissent en vertu du droit de l’Union, notamment leurs droits à la protection des données et au respect de la vie privée. Par conséquent, force est de souligner que dans l’éventualité où le Conseil autoriserait la Commission à négocier dans ce cadre au nom de l’Union, cette autorisation n’obligerait pas cette dernière à devenir partie à la convention en cas d’adoption. Le CEPD estime que l’Union ne devrait pas chercher à être partie à une telle convention si le niveau de protection des données que le droit de l’Union garantit aux personnes physiques devait diminuer.

Le présent avis vise à fournir des conseils constructifs et objectifs aux institutions de l’Union de façon à ce que le niveau de protection des données garanti par le droit de l’Union ne soit pas compromis. Le CEPD se félicite du fait que le mandat vise à garantir d’emblée que la convention prévoit des conditions strictes et des garanties solides afin que les États membres de l’Union puissent respecter et protéger les droits fondamentaux, les libertés et les principes généraux du droit de l’Union, tels qu’ils sont consacrés dans les traités européens et la Charte.

Dans ce contexte, le CEPD souligné la nécessité de garantir, notamment, le respect absolu des droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel. Le régime juridique de l’Union en matière de protection des données prévoit, en principe, que les transferts de données vers un pays tiers ne peuvent avoir lieu sans exigences supplémentaires que si ce pays tiers garantit un niveau de protection adéquat. Lorsque le pays tiers n’a pas été déclaré adéquat, des exceptions s’appliquent à certains transferts, jusqu’à ce que les garanties appropriées soient apportées. Même si le CEPD reconnaît qu’il peut être impossible de transposer la terminologie et les définitions du droit de l’Union dans un accord avec de nombreux pays tiers, il insiste sur le fait que les garanties des particuliers doivent être claires et efficaces afin de pleinement respecter le droit de l’Union. Ces dernières années, la Cour de justice de l’Union européenne a de nouveau confirmé les principes relatifs à la protection des données, y compris le droit à un recours juridictionnel et les droits individuels des personnes. Ces principes s’avèrent d’autant plus importants que les données nécessaires aux enquêtes pénales sont sensibles.

Dans ce contexte, le CEPD considère que, si nombre de directives de négociation déjà envisagées sont accueillies favorablement, elles devraient être renforcées. Plus précisément, dans le but de garantir le respect de la Charte et de l’article 16 du TFUE, le CEPD formule quatre recommandations essentielles concernant les directives de négociation:

— limiter les dispositions en matière coopération internationale aux infractions pénales définies dans la convention;

— exclure l’accès direct des services répressifs de pays tiers aux données et la coopération transfrontière directe avec des fournisseurs de services;

— veiller à ce que les futurs accords bilatéraux et multilatéraux conclus avec des pays tiers s’appliquent en lieu et place de la convention s’ils garantissent des normes plus élevées en matière de protection des droits fondamentaux, notamment des droits au respect de la vie privée et à la protection des données;

— veiller à ce que la convention ne produise aucun effet entre deux États contractants si l’un d’entre eux notifie le fait que la ratification, l’acceptation, l’approbation ou l’adhésion d’un autre État contractant n’aura pas pour effet d’établir des relations entre ces deux États contractants en vertu de ladite convention.

En outre, l’avis contient des recommandations supplémentaires relatives à des améliorations et des éclaircissements à apporter aux directives de négociation. Les observations présentées dans le présent avis sont sans préjudice des observations supplémentaires que le CEPD pourrait formuler ultérieurement, notamment si de nouveaux problèmes étaient soulevés et abordés à la lumière d’informations complémentaires. Le CEPD s’attend à être consulté ultérieurement à propos des dispositions du projet de convention avant que celui-ci ne soit finalisé.

1. INTRODUCTION

1. L’Organisation des Nations Unies est une organisation internationale, qui compte aujourd’hui 193 États membres ( 1 ) . La mission et le travail des Nations unies sont guidés par les objectifs et principes énoncés par sa charte fondatrice. Conformément à la charte des Nations unies, l’organisation a notamment pour but de maintenir la paix et la sécurité internationales, de défendre les droits de l’homme, d’apporter une aide humanitaire, de favoriser le développement durable et de veiller au respect du droit international ( 2 )

2. compte étant pleinement tenu des instruments internationaux existants et des initiatives déjà prises en la matière aux niveaux national, régional et international , notamment les travaux menés par le groupe intergouvernemental d’experts à composition non limitée chargé d’effectuer une étude approfondie sur la cybercriminalité et les résultats obtenus par celui-ci Le 17 décembre 2018, l’Assemblée générale des Nations unies a adopté la résolution 73/187 intitulée «Lutte contre l’utilisation des technologies de l’information et des communications à des fins criminelles» ( 3 ) . Ultérieurement, le 27 décembre 2019, elle a adopté la résolution 74/247 ( 4 ) , en vertu de laquelle elle a décidé d’établir un comité intergouvernemental spécial d’experts à composition non limitée (le «comité spécial») ayant pour mission d’élaborer une convention internationale générale sur la lutte contre l’utilisation des technologies de l’information et des communications à des fins criminelles. Elle y souligne qu’il faut renforcer la coordination et la coopération entre les États dans la lutte contre l’utilisation des technologies de l’information et des communications à des fins criminelles, notamment en fournissant aux pays en développement qui en font la demande une assistance technique. La résolution met également en évidence la nécessité d’améliorer la législation et les cadres nationaux et de renforcer les capacités des autorités nationales afin de lutter contre l’utilisation des technologies de l’information et des communications à des fins criminelles sous toutes ses formes, y compris de la prévenir, d’en détecter les manifestations, d’enquêter sur celles-ci et d’en poursuivre les auteurs ( 5 ) , notamment les travaux menés par le groupe intergouvernemental d’experts à composition non limitée chargé d’effectuer une étude approfondie sur la cybercriminalité et les résultats obtenus par celui-ci ( 6 ) . Trois États membres de l’Union (Estonie, Pologne et Portugal) assurent la coprésidence du comité spécial ( 7 )

3. tiendra pleinement compte des instruments internationaux existants et des initiatives prises aux niveaux national, régional et international pour lutter contre l’utilisation des technologiques de l’information et des communications à des fins criminelles e session, qui devrait débuter en septembre 2023 et se terminer en septembre 2024. Le 26 mai 2021, par la résolution 75/282 ( 8 ) , l’Assemblée générale des Nations unies a en outre réaffirmé que le comité spécialet des initiatives prises aux niveaux national, régional et international pour lutter contre l’utilisation des technologiques de l’information et des communications à des fins criminelles ( 9 ) . Elle a décidé que le comité spécial tiendra au moins six sessions et conclura ses travaux de manière à lui présenter un projet de convention à sa 78session, qui devrait débuter en septembre 2023 et se terminer en septembre 2024.

4. La première session de négociation s’est tenue du 28 février au 11 mars 2022. À cette occasion, les objectifs, le champ d’application, la structure et les éléments essentiels de la convention ont été étudiés ( 10 ) . D’après le projet de rapport de cette première session de négociation, il a été convenu que les éléments suivants constitueraient la structure de la convention ( 11 ) Préambule 1. Dispositions générales 2. Incrimination 3. Mesures procédurales, détection et répression 4. Coopération internationale 5. Assistance technique, dont échange de données d’expérience 6. Mesures préventives 7. Mécanisme d’application 8. Dispositions finales

5. La Commission européenne a participé aux réunions du comité spécial en tant qu’observateur. Une consultation intersessions a eu lieu les 24 et 25 mars 2022 pour solliciter les contributions de diverses parties prenantes concernant l’élaboration du projet de convention ( 12 ) . La prochaine session de négociation devrait commencer le 30 mai 2022 ( 13 )

6. Le 29 mars 2022, la Commission européenne a publié une recommandation de décision du Conseil l’autorisant à participer, au nom de l’Union européenne, aux négociations que les Nations unies mènent en vue d’une convention internationale générale sur la lutte contre l’utilisation des technologies de l’information et des communications à des fins criminelles (la «recommandation») ( 14 ) . La recommandation s’accompagne d’une annexe (l’«annexe»), dans laquelle figurent les propositions de directives du Conseil destinées à négocier la convention.

7. La Commission recommande l’adoption d’une décision du Conseil conformément à la procédure établie à l’article 218 du TFUE relativement aux accords conclus entre l’Union et les pays tiers. Par cette recommandation, la Commission cherche à obtenir l’autorisation du Conseil pour être désignée négociateur en chef au nom de l’Union dans le but de garantir la participation appropriée de cette dernière aux négociations avec les Nations unies, lesquelles devraient porter sur des éléments qui concernent sa législation et ses compétences, notamment dans le domaine de la cybercriminalité ( 15 )

8. Le présent avis du CEPD est émis en réponse à une demande de consultation présentée par la Commission européenne le 29 mars 2022, conformément à l’article 42, paragraphe 1, du RPDUE. Le CEPD se félicite de la référence faite à cette consultation au considérant 5 de la recommandation.

7. CONCLUSIONS

42. Le CEPD plaide en faveur de l’adoption d’une décision du Conseil conférant un mandat clair à la Commission européenne pour participer, au nom de l’Union, aux négociations que les Nations unies mènent actuellement en vue de ladite convention. Cependant, il souligne que l’autorisation de participer aux négociations ne devrait pas obliger l’Union à devenir partie à la convention en cas d’adoption, et notamment que l’Union ne devrait pas chercher à être partie à une telle convention si le niveau de protection des données que son droit garantit aux personnes physiques devait diminuer.

43. Le CEPD approuve les points 6, 17 et 23 de l’annexe visant à préserver les instruments mondiaux et régionaux existants ainsi que les garanties prévues aux points 8, 9, 10, 11, 13, 18, 19 et 24 de l’annexe, et souligne leur importance.

44. À la lumière des considérations qui précèdent, le CEPD émet les recommandations exposées ci-après. Concernant le rapport entre la convention et d’autres instruments — Prévoir dans le mandat que l’Union devrait parvenir à ce que les futurs accords conclus avec des pays tiers s’appliquent en lieu et place de la convention s’ils garantissent des normes plus élevées en matière de protection des droits fondamentaux, notamment des droits au respect de la vie privée et à la protection des données. Concernant le champ d’application de la convention — Limiter les dispositions en matière coopération aux infractions pénales définies dans la convention. — Indiquer clairement dans le mandat que l’Union doit s’opposer à toute disposition relative à l’accès direct transfrontière aux données et à la coopération directe transfrontière avec des fournisseurs de services. — Préciser que les directives visées au point 15 de l’annexe ne concernent pas la coopération transfrontière. Concernant la nécessité de garanties appropriées et le respect des droits fondamentaux — Indiquer clairement dans le mandat que l’Union devrait clairement définir les différentes catégories de données. — Inclure une directive dans le mandat visant à parvenir à ce que la convention s’accompagne d’une liste exhaustive des autorités compétentes des pays destinataires auxquelles les données pourront être transmises ainsi que d’une brève description de leurs compétences. Concernant les dispositions finales de la convention — Préciser dans le mandat que l’Union devrait viser à parvenir à ce qu’un État contractant puisse, au moment de la signature, de la ratification ou de l’adhésion, déclarer qu’il n’exécutera aucune demande de transfert de données à caractère personnel à une autre partie si des indications donnent à penser qu’un niveau essentiel de protection des données n’est plus garanti dans l’État demandeur. — Prévoir dans le mandat que l’Union devrait viser à parvenir à l’introduction d’une clause définissant un réexamen périodique obligatoire du fonctionnement pratique de la convention. Ce réexamen doit être prévu au plus tard cinq ans après l’entrée en vigueur de la convention, puis à intervalles réguliers. Il convient également de préciser la fréquence de ces réexamens complémentaires. Le contenu du réexamen devrait être précisé. Le réexamen devrait se concentrer non seulement sur la mise en œuvre de la convention, mais également sur l’évaluation de sa nécessité et de sa proportionnalité. Les équipes chargées du réexamen devraient se composer d’experts en protection des données, dont les représentants des autorités nationales de protection des données. — Prévoir dans le mandat que l’Union devrait viser à garantir que la convention ne produit aucun effet entre deux États contractants si l’un d’entre eux notifie le fait que la ratification, l’acceptation, l’approbation ou l’adhésion d’un autre État contractant n’aura pas pour effet d’établir des relations entre ces deux États contractants en vertu de ladite convention

45. Enfin, le CEPD reste à la disposition de la Commission, du Conseil et du Parlement européen pour fournir des conseils au cours des étapes ultérieures de ce processus. Les observations présentées dans le présent avis sont sans préjudice des observations supplémentaires que le CEPD pourrait formuler ultérieurement, notamment si de nouvelles questions devaient être soulevées et abordées à la lumière d’informations complémentaires. Le CEPD s’attend à être consulté à propos des dispositions du projet de convention avant que celui-ci ne soit finalisé.

Bruxelles, le 18 mai 2022. Wojciech Rafał Wiewiórowski

(1) Voir la liste des États membres ici: https://www.un.org/en/about-us/member-states

(2) Voir le préambule de la charte des Nations unies, San Francisco, 26 juin 1945: https://www.un.org/en/about-us/un-charter/full-text

(3) Résolution de l’Assemblée générale des Nations unies du 17 décembre 2018, A/RES/73/187.

(4) Résolution de l’Assemblée générale des Nations unies du 27 décembre 2019, A/RES/74/247.

(5) Voir la page 1 de la résolution.

(6) Le groupe intergouvernemental d’experts à composition non limitée chargé d’effectuer une étude approfondie sur la cybercriminalité a été créé par la Commission pour la prévention du crime et la justice pénale (CPCJP), établie à Vienne, à la demande de l’Assemblée générale des Nations unies dans sa résolution 65/230. Il s’agit d’un organe subsidiaire de la CPCJP. Ce groupe d’experts est distinct du comité spécial chargé de négocier la convention, lequel est un organe subsidiaire de l’Assemblée générale et est chargé d’une mission différente.

(7) Le comité spécial se compose des membres suivants: Algérie (présidence), Égypte, Nigeria, Chine, Japon, Estonie, Pologne, Russie, République dominicaine, Nicaragua, Brésil, Australie, Portugal, États-Unis (vice-présidence), Indonésie (rapporteure).

(8) Résolution de l’Assemblée générale des Nations unies du 26 mai 2021, A/RES/75/282.

(9) Voir le point 11 de la résolution.

(10) Les commentaires communiqués lors de cette première session sont disponibles ici: https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/ahc-first-session.html.

(11) https://documents-dds-ny.un.org/doc/UNDOC/LTD/V22/012/09/PDF/V2201209.pdf?OpenElement.

(12) https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/intersessional-consultations/1st-intersessional-consultation.

(13) https://www.unodc.org/unodc/en/cybercrime/ad_hoc_committee/ahc-second-session.html.

(14) Recommandation de décision du Conseil autorisant les négociations en vue d’une convention internationale générale sur la lutte contre l’utilisation des technologies de l’information et des communications à des fins criminelles [COM(2022) 132 final]

(15) Voir l’exposé des motifs, p. 2, et l’article 1er de la recommandation.