Avis du Comité économique et social sur la "Proposition de Règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes de la Communauté et à la libre circulation de ces données"

(2000/C 51/13)

Le 29 septembre 1999, le Conseil a décidé, conformément à l'article 262 du Traité instituant la Communauté européenne, de consulter le Comité économique et social sur la proposition susmentionnée.

La section "Emploi, affaires sociales, citoyenneté", chargée de préparer les travaux du Comité en la matière, a élaboré son avis le 12 novembre 1999 (rapporteur unique: M. Retureau).

Lors de sa 368e session plénière des 8 et 9 décembre 1999 (séance du 8 décembre), le Comité économique et social a adopté par 117 voix pour, 0 voix contre et 2 abstentions le présent avis.

1. Base juridique, contenu et portée de la proposition

1.1. Le projet expose clairement la base juridique et la motivation de la proposition de règlement. Il s'agit en fait d'une transposition de la directive 95/46/CE(1) du 24 octobre 1995 aux organes et institutions communautaires pour leurs activités de traitement et de transmission de données personnelles.

1.2. Les institutions et organes communautaires, et la Commission en particulier, traitent couramment des données personnelles dans le cadre de leurs activités. La Commission échange des données à caractère personnel avec les États membres dans le cadre de la politique agricole commune, pour la gestion du régime douanier, des Fonds structurels et dans le cadre d'autres politiques communautaires.

1.3. Lors de l'adoption de la directive 95/46/CE, la Commission et le Conseil se sont engagés à respecter celle-ci et ont invité les autres institutions et organismes communautaires à faire de même (déclaration conjointe publiée le 24 octobre 1995). Pratiquement, les dispositions de la directive sont déjà d'application depuis cette date au sein des organes communautaires.

1.4. Désormais, depuis l'entrée en vigueur du Traité d'Amsterdam, le traité instituant la Communauté européenne contient une disposition spécifique, l'article 286, qui prévoit qu'à compter du 1er janvier 1999 les institutions et organes communautaires institués par le TCE devront appliquer les règles communautaires de protection des données à caractère personnel, pour l'essentiel fixées par la directive 95/46/CE et la directive 97/66/CE(2). Il prévoit également que l'application desdites règles devra être surveillée par un organe indépendant de contrôle établi conformément à la procédure visée à l'article 251, point qui constitue la nouveauté la plus importante du projet de règlement.

1.5. La présente proposition de règlement s'efforce (avec un certain retard par rapport à la date d'application prévue par le TUE) d'atteindre ce double objectif.

1.6. Mais quelques questions importantes sont difficiles à analyser en l'état de la proposition.

1.7. Par exemple celle de la définition des institutions et organes communautaires concernés par le règlement; dans la liste fournie en annexe de la proposition, Europol est clairement exclu des dispositions envisagées. Qu'en est-il, par exemple, du réseau informatique de Schengen et de son autorité de contrôle spécifique: doivent-ils rester séparés, ou ne peut-on envisager une unification ? De même avec les autres organes du troisième pilier.

1.8. Autre aspect important, les fonctionnaires et plus généralement les personnes employées par les organes et institutions communautaires sont également couverts par la proposition mais, par exemple, l'articulation des dispositions proposées avec celles du Statut de la fonction publique européenne n'apparaît pas très clairement (l'intervention des comités du personnel est cependant envisagée en annexe); les représentants du personnel ont-ils été consultés ? Le traitement des données individuelles concernant le personnel ne devrait-il pas faire l'objet de dispositions spécifiques distinctes pour protéger le plus efficacement possible la vie privée et les droits des personnes employées par les Communautés, à partir du questionnaire d'embauche et durant le déroulement de carrière ou la durée du contrat et lors de son renouvellement éventuel?

1.9. Enfin, la proposition ne vise que les personnes physiques, et cela reflète les limites de la directive de 1995 qui exclut les personnes morales de droit ou de fait qui font pourtant l'objet de collectes et de traitements de données. Soulignons toutefois que les personnes morales sont concernées par la directive de 1995 dans la mesure où elles traitent ou qu'elles sont dépositaires de données à caractère personnel relatives à des personnes physiques. Néanmoins, la proposition à l'examen concerne uniquement le traitement et la diffusion de données par les institutions communautaires, qui peuvent concerner des personnes physiques ou morales, mais la protection envisagée ne couvre que les personnes physiques.

2. Observations générales

2.1. Le Conseil, qui certes a tout à fait le droit de fixer une date limite pour la remise des avis, a cependant fixé au CES un délais très bref pour fournir son avis sur un projet de règlement complexe et important, puisqu'il concerne la protection des droits humains à l'occasion du traitement et de la circulation des données personnelles.

2.1.1. Le Comité aurait souhaité disposer de davantage de temps pour une participation plus approfondie à un processus législatif relevant de la codécision, et qui concerne directement nombre des membres des organisations économiques et sociales qu'il représente.

2.2. Le Comité a déjà eu dans le passé à se prononcer dans un avis(3):

a) sur deux propositions de directives du Conseil concernant :

- la protection des personnes à l'égard du traitement des données à caractère personnel;

- la protection des données à caractère personnel et de la vie privée dans le contexte des réseaux de télécommunication numériques publics;

b) ainsi que sur une proposition de décision du Conseil en matière de sécurité des systèmes d'information.

2.3. Les principes généraux relatifs au traitement des données à caractère personnel et aux garanties indispensables au respect des droits individuels et de la vie privée, posés par le Comité dans l'avis précité, conservent leur actualité et leur pertinence en ce qui concerne le projet de règlement à l'examen. Ils sont conformes à la convention n° 108 du Conseil de l'Europe(4), qui doit servir de guide à l'évaluation du projet de règlement, en liaison avec les législations et pratiques des États membres et avec la directive de 1995.

2.3.1. Le Comité invite instamment le Conseil à se référer aux principes et propositions exposés dans cet avis de 1991 et le présent avis et à les prendre pleinement en considération, pour progresser par rapport à la directive de 1995 dans toute la mesure du possible, eu égard aux contraintes de la base juridique, et en tout état de cause à les garder à l'esprit lors du réexamen pour révision éventuelle de la directive à l'horizon 2001.

2.3.2. Le Comité estime en effet que les institutions et organes de la Communauté doivent offrir les protections et garanties les plus élevées lorsqu'elles traitent des données personnelles, en prenant appui sur les normes internationales et les législations nationales les plus avancées et les meilleures pratiques des États membres en la matière, dans le souci de donner l'exemple et de promouvoir une harmonisation dans le progrès, d'autant plus que le projet concerne, outre leur traitement, la libre circulation de ces données et des produits de leur traitement au sein de l'Union mais aussi à l'extérieur de ses frontières.

2.4. L'évolution rapide des technologies de l'information et de la communication, les possibilités accrues de stockage pérenne des données sur différents supports, la sophistication croissante des techniques de traitement et d'interconnexion ainsi que le développement des moyens de transmission et d'accès à l'information ajoutent encore au besoin de renforcement de la protection et des garanties pour les personnes concernées, compte tenu du principe de libre circulation des données.

2.4.1. Mais ces évolutions des technologies et des méthodes offrent aussi des possibilités nouvelles en matière de protection contre les accès non autorisés, de sécurité de transmission, de préservation de la vie privée et d'exercice des droits des personnes, y compris leurs droits d'accès, de correction ou d'opposition à l'utilisation ou à la diffusion des données les concernant. C'est prioritairement à l'état des techniques disponibles qu'il faut se référer plutôt qu'à leur coût, à moins que ce coût ne soit disproportionné, compte tenu du niveau de sécurité à réaliser.

2.4.2. La protection des droits des personnes et les garanties qui leur sont offertes doivent être pleinement intégrées dans la conception des instruments et des méthodes de collecte, de traitement, d'utilisation et de transmission des données, et toute personne impliquée à ces différents niveaux depuis la collecte jusqu'à l'utilisation finale doit répondre à des critères de compétence et de confidentialité stricts, dont la violation éventuelle doit faire l'objet de sanctions suffisamment dissuasives. La proposition va pour l'essentiel dans ce sens et constitue globalement, du point de vue du Comité, un texte protecteur, comportant des garanties et des possibilités d'accès et de recours administratifs et juridictionnels en général satisfaisants.

2.4.3. On doit noter des progrès par rapport à la directive de 1995, comme la gratuité d'accès aux données, et relever que la transposition s'accompagne de dispositions précises et claires, comme la définition des données sensibles et des traitements interdits, la définition précise de la signification du concept de garanties "adéquates" pour la transmission de données vers des pays ou organes non couverts par la directive de 1995, la prise en considération de toutes les formes possibles de traitement des données, ou la mise en place d'autorités indépendantes de contrôle dans chacune des institutions et organes communautaires qui permettent un contrôle a priori plus protecteur des droits et libertés et de la vie privée que le contrôle a posteriori.

2.4.4. Néanmoins, certaines dispositions devraient être améliorées, mais le Comité est conscient que la rédaction préparée par la Commission ne peut outrepasser le cadre de la directive de 1995 dont le Comité avait déjà mis en évidence certaines des insuffisances. Il faudrait notamment faire bénéficier les personnes morales voire les associations n'ayant pas la personnalité morale de dispositions protectrices spécifiques, comme en matière de confidentialité et de respect de l'image de marque pour les entreprises. Il conviendrait d'assurer en tout état de cause une telle protection et s'efforcer de trouver les voies appropriées pour la réaliser. Il faudrait aussi améliorer les dispositions proposées en ce qui concerne les autorités indépendantes, au sujet desquelles le pouvoir législatif du Conseil et du Parlement européen est entier.

2.5. Le Comité estime que toutes les mesures envisagées, de la collecte au traitement et à la transmission, doivent découler des finalités strictement définies et contrôlées au préalable de l'exercice, qui doivent répondre aux critères de légalité justement exposés dans la proposition et qu'elles doivent être indispensables à l'activité des organes et institutions responsables.

2.6. En ce qui concerne le personnel employé par les institutions et organes communautaires, le Comité estime qu'un chapitre particulier devrait être consacré à la protection des données personnelles qui les concernent et au respect de leur vie privée. Ce chapitre devrait au moins donner au futur contrôleur européen la faculté de fixer, après consultation des organes représentatifs du personnel, les questions à ne pas poser lors de l'embauche, notamment en matière de santé et prohiber en ce qui concerne les femmes de demander si elles sont ou non enceintes, et de réguler ce que peut limitativement contenir le dossier individuel de chaque personne. Il serait opportun de s'inspirer en la matière du Recueil de directives pratiques de l'OIT concernant la protection des données individuelles des travailleurs, ainsi que de la Recommandation n° 171 de l'OIT relative aux services de la santé au travail (1985).

2.7. S'agissant des organes et institutions concernés, le Comité constate que la proposition couvre effectivement tout le domaine communautaire et approuve donc l'interprétation de l'article 286 du Traité en ce qui concerne le champ d'application, qui s'étend à toutes les institutions; une interprétation restrictive écartant par exemple l'Euratom ou la CECA du champ d'application aurait en effet été aberrante et contraire aux objectifs poursuivis.

2.8. Mais avec la communautarisation progressive du troisième pilier (qui n'est pas concerné par la directive de 1995) et compte tenu de la nécessité de disposer d'un instrument horizontal concernant aussi les données recueillies, traitées et transmises en matière de coopération judiciaire et policière, le Comité suggère que la compétence du contrôleur européen de la protection des données soit étendue dès maintenant au système d'information de Schengen et progressivement à toutes les conventions du troisième pilier au sein desquelles la protection des données est actuellement conçue de manière autonome, avec des normes et organes de contrôle spécifiques, bien que fondés sur des principes communs. Une telle protection reste en outre à créer en ce qui concerne la coopération judiciaire, où elle n'a pas encore été prévue. Cette suggestion implique l'éventualité de protocoles additionnels aux dites conventions.

2.9. C'est donc à partir de ces observations générales et en considérant tous les éléments nouveaux et les évolutions survenues par rapport à son avis antérieur que le Comité, tout en constatant nombre d'approches positives et intéressantes, formule certaines suggestions et recommandations plus précises et détaillées dans ses observations particulières, en suivant l'ordre des chapitres et annexes de la proposition.

3. Observations et recommandations particulières

3.1. Article 2, c), définitions. Le fichier est défini comme un "ensemble structuré de données"; il n'est pas nécessaire qu'il s'agisse de données structurées pour pouvoir les traiter et les exploiter, aussi suffirait-il de parler d'un ensemble de données à caractère personnel ou individuel.

3.2. Article 4, d), qualité des données. Toutes les mesures "raisonnables" doivent être prises pour rectifier ou supprimer des données inexactes ou incomplètes ou inadéquates par rapport aux finalités du traitement; on devrait dire "toutes les mesures possibles".

3.2.1. Article 5, d), licéité du traitement. Le Comité approuve ces critères de légalité, mais estime qu'à ce point on devrait parler de "consentement informé".

3.3. Article 6, traitements ultérieurs. Lorsqu'un traitement est effectué pour des finalités autres que les finalités initiales, les personnes concernées devraient être préalablement informées de cette éventualité lors de la collecte, ou au moment où cette nouvelle décision est prise.

3.4. Article 9, transferts de données.

3.4.1. Alinéas 1 à 4: lorsque les données sont transférées à des personnes ou à des organes non soumis à la directive 95/46/CE ou à des pays n'ayant pas ratifié la Convention 108 du Conseil de l'Europe, il faudrait s'assurer de manière préalable que le niveau de protection est équivalent (et non pas seulement "adéquat", mais c'est la formulation de la directive). Cependant, le Comité constate que les dispositions pratiques prévues en matière d'adéquation sont hautement protectrices.

3.4.2. Alinéas 5 et 6: le contrôleur européen de la protection des données (CEPD) devrait être informé a priori des cas dérogatoires, pour être éventuellement en mesure de s'y opposer.

3.5. Article 10, 1, traitements interdits. La formulation va plus loin que celle de l'article 6 de la Convention 108 du Conseil de l'Europe, sauf en ce qui concerne les condamnations pénales traitées au point 10.5 de manière plus restrictive (elles ne sont pas absolument interdites). Le Comité préférerait une formulation plus détaillée: "Le traitement des données à caractère personnel qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques et plus généralement toute conviction ou opinion n'étant pas qualifiée de crime au regard du droit international, l'appartenance syndicale, ainsi que le traitement des données relatives à la santé, au patrimoine génétique ou à la vie sexuelle sont interdits". Encore que la notion de patrimoine génétique devrait être comprise comme étant incluse dans la santé; sans doute conviendrait-il de réexaminer la formulation relative aux traitements interdits lors de la révision de la directive.

3.6. Article 17, notification aux tiers. La possibilité de dérogation au devoir de notification des modifications ou du verrouillage des données est trop vague et trop large.

3.7. Article 23, 1, la sécurité des traitements. Le responsable du traitement devrait assurer le niveau de sécurité le plus élevé possible lors du traitement et de la transmission des données, compte tenu de l'état de la technique disponible et pour autant que le coût n'en soit pas disproportionné compte tenu du niveau de sécurité à réaliser.

3.8. Article 25. Délégué(e)s à la protection des données, et annexes I et II:

3.8.1. La question centrale est celle de l'indépendance et de la qualification des personnes désignées par les institutions et organes mêmes qui collectent, traitent et transmettent des données personnelles.

3.8.2. Les dispositions prévues protègent ces personnes contre toute pression indue des autorités de nomination qui sont aussi leurs autorités hiérarchiques, et envers lesquelles elles sont dans une relation de subordination.

3.8.3. Elles doivent en effet être sorties expressément de cette relation de subordination pour ce qui est de leurs tâches relatives à la protection des données, et ne relever à cet égard que du contrôleur européen(5). Cette fonction ne devrait pas être soumise à évaluation ou notation de la part des autorités hiérarchiques ni affecter négativement leur carrière en cas de conflit avec ces autorités sur des questions de protection des données. La durée de leur mandat devrait être plus longue pour mieux garantir leur indépendance et leur permettre d'agir dans la durée et la sécurité.

3.8.4. La part évaluée du temps de travail à consacrer à la protection des données pour les personnes déléguées (5 % en général, 10 % plus exceptionnellement) ainsi que les moyens mis à leur disposition paraissent d'emblée assez limités. Une latitude et une flexibilité suffisantes doivent leur être laissées pour exercer pleinement leurs fonctions, et les moyens humains et matériels appropriés doivent leur être accordés en fonction des nécessités.

3.9. Article 28. Contrôles préalables effectués par le contrôleur européen de la protection des données (CEPD).

3.9.1. Le principe à poser devrait être que tout traitement susceptible de présenter des risques particuliers au regard des droits et libertés des personnes concernées devrait faire l'objet d'un examen préalable par le contrôleur. L'existence ou la mise en oeuvre de traitements "sensibles" exigent en effet une réflexion approfondie préalable et l'intervention d'une autorité indépendante, ce qui est prévu justement par le texte car il s'agit d'une garantie fondamentale.

3.9.2. Mais certains traitements devraient être ajoutés à la liste envisagée, et en tout état de cause le CEPD doit examiner a priori des situations comme:

- les traitements impliquant un usage nouveau de technologies existantes;

- les points supplémentaires proposés par le Comité pour l'article 10;

- les traitements touchant à la police, à la sécurité, au droit pénal, à l'immigration et au séjour des personnes extra-communautaires (délivrance de visas, régularité du séjour, par exemple);

- les traitements utilisant des identifiants de portée générale;

- les interconnexions entre fichiers à finalités distinctes;

- les traitements de données recueillies pour d'autres finalités;

- les conditions de mise en oeuvre de traitements dérogeant aux principes protecteurs des personnes;

- les traitements recourant ou nécessitant des transferts internationaux de données hors des frontières de l'UE;

- les enquêtes statistiques revêtant un caractère obligatoire et celles portant sur des secteurs entiers de population ou des professions.

3.10. Article 32. Sécurité dans le cadre des réseaux internes de télécommunications, fin de l'alinéa 1. Le Comité recommande de modifier la formulation: "... garantir un niveau de sécurité adapté au risque existant et en permanence à son évolution, compte tenu de l'état et de l'évolution des techniques, et éventuellement du coût lié à la mise en oeuvre desdites mesures s'il s'avérait disproportionné au regard des objectifs poursuivis".

3.11. Autorité de contrôle

3.11.1. Article 38. Le CEPD. L'alinéa 1 devrait préciser qu'il est institué une autorité indépendante de contrôle.

3.11.2. Article 39. Nomination. La proposition prévoit la nomination du CEPD "d'un commun accord" par la Commission, le Conseil, et le Parlement européen, pour une durée de quatre ans, renouvelable (combien de fois ?).

3.11.3. Le Comité insiste à nouveau sur la nécessaire indépendance du CEPD, qui ne devrait donc pas être nommé par les organes qui, tels la Commission ou le Conseil, sont amenés à traiter couramment ou à faire traiter des données individuelles et à en assurer la diffusion ou la transmission. Comme pour le médiateur, il semblerait plus adéquat et plus pratique techniquement que la nomination soit effectuée par le Parlement européen, en consultation avec la Commission et le Conseil. Un mandat sensiblement plus long (éventuellement le double de la durée prévue) mais non renouvelable pourrait aussi constituer une garantie supplémentaire d'indépendance.

3.11.4. Les fonctions du CEPD sont particulièrement lourdes et diversifiées, et les annexes budgétaires accompagnant la proposition paraissent quelque peu modestes au regard des exigences qui lui sont posées.

3.11.5. Le niveau adéquat des moyens de la future autorité et la mise à sa disposition en nombre suffisant de personnels à haute compétence technique constituent pour le Comité des nécessités absolues.

4. Conclusions

4.1. Le Comité aurait souhaité examiner plus en détail l'ensemble des dispositions soumises à son examen dans une proposition de règlement aussi décisive pour la protection des droits et libertés des personnes à l'égard de l'administration communautaire.

4.2. Un tel projet représente un énorme travail qui doit être salué pour les importantes protections qu'il propose. Ses limites tiennent avant tout à celles de la directive de 1995. Conscient des progrès et avancées qu'il contient déjà en l'état, le Comité soumet néanmoins les observations générales et particulières de cet avis au Conseil, au Parlement européen et à la Commission en espérant que sa contribution permettra de renforcer les garanties d'exercice des libertés et les droits dont jouissent les personnes dans l'espace communautaire et au-delà.

4.3. En tout état de cause, sur la base de l'évaluation prévue pour 2001 de la mise en oeuvre de la directive et en fonction des propositions concrètes de révision qui seraient alors soumises à son examen, le Comité fera le moment venu des propositions détaillées et complètes quant à la nature et à la portée des changements qu'il souhaitera voir apporter au texte actuel.

Bruxelles, le 8 décembre 1999.

La Présidente

du Comité économique et social

Beatrice RANGONI MACHIAVELLI

(1) JO L 281 du 23.11.1995, p. 31.

(2) JO L 24 du 30.1.1998, p. 1.

(3) Rapporteur M. Salmon, avis publié au JO C 159 du 17.6.1991, p. 38.

(4) Conseil de l'Europe -(STE N° 108) Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel. Tous les États membres actuels ont désormais ratifié cette convention; il n'en est pas de même pour la plupart des pays candidats.

(5) Des dispositions de cette nature sont par exemple prévues par la convention n° 81 de l'OIT concernant les inspecteursdu travail.