99.

Les questions suivantes devraient être abordées dans les deux propositions: — il faudrait insérer une référence explicite à la législation européenne applicable en matière de protection des données dans les deux propositions, au moyen d’une disposition de fond y consacrée qui mentionnerait en particulier la directive 95/46/CE et les législations nationales mettant en œuvre cette dernière, ainsi que le règlement (CE) no 45/2001 s’agissant du traitement des données à caractère personnel par les institutions et les organes de l’Union européenne. Cette disposition devrait aussi indiquer explicitement que les propositions sont sans préjudice de la législation applicable en matière de protection des données. La référence à la décision-cadre 2008/977/JAI du Conseil, du 27 novembre 2008, faite au considérant 33 devrait être supprimée; — une définition des concepts d’«autorités compétentes» et de «CRF» devrait être intégrée à la directive proposée. Cette définition devrait constituer une garantie que les «autorités compétentes» ne seront pas assimilées aux «autorités compétentes» au sens de l’article 2, point h) de la décision-cadre 2008/977/JAI; — il conviendrait de clarifier au considérant 32 que le motif légitime justifiant le traitement de données à caractère personnel devrait être la nécessité de se conformer à une obligation légale pour les entités soumises à obligations, les autorités compétentes et les CRF (article 7, point c) de la directive 95/46/CE); — il faudrait rappeler que la seule finalité du traitement doit être la prévention du blanchiment de capitaux et du financement du terrorisme et que les données ne peuvent faire l’objet d’un traitement ultérieur à des fins incompatibles; — l’interdiction particulière de traiter les données à des fins commerciales, qui est actuellement mentionnée au considérant 31 de la directive proposée et au considérant 7 du règlement proposé, devrait être inscrite dans une disposition de fond; — il convient d’ajouter un considérant qui précise que la lutte contre l’évasion fiscale n’est incluse qu’en tant qu’infraction principale; — s’agissant des transferts internationaux, il convient d’introduire des dispositions de fond consacrées aux transferts de données à caractère personnel qui offrent une base légale appropriée aux transferts intragroupes/entre prestataires de services de paiement dans le respect de l’esprit et de la lettre de l’article 26 de la directive 95/46/CE, une option soutenue par le groupe de travail «Article 29» sur la protection des données. Le CEPD préconise que l’on réévalue le caractère proportionnel de l’exigence de transfert massif de données à caractère personnel et d’informations sensibles vers des pays étrangers aux fins de la lutte contre le blanchiment de capitaux et le financement du terrorisme et prône une approche plus proportionnée; — s’agissant de la publication des sanctions, le CEPD recommande d’évaluer d’autres options moins intrusives que l’obligation générale de publication et, en tout état de cause, de préciser dans la directive proposée: — la finalité de cette publication, si elle devait être maintenue; — les données à caractère personnel qui devraient être publiées; — que les personnes concernées doivent être informées avant la publication de la décision et se voir garantir le droit d’introduire un recours de la décision avant qu’elle ne soit publiée; — qu’en vertu de l’article 14 de la directive 95/46/CE, les personnes concernées ont le droit de s’opposer pour des raisons légitimes de force majeure; — des restrictions supplémentaires en ce qui concerne la publication en ligne; — s’agissant de la conservation des données, il convient d’insérer une disposition de fond qui définira une période de conservation maximale que tous les États membres devront respecter, avec quelques spécifications supplémentaires.