COMMISSION EUROPÉENNE Bruxelles, le 5.2.2019 COM(2019) 71 final Recommandation de DÉCISION DU CONSEIL autorisant la participation aux négociations sur un deuxième protocole additionnel à la convention sur la cybercriminalité du Conseil de l’Europe (STE n° 185)



EXPOSÉ DES MOTIFS 1.CONTEXTE L’évolution des technologies de l’information et de la communication – tout en offrant des possibilités sans précédent pour l’humanité – pose également des défis, y compris pour la justice pénale et donc pour l’état de droit dans le cyberespace. Alors que la cybercriminalité et d’autres infractions impliquant des preuves électroniques dans des systèmes informatiques sont en plein essor et alors que les preuves relatives à ces infractions sont de plus en plus souvent stockées sur des serveurs situés dans des juridictions étrangères, multiples, changeantes ou inconnues, à savoir dans le nuage, les pouvoirs des services répressifs demeurent restreints par les limites territoriales. En avril 2015, dans le programme européen en matière de sécurité, la Commission européenne s’est engagée à faire le point sur les obstacles aux enquêtes pénales sur la criminalité facilitée par internet, notamment concernant l’accès transfrontière aux preuves électroniques. Le 17 avril 2018, la Commission a proposé au Conseil et au Parlement européen un règlement relatif aux injonctions européennes de production et de conservation de preuves électroniques en matière pénale, ainsi qu’une directive établissant des règles harmonisées concernant la désignation de représentants légaux aux fins de la collecte de preuves en matière pénale («propositions relatives aux preuves électroniques»). Ces propositions ont pour but d’accélérer dans l’Union le processus pour recueillir et obtenir des preuves électroniques qui sont stockées et/ou détenues par des fournisseurs de services établis dans une autre juridiction. La convention sur la cybercriminalité du Conseil de l’Europe La convention sur la cybercriminalité du Conseil de l’Europe (STE n° 185) a pour objectif de faciliter la lutte contre les infractions pénales commises au moyen des réseaux informatiques. Elle 1) contient des dispositions harmonisant les éléments constitutifs des infractions en droit pénal matériel national et des dispositions connexes dans le domaine de la cybercriminalité, elle 2) prévoit les pouvoirs nécessaires en droit pénal procédural national pour les enquêtes et les poursuites concernant ces infractions ainsi que d’autres infractions commises au moyen d’un système informatique ou dont les preuves sont sous forme électronique, et elle 3) vise à mettre en place un système rapide et efficace de coopération internationale. La convention est ouverte aux États membres du Conseil de l’Europe et aux pays tiers. 62 pays sont actuellement parties à la convention, y compris 26 États membres de l’Union européenne. La convention ne prévoit pas que l’Union européenne puisse adhérer à la convention. L’Union européenne est néanmoins reconnue comme une organisation observateur au comité de la convention sur la cybercriminalité (T-CY). À ce titre, elle prend part aux réunions du comité de la convention. L’article 46, paragraphe 1, point c), de la convention dispose que les parties se concertent périodiquement, au besoin, afin de faciliter l’examen de l’éventualité de compléter ou d’amender la convention. Les parties à la convention sur la cybercriminalité examinent depuis un certain temps les défis qui se posent et les obstacles qui empêchent les autorités judiciaires et policières nationales d’accéder aux preuves électroniques d’infractions faisant l’objet d'une enquête pénale qui sont sous forme de données informatiques, à savoir de 2012 à 2014, dans le cadre d’un groupe de travail sur l’accès transfrontalier aux données, et de 2015 à 2017, dans le cadre du groupe sur les preuves dans le nuage. Négociations en vue d’un deuxième protocole additionnel à la convention À la suite des propositions du groupe sur les preuves dans le nuage, le comité de la convention sur la cybercriminalité (T-CY) a adopté plusieurs recommandations, y compris concernant la négociation d’un deuxième protocole additionnel à la convention sur la cybercriminalité relatif à la coopération internationale renforcée (ci-après le «deuxième protocole additionnel»). En juin 2017, le comité de la convention sur la cybercriminalité a approuvé le mandat pour la préparation d’un deuxième protocole additionnel à la convention au cours de la période de septembre 2017 à décembre 2019. Conformément au mandat, le deuxième protocole additionnel peut contenir les éléments suivants: ·dispositions pour une entraide juridique plus efficace, notamment: –un régime simplifié pour les demandes d’entraide juridique concernant des informations sur les abonnés; –des injonctions de produire internationales; –une coopération directe entre autorités judiciaires pour les demandes d’entraide; –des enquêtes et équipes d’enquête communes; –des demandes formulées en anglais; –l’audition audio/vidéo des témoins, des victimes et des experts; –des procédures d’urgence pour les demandes d’entraide; ·dispositions permettant la coopération directe avec des fournisseurs de services dans d’autres juridictions pour ce qui est des demandes relatives à des informations sur les abonnés, des demandes de conservation et des demandes en urgence;

·un cadre plus clair et des garanties plus fortes concernant les pratiques existantes en matière d’accès transfrontière aux données; ·des garanties, notamment des conditions relatives à la protection des données. Les négociations des différentes dispositions du deuxième protocole additionnel progressent à des rythmes différents. La situation actuelle dans les groupes de travail sur les quatre axes de travail principaux énoncés dans le mandat est la suivante: ·les dispositions sur «la langue dans laquelle doit être formulée une demande» et «les procédures d’urgence pour les demandes d’entraide» ont fait l’objet d’une adoption préliminaire par la plénière de rédaction du protocole en juillet 2018; ·les dispositions sur la «vidéoconférence» ont fait l’objet d’une adoption préliminaire par la plénière de rédaction du protocole en novembre 2018; ·la plénière de rédaction du protocole qui s’est tenue en novembre 2018 a également permis de mener des discussions approfondies (dispositions sur «la juridiction» et «le modèle d’approbation») et de procéder à des mises à jour («la coopération directe avec les fournisseurs de services», «les injonctions de produire internationales», «l’extension des recherches/accès sur la base des pouvoirs», «enquêtes conjointes et équipes conjointes d'enquête» et «techniques d'enquête»); ·les progrès n’ont pas été suffisants dans d’autres domaines (garanties, notamment des conditions relatives à la protection des données). 2.OBJECTIFS DE LA PROPOSITION La présente recommandation est soumise au Conseil afin que celui-ci autorise la participation aux négociations au nom de l’Union européenne et de ses États membres sur un deuxième protocole additionnel, qu’il adopte des directives de négociation et qu’il désigne la Commission en tant que négociateur conformément au projet de directives en annexe, en vertu de l’article 218 du TFUE. L’article 3, paragraphe 2, du TFUE prévoit que l’Union dispose d’une compétence exclusive «pour la conclusion d’un accord international [...] dans la mesure où elle est susceptible d’affecter des règles communes ou d’en altérer la portée». Un accord international peut affecter des règles communes ou en altérer la portée lorsque le domaine qu’il régit recouvre la législation de l’Union ou est déjà couvert en grande partie par le droit de l’Union. L’Union européenne a adopté des règles communes sur la base de l’article 82, paragraphe 1, et de l’article 16 du TFUE sur des éléments examinés en vue du deuxième protocole additionnel. Le cadre juridique actuel de l’Union contient notamment des instruments concernant une coopération des services répressifs et judiciaires en matière pénale, comme la directive 2014/41/UE concernant la décision d’enquête européenne en matière pénale, la convention relative à l’entraide judiciaire en matière pénale entre les États membres de l’Union européenne, le règlement (UE) 2018/1727 relatif à Eurojust, le règlement (UE) 2016/794 relatif à Europol, la décision-cadre 2002/465/JAI du Conseil relative aux équipes communes d’enquête, et la décision-cadre 2009/948/JAI du Conseil relative à la prévention et au règlement des conflits en matière d’exercice de la compétence dans le cadre des procédures pénales. En outre, l’Union a adopté plusieurs directives qui renforcent les droits procéduraux des suspects et des personnes poursuivies. Sur le plan extérieur, l’Union a conclu un certain nombre d’accords bilatéraux avec des pays tiers, comme les accords d’entraide judiciaire en matière pénale entre l’Union et les États-Unis d’Amérique et entre l’Union et le Japon. La protection des données à caractère personnel est un droit fondamental inscrit dans les traités de l’UE et dans la charte des droits fondamentaux de l’UE et les données à caractère personnel peuvent uniquement faire l’objet d’un traitement conformément au règlement (UE) 2016/679 (le «règlement général sur la protection des données») et la directive (UE) 2016/680 (la «directive sur la protection des données policières»). La charte des droits fondamentaux consacre également le droit fondamental de toute personne au respect de sa vie privée et familiale, de son domicile, ainsi que de ses communications, et le respect de la confidentialité de ses communications constitue un élément essentiel de ce droit. Les données de communications électroniques peuvent uniquement être traitées conformément à la directive 2002/58/CE (la «directive vie privée et communications électroniques»). En outre, pour déterminer si un domaine est déjà couvert en grande partie par des règles communes, il convient de prendre en compte non seulement l’état actuel du droit de l’Union dans le domaine concerné, mais également ses perspectives d’évolution, dans la mesure où celles-ci sont prévisibles au moment de cette analyse. Le domaine couvert par le deuxième protocole additionnel est directement lié aux perspectives d’évolution prévisibles des règles communes pertinentes. À cet égard, les propositions de la Commission d’avril 2018 sur l’accès transfrontière aux preuves électroniques sont également pertinentes. Le champ d’application des propositions couvre des types spécifiques de fournisseurs de services opérant dans l’Union européenne. Un fournisseur propose des services dans l’Union européenne lorsqu’il permet aux utilisateurs d’un ou de plusieurs États membres d’utiliser ses services et lorsqu’il a un lien substantiel avec l’Union, par exemple lorsqu’il possède un établissement dans un État membre ou lorsqu’il fournit des services à un grand nombre d’utilisateurs dans cet État membre. Les fournisseurs qui ne sont pas présents dans l’Union sont obligés de désigner un représentant légal à qui il est possible d’adresser des injonctions de production. Dans ses conclusions du 18 octobre 2018, le Conseil européen déclarait qu’«[i]l y a lieu de trouver des solutions pour assurer un accès transfrontière rapide et effectif aux preuves numériques afin de lutter efficacement contre le terrorisme et d'autres formes de grande criminalité organisée, tant au sein de l'UE qu’au niveau international; il convient, d’ici la fin de la législature, de parvenir à un accord concernant les propositions de la Commission sur les preuves électroniques et l'accès aux informations financières, ainsi que sur l'amélioration de la lutte contre le blanchiment de capitaux. Par ailleurs, la Commission devrait présenter d’urgence des mandats de négociation pour les négociations internationales sur les preuves électroniques». Les propositions de la Commission relatives aux preuves électroniques permettent une approche coordonnée et cohérente tant au sein de l’Union européenne que par celle-ci au niveau international, dans le respect des règles de l’Union, notamment en matière de non-discrimination entre les États membres de l’Union et entre leurs ressortissants. Tandis que, dans son analyse d’impact des propositions relatives aux preuves électroniques, la Commission constatait déjà que les propositions pouvaient être utilement complétées par des accords bilatéraux ou multilatéraux sur l’accès transfrontière aux preuves électroniques intégrant les garanties nécessaires, elle a décidé de proposer des règles de l’UE sur les modalités et garanties appropriées pour l’accès transfrontière aux preuves électroniques, avant de s’engager dans des négociations internationales avec des tiers. Au niveau international, la Commission a continué de participer en tant qu’observateur aux discussions connexes qui se sont déroulées dans le cadre de la convention sur la cybercriminalité du Conseil de l’Europe. L’accès transfrontière aux preuves électroniques a été régulièrement abordé lors des dernières réunions ministérielles UE-États-Unis consacrées à la justice et aux affaires intérieures. Les deux recommandations en vue de participer aux négociations du deuxième protocole additionnel à la convention sur la cybercriminalité et d’ouvrir des négociations avec les États-Unis d’Amérique font l’objet d’une adoption simultanée par la Commission. Tandis que les deux processus progresseront à des rythmes différents, ils portent sur des questions interdépendantes et les engagements pris dans une négociation peuvent avoir une incidence directe sur les autres volets des négociations. Les propositions relatives aux preuves électroniques traitant de la situation de types spécifiques de fournisseurs de services opérant sur le marché de l’Union, il existe un risque que certaines obligations soient en contradiction avec la législation des pays tiers. Afin de remédier à ces conflits de lois, et conformément au principe de courtoisie internationale, les propositions relatives aux preuves électroniques contiennent des dispositions prévoyant des mécanismes spécifiques pour les cas où un prestataire de services est confronté à des obligations contradictoires découlant de la législation d’un pays tiers lorsque des preuves sont demandées. Ces mécanismes comprennent une procédure de réexamen pour clarifier la situation. Le deuxième protocole additionnel à la convention sur la cybercriminalité du Conseil de l’Europe devrait avoir pour objectif d’éviter les obligations contradictoires entre les parties à cette convention.

Il peut donc être considéré que la conclusion du deuxième protocole additionnel est susceptible d’affecter des règles communes ou d’en altérer la portée. En conséquence, l’Union dispose d’une compétence exclusive pour la négociation du deuxième protocole additionnel à la convention sur la cybercriminalité du Conseil de l’Europe (en vertu de l’article 3, paragraphe 2, du TFUE). L’objet du deuxième protocole additionnel relève des politiques et compétences de l’UE, notamment dans le domaine des instruments relatifs à la coopération judiciaire en matière pénale (article 82, paragraphe 1, du TFUE) et à la protection des données (article 16 du TFUE) et, au regard du droit de l’UE, les négociations ne pourraient avoir lieu sans la participation de l’Union. De plus, la Commission est chargée, d’une manière générale, de la représentation de l’Union européenne en vertu de l’article 17, paragraphe 1, du TUE. Au vu de ce qui précède, la Commission devrait être désignée par le Conseil en tant que négociateur du deuxième protocole additionnel à la convention sur la cybercriminalité du Conseil de l’Europe (STE n° 185). 3.DISPOSITIONS PERTINENTES DANS LE DOMAINE D’ACTION Les négociations devraient garantir que les dispositions convenues sont compatibles avec le droit de l’Union et les obligations qui incombent aux États membres en vertu de celui-ci, compte tenu également de ses perspectives d’évolution. De plus, il faudra veiller à ce que le deuxième protocole additionnel comporte une clause de déconnexion permettant aux États membres de l’Union qui deviennent parties au deuxième protocole additionnel d’établir les relations entre eux sur la base du droit de l’Union. En particulier, le fonctionnement des propositions de la Commission européenne relatives aux preuves électroniques, y compris à mesure qu’elles évoluent au cours des négociations entre les colégislateurs dans le cadre de la procédure législative et finalement sous leur forme définitive (adoptée), devrait être assuré entre les États membres de l’Union. Le deuxième protocole additionnel devrait contenir les garanties nécessaires pour les libertés et droits fondamentaux reconnus par la charte des droits fondamentaux de l’Union européenne, notamment le droit au respect de la vie privée et familiale, du domicile et des communications, reconnu à l'article 7 de la charte, le droit à la protection des données à caractère personnel, reconnu à l'article 8 de la charte, le droit à un recours effectif et à accéder à un tribunal impartial, reconnu à l'article 47 de la charte, la présomption d’innocence et les droits de la défense, reconnus à l’article 48 de la charte, et les principes de légalité et de proportionnalité des délits et des peines, reconnus à l’article 49 de la charte. Il convient que le deuxième protocole additionnel soit appliqué conformément à ces droits et principes. Des garanties appropriées en matière de protection des données et de la vie privée pour la collecte, le transfert et l’utilisation ultérieure des données à caractère personnel et des données de communications électroniques doivent être inscrites dans le protocole, de manière à assurer le plein respect par les fournisseurs de services de l’UE des obligations qui leur incombent en vertu de la législation de l’UE en matière de protection des données et de la vie privée, dans la mesure où un tel accord international pourrait servir de base juridique à des transferts de données à la suite d’injonctions ou de demandes de production émises par une autorité d’un État non membre de l’UE partie au protocole additionnel exigeant qu’un responsable du traitement ou un sous-traitant communique des données à caractère personnel et des données de communications électroniques. Ces garanties devraient donc permettre la protection des libertés et droits fondamentaux des citoyens de l’UE, notamment la protection de la vie privée et des données à caractère personnel lorsque des données à caractère personnel ou des données de communications électroniques sont communiquées à des services répressifs de pays non membres de l’Union européenne. Compte tenu de l’absence de dispositions permettant aux autorités d’accéder aux données sans l’aide d’un intermédiaire («accès direct») dans les propositions de la Commission européenne relatives aux preuves électroniques, tout recours à ce type de mesures peut uniquement être fondé sur le droit national. S’il est possible que le deuxième protocole additionnel contienne des dispositions relatives à «l’extension des recherches et l’accès sur la base des pouvoirs» et aux «techniques d’enquête», l’objectif principal devrait être de renforcer les garanties concernant ledit accès transfrontière direct aux données afin d’assurer la protection des libertés et des droits fondamentaux des citoyens de l’Union, notamment la protection de la vie privée et des données à caractère personnel. La conclusion du deuxième protocole additionnel devrait permettre la conclusion d’accords ou traités bilatéraux entre les parties au protocole ou entre les parties au protocole et l’Union européenne, qui régiraient leurs relations. À cette fin, il y a lieu d’insérer une clause adaptée prévoyant que, si deux ou plusieurs parties à la convention ont déjà conclu un accord ou un traité relatif aux matières traitées par la convention, ou si elles devaient le faire à l’avenir, elles ont la faculté d’appliquer ledit accord ou traité ou d’établir leurs relations en conséquence, dès lors qu’elles le font d’une manière qui soit compatible avec les objectifs et principes de la convention. L’accord entre l’Union européenne et les États-Unis sur l’accès transfrontière aux preuves électroniques aux fins de la coopération judiciaire en matière pénale devrait, dans le cadre des relations entre les États-Unis d’Amérique et l’Union européenne, prévaloir sur tout accord ou arrangement trouvé lors des négociations du deuxième protocole additionnel, dans la mesure où il couvre les mêmes questions.



Recommandation de DÉCISION DU CONSEIL autorisant la participation aux négociations sur un deuxième protocole additionnel à la convention sur la cybercriminalité du Conseil de l’Europe (STE n° 185) LE CONSEIL DE L'UNION EUROPÉENNE, vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 218, paragraphes 3 et 4, vu la recommandation de la Commission européenne, considérant ce qui suit: (1)Le 9 juin 2017, le comité de la convention sur la cybercriminalité (STE n° 185) du Conseil de l’Europe a arrêté une décision adoptant le mandat pour la préparation d’un deuxième protocole additionnel à la convention. (2)Le mandat relatif au deuxième protocole additionnel contient les éléments de réflexion suivants: des dispositions pour une entraide juridique plus efficace (un régime simplifié pour les demandes d’entraide concernant des informations sur les abonnés; des injonctions de produire internationales; une coopération directe entre autorités judiciaires pour les demandes d’entraide; des enquêtes et équipes d’enquête communes; des demandes formulées en anglais; l’audition audio/vidéo des témoins, des victimes et des experts; des procédures d’urgence pour les demandes d’entraide); des dispositions permettant la coopération directe avec des fournisseurs de services dans d’autres juridictions pour ce qui est des demandes relatives à des informations sur les abonnés, des demandes de conservation et des demandes en urgence; un cadre plus clair et des garanties plus fortes concernant les pratiques existantes en matière d’accès transfrontière aux données; des garanties, notamment des conditions relatives à la protection des données. (3)L’Union a adopté des règles communes qui couvrent déjà en grande partie les éléments envisagés pour le deuxième protocole additionnel, notamment un ensemble complet d’instruments visant à faciliter la coopération judiciaire en matière pénale et à garantir des normes minimales pour les droits procéduraux, ainsi que des garanties en matière de protection des données et de la vie privée.