Résumé de l’avis du contrôleur européen de la protection des données sur la conclusion de l’accord commercial entre l’UE et le Royaume-Uni et de l’accord relatif à l’échange d’informations classifiées entre l’UE et le Royaume-Uni

(Le texte complet de l’avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2021/C 168/02)

Le 26 décembre 2020, la Commission européenne a adopté une proposition de décision du Conseil relative à la conclusion, au nom de l’Union, de l’accord de commerce et de coopération entre l’Union européenne et la Communauté européenne de l’énergie atomique, d’une part, et le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord, d’autre part, et de l’accord entre l’Union européenne et le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord relatif aux procédures de sécurité pour l’échange d’informations classifiées et leur protection.

Compte tenu de la coopération étroite qui devrait se poursuivre entre l’UE et le Royaume-Uni, le CEPD se félicite de la signature des accords entre l’Union et le Royaume-Uni sur le commerce et la coopération ainsi que sur les procédures de sécurité pour l’échange d’informations classifiées et leur protection. Il se réjouit tout particulièrement du fait que l’un des éléments essentiels de l’accord de commerce et de coopération (l’«ACC») soit le respect et la sauvegarde des droits humains. Il se félicite également de l’engagement pris par les Parties à l’ACC d’assurer un niveau élevé de protection des données à caractère personnel.

Le CEPD est conscient des conditions particulières dans lesquelles ces accords ont été négociés et des relations spécifiques, passées et futures, entre le Royaume-Uni et l’UE.

S’agissant des dispositions relatives au commerce, le CEPD regrette que l’ACC ne reprenne pas fidèlement les «dispositions horizontales de l’UE sur les flux transfrontières de données et la protection des données à caractère personnel et de la vie privée dans le titre des accords de commerce de l’UE consacré au commerce numérique», approuvées par la Commission européenne en 2018. En effet, les modifications apportées à ces dispositions horizontales, combinées à d’autres dispositions de l’ACC, jettent le doute, dans le domaine du commerce numérique, quant à la préservation de l’autonomie de l’UE en ce qui concerne les droits fondamentaux à la protection des données et au respect de la vie privée.

Le CEPD considère depuis longtemps que, la protection des données à caractère personnel étant un droit fondamental dans l’Union, elle ne peut faire l’objet de négociations dans le cadre des accords commerciaux de l’Union. Il appartient à l’UE seule de décider de la manière de mettre en œuvre la protection des droits fondamentaux dans le droit de l’Union. L’Union ne peut et ne devrait pas prendre d’engagements commerciaux internationaux qui soient incompatibles avec sa législation interne en matière de protection des données. Les dialogues sur la protection des données et les négociations commerciales avec les pays tiers peuvent se compléter, mais doivent suivre des voies distinctes. Les flux de données à caractère personnel entre l’UE et les pays tiers devraient être rendus possibles en recourant aux mécanismes prévus par la législation de l’UE en matière de protection des données. Par conséquent, le CEPD invite la Commission à réaffirmer son engagement à l’égard des dispositions horizontales, qui constituent la seule base des futurs accords commerciaux que conclura l’UE avec les pays tiers, et à redire que les droits à la protection des données à caractère personnel et au respect de la vie privée ne sont pas négociables.

S’agissant de la coopération policière et judiciaire en matière pénale, le CEPD félicite la Commission pour les garanties introduites dans l’ACC en ce qui concerne la protection des données, dont l’importance est d’autant plus grande en raison du caractère sensible de cette coopération. Dans le même temps, il regrette que certaines garanties fassent défaut à la fois dans les dispositions générales, qui ne contiennent ni la catégorisation des personnes concernées prévue à l’article 6 de la directive relative à la protection des données dans le domaine répressif, ni des garanties plus détaillées et plus solides concernant les transferts ultérieurs, et en particulier dans le cadre Prüm. Il aurait également souhaité que la période de transition pour l’effacement des données des dossiers passagers soit plus courte que les trois ans possibles et qu’une liste des formes graves de criminalité soit incluse. Il recommande en outre de veiller à ce que toute modification future du cadre Prüm entre les États membres de l’UE qui conduiraient à des garanties supplémentaires soit pleinement reflétée dans l’accord et effectivement mise en œuvre par les deux Parties.

En ce qui concerne la disposition provisoire relative au transfert de données à caractère personnel de l’UE vers le Royaume-Uni, le CEPD souligne que ce mécanisme devrait demeurer l’exception et ne pas constituer un précédent pour de futurs accords de commerce et de coopération avec d’autres pays tiers.

Le CEPD s’attend à être consulté sur toute proposition ou recommandation au Conseil, conformément à l’article 218 TFUE, concernant l’ouverture de négociations en vue de tout accord complémentaire ultérieur ayant une incidence sur la protection des droits et libertés des personnes physiques à l’égard du traitement de données à caractère personnel.

Enfin, l’ACC semble se fonder sur l’hypothèse que des décisions d’adéquation au titre du RGPD et de la directive relative à la protection des données dans le domaine répressif seront adoptées (et resteront en vigueur dans un avenir prévisible). Le CEPD tient donc à rappeler la recommandation formulée dans son avis 2/2020, selon laquelle l’Union prend des mesures afin de parer à toutes les éventualités, y compris l’absence totale de décision d’adéquation ou l’adoption d’une telle décision uniquement dans certains domaines.

1. INTRODUCTION

1. Le 30 décembre 2020, l’Union européenne (UE) et le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord (Royaume-Uni) ont signé un accord de commerce et de coopération (ACC) ainsi qu’un accord relatif aux procédures de sécurité pour l’échange d’informations classifiées et leur protection ( 1 )

2. er janvier 2021, dans l’attente de l’achèvement des procédures nécessaires à leur entrée en vigueur Ces accords sont applicables à titre provisoire depuis le 1janvier 2021, dans l’attente de l’achèvement des procédures nécessaires à leur entrée en vigueur ( 2 ) . Aux termes de l’ACC, cette application provisoire cessera au plus tard le 28 février 2021 ou à une autre date décidée par le conseil de partenariat ( 3 )

3. Le 25 janvier 2021, la Commission européenne a consulté le CEPD sur sa proposition de décision du Conseil relative à la conclusion de ces deux accords avec le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord (ci-après la «proposition») ( 4 ) , conformément à l’article 42, paragraphe 1, du règlement (UE) 2018/1725. Les annexes à la proposition contiennent les deux accords.

4. La proposition est fondée sur la procédure prévue aux articles 217, à l’article 218, paragraphes 6 et 7, et à l’article 218, paragraphe 8, second alinéa, du traité sur le fonctionnement de l’Union européenne (TFUE). Elle nécessite donc l’approbation du Parlement européen,

5. L’accord relatif aux procédures de sécurité pour l’échange d’informations classifiées et leur protection ne soulève pas de commentaires en ce qui concerne la protection des données à caractère personnel. Les observations suivantes portent donc sur l’accord de commerce et de coopération. L’ACC se compose de sept parties (plus diverses annexes et trois protocoles): première partie sur les dispositions communes et institutionnelles; deuxième partie sur le commerce (y compris le commerce numérique), les transports, la pêche et d’autres arrangements; troisième partie sur la coopération policière et judiciaire en matière pénale; quatrième partie sur la coopération thématique; cinquième partie sur la participation aux programmes de l’Union, la bonne gestion financière et les dispositions financières; sixième partie sur le règlement des différends et les dispositions horizontales et septième partie sur les dispositions finales.

4. CONCLUSIONS

37. Le CEPD se félicite des accords conclus entre l’UE et le Royaume-Uni sur le commerce et la coopération et sur les procédures de sécurité pour l’échange d’informations classifiées et leur protection. Il se réjouit tout particulièrement du fait que l’un des éléments essentiels de l’ACC soit le respect et la sauvegarde des droits de l’homme. Il se félicite également de l’engagement pris par les Parties à l’ACC d’assurer un niveau élevé de protection des données à caractère personnel.

38. toutefois, s’agissant du commerce, les modifications apportées aux dispositions horizontales adoptées par la Commission européenne, combinées à d’autres dispositions de l’ACC, jettent le doute, dans le domaine du commerce numérique, quant à la préservation de l’autonomie de l’UE en ce qui concerne les droits fondamentaux à la protection des données et de la vie privée. Le CEPD recommande donc que la formulation convenue avec le Royaume-Uni sur la protection des données et de la vie privée demeure l’exception et ne serve pas de base à de futurs accords commerciaux avec d’autres pays tiers. Afin que cette approche soit limpide pour toutes les parties prenantes et tous les partenaires commerciaux, le CEPD invite la Commission à réaffirmer clairement son engagement à l’égard des dispositions horizontales, qui constituent la seule base des futurs accords commerciaux que conclura l’UE avec d’autres pays tiers, et à redire que les droits à la protection des données à caractère personnel et de la vie privée ne sont pas négociables.

39. S’agissant de la coopération policière et judiciaire en matière pénale, le CEPD félicite la Commission pour les garanties introduites dans l’ACC en ce qui concerne la protection des données, dont l’importance est d’autant plus grande en raison du caractère sensible de cette coopération. Il regrette toutefois que l’accord ne contienne ni une catégorisation des personnes concernées telle que celle prévue à l’article 6 de la directive relative à la protection des données dans le domaine répressif, ni des garanties plus détaillées et plus solides concernant les transferts ultérieurs. Tout en se réjouissant du fait que les dispositions PNR reflètent l’avis 1/15 de la CJUE, le CEPD déplore qu’il n’ait pas été possible de trouver un accord sur une période de transition plus courte pour l’effacement des données PNR et sur une liste commune définissant les formes graves de criminalité. Il recommande également de faire en sorte que toute modification ultérieure aboutissant à des garanties supplémentaires dans le cadre de l’arrêt Prüm entre les États membres soit pleinement reflétée dans l’accord et effectivement mise en œuvre par les deux Parties et déplore que les dispositions spécifiques de l’UE relatives à la limitation des finalités, à l’exactitude, à la pertinence actuelle et au délai de conservation des données n’aient pas été reprises dans l’ACC.

40. En ce qui concerne le mécanisme passerelle, le CEPD souligne qu’il devrait rester l’exception et ne pas constituer un précédent pour de futurs accords de commerce et de coopération avec d’autres pays tiers.

41. Le CEPD s’attend à être consulté sur toute proposition ou recommandation au Conseil, conformément à l’article 218 TFUE, concernant l’ouverture de négociations en vue de tout accord complémentaire ultérieur ayant une incidence sur la protection des droits et libertés des personnes physiques à l’égard du traitement de données à caractère personnel.

42. Enfin, l’ACC semble se fonder sur l’hypothèse que des décisions d’adéquation au titre du RGPD et de la directive relative à la protection des données dans le domaine répressif seront adoptées (et resteront en vigueur dans un avenir prévisible). Le CEPD tient donc à rappeler la recommandation formulée dans son avis 2/2020, selon laquelle l’Union prend des mesures afin de parer à toutes les éventualités, y compris l’absence totale de décision d’adéquation ou l’adoption d’une telle décision uniquement dans certains domaines.

Bruxelles, le 22 février 2021. Wojciech Rafał WIEWIÓROWSKI

(1) Voir la décision (UE) 2020/2252 du Conseil du 29 décembre 2020 relative à la signature, au nom de l’Union, et à l’application provisoire de l’accord de commerce et de coopération entre l’Union européenne et la Communauté européenne de l’énergie atomique, d’une part, et le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord, d’autre part, et de l’accord entre l’Union européenne et le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord relatif aux procédures de sécurité pour l’échange d’informations classifiées et leur protection (JO L 444 du 31.12.2020, p. 2), et les accords (JO L 444 du 31.12.2020, p. 14 et p. 1463). En outre, la Communauté européenne de l’énergie atomique (Euratom) et le Royaume-Uni ont négocié un accord de coopération relatif aux utilisations sûres et pacifiques de l’énergie nucléaire. Voir la décision (Euratom) 2020/2253 du Conseil du 29 décembre 2020 portant approbation de la conclusion, par la Commission européenne, de l’accord de coopération entre le gouvernement du Royaume-Uni de Grande-Bretagne et d’Irlande du Nord et la Communauté européenne de l’énergie atomique relatif aux utilisations sûres et pacifiques de l’énergie nucléaire ainsi que de la conclusion, par la Commission européenne, au nom de la Communauté européenne de l’énergie atomique, de l’accord de commerce et de coopération entre l’Union européenne et la Communauté européenne de l’énergie atomique, d’une part, et le Royaume-Uni de Grande-Bretagne et d’Irlande du Nord, d’autre part (JO L 444 du 31.12.2020, p. 11).

(2) Voir la décision du Conseil du 29 décembre 2020 relative à la signature, au nom de l’Union, et à l’application provisoire de l’ACC entre l’UE et le Royaume-Uni et l’accord relatif aux procédures de sécurité des informations. Voir également l’avis concernant l’application provisoire des deux accords (JO L 1 du 1.1.2021, p. 1).

(3) Il se compose de représentants de l’Union et du Royaume-Uni et est coprésidé par un membre de la Commission et un représentant du gouvernement britannique. La Commission représente l’Union. Chaque État membre est autorisé à désigner un représentant pour accompagner la délégation de l’Union.

(4) COM(2020)856.