Résumé de l'avis du contrôleur européen de la protection des données sur les propositions de décisions du Conseil relatives à la signature et à la conclusion de l’accord entre l’Union européenne, d’une part, et la Nouvelle-Zélande, d’autre part, sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités néo-zélandaises compétentes pour lutter contre les formes graves de criminalité et le terrorisme

[Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu]

(2022/C 262/05)

Le 13 mai 2022, la Commission européenne a publié deux propositions de décisions du Conseil relatives à la signature et à la conclusion, au nom de l’Union européenne, de l’accord entre l’Union européenne, d’une part, et la Nouvelle-Zélande, d’autre part, sur l’échange de données à caractère personnel entre Europol et les autorités néo-zélandaises compétentes pour lutter contre les formes graves de criminalité et le terrorisme. L’accord a pour objectif d’autoriser le transfert de données à caractère personnel entre Europol et les autorités compétentes de Nouvelle-Zélande, tout en apportant des garanties appropriées au regard des droits de l’homme et des libertés fondamentales des personnes, y compris la protection de la vie privée et des données.

Le CEPD a déjà eu l’occasion de formuler des observations sur l’échange de données à caractère personnel entre Europol et les services répressifs néo-zélandais dans son avis 1/2020 sur le mandat de négociation du présent accord. Le CEPD y notait que la Nouvelle-Zélande disposait d’une législation nationale bien établie en matière de protection des données et d’une autorité indépendante chargée de la protection des données, compétente pour superviser également les autorités répressives. Dans le même temps, le CEPD formulait plusieurs recommandations supplémentaires afin de clarifier et, le cas échéant, de développer davantage les garanties et les contrôles en ce qui concerne la protection des données à caractère personnel, en particulier pour ce qui est du champ d’application de l’accord, du principe de limitation de la conservation et de la fourniture d’informations aux personnes concernées.

Le CEPD note avec satisfaction que ses recommandations ont été prises en compte au cours des négociations et qu’elles ont ensuite été reprises dans le texte final de l’accord, respectivement à l’annexe I, à l’article 13 et à l’article 26.

À la lumière de ce qui précède, le CEPD estime que l’accord présenté entre l’Union européenne et la Nouvelle-Zélande sur l’échange de données à caractère personnel entre Europol et les autorités néo-zélandaises compétentes pour lutter contre les formes graves de criminalité et le terrorisme offre des garanties suffisantes en ce qui concerne la protection de la vie privée et des libertés et droits fondamentaux des personnes. En outre, il peut également servir de modèle pour de futurs accords sur l’échange de données à caractère personnel à des fins répressives.

Dans le même temps, le CEPD rappelle les modifications récemment convenues du règlement Europol, qui auront une incidence, notamment, sur le cadre de protection des données applicable à Europol. À cet égard, le CEPD souligne qu’Europol devra appliquer l’accord sur l’échange de données à caractère personnel avec les autorités compétentes néo-zélandaises dans le plein respect de son cadre juridique actualisé, et en particulier des garanties juridiques pour la protection des personnes physiques à l’égard du traitement de leurs données à caractère personnel, figurant au chapitre IX du RPDUE et dans le règlement Europol modifié.

En particulier, l’obligation incombant à Europol, en vertu de l’article 26 de l’accord envisagé, de mettre à la disposition du public un document énonçant, sous une forme intelligible, les dispositions relatives au traitement des données à caractère personnel transférées en vertu de l’accord, y compris les moyens disponibles pour l’exercice des droits des personnes concernées, devrait être interprétée et appliquée à la lumière de l’article 79 du RPDUE et de l’obligation pour l’Agence, en tant que responsable du traitement, de mettre à la disposition de la personne concernée ou de lui fournir des informations spécifiques.

1. INTRODUCTION

1. Le 13 mai 2022, la Commission européenne a présenté deux propositions de décisions du Conseil relatives à la signature et à la conclusion, dans l’intérêt de l’Union européenne, de l’accord entre l’Union européenne, d’une part, et la Nouvelle-Zélande, d’autre part, sur l’échange de données à caractère personnel entre l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) et les autorités néo-zélandaises compétentes pour lutter contre les formes graves de criminalité et le terrorisme (les «propositions») ( 1 )

2. L’accord a pour objet de permettre le transfert de données à caractère personnel entre Europol et les autorités néo-zélandaises compétentes, afin d’appuyer et de renforcer l’action des autorités des États membres de l’Union européenne et de celles de la Nouvelle-Zélande, ainsi que leur coopération mutuelle dans la prévention et la lutte contre les infractions pénales, en particulier contre les formes graves de criminalité et le terrorisme, tout en offrant des garanties appropriées concernant les droits de l’homme et les libertés fondamentales des personnes, y compris la protection de la vie privée et des données ( 2 )

3. Les négociations entre la Commission et la Nouvelle-Zélande concernant l’accord se sont déroulées entre avril et novembre 2021 conformément aux directives de négociation adoptées par le Conseil le 13 mai 2020, à la suite de la recommandation de la Commission du 30 octobre 2019 ( 3 )

4. L’accord envisagé s’appuie sur un partenariat étroit existant entre l’Union européenne et la Nouvelle-Zélande. À cet égard, il convient de noter que, dans l’accord de partenariat UE-Nouvelle-Zélande sur les relations et la coopération, signé le 5 octobre 2016, les parties s’engagent à coopérer dans les domaines de l’application de la loi, de la prévention et de la lutte contre la criminalité organisée et la corruption, la drogue, la cybercriminalité, le blanchiment de capitaux, le terrorisme et le financement du terrorisme.

5. Le présent avis du CEPD fait suite aux consultations menées par la Commission européenne le 13 mai 2022, conformément à l’article 42, paragraphe 1, du RPDUE, sur les propositions de décisions du Conseil relatives à la signature et à la conclusion de l’accord. Toutefois, étant donné que les deux propositions concernent le même accord, le présent avis les couvre.

4. CONCLUSIONS

19. À la lumière des considérations qui précèdent, le CEPD émet les observations et recommandations suivantes: (1) l’accord présenté entre l’Union et la Nouvelle-Zélande sur l’échange de données à caractère personnel entre Europol et les autorités néo-zélandaises compétentes pour lutter contre les formes graves de criminalité et le terrorisme prévoit des garanties adéquates en ce qui concerne la protection de la vie privée et des libertés et droits fondamentaux des personnes. À cet égard, il peut également servir de modèle pour de futurs accords sur l’échange de données à caractère personnel à des fins répressives. (2) l’obligation incombant à Europol, en vertu de l’article 26 de l’accord envisagé, de mettre à la disposition du public un document énonçant, sous une forme intelligible, les dispositions relatives au traitement des données à caractère personnel transférées en vertu de l’accord, y compris les moyens disponibles pour l’exercice des droits des personnes concernées, devrait être interprétée et appliquée à la lumière de l’article 79 du RPDUE et de l’obligation pour Europol, en tant que responsable du traitement, de mettre à la disposition de la personne concernée ou de lui fournir des informations spécifiques.

Bruxelles, le 10 juin 2022 Wojciech Rafał WIEWIÓROWSKI

(1) COM(2022) 207 final et COM(2022) 208 final.

(2) Voir l’exposé des motifs des deux propositions, p. 2.

(3) Idem.