Les règles de l’Union en matière de protection des données ont évolué depuis l’adoption de la décision 2005/671/JAI du Conseil. En particulier, comme indiqué plus haut, sur la base de l’article 16, paragraphe 2, du TFUE, le Parlement européen et le Conseil ont adopté la directive en matière de protection des données dans le domaine répressif, qui est entrée en vigueur le 6 mai 2016. La directive en matière de protection des données dans le domaine répressif est un instrument horizontal complet de protection des données. Il est important de noter qu’elle concerne toutes les opérations de traitement effectuées par les autorités compétentes à des fins répressives (nationales et transfrontalières).

Depuis 2005, l’importance du partage d’informations entre les États membres et avec Europol et Eurojust est devenue de plus en plus manifeste. La directive (UE) 2017/541 relative à la lutte contre le terrorisme a modifié la décision 2005/671/JAI du Conseil afin de veiller à ce que les informations soient partagées efficacement et en temps utile entre les États membres, compte tenu de la menace grave que posent les infractions terroristes.

Dans ce contexte, la décision 2005/671/JAI du Conseil prévoit que les États membres sont tenus de recueillir toutes les informations pertinentes concernant les enquêtes pénales conduites dans le cadre d’infractions terroristes qui intéressent ou sont susceptibles d’intéresser deux ou plusieurs États membres et de les transmettre à Europol. Les États membres doivent également recueillir toutes les informations pertinentes concernant les poursuites et les condamnations pour infractions terroristes qui intéressent ou sont susceptibles d’intéresser deux ou plusieurs États membres et les transmettre à Eurojust. Chaque État membre doit également mettre à disposition toutes les informations pertinentes recueillies par ses autorités compétentes dans le cadre d’enquêtes pénales portant sur des infractions terroristes. Ces informations doivent être rapidement mises à la disposition des autorités compétentes d’un autre État membre lorsqu’elles sont susceptibles d’être utilisées à des fins de prévention et de détection d’infractions terroristes, d’enquêtes ou de poursuites en la matière.

La décision 2005/671/JAI du Conseil du 20 septembre 2005 relative à l’échange d’informations et à la coopération concernant les infractions terroristes dispose que, pour lutter contre le terrorisme, il est essentiel de disposer d’informations aussi complètes et actualisées que possible. La persistance et la complexité de la menace terroriste donnent lieu à davantage d’échanges d’informations.

Afin de lutter de manière effective contre le terrorisme, il est indispensable que les informations que les autorités compétentes jugent utiles aux fins de la prévention et de la détection des infractions terroristes, ainsi que des enquêtes ou des poursuites en la matière, soient échangées de manière efficace entre les autorités compétentes et les agences de l’Union. Cet échange d’informations doit s’effectuer dans le plein respect du droit à la protection des données et dans le respect des conditions fixées par la directive en matière de protection des données dans le domaine répressif.

L’article 62, paragraphe 6, de la directive en matière de protection des données dans le domaine répressif impose à la Commission de réexaminer, au plus tard le 6 mai 2019, d’autres actes juridiques de l’UE qui régissent le traitement des données à caractère personnel par les autorités compétentes à des fins répressives. L’objectif de ce réexamen est d'apprécier la nécessité de mettre ces actes en conformité avec la directive et de formuler des propositions en vue de modifier ces actes pour assurer une approche cohérente de la protection des données dans le cadre de ladite directive.

La directive (UE) 2016/680 (directive en matière de protection des données dans le domaine répressif) est entrée en vigueur le 6 mai 2016 et les États membres avaient jusqu’au 6 mai 2018 pour la transposer en droit national. Elle a abrogé et remplacé la décision-cadre 2008/977/JAI du Conseil. Son champ d’application est très complet, étant donné qu’il s’agit du premier instrument qui adopte une approche globale du traitement des données à des fins répressives. Elle vise le traitement national et transfrontalier des données à caractère personnel effectué par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière et d'exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces.

Pour définir les catégories de données à traiter, de nouveaux alinéas sont ajoutés à l’article 2 de la décision du Conseil par l’intermédiaire de l’article 1er, paragraphe 2, points b) et c), de la proposition, lesquels précisent que les catégories de données à caractère personnel pouvant être échangées avec Europol doivent être celles précisées dans le règlement Europol et que les catégories de données à caractère personnel pouvant être échangées entre les États membres à des fins de prévention et de détection des infractions terroristes, d’enquêtes et de poursuites en la matière sont celles prévues par les législations nationales respectives.

Afin de définir les finalités du traitement des données à caractère personnel, l’article 1er, paragraphe 2, point a), de la proposition introduit un nouvel alinéa à l’article 2, paragraphe 3, de la décision du Conseil, lequel précise que les données à caractère personnel sont traitées à des fins de prévention et de détection des infractions terroristes, d’enquêtes et de poursuites en la matière.

La présente proposition vise à modifier une décision du Conseil, qui a été adoptée avant l’entrée en vigueur du traité de Lisbonne en 2009. La base juridique de la décision 2005/671/JAI du Conseil, l’article 34, paragraphe 2, point c), du TUE tel qu’il était applicable en 2005, n’existe plus. Les dispositions pertinentes de la décision 2005/671/JAI établissent, pour les États membres, des obligations similaires à celles d’une directive plutôt que des règles autonomes qui seraient directement applicables. Par conséquent, l’instrument le plus approprié pour modifier cette décision du Conseil en vertu de l’article 16, paragraphe 2, du TFUE est une directive du Parlement européen et du Conseil.

La présente proposition vise à mettre en conformité un acte juridique existant de l’UE avec un acte juridique ultérieur de l’UE, comme le prévoit ce dernier, sans en modifier le champ d’application. Conformément au principe de proportionnalité, pour atteindre les objectifs fondamentaux consistant à assurer un niveau élevé de protection des personnes physiques en ce qui concerne le traitement des données à caractère personnel et la libre circulation de ces données dans l’ensemble de l’UE, il est nécessaire d’établir des règles relatives au traitement des données à caractère personnel par les autorités compétentes des États membres afin de prévenir et de détecter les infractions pénales, d’enquêter en la matière ou de les poursuivre. Parmi ces règles figurent la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. La proposition n'excède pas ce qui est nécessaire pour atteindre les objectifs poursuivis, conformément à l'article 5, paragraphe 4, du traité sur l'Union européenne.

La mise en conformité de la décision 2005/671/JAI du Conseil avec la directive en matière de protection des données dans le domaine répressif est fondée sur l’article 16, paragraphe 2, du TFUE. L’article 16, paragraphe 2, du TFUE permet l’adoption de règles relatives à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes des États membres lorsqu’elles mènent des activités de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière, ou d’exécution de sanctions pénales qui relèvent du champ d’application du droit de l’Union. Il autorise également l’adoption de règles en matière de libre circulation des données à caractère personnel, notamment en ce qui concerne les échanges de données à caractère personnel par les autorités compétentes au sein de l’UE.

La présente proposition de directive tient compte des modifications de la décision 2005/671/JAI découlant de la proposition de règlement relatif à l’échange d’informations numériques dans les affaires de terrorisme, que la Commission a présentée en même temps que la présente proposition. Le règlement proposé fait partie du train de mesures relatif à la numérisation de la justice, élaboré par la Commission à la suite de la communication sur la numérisation de la justice. L'adoption du règlement proposé aura pour conséquence la suppression des dispositions relatives à l’échange d’informations dans les affaires de terrorisme transfrontières concernant Eurojust de la décision 2005/671/JAI et l'intégration de celles-ci dans le règlement Eurojust [règlement (UE) 2018/1727]. Elle entraînera également comme modification indirecte la suppression des références à Eurojust de la décision 2005/671/JAI du Conseil. Une coordination étroite sera nécessaire tout au long du processus législatif afin de veiller à la cohérence des modifications contenues dans cette proposition de règlement et dans la présente proposition de directive.

·préciser que les données à caractère personnel obtenues en vertu de la décision 2005/671/JAI ne peuvent être traitées qu'à des fins de prévention et de détection des infractions pénales, ainsi que d’enquêtes et de poursuites en la matière, conformément au principe de limitation de la finalité;

Proposition de

DIRECTIVE DU PARLEMENT EUROPÉEN ET DU CONSEIL

modifiant la décision 2005/671/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l’Union relatives à la protection des données à caractère personnel

LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L'UNION EUROPÉENNE,

vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16, paragraphe 2,

vu la proposition de la Commission européenne,

après transmission du projet d’acte législatif aux parlements nationaux,

statuant conformément à la procédure législative ordinaire,

considérant ce qui suit:

(1)La directive (UE) 2016/680 du Parlement européen et du Conseil établit des règles harmonisées pour la protection et la libre circulation des données à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. La directive impose à la Commission de réexaminer d'autres actes juridiques pertinents adoptés par l'Union afin d’évaluer la nécessité de les mettre en conformité avec ladite directive et de formuler, le cas échéant, des propositions de modification de ces actes afin de garantir une approche cohérente de la protection des données à caractère personnel relevant du champ d’application de ladite directive.

(2)La décision 2005/671/JAI du Conseil établit des règles spécifiques relatives à l’échange d’informations et à la coopération concernant les infractions terroristes. Afin de garantir une approche cohérente de la protection des données à caractère personnel dans l’Union, il convient de modifier ladite décision afin de la mettre en conformité avec la directive (UE) 2016/680. En particulier, cette décision devrait préciser, d’une manière compatible avec la directive (UE) 2016/680, la finalité du traitement des données à caractère personnel et les catégories de données à caractère personnel qui peuvent être échangées, conformément aux exigences de l’article 8, paragraphe 2, de la directive (UE) 2016/680, en tenant dûment compte des besoins opérationnels des autorités concernées.

(3)Dans un souci de clarté, il convient de mettre à jour les références aux instruments juridiques régissant le fonctionnement de l’Agence de l’Union européenne pour la coopération des services répressifs (Europol) qui sont contenues dans la décision 2005/671/JAI.

(4)Conformément à l’article 6 bis du protocole n° 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, l’Irlande est liée par la décision 20005/671/JAI et, dès lors, participe à l’adoption de la présente directive.

(5)Conformément aux articles 1er et 2 du protocole nº 22 sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption de la présente directive et n’est pas lié par celle-ci ni soumis à son application.

(6)Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42 du règlement (UE) 2018/1725 du Parlement européen et du Conseil et a rendu un avis le XX/XX 20XX,

ONT ADOPTÉ LA PRÉSENTE DIRECTIVE:

Article premier

La décision 2005/671/JAI est modifiée comme suit:

(1)À l’article 1er, le point b) est supprimé.

(2)L’article 2 est modifié comme suit: