FR Journal officiel de l'Union européenne C 164/2

Résumé de l’avis du Contrôleur européen de la protection des données sur la proposition de règlement relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE

[Le texte complet de l’avis en allemand, en anglais et en français est disponible sur le site internet du Contrôleur européen www.edps.europa.eu]

(2017/C 164/02)

L’Union européenne (UE) est en train de promulguer une nouvelle génération de normes en matière de protection des données. L’adoption, il y a près d’un an, du règlement général sur la protection des données et de la directive en matière pénale et judiciaire constitue l’initiative la plus ambitieuse, à ce jour, du législateur de l’UE afin de garantir les droits fondamentaux des personnes à l’ère numérique. Le moment est venu pour les institutions de l’UE de donner l’exemple en ce qui concerne les règles qu’elles s’imposent en tant que responsables du traitement et sous-traitants. Au cours des dix-huit derniers mois, le Contrôleur européen de la protection des données (CEPD) a engagé un dialogue au plus haut niveau avec les institutions de l’UE afin de les préparer aux nouveaux défis liés au respect des exigences en matière de protection des données, en mettant l’accent notamment sur le nouveau principe de responsabilité concernant les modalités de traitement des données. Par le présent avis, le CEPD vise à faire profiter aux institutions de l’UE de ses douze années d’expérience en matière de contrôle indépendant, de conseil stratégique et d’actions de sensibilisation et d’information, en proposant des améliorations à la proposition de règlement relatif au traitement des données à caractère personnel par les institutions et organes de l’Union.

Le règlement (CE) no 45/2001 a servi de précurseur au dispositif actuel en définissant des obligations directement applicables aux responsables du traitement, en instaurant des droits pour les personnes concernées et en créant un organe de surveillance clairement indépendant. L’UE doit désormais garantir le respect du règlement général sur la protection des données (RGPD) en insistant sur la responsabilité et les garanties pour les personnes physiques, plutôt que sur les procédures. De la même façon que le RGPD prévoit des exceptions pour le secteur public, il peut être justifié de s’écarter des règles applicables aux institutions de l’UE en matière de traitement des données, mais de tels écarts doivent être limités au strict minimum.

Il est cependant essentiel, du point de vue des personnes physiques, que les principes communs à l’ensemble du cadre juridique de l’UE en matière de protection des données soient appliqués de façon cohérente, et ce quelle que soit l’identité du responsable du traitement. De même, il est fondamental que le cadre tout entier s’applique en même temps, c’est-à-dire en mai 2018, date limite pour que le RGPD devienne pleinement applicable.

La Commission a consulté le CEPD sur le projet de proposition, dans le cadre de l’accord de longue date conclu entre nos deux institutions. Globalement, nous estimons que la Commission a trouvé un bon équilibre entre les différents intérêts en jeu. Le présent avis expose un certain nombre de domaines dans lesquels la proposition pourrait être encore améliorée. Nous préconisons des améliorations à apporter à la proposition de règlement, notamment en ce qui concerne les limitations des droits de la personne concernée et la possibilité pour les institutions de l’UE de recourir, dans certains contextes, à des mécanismes de certification. En ce qui concerne nos missions et nos pouvoirs en tant qu’organe indépendant, la proposition semble trouver un équilibre raisonnable et tenir compte des fonctions normales d’une autorité de protection des données indépendante aux termes de la Charte des droits fondamentaux, telles que réaffirmées récemment par la jurisprudence de la Cour de justice, que ce soit au regard du contrôle, du traitement des réclamations ou du conseil fourni au législateur sur les politiques touchant à la protection des données et au respect de la vie privée.

Nous invitons le législateur de l’UE à parvenir à un accord sur la proposition le plus rapidement possible, afin de permettre aux institutions de l’UE de bénéficier d’une période de transition raisonnable avant l’entrée en vigueur du nouveau règlement.

1. INTRODUCTION ET CONTEXTE

1.1. Contexte

1. Le 10 janvier 2017, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données, et abrogeant le règlement (CE) no 45/2001 et la décision no 1247/2002/CE (1) (ci-après la «proposition»).

2. Le droit fondamental à la protection des données à caractère personnel est consacré à l’article 8 de la charte des droits fondamentaux de l’Union européenne (la «charte») et à l’article 16 du traité sur le fonctionnement de l’Union européenne (le «TFUE»).

3. Le CEPD est l’autorité de surveillance indépendante chargée de veiller à ce que les institutions, organes et organismes européens (les «institutions de l’UE») respectent la législation en matière de protection des données lors du traitement de données à caractère personnel (2). L’obligation d’assurer un contrôle indépendant dans le cadre du système de protection des données de l’UE est ancrée dans le droit primaire, aussi bien à l’article 16, paragraphe 2, du TFUE qu’à l’article 8, paragraphe 3, de la charte. La Cour de justice a rappelé à de nombreuses reprises que le contrôle exercé par une autorité indépendante est un élément essentiel du droit à la protection des données et a fixé les critères de cette indépendance (3). L’autorité de contrôle doit en particulier agir en toute indépendance, ce qui implique l’indépendance du pouvoir de décision vis-à-vis de toute influence extérieure directe ou indirecte (4) et l’absence de tout soupçon de partialité (5).

4. Le principal acte législatif applicable au traitement de données à caractère personnel par les institutions de l’UE est le règlement (CE) no 45/2001 (6) complété par la décision no 1247/2002/CE (7).

5. Suite à la conclusion, le 27 avril 2016, des longues négociations sur le nouveau cadre de l’UE en matière de protection des données — le RGPD et la directive en matière pénale et judiciaire —, la présente proposition [ainsi que la proposition de règlement relatif à la vie privée et aux communications électroniques de la Commission (le «règlement “vie privée et communications électroniques”» (8)] marque le début d’une phase cruciale dans le processus de construction du cadre européen de protection des données. Elle vise en effet à aligner les dispositions du règlement (CE) no 45/2001 sur les règles prévues par le RGPD afin de mettre en place un cadre de protection des données renforcé et plus cohérent au sein de l’Union, et de faire en sorte que les deux actes législatifs s’appliquent en même temps (9). En outre, la proposition intègre aussi les nouvelles règles de protection des équipements terminaux des utilisateurs finaux énoncées dans la proposition de la Commission relative au nouveau règlement «vie privée et communications électroniques».

6. Dans la stratégie 2015-2019, le CEPD s’est engagé à collaborer avec le Parlement européen, le Conseil et la Commission afin de garantir l’harmonisation des règles actuelles énoncées dans le règlement (CE) no 45/2001 avec le RGPD et l’entrée en vigueur d’un cadre révisé d’ici début 2018 au plus tard. Le CEPD se félicite du fait que la Commission l’ait consulté de manière informelle avant l’adoption de la proposition et que la proposition semble avoir tenu compte de nombreux éléments soulevés dans les contributions informelles produites à ce jour par le CEPD. À moins qu’une définition étroite des spécificités du secteur public de l’UE ne justifie une autre approche, le CEPD estime qu’en l’état actuel, la proposition est plus que satisfaisante en ce sens qu’elle assure un alignement maximal sur le RGPD, et il apprécie tout particulièrement l’équilibre trouvé par la Commission entre les différents intérêts en jeu.

7. Si le présent avis indique un certain nombre de domaines dans lesquels la proposition peut être encore améliorée, le CEPD encourage le législateur de l’UE à trouver un accord sur la proposition le plus rapidement possible, afin de permettre aux institutions de l’UE de bénéficier d’une période de transition raisonnable avant que le nouveau règlement ne devienne pleinement applicable.

1.2. Objectifs de la proposition et calendrier

8. Le CEPD a recommandé par le passé que les règles de fond applicables aux institutions de l’UE soient intégrées dans le projet (à l’époque) de RGPD (10). Le législateur européen a retenu une autre formule, à savoir un acte législatif distinct applicable aux institutions de l’UE, aligné sur le RGPD et applicable en même temps que celui-ci. Le CEPD partage cette approche. En effet, il serait inacceptable que la Commission européenne et les autres institutions de l’UE ne soient pas liées par des règles équivalentes à celles qui entreront bientôt en vigueur au niveau des États membres. En outre, il serait peu souhaitable que le CEPD contrôle l’application par les institutions de l’UE de règles de fond qui seraient inférieures aux règles contrôlées par ses homologues au niveau national, d’autant plus que le CEPD siégera au futur Comité européen de la protection des données (ci-après le «comité») (11).

9. Les futures règles applicables au traitement de données à caractère personnel par les institutions de l’UE devraient donc être alignées sur les dispositions du RGPD, à moins qu’une définition étroite des spécificités du secteur public ne justifie une autre approche. À cet égard, le CEPD se réjouit du considérant 5 de la proposition, qui souligne la nécessité d’assurer un alignement maximal et précise que «[l]orsque les dispositions du présent règlement sont fondées sur le même concept que les dispositions du [RGPD], ces deux dispositions devraient être interprétées de façon homogène, notamment en raison du fait que la structure du présent règlement devrait être considérée comme équivalente à celle du [RGPD]».

10. En revanche, l’alignement sur le RGPD ne saurait être ni total, ni automatique. Le RGPD comporte en effet de nombreuses clauses qui autorisent les États membres à maintenir ou à introduire des lois spécifiques dans certains domaines, y compris en ce qui concerne les autorités publiques (12). Dans les cas où le RGPD prévoit des règles spécifiques pour les autorités publiques (13) ou laisse une certaine marge de manœuvre aux États membres dans la mise en œuvre de ses dispositions, la proposition peut être considérée comme jouant un rôle comparable à celui d’une loi nationale «mettant en œuvre» le RGPD, comme par exemple à l’article 9 «Transmissions de données à caractère personnel à des destinataires autres que les institutions et organes de l’Union» ou à l’article 66 «Amendes administratives» de la proposition (voir section 2.8.1 ci-dessous). En outre, il est important de faire en sorte que le haut niveau de protection dont bénéficient actuellement les institutions de l’UE soit maintenu, d’où la nécessité de maintenir certaines spécificités du règlement (CE) no 45/2001, telles que l’article 25 Limitations (voir section 2.3.1 ci-dessous) et l’article 44 «Désignation d’un délégué à la protection des données» (voir section 2.4.5.1 ci-dessous).

11. Outre l’alignement substantiel sur le RGPD, il est essentiel que les règles révisées deviennent pleinement applicables en même temps que le RGPD, à savoir le 25 mai 2018. Le réseau existant de délégués à la protection des données («DPD») constitue un mécanisme efficace de partage d’informations et de coopération. Par conséquent, le CEPD est persuadé que le respect des règles pourra être garanti à l’issue d’une période de transition relativement courte, par exemple de trois mois.

12. Le principe de responsabilité qui est à la base du RGPD et de la présente proposition va au-delà du simple respect des règles et suppose un véritable changement de culture. Pour accompagner cette transition, le CEPD a lancé un «projet de responsabilité». Dans ce contexte, le CEPD a maintenu des contacts avec sept institutions et organes clés de l’UE tout au long de 2016 et 2017, afin de les aider à se préparer à l’application, le moment venu, du RGPD.

1.3. Champ d’application et rapport avec d’autres actes législatifs

13. Le CEPD a appelé la Commission à plusieurs reprises par le passé à proposer un système robuste et complet, qui soit à la fois ambitieux et qui renforce l’efficacité et la cohérence de la protection des données dans l’UE, afin de garantir un environnement harmonieux qui permette de poursuivre le développement de la protection des données dans les années à venir (14). La Commission a retenu une approche différente et a proposé un acte législatif distinct pour la protection des données dans le domaine de la répression et de l’application des lois (15). Un certain nombre de propositions d’actes législatifs introduisant des régimes de protection des données séparés et «autonomes» ont ainsi été formulées dans le cadre de cette approche (16).

14. Le CEPD reconnaît que, bien que fragmenté, l’actuel cadre juridique en matière de protection des données à caractère personnel constitue la meilleure solution possible aujourd’hui (17). Le CEPD croit comprendre que la présente proposition continuerait de s’appliquer aux institutions de l’UE qui relèvent actuellement du champ d’application du règlement (CE) no 45/2001 (18) [pour l’essentiel, toutes les institutions et tous les organes et organismes relevant des anciens 1er et 2e«piliers» (19)], mais qu’elle n’affecterait pas les régimes «autonomes» existants ou en cours de constitution (20). La présente proposition n’aurait un impact sur ces régimes que si, et dans la mesure où, cela est explicitement prévu dans l’acte législatif pertinent. Le CEPD prend acte de cette approche mais suggère que celle-ci soit formulée de façon plus explicite dans le préambule de la proposition, voire également dans son article 2 «Champ d’application». De même, le CEPD tient à souligner que la question de la fragmentation et de la complexité croissante du cadre juridique régissant les traitements de données effectués par les différentes institutions de l’UE relevant des anciens premier et troisième «piliers» ne constitue pas un résultat entièrement satisfaisant, et que le législateur européen devra peut-être se pencher sur cette question à moyen terme.

15. Le règlement (CE) no 45/2001 prévoit des mesures qui visent à assurer la protection de la vie privée et de la confidentialité des communications dans les cas où les institutions de l’UE sont chargées de contrôler les infrastructures servant à la communication. À cette fin, il comporte des dispositions couvrant certaines parties du champ d’application réglementaire de la directive 2002/58/CE (la «directive “vie privée et communications électroniques”») (21), et instaure le principe selon lequel les règles relatives à la protection des droits fondamentaux devraient être appliquées de manière cohérente et harmonieuse dans toute l’Union, en faisant référence aux actes pertinents, comme la directive sur la vie privée et les communications électroniques (22). La nécessité de garantir le même niveau de respect de la vie privée et de confidentialité pour toutes les communications impliquant des institutions de l’UE demeure inchangée, et par conséquent, le principe d’une application cohérente et harmonieuse devrait être maintenu. Le CEPD considère donc que la proposition devrait veiller à ce que les règles pertinentes du RGPD et du futur règlement «vie privée et communications électroniques» s’appliquent mutatis mutandis aux institutions de l’UE. Cela devrait concerner aussi bien la préservation de la confidentialité et du respect de la vie privée à l’égard des services de communication contrôlés par les institutions de l’UE, que les autres principes du futur règlement «vie privée et communications électroniques», comme la protection des appareils terminaux et d’autres règles, par exemple concernant la localisation et le spam.

16. Enfin, si la législation européenne relative à la protection des données s’applique également à l’Espace économique européen, et si les pays membres de l’AELE sont tenus d’établir des autorités de surveillance indépendantes conformément au RGPD, les institutions de l’AELE ne sont, quant à elles, soumises à aucune surveillance particulière ni à aucune règle de protection des données, bien qu’elles échangent des données à caractère personnel avec des institutions de l’UE. Le CEPD considère que la présente proposition pourrait être l’occasion de traiter ce sujet.

3. CONCLUSIONS

90. Dans l’ensemble, le CEPD considère que la proposition parvient à aligner les règles applicables aux institutions de l’UE sur le RGPD, tout en tenant compte des spécificités du secteur public européen. Le haut niveau de protection concernant les traitements de données effectués par les institutions de l’UE est globalement maintenu dans la proposition. Le CEPD apprécie particulièrement l’équilibre trouvé par la Commission entre les différents intérêts en jeu.

91. Le CEPD estime que la proposition devrait être encore améliorée, notamment en ce qui concerne les modalités des limitations visées à l’article 25. Afin de garantir le respect des exigences susmentionnées relatives à la qualité du droit, l’article 25, paragraphe 1, de la proposition devrait être modifié de façon à ce que seuls les actes législatifs adoptés sur la base des traités soient en mesure de limiter les droits fondamentaux, imposant ainsi aux institutions de l’UE les mêmes normes que celles qui s’appliqueraient aux États membres au titre du RGPD. Dans la mesure où des limitations de l’article 34 «Confidentialité des communications électroniques» sont envisagées, le CEPD invite le législateur européen à veiller à ce que les éventuelles limitations du droit fondamental au respect de la confidentialité des communications imposées par les institutions de l’UE, dans le cadre de leurs activités, respectent les mêmes normes que celles prévues par le droit de l’Union, tel qu’interprété par la Cour de justice dans ce domaine.

92. Le CEPD se réjouit du fait que la proposition comprenne un article séparé dédié à la mission du CEPD en tant que conseiller des institutions de l’UE (article 42 de la proposition). Il craint toutefois que le libellé «[à] l’issue de l’adoption de propositions» [contre «[l]orsqu’elle adopte une proposition de législation» à l’article 28, paragraphe 2, du règlement (CE) no 45/2001] ne remette en cause l’engagement de longue date de la Commission européenne de consulter le CEPD, de manière informelle, sur les projets de proposition, généralement au stade de la consultation interservices. Vu l’importance de la consultation informelle, le CEPD se féliciterait d’un considérant dans lequel la Commission réaffirmerait son engagement en faveur de cette pratique établie de longue date. Il serait également favorable à ce que la proposition maintienne le libellé de l’article 28, paragraphe 2, du règlement (CE) no 45/2001 («lorsqu’elle adopte»), lequel permet une plus grande marge de manœuvre à cet égard. Le CEPD considère que l’article 42, tel qu’il est proposé, apporte suffisamment de précisions au sujet des missions respectives du CEPD et du comité pour éviter toute duplication inutile à l’avenir.

93. Il estime que la possibilité d’externaliser la fonction de DPD ne convient pas aux institutions de l’UE chargées d’exercer l’autorité publique. Par conséquent, l’alternative prévue à l’article 44, paragraphe 4 («ou exercer ses missions sur la base d’un contrat de service»), devrait être supprimée.

94. Le CEPD se réjouit de l’article 66 de la proposition, qui accorderait au CEPD le pouvoir d’imposer des amendes administratives. Il considère que le fait de priver l’autorité de contrôle de l’UE de la possibilité d’imposer des amendes administratives, le cas échéant, permettrait aux institutions de l’UE de bénéficier d’une position privilégiée par rapport aux institutions publiques de nombreux États membres.

95. Le CEPD estime que les mécanismes de certification, qui sont déjà utilisés dans certains contextes, par exemple pour certifier le respect de normes généralement admises, pourraient représenter un instrument très utile pour les institutions de l’UE. En conséquence, des références au recours à la certification (mais pas aux codes de conduite) devraient être ajoutées à l’article 26 «Responsabilité du responsable du traitement», à l’article 27 «Protection des données dès la conception et protection des données par défaut», ainsi qu’à l’article 33 «Sécurité».

96. Si le présent avis souligne un certain nombre de domaines dans lesquels la proposition pourrait être encore améliorée, le CEPD encourage le législateur de l’UE à trouver un accord sur la proposition le plus rapidement possible, afin de permettre aux institutions de l’UE de bénéficier d’une période de transition raisonnable avant que le nouveau règlement ne devienne applicable en même temps que le RGPD, en mai 2018.

Bruxelles, le 15 mars 2017. Giovanni BUTTARELLI Contrôleur européen de la protection des données

(1) COM(2017) 8 final; 2017/0002 (COD) (la «proposition»).

(2) L’article 286 CE a fait en sorte que les règles (à l’époque) communautaires relatives à la protection des données s’appliquent aux institutions et aux organes de l’UE et a encouragé la création d’une autorité de surveillance indépendante dédiée (devenue le CEPD).

(3) Affaires C-518/07, Commission/Allemagne, EU:C:2010:125; C-614/10, Commission/Autriche, EU:C:2012:631; C-288/12, Commission/Hongrie, EU:C:2014:237; C-362/14, Maximilian Schrems/Commissaire à la protection des données, ECLI:EU:C:2015:650.

(4) Affaire C-518/07, Commission/Allemagne, précitée, point 19.

(5) Affaire C-288/12, Commission/Hongrie, précitée, point 53.

(6) Voir note 3 ci-dessus.

(7) Décision no 1247/2002/CE du Parlement européen, du Conseil et de la Commission du 1er juillet 2002 relative au statut et aux conditions générales d’exercice des fonctions de contrôleur européen de la protection des données (JO L 183 du 12.7.2002, p. 1).

(8) Proposition de règlement du Parlement européen et du Conseil concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques et abrogeant la directive 2002/58/CE (règlement «vie privée et communications électroniques») [COM(2017) 10 final, 2017/0003 (COD)].

(9) Voir article 98 et considérant 17 du RGPD.

(10) Voir, notamment, avis du CEPD du 7 mars 2012 sur le paquet de mesures pour une réforme de la protection des données (JO C 192 du 30.6.2012, p. 7).

(11) Avis du CEPD du 7 mars 2012 sur le paquet de mesures pour une réforme de la protection des données, p. 6.

(12) Voir, en particulier, article 6, paragraphe 3, et considérant 10 du RGPD: «En ce qui concerne le traitement de données à caractère personnel nécessaire au respect d’une obligation légale, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, il y a lieu d’autoriser les États membres à maintenir ou à introduire des dispositions nationales destinées à préciser davantage l’application des règles du présent règlement. Parallèlement à la législation générale et horizontale relative à la protection des données mettant en œuvre la directive 95/46/CE, il existe, dans les États membres, plusieurs législations sectorielles spécifiques dans des domaines qui requièrent des dispositions plus précises. Le présent règlement laisse aussi aux États membres une marge de manœuvre pour préciser ses règles, y compris en ce qui concerne le traitement de catégories particulières de données à caractère personnel (ci-après dénommées “données sensibles”). À cet égard, le présent règlement n’exclut pas que le droit des États membres précise les circonstances des situations particulières de traitement y compris en fixant de manière plus précise les conditions dans lesquelles le traitement de données à caractère personnel est licite.»

(13) Par exemple, dernière phrase de l’article 6, paragraphe 1, de l’article 20, paragraphe 5, des articles 27, 37 et 41 ou de l’article 46, paragraphe 2, point a), du RGPD.

(14) Voir, en particulier, avis du CEPD du 14 janvier 2011 sur la communication «Une approche globale de la protection des données à caractère personnel dans l’Union européenne» (JO L 181 du 22.6.2011, p. 1).

(15) Voir note 5 ci-dessus.

(16) Proposition de règlement du Parlement européen et du Conseil relatif à l’Agence de l’Union européenne pour la coopération et la formation des services répressifs (Europol) et abrogeant les décisions 2009/371/JAI et 2005/681/JAI [COM(2013) 173 final], désormais adoptée en tant que règlement (UE) 2016/794 et publiée dans le JO L 135 du 24.5.2016, p. 53; proposition de règlement du Conseil portant création du Parquet européen [COM(2013) 534 final]. Voir également la position générale du Conseil [en première lecture] sur la proposition de règlement relatif à l’Agence de l’Union européenne pour la coopération judiciaire en matière pénale (Eurojust), consultable à l’adresse suivante: http://data.consilium.europa.eu/doc/document/ST-6643-2015-INIT/fr/pdf

(17) Avis du CEPD 3/2015 «Une grande opportunité pour l’Europe — Recommandations du CEPD relatives aux options de l’UE en matière de réforme de la protection des données», consultable à l’adresse suivante: https://secure.edps.europa.eu/EDPSWEB/webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-10-09_RGPD_with_addendum_EN.pdf

(18) Voir la liste des institutions et organes de l’UE, consultable à l’adresse suivante: http://publications.europa.eu/code/fr/fr-390500.htm

(19) Le règlement (UE) no 45/2001 s’applique déjà, entre autres, à l’Agence européenne de défense, à l’Institut d’études de sécurité de l’Union européenne et au Centre satellitaire de l’Union européenne.

(20) Europol, Eurojust, EPPO, note 21 ci-dessus.

(21) Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive sur la vie privée et les communications électroniques) (JO L 201 du 31.7.2002, p. 37), telle que modifiée (la «directive “vie privée et communications électroniques”»).

(22) Considérants 10 à 12 de la directive «vie privée et communications électroniques».