1. adresse au Conseil les recommandations suivantes:
a) faire établir, dans le cadre de la coopération entre polices nationales à l'échelon européen, en
collaboration avec Europol et compte tenu des résultats de la coopération entre services de rensei-gnements dans le domaine de la lutte contre le terrorisme, une analyse réaliste du risque quiservirait de base à une action sérieuse de l'Union européenne;
b) communiquer au Parlement, sous une forme appropriée, les conclusions générales — et, partant,
publiables — de cette analyse, afin que celui-ci dispose d'une base rationnelle pour ses éventuelles
délibérations budgétaires;
c) engager, à la lumière des résultats de cette analyse, les initiatives législatives nécessaires pour
l'adoption des mesures à prendre face au risque d'attentats par des agents biologiques et chimi-
ques;
2. charge son Président de transmettre la présente recommandation au Conseil et, pour information, à
la Commission.
P5_TA(2004)0141
Protection des données
Résolution du Parlement européen sur le premier rapport sur la mise en œuvre de la directiverelative à la protection des données (95/46/CE) (COM(2003) 265 — C5-0375/2003 —
2003/2153(INI))
Le Parlement européen ,
— vu le premier rapport sur la mise en œuvre de la directive relative à la protection des données
(95/46/CE) (COM(2003) 265 — C5-0375/2003)
— vu les dispositions du droit international qui protègent le droit à la vie privée et, en particulier, l'article
12 de la Déclaration universelle des droits de l'homme, du 10 décembre 1948, l'article 17 du Pacteinternational relatif aux droits civils et politiques, du 1 6 décembre 1 966, ainsi que l'article 8 de la
Convention de sauvegarde des droits de l'homme et des libertés fondamentales (
1), du 4 novembre
1950, la Convention pour la protection des personnes à l'égard du traitement automatisé des données
à caractère personnel (2), du 28 janvier 1981, et les recommandations du Conseil de l'Europe,
— vu l'article 6 du traité UE sur le respect des droits de l'homme et des libertés fondamentales et l'article
286 du traité CE ainsi que les articles 7 et 8 de la Charte des droits fondamentaux de l'Union euro-péenne consacrés, respectivement, au respect de la vie privée et familiale et à la protection des don-
nées personnelles,
— vu les dispositions du droit communautaire qui protègent le droit à la vie privée et organisent la
protection des données, en particulier la directive 95/46/CE du Parlement européen et du Conseil du
24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à
caractère personnel et à la libre circulation de ces données (
3), ainsi que la directive 2002/58/CE du
Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère
personnel et la protection de la vie privée dans le secteur des communications électroniques (directivevie privée et communications électroniques) (
4),
(1) STE no005.
(2) STE no108.
(3) JO L 281 du 23.1 1.1995, p. 31.
(4) JO L 201 du 31.7 .2002, p. 37 .28.4.2004 FR C 102 E/147 Journal officiel de l'Union européenne
Mardi, 9 mars 2004
— vu les autres instruments de l'Union européenne pour la protection des données dans le domaine du
troisième pilier et, notamment, le projet de la présidence grecque sous la forme d'un document detravail sur les règles communes de protection des données personnelles dans le cadre du troisièmepilier ainsi que l'engagement du commissaire Vitorino de proposer en 2004 un texte à ce sujet (
1),
— vu les avis du groupe de protection des personnes à l'égard du traitement des données à caractère
personnel institué par l'article 29 de la directive 95/46/CE (groupe «Article 29»),
— vu les documents relatifs au transfert aux États-Unis des données personnelles des passagers trans-
atlantiques, en particulier: les avis du groupe «Article 29», les communications de la Commission, les
Undertakings des États-Unis, l'avis de la commission belge pour la protection de la vie privée sur les
plaintes déposées par certains passagers, la plainte déposée auprès de la Commission pour violation du
règlement (CEE) no2299/89 du Conseil du 24 juillet 1 989 instaurant un code de conduite pour
l'utilisation de systèmes informatisés de réservation (2),
— vu l'arrêt rendu par la Cour de justice le 20 mai 2003 dans l'affaire Österreichischer Rundfunk et
autres (3),
— vu l'article 47 , paragraphe 2, et l'article 1 63 de son règlement,
— vu le rapport de la commission des libertés et des droits des citoyens, de la justice et des affaires
intérieures et les avis de la commission juridique et du marché intérieur et de la commission de
l'industrie, du commerce extérieur, de la recherche et de l'énergie (A5-0104/2004),
A. considérant que le droit à la vie privée est un droit fondamental de l'homme, ainsi que le reconnais-
sent au niveau international, européen ou national tous les principaux instruments légaux garantissant
les libertés et les droits des citoyens,
B. considérant que l'Union européenne a développé un ensemble législatif visant à garantir aux citoyens
le respect de leur vie privée grâce à un haut niveau de protection des données à caractère personneldans les domaines relevant du premier pilier,
C. considérant qu'à cause de la division tripartite actuelle de l'Union européenne, les activités relevant des
second et troisième piliers sont exclues du champ de ces textes et qu'elles ne sont que partiellement
couvertes par des dispositions spécifiques fragmentées, que le Parlement européen n'est consulté ou
informé que partiellement et que la Cour de justice a des compétences limitées en la matière,
D. considérant que la directive 95/46/CE demande à la Commission de faire périodiquement un rapport
au Parlement européen et au Conseil sur son application et de l'assortir, le cas échéant, des proposi-
tions de modification appropriées,
E. considérant qu'après les attentats de septembre 2001, des mesures ont été adoptées ou préparées au
niveau national, européen ou international afin d'accroître la sécurité en modifiant le droit à la vieprivée et la protection des données personnelles,
F. considérant que les transferts de données à des pays tiers ou à des organisations constituent un sujet
particulier de préoccupation, non seulement en raison des disparités entre les législations des États
membres, certaines étant trop laxistes et d'autres trop rigides, mais surtout étant donné que l'évalua-
tion contraignante du caractère approprié de la protection offerte par les pays de destination, orientéevers un droit fondamental des citoyens européens, relève de la Commission, en tant qu'organe exécutif,et non du Parlement européen,
(1) Voir le compte rendu in extenso de la réunion du mercredi 19 novembre 2003.
(2) JO L 220 du 29.7 .1 989, p. 1.
(3) Affaires jointes C-465/00, C-138/01 et C-139/01, Rec. p. I-4989.C 102 E/148 FR 28.4.2004 Journal officiel de l'Union européenne
Mardi, 9 mars 2004
G. considérant que des négociations sont toujours en cours entre l'Union européenne et les États-Unis sur
la question du transfert illégal aux États-Unis de données concernant les passagers transatlantiques etque le Parlement européen a demandé à la Commission d'agir conformément à l'article 232 du traité
CE,
H. considérant que la commission belge pour la protection de la vie privée a établi que les données
personnelles de certains passagers transatlantiques, y compris d'un député du Parlement européen,
ont été transférées illégalement aux États-Unis, en violation de la législation belge et des directiveseuropéennes,
I. considérant que le groupe «Article 29» a établi dans son avis sur le transfert aux État-Unis de données
relatives aux passagers transatlantiques que «les progrès accomplis ne permettent pas de parvenir àune solution favorable» et qu'il reste de nombreuses questions à résoudre avant que la Commission
puisse prendre une décision appropriée,
J. considérant que l'Union européenne, ses institutions et les États membres doivent respecter la Charte
des droits fondamentaux de l'Union européenne, en particulier son article 8, la Convention euro-péenne de sauvegarde des droits de l'homme et des libertés fondamentales ainsi que les principesgénéraux du droit international, et que les politiques actuellement mises en œuvre de «rétention d'in-formations» et de transfert de données à des pays tiers risquent d'entraîner de graves violations de cesprincipes,
K. considérant que la Commission et les États membres ainsi que les autorités nationales chargées de la
protection de la vie privée sont compétentes pour l'application effective des législations nationales eteuropéenne sur la protection de la vie privée et pour les sanctions en cas de violations de ces législa-tions,
L. considérant que, sur la question du transfert de données personnelles à des pays tiers, il y a eu viola-
tion flagrante des législations nationales et européenne dans le cas du transfert des données person-nelles de passagers transatlantiques aux autorités chargées de l'application de la législation aux États-
Unis, et que le comportement de la Commission, des États membres ainsi que des autorités chargées
de la protection de la vie privée — en particulier de celles auxquelles la législation nationale confère le
droit d'empêcher le transfert de données — est proche d'une violation de la législation et du principe
de légalité,
M. considérant que, dans une société de l'information rendue planétaire par Internet, l'Union européenne
ne saurait fournir seule les solutions,
Sur la nécessité de compléter et d'étendr e de pilier en pilier le régime européen de respect de la vie privée
et de protection des données personnelles
1. critique les retards gravissimes accumulés par la Commission à cet égard et invite celle-ci à présenter,
avant la mi-2004, comme elle l'a annoncé, «un instrument légal» sur la protection de la vie privée dans le
domaine relevant du troisième pilier, qui soit de nature contraignante, vise à garantir en ce domaine lemême niveau de protection des données personnelles et les mêmes droits à la vie privée que sous le
premier pilier et harmonise à ce haut degré d'exigence les règles de protection des données personnelles
et de la vie privée qui s'appliquent actuellement à l'office européen de police (Europol), à l'unité euro-péenne de coopération judiciaire (Eurojust) et à tous les autres organes ou actions relevant du troisièmepilier, ainsi qu'à tout échange d'informations entre eux ou avec des pays ou des organisations tiers;
2. considère, pour le long terme, que la directive 95/46/CE devra couvrir, après les adaptations néces-
saires, l'ensemble du champ d'activité de l'Union européenne, afin de garantir à la protection des données
personnelles et de la vie privée des règles communes et harmonisées au même haut degré d'exigence;
3. estime que le respect des règles de protection des données personnelles et de la vie privée doit être
garanti par des autorités nationales de contrôle et, au niveau de l'Union, par une autorité commune euro-péenne, devant laquelle les citoyens auront un droit de recours, et par la Cour de justice des Communautés28.4.2004 FR C 102 E/149 Journal officiel de l'Union européenne
Mardi, 9 mars 2004
européennes; estime en outre qu'il doit lui-même être consulté, avec un pouvoir de décision, sur toute
proposition relative à la protection de la vie privée dans l'Union européenne, ou ayant un impact surcelle-ci, telle que, entre autres, les accords internationaux conclus par ses organismes ou la recherche desolutions appropriées (adequacy findings) ;
4. considère que des mesures immédiates devraient être prises afin de faciliter le respect du droit des
citoyens à la vie privée et à la protection de leurs données personnelles (accès aux données, correction,modification, suppression, etc.) par le biais d'une procédure unique auprès des autorités nationales chargéesde la protection de la vie privée en ce qui concerne les informations stockées dans les bases de donnéesnationales et européennes relevant du premier et du troisième pilier;
5. se félicite que la Commission ait procédé à une consultation et à un débat ouverts et approfondis
avec toutes les parties intéressées (gouvernements et autorités de surveillance des États membres, organisa-tions, sociétés, citoyens), sur internet et en dehors, sur l'application de la directive et prend note desrésultats de cette consultation;
Sur la mise en œuvre de la directive relative à la protection des données (95/46/CE)
6. déplore le fait que certains États membres n'aient pas transposé la directive avant l'expiration du délai
fixé au 24 octobre 1998, ce qui a obligé la Commission à engager, le 1 1 janvier 2000, une action contre laFrance, le Luxembourg, les Pays-Bas, l'Allemagne et l'Irlande, mais note que tous les États membres l'on faitdésormais; invite l'Irlande à notifier immédiatement à la Commission sa récente loi de mise en œuvre;regrette aussi que la mise en œuvre tardive de la directive par les États membres et les différences persis-tantes dans les modalités d'application de la directive au niveau national aient empêché les opérateurséconomiques d'en tirer pleinement parti et aient entravé certaines activités transfrontalières au sein de
l'Union européenne;
7 . invite tous les acteurs concernés, institutions européennes, États membres et autorités de contrôle,
ainsi que les agents économiques et sociaux à fournir leur contribution afin de permettre, par leur coo-pération, une mise en œuvre correcte des principes de protection des données personnelles inscrits dans ladirective;
8. partage l'avis de la Commission qu'il n'est pas nécessaire, pour l'instant, de modifier la directive — à
l'exception des dispositions du paragraphe 1 6 — puisque sa mise en œuvre a été longue et que l'expérience
de son application reste très limitée; estime comme elle qu'il faut remédier aux lacunes actuelles dans la
mise en œuvre de la directive par des actions menées au niveau national et communautaire par les Étatsmembres et les autorités de contrôle selon le programme énoncé dans la communication;
9. rappelle que c'est la garantie de la protection des données qui conditionne l'achèvement du marché
intérieur; demande, en ce sens, à la Commission de relever les domaines où les divergences d'interprétation
de la directive entravent le bon fonctionnement du marché intérieur et de lui en faire rapport;
10. partage l'avis de la Commission sur la nécessité qu'après six mois, si la coopération ne produit pas
les résultats escomptés, celle-ci poursuive devant la Cour les États membres manquant ou refusant de seconformer à la directive; estime à ce propos que la Commission doit veiller avec une attention et unedétermination particulières au respect effectif des exceptions juridiques aux dispositions concernant la vie
privée de façon à garantir le respect de la Convention de sauvegarde des droits de l'homme et des libertés
fondamentales et de la jurisprudence en la matière;
Sur la transmission de données personnelles à des organisations ou pays tiers
1 1. se félicite de l'intention de la Commission de simplifier le cadre réglementaire pour les entreprises
dans le domaine des exigences en matière de transferts internationaux de données;C 102 E/150 FR 28.4.2004 Journal officiel de l'Union européenne
Mardi, 9 mars 2004
12. rappelle qu'aucune exception ne peut être tolérée au principe selon lequel les données relevant du
premier pilier ne peuvent être transmises qu'à des organisations ou pays tiers dont le niveau de protectiondes données personnelles est similaire à celui de l'Union européenne;
13. rappelle, notamment à Europol, à Eurojust et aux autres organes relevant du troisième pilier que les
données concernant l'application de la loi ne peuvent être transmises qu'au cas par cas à des pays ou des
organes qui respectent les droits de l'homme et les libertés fondamentales, la démocratie, l'État de droit etles normes européennes de protection des données personnelles, y compris les principes inscrits par le
Conseil de l'Europe dans la recommandation n
oR (87) 15 du Comité des ministres aux États membres
visant à réglementer l'utilisation de données à caractère personnel dans le secteur de la police; demandeen outre à être consulté avant toute transmission de ce type et à en recevoir un compte rendu ensuite;demande instamment à Europol et Eurojust de préciser et de mettre à la disposition des citoyens et duParlement européen les informations nécessaires relatives à l'échange de données, personnelles ou non,
avec des États et des organismes tiers;
14. réaffirme, conformément à l'avis de la commission belge pour la protection de la vie privée, aux avis
du groupe «Article 29», et au rapport du réseau d'experts de l'Union sur les droits de l'homme, que lesrègles de protection des données personnelles de l'Union européenne sont violées chaque fois que, sans
information ni consentement de la personne intéressée, des données personnelles sont directement et sys-
tématiquement transmises ou rendues accessibles à une autorité judiciaire ou à un quelconque service d'unpays tiers, particulièrement si ces données ont été recueillies à d'autres fins et sans autorisation judiciaire,comme c'est le cas quand les autorités américaines accèdent aux données concernant les passagers des volstransatlantiques recueillies sur le territoire de l'Union par les compagnies aériennes et les systèmes élec-troniques de réservation;
15. partage l'avis du groupe «Article 29» concernant le caractère inapproprié, au stade actuel, du régime
de protection de la vie privée aux États-Unis et la dernière version des Undertakings , ainsi que sur les
aspects problématiques qui persistent et pour lesquels les progrès obtenus au cours d'une année de négo-
ciations entre la Commission et les autorités des États-Unis sont absolument insuffisants;
1 6. propose que la directive soit modifiée de façon que l'évaluation du caractère appropriée de la pro-
tection de données personnelles des citoyens européens par un pays tiers dans lequel ces données sontdestinées à être transférées ne puisse être adoptée qu'après approbation par le Parlement européen;
17 . demande que les accords en cours de négociation ou déjà négociés concernant la transmission de
données personnelles entre l'Union européenne et des parties ou des pays tiers garantissent un niveau de
protection des données adéquat et que soit préservé, en tout état de cause, celui garanti par la directive95/46/CE;
Sur les exceptions aux lois relatives à la protection de la vie privée
18. estime que les législations nationales prévoyant la conservation sur une grande échelle de données
concernant les communications entre citoyens à des fins d'application de la loi ne sont pas pleinementconformes aux dispositions de la Convention européenne de sauvegarde des droits de l'homme et des
libertés fondamentales et à la jurisprudence y afférente, puisqu'elles instaurent un empiétement sur le
droit à la vie privée qui n'est pas autorisé par le pouvoir judiciaire, au cas par cas et pour une duréelimitée, qui ne distingue pas de catégories dans la population soumise à surveillance, qui ne respecte pasle secret des correspondances protégées (comme les communications d'avocat à client), qui ne précise pasla nature des délits ni les circonstances qui justifieraient de tels empiétements, lesquels font naître en outrede sérieux doutes quant à leur nécessité pour une société démocratique ou à leur caractère approprié etproportionné, au sens de l'article 15 de la directive 2002/58/CE;
19. demande à la Commission d'élaborer, sur la base de la Convention européenne de sauvegarde des
droits de l'homme et des libertés fondamentales, de la jurisprudence qui en dérive et des directives sur laprotection des données à caractère personnel, un document qui examine le droit à la vie privée et lesexceptions légalement admises à ce droit et invite les institutions européennes à lancer un débat ouvertet public au sujet dudit document;28.4.2004 FR C 102 E/151 Journal officiel de l'Union européenne
Mardi, 9 mars 2004
Autres questions
20. demande aux États membres de respecter les critères sur la clarté juridique et la sécurité juridique
pour une meilleure réglementation lors de la transposition de la directive afin d'éviter toute contrainteinutile pour les entreprises et notamment les PME;
21. insiste sur le fait que la libre circulation des données à caractère personnel est essentielle pour le
bon exercice de la quasi-totalité des activités économiques à l'échelle de l'Union; estime qu'il s'agit dès lorsde résoudre au plus vite ces différences d'interprétation afin de permettre aux organisations multinationales
de définir des politiques paneuropéennes en matière de protection des données;
22. souligne la nécessité pour les États membres et les institutions européennes d'adopter un niveau de
protection des droits fondamentaux et de protection des individus équivalent dans l'application de la direc-tive 95/46/CE et dans l'application du règlement (CE) n
o45/2001 du Parlement européen et du Conseil du
18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données àcaractère personnel par les institutions et organes communautaires et à la libre circulation de ces don-
nées (
1);
23. demande à la Commission européenne d'adopter une approche d'harmonisation de cette directive
avec les autres textes législatifs, telle la proposition de directive du Parlement européen et du Conseil
relative à l'harmonisation des dispositions législatives, réglementaires et administratives des États membres
en matière de crédit aux consommateurs, afin d'éviter les incohérences entre ces propositions;
24. invite les États membres et les autorités de contrôle à créer un environnement moins complexe et
moins pesant pour les responsables du traitement et partage l'avis de la Commission sur la nécessité
d'éviter l'imposition d'exigences qui ne sont pas absolument nécessaires pour maintenir le niveau élevé deprotection garanti par la directive;
25. souligne que la gestion et la protection des données constituent à présent un facteur décisif de
réussite pour les entreprises;
26. partage l'avis de la Commission sur la nécessité d'améliorations permettant aux opérateurs écono-
miques de disposer d'un plus large choix de dispositions contractuelles standards dans le domaine de laprotection des données et qui soient autant que possible basées sur des dispositions proposées par desassociations représentatives des entreprises;
27 . invite les États membres à s'assurer que leurs autorités de contrôle sont dotées des moyens nécessai-
res aux missions prévues par la directive 95/46/CE et qu'elles sont bien indépendantes et autonomes par
rapport aux gouvernements nationaux; souhaite que ces autorités continuent d'accroître leur efficacité etjouent un plus grand rôle tant à leur niveau qu'au niveau européen, au sein du groupe «Article 29», parexemple en contribuant à la mise en œuvre du programme proposé par la Commission et en garantissant
l'application de la législation;
28. déplore que sept États membres — le Portugal, la France, la Belgique, le Luxembourg, les Pays-Bas,
l'Allemagne et la Grèce — n'aient pas respecté le délai de transposition de la directive 2002/58/CE, fixé au31 octobre 2003, et les invite à prendre les mesures nécessaires;
29. demande que la Commission, les États membres et les autorités nationales chargées de la protection
de la vie privée effectuent des évaluations annuelles du respect des législations nationales et européenne en
matière de protection de la vie privée, indépendamment du pilier de référence, en proposant le cas échéantdes modifications de la législation, en les transmettant aux organes — en particulier parlementaires —compétents et en les rendant publiques, en particulier sur Internet;
(1) JO L 8 du 12.1.2001, p. 1.C 102 E/152 FR 28.4.2004 Journal officiel de l'Union européenne
Mardi, 9 mars 2004
30. s'inquiète des développements du système d'information Schengen (SIS) et des plans du Conseil
prévoyant que le système SIS II devrait permettre l'ajout de nouveaux niveaux d'alerte (personnes et objets),de nouveaux secteurs, une interrelation entre les alertes, la modification de la durée de la mise en mémoirede ces alertes ainsi que l'enregistrement et le transfert de données biométriques, principalement des photo-graphies et des empreintes digitales ainsi que l'accès à de nouvelles autorités, à savoir Europol, Eurojust etles autorités judiciaires nationales, le cas échéant, à des fins autres que celles définies initialement, telles quela transmission de mandats d'arrêt européens; déplore en outre la confusion juridique créée par le fait que
le SIS couvre les questions du premier et du troisième pilier avec des niveaux différents de protection de la
vie privée;
31. s'inquiète de l'orientation générale adoptée par le Conseil sur les propositions visant à inscrire des
données biométriques (photos numériques et empreintes digitales) sur les visas et titres de séjours à l'aided'une puce électronique, étant donné que les données pourront être facilement copiées sur des banques dedonnées centralisées en cas de contrôle; craint que les nouveaux développements dans le domaine de laprotection des données, tels que le recours éventuel à la biométrie, soumettent à des exigences accrues lesautorités de contrôle dont les ressources sont actuellement insuffisantes pour faire face à leur large éventailde tâches (COM(2003) 265); demande aux États membres de dégager des ressources supplémentaires à
l'intention des autorités de surveillance chargées de la protection des données afin de garantir le fonction-
nement efficace du système;
32. invite les États membres et les autorités nationales et européennes à veiller à ce que la législation sur
le respect de la vie privée ne soit pas utilisée de manière abusive, de façon à porter atteinte intentionnel-
lement ou non au droit d'accès aux documents, à la transparence administrative et à la publicité institu-
tionnelle ou à rendre excessivement complexe l'exercice individuel du «droit d'être connu»; invite la Com-mission à présenter un rapport, sur la base d'un avis du groupe «Article 29», sur ce type de pratique
abusive, en proposant des orientations et, le cas échéant, des mesures législatives visant à prévenir de telles
pratiques;
33. invite la Commission à poursuivre l'examen de la question de la vidéo-surveillance, y compris en
fonction des jurisprudences nationales, et attend de pouvoir examiner la proposition annoncée en matièrede protection de la vie privée sur le lieu de travail;
34. demande instamment à Eurojust de préciser quelles dispositions nationales et européennes ont été
appliquées et sont appliquées, étant donné la confusion et les graves incertitudes entourant cette question;
35. estime que l'autoréglementation est un bon moyen d'éviter une législation trop détaillée et invite le
secteur du commerce et de l'industrie à élaborer un code de conduite européen pour la protection des
données à caractère personnel;
36. demande aux instances nationales, européennes et internationales un effort supplémentaire pour
mieux appliquer les lignes directrices de l'Organisation de coopération et de développement économiques
et la convention du Conseil de l'Europe;
37 . souligne que la protection des données personnelles et de la vie privée doit faire partie des pro-
grammes d'enseignement liés à l'informatique et à Internet; invite les États membres et la Commission à
promouvoir chez les citoyens la connaissance du droit relatif à la protection des données;
*
**
38. charge son Président de transmettre la présente résolution au Conseil, à la Commission, aux gou-
vernements et aux parlements des États membres, aux autorités chargées de la protection de la vie privée, àEuropol et à Eurojust ainsi qu'au gouvernement des États-Unis.28.4.2004 FR C 102 E/153 Journal officiel de l'Union européenne
Mardi, 9 mars 2004