QUESTION ÉCRITE E-1476/02

posée par Cristiana Muscardini (UEN) à la Commission

(27 mai 2002)

Objet: Vol d'identité aux États-Unis

Le quotidien italien Corriere della Sera du samedi 4 mai a consacré un article à un nouveau phénomène qui préoccupe les autorités américaines. On assiste en effet à la création d'un véritable marché des données personnelles qui vont des codes secrets de sécurité sociale aux quatorze chiffres des cartes de crédit. Selon les estimations officielles, de 500 000 à 700 000 Américains subissent chaque année ce type de vol. La vraie préoccupation pour le ministre américain de la justice John Ashcroft, c'est le terrorisme (deux des dix neuf bourreaux des tours jumelles ont utilisé de faux permis du New-Jersey). Même si la dénonciation provient des États-Unis, l'instrument utilisé pour vendre les données personnelles est global s'agissant d'Internet.

À ce propos, la Commission:

1. a-t-elle connaissance de ces données alarmantes?

2. existe-t-il des estimations relatives aux délits de ce type dans les pays membres de l'UE?

3. a-t-elle déjà alerté Europol afin que soit effectuées des enquêtes approfondies sur ce nouveau type de délit?

4. n'estime-t-elle pas, à la lumière de ce qui se passe aux États-Unis, qu'il devient indispensable de réglementer Internet au moins en ce qui concerne la sécurité du traitement des données personnelles?

Réponse donnée par M. Bolkestein au nom de la Commission

(16 juillet 2002)

1. La Commission est au courant du phénomène croissant du vol d'identité (détournement de données personnelles et de services bancaires d'un individu) qui, aux États-Unis et au Canada, menace le secteur financier. Des exposés et un débat sur le vol d'identité ont eu lieu récemment au sein du Groupe d'experts en matière de prévention de la fraude, groupe de pilotage de la mise en oeuvre du Plan d'action pour la prévention de la fraude et de la contrefaçon des moyens de paiement autres que les espèces(1).

2. À l'heure actuelle, des statistiques couvrant l'ensemble du secteur financier ne sont disponibles que pour le Royaume-Uni, où le vol d'identité constitue la fraude dont la croissance est la plus rapide avec une progression de 165 % de 1999 à 2001 (année pour laquelle 53 000 affaires ont été enregistrées).

3. Non, mais Europol a participé à la réunion précitée.

4. Le cadre juridique de l'Union en matière de protection des données personnelles se compose de deux directives, à savoir une directive générale et une directive spécifique au secteur des télécommunications(2). Toutes deux comportent des dispositions visant à limiter et protéger le traitement de données à caractère personnel, y compris sur l'Internet. Ces directives définissent la portée et la nature du traitement légitime de ces données, imposent des mesures de sécurité et exigent l'établissement de moyens de recours juridiques et autres qui soient adéquats en cas d'infractions. Les limites à la collecte et à l'utilisation ultérieure de données à caractère personnel sont généralement parlant beaucoup plus strictes dans l'Union qu'aux États-Unis.

Les infractions sur des bases de données des cybercommerçants, dans lesquelles des pirates informatiques accèdent aux données personnelles et aux numéros de cartes de crédit de la clientèle, sont elles aussi très préoccupantes. Des mesures de prévention, comme des prescriptions de sécurité s'appliquant au commerce en ligne où les cartes de paiement sont acceptées, font l'objet de discussions dans le cadre du Plan d'action pour la prévention de la fraude, déjà cité. En outre, en plus de la décision-cadre du 28 mai 2001 concernant la lutte contre la fraude et la contrefaçon des moyens de paiement autres que les espèces(3), une action a été entreprise pour renforcer la sécurité de l'Internet. Enfin, le 19 avril 2002, la Commission a proposé une décision-cadre relative aux attaques visant les systèmes d'information(4) qui traite les nouvelles formes les plus importantes d'activité criminelle contre les systèmes d'information et préconise la sécurité de l'information, tout en garantissant aux autorités chargées de faire appliquer la loi en Europe la possibilité d'agir contre ce type de cybercriminalité.

(1) Communication de la Commission Prévention de la fraude et de la contrefaçon des moyens de paiement autres que les espèces, COM(2001) 11 final, http://europa.eu.int/comm/internal_market/fr/finances/payment/fraud/index.htm.

(2) Directive 95/46/CE du Parlement et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement de données à caractère personnel et à la libre circulation de ces données, JO L 281 du 23.11.1995; et directive 97/66/CE du Parlement européen et du Conseil du 15 décembre 1997 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des télécommunications, JO L 24 du 30.1.1998, qui doit être mise à jour et remplacée par une nouvelle directive qui sera formellement adoptée par le Parlement et le Conseil en juillet 2002.

(3) JO L 149 du 2.6.2001.

(4) COM(2002) 173 final.