Source: https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=OJ:C:2009:229:FULL&from=RO
Timestamp: 2020-01-27 19:53:26+00:00
Document Index: 215248116

Matched Legal Cases: ["l'article 28", "l'article 28", "l'article 4", "l'article 4", "l'article 4", "l'article 4", "l'article 4", "l'article 33", "l'article 33", "l'article 30", "l'article 8", "l'article 36", "l'article 15", "l'article 15", "l'article 15", "l'article 28", "l'article 14", "l'article 25", "l'article 47", "l'article 47", "l'article 6", "l'article 4", "l'article 4", "l'article 8", "l'article 9", "l'article 21", "l'article 25", "l'article 23", "l'article 23", "l'article 25", "l'article 23", "l'article 28", "l'article 23", "l'article 41", "l'article 30", "l'article 34", "l'article 1", "l'article 2", "l'article 4", "l'article 6", "l'article 8", "l'article 1", "l'article 22", "l'article 29", "l'article 5", "l'article 3", "l'article 2", "l'article 8", "l'article 1", "l'article 3", "l'article 3", "l'article 3", "l'article 8", "l'article 25", "l'article 11", "l'article 8", "l'article 8", "l'article 26", "l'article 13", "l'article 22", "l'article 21", "l'article 21", "l'article 11", "l'article 12", "l'article 37", "l'article 26", "l'article 26", "l'article 8", 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ']

Journal officiel C 229/2009
Avis du contrôleur européen de la protection des données sur la proposition de règlement du Parlement européen et du Conseil concernant la création du système Eurodac pour la comparaison des empreintes digitales aux fins de l'application efficace du règlement (CE) no […/…] (établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale présentée dans l'un des États membres par un ressortissant de pays tiers ou un apatride) [COM(2008) 825]
vu la demande d'avis formulée par la Commission conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001, reçue le 3 décembre 2008,
La proposition de règlement du Parlement européen et du Conseil établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale présentée dans l'un des États membres par un ressortissant de pays tiers ou un apatride (ci-après dénommée la «proposition ou la proposition de la Commission») a été envoyée par la Commission au CEPD pour consultation le 3 décembre 2008, conformément à l'article 28, paragraphe 2, du règlement (CE) no 45/2001. Cette consultation devrait être explicitement mentionnée dans le préambule du règlement.
Le CEPD a contribué à la proposition à un stade antérieur et bon nombre des points qu'il a soulevés de manière informelle au cours du processus préparatoire ont été pris en considération par la Commission dans le texte final de sa proposition.
La proposition est une refonte du règlement (CE) no 343/2003 du Conseil du 18 février 2003 établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande d'asile présentée dans l'un des États membres par un ressortissant d'un pays tiers (3) (ci-après dénommé le «règlement de Dublin»). Elle a été présentée par la Commission dans le cadre du premier paquet de propositions destinées à harmoniser davantage et à améliorer les normes de protection en vue du régime d'asile européen commun, comme le demandait le programme de La Haye des 4 et 5 novembre 2004 et comme annoncé dans le plan d'action de la Commission en matière d'asile, du 17 juin 2008. Le programme de La Haye invitait la Commission à achever l'évaluation des instruments juridiques de la première phase et à présenter au Conseil et au Parlement européen les instruments et les mesures de la seconde phase de façon à permettre leur adoption avant 2010.
La proposition a fait l'objet d'un travail approfondi d'évaluation et de consultation. Elle tient notamment compte des résultats du rapport de la Commission sur l'évaluation du système de Dublin, publié le 6 juin 2007 (4), qui a mis en évidence plusieurs lacunes du système actuel sur les plans juridique et pratique, ainsi que des contributions transmises à la Commission par différents acteurs en réponse au livre vert sur le futur régime d'asile européen commun (5).
La proposition a pour principal objectif d'accroître l'efficacité du système de Dublin et de garantir des normes de protection plus élevées en faveur des demandeurs d'une protection internationale soumis à la «procédure de Dublin». Elle vise par ailleurs à renforcer la solidarité à l'égard des États membres qui sont confrontés à des pressions migratoires particulières (6).
La proposition étend le champ d'application du règlement de Dublin aux demandeurs (et aux bénéficiaires) de la protection subsidiaire. Cette modification est nécessaire pour garantir la cohérence avec l'acquis de l'UE, à savoir la directive 2004/83/CE du Conseil du 29 avril 2004 concernant les normes minimales relatives aux conditions que doivent remplir les ressortissants des pays tiers ou les apatrides pour pouvoir prétendre au statut de réfugié ou les personnes qui, pour d'autres raisons, ont besoin d'une protection internationale, et relatives au contenu de ces statuts, (7) qui a introduit la notion de protection subsidiaire. La proposition aligne également les définitions et la terminologie employées dans le règlement de Dublin sur celles des autres instruments existant en matière d'asile.
Afin de renforcer l'efficacité du système, la proposition fixe en particulier le délai de dépôt des requêtes aux fins de prise en charge et raccourcit le délai de réponse aux demandes d'information. Elle clarifie également les clauses de cessation de la responsabilité ainsi que les conditions et les procédures d'application des clauses discrétionnaires (clauses humanitaire et de souveraineté). Elle ajoute des dispositions relatives aux transferts et élargit le mécanisme existant de règlement des différends. La proposition contient également une disposition prévoyant l'organisation d'un entretien obligatoire.
Par ailleurs, et toujours en vue de renforcer le niveau de protection accordé aux demandeurs, la proposition de la Commission prévoit un droit de recours contre les décisions de transfert et elle oblige les autorités compétentes à décider si l'exécution doit être suspendue ou non. Elle règle le droit à l'aide judiciaire et/ou celui de se faire représenter et l'assistance linguistique. La proposition se réfère également au principe selon lequel nul ne doit être placé en détention au seul motif qu'il demande une protection internationale. Elle étend le droit le droit au regroupement familial et traite des besoins des mineurs non accompagnés et autres groupes vulnérables.
Éléments fondamentaux de l'avis
Le présent avis s'intéresse essentiellement aux modifications du texte qui sont les plus importantes du point de vue de la protection des données à caractère personnel:
les dispositions visant à améliorer le droit à l'information: par exemple, le contenu, la forme et le délai de communication des informations ont été clarifiés et l'adoption d'une brochure d'information commune a été proposée,
un nouveau mécanisme d'échange des informations pertinentes entre les États membres avant l'exécution des transferts,
l'utilisation du réseau de communication électronique sécurisé «DubliNet» pour l'échange des informations.
Le CEPD soutient les objectifs de la proposition de la Commission, qui sont en particulier d'accroître l'efficacité du système de Dublin et de garantir des normes de protection plus élevées aux demandeurs d'une protection internationale soumis à la procédure de Dublin. Il approuve également les raisons qui ont amené la Commission à entreprendre la révision du système de Dublin.
Un niveau de protection adéquat des données à caractère personnel est une condition sine qua non pour que les autres droits fondamentaux puissent également être effectivement mis en œuvre et bénéficier d'un niveau de protection élevé. Le CEPD formule le présent avis en étant pleinement conscient de la place importante qu'occupent les droits fondamentaux dans la proposition, qui concerne non seulement le traitement de données à caractère personnel mais aussi beaucoup d'autres droits des ressortissants de pays tiers et/ou des apatrides, comme le droit à l'asile, le droit à l'information au sens large, le droit au regroupement familial, le droit de recours effectif, le droit à la liberté et à la liberté de circulation, les droits de l'enfant ou les droits des mineurs non accompagnés.
Le considérant 34 de la proposition et l'exposé des motifs soulignent les efforts déployés par le législateur pour que la proposition soit compatible avec la charte des droits fondamentaux. Dans ce contexte, l'exposé des motifs mentionne explicitement la protection des données à caractère personnel et le droit d'asile. L'exposé des motifs souligne également que la proposition a fait l'objet d'un examen approfondi afin d'assurer la totale compatibilité de ses dispositions avec les droits fondamentaux qui sous-tendent les principes généraux du droit communautaire et du droit international. Toutefois, compte tenu du mandat du CEPD, le présent avis se concentre sur les aspects de la proposition liés à la protection des données. À cet égard, le CEPD se félicite de l'attention considérable accordée à ce droit fondamental dans la proposition, ce qu'il estime essentiel pour garantir l'efficacité de la procédure de Dublin dans le respect absolu des droits fondamentaux.
Le CEPD note également que la proposition de la Commission recherche la cohérence avec les autres instruments juridiques régissant la mise en place et/ou l'utilisation d'autres systèmes informatiques à grande échelle. Il tient en particulier à souligner que le partage des responsabilités par rapport à la base de données et la façon dont le modèle de contrôle est envisagé dans la proposition sont conformes au cadre du système d'information Schengen II (SIS II) et au système d'information sur les visas.
Le CEPD note avec satisfaction que son rôle en matière de contrôle est clairement établi, ce qui n'était pas le cas, pour des raisons évidentes, dans le texte précédent.
III. LE DROIT À L'INFORMATION
L'article 4, paragraphe 1, points f) et g) de la proposition dispose:
«Dès qu'une demande de protection internationale est présentée, les autorités compétentes de l'État membre informent le demandeur d'asile de l'application du présent règlement, et notamment:
de l'existence du droit d'accès aux données le concernant et du droit de demander que les données inexactes le concernant soient rectifiées ou que celles ayant fait l'objet d'un traitement illicite soient supprimées, y compris du droit d'obtenir des informations sur les procédures à suivre pour exercer ces droits et les coordonnées des autorités nationales de la protection des données qui peuvent être saisies des réclamations relatives à la protection des données à caractère personnel.»
L'article 4, paragraphe 2, décrit la manière dont les informations mentionnées au paragraphe 1 doivent être communiquées au demandeur.
Il est indispensable, pour que la procédure de Dublin fonctionne bien, que le droit à l'information soit correctement mis en œuvre. En particulier, il est essentiel de veiller à ce que les informations soient communiquées d'une manière qui permette au demandeur d'asile de comprendre parfaitement sa situation ainsi que l'étendue de ses droits, y compris les démarches qu'il peut effectuer pour donner suite aux décisions administratives prises à son sujet.
En ce qui concerne les aspects pratiques de la mise en œuvre de ce droit, le CEPD souhaite rappeler que, conformément à l'article 4, paragraphe 1, point g), et paragraphe 2 de la proposition, les États membres devraient utiliser une brochure commune pour les demandeurs, contenant entre autres, «les coordonnées des autorités nationales de la protection des données qui peuvent être saisies des réclamations relatives à la protection des données à caractère personnel». Le CEPD souligne à ce propos que si les autorités nationales de protection des données visées à l'article 4, paragraphe 2, de la proposition, sont compétentes pour instruire les réclamations relatives à la protection des données à caractère personnel, le libellé de la proposition ne devrait pas empêcher le demandeur (personne concernée) d'adresser d'abord une réclamation au responsable du traitement (en l'espèce, les autorités nationales compétentes chargées de la coopération de Dublin. Sous sa forme actuelle, l'article 4, paragraphe 2, semble indiquer que le demandeur devrait introduire sa demande — directement et dans chaque cas — auprès de l'autorité nationale de protection des données, alors que, selon la procédure habituelle et les pratiques en vigueur dans les États membres, le demandeur introduit d'abord sa réclamation auprès du responsable du traitement.
Le CEPD suggère également que l'article 4, paragraphe 1, point g) soit reformulé afin de clarifier les droits dont le demandeur doit bénéficier. La formulation proposée n'est pas claire, car on pourrait comprendre que «le droit d'obtenir des informations sur les procédures à suivre pour exercer ces droits […]» fait partie du droit d'accès aux données et/ou du droit de demander que des données inexactes soient rectifiées […] Par ailleurs, selon la formulation actuelle de cette disposition, les États membres doivent informer le demandeur non pas du contenu des droits mais de leur «existence». Comme il semble qu'il s'agisse d'un point d'ordre stylistique, le CEPD suggère de reformuler l'article 4, paragraphe 1, point g), comme suit:
«Dès qu'une demande de protection internationale est présentée, les autorités compétentes de l'État membre informent le demandeur d'asile […]:
du droit d'accès aux données le concernant et du droit de demander que les données inexactes le concernant soient rectifiées ou que celles ayant fait l'objet d'un traitement illicite soient supprimées, ainsi que sur les procédures à suivre pour exercer ces droits, y compris les coordonnées des autorités visées à l'article 33 du présent règlement et des autorités nationales de la protection des données.»
En ce qui concerne les méthodes utilisées pour communiquer les informations aux demandeurs, le CEPD renvoie aux travaux du Groupe de coordination de contrôle d'Eurodac (8) (composé de représentants de l'autorité de protection des données de chacun des États participants et du CEPD). Ce groupe examine actuellement cette question dans le cadre d'Eurodac en vue de proposer des orientations pertinentes dès que les résultats des enquêtes nationales seront disponibles et auront été analysés. Bien que cette étude coordonnée concerne plus particulièrement Eurodac, ses résultats seront sans doute intéressants aussi dans le cadre de Dublin puisqu'ils traiteront de questions telles que les langues et traductions et l'évaluation du degré réel de compréhension de l'information par le demandeur d'asile, etc.
IV. VERS LA TRANSPARENCE
En ce qui concerne les autorités visées à l'article 33 de la proposition, le CEPD se félicite de ce que la Commission publie au Journal officiel de l'Union européenne une liste consolidée des autorités visées à son paragraphe 1. Lorsque des modifications y sont apportées, la Commission publie une mise à jour annuelle de cette liste. La publication de cette liste consolidée permettra de garantir la transparence et facilitera le contrôle par les autorités nationales de la protection des données.
V. NOUVEAU MÉCANISME D'ÉCHANGE D'INFORMATIONS
Le CEPD prend note de l'introduction du nouveau mécanisme d'échange des informations pertinentes entre les États membres avant l'exécution des transferts (visé à l'article 30 de la proposition). Il estime que la finalité de cet échange d'informations est légitime.
Le CEPD note également que la proposition contient des garanties spécifiques en matière de protection des données, conformément à l'article 8, paragraphes 1 à 3, de la directive 95/46/CE relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et notamment: a) le consentement explicite du demandeur et/ou de son représentant, b) la suppression immédiate des données par l'État ayant procédé au transfert une fois ce dernier effectué et c) le «traitement des données à caractère personnel concernant la santé n'est effectué que par un praticien de la santé soumis au secret professionnel en vertu du droit national ou de règles arrêtées par les organismes nationaux compétents, ou par une autre personne soumise à une obligation de secret équivalente» (ayant reçu une formation médicale appropriée). Il approuve également le fait que l'échange s'effectuera uniquement au moyen du réseau DubliNet et par les autorités préalablement notifiées.
La manière dont ce mécanisme sera structuré revêt une importance primordiale pour sa conformité au régime de protection des données, compte tenu en particulier du fait que l'échange d'informations portera également sur des données à caractère personnel extrêmement sensibles, comme par exemple des informations relatives aux «besoins particuliers du demandeur à transférer, qui peuvent dans certains cas porter sur son état de santé physique et mentale». Dans ce contexte, le CEPD soutient pleinement l'inclusion dans la proposition de l'article 36, qui impose aux États membres de prendre les mesures nécessaires pour que des sanctions, y compris des sanctions administratives et/ou pénales, […] conformes au droit national, soient infligées en cas d'utilisation abusive des données […].
VI. RÈGLES RÉGISSANT L'ÉCHANGE D'INFORMATIONS DANS LE CADRE DU SYSTÈME DE DUBLIN
L'article 32 de la proposition de la Commission régit l'échange d'informations. Le CEPD a contribué à un stade antérieur à l'élaboration de cette disposition et soutient la formulation proposée par la Commission.
Le CEPD souligne qu'il est important que les autorités des États membres utilisent le réseau DubliNet pour échanger des informations sur les personnes physiques. Cela permet non seulement d'assurer davantage de sécurité mais aussi une meilleure traçabilité des échanges. À cet égard, le CEPD renvoie au document de travail des services de la Commission du 6 juin 2007 intitulé «Document d'accompagnement du rapport de la Commission au Parlement européen et au Conseil sur l'évaluation du système de Dublin» (9), dans lequel la Commission rappelle que «l'utilisation de DubliNet est toujours obligatoire, sauf dans les cas visés à l'article 15, paragraphe 1, deuxième alinéa» du règlement (CE) no 1560/2003 de la Commission du 2 septembre 2003 portant modalités d'application du règlement (CE) no 343/2003 du Conseil établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande d'asile présentée dans l'un des États membres par un ressortissant d'un pays tiers (10) (ci-après dénommé le «règlement d'application de Dublin»). Le CEPD insiste sur le fait que la possibilité de déroger à l'utilisation de DubliNet prévue à l'article 15, paragraphe 1, susmentionné doit être interprétée de manière restrictive.
Certaines dispositions ont été ajoutées ou reformulées dans la proposition à cette fin, et le CEPD s'en félicite. Par exemple, le nouvel article 33, paragraphe 4, de la proposition a été reformulé afin de préciser que non seulement les demandes mais aussi les réponses et toutes les correspondances écrites sont soumises aux règles relatives à la mise en place de moyens de transmission électroniques sécurisés (conformément à l'article 15, paragraphe 1, du règlement d'application de Dublin). Par ailleurs, la suppression du paragraphe 2 dans le nouvel article 38, qui, dans le texte précédent (article 25) imposait aux États membres de transmettre les réponses et les demandes «par tout moyen fournissant une preuve de la réception», vise à clarifier le fait que les États membres devraient également utiliser DubliNet dans ce cas.
Le CEPD observe que relativement peu de dispositions sont prévues dans le cadre du système de Dublin pour régir l'échange d'informations à caractère personnel. Bien que certains aspects de l'échange d'informations soient déjà traités dans le règlement d'application de Dublin, le règlement actuel ne semble pas couvrir tous les aspects de l'échange d'informations à caractère personnel, ce qui est regrettable (11).
Dans ce contexte, il convient de préciser que la question de l'échange d'informations relatives aux demandeurs d'asile a également été examinée au sein du Groupe de coordination de contrôle d'Eurodac. Sans préjuger des résultats des travaux de ce groupe, le CEPD souhaite mentionner dès à présent que l'une des recommandations possibles pourrait concerner l'adoption d'un ensemble de règles semblables aux règles qui ont été arrêtées dans le manuel SIRENE de Schengen.
Le CEPD soutient la proposition de règlement établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale présentée dans l'un des États membres par un ressortissant de pays tiers ou un apatride, présentée par la Commission. Il souscrit aux arguments qui justifient la révision du système existant.
Le CEPD se félicite de la cohérence de la proposition de la Commission avec les autres instruments juridiques régissant le cadre juridique complexe de cette question.
Le CEPD se félicite de l'attention considérable qui a été accordée aux droits fondamentaux dans la proposition, en particulier à la protection des données à caractère personnel. Il considère qu'il s'agit d'un préalable indispensable à l'amélioration de la procédure de Dublin. Il attire particulièrement l'attention des législateurs sur les nouveaux mécanismes d'échange de données, qui porteront, entre autres, sur les données à caractère personnel extrêmement sensibles concernant les demandeurs d'asile.
Le CEPD souhaite également mentionner les travaux importants effectués dans ce domaine par le Groupe de coordination de contrôle d'Eurodac et il est convaincu que les résultats des travaux de ce groupe pourront contribuer utilement à améliorer la formulation des caractéristiques du système.
Le CEPD pense que certaines des remarques formulées dans le présent avis pourront être développées lorsque viendra l'application pratique du système révisé. Il compte notamment contribuer à la définition des mesures d'exécution de l'échange d'informations par le réseau DubliNet, dont il est question aux points 24 à 27 du présent avis.
(6) Voir l'exposé des motifs de la proposition.
(7) JO L 304 du 30.9.2004, p. 12.
(8) Pour des explications sur les travaux et la nature de ce groupe, voir: http://www.edps.europa.eu/EDPSWEB/edps/site/mySite/pid/79. Ce groupe exerce un contrôle coordonné du système Eurodac. Toutefois, du point de vue de la protection des données, ses travaux ont également une incidence dans le contexte général de l'échange d'informations au titre de Dublin. Ces informations concernent les mêmes personnes et sont échangées dans le cadre de la même procédure les concernant.
(10) JO L 222 du 5.9.2003, p. 3-23.
(11) Cela devient encore plus évident si l'on compare ce texte aux modalités régissant l'échange d'informations supplémentaires dans le cadre du système d'information Schengen (SIRENE).
Le 3 décembre 2008, la Commission a soumis au CEPD, pour avis, la proposition de règlement du Parlement européen et du Conseil concernant la création du système «Eurodac» pour la comparaison des empreintes digitales aux fins de l'application efficace du règlement (CE) no […/…] [établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale présentée dans l'un des États membres par un ressortissant de pays tiers ou un apatride] (ci-après dénommée «la proposition» ou «la proposition de la Commission») conformément à l'article 28, paragraphe 2, du règlement (CE) no45/2001. Cette consultation devrait être explicitement mentionnée dans le préambule du règlement.
Comme il est indiqué dans l'exposé des motifs de la proposition, le CEPD a contribué à l'élaboration de cette proposition à un stade antérieur et nombre des points qu'il a soulevés de manière informelle ont été pris en compte dans le texte final de la proposition de la Commission.
Le règlement (CE) no 2725/2000 (3) du Conseil du 11 décembre 2000 concernant la création du système «Eurodac» (ci-après dénommé «le règlement Eurodac») est entré en vigueur le 15 décembre 2000. Le système informatique Eurodac, créé à l'échelle de la Communauté, a pour objectif de faciliter l'application de la convention de Dublin qui visait à mettre en place un mécanisme clair et efficace permettant de déterminer l'État membre responsable de l'examen d'une demande d'asile présentée dans l'un des États membres de l'UE. La Convention de Dublin a par la suite été remplacée par un instrument de droit communautaire, le règlement (CE) no 343/2003 du Conseil du 18 février 2003 établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande d'asile présentée dans l'un des États membres par un ressortissant d'un pays tiers (4) (ci-après dénommé le «règlement de Dublin») (5). Eurodac a commencé à fonctionner le 15 janvier 2003.
La proposition est une révision du règlement Eurodac et de son règlement d'application, le règlement (CE) no 407/2002 du Conseil, et vise notamment à:
améliorer l'efficacité de l'application du règlement Eurodac,
assurer la cohérence avec l'acquis en matière d'asile tel qu'il a évolué depuis l'adoption du règlement susmentionné,
actualiser certaines dispositions en tenant compte des faits nouveaux intervenus depuis l'adoption du règlement,
mettre en place un nouveau cadre de gestion.
Il convient également de souligner que l'un des principaux objectifs de la proposition est de mieux garantir le respect des droits fondamentaux, en particulier la protection des données à caractère personnel. Le présent avis examinera si les dispositions de cette proposition satisfont comme il convient à cet objectif.
La proposition tient compte des conclusions du rapport d'évaluation du système de Dublin, établi par la Commission en juin 2007 (ci-après dénommé «le rapport d'évaluation»), qui couvre les trois premières années de la mise en œuvre d'Eurodac (2003-2005).
Tout en notant que le système mis au point dans le règlement a été appliqué de manière globalement satisfaisante dans les États membres, le rapport d'évaluation de la Commission met en évidence certains problèmes liés à l'efficacité des dispositions actuelles, en particulier ceux sur lesquels il est nécessaire de se pencher afin d'améliorer le système Eurodac et de faciliter l'application du règlement de Dublin. Il ressort en particulier du rapport d'évaluation que certains États membres continuent à transmettre les empreintes digitales avec retard. Le règlement Eurodac ne prévoit à l'heure actuelle qu'un délai très vague pour la transmission de ces empreintes, ce qui, en pratique, peut être à l'origine de retards importants. Il s'agit là d'un point essentiel pour l'efficacité du système, car tout retard dans la transmission peut aboutir à des résultats contraires aux principes de responsabilité énoncés dans le règlement de Dublin.
Le rapport d'évaluation souligne également que l'absence d'une méthode efficace permettant aux États membres de s'informer mutuellement du statut d'un demandeur d'asile a conduit dans de nombreux cas à une mauvaise gestion de la suppression de données. Les États membres qui saisissent des données concernant une personne précise ignorent souvent qu'un autre État membre d'origine a supprimé des données et, par conséquent, ne savent pas qu'ils devraient eux aussi effacer les données qu'ils détiennent sur cette même personne. De ce fait, il n'est pas possible de garantir convenablement le respect du principe selon lequel «aucune donnée ne peut être conservée sous une forme permettant l'identification de la personne concernée pendant plus longtemps que ne l'exigent les finalités de la collecte».
En outre, selon l'analyse présentée dans le rapport d'évaluation, l'imprécision qui caractérise la désignation des autorités nationales ayant accès à Eurodac gêne la Commission et le contrôleur européen de la protection des données dans leur mission de contrôle.
Objet principal de l'avis du CEPD
Compte tenu du rôle d'autorité de contrôle qu'il joue actuellement à l'égard d'Eurodac, le CEPD porte un intérêt particulier à la proposition de la Commission et à ce que la révision du système Eurodac dans son ensemble connaisse une issue positive.
Le CEPD note que la proposition comporte divers éléments ayant trait aux droits fondamentaux des demandeurs d'asile, tels que le droit à l'asile, le droit à l'information au sens large, le droit à la protection des données à caractère personnel. Toutefois, compte tenu de la mission du CEPD, le présent avis portera essentiellement sur les questions relatives à la protection des données abordées dans la version révisée du règlement. À cet égard, le CEPD se félicite de la place importante accordée dans la proposition au respect et à la protection des données à caractère personnel. Le CEPD saisit cette occasion pour souligner que la garantie d'un niveau élevé de protection des données à caractère personnel et d'une mise en œuvre plus efficace de cette protection dans les faits devrait être considérée comme un préalable essentiel à l'amélioration du fonctionnement d'Eurodac.
Le présent avis aborde essentiellement les modifications du texte ci-après car elles sont les plus pertinentes du point de vue de la protection des données à caractère personnel:
le contrôle effectué par le CEPD, y compris dans les cas où une partie de la gestion du système est confiée à une autre entité (telle qu'une entreprise privée),
la procédure de relevé des empreintes digitales, y compris la définition de limites d'âge,
Le CEPD approuve le fait que l'on veille à ce que cette proposition soit cohérente avec d'autres instruments juridiques régissant l'établissement et/ou l'utilisation d'autres systèmes informatiques à grande échelle. Le partage des responsabilités à l'égard de la base de données ainsi que la manière dont le modèle de contrôle a été conçu dans la proposition, en particulier, sont conformes aux instruments juridiques créant le système d'information Schengen de deuxième génération (SIS II ) et le système d'information sur les visas (VIS).
Le CEPD constate que la proposition est compatible avec la directive 95/46/CE et le règlement (CE) no 45/2001. À cet égard, le CEPD accueille favorablement en particulier les nouveaux considérants 17, 18 et 19, qui prévoient que la directive 95/46/CE et le règlement (CE) no 45/2001 s'appliquent au traitement des données à caractère personnel effectué, en application de la proposition de règlement, respectivement par les États membres et par les institutions et organes communautaires concernés.
Enfin, le CEPD attire l'attention sur la nécessité de veiller également à la cohérence entre le règlement Eurodac et celui de Dublin et il saisit l'occasion qui lui est donnée dans le présent avis pour mieux préciser ce que recouvre cette cohérence. Il observe toutefois qu'à certains égards la question a déjà été abordée dans la proposition, notamment dans l'exposé des motifs, où il est indiqué que «la cohérence avec le règlement de Dublin (ainsi que la prise en compte des préoccupations en matière de protection des données, et notamment le respect du principe de proportionnalité) sera assurée grâce à un alignement du délai de conservation des données relatives aux ressortissants de pays tiers ou aux apatrides ayant fait l'objet d'un relevé d'empreintes digitales, à la suite du franchissement illégal d'une frontière extérieure, sur le délai pendant lequel l'article 14, paragraphe 1, du règlement de Dublin attribue la responsabilité sur la base de ces informations (c'est-à-dire un an)».
III.1. Contrôle assuré par le contrôleur européen de la protection des données
Le CEPD accueille favorablement le modèle de contrôle établi dans la proposition ainsi que les tâches spécifiques qui lui sont confiées en vertu des articles 25 et 26. Aux termes de l'article 25, deux tâches de contrôle sont confiées au CEPD qui:
«vérifie que les activités de traitement des données à caractère personnel exercées par l'instance gestionnaire sont conformes au présent règlement» (article 25, paragraphe 1), et
«veille à ce que soit réalisé, tous les quatre ans au minimum, un audit des activités de traitement des données à caractère personnel menées par l'instance gestionnaire, répondant aux normes internationales pertinentes en matière d'audit».
L'article 26 porte sur la question de la coopération entre les autorités de contrôle nationales et le contrôleur européen de la protection des données.
Le CEPD note en outre qu'une approche similaire à celle qui est utilisée dans le cadre du SIS II et du VIS est envisagée dans la proposition: il s'agit d'un système de contrôle à plusieurs niveaux, dans le cadre duquel les autorités nationales chargées de la protection des données et le CEPD exercent leur fonctions de contrôle respectivement aux niveaux national et européen, un mécanisme de coopération étant établi entre les deux niveaux. La manière dont le modèle de coopération est envisagé dans la proposition reflète aussi la pratique actuelle qui s'est avérée efficace et qui a favorisé une étroite collaboration entre le CEPD et les autorités chargées de la protection des données. En conséquence, le CEPD se félicite de ce que la proposition entérine ce système et de ce que, parallèlement aux dispositions qu'il a prises à cet effet, le législateur ait veillé à la cohérence avec les mécanismes de contrôle appliqués dans d'autres systèmes informatiques à grande échelle.
III.2. Sous-traitance
Le CEPD constate que la proposition n'aborde pas la question de la sous-traitance d'une partie des tâches de la Commission à une autre organisation ou entité (telle qu'une entreprise privée). Néanmoins, la Commission a fréquemment recours à la sous-traitance dans la gestion et le développement tant du système que des infrastructures de communication. Si la sous-traitance en tant que telle ne va pas à l'encontre des exigences de protection des données, il convient de mettre en place d'importantes dispositions de sauvegarde afin de veiller à ce que la sous-traitance d'activités n'affecte en rien l'applicabilité du règlement (CE) no 45/2001, y compris le contrôle de la protection des données par le CEPD. En outre, il conviendrait d'adopter d'autres dispositions de sauvegarde de nature plus technique.
À cet égard, le CEPD suggère que l'on prévoie dans le cadre de la révision du règlement Eurodac des garanties juridiques analogues à celles qui sont envisagées dans les instruments juridiques relatifs au SIS II, et qu'il soit précisé que, même si la Commission confie la gestion du système à une autre autorité, cela ne «porte pas préjudice à tout mécanisme permettant un contrôle effectif exercé, en vertu du droit communautaire, par la Cour de justice, la Cour des comptes ou le contrôleur européen de la protection des données» (article 15, paragraphe 7, de la décision et du règlement SIS II).
Les dispositions sont encore plus précises dans le règlement SIS II, qui stipule à l'article 47: «Au cas où (…) la Commission délègue ses responsabilités à une autre instance ou à d'autres instances, (…) elle veille à ce que le contrôleur européen de la protection des données ait le droit et la possibilité de s'acquitter pleinement de sa mission, y compris de procéder à des vérifications sur place ou d'exercer tout autre pouvoir dont il est investi en vertu de l'article 47 du règlement (CE) no 45/2001».
Les dispositions susmentionnées apportent toutes les précisions nécessaires sur les conséquences de la sous-traitance d'une partie des tâches de la Commission à d'autres autorités. Le CEPD suggère donc que les dispositions poursuivant le même objectif soient ajoutées au texte de la proposition de la Commission.
III.3. Procédure de relevé des empreintes digitales (article 3, paragraphe 5, et article 6)
L'article 3, paragraphe 5, de la proposition porte sur la procédure de relevé des empreintes digitales. Selon cette disposition, «la procédure de relevé des empreintes digitales est déterminée et appliquée conformément à la pratique nationale de l'État membre concerné et dans le respect des dispositions de sauvegarde établies dans la charte des droits fondamentaux de l'Union européenne, la convention de sauvegarde des droits de l'homme et des libertés fondamentales et la convention des Nations unies relative aux droits de l'enfant». Selon les dispositions de l'article 6 de la proposition, le relevé des empreintes digitales ne peut être effectué qu'auprès de demandeurs âgés de 14 ans au moins et ce, au plus tard dans les 48 heures suivant le dépôt de la demande.
En ce qui concerne tout d'abord la limite d'âge, le CEPD souligne la nécessité de veiller à la cohérence de la proposition avec le règlement de Dublin. Le système Eurodac a été créé afin de garantir l'application effective dudit règlement. En d'autres termes, si, à l'issue de la révision du règlement de Dublin qui est en cours, son application pour les demandeurs d'asile mineurs s'en trouve modifiée, il conviendra d'en tenir compte dans le règlement Eurodac (6).
En second lieu, pour ce qui est de fixer des limites d'âge pour le relevé d'empreintes digitales en général, le CEPD souhaite faire observer que la plupart des documents actuellement disponibles semblent indiquer que la possibilité d'identifier avec exactitude des empreintes digitales diminue avec l'âge. À cet égard, il est conseillé de suivre de près l'étude sur le relevé des empreintes digitales menée dans le cadre de la mise en œuvre du VIS. Sans préjuger des résultats de l'étude, le CEPD tient déjà à souligner à ce stade que, dans tous les cas où le relevé d'empreintes digitales s'avère impossible ou donnerait lieu à des résultats non fiables, il importe d'indiquer des procédures de remplacement qui respectent pleinement la dignité de la personne.
En troisième lieu, le CEPD prend acte des efforts du législateur pour que les dispositions relatives au relevé d'empreintes digitales respectent les exigences internationales et européennes en matière de droits de l'homme. Néanmoins, il attire l'attention sur les difficultés rencontrées dans plusieurs États membres pour déterminer l'âge de jeunes demandeurs d'asile. Très souvent, les demandeurs d'asile ou les immigrés clandestins n'ont pas de document d'identification alors qu'il est nécessaire de connaître leur âge pour déterminer s'il convient de relever leurs empreintes digitales. Les méthodes utilisées pour ce faire suscitent bien des débats dans différents États membres.
À cet égard, le CEPD attire l'attention sur le fait que le groupe de coordination du contrôle d'Eurodac (7) a lancé sur cette question une étude coordonnée, dont les résultats, attendus durant le premier semestre de 2009, devraient contribuer à définir des procédures communes en la matière.
III.4. Les meilleures techniques disponibles (article 4)
À l'article 4, paragraphe 1, de la proposition, il est prévu que: «Après une période de transition, une instance gestionnaire, financée sur le budget général de l'Union européenne, est chargée de la gestion opérationnelle d'EURODAC. L'instance gestionnaire veille, en coopération avec les États membres, à ce que le système central bénéficie à tout moment de la meilleure technologie disponible, moyennant une analyse coût-bénéfice». Si le CEPD approuve l'obligation prévue à l'article 4, paragraphe 1, il souhaite faire observer qu'il faudrait, dans cette disposition, remplacer l'expression «la meilleure technologie disponible» par «les meilleures techniques disponibles», qui couvre à la fois la technologie employée et la manière dont l'installation est conçue, construite, entretenue et exploitée.
III.5. Effacement anticipé des données (article 9)
L'article 9, paragraphe 1, de la proposition porte sur la question de l'effacement anticipé des données. En vertu de cette disposition, l'État membre d'origine est tenu d'effacer du système central «les données concernant une personne qui a acquis la nationalité d'un État membre, quel qu'il soit, avant l'expiration de la période visée à l'article 8», dès que l'État membre d'origine apprend que l'intéressé a acquis ladite nationalité. Le CEPD approuve l'obligation qui est faite d'effacer les données, laquelle correspond bien au principe de la qualité des données. En outre, le CEPD estime que la révision de cette disposition offre l'occasion d'encourager les États membres à mettre en place des procédures garantissant que, lorsqu'une personne obtient la nationalité d'un des États membres, l'effacement des données intervient de manière certaine et rapide (et, si possible, automatique).
Le CEPD souhaite également signaler qu'il conviendrait de reformuler l'article 9, paragraphe 2, qui traite de la suppression anticipée de données, car l'énoncé proposé n'est pas clair. D'un point de vue rédactionnel, le CEPD suggère de remplacer dans la proposition le pronom «il» par «ils».
III.6. Durée de conservation des données relatives au ressortissant d'un pays tiers qui a été appréhendé à l'occasion du franchissement irrégulier de la frontière (article 12)
L'article 12 de la proposition traite de la conservation des données. Le CEPD souhaite faire observer que le fait de fixer la durée de conservation des données à un an (au lieu de 2 ans dans la version actuelle du règlement) constitue une bonne application du principe relatif à la qualité des données en vertu duquel les données doivent être conservées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées. Il s'agit là d'une heureuse amélioration du texte.
III.7. Liste des autorités ayant accès à Eurodac (article 20)
Il y a lieu de se féliciter de la disposition qui prévoit la publication par l'instance gestionnaire de la liste des autorités ayant accès aux données enregistrées dans Eurodac. Cette mesure contribuera à améliorer la transparence et à créer un instrument pratique permettant, notamment aux autorités chargées de la protection des données, de mieux contrôler le système.
III.8. Journaux (article 21)
L'article 21 de la proposition porte sur la conservation des enregistrements de l'ensemble des opérations de traitement de données effectuées au sein du système central. À l'article 21, paragraphe 2, il est précisé que ces relevés ne peuvent être utilisés que pour le contrôle de la licéité du traitement des données (…). À cet égard, il convient d'ajouter que cela inclut également des mesures d'auto-contrôle.
III.9. Droits des personnes concernées (article 23)
L'article 23, paragraphe 1, point e), est ainsi libellé:
«Toute personne visée par le présent règlement est informée par l'État membre d'origine (…):
de l'existence d'un droit d'accès aux données la concernant et du droit de demander que des données inexactes la concernant soient rectifiées ou que des données ayant fait l'objet d'un traitement illicite la concernant soient supprimées, y compris du droit d'obtenir des informations sur les procédures à suivre pour exercer ces droits et les coordonnées des autorités de contrôle nationales visées à l'article 25, paragraphe 1, qui peuvent être saisies des réclamations relatives à la protection des données à caractère personnel».
Le CEPD note qu'il est indispensable au bon fonctionnement d'Eurodac que le droit à l'information soit effectivement mis en œuvre. Il est, en particulier, essentiel de veiller à ce que les informations soient fournies de telle manière que le demandeur d'asile puisse pleinement comprendre sa situation ainsi que l'étendue de ses droits, y compris les démarches qu'il peut entreprendre à la suite des décisions administratives prises à son encontre.
En ce qui concerne les aspects pratiques de la mise en œuvre de ce droit, le CEPD tient à souligner que, si les autorités chargées de la protection des données peuvent être saisies des réclamations relatives à la protection des données à caractère personnel, le libellé de la proposition ne devrait pas empêcher le demandeur (la personne concernée) de présenter d'abord une réclamation au responsable du traitement. Sous sa forme actuelle, l'article 23, paragraphe 1, point e), semble indiquer que le demandeur devrait introduire sa demande - directement et dans chaque cas - auprès de l'autorité chargée de la protection des données, alors que, selon la procédure habituelle et la pratique en vigueur dans les États membres, le demandeur présente d'abord sa réclamation au responsable du traitement.
Le CEPD suggère également que cette disposition soit reformulée afin de clarifier les droits dont le demandeur doit bénéficier. La formulation proposée n'est pas claire, car on pourrait comprendre que «le droit d'obtenir des informations sur les procédures à suivre pour exercer ces droits (…)» fait partie du droit d'accès aux données et/ou du droit de demander que des données inexactes soient rectifiées (…). Par ailleurs, selon la formulation actuelle de cette disposition, les États membres doivent informer la personne visée par le règlement non pas du contenu des droits mais de leur «existence». Comme il semble qu'il s'agisse d'un point d'ordre stylistique, le CEPD suggère de reformuler l'article 23, paragraphe 1, point e), comme suit:
du droit d'accès aux données le concernant et du droit de demander que les données inexactes le concernant soient rectifiées ou que celles ayant fait l'objet d'un traitement illicite soient supprimées, ainsi que sur les procédures à suivre pour exercer ces droits, y compris les coordonnées des autorités de contrôle nationales visées à l'article 25, paragraphe 1».
Selon la même logique, il convient de modifier l'article 23, paragraphe 10, comme suit: «Dans chaque État membre, l'autorité de contrôle nationale assiste la personne concernée dans l'exercice de ses droits, s'il y a lieu (ou: à la demande de celle-ci), conformément à l'article 28, paragraphe 4, de la directive 95/46/CE». Le CEPD tient à souligner une nouvelle fois que l'intervention de l'autorité chargée de la protection des données ne devrait pas, en principe, être nécessaire; le responsable du traitement devrait, au contraire, être encouragé à répondre de manière appropriée aux réclamations des personnes concernées. Il en va de même lorsque les autorités de différents États membres doivent coopérer. Les responsables du traitement devraient être en premier ressort chargés du traitement des demandes et devraient coopérer à cette fin.
En ce qui concerne l'article 23, paragraphe 9, le CEPD se félicite non seulement de l'objectif même de cette disposition (qui envisage le contrôle du recours à des «recherches spéciales», recommandé par les autorités chargées de la protection des données dans leur premier rapport sur des inspections coordonnées), mais il note également avec satisfaction la procédure proposée pour y parvenir.
S'agissant des méthodes destinées à fournir des informations aux demandeurs, le CEPD renvoie aux travaux entrepris par le groupe de coordination du contrôle d'Eurodac. Ce groupe examine actuellement cette question dans le cadre d'Eurodac afin de proposer des conseils pertinents dès que les résultats des enquêtes nationales auront été communiqués et rassemblés.
Le CEPD souscrit à la proposition de règlement du Parlement européen et du Conseil concernant la création du système «Eurodac» pour la comparaison des empreintes digitales aux fins de l'application efficace du règlement (CE) no […/…] établissant les critères et mécanismes de détermination de l'État membre responsable de l'examen d'une demande de protection internationale présentée dans l'un des États membres par un ressortissant de pays tiers ou un apatride.
Le CEPD accueille favorablement le modèle de contrôle suggéré dans la proposition ainsi que du rôle et des tâches qui lui ont été confiés dans le nouveau système. Le modèle envisagé reflète la pratique actuelle qui a fait la preuve de son efficacité.
Le CEPD constate que l'on veille dans cette proposition à la cohérence avec d'autres instruments juridiques régissant la mise en place et/ou l'utilisation d'autres systèmes informatiques à grande échelle.
Le CEPD se félicite de la place importante accordée dans la proposition au respect des droits fondamentaux et, en particulier, à la protection des données à caractère personnel. Comme il l'a en outre indiqué dans son avis sur la révision du règlement de Dublin, le CEPD estime que cette approche est une condition préalable indispensable à l'amélioration des procédures d'asile dans l'Union européenne.
Le CEPD attire l'attention sur la nécessité de garantir pleinement la cohérence entre le règlement Eurodac et le règlement de Dublin.
Le CEPD estime nécessaire d'améliorer au niveau de l'UE la coordination et l'harmonisation des procédures de relevé d'empreintes, qu'elles concernent les demandeurs d'asile ou toute autre personne faisant l'objet de la procédure Eurodac. Il attire plus particulièrement l'attention sur la question des limites d'âge pour le relevé d'empreintes, notamment sur les difficultés que rencontrent plusieurs États membres pour déterminer l'âge de jeunes demandeurs d'asile.
Le CEPD insiste pour que soient clarifiées les dispositions relatives aux droits des personnes concernées et souligne en particulier que les responsables du traitement sont responsables au premier chef de la mise en œuvre de ces droits.
(5) Le règlement de Dublin fait actuellement l'objet d'une révision [COM(2008) 820 final du 3.12.2008] (refonte). Le CEPD a également publié un avis sur la proposition de Dublin.
(6) À cet égard, le CEPD attire l'attention sur le fait que, dans la proposition de la Commission concernant la révision du règlement de Dublin, présentée le 3 décembre 2008 (COM(2008) 820 final), la définition du terme «mineur» est la suivante: «un ressortissant de pays tiers ou un apatride âgé de moins de 18 ans».
(7) Pour des indications sur les travaux et le statut de ce groupe, voir: http://www.edps.europa.eu/EDPSWEB/edps/site/mySite/pid/79. Ce groupe effectue actuellement un contrôle coordonné du système Eurodac.
vu la décision-cadre 2008/977/JAI du Conseil du 27 novembre 2008 relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (2),
vu le règlement (CE) no 45/2001 du Parlement européen et du Conseil du 18 décembre 2000 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions et organes communautaires et à la libre circulation de ces données (3), et notamment son article 41,
L'initiative de la République française en vue de l'adoption d'une décision du Conseil sur l'emploi de l'informatique dans le domaine des douanes (ci-après dénommée «la proposition de décision») a été publiée au Journal officiel le 5 février 2009 (4). Le CEPD n'a pas été invité à formuler d'avis sur cette proposition de décision, ni par l'État membre qui l'a présentée, ni par le Conseil. Néanmoins, la commission des libertés civiles, de la justice et des affaires intérieures du Parlement européen a demandé au CEPD de présenter ses observations sur la proposition de décision de la France, conformément à l'article 41 du règlement (CE) no 45/2001, dans le cadre de l'avis que le Parlement européen doit rendre sur cette proposition. Alors que, dans des cas similaires (5), le CEPD a rendu un avis de sa propre initiative, le présent avis doit également être considéré comme une réponse à cette demande du Parlement européen.
Le CEPD estime que le présent avis devrait être mentionné dans le préambule de la décision du Conseil, comme c'est le cas pour un certain nombre d'instruments juridiques adoptés, eux, sur la base d'une proposition de la Commission, dans lesquels l'avis du CEPD est mentionné.
Bien que l'État membre qui prend l'initiative d'une mesure législative dans le cadre du titre VI du traité UE ne soit pas légalement tenu de demander l'avis du CEPD, les règles applicables n'excluent cependant pas cette possibilité. Le CEPD regrette que ni la République française, ni le Conseil n'aient sollicité son avis en l'espèce.
Le CEPD souligne que, compte tenu de l'examen dont fait actuellement l'objet la proposition de décision au sein du Conseil, les observations présentées dans le présent avis se fondent sur la version de la proposition de décision en date du 24 février 2009 (doc. 5903/2/09 REV 2), qui est publiée sur le site Internet du Parlement européen (6).
Le CEPD estime que la justification de la proposition de décision elle-même ainsi que certains articles spécifiques de cette proposition et certains mécanismes qui y sont prévus requièrent de plus amples explications. Il regrette que la proposition de décision ne soit pas accompagnée d'une analyse d'impact ou d'un exposé des motifs. Ce type d'analyse constitue en effet un élément indispensable pour améliorer la transparence et, de manière plus générale, la qualité du processus législatif. Le fait de disposer d'éléments explicatifs permettrait également d'évaluer plus aisément un certain nombre de suggestions figurant dans la proposition de décision, en ce qui concerne par exemple la nécessité d'accorder le droit d'accès au SID à Europol et Eurojust et sa justification.
Le CEPD a tenu compte de l'avis 9/03 que l'Autorité de contrôle commune des douanes a rendu le 24 mars 2009 concernant le projet de décision du Conseil sur l'emploi de l'informatique dans le domaine des douanes.
Contexte de la proposition de décision
Le cadre juridique qui régit le système d'information des douanes (ci-après dénommé «le SID») est actuellement constitué d'instruments relevant à la fois du premier et du troisième piliers. Le cadre juridique relevant du troisième pilier qui régit le SID comprend essentiellement la Convention du 26 juillet 1995 établie sur la base de l'article K.3 du traité sur l'Union européenne, sur l'emploi de l'informatique dans le domaine des douanes (ci-après dénommée «la convention SID» (7), ainsi que les protocoles du 12 mars 1999 et du 8 mars 2003.
Les dispositions actuelles en matière de protection des données sont subordonnées à l'application de la Convention du Conseil de l'Europe du 28 janvier 1981 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (ci-après dénommée «la convention no 108 du Conseil de l'Europe»). Par ailleurs, la décisioncadre 2008/977/JAI du Conseil s'applique au SID en vertu de la proposition de décision.
La partie du SID qui relève du premier pilier est régie par le règlement (CE) no 515/97 du 13 mars 1997 du Conseil relatif à l'assistance mutuelle entre les autorités administratives des États membres et à la collaboration entre celles-ci et la Commission en vue d'assurer la bonne application des réglementations douanière et agricole, (8)
L'objectif de la convention SID, conformément à son article 2, paragraphe 2, était d'aider à prévenir, rechercher et poursuivre les infractions graves aux lois nationales en renforçant, par une diffusion plus rapide des informations, l'efficacité des procédures de coopération et de contrôle des administrations douanières des États membres.
Aux termes de la convention SID, le SID se compose d'une base de données centrale accessible à partir de terminaux placés dans chacun des États membres. Ses autres caractéristiques principales sont les suivantes :
La convention SID prévoit que le SID ne peut comprendre que les données, y compris les données à caractère personnel, nécessaires à l'accomplissement de son objectif, regroupées dans les catégories suivantes: a) les marchandises; b) les moyens de transports; c) les entreprises; d) les personnes; e) les tendances de la fraude; f) les compétences disponibles (9).
Les États membres décident des éléments à introduire dans le SID correspondant à chacune des trois dernières catégories ci-dessus, dans la mesure où cette action est nécessaire pour atteindre l'objectif du système. Aucune donnée à caractère personnel n'est introduite dans les deux dernières catégories. L'accès direct aux données du SID est à ce jour réservé exclusivement aux autorités nationales désignées par chaque État membre. Ces autorités nationales sont des administrations douanières, mais peuvent également inclure d'autres autorités habilitées, conformément aux lois, réglementations et procédures de l'État membre en question, à agir pour atteindre l'objectif de la convention SID.
Les États membres ne peuvent utiliser les données provenant du SID que pour atteindre l'objectif de la convention SID; ils peuvent toutefois s'en servir à des fins administratives ou autres avec une autorisation préalable de l'État membre qui les a introduites dans le système et sous réserve des conditions qu'il a imposées. Une autorité de contrôle commune a été instituée pour contrôler la partie du SID relevant du troisième pilier.
La proposition de décision présentée par la France, sur la base de l'article 30, paragraphe 1, point a), et de l'article 34, paragraphe 2, du traité sur l'Union européenne, vise à remplacer la convention SID, ainsi que les protocoles du 12 mars 1999 et du 8 mars 2003, afin d'aligner la partie du SID qui relève du troisième pilier sur les instruments relevant du premier pilier.
Néanmoins, la proposition de décision ne se contente pas de remplacer le texte de la convention SID par une décision du Conseil. Elle modifie un certain nombre de dispositions de la convention CID et élargit les possibilités actuelles d'accès au SID en octroyant le droit d'accès au SID à Europol et Eurojust. En outre, la proposition de décision contient des dispositions relatives au fonctionnement du SID qui sont similaires à celles prévues par le règlement (CE) no 766/2008 susmentionné, par exemple en ce qui concerne la création d'un fichier d'identification des dossiers d'enquêtes douanières (chapitre VI).
La proposition de décision tient également compte de nouveaux instruments juridiques tels que la décisioncadre 2008/977/JAI et la décision-cadre 2006/960/JAI du 13 décembre 2006 relative à la simplification de l'échange d'informations et de renseignements entre les services répressifs des États membres de l'Union européenne (10).
La proposition de décision vise entre autres à:
renforcer la coopération entre autorités douanières par la fixation de procédures qui permettront à ces dernières d'agir conjointement et d'échanger des données à caractère personnel ou autre, liées aux trafics, en utilisant les nouvelles technologies de gestion et de transmission de ce type d'informations. Ces traitements sont soumis aux dispositions de la convention no 108 du Conseil de l'Europe et de la décisioncadre 2008/977/JAI et aux principes énoncés dans la recommandation no R (87) 15 du Comité des ministres du Conseil de l'Europe du 17 septembre 1987, visant à réglementer l'utilisation de données à caractère personnel dans le secteur de la police;
assurer une plus grande complémentarité avec l'action menée dans le cadre de la coopération avec Europol et Eurojust, en permettant à ces organismes d'accéder aux données du SID.
Dans ce contexte, l'objectif du SID, conformément à l'article 1er de la proposition de décision, est d'aider à prévenir, rechercher et poursuivre les infractions graves aux lois nationales en rendant les données plus rapidement disponibles et en renforçant ainsi l'efficacité des procédures de coopération et de contrôle des administrations douanières des États membres. Cette disposition reprend largement l'article 2, paragraphe 2, de la convention SID.
Pour atteindre ces objectifs, la proposition de décision élargit les possibilités d'utilisation des données du SID et comprend l'interrogation de systèmes et la possibilité d'analyse stratégique ou opérationnelle. Le CEPD prend note de l'élargissement de l'objectif du SID et de la liste des catégories de données à caractère personnel à collecter et à traiter, ainsi que de la liste des personnes concernées qui ont directement accès au SID.
Compte tenu du rôle d'autorité de contrôle qu'il joue actuellement pour le volet central de la partie du SID relevant du premier pilier, le CEPD s'intéresse tout particulièrement à la proposition de décision examinée ainsi qu'aux travaux récents menés au sein du Conseil concernant son contenu. Le CEPD insiste sur la nécessité de garantir une approche cohérente et globale afin d'aligner entre elles les parties du SID relevant du premier et du troisième piliers.
Le CEPD observe que la proposition de décision aborde différents aspects liés aux droits fondamentaux, en particulier la protection des données à caractère personnel ainsi que le droit à l'information et d'autres droits des personnes concernées.
En ce qui concerne le régime actuel de protection des données prévu par la convention SID, le CEPD tient à indiquer qu'il était nécessaire de modifier et d'actualiser un certain nombre des dispositions actuelles de la convention, étant donné qu'elles ne satisfont plus aux exigences et normes actuelles en matière de protection des données. Le CEPD saisit cette occasion pour souligner que la garantie d'un niveau élevé de protection des données à caractère personnel et d'une mise en œuvre plus efficace de cette protection dans les faits devrait être considérée comme un préalable essentiel à l'amélioration du fonctionnement du SID.
Après quelques observations générales, le présent avis abordera essentiellement les questions pertinentes du point de vue de la protection des données à caractère personnel qui sont énumérées ciaprès:
les garanties en matière de protection des données offertes par le SID;
le fichier d'identification des dossiers d'enquêtes douanières;
l'accès d'Eurojust et d'Europol au SID (proportionnalité et nécessité de l'élargissement de l'accès à ces organismes);
le modèle de contrôle pour le SID dans son ensemble;
la liste des autorités ayant accès au SID.
Cohérence entre les parties du SID relevant respectivement du premier et du troisième piliers
Ainsi qu'il l'a indiqué dans ses observations préliminaires, le CEPD s'intéresse tout particulièrement aux travaux récemment menés sur la partie du SID relevant du troisième pilier, étant donné qu'il exerce déjà un contrôle sur le volet central de la partie du SID relevant du premier pilier, conformément au nouveau règlement (CE) no 766/2008 du Parlement européen et du Conseil (11) en vue d'assurer la bonne application des réglementations douanière et agricole.
À cet égard, le CEPD souhaite attirer l'attention du législateur sur le fait qu'il a déjà formulé des observations sur des questions relatives au contrôle de la partie du SID relevant du premier pilier dans plusieurs avis, en particulier dans son avis du 22 février 2007 (12).
Dans ce dernier avis, le CEPD a souligné que «la création et le perfectionnement des divers instruments visant à renforcer la coopération communautaire, tels que le SID, entraînent un accroissement de la part d'informations à caractère personnel qui seront initialement collectées par les autorités administratives des États membres, puis échangées entre elles et, dans certains cas, également échangées avec des pays tiers. Les données à caractère personnel traitées par les autorités administratives des États membres et échangées entre elles peuvent comprendre des informations relatives à la participation présumée ou confirmée de personnes physiques à des actes illicites dans le cadre d'opérations effectuées en matière douanière ou agricole. (…) Son importance est d'ailleurs encore plus nette si l'on tient compte du type de données collectées et échangées, notamment celles relatives à des personnes soupçonnées d'être impliquées dans des actes illicites, et de la finalité et du résultat d'ensemble du traitement des données.»
Nécessité d'une approche stratégique du SID dans son ensemble
Le CEPD souligne que, contrairement aux modifications que le règlement (CE) no 766/2008 a apportées à l'instrument relevant du premier pilier qui régit le SID, la proposition de décision prévoit une révision complète de la convention SID, offrant ainsi au législateur la possibilité d'avoir une vision plus générale du système dans son ensemble, fondée sur une approche cohérente et globale.
De l'avis du CEPD, cette approche doit également être axée sur l'avenir. D'autres évolutions, telles que l'adoption de la décision-cadre 2008/977/JAI et la (possible) future entrée en vigueur du traité de Lisbonne, devraient être dûment examinées et prises en compte au moment de décider du contenu de la proposition de décision.
En ce qui concerne l'entrée en vigueur du traité de Lisbonne, le CEPD attire l'attention du législateur sur la nécessité de procéder à une analyse approfondie des effets que la suppression de la structure en piliers de l'UE pourrait avoir sur le SID lorsque ledit traité entrera en vigueur, étant donné que le SID est actuellement fondé sur une combinaison d'instruments relevant des premier et troisième piliers. Le CEPD regrette le manque d'explications concernant cette importante évolution future, qui aurait des répercussions importantes sur le cadre juridique qui régira le SID à l'avenir. D'une manière plus générale, le CEPD soulève la question de savoir s'il ne serait pas plus opportun que le législateur attende l'entrée en vigueur du traité de Lisbonne pour procéder à cette révision, de manière à éviter toute insécurité juridique.
Le CEPD appelle à veiller à la cohérence avec d'autres systèmes à grande échelle
De l'avis du CEPD, le fait de remplacer l'intégralité de la convention SID offre également une bonne occasion de garantir la cohérence du SID avec d'autres systèmes et mécanismes mis en place depuis l'adoption de la convention SID. À cet égard, le CEPD appelle à veiller à la cohérence, également en ce qui concerne le modèle de contrôle, avec d'autres instruments juridiques, en particulier ceux qui établissent le système d'information Schengen de deuxième génération (SIS II) et le Système d'information sur les visas.
Lien avec la décision-cadre 2008/977/JAI
Le CEPD se félicite que la proposition de décision tienne compte de la décision-cadre relative à la protection des données à caractère personnel, compte tenu des échanges de données qui ont lieu entre États membres dans le cadre du SID. L'article 20 du projet de décision indique clairement que la décision-cadre 2008/977/JAI s'applique aux fins de la protection des données échangées conformément à la présente décision, dans la mesure où celle-ci n'en dispose pas autrement. Le CEPD observe par ailleurs que la proposition de décision fait également référence à la décisioncadre dans d'autres dispositions, par exemple à l'article 4, paragraphe 5, qui prévoit que les données visées à l'article 6 de la décision-cadre 2008/977/JAI ne sont pas incluses dans le SID, à l'article 8 relatif à l'utilisation des données provenant du SID pour atteindre l'objectif visé à l'article 1er, paragraphe 2, à l'article 22 relatif aux droits des personnes pour ce qui est des données à caractère personnel figurant dans le SID et à l'article 29 relatif à la responsabilité et aux obligations.
Le CEPD estime que les notions et principes établis dans cette décisioncadre sont valables dans le contexte du SID et qu'ils devraient donc s'appliquer au SID, dans un souci à la fois de sécurité juridique et de cohérence entre les régimes juridiques.
Cela dit, le CEPD insiste sur le fait que le législateur devrait prévoir les garanties nécessaires pour que, en attendant la pleine application des dispositions de la décisioncadre 2008/977/JAI, conformément à ses dispositions finales, il n'y ait pas de faille dans le système de protection des données. En d'autres termes, le CEPD souhaite souligner qu'il est favorable à l'approche consistant à mettre en place les garanties nécessaires et adéquates avant que de nouveaux échanges de données n'aient lieu.
Le CEPD estime que l'application effective du droit à la protection des données et du droit à l'information est un élément fondamental du bon fonctionnement du SID. Des garanties en matière de protection des données sont non seulement nécessaires pour assurer une protection efficace des personnes dont les données figurent dans le SID, mais elles devraient également permettre de contribuer à un fonctionnement harmonieux et plus efficace du système.
Le CEPD attire l'attention du législateur sur le fait que des garanties solides et efficaces en matière de protection des données sont d'autant plus nécessaires que le SID est une base de données fondée davantage sur des «soupçons» que sur des condamnations ou d'autres décisions judiciaires ou administratives, ce qui ressort de l'article 5 de la proposition de décision, qui prévoit que: «les données relatives aux catégories visées à l'article 3 sont introduites dans le système d'information des douanes uniquement à des fins d'observation et de compte rendu, de surveillance discrète, de contrôles spécifiques et d'analyse stratégique ou opérationnelle. Aux fins des actions suggérées (…), les données à caractère personnel (…) ne peuvent être introduites dans le système d'information des douanes que si, principalement sur la base d'activités illégales préalables, des indices réels portent à croire que la personne en question a commis ou est en train de commettre ou commettra des violations graves des lois nationales.» Compte tenu de cette caractéristique du SID, la proposition de décision requiert des garanties équilibrées, efficaces et perfectionnées en termes de protection des données à caractère personnel et des mécanismes de contrôle.
En ce qui concerne les dispositions de la proposition de décision spécifiquement consacrées à la protection des données à caractère personnel, le CEPD prend note des efforts déployés par le législateur pour prévoir davantage de garanties que n'en offre la convention SID. Néanmoins, le CEPD tient à exprimer un certain nombre de préoccupations importantes concernant les dispositions relatives à la protection des données à caractère personnel et, en particulier, s'agissant de l'application du principe de limitation de la finalité.
Il convient également de mentionner à cet égard que les observations formulées dans le présent avis sur les garanties en matière de protection des données ne concernent pas uniquement les dispositions qui modifient ou élargissent le champ d'application de la convention SID, mais portent également sur les parties reprises de la version actuelle de la convention SID. La raison en est que, comme indiqué dans les observations générales, le CEPD estime que certaines dispositions de la convention SID semblent ne plus satisfaire aux exigences actuelles en matière de protection des données et que la proposition de décision présentée par la France offre une bonne occasion de revoir l'ensemble du SID et de garantir un niveau adéquat de protection de données, équivalent à celui qui prévaut dans la partie du SID relevant du premier pilier.
Le CEPD note avec satisfaction que seules les données à caractère personnel figurant sur une liste fermée et exhaustive peuvent être introduites dans le SID. Il se félicite également que la proposition de décision prévoie une définition des termes «données à caractère personnel» plus large que celle qui figure dans la convention SID. En effet, aux termes de l'article 2, point 2, de la proposition de décision, on entend par «données à caractère personnel» toute information concernant une personne physique identifiée ou identifiable («personne concernée»);«est réputée identifiable une personne qui peut être identifiée, directement ou indirectement, notamment par référence à un numéro d'identification ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, psychique, économique, culturelle ou sociale.»
Au nombre des dispositions qui suscitent d'importantes préoccupations en matière de protection des données figure notamment l'article 8 de la proposition de décision, qui prévoit que les États membres ne peuvent utiliser les données provenant du système d'information des douanes que pour atteindre l'objectif visé à l'article 1er, paragraphe 2. Ils peuvent, toutefois, s'en servir à des fins administratives ou autres avec une autorisation préalable de l'État membre qui les a introduites dans le système et sous réserve des conditions qu'il a imposées. Un tel autre usage doit être conforme aux lois, réglementations et procédures de l'État membre cherchant à s'en servir conformément à l'article 3, paragraphe 2, de la décision-cadre 2008/977/JAI. Cette disposition relative à l'utilisation des données provenant du SID est essentielle pour la structure du système et doit donc faire l'objet d'une attention particulière.
L'article 8 de la proposition de décision fait référence à l'article 3, paragraphe 2, de la décisioncadre 2008/977/JAI, qui concerne les «principes de licéité, de proportionnalité et de finalité». L'article 3 de la décision-cadre prévoit ce qui suit:
«1. Les données à caractère personnel peuvent être collectées par les autorités compétentes uniquement pour des finalités déterminées, explicites et licites dans le cadre de leurs tâches et traitées uniquement pour les finalités pour lesquelles elles ont été collectées. Le traitement des données est licite et adéquat, pertinent et non excessif au regard des finalités pour lesquelles elles sont collectées.
ce traitement n'est pas incompatible avec la finalité pour laquelle les données ont été collectées;
les autorités compétentes sont autorisées à traiter ces données pour d'autres finalités conformément aux dispositions légales applicables; et
ce traitement est nécessaire et proportionné à ces finalités.»
Nonobstant l'application de l'article 3, paragraphe 2, de la décisioncadre 2008/977/JAI, qui fixe des conditions générales dans lesquelles le traitement pour une autre finalité est permis, le CEPD attire l'attention sur le fait que l'article 8 de la proposition de décision, en autorisant l'utilisation des données provenant du SID à des fins administratives ou autres, quelles qu'elles soient, non définies dans ledit projet, suscite des inquiétudes quant au respect des exigences en matière de protection des données, en particulier en ce qui concerne le principe de limitation de la finalité. D'ailleurs, l'instrument relevant du premier pilier n'autorise pas une telle utilisation générale. En conséquence, le CEPD demande que les fins auxquelles les données peuvent être utilisées soient précisées. Cet aspect est essentiel du point de vue de la protection des données, puisqu'il est lié aux principes fondamentaux qui régissent l'utilisation des données dans les systèmes à grande échelle: les données ne devraient être utilisées qu'à des fins bien définies et clairement délimitées, régies par le cadre juridique.
L'article 8, paragraphe 4, de la proposition de décision concerne les données transférées à des pays tiers ou à des organisations internationales. Aux termes de cette disposition: «les données provenant du système d'information des douanes peuvent, avec l'autorisation préalable de l'État membre qui les a introduites dans le système et sous réserve des conditions qu'il a imposées, être transférées à (…) des pays tiers ainsi qu'à des organisations internationales ou régionales désirant s'en servir. Chaque État membre prend des mesures spéciales pour s'assurer de la sécurité de ces données lorsqu'elles sont transférées à des services situés hors de son propre territoire. Les détails de ces mesures doivent être transmis à l'autorité de contrôle commune visée à l'article 25.»
Le CEPD note que l'article 11 de la décision-cadre relative à la protection des données à caractère personnel s'applique en l'occurrence. Il convient cependant de souligner que, compte tenu du champ d'application très général de l'article 8, paragraphe 4, de la proposition de décision, qui permet en principe aux États membres de transférer des données provenant du SID à des pays tiers ainsi qu'à des organisations internationales ou régionales désirant s'en servir, les garanties envisagées dans cette disposition sont loin d'être suffisantes du point de vue de la protection des données à caractère personnel. Le CEPD demande donc que l'article 8, paragraphe 4, soit réexaminé afin de prévoir un système uniforme d'évaluation du caractère adéquat des mesures adoptées à travers un mécanisme approprié, en prévoyant par exemple que le comité visé à l'article 26 de la proposition de décision soit associé à cette évaluation.
Autres garanties en matière de protection des données
Le CEPD accueille avec satisfaction les dispositions relatives à la modification des données (chapitre IV, article 13), qui contribuent dans une large mesure au respect du principe de la qualité des données. Le CEPD salue en particulier l'élargissement et la modification, par rapport à la convention SID, de la portée de cette disposition, qui prévoit désormais également la rectification et l'effacement des données. Ainsi, l'article 13, paragraphe 2, de la proposition de décision prévoit que si un État membre fournisseur ou Europol s'aperçoit ou apprend que les données qu'il a introduites sont de fait inexactes ou qu'elles ont été introduites ou qu'elles sont conservées contrairement à ladite décision, il modifie, complète, rectifie ou efface ces données comme il convient, et en avise les autres États membres et Europol.
Le CEPD prend note des dispositions du chapitre V concernant la conservation des données, qui se fonde pour l'essentiel sur la convention SID et prévoit notamment des délais de conservation des données copiées à partir du SID.
Le chapitre IX (Protection des données à caractère personnel) reprend de nombreuses dispositions de la convention SID. Il introduit néanmoins une modification importante par rapport à cette dernière, à savoir que la décisioncadre relative à la protection des données à caractère personnel s'applique au SID, et il prévoit, à l'article 22 de la proposition de décision, que «les droits des personnes, pour ce qui est des données à caractère personnel figurant dans le système d'information des douanes, et notamment leur droit d'accès, de rectification, d'effacement ou de verrouillage s'exercent conformément aux lois, réglementations et procédures de l'État membre mettant en œuvre la décision-cadre 2008/977/JAI dans lequel elles font valoir ces droits». Dans ce contexte, le CEPD souhaite notamment mettre l'accent sur l'importance d'un maintien de la procédure permettant aux personnes concernées de faire valoir leurs droits et d'être en mesure de demander l'accès aux données dans tout État membre. Le CEPD examinera de près la mise en œuvre concrète de ce droit important des personnes concernées.
La proposition de décision élargit également le champ d'application de la convention SID en ce qui concerne l'interdiction de copier des données provenant du SID dans d'autres fichiers de données nationaux L'article 14, paragraphe 2, de la convention SID prévoit explicitement que «les données à caractère personnel introduites par d'autres États membres ne peuvent pas être copiées du système d'information des douanes dans d'autres fichiers de données nationaux». La proposition de décision, quant à elle, autorise à copier ces données «en cas de copies dans des systèmes de gestion des risques chargés d'orienter les contrôles douaniers au niveau national ou de copies dans un système d'analyse opérationnelle permettant de coordonner les actions» (article 21, paragraphe 3). À cet égard, le CEPD s'associe aux observations formulées par l'Autorité de contrôle commune des douanes dans son avis 9/03, en particulier en ce qui concerne les termes «systèmes de gestion des risques» et la nécessité de préciser davantage dans quels cas et dans quelles circonstances il serait possible de procéder aux copies autorisées en vertu de l'article 21, paragraphe 3.
Le CEPD accueille avec satisfaction les dispositions prévues en matière de sécurité, qui sont essentielles en vue d'un fonctionnement efficace du SID (chapitre XII).
La proposition de décision ajoute des dispositions relatives au fichier d'identification des dossiers d'enquêtes douanières (articles 16 à 19), compte tenu de l'établissement de ce fichier dans le cadre de l'instrument relevant du premier pilier. Bien que le CEPD ne remette pas en question la nécessité de disposer de bases de données nouvelles de ce type dans le cadre du SID, il souligne qu'il est nécessaire de mettre en place des garanties appropriées en matière de protection des données. À cet égard, le CEPD se réjouit que l'exception prévue à l'article 21, paragraphe 3, ne s'applique pas aux fichiers d'identification des dossiers d'enquêtes douanières.
Accès d'Europol et d'Eurojust au SID
La proposition de décision accorde à l'Office européen de police (Europol) et à l'Unité européenne de coopération judiciaire (Eurojust) le droit d'accéder au SID.
Tout d'abord, le CEPD indique qu'il est nécessaire de définir clairement la finalité de cet accès et d'évaluer la proportionnalité et la nécessité de l'élargissement de l'accès au SID. Or aucune information justifiant la nécessité d'accorder le droit d'accès au SID à Europol et Eurojust n'est fournie. Le CEPD souligne par ailleurs que lorsque l'on propose de donner accès à des bases de données, à des fonctionnalités et au traitement d'informations à caractère personnel, il est manifestement nécessaire d'évaluer à l'avance non seulement l'utilité d'un tel accès, mais également la nécessité réelle et avérée d'une telle proposition. Le CEPD insiste sur le fait qu'aucune justification n'a été fournie.
Le CEPD demande en outre que le texte définisse clairement les missions exactes au titre desquelles Europol et Eurojust peuvent se voir accorder l'accès aux données concernées.
Conformément à l'article 11 de la proposition de décision, Europol a le droit, dans les limites de son mandat et aux fins de l'accomplissement de ses tâches, d'accéder aux données introduites dans le SID, de les consulter directement et d'introduire des données dans ledit système.
Le CEPD salue les limitations que prévoit la proposition de décision, à savoir notamment:
le fait de soumettre l'utilisation des informations provenant du SID à l'accord de l'État membre qui a introduit les données dans le système;
la limitation des transferts de données effectués par Europol vers des pays tiers (qui n'ont lieu également qu'avec le consentement de l'État membre qui a introduit les données dans le système);
la limitation de l'accès au SID (personnel autorisé);
le contrôle par l'autorité de contrôle commune d'Europol des activités d'Europol.
Le CEPD souhaiterait également faire observer que, à chaque fois que la proposition de décision fait référence à la convention Europol, il convient de tenir compte de la décision du Conseil en vertu de laquelle Europol va devenir, à compter du 1er janvier 2010, une agence de l'UE.
L'article 12 de la proposition de décision porte sur l'accès d'Eurojust au SID. Il prévoit que «sous réserve du chapitre IX, les membres nationaux de l'Unité européenne de coopération judiciaire (Eurojust), ainsi que leurs assistants, ont le droit, dans les limites de leur mandat et aux fins de l'accomplissement des tâches d'Eurojust, d'accéder aux données introduites dans le système d'information des douanes conformément aux articles 1er, 3, 4, 5 et 6, et de les consulter». La proposition de décision prévoit des dispositions similaires à celles envisagées pour Europol s'agissant du consentement de l'État membre qui a introduit les données. Les observations ci-dessus selon lesquelles il est nécessaire de justifier la nécessité d'accorder le droit d'accès au SID et de prévoir des limitations adéquates et nécessaires si cet accès est octroyé s'appliquent également à Eurojust.
Le CEPD se félicite que l'accès au SID soit accordé uniquement aux membres nationaux d'Eurojust, à leurs adjoints et à leurs assistants. Il constate cependant que l'article 12, paragraphe 1, de la proposition de décision ne mentionne que les membres nationaux et leur assistants, alors que les autres paragraphes de cet article mentionnent également les adjoints des membres nationaux. Le législateur devrait veiller à la clarté et à la cohérence du texte à cet égard.
Contrôle — vers un modèle cohérent et global
En ce qui concerne le contrôle envisagé de la partie du SID relevant du troisième pilier, le CEPD attire l'attention du législateur sur la nécessité de garantir un contrôle cohérent et global de l'ensemble du système. Il convient de tenir compte du cadre juridique complexe qui régit le SID, fondé sur deux bases juridiques, et d'éviter la coexistence de deux modèles de contrôle différents dans un souci de clarté juridique et pour des raisons pratiques.
Ainsi qu'il a été indiqué cidessus, le CEPD agit à ce jour en tant que contrôleur du volet central de la partie du SID relevant du premier pilier, conformément à l'article 37 du règlement (CE) no 515/97 du Conseil, tel que modifié par le règlement (CE) no 766/2008, qui prévoit que le contrôleur européen de la protection des données contrôle la conformité du SID avec les dispositions du règlement (CE) no 45/2001. Le CEPD constate que le modèle de contrôle envisagé dans la proposition de décision présentée par la France ne tient pas compte de ce rôle du CEPD , étant donné qu'il est fondé sur le rôle joué par l'autorité de contrôle commune du SID.
Bien que le CEPD apprécie à sa juste valeur le travail effectué par l'autorité de contrôle commune du SID, il avance deux raisons pour lesquelles un modèle de contrôle coordonné, conforme aux tâches de contrôle qu'il exerce actuellement dans le cadre d'autres systèmes à grande échelle, devrait être appliqué. Premièrement, un tel modèle garantirait une cohérence interne entre les parties du SID relevant du premier et du troisième piliers. Deuxièmement, il assurerait dans le même temps une cohérence avec les modèles mis en place pour d'autres systèmes à grande échelle. En conséquence, le CEPD conseille d'appliquer à l'ensemble du SID un modèle semblable à celui qui est utilisé dans le cadre du SIS II («contrôle coordonné» ou «modèle à plusieurs niveaux»). Comme indiqué dans l'avis du CEPD relatif à la partie du SID relevant du premier pilier, «en ce qui concerne le SIS II, le législateur européen a opté pour une rationalisation du modèle de contrôle, en appliquant le même modèle à plusieurs niveaux décrit plus haut, tant dans le cadre du premier pilier que du troisième pilier».
Le CEPD estime que la meilleure solution en l'espèce consiste à instaurer un système de contrôle plus uniforme, à savoir le modèle, déjà éprouvé, fondé sur une structure à trois niveaux: autorités chargées de la protection des données au niveau national, CEPD au niveau central et coordination entre ces deux niveaux. Le CEPD est convaincu que le remplacement de la convention SID par une décision du Conseil offre une occasion unique de simplifier le système de contrôle et de le rendre plus cohérent, en conformité totale avec d'autres systèmes à grande échelle (VIS, SIS II, Eurodac).
Enfin, ce modèle de contrôle coordonné prend également mieux en compte les modifications qui découleront de l'entrée en vigueur du traité de Lisbonne et de la suppression de la structure en piliers de l'UE.
Le CEPD ne se prononce pas sur la question de savoir si l'instauration de ce modèle de contrôle coordonné nécessiterait des modifications de l'instrument relevant du premier pilier qui régit le SID, à savoir le règlement (CE) no 766/2008 modifiant le règlement (CE) no 515/97 du Conseil, mais il attire l'attention du législateur sur la nécessité d'examiner également cet aspect du point de vue de la cohérence juridique.
Liste des autorités ayant accès au SID
L'article 8, paragraphe 3, de la proposition de décision prévoit que chaque État membre est tenu d'envoyer à chacun des autres États membres ainsi qu'au comité visé à l'article 26 une liste des autorités compétentes qu'il a désignées comme ayant accès au SID, en précisant, pour chaque autorité, à quelles données celle-ci peut avoir accès et à quelles fins.
Le CEPD souligne que la proposition de décision se contente de prévoir que les États membres devraient échanger des informations sur les autorités ayant accès au SID et en informer le comité visé à l'article 26, mais qu'elle n'envisage pas la publication de cette liste d'autorités, ce qui est regrettable étant donné qu'une telle publication contribuerait à une transparence accrue et créerait un outil concret de contrôle effectif du système, exercé par exemple par les autorités compétentes chargées de la protection des données.
Le CEPD est favorable à la proposition de décision du Conseil sur l'emploi de l'informatique dans le domaine des douanes. Il souligne que, en raison des travaux législatifs en cours au sein du Conseil, ses observations ne se fondent pas sur le texte définitif de la proposition de décision.
Il regrette l'absence de documents explicatifs susceptibles de fournir quelques éclaircissements et informations nécessaires sur les objectifs et la spécificité de certaines dispositions de la proposition de décision.
Le CEPD demande que la proposition de décision mette davantage l'accent sur la nécessité de disposer de garanties particulières en matière de protection des données. Il dénombre plusieurs domaines dans lesquels la mise en œuvre concrète de garanties en matière de protection des données devrait être mieux assurée, en particulier en ce qui concerne l'application de la limitation de la finalité s'agissant de l'utilisation des données introduites dans le SID. Le CEPD estime qu'il s'agit là d'un préalable indispensable à l'amélioration du fonctionnement du SID.
Le CEPD demande par ailleurs qu'un modèle de contrôle coordonné soit intégré dans la proposition de décision. Il convient de noter que le CEPD exerce actuellement un contrôle sur la partie du SID relevant du premier pilier. Le CEPD souligne que, dans un souci de cohérence, la meilleure solution consiste à appliquer également ce modèle de contrôle coordonné à la partie du SID relevant du troisième pilier. L'application de ce modèle garantirait aussi, en tant que de besoin, la cohérence avec d'autres instruments juridiques régissant l'établissement et/ou l'utilisation d'autres systèmes informatiques à grande échelle.
Le CEPD demande en outre que davantage d'explications soient fournies quant à la nécessité et à la proportionnalité d'accorder le droit d'accès à Eurojust et Europol. Il souligne que la proposition de décision manque d'éléments explicatifs à cet égard.
Le CEPD insiste également sur l'importance de renforcer l'article 8, paragraphe 4, de la proposition de décision relatif au transfert de données à des pays tiers ou des organisations internationales, en ce qui concerne notamment la nécessité de prévoir un système uniforme d'évaluation du caractère adéquat des mesures adoptées.
Enfin, le CEPD demande que soit ajoutée une disposition prévoyant la publication de la liste des autorités ayant accès au SID de manière à renforcer la transparence et à faciliter le contrôle du SID.
(4) JO C 29 du 5.2.2009, p. 6.
(5) Voir, récemment, l'avis du contrôleur européen de la protection des données sur l'initiative de quinze États membres en vue de l'adoption d'une décision du Conseil sur le renforcement d'Eurojust et modifiant la décision 2002/187/JAI (JO C 310 du 5.12.2008, p. 1).
(7) JO C 316 du 27.11.1995, p. 33.
(9) La proposition de décision ajoute une nouvelle catégorie: g) les retenues, saisies ou confiscations d'articles.
(10) JO L 386 du 29.12.2006, p. 89.
(11) JO L 218 du 13.8.2008, p. 48.
(12) Avis du 22 février 2007 sur la proposition de règlement [doc. COM(2006) 866 final], JO C 94 du 28.4.2007, p. 3.
Remplacement de la liste publiée au JO C 316 du 28.12.2007, p. 1 .
HONGRIE–CROATIE
Drávaszabolcs (fleuve, sur demande) (1)
Gyékényes–Koprivnica (chemin de fer)
Letenye–Goričan II (route nationale)
Magyarboly–Beli Manastir (chemin de fer)
Mohács (fleuve)
Murakeresztúr–Kotoriba (chemin de fer)
HONGRIE–SERBIE
Kelebia–Subotica (chemin de fer)
Röszke–Horgoš (route nationale)
Röszke–Horgoš (chemin de fer)
Szeged (fleuve) (2)
HONGRIE–ROUMANIE
Ágerdőmajor (Tiborszállás)–Carei (chemin de fer)
Biharkeresztes–Episcopia Bihorului (chemin de fer)
Kötegyán–Salonta (chemin de fer)
Lőkösháza–Curtici (chemin de fer)
Nyírábrány–Valea Lui Mihai (chemin de fer)
HONGRIE–UKRAINE
Eperjeske–Salovka (chemin de fer)
Záhony–Čop (chemin de fer)
Aérodromes (Ouvert sur demande seulement):
(2) Voir note (*).
(4) Voir note (*).
À la suite d’une requête déposée par JSC Kirovo-Chepetsky Khimichesky Kombinat, le Tribunal de première instance des Communautés européennes (TPI), par son arrêt du 10 septembre 2008 dans l’affaire T-348/05, a annulé le règlement (CE) no 945/2005 du Conseil (1) du 21 juin 2005 modifiant, d’une part, le règlement (CE) no 658/2002 instituant un droit antidumping définitif sur les importations de nitrate d’ammonium originaire de Russie (2) et, d’autre part, le règlement (CE) no 132/2001 instituant un droit antidumping définitif sur les importations de nitrate d’ammonium originaire, entre autres, d’Ukraine (3). À la suite d’un recours en interprétation de l’arrêt précité, le Tribunal de première instance a déclaré par ailleurs, dans son arrêt du 9 juillet 2009, que le dispositif de l'arrêt du 10 septembre 2008 doit être interprété en ce sens que le règlement (CE) no 945/2005 du 21 juin 2005 est annulé dans la mesure où il concerne JSC Kirovo-Chepetsky Khimichesky Kombinat.
En conséquence, les droits antidumping définitifs acquittés, en vertu du règlement (CE) no 658/2002 du Conseil, sur les importations de produits fabriqués et exportés vers l’Union européenne par JSC KirovoChepetsky Khimichesky Kombinat, à l’exception des droits antidumping perçus sur les importations de produits relevant des codes NC 3102 30 90 et 3102 40 90, doivent être remboursés ou remis. Les demandes de remboursement ou de remise doivent être introduites auprès des autorités douanières nationales conformément à la réglementation douanière applicable.
(1) JO L 160 du 23.6.2005, p. 1.
(2) JO L 102 du 18.4.2002, p. 1.
(3) JO L 23 du 25.1.2001, p. 1.