Debate: Surveillance and predator spyware systems in Greece
Date: MONDAY, 12 SEPTEMBER 2022
Speaker: Didier Reynders
Language: FR

Il appartient certes aux États membres de définir leurs intérêts essentiels de sécurité et d’adopter les mesures appropriées pour assurer leur sécurité intérieure et extérieure; ils sont seuls compétents en la matière. Toutefois, l’État membre doit être en mesure de démontrer que sa sécurité intérieure est effectivement compromise dans le cas en question. Une simple référence à la sécurité nationale ne suffit pas pour écarter l’application du droit de l’Union, comme l’indique clairement la jurisprudence de la Cour de justice de l’Union. Elle doit s’appuyer sur des éléments concrets et substantiels. En ce qui concerne la situation en Grèce, les services de la Commission ont écrit au gouvernement grec à la suite d’informations selon lesquelles le logiciel Predator aurait été utilisé par l’agence de renseignement grecque. Cet échange de courriers portait sur l’interaction entre la législation nationale et l’acquis européen en matière de protection des données. Les autorités grecques se sont engagées à informer la Commission des résultats des investigations en cours. Nous avions envoyé des lettres similaires à plusieurs autres États membres suite aux révélations concernant le logiciel Pegasus. L’utilisation présumée de logiciels espions en Grèce a également été mentionnée dans le chapitre dédié à la Grèce du rapport annuel sur l’état de droit adopté par la Commission en juillet dernier. La Commission n’est pas compétente pour connaître des dossiers individuels. Nous ne sommes pas non plus à même d’évaluer la mesure dans laquelle une référence à l’exception de sécurité nationale est effectivement justifiée dans un cas concret. Ce rôle revient aux autorités nationales, notamment aux autorités judiciaires, qui peuvent, le cas échéant, avoir accès aux dossiers en cause. La Commission continue de rassembler des informations factuelles et juridiques sur l’interaction entre le droit européen et les législations nationales et évaluera la question à la lumière de toutes les informations disponibles.  Ladies and gentlemen, beyond the situation in Greece and, as the Commission has underlined in the Rule of Law Report, Member States must supervise and control their security services to ensure that they fully respect EU law, including fundamental rights such as the protection of personal data, the confidentiality of communications, media freedom and freedom of expression. The Commission expects national authorities to thoroughly examine the reported use of spyware and to restore citizens’ trust. I also wish to recall that the EU has a strong legal framework for data protection and privacy. I would like to refer to several pieces of legislation. Under the ePrivacy Directive, any tapping, recording, storing or other types of interceptions or monitoring of communications by other persons than the user is prohibited. But measures taken by public authorities to safeguard national security fall outside the scope of the e-Privacy Directive if they can be justified under the national security exception. Furthermore, law enforcement authorities may restrict the confidentiality of communication to combat criminal offences, provided that the law enforcement measures taken are necessary and proportionate in a democratic society and respect the essence of the fundamental right to privacy. The adoption of a new ePrivacy Regulation will further strengthen the provisions of the current e-Privacy Directive. It will notably further harmonise the rules and overcome fragmentation, putting even more emphasis on the confidentiality of communications. And it will strengthen the enforcement and sanction powers of the supervisory authorities. It is therefore essential to conclude the trilogue negotiations on the ePrivacy Regulation swiftly. Moreover, the directive on attacks against information systems requires Member States to ensure that illegal system access and illegal interception are punishable as a criminal offence in their national criminal law. Finally, any processing of personal data by public authorities, including law enforcement authorities, falls within the scope of the EU data protection acquis: the GDPR and the Law Enforcement Directive. This to the extent that the national security exception does not apply, which, as I said, is subject to strict conditions of necessity and proportionality. These rules must be respected and National supervisory authorities and national courts have an important role to play in this respect. The Commission expects that they will make full use of all their powers. Let me also mention some upcoming initiatives that the Commission will be taking. The Commission will present this week a proposal for a European Cyber Resilience Act, which will set out cybersecurity requirements for products with digital elements, both hardware and software. This will, in general, contribute to making digital products more secure and less vulnerable to spyware attacks. The proposal for a European Media Freedom Act, which the Commission will present this week as well, notably aims to enhance the protection of journalists. I thank you, of course, for your attention for the opportunities of such a debate and I’m now looking forward to listening to your interventions, to the future exchanges in Commission, in committees, but also in plenary about this subject.