Critiques à la proposition de décision cadre sur la protection des données personnelles dans l'espace européen de coopération judiciaire

Le renforcement de la coopération policière et judiciaire entre les pays de l’Union européenne allié aux possibilités offertes par les nouvelles technologies est une menace potentielle pour les libertés individuelles. Le Contrôleur Européen de la Protection des Données le rappelle dans son nouvel avis (le troisième) du 27/04/2007 sur la proposition de décision cadre actuellement en cours d’examen au Conseil (1). Cette proposition a précisément pour objectif d’encadrer la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale (une donnée à caractère personnel est une information relative à une personne physique identifiée ou qui peut être identifiée, directement ou indirectement, par référence à un numéro d'identification ou à un ou plusieurs éléments qui lui sont propres, et qui peut faire l’objet d’un traitement c’est à dire d’opérations telles que la collecte, l'enregistrement, l'organisation, la conservation, la modification, l'extraction, la consultation, l'utilisation, la communication par transmission, diffusion ou toute autre forme de mise à disposition, le rapprochement ou l'interconnexion, ainsi que le verrouillage, l'effacement ou la destruction…).

L' abolition des frontières intérieures s’accompagne d’un développement des échanges d'information des services répressifs nationaux, portant sur des données sensibles, avec le risque qu’une utilisation abusive en soit faite. Or, la proposition de décision cadre est loin, de l’avis du CEPD, de prévoir les garanties nécessaires pour éviter ce risque et les droits des citoyens pourraient bien être sacrifiés sur l’autel de l'efficacité dans la coopération policière et judiciaire.

La position du CEPD est résumée sans ambiguïté et de façon plutôt lapidaire dans le communiqué de presse rendu public le 30/04. On peut y lire : « le CEPD recommande fermement au Conseil de ne pas adopter la proposition actuelle, sauf améliorations significatives ». Plus avant, le CEPD exprime « de graves préoccupations envers la tendance à aller vers le plus petit dénominateur commun ».

Selon le Contrôleur, de nombreux points du texte ne répondent pas aux exigences de la protection des données telles que définies par le Traité de l'Union européenne. Bien plus, certaines dispositions « sont même en dessous des standards fixés par la Convention 108 du Conseil de l'Europe (1981), qui a établi des principes de base de la protection des données en Europe » (2).

C’ est pourquoi, le CEPD appelle le Conseil à revoir la proposition sur les points suivants :

Celle-ci doit obliger les états (et non pas les « inviter ») à inclure dans le régime de protection les traitements de données "domestiques"c’est-à-dire internes, afin que les citoyens ne soient pas uniquement protégés de manière adéquate lors des échanges entre états membres.
Les finalités pour lesquelles les données personnelles peuvent être traitées doivent être limitées, dans le respect des principes de base de la Convention 108 qui dispose que les données personnelles sont « enregistrées pour des finalités déterminées et légitimes et ne sont pas utilisées de manière incompatible avec ces finalités » (article 5.b), les seules dérogations permises devant être prévues par la loi et constituer « une mesure nécessaire dans une société démocratique » ayant pour objet, par exemple, la répression des infractions pénales (article 9). Selon la jurisprudence de la Cour européen des droits de l’homme, ces dérogations ne sont de surcroît admises qui si elles sont proportionnées au but, précises et prévisibles. Or, la rédaction de la proposition de décision cadre est trop large et imprécise pour permettre le respect de ces conditions, estime le CEPD.
Le niveau de protection des données dans les échanges avec les pays tiers doit faire l’objet d'une norme commune européenne.
La qualité des données doit être assurée conformément aux dispositions de l’article de l’article 5 de la Convention 108 qui impose notamment qu’elles soient « obtenues et traitées loyalement et licitement ». Une distinction doit être faite entre les données factuelles et les autres données n’ayant pas ce caractère ( opinions ou témoignages, par exemple), ce qui n’est pas le cas dans la proposition de décision cadre. De même, la proposition ne permet pas de distinguer les catégories de personnes concernées par les renseignements échangés (coupables, suspects, victimes, témoins, etc…) et n’offre pas de garanties spécifiques sur les données relatives à des personnes qui ne sont pas mises en cause.
Les droits d’accès, de recours, etc…des citoyens doivent être améliorés
- Les échanges de données avec des autorités non-répressives et des entités privées doivent être soumis à des conditions strictes et spécifiques.

Selon le CEPD, le parallèle doit être fait avec l’ouverture du marché intérieur qui s’est accompagné de la définition d’une législation protectrice des données personnelles (3). De la même façon dit le CEPD, “l’espace commun de liberté, de sécurité et de justice (ndlr : troisième pilier de l’Union européenne) dans lequel l’ information va circuler librement entre les autorités judiciaires … exige un haut niveau de protection des données personnelles dans tous les états membres » (4). Or, telle n’est pas l’orientation prise par les états.

Mais, en l’espèce, seuls ces derniers sont compétents pour décider sur une question qui relève du troisième pilier de l’Union européenne , celui de la coopération intergouvernementale et non du pilier communautaire dans lequel le Parlement européen est colégislateur et peut amender voire refuser les textes votés par le Conseil. Et voilà comment les libertés individuelles risquent fort de se trouver écornées par la grâce du Conseil et comment l’Union européenne pourrait être amenée à assurer une protection des individus à double vitesse : étendue dans le cadre de la Communauté européenne et du marché intérieur, limitée dans celui du troisième pilier.

02/05/2007

1 - Avis du Contrôleur Européen de la Protection des Données sur la proposition de décision-cadre sur la protection des données dans le troisième pilier.

2 - Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel, Strasbourg, 28/01/1981

3 - Directive 95/46/CE du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données

4 - Sur les piliers de l'Union européenne voir l'étude sur ce site