Traitement des données à caractère personnel en matière pénale par les autorités judiciaires et policières

Justice et affaires intérieures

Texte E 7054

Protection des données personnelles

COM (2012) 10 final

Proposition de résolution européenne de M. Simon Sutour

(Réunion du 7 février 2013)

M. Simon Sutour, président. - Il y a un an, nous avons traité de la proposition de règlement général sur la protection des données, d'application immédiate. En mars 2012, le Sénat a adopté sur mon rapport une résolution sur la proposition de règlement général sur la protection des données. Sur notre initiative, le Sénat a aussi adopté un avis motivé au titre de la subsidiarité. Ce texte est encore loin d'être finalisé : le Parlement européen devrait se prononcer en avril. La présidence irlandaise semble vouloir parvenir à un accord, au moins partiel, d'ici juin.

Voici maintenant la proposition de directive, qui doit faire l'objet d'une transposition. Fixant le cadre de la protection des données dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, elle se substitue à une décision-cadre de 2008. Si notre commission adopte la proposition de résolution, celle-ci sera renvoyée à la commission des lois.

La décision-cadre de 2008 s'applique au seul traitement des données à caractère personnel transmises ou mises à disposition entre les États membres : le traitement des données par la police et la justice dans le cadre d'affaires pénales au niveau national en étant exclu, elle n'harmonise pas les niveaux de protection sur le territoire européen, qui voit donc coexister des régimes spécifiques différents (système d'information Schengen, Europol, traité de Prüm...)..

Les autorités de protection de données regroupées au sein du groupe de l'article 29, le G29, qui comprend notamment la Cnil, ont également jugé insuffisant l'encadrement des données sensibles et des transferts de données vers des États tiers, ainsi que le rôle qui leur est dévolu.

Nous ne sommes pas les moins bien dotés en cette matière. La loi « Informatique et libertés » s'appliquant à tous les traitements de données, quelle que soit leur finalité, nous garantit un niveau de protection adéquat au sens de la décision-cadre, qui n'a donc pas été transposée.

D'après le traité de Lisbonne, toute personne physique a le droit à la protection des données personnelles la concernant. Le traité a en outre créé une base juridique spécifique pour les données personnelles, qui comprend la coopération policière et la coopération judiciaire en matière pénale.

Nous souscrivons au choix de la Commission européenne de traiter ces questions dans un texte spécifique. Les questions pénales, profondément marquées par les traditions nationales, rendent difficile l'adoption d'un règlement.

Si la prise en compte des échanges entre États membres et à l'intérieur de chaque pays constitue un progrès, l'exclusion des traitements mis en oeuvre par les organismes européens tels qu'Europol, Eurojust ou Frontex rend les dispositifs peu cohérents et lisibles.

En outre, il pourra être difficile de déterminer, pour certains traitements, s'ils relèvent de la directive ou du règlement général. De nombreux fichiers de police administrative, qui relèveraient, en l'état, de la proposition de règlement, devraient logiquement relever de la proposition de directive, afin de garantir une cohérence des règles applicables à ces fichiers mixtes. Ainsi, le fichier national des interdits de stade (FNIS) est un fichier de police administrative, à finalité de sécurité publique.

Dans plusieurs domaines, le texte risque de diminuer les protections garanties par notre droit national. Nous demandons donc qu'une disposition expresse rappelle que la directive ne fournit qu'un seuil minimal de garanties et que les États membres peuvent assurer un niveau supérieur de protection.

M. André Gattolin. - Cela va mieux en le disant.

M. Simon Sutour, président. - Lors de l'examen de la proposition de règlement, nous nous étions opposés aux multiples délégations faites à la Commission européenne sur des sujets essentiels qui devaient relever du législateur européen. Pour les mêmes motifs, nous ne pouvons accepter que la Commission adopte des actes délégués pour préciser les critères et exigences applicables à l'établissement d'une violation des données. Mme Reding nous avait expliqué que ces actes étaient très encadrés, toutefois, de mon point de vue, des actes bien encadrés ne sont pas délégués.

Le texte ne reprend pas le principe établi par la proposition de règlement selon lequel les données ne sont traitées que si, et pour autant que les finalités du traitement ne peuvent pas être atteintes par le traitement d'informations ne contenant pas de données à caractère personnel. De même, aucune disposition expresse ne limite l'accès aux données au personnel dûment autorisé des autorités compétentes qui en a besoin pour l'exécution de ses missions. Les obligations des responsables de traitement devraient en outre être précisées au regard notamment des niveaux de sécurité qu'exigent ces traitements et des conditions fixées pour le transfert de données à caractère personnel vers des pays tiers à l'Union.

En outre, contrairement à la proposition de règlement, aucune disposition particulière n'est prévue en ce qui concerne le traitement de données relatives aux enfants, pourtant nécessaire en matière pénale.

Enfin, les rédactions retenues fragilisent parfois des garanties nécessaires. Par exemple, les distinctions entre les catégories de personnes concernées (mis en cause, témoin, victime, etc.) doivent être établies seulement « dans la mesure du possible ». Il semble normal d'informer la victime qu'elle figure dans un fichier, à la différence d'un mis en cause ou d'un suspect.

Le Sénat s'est toujours opposé à l'utilisation des données sensibles, notamment lors de l'examen des projets PNR, et la loi « Informatique et libertés » encadre strictement leur utilisation. Or, ses restrictions ne sont pas reprises dans le texte, qui définit de manière large les exceptions au principe d'interdiction du traitement de ces données : elles pourraient être utilisées lorsque le traitement est autorisé par une législation prévoyant des garanties appropriées - lesquelles ?

Les données biométriques, de plus en plus utilisées dans le cadre répressif, justifient un encadrement particulier, comme dans la proposition de règlement.

La durée de conservation ne doit pas excéder la durée nécessaire à la réalisation des finalités pour lesquelles elles sont collectées ; aucun examen périodique de la nécessité de les conserver n'est prévu. Ces garanties sont insuffisantes.

Selon la CNIL, il convient que les limitations aux droits des personnes restent des exceptions à un principe général, y compris en matière de fichiers de police. Or, le texte est très évasif sur ce sujet. Les responsables de traitement doivent seulement prendre toutes les mesures raisonnables pour élaborer des règles transparentes et accessibles. L'absence de mention du droit d'opposition des personnes concernées est également problématique. Dans certaines situations, les personnes, les victimes d'infraction en particulier, doivent être en mesure de s'opposer au traitement de leurs données, à l'issue de la procédure judiciaire par exemple.

Enfin, les modalités concrètes d'exercice des droits des personnes concernées paraissent plus compliquées que dans la proposition de règlement, sans que cela soit justifié par les finalités des fichiers de police et de justice. Les transferts des données à des pays tiers constituent l'un des aspects les plus préoccupants du texte, comme du règlement d'ailleurs. Les responsables de traitement évalueront eux-mêmes le niveau de garantie, en dehors de tout cadre juridique et de tout contrôle. En outre, des règles devraient être prévues pour les transferts ultérieurs de données transmises initialement par un État membre. Celui-ci devrait pouvoir donner son accord avant que ses données puissent être re-transférées à un autre État par le destinataire du premier transfert.

Enfin, le texte prévoit l'obligation pour les États membres de renégocier tous leurs accords internationaux dans un délai de cinq ans après l'entrée en vigueur de la directive. Cette obligation apparaît peu réaliste, surtout dans un délai aussi court. Les ministères que nous avons auditionnés sont effrayés par cette perspective ; il n'a pas toujours été facile de parvenir à un accord et plusieurs dizaines de textes sont concernés.

Si le texte était adopté en l'état, le rôle et les pouvoirs des autorités de contrôle seraient en retrait par rapport à la loi française, mais aussi par rapport à la proposition de règlement. Le contrôle a priori de la CNIL serait réduit : la consultation préalable des autorités ne serait requise que dans les cas où le traitement créé contient des données sensibles et lorsqu'il utilise de nouvelles technologies susceptibles de porter atteinte aux droits fondamentaux. En outre, cette consultation n'aurait lieu qu'à l'occasion de la création d'un nouveau fichier et non pas pour ses modifications ultérieures, d'où notre demande de conserver notre standard.

Le contrôle a posteriori de la CNIL pourrait également être remis en cause : de nombreux pouvoirs prévus dans le cadre du règlement ne sont même pas mentionnés, alors que la CNIL dispose, sauf exception, de pouvoirs similaires sur tous les traitements de données, quels que soient leur finalité ou le responsable du traitement.

Il faut absolument se prémunir contre un recul par rapport aux dispositions nationales en vigueur. C'est pourquoi je vous soumets cette proposition de résolution, qui sera transmise à la commission des lois, où, en accord avec son président, je présenterai une communication.

M. André Gattolin. - Il n'est pas toujours facile d'articuler règlements et directives. En mars dernier, nous avions dissocié la partie exploitation commerciale des données...

M. Simon Sutour, président. - En résumé, on facilite la vie des entreprises et on complique celle ces citoyens... La directive ne vise que le domaine judicaire et policier.

M. André Gattolin. - La CNIL a publié un communiqué le 16 janvier dernier au sujet du pré-rapport de M. Albrecht, rapporteur de la commission Libertés civiles, justice et affaires intérieures du Parlement européen. Elle l'approuve malgré des points de suspension sur le pré-référencement et la préservation du droit à l'oubli numérique. Comment cela s'articule-t-il avec la directive ?

M. Simon Sutour, président. - Il y a deux textes européens : un projet de règlement et un projet de directive. Chaque institution joue son rôle. Le Parlement européen doit se prononcer en avril prochain. Conformément à l'article 88, alinéa 4 et 6, de la Constitution, nous donnons notre point de vue : après le règlement, c'est le tour de la directive.

M. André Gattolin. - Je m'étonne du communiqué plutôt positif de la CNIL.

M. Simon Sutour, président. - M. Albrecht est rapporteur et le parlement européen devra se prononcer sur son rapport. En outre, même si le point de vue du Parlement est important, il faut aussi être attentif à la négociation qui est difficile au sein du Conseil. Lorsque nous avons reçu Mme Reding, nous pensions en avoir pour deux ans. Un an s'est écoulé et certains États, comme l'Allemagne, manifestent leur opposition.

M. André Gattolin. - Votre rapport me paraît excellent.

M. Jean-François Humbert. - En effet.

M. Simon Sutour, président. - Il y a des points communs avec l'examen du projet de règlement. J'ai auditionné le Secrétariat général des affaires européennes et les ministères concernés. Il faut protéger les citoyens sans empêcher la police d'agir. Va-t-on demander aux éventuels délinquants s'ils acceptent de figurer dans un fichier ? Nous avons également longuement entendu la CNIL.

M. Jean Bizet. - Je voterai cette proposition de résolution. Je considère que la position de la France est équilibrée. L'environnement est assez conflictuel, des incivilités se manifestent ça et là. L'utilisation des données pour protéger les biens et les personnes est fondamentale dans une démocratie. Cependant, il faut prévoir des garde-fous.

Le texte n'évoque pas les données à caractère commercial. Notre collègue Catherine Morin-Desailly traitera prochainement des cartes bancaires, au moyen desquelles certains organismes mettent la main sur des données à caractère commercial au prix exorbitant.

M. André Gattolin. - Tout à fait.

M. Jean Bizet. - Sachons distinguer entre les deux. Une certaine ouverture est nécessaire pour garantir la protection des biens et des personnes, sans aller trop loin cependant. Je suis surpris par la réaction allemande...

M. Simon Sutour, président. - Elle s'explique par sa structure fédérale. La différence des législations entre les Länder n'est déjà pas simple...

M. Jean Bizet. - Reste que pour lutter contre la délinquance et le terrorisme, nous devons utiliser le partage des données.

*

À l'issue du débat, la commission des affaires européennes a adopté, à l'unanimité, la proposition de résolution dans la rédaction suivante :