Échange d'informations numériques dans les affaires de terrorisme

v Proposition de règlement concernant l'échange d'informations numériques dans les affaires de terrorisme - COM(2021) 757 final

À la suite des attentats du 11 septembre 2001 aux États-Unis, le Conseil européen avait déclaré, lors de sa réunion extraordinaire du 21 septembre 2001, que « la lutte contre le terrorisme sera(it) un objectif prioritaire de l'Union européenne. »

Plusieurs textes européens ont, par la suite, mis en place et approfondi les échanges d'informations entre les services de renseignement, les services de police et les autorités judiciaires des États membres, Eurojust, l'agence européenne de coopération judiciaire en matière pénale, et Europol, l'agence européenne de coopération policière.

A l'heure actuelle, la décision-cadre 2005/671/JAI du Conseil du 20 septembre 2005 et le règlement (UE) 2018/1727 « Eurojust » du 14 novembre 2018 fixent le cadre normatif pour ces échanges d'information et cette coopération européenne concernant les infractions terroristes. Cependant, ce cadre normatif est aujourd'hui insuffisant pour garantir un réel partage d'informations en matière de lutte contre le terrorisme pour plusieurs raisons :

-en premier lieu, les États membres ne sont que faiblement incités à partager les informations par les textes précités ;

-en deuxième lieu, les dispositions relatives au traitement des données personnelles ne tiennent pas compte des spécificités liées à la lutte anti-terroriste ;

-en troisième lieu, si Eurojust s'est dotée, en septembre 2019, d'un registre judiciaire antiterroriste, destiné à recueillir les informations pertinentes sur les procédures judiciaires en cours et sur les condamnations prononcées, ce registre n'est pas prévu par le droit en vigueur (le règlement actuel ne prévoit qu'une possibilité de création de fichiers temporaires), ce qui menace la sécurité juridique du dispositif.

En outre, au plan technique, l'infrastructure informatique actuelle d'Eurojust ne permet pas d'assurer des communications sécurisées.

En conséquence, la présente proposition de règlement tend, pour l'essentiel, à modifier le règlement « Eurojust » et la décision-cadre 2005/671/JAI afin :

-de préciser qu'Eurojust peut apporter son assistance dans les affaires concernant un État membre et un pays tiers ou une organisation internationale, à condition qu'un accord de coopération ou qu'un arrangement instaurant la coopération ait été conclu au préalable (article premier, alinéa 1, modifiant l'article 3 du règlement 2018/1727) ;

-de prévoir l'obligation, pour chaque État membre, de désigner un ou plusieurs correspondants nationaux en matière de terrorisme et de transmettre des informations sur les enquêtes pénales en cours ou clôturées ainsi que sur les poursuites, procès et décisions judiciaires en lien avec la lutte contre le terrorisme. Cependant, ce partage d'informations ne serait pas requis s'il risquait de compromettre des enquêtes en cours ou la sécurité d'une personne, ou dans le cas où il serait contraire aux intérêts essentiels de l'État membre concerné (article premier, alinéas 2 et 4, complétant l'article 20 du règlement 2018/1727 et insérant un article 21 bis nouveau dans ce règlement) ;

-d'imposer, sauf indisponibilité technique ou circonstances exceptionnelles, que les échanges d'informations sensibles entre les autorités compétentes des États membres s'effectuent à l'aide d'un système informatique décentralisé défini dans le nouveau règlement sur la numérisation de la coopération judiciaire (COM(2021) 759 final) (article premier, alinéa 5, insérant un article 22bis dans le règlement 2018/1727) ;

-d'actualiser le système de gestion des dossiers d'Eurojust et les règles de protection des données personnelles afin de les concilier avec les exigences de la lutte anti-terroriste : possibilité de stockage temporaire des données à caractère personnel, pour trois mois, sur le système de gestion, afin d'en analyser la pertinence ; reconnaissance de la responsabilité de chaque autorité nationale dans la gestion des données qu'elle traite dans ce système ; possibilité, pour Eurojust, de traiter les données opérationnelles à caractère personnel de personnes à l'égard desquelles il existe un motif sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale relevant de sa compétence et de celles qui ont été condamnées pour une telle infraction ; autorisation, pour Eurojust, de poursuivre le traitement des données précitées après la clôture d'une procédure dans un État membre « et même en cas d'acquittement » de l'intéressé (article premier, alinéas 6 et 7, modifiant les articles 23 à 25 et 27 du règlement 2018-1727 ainsi que les articles 27 et 29 de la décision 2008/976/JAI du Conseil du 16 décembre 2008 relative au Réseau judiciaire européen) ;

-de permettre aux procureurs de liaison de pays tiers détachés auprès d'Eurojust en vertu d'un accord de coopération, d'obtenir un accès au système de gestion aux fins de l'échange sécurisé des données (article premier, alinéa 9, insérant un article 54 bis dans la décision 2008/976/JAI précitée).

Deux questions de fond animent les débats en cours au Conseil sur ce texte :

-d'une part, la possibilité laissée à Eurojust de continuer à traiter les données personnelles de personnes accusées de participer à une action terroriste mais jugées ou acquittées, est source de controverses. En effet, cela signifie-t-il que l'agence pourrait conserver et traiter ces données sans limitation de temps ?

-d'autre part, la possibilité de transmettre des données biométriques rencontre une opposition de principe de certains États membres (Allemagne, Pays-Bas, Suède, République tchèque) et pourrait être abandonnée.

JUSTICE ET AFFAIRES INTÉRIEURES

Échange d'informations numériques dans les affaires de terrorisme

COM(2021) 757 final - Texte E16351

(Procédure écrite du 31 mai 2022)

À la suite des attentats du 11 septembre 2001 aux États-Unis, le Conseil européen avait déclaré, lors de sa réunion extraordinaire du 21 septembre 2001, que « la lutte contre le terrorisme sera(it) un objectif prioritaire de l'Union européenne. »

Plusieurs textes européens ont, par la suite, mis en place et approfondi les échanges d'informations entre les services de renseignement, les services de police et les autorités judiciaires des États membres, Eurojust, l'agence européenne de coopération judiciaire en matière pénale, et Europol, l'agence européenne de coopération policière.

À l'heure actuelle, la décision-cadre 2005/671/JAI du Conseil du 20 septembre 2005 et le règlement (UE) 2018/1727 « Eurojust » du 14 novembre 2018 fixent le cadre normatif pour ces échanges d'information et cette coopération européenne concernant les infractions terroristes. Cependant, ce cadre normatif est aujourd'hui insuffisant pour garantir un réel partage d'informations en matière de lutte contre le terrorisme pour plusieurs raisons :

-en premier lieu, les États membres ne sont que faiblement incités à partager les informations par les textes précités ;

-en deuxième lieu, si Eurojust s'est dotée, en septembre 2019, d'un registre judiciaire antiterroriste (CTR), destiné à recueillir les informations pertinentes sur les procédures judiciaires en cours et sur les condamnations prononcées, ce dernier n'est pas prévu par le règlement « Eurojust » actuel, adopté antérieurement à sa création. Ce règlement ne prévoit en effet qu'une possibilité de création de fichiers temporaires, ce qui menace la sécurité juridique du dispositif ;

-en troisième lieu, l'obsolescence technique du système de gestion des dossiers d'Eurojust l'empêche aujourd'hui de jouer un rôle plus actif dans la coopération judiciaire anti-terroriste.

***

La présente proposition de règlement tend donc à modifier le règlement « Eurojust » et la décision-cadre 2005/671/JAI pour permettre à Eurojust d'assumer ses missions d'appui aux autorités nationales en charge des enquêtes et poursuites contre les formes graves de criminalité, dont les infractions terroristes.

· Mission d'assistance d'Eurojust et désignation de correspondants nationaux en matière de terrorisme

Sur ce point, la présente proposition de règlement tend :

-à préciser qu'Eurojust peut apporter son assistance dans les affaires concernant un État membre et un pays tiers ou une organisation internationale, par exemple Interpol ou la Cour pénale internationale (CPI), à condition qu'un accord de coopération ou qu'un arrangement instaurant la coopération ait été conclu au préalable (article premier, alinéa 1, modifiant l'article 3 du règlement 2018/1727) ;

-à confirmer l'obligation pour chaque État membre, de désigner un ou plusieurs correspondants nationaux en matière de terrorisme (article premier, paragraphe 2, complétant l'article 20 du règlement 2018/1727).

· Modalités de l'obligation de transmission à Eurojust des informations relatives à la lutte contre le terrorisme

À cet égard, la proposition de règlement vise :

-à préciser les modalités de l'obligation de transmission à Eurojust des informations pertinentes relatives aux enquêtes pénales ainsi qu'aux poursuites, procès et décisions judiciaires en lien avec la lutte contre le terrorisme qui préexiste, à l'heure actuelle, dans la décision 2005/671/JAI du Conseil : transmission relative à toutes les infractions terroristes ; actualisation des informations transmises au moins tous les trois mois...Cependant, ce partage d'informations ne serait pas applicable s'il risquait de compromettre des enquêtes en cours ou la sécurité d'une personne, ou dans le cas où il serait contraire aux intérêts essentiels de l'État membre concerné (article premier, paragraphe 4, insérant un article 21 bis nouveau dans le règlement 2018/727) ;

-à définir strictement la liste des informations à mettre à disposition d'Eurojust dans le cadre de l'obligation de transmission précitée : informations relatives aux personnes soupçonnées, accusées, condamnées ou acquittées (nom, prénoms, nationalité, document d'identification...), aux infractions terroristes concernées (qualification en droit national ; type de terrorisme...), aux procédures nationales (parquet compétent ; numéro de l'affaire...) et « lorsqu'elles sont disponibles », celles permettant aux autorités nationales compétentes d'identifier le suspect, à savoir les photographies de l'intéressé et les données dactyloscopiques - c'est-à-dire, biométriques - recueillies conformément au droit national à l'occasion de procédures pénales (article premier, paragraphe 11, insérant une annexe III nouvelle au règlement 2018/1727) ;

- à assurer les échanges d'informations sensibles entre les autorités compétentes des États membres et Eurojust à l'aide du système informatique décentralisé défini dans le nouveau règlement sur la numérisation de la coopération judiciaire (COM (2021) 759 final) (article premier, paragraphe 5, insérant un article 22 bis nouveau dans le règlement 2018/1727).

Pour rappel, ce système doit être constitué par le « réseau de systèmes informatiques nationaux et de points d'accès interopérables, dont le fonctionnement relèvera de la responsabilité et de la gestion individuelles de chaque État membre, institution, agence ou organe de l'Union »^1(*) concernés. En pratique, la Commission européenne est responsable de l'établissement du système informatique décentralisé (spécifications techniques ; objectifs de sécurité...).

Toutefois, en cas d'indisponibilité technique du système ou de circonstances exceptionnelles, les communications doivent se faire « à l'aide de moyens alternatifs les plus rapides et les plus appropriés. ».

· Actualisation du système de gestion des dossiers d'Eurojust

Sur ce point, la proposition de règlement prévoit :

-de définir les finalités des traitements de données opérationnelles à caractère personnel par le système de gestion des dossiers d'Eurojust : soutien à la conduite à la coordination des enquêtes et des poursuites ; sécurisation de l'accès aux informations relatives aux enquêtes et aux poursuites en cours ; recoupement d'informations ; extraction de données à des fins opérationnelles et statistiques ; vérification de la licéité des traitements de données (article premier, paragraphe 6, introduisant un article 23 nouveau dans le règlement 2018/1727) ;

-d'actualiser le système de gestion des dossiers d'Eurojust et les règles de protection des données personnelles, le traitement des données personnelles n'étant possible à l'heure actuelle que sur des fichiers de travail temporaires. Afin de concilier ces règles avec les exigences de la lutte anti-terroriste, la proposition de règlement prévoit en effet : la possibilité de stockage temporaire des données à caractère personnel, pour trois mois, sur le système de gestion, afin d'en analyser la pertinence ; la reconnaissance de la responsabilité de chaque autorité nationale dans la gestion des données qu'elle traite dans ce système ; la possibilité, pour Eurojust, de traiter les données opérationnelles à caractère personnel de personnes à l'égard desquelles il existe un motif sérieux de croire qu'elles ont commis ou sont sur le point de commettre une infraction pénale relevant de sa compétence et de celles qui ont été condamnées pour une telle infraction ; l'assouplissement des durées de conservation des données opérationnelles à caractère personnel par rapport aux autres procédures (cinq ans après la date à laquelle est devenue définitive la décision judiciaire du dernier des États membres concernés par l'enquête ou les poursuites, contre trois ans en principe) ; l'autorisation, pour Eurojust, de poursuivre le traitement des données précitées après la clôture d'une procédure dans un État membre « et même en cas d'acquittement » de l'intéressé (pour une durée de trois ans) (article premier, paragraphes 6 et 7, modifiant les articles 23 à 25 et 27 du règlement 2018-1727 ainsi que les articles 27 et 29 de la décision 2008/976/JAI du Conseil du 16 décembre 2008 relative au Réseau judiciaire européen) ;

-de permettre aux procureurs de liaison de pays tiers détachés auprès d'Eurojust en vertu d'un accord de coopération, d'obtenir un accès au système de gestion aux fins de l'échange sécurisé des données (article premier, alinéa 9, insérant un article 54bis dans la décision 2008/976/JAI précitée).

***

Dans un avis en date du 26 janvier 2022, reconnaissant la pertinence de la proposition de règlement dans ses objectifs, le Contrôleur européen de la protection des données (CEPD) a simultanément émis plusieurs observations formelles, en particulier :

-une remarque générale soulignant que l'actualisation du système de gestion des dossiers d'Eurojust devait être effectuée en garantissant un haut niveau de protection des données à caractère personnel ;

-deux observations rappelant la nécessité de respecter le droit des États membres de ne pas transmettre une nouvelle fois des informations déjà transmises, ni de transmettre des informations lorsque la « clause de sécurité nationale » s'impose ;

-une observation de principe soulignant que « la collecte et la conservation de données biométrique à caractère personnel, en raison de leur nature même et de leur caractère sensible, entraînent une hausse des risques pour les personnes concernées et devraient toujours être accompagnées de garanties strictes. »

***

Par la suite, les débats sur cette réforme ont débuté rapidement au sein du Conseil et ont bien avancé, dans la perspective de l'adoption d'une position de négociation avant la fin de la présidence française du Conseil de l'Union européenne.

Plusieurs points ont suscité des débats de fond :

-l'obligation de transmettre des données biométriques à Eurojust a fait l'objet d'une rédaction de compromis prévoyant une transmission désormais facultative de ces données, au cas par cas, la nécessité de la transmission devant faire l'objet d'une évaluation préalable ;

-en revanche, la possibilité laissée à Eurojust de continuer à traiter les données personnelles de personnes accusées de participer à une action terroriste mais jugées ou acquittées, demeure une source de controverses entre États membres, certains d'entre eux étant totalement opposés à cette collecte (Autriche) ou soucieux de la rendre facultative et au cas par cas, sous contrôle de l'autorité judiciaire (Allemagne ; Belgique ; Finlande ; Roumanie ; Slovénie ; Suède).

Soulignons enfin que la France, qui est aujourd'hui à une position de coordination, de modération et de facilitation de ces débats en raison de sa présidence semestrielle, défend, de longue date, la nécessité d'une telle réforme, d'une part pour sécuriser l'existence et le fonctionnement du registre antiterroriste d'Eurojust et, d'autre part, pour améliorer la coopération opérationnelle de l'agence européenne avec le parquet national antiterroriste (PNAT).

Compte tenu de ces éléments, la commission a décidé de ne pas intervenir plus avant sur ce texte.