EUROPOL: création de l'Office européen de police

AVIS DU CONTRÔLEUR EUROPÉEN DE LA PROTECTION DES DONNÉES sur la proposition de décision du Conseil portant création de l'Office européen de police (EUROPOL).

La proposition de décision du Conseil portant création de l'Office européen de police (EUROPOL) a été adressée par la Commission au CEPD pour avis, le 20 décembre 2006.

L'objectif de la proposition n'est pas d'apporter des changements majeurs au mandat ou aux activités d'EUROPOL, mais de lui donner un cadre juridique nouveau et plus souple. Néanmoins, la proposition contient également des modifications substantielles visant à améliorer le fonctionnement d'EUROPOL. Elle étend notamment le mandat de l'Office et contient plusieurs dispositions nouvelles visant à faciliter davantage ses activités.

Conclusions du CEPD : le CEPD comprend la nécessité de donner à EUROPOL un cadre juridique nouveau mais attache une attention particulière aux modifications substantielles, aux lois applicables en matière de protection des données et aux similarités croissantes entre EUROPOL et les organes communautaires.

Pour ce qui est des modifications substantielles, le CEPD recommande les éléments suivants :

• insérer dans le texte de la décision des conditions et des restrictions spécifiques en ce qui concerne les informations et les renseignements émanant de parties privées, notamment pour s'assurer de l'exactitude de ces informations recueillies dans un environnement commercial ;
• veiller à ce que le traitement des données à caractère personnel dont la pertinence n'a pas encore été évaluée soit strictement limité à la finalité consistant à évaluer leur pertinence. Les données devraient être stockées dans des bases de données distinctes jusqu'à ce que leur utilité pour une mission spécifique d'EUROPOL soit établie, et ce, pendant 6 mois au maximum ;
• en ce qui concerne l'interopérabilité avec d'autres systèmes de traitement extérieurs à EUROPOL, appliquer des conditions et des garanties strictes lorsque l'interconnexion avec une autre base de données sera effectivement mise en place ;
• prévoir des garanties pour l'accès aux données concernant des personnes qui n'ont pas (encore) commis d'infraction (il conviendrait de ne pas affaiblir les garanties fournies en vertu de la convention EUROPOL) ;
• veiller à ce que la nécessité de conserver de manière prolongée les données à caractère personnel concernant certaines personnes soit réexaminée chaque année et que ce réexamen fasse l'objet d'une mention ;
• n'autoriser EUROPOL à interroger par voie automatisée d'autres systèmes d'information nationaux ou internationaux et à rechercher des données dans ces systèmes qu'au cas par cas, et dans des conditions strictes ;
• pour ce qui est du droit d'accès aux données à caractère personnel, la référence au droit national figurant dans l'article 29, paragraphe 3 (prévoyant qu’une demande d'accès introduite dans un État membre soit traitée aux lois et procédures de l'État membre dans lequel la demande a été introduite) n’est pas acceptable pour le CEPD. Elle devrait être supprimée et remplacée par des règles harmonisées sur le champ d'application, le contenu et la procédure, de préférence dans la décision-cadre du Conseil relative à la protection des données à caractère personnel ou, le cas échéant, dans la présente décision du Conseil. L'article 29, par. 4 (qui porte que les raisons susceptibles de motiver un refus d'accès aux données à caractère personnel, lorsqu’une personne souhaite exercer son droit d'accès aux données la concernant) devrait être reformulé et n'autoriser le refus d'accès que «dans la mesure où cela est nécessaire». Le mécanisme de consultation prévu à l'article 29, par. 5 (en vertu de ce mécanisme, l'accès est subordonné à la consultation de toutes les autorités compétentes concernées et, en ce qui concerne les fichiers de travail aux fins d'analyse, à l'accord d'EUROPOL et de tous les États membres participant à l'analyse ou directement concernés) devrait être purement et simplement supprimé car il va à l’encontre de la nature fondamentale du droit d'accès. La règle générale devrait être d'accorder l'accès et de ne le restreindre que dans des circonstances spécifiques. Au lieu de cela, le texte prévoit que l'accès ne serait accordé qu'après qu'une consultation aura été effectuée et après qu'un accord sera intervenu.

La décision du Conseil à l'examen ne devrait pas être adoptée avant que le Conseil n'adopte le cadre relatif à la protection des données garantissant un niveau approprié de protection des données conformément aux conclusions formulées par le CEPD dans ses deux avis sur la proposition de décision-cadre du Conseil présentée par la Commission.

Le CEPD estime enfin qu’il faudrait assurer pleinement l'application du règlement (CE) n° 45/2001 à EUROPOL.