Contrôle, par les autorités douanières, du respect des droits de propriété intellectuelle

AVIS du Contrôleur européen de la protection des données (CEPD) sur la proposition de règlement du Parlement européen et du Conseil concernant le contrôle, par les autorités douanières, du respect des droits de propriété intellectuelle.

La proposition détermine les conditions et procédures d’intervention des autorités douanières lorsque des marchandises soupçonnées de porter atteinte aux droits de propriété intellectuelle sont ou auraient dû être soumises à la surveillance douanière sur le territoire de l’Union européenne. En particulier, la proposition établit la procédure par laquelle les titulaires de droits peuvent adresser une demande aux services douaniers d’un État membre pour qu’ils interviennent dans cet État membre («demande nationale») ou aux services douaniers de plusieurs États membres pour qu’ils interviennent dans leurs États membres respectifs («demande au niveau de l’Union»).

Dans ce contexte, plusieurs traitements de données à caractère personnel sont effectués: i) lorsque le titulaire du droit présente sa demande à l’autorité douanière; ii) lorsque la demande est transmise à la Commission; iii) lorsque la décision des autorités douanières est transmise aux différents bureaux de douane compétents et, iv) s’il s’agit d’une demande au niveau de l’UE, aux autorités douanières des autres États membres. Par ailleurs, la Commission est chargée de stocker les demandes d’intervention présentées par les titulaires de droits dans une base de données centrale (baptisée «COPIS»), qui en est encore à la phase préparatoire.

Le CEPD se réjouit que la proposition de règlement fasse explicitement référence à l’applicabilité de la directive 95/46/CE et du règlement (CE) n° 45/2001 aux traitements de données à caractère personnel visés par ladite proposition. Afin d’améliorer le texte sous l’angle de la protection des données, le CEPD insiste toutefois sur les points suivants :

Actes d’exécution : selon la proposition, la Commission est habilitée à adopter des actes d’exécution pour établir le formulaire de demande à présenter par les titulaires de droits (article 6, paragraphe 3). Cet article énumère déjà une série d’informations à communiquer par le demandeur, dont des données à caractère personnel le concernant. Puisqu’il détermine le contenu essentiel du formulaire de demande, l’article 6, paragraphe 3, devrait également exiger des autorités douanières qu’elles fournissent au demandeur et à toute autre personne susceptible d’être concernée (expéditeur, destinataire ou détenteur des marchandises, par exemple) les informations requises par les règles nationales transposant l’article 10 de la directive 95/46/CE.

En parallèle, le formulaire de demande devrait également reprendre les informations similaires à fournir aux personnes concernant lesquelles des données sont traitées par la Commission, en vertu de l’article 11 du règlement (CE) n° 45/2001 (eu égard au traitement et à la conservation des données dans COPIS). Par conséquent, le CEPD :

• estime que l’article 6, paragraphe 3, devrait évoquer le droit à l’information de la personne concernée;
• demande à être consulté lorsque la Commission exercera ses compétences d’exécution, afin de veiller à ce que les nouveaux formulaires types de demandes (nationales et au niveau de l’UE) soient conformes aux exigences en matière de protection des données.

Délai de conservation des données : les décisions des autorités douanières ont une durée de validité limitée, pendant laquelle lesdites autorités doivent intervenir. Cette durée peut être prolongée. Le CEPD tient à souligner que les demandes présentées par les titulaires de droits (et, en particulier, les données à caractère personnel qui y figurent) ne doivent être conservées ni par les autorités douanières nationales ni dans la base de données COPIS après la date d’expiration de la décision correspondante.  Le CEPD suggère, dès lors, d’ajouter dans la proposition une disposition qui limite la durée de conservation des données à caractère personnel en fonction de la durée de validité des décisions. Il importe d’éviter toute prolongation de la durée de conservation des données ou, si une telle prolongation s’avère justifiée, celle-ci doit être conforme aux principes de nécessité et de proportionnalité au regard de la finalité, qui doit être clarifiée. L’ajout dans la proposition d’une disposition qui s’appliquerait à la fois dans l’ensemble des États membres et à la Commission permettrait d’éviter les interprétations divergentes et serait dès lors garant de simplification, de sécurité juridique et d’efficacité.

Base de données centrale : la base juridique de la création de la base de données COPIS semble se limiter aux dispositions combinées des nouveaux articles 6, paragraphe 4, et 31. Toutefois, aucune disposition juridique plus détaillée n’a encore été adoptée selon la procédure législative ordinaire pour définir la finalité et les caractéristiques de COPIS, ce que le CEPD juge particulièrement préoccupant

Par conséquent, le CEPD invite la Commission à clarifier la base juridique de la base de données COPIS, en introduisant une disposition plus détaillée dans un instrument adopté conformément à la procédure législative ordinaire. En particulier, la disposition portant création de la base de données qui suppose un échange électronique de données doit:

• déterminer la finalité des traitements et définir les utilisations compatibles;
• déterminer les entités (autorités douanières, Commission) qui auront accès aux données stockées dans la base de données et qui pourront les modifier, en précisant les données concernées;
• garantir le droit d’accès et d’information de toutes les personnes concernant lesquelles des données à caractère personnel sont susceptibles d’être stockées et échangées;
• définir la durée de conservation des données à caractère personnel, en la limitant au minimum nécessaire à la réalisation de la finalité déterminée.

Le CEPD ajoute que les éléments suivants relatifs à la base de données devraient également être définis dans l’acte législatif principal: l’entité qui contrôlera et gérera la base de données, ainsi que l’entité chargée d’assurer la sécurité du traitement des données stockées dans la base de données.

Le CEPD offre à la Commission son expertise pour l’assister dans l’élaboration de ladite base de données.