Avis de la Cour de justice sur la compatibilité avec les traités de l'accord entre les États-Unis et l’Union européenne sur la protection des informations à caractère personnel traitées à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière

2016/3004(RSP) 01/12/2016

Le Parlement européen a rejeté deux propositions de résolution présentées conformément à l’article 108 (6) du règlement du Parlement, demandant l’avis de la Cour de justice de l’Union européenne sur la compatibilité avec les traités de l’UE de l’accord UE-États-Unis concernant la protection des données personnelles échangées à des fins répressives.

1) Dans la première proposition de résolution, présentée par le groupe GUE/NGL (et rejetée par 165 voix pour, 442 contre et 36 abstentions), les députés estimaient qu’il existait une incertitude juridique quant à la compatibilité de l’accord envisagé avec les dispositions des traités, en particulier l’article 16 du traité sur le fonctionnement de l'Union européenne, et la charte des droits fondamentaux de l’Union européenne, en particulier ses articles 7 et 8, son article 52, paragraphe 1, en ce qui concerne le droit des personnes physiques à la protection des données à caractère personnel, ainsi que son article 47 concernant l’accès à un recours judiciaire effectif.

Les députés à l’origine du projet de résolution faisaient notamment observer que :

le contrôleur européen de la protection des données craignait que les autorités compétentes des États-Unis chargées de la protection des données ne remplissent pas les exigences de la Cour de justice pour être considérées comme totalement indépendantes et dotées de pouvoirs effectifs d’intervention ;
la loi sur le recours juridictionnel (Judicial Redress Act) des États-Unis n’annulait pas les dérogations existantes aux droits des personnes concernées que certains systèmes d’enregistrement aux États-Unis pouvaient prévoir en vertu du «Privacy Act», comme dans le cas des données PNR ;
le service juridique du Parlement avait souligné que l’accord-cadre (et plus particulièrement son article 5, paragraphe 3) servirait de décision constatant un niveau de protection adéquat, ce qui créerait la présomption juridique que les États-Unis respectent les normes de protection des données de l’Union et risquerait d’entraver le respect effectif du droit de l’Union en matière de protection des données.

2) Dans la seconde proposition de résolution, présentée par le groupe ADLE (et rejetée par 206 voix pour, 394 contre et 42 abstentions), les députés estimaient qu’il existait une incertitude juridique quant à la compatibilité de l’accord avec les dispositions des traités (article 16 du traité sur le fonctionnement de l’Union européenne) et la charte des droits fondamentaux de l’Union européenne (articles 7, 8, 21 et 47, et article 52, paragraphe 1) en ce qui concerne le droit des personnes physiques à la protection des données à caractère personnel, le principe de non-discrimination et le droit à un recours effectif et à accéder à un tribunal impartial.

Les députés à l’origine du projet de résolution faisaient observer que :

l’Union européenne ou ses États membres n’avaient pas été déclarés par le ministère de la justice des États-Unis comme faisant partie des «pays couverts» dont les citoyens peuvent intenter des actions civiles contre certaines agences gouvernementales américaines au titre du «Privacy Act» (loi sur la protection de la vie privée) de 1974 ;
les recours judiciaires fournis par le «Judicial Redress Act» (loi sur le recours juridictionnel) des États-Unis ne seraient pas accordés aux personnes physiques de l’Union ressortissant de pays tiers dont les données à caractère personnel sont traitées et transférées aux États-Unis conformément à l’accord ;
la législation en vigueur des États-Unis comprenait plusieurs restrictions et conditions préalables en ce qui concerne le champ d’application, les causes d’action prévues, la désignation des agences visées et l’application du «Privacy Act» de 1974 aux questions relevant du domaine répressif ;
les données à caractère personnel traitées au titre de l’accord UE-États-Unis sur les données des dossiers passagers et de l’accord UE-États-Unis sur le traitement et le transfert de données de messagerie financière de l’Union européenne aux États-Unis aux fins du programme de surveillance du financement du terrorisme (accord TFTP) n’étaient actuellement pas soumises aux dispositions prévoyant des voies de recours civiles en vertu du «Privacy Act» de 1974.

Les députés estimaient notamment que :

les définitions des notions de «données à caractère personnel» et de «traitement des données» différaient des définitions européennes ;
la période de conservation des données devrait être définie plus rigoureusement par rapport aux objectifs poursuivis;
les droits d’accès des personnes faisaient l’objet de grandes restrictions et que la mise en place d’un mécanisme prévoyant un droit d’accès indirect permettrait un meilleur accès.