Convention du Conseil de l'Europe pour la protection des personnes: traitement automatisé des données à caractère personnel. Protocole: ratification par les États membres

OBJECTIF: autoriser les États membres à ratifier, dans l’intérêt de l’Union européenne, le protocole d’amendement à la convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STE n° 108).

ACTE PROPOSÉ: Décision du Conseil.

RÔLE DU PARLEMENT EUROPÉEN: le Conseil ne peut adopter l’acte que si le Parlement européen a approuvé celui-ci.

CONTEXTE: le 6 juin 2013, le Conseil a autorisé la Commission à participer, au nom de l'Union, aux négociations sur la modernisation de la convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STE n° 108) et sur les conditions et modalités de l'adhésion de l'Union à la convention 108 modifiée. Le protocole d'amendement à la convention 108  a été adopté le 18 mai 2018 par le comité des ministres du Conseil de l'Europe.

Dans la mesure où elles s'appliquent au traitement de données à caractère personnel dans le cadre d'activités relevant du champ d'application du droit de l'Union, les dispositions de la convention 108 modifiée peuvent affecter des règles communes ou en altérer la portée au sens de l'article 3, paragraphe 2, du traité, car ces dispositions reposent sur les mêmes principes que ceux énoncés dans le règlement (UE) 2016/679 (règlement général sur la protection des données) et dans la directive (UE) 2016/680 du Parlement européen et du Conseil (relative à la protection des données par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données).

L'Union ne peut ni signer ni ratifier le protocole d'amendement, puisqu'en vertu de la convention 108, seuls des États peuvent en être partie. Il convient donc d'autoriser les États membres, agissant conjointement dans l'intérêt de l'Union, à signer le protocole d'amendement, pour autant que ses dispositions relèvent de la compétence exclusive de l'Union.

CONTENU: le projet du Conseil vise à autoriser les États membres à ratifier, dans l'intérêt de l'Union, le protocole d'amendement à la convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STE n° 108), pour autant que ses dispositions relèvent de la compétence exclusive de l'Union.

Le protocole d'amendement vise à élargir le champ d'application, à augmenter le niveau et à améliorer l'efficacité de la protection des données offerte par la convention 108.

La convention modernisée (c’est-à-dire la convention 108 telle que modifiée par le protocole d’amendement) couvrira tous les types de traitement des données relevant de la juridiction des parties dans les secteurs tant public que privé.

Plus particulièrement, la convention modernisée :

• précise davantage le principe de traitement licite (notamment en ce qui concerne le respect des exigences en matière de consentement) et renforce la protection de catégories particulières de données (tout en étendant les catégories concernées à celles qui sont reconnues par le droit de l’Union comme constituant des catégories particulières de données à caractère personnel);
• prévoit des garanties supplémentaires pour les personnes dont les données à caractère personnel font l’objet d’un traitement (notamment, les obligations d’examiner l’impact potentiel du traitement de données envisagé et de mettre en œuvre les mesures techniques et organisationnelles nécessaires, ou encore celle de notifier les violations graves de données);
• renforce les droits des personnes (principalement en ce qui concerne la transparence et l’accès aux données);
• introduit de nouveaux droits, tels que le droit, pour une personne concernée, de ne pas être soumise à une décision l’affectant de manière significative prise sur le seul fondement d’un traitement automatisé de données, de s’opposer au traitement ou celui de disposer d’un recours en cas de violation de ses droits;
• comporte des dispositions révisées exigeant des parties qu’elles établissent une ou plusieurs autorités indépendantes chargées de veiller au respect des dispositions de la convention 108.

De manière générale, la convention modernisée garantirait un niveau de protection élevé tout en laissant aux parties une marge de flexibilité en ce qui concerne la mise en œuvre de ses dispositions dans leur droit interne, ce qui rendrait l'adhésion à cette convention attrayante pour les pays, y compris hors d’Europe, qui envisagent de créer leurs systèmes de protection des données ou de les renforcer.