Modification de la décision 2009/917/JAI du Conseil en ce qui concerne sa mise en conformité avec les règles de l’Union relatives à la protection des données à caractère personnel

OBJECTIF : mettre en conformité les règles régissant la protection des données de la décision 2009/917/JAI du Conseil avec les principes et règles prévus par la directive en matière de protection des données dans le domaine répressif.

ACTE PROPOSÉ : Règlement du Parlement européen et du Conseil.

RÔLE DU PARLEMENT EUROPÉEN : le Parlement européen décide conformément à la procédure législative ordinaire et sur un pied d'égalité avec le Conseil.

CONTEXTE : la décision 2009/917/JAI du Conseil sur l’emploi de l’informatique dans le domaine des douanes institue le système d’information des douanes afin d’aider à prévenir, rechercher et poursuivre les infractions graves aux lois nationales en rendant les données plus rapidement disponibles et de renforcer l’efficacité des administrations douanières. Pour assurer une approche cohérente de la protection des données à caractère personnel dans l’Union, il convient de modifier cette décision afin de la mettre en conformité avec la directive (UE) 2016/680 en matière de protection des données dans le domaine répressif.

En vertu de la directive (UE) 2016/680, la Commission était tenue de réexaminer, au plus tard le 6 mai 2019, d’autres actes juridiques adoptés par l’Union qui réglementent le traitement des données à caractère personnel par les autorités compétentes à des fins répressives, afin d’apprécier la nécessité de les mettre en conformité avec ladite directive et de formuler, le cas échéant, les propositions nécessaires en vue de modifier ces actes pour assurer une approche cohérente de la protection des données à caractère personnel dans le cadre de ladite directive.

La proposition fait suite aux résultats du réexamen effectué par la Commission au titre de la directive en matière de protection des données dans le domaine répressif, tels que présentés dans la communication de 2020 intitulée «Marche à suivre en ce qui concerne la mise en conformité de l’acquis de l’ancien troisième pilier avec les règles en matière de protection des données».

CONTENU : la proposition vise à mettre en conformité les règles régissant la protection des données de la décision 2009/917/JAI du Conseil avec les principes et règles prévus par la directive en matière de protection des données dans le domaine répressif afin de mettre en place un cadre de protection des données à caractère personnel solide et cohérent dans l’Union.

Les modifications proposées visent à :

- remplacer la notion d’«infractions graves aux lois nationales» par une référence aux «infractions pénales prévues par les lois nationales», dans un but de clarification;

- préciser les rôles respectifs de la Commission et des États membres en ce qui concerne les données à caractère personnel;

- remplacer le renvoi à la liste de certaines catégories de données à caractère personnel ne pouvant pas être introduites dans le système, qui figure dans la décision-cadre 2008/977/JAI, par un renvoi à la liste correspondante contenue dans la directive en matière de protection des données dans le domaine répressif;

- préciser les conditions de collecte et d’enregistrement des données et exiger que ces données ne puissent être introduites dans le système d’information des douanes que s’il existe des motifs raisonnables, en particulier sur la base d’activités illégales antérieures, qui donnent à penser que la personne concernée a commis, est en train de commettre ou commettra l’une des infractions pénales prévues par les lois nationales concernées;

- préciser les conditions dans lesquelles l’accès des organisations internationales ou régionales au système d’information des douanes peut être autorisé en vertu de la directive en matière de protection des données dans le domaine répressif;

- limiter le traitement ultérieur des données à caractère personnel enregistrées dans le système d’information des douanes, conformément au principe de limitation des finalités tel que régi par la directive en matière de protection des données dans le domaine répressif;

- préciser les conditions dans lesquelles les données à caractère non personnel peuvent être traitées à d’autres fins ainsi que les conditions dans lesquelles les transmissions et les transferts internationaux de données à caractère personnel et de données à caractère non personnel peuvent avoir lieu;

- introduire une durée de conservation maximale des données à caractère personnel de cinq ans, conformément à la directive en matière de protection des données dans le domaine répressif, et simplifier la procédure précédente;

- mettre à jour le renvoi général à la décision-cadre 2008/977/JAI par un renvoi à la directive en matière de protection des données dans le domaine répressif.