Protection des personnes physiques à l’égard du traitement des données opérationnelles à caractère personnel par les organes et organismes de l’Union dans les domaines de la coopération judiciaire en matière pénale et de la coopération policière
OBJECTIF : simplifier le cadre applicable à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’Union et à la libre circulation de ces données.
ACTE PROPOSÉ : Règlement du Parlement européen et du Conseil.
RÔLE DU PARLEMENT EUROPÉEN : le Parlement européen décide conformément à la procédure législative ordinaire et sur un pied d’égalité avec le Conseil.
CONTEXTE : le règlement (UE) 2018/1725 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les institutions, organes et organismes de l’UE (RPDUE) a été conçu pour établir un régime de protection des données cohérent et modernisé pour l’ensemble des institutions, organes et organismes de l’UE. Son chapitre IX vise spécifiquement à régir le traitement des «données opérationnelles à caractère personnel» par les organes et organismes de l’UE chargés de la justice et des affaires intérieures (JAI), notamment Europol, Eurojust, le Parquet européen et, dans une mesure limitée, Frontex.
Malgré l’adoption du RPDUE, le cadre de protection des données applicable aux organes et organismes JAI de l’UE reste fragmenté. En particulier, le chapitre IX ne s’applique pas au Parquet européen, dont le règlement fondateur est antérieur au RPDUE. En outre, le RPDUE prévoit que, s'agissant du traitement des données opérationnelles à caractère personnel, seuls l’article 3 (Définitions) et le chapitre IX s’appliquent. Cette fragmentation nuit à la sécurité juridique et fait obstacle, dans la pratique, à une coopération efficace entre les organes et organismes de l’UE lorsque ceux-ci échangent des données.
Dans son premier rapport sur l’application du RPDUE, la Commission confirme que le règlement est globalement efficace pour garantir un niveau élevé de protection des données à caractère personnel. Néanmoins, elle souligne des incohérences, des divergences et une fragmentation juridique découlant de l’interaction entre le chapitre IX et les autres dispositions du règlement (UE) 2018/1725, de même que l’existence d’un régime autonome de protection des données pour le Parquet européen.
CONTENU : la présente proposition de modification du règlement (UE) 2018/1725 vise à simplifier le cadre applicable à la protection des données et à en assurer la cohérence, notamment en harmonisant les règles concernées entre les organes et agences de l’UE. Cette harmonisation devrait permettre d’alléger les charges administratives et de faciliter les échanges de données entre ces organes et agences, tout en renforçant la sécurité juridique.
La proposition poursuit quatre objectifs principaux:
1) Application cohérente des règles en matière de protection des données à l’ensemble des institutions, organes et organismes de l’UE
Le champ d’application du chapitre IX doit être étendu afin de garantir son application cohérente par l’ensemble des organes et organismes de l’UE actifs dans le secteur des services répressifs et de la justice pénale. Le chapitre IX intégrera le Parquet européen dans le cadre du RPDUE, sans préjudice de la possibilité de maintenir, dans le règlement sur le Parquet européen, les règles spécifiques en matière de protection des données qui sont nécessaires pour refléter la nature unique de cet organe, en tant que parquet de l’Union indépendant.
2) Renforcement de la sécurité juridique
Il est proposé de remédier au manque, dans le chapitre IX, de dispositions concernant notamment le rôle des délégués à la protection des données (DPD), la tenue de registres des activités de traitement, la collaboration entre les autorités de contrôle, et le transfert international de données opérationnelles à caractère personnel. Il est également nécessaire d’apporter davantage de clarté pour les responsables du traitement, les sous-traitants et les personnes concernées.
3) Rationalisation des pouvoirs du Contrôleur européen de la protection des données (CEPD)
La proposition vise à clarifier le fait que le CEPD dispose de pouvoirs de contrôle qui sont alignés sur ceux prévus à l’article 58 du RPDUE, mais également adaptés au contexte du traitement des données opérationnelles, notamment pour le Parquet européen dans le cadre de ses activités d’enquête et de poursuite.
4) Rationalisation globale
La proposition vise à rationaliser les dispositions afin d’éliminer, pour les institutions, organes et organismes JAI de l’Union lorsqu’ils exercent des activités relevant du champ d’application de la troisième partie, titre V, chapitres 4 et 5, du TFUE, les redondances, les doubles emplois et les incohérences dans le domaine de la protection des données. En outre, elle aligne les dispositions relatives au traitement des données opérationnelles avec la proposition de règlement omnibus numérique.