14.2.2018   

FR

Journal officiel de l'Union européenne

C 55/1

—

dans la section consacrée aux concentrations, sur le site internet de la DG Concurrence de la Commission (http://ec.europa.eu/competition/mergers/cases/). Ce site permet de rechercher des décisions concernant des opérations de concentration à partir du nom de l’entreprise, du numéro de l’affaire, de la date ou du secteur d’activité,

—

sur le site internet EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=fr), qui offre un accès en ligne au droit de l’Union européenne, sous le numéro de document 32018M8776.

14.2.2018   

FR

Journal officiel de l'Union européenne

C 55/1

—

dans la section consacrée aux concentrations, sur le site internet de la DG Concurrence de la Commission (http://ec.europa.eu/competition/mergers/cases/). Ce site permet de rechercher des décisions concernant des opérations de concentration à partir du nom de l’entreprise, du numéro de l’affaire, de la date ou du secteur d’activité,

—

sur le site internet EUR-Lex (http://eur-lex.europa.eu/homepage.html?locale=fr), qui offre un accès en ligne au droit de l’Union européenne, sous le numéro de document 32018M8800.

14.2.2018   

FR

Journal officiel de l'Union européenne

C 55/2

14.2.2018   

FR

Journal officiel de l'Union européenne

C 55/3

14.2.2018   

FR

Journal officiel de l'Union européenne

C 55/4

1.

Le 29 juin 2017, la Commission européenne a publié une proposition de règlement portant création d’un système centralisé permettant d’identifier les États membres détenant des informations relatives aux condamnations concernant des ressortissants de pays tiers et des apatrides, qui vise à compléter et à soutenir le système européen d’information sur les casiers judiciaires (système ECRIS-TCN), et modifiant le règlement (UE) no 1077/2011 (ci-après la «proposition de règlement») (3). Cette proposition s’accompagne d’un document d’analyse connexe (4). Le même jour, la Commission européenne a adopté le premier Rapport statistique sur les échanges, au moyen du système européen d’information sur les casiers judiciaires (ECRIS), d’informations extraites des casiers judiciaires entre les États membres, comme prévu par l’article 7 de la décision 2009/316/JAI du Conseil (5).

2.

La proposition de règlement vise à améliorer les échanges d’informations sur les ressortissants de pays tiers et les citoyens de l’Union qui possèdent également la nationalité d’un pays tiers. Le principe fondamental du système ECRIS existant réside dans le fait que les informations relatives aux condamnations pénales de ressortissants de l’Union européenne peuvent être obtenues auprès de l’État membre dont ces personnes sont des nationaux, qui conserve toutes les condamnations pénales indépendamment du lieu de l’Union européenne où elles ont été prononcées. En ce qui concerne les ressortissants de pays tiers, chaque État membre conserve les condamnations prononcées sur son territoire; aussi une demande d’informations doit être adressée à tous les États membres. De l’avis de la Commission, si le système ECRIS doit être utilisé systématiquement pour extraire des informations sur des ressortissants de pays tiers, répondre aux «demandes générales» génère une charge administrative et des coûts élevés. Les États membres se montrent réticents à utiliser le système — selon le Rapport statistique, 10 % des demandes concernant des ressortissants de pays tiers (6) — et, de ce fait, les antécédents judiciaires des ressortissants de pays tiers ne sont pas toujours accessibles comme envisagé (7). L’amélioration de l’efficacité du système ECRIS en ce qui concerne les ressortissants de pays tiers est accélérée par le programme européen en matière de sécurité (8) et constitue l’une des priorités législatives pour 2017 (9).

3.

La proposition de règlement vient compléter la proposition de directive présentée par la Commission du 19 janvier 2016 en ce qui concerne les échanges d’informations relatives aux ressortissants de pays tiers ainsi que le système européen d’information sur les casiers judiciaires (ECRIS), qui modifie la décision-cadre 2009/315/JAI du Conseil existante et remplace la décision 2009/316/JAI du Conseil (ci-après la «proposition de directive»).

4.

Le point commun de ces deux propositions réside dans la création d’un système pour l’identification des États membres détenant des informations sur les condamnations pénales des ressortissants de pays tiers et des citoyens de l’Union européenne qui possèdent également la nationalité d’un pays tiers. La proposition de directive prévoyait un système décentralisé, ce qui signifie qu’il n’existera pas une base de données européenne unique, mais que chaque État membre tiendra à jour un dossier dit «index-filtre». Ce dossier devait être alimenté au moyen d’informations sur les ressortissants de pays tiers qui auraient été anonymisées et extraites des casiers judiciaires des États membres avant d’être communiquées à l’ensemble des États membres. Les États membres auraient ensuite fait concorder leurs propres données avec les données du terrain et pu découvrir, selon qu’il y ait ou non concordance, l’identité des États membres détenant des informations au sujet de la condamnation pénale d’un ressortissant de pays tiers. Si la proposition de directive prévoyait déjà le traitement des empreintes digitales, le recours aux empreintes digitales ayant été considéré comme l’une des options envisageables dans l’Analyse d’impact 2016, la proposition de règlement, elle, rend leur utilisation obligatoire. La Commission explique que les attaques terroristes ont accéléré l’encouragement de l’utilisation systématique des empreintes digitales à des fins d’identification (10). Une fois la proposition de directive adoptée, une étude de faisabilité a révélé qu’il n’existe actuellement aucune technologie aboutie permettant de confronter une empreinte digitale à plusieurs autres au moyen de modèles hachés.

5.

La proposition de règlement, pour répondre aux problèmes techniques rencontrés, envisage plutôt un système centralisé incluant des données alphanumériques, des empreintes digitales et des images faciales des ressortissants de pays tiers. Les données alphanumériques et les empreintes digitales pourraient être utilisées pour identifier les ressortissants de pays tiers et les images faciales, à des fins de vérification dans un premier temps puis, lorsque la technologie sera plus aboutie, à des fins d’identification également. L’«autorité centrale» de l’État membre de condamnation saisit les données dans le système ECRIS TCN local, lequel transmet ces données vers un système centralisé de l’Union européenne. Selon qu’il y a ou non concordance, l’État membre requérant peut identifier l’État ou les États membre(s) qui détien(nen)t des informations sur les antécédents judiciaires d’un ressortissant d’un pays tiers, puis demander à obtenir ces informations en utilisant le système ECRIS existant, tel qu’amélioré par la proposition de directive. Lorsque les empreintes digitales sont utilisées à des fins d’identification, toute donnée alphanumérique correspondante peut être communiquée également. La gestion de la base de données européenne est confiée à l’eu-LISA et, à cette fin, la proposition de règlement modifie le règlement (UE) no 1077/2011 portant création de l’eu-LISA.

6.

Par ailleurs, la solution d’un système centralisé est replacée dans le contexte de l’interopérabilité prévue entre tous les systèmes d’information pour la gestion de la sécurité, des frontières et des flux migratoires. En réalité, parmi les motifs invoqués pour justifier le choix d’un système centralisé, l’interopérabilité est mise en avant, plutôt que les problèmes techniques rencontrés (11). Le système ECRIS est également inscrit dans la feuille de route du Conseil visant à renforcer les échanges d’informations, la gestion des informations et la recherche de l’interopérabilité (12). L’interopérabilité avec le système ECRIS est également prévue dans la proposition ETIAS (13).

7.

Une fois alignées l’une sur l’autre, les deux propositions devraient être complémentaires. Si la proposition de règlement doit aborder les problèmes liés au système centralisé, la proposition de directive doit régler les problèmes d’ordre général liés au fonctionnement du système ECRIS pour les ressortissants de pays tiers comme pour les citoyens de l’Union européenne (14). La Commission des libertés civiles, de la justice et des affaires intérieures du Parlement européen a adopté le Rapport sur la proposition de directive en 2016 (15), tandis qu’en ce qui concerne la proposition de règlement, le projet de rapport a été adopté le 30 octobre 2017 (16). Le Conseil a d’abord suspendu les négociations relatives à la proposition de directive à la suite de la demande, adressée par des États membres à la Commission lors du Conseil du 9 juin 2016, de présenter une proposition en vue de la création d’un système centralisé (17) et procède actuellement à l’examen des deux propositions en parallèle (18).

8.

Le système ECRIS-TCN constitue une initiative importante qui traite des systèmes d’information dans les domaines de la liberté, de la sécurité et de la justice. Le CEPD suit ce dossier depuis le début des négociations pour la création du système ECRIS. Le premier avis relatif au système ECRIS a été publié en 2006 (19), puis validé par la décision-cadre 2009/315/JAI du Conseil. Plus tard, en 2016, le CEPD, dans son avis 3/2016, a tenu compte de la proposition de directive (20).

9.

Dans ses deux avis, le CEPD a reconnu l’importance d’échanges d’informations extraites du casier judiciaire de personnes ayant été condamnées qui soient efficaces, ainsi que la nécessité qu’un système puisse fonctionner efficacement pour des ressortissants de pays tiers, particulièrement dans le contexte de l’adoption du programme européen en matière de sécurité (21). Sa position reste inchangée.

10.

Le présent avis s’appuie sur l’avis 3/2016 et aborde certains problèmes particuliers que soulève la proposition de règlement. Le cas échéant, l’avis fait également référence à la proposition de directive. Au chapitre 2, le CEPD expose ses principales inquiétudes et formule des recommandations quant aux réponses à y apporter. Les inquiétudes et recommandations supplémentaires pour de plus amples améliorations sont décrites au chapitre 3.

66.

À l’issue d’une analyse approfondie de la proposition ECRIS-TCN, le CEPD formule les recommandations suivantes:

67.

Au moment de créer une nouvelle base de données européenne centralisée et de modifier la législation relative au système ECRIS existante, le CEPD préconise de prendre en considération les exigences de la Charte des droits fondamentaux de l’Union européenne imposant une limitation légale des droits fondamentaux et de prévoir un degré de protection des données à caractère personnel suffisant dans le contexte de la proposition de règlement.

68.

Plus particulièrement, le CEPD rappelle la nécessité de produire des éléments de preuve objectifs de la nécessité d’instaurer un système centralisé au niveau européen. Dans ce contexte, l’interopérabilité doit d’abord être analysée par rapport à son impact sur les droits fondamentaux et ses finalités doivent être clairement définies au regard des finalités du système ECRIS. Une analyse d’impact appropriée sur les droits fondamentaux à la vie privée et à la protection des données doit accompagner la proposition de règlement pour ce qui concerne cet aspect, ainsi que pour ce qui concerne la concentration de tous les systèmes au sein d’une seule et même agence.

69.

La création d’une nouvelle base de données européenne centralisée et la modification de la législation relative au système ECRIS existante doivent respecter les critères de limitation légale des droits fondamentaux, conformément à une jurisprudence constante. À cette fin, les finalités du traitement des données autres que celles concernant les procédures pénales pour lesquelles ECRIS et ECRIS-TCN sont envisagés doivent être analysées du point de vue de leur nécessité et de leur proportionnalité, mais aussi être définies clairement, en accord avec le principe de limitation de la finalité dans le cadre de la protection des données. Par ailleurs, l’accès au système ECRIS-TCN par des instances de l’Union telles qu’Europol doit être conforme à la finalité du système ECRIS actuel et respecter le droit à une égalité de traitement des citoyens européens et des ressortissants de pays tiers. Il doit en outre être limité aux tâches qui incombent à ces instances dans le cadre de leur mission, pour lesquelles un accès répond à des impératifs de stricte nécessité. Tout élargissement envisagé des finalités actuelles doit être entériné par une disposition de base (un considérant ne suffit pas).

70.

Puisque le système ECRIS-TCN implique le traitement de données à caractère personnel très sensibles par nature, le CEPD invite à préciser les conditions appropriées pour traiter des données à caractère personnel dans le respect du principe de nécessité: une concordance («hit») ne doit être déclenchée que lorsque l’État membre requis est autorisé en vertu de son droit national à fournir des informations sur les condamnations pénales à d’autres fins que dans le cadre de procédures pénales. La portée du traitement des empreintes digitales doit être limitée et ce traitement ne doit survenir que lorsque l’identité d’un ressortissant d’un pays tiers donné ne peut être confirmée par d’autres méthodes. S’agissant des images faciales, le CEPD recommande la réalisation ou la mise à disposition d’une évaluation basée sur des données probantes de la nécessité d’inscrire de telles données et de les utiliser à des fins de vérifications et/ou d’identification.

71.

En outre, l’eu-LISA et les autorités centrales des États membres doivent être désignées en tant que responsables conjoints du traitement des données, étant donné qu’elles ont la responsabilité commune de définir les finalités et les méthodes des activités de traitement envisagées. La désignation de l’eu-LISA en tant que sous-traitant ne refléterait pas adéquatement la situation actuelle et ne contribuerait pas à garantir un degré élevé de protection des données, ou encore ne serait pas favorable aux intérêts légitimes des États membres. De plus, la proposition relative au système ECRIS-TCN doit mentionner clairement la responsabilité de l’eu-LISA en cas de violation de cette proposition de règlement ou d’infraction au règlement (CE) no 45/2001.

72.

Outre les principales préoccupations recensées ci-dessus, les recommandations exprimées par le CEPD dans le présent avis ont trait à l’amélioration des dispositions suggérées portant sur:

73.

Le CEPD reste disponible pour apporter des conseils supplémentaires sur les propositions de règlement et de directive, ainsi que sur tout acte délégué ou d’exécution susceptible d’être adopté en vertu des instruments proposés, et portant sur le traitement de données à caractère personnel.