Résumé de l’avis du contrôleur européen de la protection des données sur la proposition de règlement relatif à l’échange automatisé de données dans le cadre de la coopération policière («Prüm II»)

(Le texte complet de l'avis en anglais, français et allemand est disponible sur le site Internet du CEPD www.edps.europa.eu)

(2022/C 225/04)

Le 8 décembre 2021, la Commission européenne a adopté une proposition de règlement du Parlement européen et du Conseil relatif à l’échange automatisé de données dans le cadre de la coopération policière («Prüm II»), modifiant les décisions 2008/615/JAI et 2008/616/JAI du Conseil et les règlements (UE) 2018/1726, 2019/817 et 2019/818 du Parlement européen et du Conseil (les «décisions Prüm»). La proposition fait partie d’un paquet législatif plus vaste, dénommé «code de coopération policière de l’UE», qui comprend également une proposition de directive du Parlement européen et du Conseil relative à l’échange d’informations entre les services répressifs des États membres (sous réserve d’un avis distinct du CEPD) et une proposition de recommandation du Conseil relative à la coopération policière opérationnelle.

L’objectif de la proposition est de renforcer la coopération en matière répressive et, en particulier, l’échange d’informations entre les autorités compétentes chargées de la prévention et de la détection des infractions pénales, ainsi que des enquêtes en la matière, en définissant les conditions et les procédures applicables à la consultation automatisée de profils ADN, de données dactyloscopiques (empreintes digitales), d’images faciales, de registres de la police et de certaines données relatives à l’immatriculation des véhicules, ainsi qu’à l’échange de données à la suite d’une correspondance.

Bien que le CEPD comprenne la nécessité pour les services répressifs de bénéficier des meilleurs outils juridiques et techniques possibles pour la détection et la prévention des infractions pénales ainsi que des enquêtes en la matière, il note que le nouveau cadre Prüm proposé ne définit pas clairement les éléments essentiels de l’échange de données, tels que les types d’infractions, qui peuvent justifier une requête, et n’est pas suffisamment clair quant à l’étendue des personnes concernées affectées par l’échange automatisé de données, par exemple si les bases de données, qui font l’objet d’une requête, ne contiennent que des données de suspects et/ou de personnes reconnues coupables, ou également des données d’autres personnes concernées, telles que les victimes ou les témoins.

Le CEPD estime, en particulier, que la consultation automatisée de profils ADN et d’images faciales ne devrait être possible que dans le cadre d’enquêtes individuelles sur des infractions pénales graves, plutôt que sur toute infraction pénale, comme le prévoit la proposition. En outre, le CEPD juge nécessaire d’introduire dans la proposition des exigences et conditions communes applicables aux données figurant dans les bases de données nationales qui sont rendues accessibles aux fins de recherches automatisées, en tenant dûment compte de l’obligation, prévue à l’article 6 de la directive (UE) 2016/680 en matière de protection des données dans le domaine répressif, d’établir une distinction entre les différentes catégories de personnes concernées (c’est-à-dire les criminels reconnus coupables, les suspects, les victimes, etc.).

Le CEPD est également préoccupé par les conséquences de la consultation et de l’échange automatisés proposés de registres de la police sur les droits fondamentaux des personnes concernées. Il estime que la nécessité de la consultation et de l’échange automatisés de données des registres de la police n’est pas suffisamment démontrée. Si une telle mesure est néanmoins adoptée, même sur une base volontaire, des garanties solides supplémentaires seraient alors nécessaires pour respecter le principe de proportionnalité. En particulier, compte tenu des problèmes de qualité des données, le futur règlement devrait, entre autres, définir explicitement les types et/ou la gravité des infractions susceptibles de justifier une requête automatisée dans les casiers judiciaires nationaux.

En ce qui concerne l’inclusion d’Europol dans le cadre Prüm, le CEPD estime que les observations et recommandations qu’il a formulées dans son avis 4/2021 sur la proposition de modification du règlement Europol restent parfaitement valables dans le cadre de la coopération Prüm, en particulier celles relatives au « défi des mégadonnées », à savoir le traitement par l’Agence d’ensembles de données vastes et complexes. Le CEPD souhaite rappeler deux des messages clés figurant dans l’avis sur Europol: des pouvoirs renforcés devraient toujours aller de pair avec un contrôle renforcé et, tout aussi important, les exceptions applicables sous la forme de dérogations ne devraient pas être autorisées à devenir la règle.

La proposition prévoit une architecture complexe de consultation et d’échange automatisés de données au titre du cadre Prüm, comportant trois solutions techniques distinctes, élaborées et gérées par trois entités différentes. Le CEPD estime que la proposition devrait être plus explicite quant à la responsabilité du traitement des données à caractère personnel, en particulier dans EUCARIS, qui n’est pas fondé sur le droit de l’UE et a un caractère intergouvernemental. De plus, le CEPD estime que, compte tenu de l’ampleur et de la sensibilité du traitement des données à caractère personnel, le modèle de gouvernance horizontal proposé du cadre Prüm n’est pas approprié et devrait être encore renforcé, par exemple en attribuant un rôle central de coordination à une entité de l’UE, comme la Commission.

En outre, dans un souci de sécurité juridique, le CEPD considère que le lien entre les règles de protection des données contenues dans la proposition et le cadre juridique existant en matière de protection des données dans l’UE, en particulier la directive en matière de protection des données dans le domaine répressif et le règlement (UE) 2018/1725 («RPDUE»), devrait être explicitement clarifié.

Par ailleurs, le présent avis analyse et formule des recommandations sur un certain nombre d’autres questions spécifiques, telles que le lien entre le cadre Prüm et le cadre d’interopérabilité, le transfert de données vers des pays tiers et à des organisations internationales ou le contrôle des opérations de traitement aux fins de la coopération Prüm.

1.   INTRODUCTION

4.   CONCLUSIONS

(1)  COM(2021) 784 final.

(2)  COM(2021) 782 final.

(3)  COM(2021) 780 final.

(4)  https://ec.europa.eu/home-affairs/news/boosting-police-cooperation-across-borders-enhanced-security-2021-12-08_en

(5)  Communication de la Commission relative à la stratégie de l’UE pour l’union de la sécurité, COM(2020)605 final.

(6)  Communication de la Commission relative à la stratégie de l’UE visant à lutter contre la criminalité organisée (2021-2025), COM(2021)170 final.

(7)  Communication de la Commission «Une stratégie pour un espace Schengen pleinement opérationnel et résilient», COM(2021)277 final.

(8)  Pour de plus amples informations, voir avis 4/2021 du CEPD, https://edps.europa.eu/system/files/2021-03/21-03-08_opinion_europol_reform_en.pdf