18.12.2012   

FR

Journal officiel de l'Union européenne

C 391/127

—

se félicite des propositions visant à remanier la législation européenne en matière de protection des données, cette réforme étant la contribution de l'Union européenne au débat mondial sur une protection adéquate de la vie privée dans un monde numérisé;

—

juge indispensable de clarifier des aspects essentiels de la protection des données à caractère personnel dans le cadre de la procédure législative ordinaire, la seule qui soit à même de garantir la transparence et la légitimité démocratique dans la mesure où elle est élaborée conjointement par le Conseil de l'Union européenne et le Parlement européen avec la participation de représentants des collectivités locales et régionales européennes;

—

souligne que, sans préjudice des questions en suspens sur la compatibilité entre la substance du règlement et les principes de subsidiarité et de proportionnalité, certaines dispositions de détail limitent de manière inappropriée la législation des États membres relative au traitement des données par des organes de l'administration publique;

—

estime également que la réglementation envisagée devrait laisser une marge accrue de décision aux États membres et, le cas échéant, aux régions, pour que, conformément à leurs règles de droit interne, elle réglemente les conditions générales applicables aux membres de l'autorité de contrôle en vue de leur garantir toute indépendance dans l'exercice de leurs fonctions.

Rapporteure

Mme Ursula MÄNNLE (DE/PPE), députée au Parlement de l'État libre de Bavière

Textes de référence

Communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions sur la protection de la vie privée dans un monde en réseau: un cadre européen relatif à la protection des données, adapté aux défis du XXIe siècle

COM(2012) 9 final

Proposition de directive du Parlement européen et du Conseil relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données

COM(2012) 10 final

Proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données (règlement général sur la protection des données)

COM(2012) 11 final

1.

se félicite des propositions visant à remanier la législation européenne en matière de protection des données, cette réforme étant la contribution de l'Union européenne au débat mondial sur une protection adéquate de la vie privée dans un monde numérisé;

2.

rappelle le rôle décisif que jouent les collectivités locales et régionales dans la mise en œuvre des recommandations de l'Agenda numérique pour l'Europe. Elles sont en effet le moteur de la croissance économique au niveau local et régional et créent, utilisent et gèrent un grand nombre de produits et services d'information à l'aide de bases de données comportant des informations du secteur public. Aussi doivent-elles exercer une influence étendue et positive sur la législation qui aura une incidence sur leur domaine de compétence en matière de protection des données. Le règlement induira pour les communes et les régions des charges administratives supplémentaires et des surcoûts qui, de l'avis du Comité des régions, ne sont pas proportionnels aux avantages que les citoyens en retireront;

3.

appuie les objectifs généraux du train de réformes consistant à garantir, conformément à l'article 8 de la Charte des droits fondamentaux et à l'article 16 du Traité sur le fonctionnement de l'Union européenne, l'harmonisation au niveau européen de la protection des personnes physiques à l'égard du traitement des données à caractère personnel;

4.

souligne qu'une harmonisation des exigences en matière de protection des données au moyen de normes généralement contraignantes a pour effet de soumettre aux mêmes exigences les données traitées par les entreprises, les administrations et les acteurs privés alors que les conditions en matière de risques et des environnements opérationnels sont fondamentalement différentes. Le Comité est d'avis que le règlement affecte de manière disproportionnée les pouvoirs publics et est ambigu en ce qui concerne leurs compétences et le champ d'application du droit du travail. Pour les autorités publiques du niveau régional et local, il induit en outre une série d'exigences – par exemple des prescriptions plus sévères sur la documentation à fournir ou l'obligation d'assurer la portabilité des données – sans que les droits des personnes concernées s'en trouvent notablement améliorés en contrepartie. Le Comité estime qu'en raison de son niveau d'abstraction, l'option du règlement comme instrument juridique proposé est susceptible de mener à une utilisation abusive de l'article 290 du TFUE qui octroie à la Commission la faculté d'édicter des règles supplémentaires, même dans des matières essentielles, et, partant, qu'elle est incompatible avec les principes de subsidiarité et de proportionnalité. En conséquence, il demande que le traitement des données à caractère personnel par les pouvoirs publics et les questions relevant du droit du travail soient exclus du périmètre d'application du règlement, de manière à ce qu'ils continuent à être régis par une directive;

5.

souligne la responsabilité centrale que portent les autorités de contrôle indépendantes en matière de protection des données individuelles; considère toutefois que dans un monde interconnecté caractérisé par l'ubiquité virtuelle du traitement des données, le renforcement des missions que la loi leur assigne ne suffira pas à lui seul pour garantir un niveau élevé de protection, mais que des instruments d'incitation supplémentaires sont nécessaires pour les opérateurs afin de récompenser les efforts en faveur de la protection des données, par exemple en facilitant la charge de la preuve pour les opérateurs qui se soumettent à des normes d'autoréglementation ou à des codes de conduite exigeants, ou qui procèdent de manière volontaire à des évaluations d'impact;

6.

juge indispensable de clarifier des aspects essentiels de la protection des données à caractère personnel dans le cadre de la procédure législative ordinaire, la seule qui soit à même de garantir la transparence et la légitimité démocratique dans la mesure où elle est élaborée conjointement par le Conseil de l'Union européenne et le Parlement européen avec la participation de représentants des collectivités locales et régionales européennes;

7.

reconnaît que l'élaboration de règles contraignantes visant à protéger les données à caractère personnel dans le cadre de l'échange transnational de données est une nécessité fondamentale dans le secteur de la coopération policière et judiciaire;

8.

met en garde contre le risque que les efforts déployés pour renforcer la protection des données à caractère personnel ne restreignent excessivement les citoyens dans l'exercice de leur droit à l'autodétermination informationnelle, en leur contestant la possibilité d'exprimer leur consentement, notamment vis-à-vis des pouvoirs publics, tant dans le cadre du règlement général que de la directive qui concernent la protection des données;

9.

estime que, eu égard aux observations formulées ci-dessus, la suite du processus législatif devrait tenir compte des aspects suivants:

10.

considère qu'en ce qui concerne le secteur privé, la tentative d'harmoniser complètement certains volets du cadre européen de protection des données en le transformant en un règlement doit être motivée par des arguments solides;

11.

souligne toutefois que si le train de mesures constitué par le règlement général sur la protection des données et la directive relative au domaine de la police et de la justice conserve un grand nombre des dispositions européennes et nationales en matière de protection des données, en particulier dans le domaine des télécommunications, il se heurte cependant de façon récurrente, lors du processus de consultation, à des réserves fondamentales concernant sa compatibilité avec les principes de subsidiarité et de proportionnalité. Les objections formulées portent sur les aspects suivants:

12.

souligne que ces préoccupations reflètent les réserves que de nombreuses collectivités locales et régionales européennes nourrissent à l'égard de propositions de réglementation en vertu desquelles il est par exemple impossible de tenir compte des spécificités nationales en matière de protection des données dans le secteur social ou qui imposent aux administrations publiques des exigences en matière de protection des données telles que le droit à la portabilité des données, dont on peut penser qu'elles ne sont utiles que pour le traitement des données à caractère économique, et qui prévoient de lourdes sanctions administratives au regard des ressources financières des autorités locales;

13.

estime qu'il convient de préciser, dans la proposition de règlement sur la protection des données, que les restrictions prévues à l'article 83 en ce qui concerne le traitement des données à caractère personnel à des fins de recherche historique, statistique ou scientifique ne doivent pas limiter les possibilités des organismes publics de conserver des documents en vertu de législations nationales relatives aux archives et à la transparence des documents administratifs;

14.

juge dès lors nécessaire que l'on examine à nouveau et plus attentivement, lors de la prochaine étape de la procédure législative, la décision relative à la forme juridique ainsi que la limite entre le champ d'application de la proposition de règlement et celui de la proposition de directive, afin de trouver une alternative éventuelle qui serait plus conforme aux principes de subsidiarité et de proportionnalité que le paquet à l'examen, notamment en permettant qu'une directive continue à régir le traitement des données personnelles par les pouvoirs publics ainsi que les questions relevant du droit du travail, de manière que la gestion de ces données effectuée par lesdites autorités publiques ainsi que dans le domaine relevant du droit du travail soit exclue du périmètre d'application du règlement général;

15.

appuie l'objectif consistant à imposer le respect des normes européennes en matière de protection des données y compris aux fournisseurs mondiaux de services d'informations;

16.

considère que l'initiative présentée tout récemment par le gouvernement des États-Unis d'Amérique concernant un cadre juridique pour la protection de la sphère privée dans une économie des TI mondialisée est l'occasion de rapprocher les tentatives de réforme de domaines essentiels de la circulation internationale des données afin de dégager des normes de protection communes, ce qui permettrait non seulement d'imposer des réglementations efficaces en matière de protection des données, mais aussi d'éviter les distorsions de concurrence de manière plus efficace qu'en recourant au principe de la loi du lieu d'activité, très difficile à imposer dans la pratique;

17.

indique que la substance du projet de règlement général repose sur les principes de la directive 95/46/CE sur la protection des données, dont quelques-uns seulement ont été approfondis, comme le principe de protection des données dès la conception, mais qui, pour le reste, ont été modifiés. Dans la société de l'information, les risques relatifs au traitement des données à caractère personnel par des organes privés ou publics ne sont plus caractérisés par des relations bilatérales, comme c'était le cas lorsque la directive sur la protection des données a été élaborée. La numérisation et l'interconnexion créent aujourd'hui des systèmes dans lesquels plusieurs organismes participent au traitement des données, par exemple en combinant des archives ou en partageant les informations entre différents organismes;

18.

souligne qu'il est désormais difficile de clarifier dûment les questions que cette situation pose en matière de protection des données à caractère personnel à l'aide de notions bipolaires telles que "le responsable du traitement", "le droit à l'oubli numérique" ou le principe d'interdiction (articles 6 et 9 du projet de règlement) développé pour les besoins de la relation État-citoyen. Un certain nombre de modifications apportées aux dispositions de la directive, p.ex. les nouvelles définitions des "données à caractère personnel" ou "le consentement", contribuent moins à clarifier les incertitudes juridiques existantes qu'à les renforcer;

19.

estime dès lors que si la Commission maintient sa préférence pour un règlement, ledit règlement devrait préciser qu'un employeur peut procéder au traitement de données sur la base d'un consentement du salarié, et qu'il doit en aller de même pour les organismes publics, tant dans le cadre du règlement général relatif à la protection des données que de la directive en la matière; conformément au règlement, les États membres peuvent adopter, par voie législative, des règles spécifiques pour le traitement des données à caractère personnel des salariés dans le secteur de l'emploi;

20.

juge dès lors nécessaire, dans la mesure où la procédure législative ne peut être utilisée pour continuer à développer des notions de base, de revoir les mécanismes de mise en œuvre qui sont actuellement axés de manière trop rigide sur des instruments réglementaires, y compris bipolaires, tels que des ordres ou des sanctions. Du point de vue des collectivités locales et régionales, les organes les plus proches des intéressés, les aspects suivants peuvent revêtir une importance particulière:

21.

fait observer à cet égard que le projet de règlement général sur la protection des données n'accorde pour l'heure qu'une place secondaire à ces tâches qui relèvent pour l'essentiel des autorités de surveillance, p.ex. dans le cadre de la mission de sensibilisation (article 52, paragraphe2, du règlement général) ou des dispositions sur les codes de conduite (article 38 du règlement général);

22.

souligne que, sans préjudice des questions en suspens sur la compatibilité entre la substance du règlement et les principes de subsidiarité et de proportionnalité, certaines dispositions de détail limitent de manière inappropriée la législation des États membres relative au traitement des données par des organes de l'administration publique;

23.

estime dès lors que le traitement des données à caractère personnel par les organismes publics et le domaine relevant du droit travail doivent continuer à être réglementés par une directive;

24.

considère dès lors qu'au cas où la Commission maintiendrait sa préférence pour un règlement qui régirait également les organes publics et le domaine de la législation du travail,

25.

est fortement préoccupé par le fait qu'à la suite de la mise en œuvre du règlement, la clarification et le développement des normes en matière de protection des données feront l'objet de procédures n'offrant aucune garantie de transparence ni de légitimité démocratique suffisante, contrairement à la législation des États membres et de l'Union européenne ou encore à l'exécution des dispositions nationales et européennes par les administrations des États membres, qui agissent sous contrôle parlementaire;

26.

invoque, pour étayer son point de vue, le fait que la proposition de règlement doit, au moyen de dispositions très abstraites, créer des obligations tout à la fois contraignantes, uniformes et dont le non-respect peut être sanctionné, dans un domaine essentiel pour la mise en œuvre de différents aspects relatifs aux droits fondamentaux, qui est actuellement caractérisé par un éventail de cas de figure variés et des plus flous allant du carnet d'adresse privé aux données des réseaux sociaux ou de fournisseurs de moteurs de recherche en passant par les registres officiels de la population. Dans ce contexte, les déficits, qui sont pratiquement inévitables, en matière de certitude des normes, de sécurité juridique et de capacité d'exécution doivent être compensés par un nombre élevé d'habilitations à adopter des actes délégués qui concernent souvent des éléments essentiels de la proposition de règlement, comme le montre par exemple l'habilitation visée à l'article 6, paragraphe 5, de ladite proposition. Par ailleurs, les autorités de contrôle indépendantes se voient octroyer des compétences qui dépassent de loin leurs tâches d'exécution habituelles et leur permettent d'adopter des dispositions en fin de compte tout aussi générales et abstraites dans le cadre d'orientations générales portant interprétation du règlement sur la protection des données. Dans le cadre du mécanisme de contrôle de la cohérence, la Commission dispose en outre d'un droit inapproprié d'intervention à l'égard de ces autorités, qui met en cause l'indépendance que leur accorde l'article 16, paragraphe 2, deuxième phrase, du TFUE;

27.

juge dès lors nécessaire de modifier radicalement les modalités de participation de la Commission au mécanisme de contrôle de la cohérence afin de préserver l'indépendance des autorités de contrôle de la protection des données, en particulier les compétences qui leur sont reconnues par les articles 60 et 62, paragraphe 1, point a), du règlement général, ainsi que la définition du concept de "doutes sérieux" évoqué par les mêmes articles, sur la base desquels la Commission intervient;

28.

estime également que la réglementation envisagée devrait laisser une marge accrue de décision aux États membres et, le cas échéant, aux régions, pour que, conformément à leurs règles de droit interne, elle réglemente les conditions générales applicables aux membres de l'autorité de contrôle en vue de leur garantir toute indépendance dans l'exercice de leurs fonctions;

29.

considère en outre que les instruments de gestion des autorités de contrôle indépendantes, que reconnaît également la Cour européenne de justice, devraient être davantage développés, par exemple dans le cadre de rapports et autres procédures de consultation régulières avec les organes législatifs, afin de donner régulièrement au Parlement et au Conseil, de même qu'au Comité des régions au titre de son droit de participation, une vue d'ensemble de l'exécution de la législation européenne en matière de protection des données, ainsi que la possibilité de lancer des initiatives visant à la faire évoluer. Par ailleurs, il conviendrait d'adopter des règles procédurales complémentaires obligeant les autorités de contrôle et le comité européen de la protection des données à faire participer, en toute transparence et en vertu du droit à être entendu, les associations et représentations d'intérêts concernées par certaines décisions fondamentales visées par exemple à l'article 58, paragraphe 2, du règlement, à la clarification et au développement de la législation sur la protection des données, par exemple dans le cadre de procédures d'audition ou de consultation;

30.

se demande si le fait de réglementer également le traitement exclusivement national des données dans le cadre de la proposition de directive s'appliquant aux services de police et à la justice est compatible avec les compétences législatives de l'Union européenne et s'il est nécessaire compte tenu des principes de subsidiarité et de proportionnalité. En dehors des tâches qu'elles effectuent dans le cadre de la lutte contre le terrorisme, la criminalité organisée ou la cybercriminalité, la police et les autorités répressives disposent toujours d'importantes bases de données qui sont traitées exclusivement au niveau national et, partant, ne nécessitent pas l'adoption d'une législation européenne en matière de protection des données. Il convient toutefois de tenir compte du fait que les règles de protection des données ont des répercussions directes sur les autres droits de procédure policière et pénale et induisent dès lors indirectement une harmonisation dans ces secteurs également, bien que l'Union européenne ne dispose pas des compétences suffisantes en la matière;

31.

est surpris de constater que les institutions et organes européens, à commencer par Eurojust et Europol, sont exclus du champ d'application de la directive;

32.

demande, sans préjudice de ces réserves de principe, que l'on examine les questions suivantes dans le cadre de la suite de la procédure:

33.

se réserve le droit de présenter un autre avis comportant plus particulièrement des propositions d'amendement concrètes dès que l'on connaîtra la position du Conseil de l'Union européenne et du Parlement européen sur les questions soulevées lors de la prochaine étape du processus législatif.