17.5.2006   

FR

Journal officiel de l'Union européenne

C 116/1

17.5.2006   

FR

Journal officiel de l'Union européenne

C 116/2

Commission européenne

Direction générale de la concurrence

B-1049 Bruxelles

Courriel: Stateaidgreffe@cec.eu.int

Télécopie: (32-2) 296 12 42

17.5.2006   

FR

Journal officiel de l'Union européenne

C 116/7

1.

Le 4 mai 2006, la Commission a reçu notification d'un projet de concentration, conformément à l'article 4 du règlement (CE) no 139/2004 du Conseil (1), par lequel l'entreprise Inchcape plc («Inchcape», Royaume-Uni) acquiert, au sens de l'article 3, paragraphe 1, point b), du règlement du Conseil, le contrôle de l'ensemble de Lind Automotive Group Ltd («Lind», Royaume-Uni) par achat d'actions.

2.

Les activités des entreprises considérées sont les suivantes:

3.

Après examen préliminaire et sans préjudice de sa décision définitive sur ce point, la Commission estime que l'opération de concentration notifiée pourrait entrer dans le champ d'application du règlement (CE) no 139/2004. Conformément à la communication de la Commission relative à une procédure simplifiée de traitement de certaines opérations de concentration en application du règlement (CE) no 139/2004 du Conseil (2), il convient de noter que ce cas est susceptible d'être traité selon la procédure définie par ladite communication.

4.

La Commission invite les tiers concernés à lui transmettre leurs observations éventuelles sur le projet de concentration.

Ces observations devront parvenir à la Commission dans un délai de dix jours au plus tard à compter de la date de la présente publication. Elles peuvent être envoyées par télécopie [no (32-2) 296 43 01 ou 296 72 44] ou par courrier, sous la référence COMP/M.4195 — Inchcape/Lind à l'adresse suivante:

17.5.2006   

FR

Journal officiel de l'Union européenne

C 116/8

1.

La Commission a transmis au CEPD, par lettre datée du 12 octobre 2005, la proposition de décision-cadre du Conseil relative à l'échange d'informations en vertu du principe de disponibilité. Le CEPD interprète cette lettre comme une demande d'avis à formuler à l'intention des institutions et organes communautaires, comme cela est prévu à l'article 28, paragraphe 2, du règlement (CE) no 45/2001. Pour le CEPD, il convient de mentionner le présent avis dans le préambule de la décision-cadre.

2.

Il faut replacer le présent avis dans le contexte décrit dans la partie II: il n'est pas sûr du tout que la proposition en question — ou l'approche qui y est adoptée à l'égard de la disponibilité — aboutira finalement à l'adoption d'un instrument juridique. De nombreux États membres préconisent d'autres approches.

3.

Toutefois, il est évident que la question de la disponibilité des informations en matière répressive à travers l'UE — ou, plus généralement, l'échange de ces informations — figure parmi les priorités des États membres, au sein ou en-dehors du Conseil, et du Parlement européen.

4.

Il est tout aussi évident que cette question revêt une très grande importance sous l'angle de la protection des données à caractère personnel, comme le montre le présent avis. Le CEPD rappelle que la Commission a présenté cette proposition en lien étroit avec la proposition de décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale, qui a fait l'objet d'un avis du CEPD rendu le 19 décembre 2005.

5.

Le CEPD profitera du présent avis pour présenter des considérations générales et plus fondamentales sur l'échange d'informations en matière répressive et sur les approches envisageables pour régler cette question. Le CEPD espère que le présent avis contribuera à ce que la question de la protection des données soit dûment prise en considération lors des débats qui auront lieu.

6.

Le CEPD pourra évidemment être à nouveau consulté ultérieurement, en fonction de l'évolution du parcours législatif de cette proposition, ainsi que sur d'autres propositions dans le même domaine.

7.

Le principe de disponibilité est un nouveau principe juridique important qui a été introduit dans le programme de La Haye et selon lequel les informations nécessaires dans le cadre de la lutte contre la criminalité doivent pouvoir traverser sans entraves les frontières intérieures de l'UE. L'objectif de la proposition à l'examen est de mettre en œuvre ce principe dans un acte juridique contraignant.

8.

L'échange d'informations policières entre les différents pays intéresse beaucoup le législateur, que ce soit à l'intérieur ou à l'extérieur du cadre de l'UE. Plusieurs initiatives récentes ont retenu l'attention du CEPD.

9.

Premièrement, le 4 juin 2004, la Suède a proposé une décision-cadre relative à la simplification de l'échange d'informations et de renseignements entre les services répressifs des États membres de l'Union européenne. Le Conseil a dégagé une orientation générale sur cette proposition lors de sa session du 1er décembre 2005.

10.

Deuxièmement, le 27 mai 2005, sept États membres ont signé à Prüm (Allemagne) un traité relatif à l'approfondissement de la coopération transfrontalière, notamment en vue de lutter contre le terrorisme, la criminalité transfrontalière et l'immigration illégale. Ce traité introduit entre autres des mesures visant à améliorer l'échange d'informations sur les profils ADN et les empreintes digitales. Tout État membre de l'Union européenne peut adhérer à ce traité. Les parties contractantes souhaitent incorporer les dispositions du traité dans le cadre juridique de l'Union européenne.

11.

Troisièmement, la disponibilité des informations en matière répressive de part et d'autre des frontières intérieures de l'Union européenne se trouvera également facilitée par d'autres instruments juridiques, comme les propositions relatives à un système d'information Schengen de deuxième génération (SIS II), la proposition concernant l'accès en consultation au système d'information sur les visas (VIS) et la proposition de décision-cadre relative à l'organisation et au contenu des échanges d'informations extraites du casier judiciaire entre les États membres. Il convient également de citer à cet égard la communication sur le renforcement de l'efficacité et de l'interopérabilité des bases de données européennes dans le domaine de la justice et des affaires intérieures et sur la création de synergies entre ces bases de données, présentée par la Commission le 25 novembre 2005.

12.

Vu l'existence de toutes ces initiatives, la présente proposition de décision-cadre relative à la disponibilité ne doit pas examinée isolément, mais il faut également prendre en considération les autres approches relatives à l'échange d'informations en matière répressive. Cela est d'autant plus important que la tendance actuelle au sein du Conseil est de privilégier les autres approches en matière d'échange d'informations et de disponibilité par rapport à la démarche générale proposée par la Commission dans la proposition qui nous occupe et dont le texte pourrait ne même pas aboutir sur la table du Conseil.

13.

Par ailleurs, cette proposition est étroitement liée à la proposition de décision-cadre relative à la protection des données à caractère personnel. Le présent avis s'inscrit donc dans la même ligne que l'avis plus approfondi sur la décision-cadre précitée.

14.

Dans son avis sur la proposition de décision-cadre relative à la protection des données à caractère personnel, le CEPD a souligné qu'un instrument juridique sur le principe de disponibilité ne devrait être adopté que s'il existe une protection adéquate des données. Selon le CEPD, un tel instrument juridique ne devrait pas être adopté sans garanties fondamentales en matière de protection des données.

15.

Le CEPD adopte la même position à l'égard de l'adoption d'autres instruments juridiques visant à faciliter le flux des informations en matière répressive à travers les frontières intérieures de l'UE. Le CEPD se félicite donc que le Conseil et le Parlement européen aient accordé la priorité à la proposition de décision-cadre relative à la protection des données à caractère personnel déjà mentionnée.

16.

Le principe de disponibilité est en soi un principe simple. Les informations accessibles à certaines autorités dans un État membre doivent également être communiquées aux services équivalents des autres États membres. Ces informations doivent être échangées aussi rapidement et aussi facilement que possible entre les services des États membres et de préférence dans le cadre d'un accès en ligne.

17.

Les difficultés résultent des conditions dans lesquelles le principe de disponibilité doit s'appliquer:

18.

Indépendamment de cet environnement complexe, il est communément admis que ce principe ne peut pas fonctionner isolément. Des mesures supplémentaires sont nécessaires pour qu'il soit possible de trouver les informations et d'y accéder effectivement. En tout état de cause, ces mesures doivent permettre aux services répressifs de savoir plus facilement si leurs homologues dans les autres États membres disposent des informations recherchées et où il est possible de les trouver. Il pourrait s'agir d'interfaces offrant un accès direct à toutes les données ou à des données particulières détenues par d'autres États membres. C'est la raison pour laquelle la proposition de décision-cadre relative au principe de disponibilité introduit les «données d'index», qui ont des données spécifiques accessibles directement depuis un autre pays.

19.

De façon générale, le principe de disponibilité devrait faciliter le flux d'informations entre les États membres. Les frontières intérieures vont être supprimées et les États membres doivent accepter que les informations disponibles pour leurs services de police deviennent de plus en plus accessibles à d'autres services. Les États membres perdent leur compétence en matière de contrôle des flux d'informations, ce qui a également pour résultat que leur législation nationale n'est plus un instrument suffisant pour leur permettre d'assurer une protection adéquate de l'information.

20.

C'est la raison pour laquelle il faut examiner la proposition avec une attention particulière pour ce qui est de la protection des données à caractère personnel. En premier lieu, des informations a priori confidentielles et sécurisées doivent être communiquées aux autorités d'autres États membres. En second lieu, pour que le système fonctionne, il faut créer des données d'index et les rendre accessibles aux services des autres États membres. L'application de ce principe va donc générer plus de données que ce qui est actuellement disponible.

21.

Il est d'abord essentiel de définir à quel type d'informations le principe de disponibilité s'appliquera. Son champ d'application est défini en termes généraux à l'article 2 de la proposition, en combinaison avec l'article 1er, paragraphe 1, et l'article 3, point a). Ce principe s'applique aux informations suivantes:

Ce sont, dans la proposition de la Commission, les trois éléments fondamentaux du champ d'application du principe. Le champ d'application est davantage précisé à l'article 2. L'article 2, paragraphe 1, limite l'application du principe de disponibilité à l'étape préalable à l'engagement de poursuites, alors que les paragraphes 2, 3 et 4 du même article apportent des restrictions plus spécifiques.

22.

Pour comprendre les conséquences de la proposition, il est nécessaire d'approfondir l'analyse des trois éléments fondamentaux susmentionnés. Les deux premiers sont suffisamment clairs en eux-mêmes. La définition des «informations existantes» est détaillée à l'article 2, paragraphe 2: la décision-cadre n'entraîne aucune obligation de recueillir et de stocker des informations dans le seul but de les rendre accessibles; quant à la liste figurant à l'annexe II, elle ne peut prêter à différentes interprétations. C'est le troisième élément fondamental, en lui-même et en combinaison avec les deux premiers, qui doit être clarifié.

23.

La proposition ne précise pas si les «informations disponibles» consistent essentiellement en informations déjà gérées par les autorités compétentes ou si elles comprennent également des informations que ces autorités sont susceptibles d'obtenir. Toutefois, selon le CEPD, on pourrait considérer que la proposition couvre ces deux types d'informations.

24.

En effet, si l'article 2, paragraphe 2, semble suggérer un champ d'application plus étroit, en précisant que la décision-cadre «n'entraîne aucune obligation de recueillir et de stocker des informations […] dans le seul but de les rendre accessibles», l'article 3, point a), autorise quant à lui une interprétation plus large, puisqu'il précise que par «informations», on entend «les informations existantes énumérées à l'annexe II».

25.

L'annexe II mentionne au moins deux catégories de données généralement détenues par d'autres services que la police. La première catégorie concerne les informations relatives à l'immatriculation des véhicules. Dans beaucoup d'États membres, les bases de données contenant ces informations ne sont pas tenues par les services répressifs, même si ces derniers accèdent régulièrement à ces informations. Ce type d'informations doit-il entrer dans le champ d'application des «informations disponibles» qui, selon l'article 1er, doivent être fournies aux autorités compétentes des autres États membres? La seconde catégorie de données énumérées à l'annexe II concerne les numéros de téléphone et les autres données relatives aux communications: ces données doivent-elles être considérées comme «disponibles» même si elles ne sont pas détenues par les autorités compétentes mais par des sociétés privées?

26.

Par ailleurs, d'autres dispositions de la proposition, et plus particulièrement l'article 3, point d), et l'article 4, paragraphe 1, point c), montrent que des «autorités désignées» et même des «parties désignées» peuvent contrôler les informations qui sont «disponibles» pour les «autorités compétentes». Il découle également du texte de la proposition que «l'autorité compétente» d'un État membre désigne «toute autorité nationale visée à l'article 29, premier tiret, du traité UE» alors que toute autorité nationale peut être considérée comme autorité désignée.

27.

Selon le CEPD, l'application du principe de disponibilité aux informations placées sous le contrôle des autorités désignées et des parties désignées, amène à se poser les questions suivantes:

28.

L'application d'un principe aussi large que le «principe de disponibilité» nécessite une définition claire et précise des données qui seront considérées comme disponibles. Le CEPD recommande donc:

29.

Aux termes de l'article 2, paragraphe 1, de la proposition, la décision-cadre s'appliquera aux traitements des informations réalisés préalablement à l'engagement de poursuites. Son champ d'application est plus limité que celui de la proposition de décision-cadre relative à la protection des données à caractère personnel qui couvre l'ensemble de la coopération judiciaire en matière pénale.

30.

Toutefois, selon le CEPD, cette restriction n'a pas en soi pour effet de limiter à la coopération policière le champ d'application de la proposition. La décision-cadre pourrait également porter sur la coopération judiciaire en matière pénale puisque, dans un certain nombre d'États membres, les autorités judiciaires exercent également des compétences en matière d'enquêtes pénales, préalablement à l'engagement de poursuites. Cependant, le fait que la proposition soit fondée uniquement sur l'article 30, paragraphe 1, point b), du traité UE semble indiquer qu'elle s'applique uniquement à la coopération policière. Des éclaircissements sur ce point seraient les bienvenus.

31.

La proposition qui nous occupe s'applique à la transmission d'informations à Europol alors que la proposition de décision-cadre relative à la protection des données à caractère personnel exclut le traitement des données à caractère personnel par Europol. Le CEPD conseille de limiter l'échange d'informations avec Europol aux objectifs d'Europol, tels que définis à l'article 2 et à l'annexe de la convention Europol. Par ailleurs, il devrait être tenu compte des modalités de l'échange de données avec Europol, qui sont déjà fixées dans plusieurs actes du Conseil.

32.

Le point de départ de la proposition est que celle-ci ne doit pas aboutir à la constitution de nouvelles bases de données contenant des données à caractère personnel. L'article 2, paragraphe 2, est clair sur ce point: la décision-cadre n'entraîne aucune obligation de recueillir et de stocker des informations dans le seul but de les rendre accessibles. Du point de vue de la protection des données, il s'agit d'un élément important et positif de cette proposition. Le CEPD rappelle son avis sur la proposition de directive sur la conservation de données traitées dans le cadre de la fourniture de services de communications électroniques accessibles au public (1), dans lequel il a souligné que les obligations légales qui entraînent la constitution de bases de données de taille importante font courir des risques particuliers à la personne concernée, notamment en matière d'utilisation abusive.

33.

Toutefois:

34.

La proposition prévoit un accès direct et indirect à l'information. Son article 9 prévoit un accès direct en ligne aux informations contenues dans les bases de données auxquelles les autorités nationales correspondantes ont un accès direct en ligne. L'article 10 prévoit quant à lui un accès indirect. Les données d'index renvoyant à des informations auxquelles on ne peut pas accéder en ligne doivent pouvoir être consultées en ligne par les autorités compétentes équivalentes des autres États membres et par Europol. Lorsqu'en consultant des données d'index, l'autorité compétente trouve une correspondance, elle peut émettre une demande d'informations et la transmettre à l'autorité désignée de manière à obtenir les informations identifiées par les données d'index.

35.

L'accès direct n'entraîne pas la constitution de nouvelles bases de données, mais il nécessite l'interopérabilité des bases de données des systèmes compétents équivalents des États membres. Par ailleurs, il induira forcément un nouveau mode d'utilisation des bases de données déjà existantes en offrant à toutes les autorités compétentes des États membres une possibilité qui était jusque là ouverte aux seules autorités nationales. L'accès direct multipliera automatiquement le nombre de personnes qui auront accès à une base de données et donc les risques d'utilisation abusive.

36.

En cas d'accès direct par une autorité compétente d'un autre État membre, les autorités désignées de l'État membre d'origine n'ont aucun contrôle sur l'accès aux données ni sur l'utilisation ultérieure qui en est faite. Il faut bien mesurer cette conséquence de l'accès direct tel que prévu par la proposition:

37.

Quant à l'accès indirect via des données d'index qui donnent des informations selon un système «hit-no hit», il ne s'agit pas d'un phénomène nouveau. C'est la base du fonctionnement des systèmes européens d'information à grande échelle, comme le système d'information Schengen. La mise en place d'un système de données d'index présente l'avantage de permettre à l'État membre d'origine de contrôler l'échange des informations provenant des fichiers de ses services de police. Si la consultation des données d'index fait apparaître une correspondance, l'autorité requérante peut établir une demande d'informations sur la personne concernée. Cette demande peut être valablement évaluée par l'autorité requise.

38.

Il faut néanmoins sérieusement étudier cette question, car la mise en place d'un système de données d'index — dans les domaines où ces systèmes n'existent pas encore, autres que les systèmes européens d'information à grande échelle — est de nature à créer de nouveaux risques pour la personne concernée. Le CEPD rappelle que, bien que les données d'index ne contiennent pas beaucoup d'informations sur la personne concernée, leur consultation peut donner des résultats extrêmement sensibles. Elle peut révéler qu'une personne figure dans un fichier de police dans le cadre d'une infraction pénale.

39.

Il est donc de la plus haute importance que le législateur européen prévoie des règles appropriées, au moins en ce qui concerne la création des données d'index, la gestion des fichiers contenant ces données et l'accès à ces données. Selon le CEPD, la proposition n'est pas satisfaisante sur ces points. À ce stade, le CEPD formule trois observations:

40.

L'échange d'informations ne doit pas dispenser l'État membre requis de demander aux autorités judiciaires l'autorisation préalable de transmettre à l'autorité requérante des informations qui seraient sous contrôle judiciaire. Il s'agit d'un point important puisque, comme l'a montré une enquête sur les pouvoirs des services de police en matière d'échange des données à caractère personnel (2), il y a des États membres où la police n'a pas accès de façon autonome à ce type de données. Selon le CEPD, le principe de disponibilité ne devrait pas porter atteinte aux dispositions nationales rendant obligatoire l'autorisation préalable d'accès aux informations, ou, à tout le moins, il conviendrait d'établir des règles spécifiques concernant les catégories de données soumises à une autorisation préalable, qui seront applicables dans tous les États membres.

41.

Cette obligation doit être interprétée en combinaison avec l'article 11, paragraphe 2, de la proposition de décision-cadre relative à la protection des données à caractère personnel qui prévoit également que l'État membre qui transmet les données ait un droit de regard sur leur traitement ultérieur dans l'État membre qui les reçoit. Le CEPD note l'importance de ce principe, qui est nécessaire pour garantir que le principe de disponibilité ne servira pas à contourner la législation restrictive nationale sur l'utilisation ultérieure des données à caractère personnel.

42.

Ces éléments nécessitent des normes très élevées en matière de protection des données. Il convient de veiller tout particulièrement à garantir les principes de limitation de la finalité et de traitement ultérieur ainsi que les principes d'exactitude et de fiabilité des informations auxquelles l'accès est accordé (voir l'avis du CEPD sur la décision-cadre relative à la protection des données à caractère personnel, IV.2 et IV.6).

43.

La proposition suédoise ne se limite pas à certains types d'informations; elle porte sur toutes les informations et les renseignements, y compris ceux qui sont détenus par d'autres autorités que les services répressifs compétents. La proposition favorise la coopération en fixant des délais pour répondre aux demandes d'informations et en supprimant toute distinction entre les échanges d'informations au sein d'un État membre et les échanges transfrontières. Elle ne prévoit pas de mesures supplémentaires garantissant un accès effectif aux informations. On peut dès lors comprendre pourquoi la Commission n'a pas considéré la proposition suédoise était en tant que telle un instrument propre à mettre en œuvre le principe de disponibilité (3).

44.

L'approche retenue dans la proposition suédoise a, du point de vue de la protection des données, les implications générales suivantes:

45.

Le traité de Prüm aborde la mise en œuvre du principe de disponibilité sous un angle différent. Alors que la proposition de décision-cadre à l'examen envisage les choses d'une manière générale — elle ne prévoit pas de règles spécifiques pour l'échange de certains types d'informations, mais s'applique à tous les types d'informations pour autant qu'ils soient énumérés à l'annexe II (voir points 21 à 28 du présent avis) —, le traité de Prüm adopte une approche progressive.

46.

Cette approche est parfois qualifiée d'approche «catégorie de données par catégorie de données». Elle s'applique à certains types d'informations (ADN, données dactyloscopiques et données concernant l'immatriculation des véhicules) et prévoit l'obligation de tenir compte de la nature spécifique des données. Le traité prévoit l'obligation de créer et de conserver des fichiers d'analyse ADN pour des enquêtes pénales. Les données dactyloscopiques font l'objet d'une obligation similaire. Pour ce qui est des données concernant l'immatriculation des véhicules, les points de contact nationaux des autres États membres doivent pouvoir y accéder directement.

47.

L'approche adoptée dans le traité de Prüm appelle trois types d'observations.

48.

Premièrement, il va sans dire que le CEPD n'approuve pas le processus qui a abouti à ce traité, en dehors du cadre institutionnel de l'Union européenne et donc sans véritable intervention de la Commission. Cela signifie en outre que le Parlement européen n'exerce aucun contrôle démocratique et la Cour de justice aucun contrôle juridictionnel et, qu'en conséquence, les garanties d'un juste équilibre entre tous les intérêts (publics) sont moins nombreuses. Cela vaut aussi pour la protection des données. En d'autres termes, les institutions de l'Union européenne n'ont pas l'occasion d'évaluer — avant la mise en place du système — l'incidence sur la protection des données à caractère personnel des orientations choisies.

49.

Deuxièmement, certains éléments du traité de Prüm ont à l'évidence un caractère plus intrusif à l'égard de la personne concernée que la proposition de décision-cadre relative au principe de disponibilité. Le traité entraîne nécessairement la création de nouvelles bases de données, ce qui présente des risques pour la protection des données à caractère personnel. Il conviendrait de démontrer que la création de ces nouvelles bases de données est nécessaire et proportionnée. Il faudrait prévoir des garanties adéquates pour la protection des données à caractère personnel.

50.

Troisièmement, le traité adopte, comme indiqué précédemment, une approche «catégorie de données par catégorie de données». Le CEPD a mentionné ci-dessus les difficultés et les incertitudes liées au contexte dans lequel le principe de disponibilité doit être rendu effectif. Dans ces conditions, il juge préférable de ne pas établir un système portant sur toute une série de données, mais de commencer par une approche plus prudente portant sur un seul type de données et d'évaluer dans quelle mesure le principe de disponibilité peut réellement contribuer au respect de la loi, ainsi que les risques spécifiques pour la protection des données à caractère personnel. Sur la base de ces expériences, le système pourrait être étendu à d'autres types de données et/ou modifié pour être plus efficace.

51.

Par ailleurs, cette approche «catégorie de données par catégorie de données» satisferait mieux aux exigences du principe de proportionnalité. Selon le CEPD, la nécessité d'améliorer les échanges transfrontières de données à des fins répressives pourrait justifier l'adoption d'un instrument juridique au niveau de l'UE mais, pour être proportionné, cet instrument devrait être adapté à son objectif, lequel pourra être défini plus correctement après une période d'expériences pratiques. Par ailleurs, cet instrument ne devrait pas affecter de façon disproportionnée la personne concernée. Les échanges ne devraient pas porter sur plus de types de données que ce qui est strictement nécessaire, avec la possibilité d'échanges de données anonymes, et devraient intervenir dans des conditions strictes de protection des données.

52.

En outre, cette approche plus prudente préconisée par le CEPD pourrait consister, éventuellement en plus de l'approche «catégorie de données par catégorie de données», à se limiter, dans un premier temps, à l'accès indirect, par le biais de données d'index pour mettre en œuvre le principe de disponibilité. Cette suggestion du CEPD pourrait être examinée dans la suite du processus législatif.

53.

L'annexe II énumère les six types d'informations qui peuvent être obtenues en vertu de la proposition de décision-cadre, qui portent sur des données à caractère personnel, dans la plupart des cas parce qu'elles impliquent un lien avec une personne identifiée ou identifiable.

54.

Conformément à l'article 3, point g), de la proposition, on entend par données d'index les «données ayant pour finalité d'identifier clairement des informations et pouvant être interrogées dans le cadre d'une routine de recherche afin de vérifier si des informations sont ou non disponibles». Dans l'«approche concernant la mise en œuvre du principe de disponibilité» (4), les données suivantes sont considérées comme des données d'index:

Un autre type de données qui pourraient être considérées comme des données d'index sont les profils ADN. Cette liste de données d'index montre qu'il peut s'agir de données à caractère personnel et une protection adéquate s'impose donc.

55.

Le CEPD accorde une attention particulière à la question des profils ADN. Les analyses d'ADN ont démontré leur utilité pour les enquêtes pénales et l'échange de données sur l'ADN peut être déterminant dans la lutte contre la criminalité. Il est cependant primordial de définir clairement ce qu'elles recouvrent et de prendre dûment en compte leurs caractéristiques spécifiques. Du point de vue de la protection des données, il existe en effet une différence de taille entre les échantillons d'ADN et les profils ADN.

56.

Les échantillons d'ADN (qui sont souvent recueillis et stockés par les autorités répressives) devraient être considérés comme particulièrement sensibles car ils sont davantage susceptibles de contenir une «image» ADN complète. Ces échantillons peuvent fournir des informations sur les caractéristiques génétiques et l'état de santé d'une personne, qui pourraient servir à des fins totalement différentes telles que des avis médicaux à des personnes.

57.

Par contre, les profils ADN ne contiennent que certaines informations ADN partielles, extraites d'un échantillon d'ADN; ils peuvent être utilisés pour vérifier l'identité d'une personne, mais, en principe, ils ne révèlent pas les caractéristiques génétiques. Toutefois, les progrès scientifiques peuvent augmenter le nombre d'informations que les profils ADN sont susceptibles de révéler. Un profil ADN considéré comme «innocent» à un certain stade peut ultérieurement révéler beaucoup plus d'informations que prévu et nécessaire et, en particulier, des informations concernant les caractéristiques génétiques d'une personne. Il conviendrait, par conséquent, de considérer les informations susceptibles d'être révélées par les profils ADN comme des informations dynamiques.

58.

Dans cette perspective, le CEDP note que le traité de Prüm et la proposition de la Commission favorisent tous deux l'échange entre autorités répressives de données sur l'ADN, mais que leurs manières de procéder sont très différentes.

59.

Le CEPD note avec satisfaction que la proposition de la Commission ne prévoit pas d'obligation de recueillir des données sur l'ADN et qu'elle limite clairement l'échange de ces données aux profils ADN. À l'annexe II, les profils ADN sont définis au moyen d'une liste initiale commune de marqueurs d'ADN utilisés pour les analyses d'ADN effectuées dans les États membres à des fins de police scientifique. Cette liste, qui se fonde sur les sept marqueurs d'ADN de l'ensemble européen de référence (European Standard Set) tels qu'ils sont définis à l'annexe I de la résolution du Conseil du 25 juin 2001 relative à l'échange des résultats des analyses d'ADN (5), garantit que les profils ADN ne contiendront, lors de leur extraction, aucune information sur des caractéristiques héréditaires spécifiques.

60.

Le CEPD souligne que cette résolution du Conseil établit des garanties très importantes, spécifiquement liées au caractère dynamique des profils ADN. En effet, le point III de la résolution recommande aux États membres, après avoir limité les échanges de résultats des analyses d'ADN aux «segments chromosomiques […] ne fournissant pas, en l'état actuel des connaissances, d'informations sur des caractéristiques héréditaires spécifiques», de ne plus utiliser les marqueurs d'ADN qui, en raison de l'évolution scientifique, pourraient fournir de ce type informations.

61.

Le traité de Prüm propose une approche différente dans la mesure où il contraint les parties contractantes à créer et à gérer des fichiers d'analyse ADN en vue de la poursuite des infractions pénales. Il entraîne par conséquent la création de nouvelles bases de données ADN et une augmentation du nombre de données ADN recueillies. Par ailleurs, le type de données qui figurent dans les «fichiers d'analyse ADN» n'est pas clairement défini et le traité ne tient pas compte de l'évolution dynamique des profils ADN.

62.

Pour le CEPD, tout instrument juridique prévoyant des échanges de données ADN devrait:

63.

Dans cette perspective, le CEPD réitère les observations qu'il a déjà formulées dans son avis sur la décision-cadre relative à la protection des données à caractère personnel (point 80). Le CEPD y faisait valoir que, en ce qui concerne les données ADN, il faudrait prévoir des garanties spécifiques afin que les informations disponibles ne puissent être utilisées que dans le but d'identifier des individus en vue de prévenir ou de détecter des infractions pénales ou d'enquêter en la matière, que le niveau d'exactitude des profils ADN soit dûment pris en compte et puisse être contesté par la personne concernée par des moyens facilement accessibles, et que le respect de la dignité des personnes soit totalement garanti (6).

64.

Les considérations qui précèdent nous amènent à conclure que l'adoption d'une législation relative à la création de fichiers ADN et à l'échange des données qu'ils contiennent ne devrait intervenir que lorsque les avantages et les risques en auront été correctement analysés. Le CEPD recommande que cette législation prévoie l'obligation de réaliser, après son entrée en vigueur, des évaluations régulières.

65.

Enfin, l'annexe II prévoit que d'autres types d'informations pourront être échangés. Il s'agit d'informations émanant d'entités privées, puisque les numéros de téléphone et les autres données relatives aux communications, ainsi que les données relatives au trafic proviennent généralement d'opérateurs téléphoniques. L'exposé des motifs confirme que les États membres sont tenus de veiller à ce que les informations utiles à l'action répressive, gérées par des autorités ou des entités privées désignées à cet effet, soient échangées avec les autorités compétentes équivalentes des autres États membres et avec Europol. Bien que la proposition s'applique aux données à caractère personnel émanant d'entités privées, le cadre juridique applicable devrait contenir, d'après le CEPD, des garanties supplémentaires destinées à protéger la personne concernée afin d'assurer l'exactitude des données.

66.

La proposition de décision-cadre du Conseil n'énonce pas expressément de règles relatives à la protection des données à caractère personnel, contrairement à d'autres instruments, tels que le traité de Prüm ou la proposition suédoise. L'absence, dans la proposition relative au principe de disponibilité, de règles spécifiques à cet égard n'est acceptable que dans la mesure où les règles générales contenues dans la proposition de décision-cadre sur la protection des données relevant du troisième pilier sont pleinement applicables et fournissent une protection suffisante. De plus, les règles sur la protection des données à caractère personnel énoncées dans des instruments spécifiques, tels que la proposition suédoise et le traité de Prüm, ne devraient pas abaisser le niveau de protection garanti par le cadre général. Le CEPD recommande l'ajout d'une clause particulière sur les conflits qui pourraient exister entre les différentes règles relatives à la protection des données.

67.

À ce stade, le CEPD souhaiterait souligner une nouvelle fois, en rappelant l'avis qu'il a rendu au sujet de la décision-cadre relative à la protection des données à caractère personnel, l'importance de disposer, dans le cas de la coopération en matière pénale, de règles cohérentes et exhaustives dans le domaine de la protection des données qui s'appliquent à tous les traitements. Le CEPD rappelle aussi les autres observations qu'il a formulées dans cet avis. Nous reviendrons ici sur les questions relatives à la protection des données:

68.

Le CEPD a formulé, dans le présent avis, des considérations générales et fondamentales sur l'échange d'informations en matière répressive et sur les approches envisageables pour réglementer cette question. Le CEPD pourra évidemment être à nouveau consulté ultérieurement, en fonction de l'évolution du parcours législatif de cette proposition, ainsi que sur d'autres propositions dans le même domaine.

69.

Le CEPD estime que le principe de disponibilité devrait être mis en œuvre sous la forme d'un instrument juridique contraignant par le biais d'une approche plus prudente et progressive portant sur un seul type de données et qu'il faut évaluer dans quelle mesure ce principe peut réellement contribuer au respect de la loi, ainsi que les risques spécifiques pour la protection des données à caractère personnel. Cette approche plus prudente pourrait consister à se limiter, dans un premier temps, à l'accès indirect, par le biais de données d'index, pour mettre en œuvre le principe de disponibilité. Sur la base des expériences ainsi acquises, le système pourrait éventuellement être étendu à d'autres types de données et/ou être modifié pour gagner en efficacité.

70.

Aucun instrument juridique mettant en œuvre le principe de disponibilité ne devrait être adopté sans que ne soient fixées au préalable des garanties essentielles en matière de protection des données, comme dans la proposition de décision-cadre relative à la protection des données à caractère personnel.

71.

Le CEPD recommande de clarifier le champ d'application du principe de disponibilité comme suit:

72.

Concernant l'accès direct aux bases de données par les autorités compétentes d'autres États membres, le CEPD précise ce qui suit:

73.

La décision-cadre devrait être plus précise en ce qui concerne la création d'un système de données d'index. Plus particulièrement:

74.

Le CEPD estime que la proposition devrait, dans la mesure où elle prévoit des échanges de données relatives à l'ADN:

75.

Le CEPD recommande de limiter les échanges d'informations avec Europol aux objectifs d'Europol, visés à l'article 2 de la Convention Europol et à son annexe.