10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/1

1.

Le 8 avril 2011, la Commission a adopté le règlement d'exécution (UE) no 404/2011 portant modalités d’application du règlement (CE) no 1224/2009 du Conseil instituant un régime communautaire de contrôle afin d’assurer le respect des règles de la politique commune de la pêche (le «règlement d’exécution») (3).

2.

Le CEPD n’a pas été consulté conformément à l’article 28, paragraphe 2, du règlement (CE) no 45/2001, en dépit du fait que l’initiative législative était incluse dans l’inventaire des priorités de consultation législative du CEPD (4). Le présent avis est donc basé sur l’article 41, paragraphe 2, dudit règlement.

3.

Le règlement (CE) no 1224/2009 du Conseil du 20 novembre 2009 instituant un régime communautaire de contrôle afin d’assurer le respect des règles de la politique commune de la pêche (le «règlement de contrôle») (5), vise à établir un régime européen de contrôle, d’inspection et d’exécution, de façon à garantir le respect de toutes les règles de la politique commune de la pêche.

4.

Le règlement de contrôle a obligé la Commission à adopter les modalités d’application et les mesures nécessaires à la mise en œuvre de certaines de ses dispositions. Le règlement d’exécution établit ces modalités d’application en ce qui concerne les domaines suivants: conditions générales d’accès aux eaux et aux ressources (titre II), contrôle de la pêche (titre III), contrôle de la commercialisation (titre IV), mesures de surveillance (titre V), inspection (titre VI), exécution (titre VII), mesures visant à assurer le respect par les États membres (titre VIII), données et informations (titre IX) et mise en œuvre (titre X).

5.

En mars 2009, le CEPD a publié un avis sur le règlement de contrôle (6). Il soulignait dans cet avis que la proposition prévoyait le traitement de différentes données qui, dans certains cas, pouvaient être considérées comme présentant un caractère personnel. Les données à caractère personnel seraient normalement toujours traitées lorsque le capitaine ou le propriétaire du navire ou tout pêcheur ou membre de l’équipage est identifié ou identifiable. À cet égard, le CEPD a formulé certaines recommandations sur quelques dispositions de la proposition.

6.

Le CEPD a ensuite souligné que plusieurs articles de la proposition de règlement renvoyaient à une procédure de comitologie pour l’adoption des modalités d’application et que certaines de ces modalités portaient également sur des aspects liés à la protection des données (7). Compte tenu de l’impact que ces modalités peuvent avoir sur la protection des données, le CEPD a donc recommandé à la Commission de le consulter avant que lesdites modalités ne soient adoptées. Le règlement d’exécution a été adopté le 8 avril 2011 dernier, mais le CEPD n’a pas été consulté avant l’adoption.

7.

Le CEPD regrette que le règlement d’exécution ne lui ait pas été soumis pour une consultation préalable comme il l’avait recommandé dans son avis de 2009. Il tient néanmoins à attirer l’attention de la Commission sur quelques aspects du règlement d’exécution de nature à susciter des préoccupations du point de vue de la protection des données. Pour cette raison, le CEPD a décidé de soumettre ce bref avis. Les observations du CEPD porteront essentiellement sur les aspects suivants: 1) surveillance des activités des navires de pêche et protection des données; 2) systèmes de télésurveillance des navires; 3) conservation des données à caractère personnel par la Commission et les autorités compétentes; et 4) applicabilité du règlement (CE) no 45/2001.

8.

Le considérant 31 prévoit que le traitement de données à caractère personnel dans le cadre du règlement d’exécution est régi par la directive 95/46/CE et le règlement (CE) no 45/2001, «en particulier en ce qui concerne les exigences relatives à la confidentialité et à la sécurité des traitements, le transfert de données à caractère personnel des systèmes nationaux des États membres vers la Commission, la licéité du traitement et les droits des personnes concernées en matière d’information, d’accès à leurs données à caractère personnel et de rectification de celles-ci». Le CEPD accueille favorablement cette référence à la législation applicable en matière de protection des données.

9.

Les activités des navires de pêche font l’objet d’une surveillance systématique et détaillée par le biais de moyens technologiques avancés, y compris des dispositifs de repérage par satellite et des bases de données informatiques (8). La position, le cap et la vitesse des navires de pêche sont régulièrement surveillés par le système de surveillance des navires (VMS) (9) et, le cas échéant, le système d’identification automatique (AIS) (10) ou le système de détection des navires (VDS) (11). Toutes ces données sont systématiquement contrôlées par recoupement, analysées et vérifiées au moyen d’algorithmes informatisés et de mécanismes automatiques afin de détecter les incohérences ou les suspicions d’infractions. Comme il ressort de l’article 145, paragraphe 3, du règlement d’exécution, ce traitement peut recourir, le cas échéant, à des activités d’extraction de données et de profilage (12).

10.

Tant que ces données peuvent être associées à des personnes identifiées ou identifiables (p. ex. le capitaine du navire, son propriétaire, ou les membres de l’équipage), une telle surveillance comprend le traitement de données à caractère personnel. Il est donc important que le système de contrôle soit bien équilibré et que des garanties appropriées soient mises en place et en œuvre afin d’éviter que les droits des personnes concernées ne soient excessivement limités. Cela nécessite par exemple de délimiter clairement les finalités pour lesquelles les données pertinentes peuvent être traitées, de limiter autant que possible les données (à caractère personnel) qui sont traitées et de déterminer des durées de conservation maximales pour ces données. Ces points revêtent une importance particulière en l’espèce lorsque les traitements portent potentiellement sur des données concernant des infractions ou des suspicions d’infractions susceptibles d’être associées aux données à caractère personnel du propriétaire et/ou du capitaine du navire.

11.

Compte tenu de la portée et de l’ampleur des activités de surveillance, il s’avère que le règlement d’exécution ne parvient pas toujours à concilier avec succès l’objectif de garantie de la conformité d’une part et le respect de la vie privée et de la protection des données des personnes concernées d’autre part. Étant donné que le règlement d’exécution a déjà été adopté, le CEPD considère qu’il est important que la Commission précise a posteriori, si possible, la portée et les limites des activités de traitement et fournisse des garanties spécifiques le cas échéant. Pour ce faire, elle pourrait par exemple adopter des recommandations générales ou particulières ou des règles internes visant à clarifier certains aspects des activités de traitement eu égard à la protection des données à caractère personnel ou dans le cadre de contrôles préalables du CEPD conformément à l’article 27 du règlement (CE) no 45/2001.

12.

Les principaux aspects qui, selon le CEPD, nécessitent des précisions supplémentaires sont examinés ci-dessous.

13.

Selon un des principes de base du droit fondamental à la protection des données, les données à caractère personnel doivent être traitées pour des finalités déterminées, explicites et légitimes (13). Le principe de limitation de la finalité confère une responsabilité particulière aux responsables du traitement des données mais impose également une obligation au législateur, en exigeant que les dispositions législatives ne soient pas libellées dans des termes suffisamment généraux pour justifier l’utilisation de données à caractère personnel pour des finalités qui ne sont pas suffisamment déterminées. Des exceptions au principe de limitation de la finalité sont possibles, à condition qu’elles soient nécessaires et proportionnées et que les autres conditions visées à l’article 52 de la Charte des droits fondamentaux de l’Union européenne soient remplies.

14.

Comme mentionné, le règlement de contrôle et le règlement d’exécution prévoient la surveillance systématique et détaillée des activités de la pêche au moyen du système de surveillance des navires, du système d’identification automatique et du système de détection des navires. Conformément à l’article 12 du règlement de contrôle, les données du système de surveillance des navires, du système d’identification automatique et du système de détection des navires peuvent être transmises aux agences de l’Union et aux autorités compétentes des États membres chargées d’effectuer des opérations de surveillance aux fins «de la sécurité et de la sûreté maritimes, du contrôle des frontières, de la protection du milieu marin et de l’application générale de la législation». L’article 27 du règlement d’exécution précise en outre que les États membres utilisent les données du système de surveillance des navires «pour assurer une surveillance efficace des activités des navires de pêche» et qu’ils «prennent toutes les mesures nécessaires pour qu’elles ne soient utilisées qu’à des fins officielles».

15.

Eu égard au principe de limitation de la finalité, le CEPD considère que l’article 12 du règlement de contrôle et l’article 27 du règlement d’exécution sont formulés de manière trop large. Si elles ne sont pas interprétées de manière restrictive, les expressions «application générale de la législation», «surveillance des activités des navires de pêche» et «fins officielles» risquent de couvrir un ensemble trop vaste d’activités de traitement qui ne seraient même pas un tant soit peu associées aux finalités du règlement de contrôle. Cette approche ouverte suscite des préoccupations quant au principe de limitation de la finalité.

16.

Compte tenu des considérations qui précèdent, le CEPD conseille à la Commission de donner des orientations concrètes sur l’interprétation de l’article 27 du règlement d’exécution. La Commission devrait notamment préciser le sens, et limiter la portée du traitement des données du système de surveillance des navires, du système d’identification automatique et du système de détection des navires pour «l’application générale de la législation» ou d’autres finalités non liées à la politique commune de la pêche.

17.

Selon un autre principe fondamental de la législation en matière de protection des données, les données à caractère personnel doivent être conservées sous une forme permettant l’identification des personnes concernées pendant une durée n’excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont collectées (14). Ce principe est également directement lié à la limitation de la finalité. Si les données à caractère personnel ne sont plus nécessaires pour la finalité initiale, leur conservation n’est plus acceptable puisqu’elles constitueraient un traitement incompatible avec la finalité initiale.

18.

Le règlement d’exécution fixe une durée de conservation minimale de trois ans concernant un certain nombre de données. En ce qui concerne les données du système de surveillance des navires, par exemple, l’article 27, paragraphe 2, point a), prévoit que les États membres veillent à ce que les données concernées soient enregistrées sous forme électronique, et conservées en toute sécurité dans des bases de données informatiques «pendant au moins trois ans». De même, l’article 92, paragraphe 3, prévoit que les données des rapports de surveillance restent disponibles dans la base de données «pendant au moins trois ans». En outre, l’article 118 dispose que les données des rapports d’inspection restent disponibles dans la base de données «pendant au moins trois ans».

19.

Dans l’ensemble, le CEPD considère que la période de stockage aurait dû être établie plus précisément en fixant une durée de conservation maximale (et non une durée de conservation minimale). En tout état de cause, il est d’avis que les dispositions susmentionnées devraient être interprétées conformément à l’article 6, paragraphe 1, point e), de la directive 95/46/CE et à l’article 4, paragraphe 1, point e), du règlement (CE) no 45/2001, ce qui signifie que la durée de conservation de trois ans devrait en principe être interprétée comme une durée de conservation maximale, à moins que la nécessité de conserver les données pendant une durée plus longue puisse être suffisamment démontrée sur la base d’éléments de preuve convaincants.

20.

L’article 164 du règlement d’exécution régit les échanges d’informations avec les pays tiers. L’article 164, paragraphe 2, notamment, porte sur la communication d’informations par un État membre à un pays tiers ou une organisation régionale de gestion de la pêche, dans le cadre d’un accord bilatéral avec ce pays tiers ou conformément aux règles de cette organisation. L’article 164, paragraphe 3, porte sur la communication d’informations concernant des activités non conformes aux règles de la politique commune de la pêche, par la Commission, ou l’organisme qu’elle désigne, dans le cadre des accords de pêche conclus entre l’Union et les pays tiers ou dans le cadre des organisations régionales de gestion des pêches ou d’arrangements similaires.

21.

Alors que l’article 164, paragraphe 2, précise que la communication d’informations par les États membres aux pays tiers se fait «conformément à la législation de l’UE et à la législation nationale concernant la protection des personnes physiques à l’égard du traitement des données à caractère personnel», le paragraphe 3 ne contient pas de référence similaire en ce qui concerne la communication d’informations émanant de la Commission. Au paragraphe 3, la communication d’informations se fait sous réserve du consentement de l’État membre ayant fourni les informations.

22.

À cet égard, le CEPD souligne que la communication de données à caractère personnel par la Commission ou d’autres institutions ou organes de l’Union à des pays tiers au titre de l’article 164 peut uniquement avoir lieu si les dispositions du règlement (CE) no 45/2001 et notamment son article 9, sont respectées.

23.

Le règlement de contrôle et le règlement d’exécution peuvent concerner le traitement de données à caractère personnel par la Commission ou d’autres organes de l’Union européenne, entraînant de ce fait l’applicabilité du règlement (CE) no 45/2001 à ces traitements. Dans la mesure où ces traitements sont susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées, ils doivent être soumis au contrôle préalable du CEPD en vertu de l’article 27 du règlement (CE) no 45/2001.

24.

Notamment, il s’avère que les traitements effectués dans le cadre du règlement de contrôle et du règlement d’exécution peuvent concerner le traitement de données relatives à des infractions ou des suspicions d’infractions commises par un navire. Ces données sont susceptibles d’être associées aux données à caractère personnel du propriétaire ou du capitaine du navire (ou d’un membre de l’équipage) en rapport avec les violations des règles applicables.

25.

Par conséquent, le CEPD invite la Commission (et les autres organes de l’Union concernés) à examiner la nécessité d’un contrôle préalable des traitements effectués dans le cadre du règlement de contrôle et du règlement d’exécution et à soumettre les notifications nécessaires suite à cet examen (15).

26.

Le CEPD regrette que le texte du règlement d’exécution ne lui ait pas été notifié en vue d’une consultation législative conformément à l’article 28, paragraphe 2, du règlement (CE) no 45/2001, comme il l’avait recommandé dans son avis de 2009. Bien que le CEPD accueille favorablement la référence à la législation applicable en matière de protection des données au considérant 31 du règlement d’exécution, il estime que certaines dispositions dudit règlement sont de nature à susciter des préoccupations sur le plan de la protection des données.

27.

Étant donné que le règlement d’exécution a déjà été adopté, le CEPD conseille à la Commission de préciser a posteriori, si possible, la portée et les limites des activités de traitement et de fournir des garanties spécifiques le cas échéant. Pour ce faire, elle pourrait adopter des recommandations générales ou particulières ou des règles internes dans le cadre de contrôles préalables du CEPD, conformément à l’article 27 du règlement (CE) no 45/2001.

28.

Notamment, le CEPD conseille à la Commission et aux autres organes de l’UE concernés de:

10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/6

1.

Le 19 juillet 2011, la Commission a adopté une proposition de règlement du Parlement européen et du Conseil modifiant le règlement (CEE) no 3821/85 du Conseil concernant l'appareil de contrôle dans le domaine des transports par route et modifiant le règlement (CE) no 561/2006 du Parlement européen et du Conseil (la «proposition») (3). La proposition est accompagnée d’une communication intitulée «Tachygraphe numérique: feuille de route des futures activités» (la «communication») (4). La proposition et la communication ont été envoyées au CEPD pour consultation le même jour.

2.

Le CEPD avait déjà été consulté de manière informelle en avril 2011 sur une version antérieure de la proposition, au sujet de laquelle il a formulé des observations informelles le 13 mai 2011. Le CEPD se réjouit de cette consultation informelle qui a permis d’améliorer le texte du point de vue de la protection des données, en amont du processus de rédaction. Certaines de ces observations ont été prises en considération dans la proposition. Le CEPD accueillerait favorablement l’introduction d’une référence au présent avis dans le préambule de la proposition.

3.

La proposition traite de l’installation et de l’utilisation d’un appareil de contrôle sur les véhicules affectés au transport par route de voyageurs ou de marchandises pour contrôler le respect de la législation sociale relative à la durée de conduite et aux temps de repos par les conducteurs routiers professionnels (5).

4.

Un système tachygraphe basé sur un appareil de contrôle et des cartes tachygraphiques (6) a été mis en place à cet effet en 1985. L’appareil de contrôle enregistre, stocke, indique, imprime et fournit des données liées aux activités du conducteur. Une carte tachygraphique est une carte à mémoire destinée à être utilisée sur l’appareil de contrôle et qui permet l’identification, par l’appareil de contrôle, du détenteur de la carte ainsi que le téléchargement et le stockage de données.

5.

Le projet de proposition modifie le règlement actuel (CEE) no 3821/85 concernant l'appareil de contrôle dans le domaine des transports par route (le «règlement») et le met à jour en harmonie avec l’évolution actuelle de la technologie afin d’améliorer l’utilisation du tachygraphe numérique par comparaison avec les versions analogiques et afin d’élargir ses fonctions et de créer ainsi un nouveau type de tachygraphe numérique. Le nouveau tachygraphe numérique sera enrichi des caractéristiques techniques suivantes: i) il utilisera des appareils de géolocalisation pour collecter automatiquement les données de localisation de certains conducteurs; ii) il utilisera des fonctions de communication à distance pour réaliser des contrôles à distance; et iii) il sera muni d’une interface normalisée avec d’autres systèmes de transport intelligents (STI) pour lui permettre de devenir une composante essentielle de la plate-forme STI d’un véhicule (7).

6.

Bon nombre de problèmes soulevés par la proposition nécessiteront des actions complémentaires, qui sont décrites dans la communication. Celle-ci définit plusieurs mesures que la Commission devra prendre, notamment la mise à jour, par des actes délégués, des spécifications techniques du tachygraphe numérique figurant à l’annexe I B du règlement et la mise à niveau des mécanismes de sécurité, ainsi que la modification de la directive 2006/126/CE sur le permis de conduire afin de fusionner les cartes utilisées par les conducteurs professionnels dans les tachygraphes et leurs permis de conduire.

7.

L’utilisation d’un appareil de contrôle dans le domaine des transports par route implique de traiter des données à caractère personnel concernant les conducteurs professionnels. Le traitement repose dans une large mesure sur l’utilisation d’appareils de géolocalisation et de fonctions de communication à distance, moyens techniques ayant une incidence considérable sur la vie privée et la protection des données des individus.

8.

La proposition affecte dès lors la vie privée des conducteurs professionnels de façon évidente, notamment parce qu’elle permet de contrôler en permanence leurs allées et venues et qu’elle instaure la possibilité de contrôles à distance par les autorités chargées du contrôle, qui auront en permanence un accès direct aux données stockées dans les tachygraphes. En outre, la fusion envisagée de la carte de conducteur et du permis de conduire pourrait également affecter la protection des données dont les conducteurs bénéficient actuellement.

9.

Il est par conséquent essentiel que le traitement de données au moyen de tachygraphes dans l’Union européenne ait lieu conformément au cadre de protection des données de l’UE, tel qu’il est défini par les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne, l’article 16 du traité sur le fonctionnement de l’Union européenne ainsi que les directives 95/46/CE (8) et 2002/58/CE (9).

10.

Il convient de noter qu’au moment où le règlement a été adopté en 1985, il n’existait pas de cadre global pour la protection des données dans l’UE. La révision actuelle du règlement offre donc l’occasion de le mettre à jour conformément au régime actuel de protection des données.

11.

Le CEPD salue en particulier l’introduction, dans la proposition, d’un considérant et d’une disposition spécifique concernant la protection des données (10). Il note cependant que ces dispositions ne suffisent pas à résoudre tous les problèmes de protection des données soulevés par les différentes mesures avancées dans la proposition. Des garanties supplémentaires doivent donc être incluses dans la proposition et les mesures complémentaires décrites dans la communication.

12.

Dans le présent avis, le CEPD attire l’attention sur plusieurs aspects de la proposition qui méritent d’être examinés plus en détail du point de vue de la protection des données. Le CEPD se focalisera en particulier sur les questions suivantes, qui seront examinées à la section II ci-dessous:

13.

Le CEPD salue l’insertion d’une disposition spécifique concernant la protection des données à l’article 34 de la proposition. Cet article souligne clairement qu’il incombe aux propriétaires de véhicules ou aux transporteurs, en tant que responsables du traitement, de se conformer aux dispositions pertinentes concernant la protection des données. Cela implique, entre autres, qu’ils devront informer les conducteurs professionnels du traitement de leurs données dans les tachygraphes et leur accorder le droit de consulter leurs données et le droit de les rectifier si elles sont inexactes ou incomplètes. Le CEPD souligne que cette information relative au traitement doit être complète pour toutes les opérations de traitement effectuées. Il se réjouit dès lors que l’article 5, paragraphe 6, de la proposition fasse obligation aux responsables des traitements d’informer spécifiquement les conducteurs de la possibilité de contrôles à distance par les autorités chargées du contrôle. Le CEPD insiste par ailleurs sur le fait que les responsables des traitements doivent notifier les traitements aux autorités de contrôle, comme les articles 18 et 20 de la directive 95/46/CE le prévoient.

14.

Cette disposition met aussi l’accent en particulier sur l’obligation des États membres et des autorités de contrôle indépendantes de veiller à ce que le traitement de données à caractère personnel par les tachygraphes utilisés dans le domaine des transports par route soit effectué conformément aux dispositions pertinentes concernant la protection des données. Les États membres devront donc adopter des mesures spécifiques concernant l’utilisation de technologies particulières telles que le système mondial de radionavigation par satellite (GNSS), les communications à distance et les interfaces STI, ou concernant l’échange électronique d’informations sur les cartes de conducteur et le stockage d’enregistrements par les transporteurs. Lorsque cela est possible, les autorités chargées de la protection des données dans les États membres doivent être consultées avant l’adoption de ces mesures afin d’élaborer des cadres qui soient compatibles avec les exigences pertinentes en matière de protection des données.

15.

Le CEPD salue le fait que la proposition consacre le concept de respect de la vie privée dès la conception en prévoyant que l’appareil de contrôle est «conçu de manière à garantir le respect de la vie privée». Le CEPD souligne que la conception du tachygraphe numérique doit, dès les premiers stades, être respectueuse de la vie privée et de la protection des données. Ces mesures favorables à la vie privée doivent se refléter de manière appropriée dans la mise à jour des spécifications figurant à l’annexe I B.

16.

Toutefois, comme il a été souligné au point 11 ci-dessus, l’article 34 et le considérant 15 de la proposition ne suffisent pas à régler tous les problèmes de protection des données liés à l’utilisation du tachygraphe. Par conséquent, le CEPD met en exergue, dans le présent avis, les mesures additionnelles nécessaires pour garantir un niveau satisfaisant de protection des données dans les tachygraphes.

17.

Le CEPD considère que les exigences de sécurité relatives au tachygraphe numérique, qui figurent à plusieurs endroits de la proposition et à l’article 15, ne sont pas suffisamment décrites dans la proposition. En outre, le CEPD souligne que la proposition introduit l’utilisation de nombreuses technologies de manière à créer un «nouveau tachygraphe numérique», pour lequel l’annexe I B actuelle est dépassée, vu qu’elle ne contient ni spécifications pertinentes, ni mesures de sécurité appropriées.

18.

Le CEPD souligne que l’industrie risque de pâtir du cadre juridique flou qui résulterait de l’adoption d’un règlement actualisé introduisant de nombreux changements technologiques dont les spécifications techniques ne seraient pas détaillées dans les annexes actuelles, périmées. Il existe par conséquent un risque que des mesures et des cadres non favorables à la vie privée soient élaborés par l’industrie jusqu’à ce que ces spécifications soient actualisées, et ce risque continuera d’exister tant que se poursuivra le processus de réexamen de ces annexes, à savoir jusqu’à la fin 2014.

19.

Le CEPD recommande vivement de soutenir adéquatement l’introduction de toute mise à jour technologique (GNSS, communications à distance, STI) dans les tachygraphes par la réalisation d’analyses d’impact sur la vie privée visant à évaluer les risques que l’utilisation de ces technologies fait peser sur la vie privée.

20.

Le CEPD recommande par ailleurs d’insérer dans la proposition un article spécifique concernant le niveau de sécurité à atteindre à tous les stades du développement et de l’utilisation des tachygraphes (non seulement aux stades de la conception et de l’installation, mais aussi et surtout pendant leur utilisation). Cet article doit mettre l’accent sur les points suivants:

21.

Afin de promouvoir les bonnes pratiques en matière de protection des données, il serait utile d’inclure le CEPD et le groupe de travail «Article 29» des autorités chargées de la protection des données à la liste des participants au Forum du tachygraphe prévu à l’article 41 de la proposition.

22.

La proposition manque de précision et de certitude pour ce qui est de nombreuses modalités du traitement, qui doivent cependant être précisées afin de garantir que ces mesures respectent le principe de proportionnalité énoncé à l’article 6, paragraphe 1, point c), de la directive 95/46/CE. Cela concerne notamment les types de données traitées et enregistrées dans les tachygraphes et au moyen d’appareils de géolocalisation, la période pendant laquelle ces données peuvent être conservées et les destinataires autorisés à accéder à tel ou tel type de données, notamment en ce qui concerne l’utilisation des communications à distance.

23.

De nombreuses modalités du traitement des données sont actuellement énoncées à l’annexe I B du règlement, qui n’est plus à jour et qui fera ultérieurement l’objet d’un réexamen par des actes délégués de la Commission. Il n’existe par conséquent aucune sécurité juridique quant à la question de savoir si le traitement envisagé satisfera aux conditions de proportionnalité, puisque de nombreuses mesures devraient être décidées ultérieurement au sein de comités de réglementation. Il y a en outre un risque de voir l’industrie développer ses propres systèmes pendant le temps que durera la mise à jour des annexes, ce qui pourra donner lieu à d’éventuelles discordances.

24.

Le CEPD ne soutient pas une telle approche et recommande de préciser dans la proposition même les modalités générales du traitement et de ne renvoyer que les modalités précises aux annexes. Le CEPD regrette que la proposition ne décrive plus les catégories de données susceptibles d’être collectées et enregistrées dans les tachygraphes numériques, alors qu’elles étaient clairement précisées à l’article 5 de la version précédente de la proposition communiquée au CEPD (par exemple, le mouvement et la vitesse du véhicule, la mesure du temps, les lieux où commence et ou finit la période de travail journalière du conducteur, l’identité du conducteur, l’activité du conducteur, les incidents et les pannes). L’article 34, paragraphe 3, de la proposition prévoit uniquement que «[s]eules les données strictement nécessaires sont traitées», sans préciser les catégories de données qui seront traitées.

25.

Le CEPD recommande fortement de décrire les modalités générales du traitement dans le texte du règlement qui, contrairement à l’adoption d’annexes, serait approuvé par la procédure législative ordinaire. Cette approche permettrait d’offrir une plus grande sécurité juridique aux conducteurs professionnels, ce qui renforcerait la validité de l’utilisation des données en justice.

26.

Le CEPD souligne qu’il convient également de prendre en considération, de manière appropriée, le principe de proportionnalité lors de la modification de l’annexe I B en fonction de l’évolution de la technologie. Il recommande vivement de le consulter comme il se doit lors de la mise à jour de l’annexe I B du règlement. Il estime que cette mise à jour doit avoir lieu le plus rapidement possible afin d’assurer l’intégration de spécifications techniques harmonisées dans les tachygraphes par l’industrie.

27.

Le CEPD note que, d’après le considérant 5 de la proposition, l’enregistrement des données de géolocalisation se justifie par le fait qu’elle assiste les agents de contrôle dans leur tâche. Vu le principe de limitation des finalités énoncé à l’article 6, paragraphe 1, point b), de la directive 95/46/CE, le CEPD souligne que les données de localisation enregistrées dans les tachygraphes ne peuvent être utilisées pour une autre finalité incompatible.

28.

Bien que seules deux catégories particulières de données de localisation seraient enregistrées d’après l’article 4 de la proposition (lieux où commence et ou finit la période de travail journalière), le CEPD comprend que l’utilisation d’appareils de géolocalisation permettra de situer à tout moment le véhicule et donc le conducteur. Cela peut se faire pour plusieurs finalités, par exemple pour surveiller la vitesse et la direction du véhicule, vérifier s’il est en mouvement ou non, etc. Vu l’article 4 de la proposition et le principe de limitation des finalités, le CEPD insiste pour que ces utilisations ne soient pas autorisées. Il souligne que l’installation et l’utilisation d’appareils ayant pour finalité directe et principale de permettre aux employeurs de contrôler à distance et en temps réel les actions ou les allées et venues de leurs salariés ne peuvent être autorisées.

29.

L’accès aux données stockées dans l’appareil de contrôle peut être accordé à tout moment i) aux autorités chargées du contrôle et ii) au transporteur concerné pour qu’il puisse se conformer à ses obligations légales, notamment celles visées aux articles 28 et 29 de la proposition. Le CEPD se réjouit de ce que les droits d’accès aux données aient été restreints en fonction du type d’utilisateur ou de son identité.

30.

D’après le considérant 6, les communications à distance à des fins de contrôle se justifient par le fait qu’elles facilitent les contrôles routiers ciblés et qu’elles allègent les charges administratives qui pèsent sur les entreprises de transport en raison des contrôles aléatoires. Le CEPD comprend la commodité de l’introduction d’une telle mesure mais rappelle que des garanties adéquates doivent être mises en œuvre en raison des risques que cet accès à distance et constant aux informations stockées dans les appareils de contrôle fait peser sur la vie privée.

31.

À cet égard, le CEPD note avec satisfaction que l’article 5 de la proposition prévoit un certain nombre de garanties importantes, notamment que: i) cet accès à distance est réservé uniquement aux autorités compétentes chargées du contrôle, ii) les données échangées avec les autorités chargées du contrôle sont limitées à celles qui sont strictement nécessaires aux fins de contrôles routiers ciblés, iii) les données collectées pendant des contrôles à distance ne peuvent être conservées que pour une brève période clairement définie, d’une durée de deux heures, iv) le propriétaire ou le détenteur du véhicule doit informer les conducteurs de la possibilité de contrôles à distance: et v) des mesures de sécurité appropriées sont prises pour garantir l’intégrité et l’authentification des données.

32.

Le CEPD considère cependant que le type de données pouvant être échangées par des communications à distance n’est pas précisé avec suffisamment de clarté. Afin de garantir que le volume de données communiquées aux autorités chargées du contrôle n’est pas excessif, le CEPD recommande de reformuler l’article 5, paragraphe 3. Au lieu d’énumérer les données qui ne peuvent être communiquées, il suggère que l’article 5, paragraphe 3, prévoie une liste exhaustive des données dont la communication est autorisée.

33.

Pour ce qui est des sanctions, le CEPD souligne également qu’un contrôle à distance ne doit pas donner lieu à l’imposition automatique d’amendes ou de pénalités au conducteur ou à l’entreprise. Comme le contrôle à distance est effectué à l’insu de la personne concernée, des mesures appropriées doivent être mises en œuvre avant de prendre toute décision. Le contrôle à distance doit par conséquent être considéré comme une mesure préliminaire pouvant déboucher sur un contrôle approfondi en présence du conducteur, au cas où les agents de contrôle auraient détecté une quelconque anomalie pendant la phase préliminaire.

34.

La communication de la Commission signale qu’un certain nombre de pays tiers appliquent les principes des règlements relatifs au transport routier et du règlement relatif au tachygraphe. La version actuelle de la proposition ne contient aucune indication quant à d’éventuels échanges internationaux de données de tachygraphes. Il convient de préciser dans la proposition si d’éventuels échanges transfrontaliers de données sont envisagés avec les autorités des pays tiers, auquel cas des garanties appropriées de protection des données seront nécessaires pour assurer un niveau adéquat de protection lorsque des données sont transférées vers ces pays tiers, conformément aux articles 25 et 26 de la directive 95/46/CE.

35.

L’intégration du tachygraphe aux systèmes de transport intelligents en tant que composant essentiel soulève un certain nombre de questions liées à la vie privée et à la protection des données, qui ont été soulignées par le CEPD dans son avis sur la directive STI (11).

36.

Le traitement ultérieur de données enregistrées ou produites par le tachygraphe et destinées à être utilisées dans des applications de systèmes de transport intelligents ne peut avoir lieu que si le traitement ultérieur n’est pas incompatible avec la finalité initiale de la collecte. Cela doit être évalué au cas par cas.

37.

Les responsables des traitements doivent veiller à ce que le traitement ultérieur de données de tachygraphe destinées à être utilisées dans une application STI soit effectué conformément à l’une des bases juridiques énumérées à l’article 7 de la directive 95/46/CE. Le CEPD souligne que, parmi toutes les bases juridiques disponibles, il peut s’avérer difficile de s’appuyer sur le consentement des conducteurs étant donné le contexte d’emploi dans lequel le traitement a lieu. Il se peut que des employeurs fassent pression sur leurs conducteurs pour qu’ils utilisent certaines applications STI pour lesquelles ils n’auraient pas réellement donné leur consentement librement (12).

38.

Par conséquent, le CEPD suggère de modifier l’article 6, paragraphe 2, de la proposition comme suit: «les véhicules […] sont équipés d’un appareil de contrôle doté d’une interface harmonisée permettant aux applications STI d’utiliser les données enregistrées ou produites. L’utilisation ultérieure des données enregistrées dans les tachygraphes n’est autorisée que pour autant que le conducteur ait donné librement son consentement à cet effet et que toutes les autres exigences visées à l’article 6 de la directive 95/46/CE soient satisfaites».

39.

Le CEPD souligne en outre que toutes les données enregistrées ou produites par le tachygraphe ne doivent pas être automatiquement accessibles pour être utilisées dans d’autres applications STI, mais seulement celles qui sont strictement nécessaires au traitement dans cette application STI. Il convient d’insister sur ce point à l’article 6, paragraphe 3, de la proposition. Le CEPD recommande d’effectuer une évaluation spécifique des éléments relatifs à la vie privée pour chaque application afin de déterminer les données qui sont strictement nécessaires au traitement et la période de conservation de ces données.

40.

L’article 27 envisage la fusion des fonctionnalités des cartes de conducteur et des permis de conduire. Vu le volume potentiel d’informations enregistrées concernant les activités des conducteurs, la carte de conducteur n’est pas qu’une simple carte d’identité certifiant que son titulaire est un conducteur professionnel. Elle est dès lors plus intrusive du point de vue de la protection des données puisqu’elle vise à contrôler que la personne respecte la réglementation sociale dans le domaine des transports par route.

41.

L’intégration de cette carte au permis de conduire soulève des problèmes de protection des données, notamment au regard du principe de la limitation des finalités et du principe de proportionnalité. En outre, la nécessité et les avantages de l’intégration de la carte de conducteur au permis de conduire n'ont pas été démontrés à suffisance. Plus particulièrement, rien ne prouve qu’une telle intégration soit la meilleure manière de contribuer à la lutte contre la fraude et l’usage impropre de la carte de conducteur. Le CEPD recommande de n’envisager cette intégration qu’après avoir réalisé une analyse d’impact sur la vie privée et la sécurité. Cela doit être clairement mentionné à l’article 27 de la proposition.

42.

En outre, une telle intégration nécessitera une modification de la directive 2006/126/CE relative au permis de conduire, qui devra être proposée par la Commission. Étant donné les questions de protection des données soulevées par ces modifications, le CEPD insiste pour être consulté en bonne et due forme sur cette proposition.

43.

Les informations sur les cartes de conducteur seront échangées sous forme électronique à travers des registres électroniques nationaux avant la délivrance des cartes de conducteur afin de vérifier que le demandeur n’est pas déjà titulaire d’une telle carte. Cet échange d’informations aura lieu à travers un système existant, du nom de TACHOnet. L’article 26 prévoit la base juridique de cet échange électronique d’informations. Le CEPD se réjouit que les données particulières à caractère personnel enregistrées dans ces registres aient été clairement énoncées à l’article 26 de la proposition, de même que leur période de conservation et les destinataires autorisés des données. Il souligne que l’ensemble des modalités générales du traitement effectué dans le système TACHOnet doivent être décrites dans cet article et que seules des spécifications purement techniques peuvent être adoptées au moyen d’actes d’exécution.

44.

Le CEPD note que le rôle de la Commission dans l’interconnexion des registres électroniques n’est pas suffisamment clair. Il insiste pour que ce rôle soit précisé davantage dans les actes d’exécution proposés et souligne que si ce rôle devait impliquer le traitement de données à caractère personnel par la Commission, ce traitement devrait respecter le règlement (CE) no 45/2001.

45.

Le CEPD se réjouit d’être consulté sur une proposition qui affecte la vie privée des conducteurs professionnels de façon évidente. Il salue en particulier le fait que la proposition contient une disposition spécifique en matière de protection des données. Le CEPD note cependant que cette disposition ne suffit pas à résoudre tous les problèmes de protection des données soulevés par les mesures avancées dans la proposition. Des garanties supplémentaires doivent donc être incluses dans la proposition et les mesures complémentaires décrites dans la communication.

46.

Le CEPD considère que les modalités générales du traitement effectué dans les tachygraphes doivent être fixées dans la proposition même et non dans les annexes du règlement. Les principaux aspects du traitement doivent être décrits dans la proposition même, comme les types de données enregistrées dans les tachygraphes et au moyen d’appareils de géolocalisation, les destinataires et les périodes de conservation. Les annexes du règlement ne doivent prévoir que les modalités purement techniques des principes généraux énoncés dans le règlement même.

47.

Le CEPD observe par ailleurs que les annexes actuelles sont dépassées, ce qui peut donner lieu à des discordances quant à la manière dont les tachygraphes sont développés par l’industrie. La proposition introduit de nombreuses mises à jour technologiques, pour lesquelles aucune spécification technique n’est énoncée dans les annexes actuelles du règlement. Il y a un risque de voir l’industrie développer des cadres non favorables au respect de la vie privée tant que la mise à jour des annexes du règlement est en cours. Le CEPD invite instamment la Commission à actualiser les annexes du règlement dès que possible.

48.

Le CEPD recommande d’apporter les modifications suivantes à la proposition:

49.

Le CEPD invite les États membres à consulter les autorités chargées du contrôle de la protection des données avant d’adopter des mesures nationales relatives aux tachygraphes, notamment les mesures concernant l’utilisation d’appareils de géolocalisation, les communications à distance, les interfaces STI et le système TACHOnet.

50.

Pour s’assurer que les exigences en matière de protection des données ont été dûment prises en considération par la Commission dans les mesures complémentaires, le CEPD souhaite être inclus à la liste des participants au Forum du tachygraphe et être consulté sur la mise à jour de l’annexe I B et la proposition modifiant la directive 2001/126/CE sur le permis de conduire.

10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/14

10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/16

10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/20

10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/21

JO C 264 du 8.9.2011

JO C 189 du 29.6.2011

JO C 140 du 11.5.2011

JO C 121 du 19.4.2011

JO C 94 du 26.3.2011

JO C 88 du 19.3.2011

10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/22

10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/23

10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/26

Cour des comptes européenne

Unité «Audit: Production des rapports»

12, rue Alcide de Gasperi

1615 Luxembourg

LUXEMBOURG

Tél. +352 4398-1

Courriel: euraud@eca.europa.eu

10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/27

—

accorder un accès à l’enseignement supérieur aux étudiants, y compris à ceux issus de milieux désavantagés;

—

faciliter la coopération relative à la reconnaissance des études et des qualifications;

—

contribuer à l’amélioration de la qualité de l’éducation supérieure à travers la promotion de l’internationalisation et l’harmonisation de programmes et de plans d’étude au sein des établissements participants;

—

améliorer la capacité de coopération internationale des établissements d’enseignement supérieur dans les pays d’Afrique, des Caraïbes et du Pacifique;

—

promouvoir la coopération entre les établissements qui envoient les étudiants et ceux qui les accueillent;

—

permettre aux étudiants, au personnel enseignant et au personnel en général de bénéficier aux plans linguistique, culturel et professionnel de l’expérience gagnée dans le contexte de la mobilité vers un autre pays;

—

améliorer à moyen terme les liens politiques, culturels, éducatifs et économiques entre les pays participants.

Agence exécutive «Éducation, audiovisuel et culture»

Appel à propositions EACEA/11/12 — «Programme de mobilité universitaire INTRA-ACP»

À l’att. de M. Joachim FRONIA

BOUR 02/29

Avenue du Bourget 1

1140 Bruxelles

BELGIQUE

10.2.2012   

FR

Journal officiel de l'Union européenne

C 37/30

Commission européenne

Direction générale de l'agriculture et du développement rural

Direction M2 — Concurrence

Rue de la Loi 120, 5/94A

1049 Bruxelles

BELGIQUE

Fax +32 22967672

—

les autorités italiennes ont fait part de leur intention de placer l'équivalent-subvention du report de paiement sous le régime de minimis prévu par le règlement (CE) no 1535/2007 de la Commission du 20 décembre 2007, concernant l'application des articles 87 et 88 du traité CE (1) aux aides de minimis dans le secteur de la production de produits agricoles; or, à ce stade, la Commission doute de l'applicabilité de ce règlement dans le cas d'espèce car aucune précision n'a été fournie par les autorités italiennes quant au respect des plafonds d'aide individuel et national prévus par le règlement; en outre, le règlement interdit l'octroi d'aides de minimis qui porteraient des aides d'État au-delà du maximum admissible, ce que semble faire le report à ce stade,

—

la Commission ne peut donc que conclure, à ce stade, à l'existence d'un élément d'aide qu'aucune des informations fournies jusqu'à présent par les autorités italiennes ne permet de justifier à la lumière des règles applicables en matière d'aides d'État dans le secteur agricole [Lignes directrices de la Communauté concernant les aides d'État dans le secteur agricole et forestier 2007-2013 (2)],

—

le report entraîne une violation de la décision du Conseil en ce sens qu'une de ses conditions (la constance des annuités) n'est plus respectée; le report transforme donc l'ensemble du système d'échelonnement des paiements en une aide nouvelle qu'à ce stade aucune disposition des lignes directrices précitées ne semble justifier.