Traité de Prüm: approfondissement de la coopération transfrontière, notamment en vue de lutter contre le terrorisme et la criminalité transfrontière. Initiative Belgique, Bulgarie, Allemagne, Espagne, France, Luxembourg, Pays-Bas, Autriche, Slovénie, Slovaquie, Italie, Finlande, Portugal, Roumanie et Suède

Avis du contrôleur européen de la protection des données (CEPD).

Le présent avis tient compte de la nature tout à fait particulière de l'initiative, plus précisément du fait qu'il n'est pas prévu d'apporter, sur le fond, d'importantes modifications aux dispositions. Les modifications que le CEPD propose ont essentiellement pour effet d'améliorer le texte, sans toucher au système d'échange d'informations proprement dit.

Le CEPD :

- note avec satisfaction que l'initiative adopte une approche plus prudente et progressive comme moyen de mettre en œuvre  le principe de disponibilité. Toutefois, il déplore que l'initiative n'harmonise pas les éléments essentiels de la collecte et de l'échange des différents types de données concernées, également pour veiller au respect des principes de nécessité et de proportionnalité ;

- déplore que l'initiative soit prise sans qu'une analyse d'impact appropriée n'ait été effectuée. Il invite le Conseil à faire figurer une évaluation de ce type dans la procédure d'adoption et à examiner, dans le cadre de cette évaluation, d'autres modalités d'action, si possible moins susceptibles de porter atteinte à la vie privée ;

- souscrit à l'approche suivie dans l'initiative concernant les différents types de données à caractère personnel: plus les données sont sensibles, plus les fins pour lesquelles elles peuvent être utilisées, ainsi que leur accès, doivent être limités ;

- regrette que l'initiative ne précise pas quelles catégories de personnes seront visées par les bases de données ADN et qu'elle ne limite pas la durée de conservation des données.

Le CEPD est d’avis que cette décision ne devrait pas être adoptée avant que le Conseil n'ait adopté la décision-cadre relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale, qui garantira un niveau approprié de protection des données. Il estime en outre les dispositions relatives à la protection des données énoncées au chapitre 6 de l'initiative ne facilitent pas les échanges de données à caractère personnel, mais les rendent plus complexes, dans la mesure où elles se fondent sur la notion traditionnelle d'entraide judiciaire en matière pénale.

Le CEPD recommande d'apporter les modifications suivantes au texte de l'initiative:

• insérer, à l'article 1er, une référence au chapitre 6 relatif à la protection des données,
• insérer une définition de la partie non codante de l'ADN, et prévoir une procédure garantissant que - tant aujourd'hui que dans le futur - il ne sera pas possible d'obtenir plus d'informations au départ de la partie non codante,
• préciser le libellé de l'article 7 (prélèvement de matériel génétique et transmission de profils ADN), en tenant compte du fait que le principe de proportionnalité exige une interprétation plus limitée de cette disposition,
• insérer, à l'article 24, une définition des données à caractère personnel,
• préciser, à l'article 24, paragraphe 2, que le chapitre 6 traitant de la protection des données s'applique au prélèvement et au traitement de matériel ADN et des empreintes digitales dans un État membre, ainsi qu'à la transmission, dans le cadre du champ d'application de la décision, de données à caractère personnel complémentaires,
• rédiger l’article 24, paragraphe, 2 comme suit : « les dispositions (sur la protection des données) qui suivent sont applicables aux données qui sont ou qui ont été transmises en application de la présente décision », en supprimant les termes «pour autant que les chapitres précédents n'en disposent pas autrement»,
• modifier le libellé de l'article 30 relatif à la documentation de manière à garantir que toute activité en rapport avec les données visées soit documentée,
• modifier le libellé de l'article 31 (droits des personnes concernées d'être informées et indemnisées) de manière à garantir le droit de la personne concernée d'être informée, sans que celle-ci doive en faire la demande,
• prévoir, au chapitre 6, une distinction entre les données selon les différentes catégories de personnes (victimes, personnes suspectes, d'autres personnes dont les données sont introduites dans une base),
• ajouter une phrase à l'article 34, précisant que le Conseil consulte le CEPD avant d'arrêter des mesures de mises en œuvre,
• insérer une clause d'évaluation au chapitre 7 (dispositions finales et mise en œuvre).

De manière plus générale, le CEPD recommande au Conseil de combler les lacunes recensées dans l'initiative, en modifiant le texte ou en intégrant les éléments évoqués ci-dessus dans la décision-cadre du Conseil relative à la protection des données dans le troisième pilier. Selon lui, la première option (qui consiste à intégrer les éléments mentionnés au point précédent) n'entraîne pas nécessairement une modification du système d'échange d'informations proprement dit et ne va pas à l'encontre de l'intention des quinze États membres qui ont pris cette initiative de ne pas modifier les parties essentielles du traité de Prüm.