Le Parlement
européen a adopté par 544 voix pour, 78 voix contre et 60
abstentions, une résolution sur le programme de surveillance
de la NSA, les organismes de surveillance dans divers États
membres et les incidences sur les droits fondamentaux des citoyens
européens et sur la coopération transatlantique en
matière de justice et d'affaires intérieures.
Le Parlement
indique qu'en comparaison des mesures prises par les institutions
européennes et par certains États membres, il a pris
très au sérieux son obligation de faire la lumière
sur les révélations des pratiques non sélectives de
surveillance de masse des citoyens européens. Il a ainsi
chargé sa commission des libertés civiles, de la justice
et des affaires intérieures de mener une enquête
approfondie sur la question.
Principales
conclusions : le Parlement estime que les révélations
faites dans la presse par des lanceurs d'alerte et des
journalistes, ainsi que les témoignages d'experts recueillis
pendant cette enquête, les aveux des autorités et
l'insuffisance de la réaction face à ces
allégations, ont permis d'obtenir des preuves
irréfutables de l'existence de systèmes vastes, complexes
et technologiquement très avancés conçus par les
services de renseignement des États-Unis et de certains
États membres dans le but de collecter, de stocker et
d'analyser les données de communication, y compris les
données de contenu, et les données et
métadonnées de localisation des citoyens du monde entier,
à une échelle sans précédent, sans aucun
discernement et sans se baser sur des soupçons.
Il attire plus
particulièrement l'attention sur :
- les programmes de
renseignement de la NSA permettant la surveillance de masse des
citoyens de l'Union européenne grâce à l'accès
direct aux serveurs centraux des grandes entreprises
américaines du secteur de l'internet (programme PRISM), à
l'analyse de contenus et de métadonnées (programme
Xkeyscore), au contournement du cryptage en ligne (BULLRUN), et
à l'accès aux réseaux informatiques et
téléphoniques et aux données de
localisation ;
- les systèmes
de l'agence de renseignement britannique GCHQ, notamment son
activité de surveillance en amont (programme Tempora),
etc.
Il souligne que la
confiance entre les deux partenaires transatlantiques a
été profondément mise à mal. Pour la restaurer,
il est indispensable d'adopter un plan d'intervention
immédiat et global prévoyant un ensemble de mesures
soumises au contrôle des citoyens.
Alors que plusieurs
gouvernements affirment que ces programmes de surveillance de masse
sont nécessaires à la lutte contre le terrorisme, le
Parlement considère que cela ne peut en aucun cas justifier
l'existence de programmes de surveillance de masse non ciblés,
secrets, voire illégaux. Il réfute l'idée selon
laquelle toutes les questions liées aux programmes de
surveillance de masse relèveraient strictement de la
sécurité nationale et, dès lors, de l'unique
compétence des États membres. La discussion et
l’action au niveau de l'Union européenne ne sont pas
seulement légitimes, elles sont nécessaires pour
l'autonomie de l'Union.
Recommandations : le Parlement demande aux
autorités américaines et aux États membres de
l'Union européenne d'interdire les activités de
surveillance de masse aveugle. Il demande également à
la nouvelle Commission de prendre des engagements politiques forts
en vue de mettre en œuvre les propositions et recommandations
de l'enquête.
Les États
membres sont appelés à :
- procéder
à un examen complet, et à la révision au besoin, de
leurs législations et pratiques régissant les
activités des services de renseignement, afin de s'assurer
qu'elles font l'objet d'un contrôle parlementaire et
judiciaire et sont soumises à la vigilance des
citoyens ;
- satisfaire
immédiatement à l'obligation qui leur incombe au titre de
la convention européenne des droits de l'homme de
protéger leurs citoyens des activités de surveillance
contraires aux dispositions de celle-ci, y compris lorsque ces
activités visent à garantir la sécurité
nationale, que ces activités soient réalisées par
des pays tiers ou par leurs propres services de
renseignement ;
- veiller à ce
que l'état de droit ne soit pas affaibli par l'application
extraterritoriale du droit d'un pays tiers.
Le Royaume-Uni, la
France, l'Allemagne, la Suède, les Pays-Bas et la Pologne sont
spécifiquement appelés à veiller à ce que leur
cadre législatif et leurs mécanismes de contrôle
applicables aux activités des services de renseignement soient
conformes aux normes de la convention européenne des droits de
l'homme et au droit de l'Union et à faire la lumière sur
les allégations concernant des activités de surveillance
massive des communications transfrontalières. Les États
membres sont également appelés à faire la
lumière sur la présence sur le territoire de l'Union de
personnels et d'équipements de renseignement américains
sans contrôle sur les opérations de
surveillance.
La Commission est
quant à elle invitée à :
- réaliser,
avant juillet 2014, une évaluation de
l'applicabilité du règlement (CE) n° 2271/96
aux cas de conflits de législations lors de transferts de
données à caractère personnel ;
- présenter des
mesures prévoyant la suspension immédiate de sa
décision 2000/520/CE, qui déclare la pertinence de
la protection assurée par les principes de la "sphère de
sécurité". Á ce sujet, les autorités des
États-Unis sont invitées à présenter une
proposition de nouveau cadre pour les transferts de données
à caractère personnel de l'Union européenne vers les
États-Unis, qui respecte les exigences de protection des
données de l'Union et garantisse un degré de protection
adéquat ;
- présenter
d'ici décembre 2014 une évaluation complète du
cadre américain en matière de respect de la vie
privée, portant sur les activités commerciales,
policières et de renseignement, ainsi que des recommandations
concrètes en l'absence de loi générale sur la
protection des données aux États-Unis ;
- travailler de
concert avec les autorités des États-Unis afin
d'établir un cadre juridique garantissant un degré
élevé de protection des personnes eu égard à la
protection de leurs données à caractère personnel
lorsqu'elles sont transférées aux États-Unis, et
veiller à l'équivalence des cadres européen et
américain de respect de la vie privée ;
- effectuer, avant
fin 2014, une évaluation approfondie de l'accord en
matière d'entraide judiciaire existant ;
- reprendre
immédiatement les négociations avec les États-Unis
sur l'accord-cadre pour la protection des données dans le
domaine de la coopération policière et judiciaire, en
vue de placer les droits des citoyens de l'Union européenne
sur un pied d'égalité avec ceux des ressortissants des
États-Unis et ne se lancer dans aucun autre accord tant
que l'accord-cadre ne sera pas entré en vigueur;
- réagir au
fait que trois des principaux systèmes informatisés de
réservation utilisés par les compagnies aériennes
partout dans le monde sont basés aux États-Unis et que
les données PNR sont sauvegardées dans des
systèmes en nuage opérant sur le sol américain et
régis par le droit américain, ce qui n'est pas conforme
aux dispositions en matière de pertinence de la protection des
données ;
- présenter,
avant décembre 2014, une proposition concernant une
procédure européenne d'habilitation de
sécurité pour l'ensemble des titulaires européens
d'une charge publique ;
- présenter une
proposition législative visant à interdire le recours aux
"portes dérobées" ("backdoors") par les services
répressifs ;
- présenter, en
janvier 2015 au plus tard, un plan d'action en vue de
renforcer l'indépendance de l'Union européenne dans le
secteur informatique, présentant une approche plus
cohérente pour renforcer les capacités technologiques
informatiques européennes (y compris systèmes,
équipement, services informatiques, informatique en nuage,
etc.) ;
- soutenir sans
réserve, y compris au moyen de financements dans le domaine
de la recherche et du développement, le développement
des capacités innovatrices et technologiques européennes
en matière d'outils, de sociétés et de fournisseurs
dans le secteur de l'informatique (matériel, logiciels,
services et réseau), notamment aux fins de la
cybersécurité et des capacités de cryptage et
cryptographiques ;
- présenter,
avant décembre 2014, des propositions législatives
pour encourager les fabricants de logiciels et de matériel
à renforcer la sécurité et la vie privée en
incluant des fonctions par défaut dans leurs produits,
dès le stade de la conception. Ces propositions devraient
également comprendre des mesures pour décourager la
collecte excessive et disproportionnée de données à
caractère personnel en masse et l’introduction d’une
responsabilité légale pour les fabricants en cas de
vulnérabilités connues non corrigées, de produits
défectueux ou non sûrs, ou d'installation de portes
dérobées secrètes permettant d'accéder sans
autorisation aux données et de les traiter.
Menace de
blocage de l’accord TTIP : le Parlement a
également souligné que l'approbation de l’accord
transatlantique (le TTIP) par le Parlement européen pourrait
être menacée tant que les activités de surveillance
de masse aveugle et l'interception des communications au sein des
institutions et des représentations diplomatiques de l'Union
européenne n'auront pas été complètement
abandonnées et qu'une solution adéquate n'aura pas
été trouvée en ce qui concerne les droits des
citoyens de l'Union européenne en matière de
confidentialité des données. Il souligne que le Parlement
européen ne peut approuver le TTIP final qu'à condition
que l'accord respecte pleinement, entre autres, les droits
fondamentaux reconnus par la charte de l'Union européenne, et
exige que la protection de la vie privée des individus en ce
qui concerne le traitement et la diffusion des données à
caractère personnel continue à être régie par
l'article XIV de l'AGCS. Il souligne que la législation
européenne en matière de protection des données ne
saurait être vue comme une "discrimination arbitraire ou
injustifiable" au sens de l'article XIV de l'AGCS.
Parallèlement,
le Parlement demande la création d'un groupe de haut
niveau qui proposerait, de manière transparente et en
collaboration avec les parlements, des recommandations et des
mesures pour :
- améliorer le
contrôle démocratique, y compris le contrôle
parlementaire, des services de renseignement ;
- renforcer la
collaboration dans l'Union en matière de contrôle, en
particulier en ce qui concerne la dimension transfrontières de
cette collaboration ;
- définir des
normes ou des règles minimales contraignantes à
l'échelle de l'Europe sur le contrôle (ex
ante et ex post) des services de renseignement,
fondées sur les bonnes pratiques existantes et sur les
recommandations d'organisations internationales ;
- préparer un
rapport et collaborer à l'organisation d'une conférence
à l'initiative du Parlement avec les organes de contrôle
nationaux, qu'ils soient parlementaires ou indépendants, avant
le début de l'année 2015.
La résolution
propose en outre de lancer un «habeas corpus
numérique européen protégeant les droits
fondamentaux à l'ère numérique», fondé
sur huit actions et s'appuyant sur un calendrier à respecter.
Sa mise en œuvre inclut, entre autres :
- l’adoption du
paquet relatif à la protection des données en 2014 ;
- la conclusion de
l'accord-cadre entre l'Union européenne et les États-Unis
garantissant le droit fondamental des citoyens au respect de la vie
privée et à la protection des données, et assurant
des mécanismes de recours adéquats aux citoyens
européens ;
- la suspension de
la "sphère de sécurité" (normes volontaires
sur la protection des données pour les entreprises
non-européennes qui transfèrent des données à
caractère personnel de citoyens de l'UE aux États-Unis)
jusqu'à ce qu'une analyse complète de celle-ci soit
effectuée et que ses lacunes soient corrigées ;
- la suspension
de l'accord TFTP (programme de surveillance du financement du
terrorisme) en attendant i) la conclusion des négociations
concernant l'accord-cadre; ii) la réalisation d'une
enquête approfondie sur la base d'une analyse européenne
et la prise en compte de l'ensemble des préoccupations
soulevées par le Parlement dans sa résolution du
23 octobre 2013 ;
- une proposition
législative de la Commission établissant un programme
européen efficace et global de protection des lanceurs
d'alerte (le Parlement demande notamment aux États
membres d'examiner de manière approfondie la possibilité
d'octroyer aux lanceurs d'alerte, une protection internationale
contre les poursuites) ;
- le
développement d’une stratégie européenne en vue
d'une plus grande indépendance informatique.
Enfin, les services
compétents du secrétariat du Parlement européen sont
appelés à effectuer, avant juin 2015, avec un rapport
intermédiaire évaluant la fiabilité du
Parlement sur le plan de la sécurité informatique, en
s'intéressant plus particulièrement aux moyens
budgétaires, aux ressources en personnel, aux capacités
techniques, à l'organisation interne et à l'ensemble des
éléments pertinents, en vue d'améliorer la
sécurité des systèmes informatiques du
Parlement.
Dans la
foulée, la Plénière a chargé sa commission LIBE
de s'adresser au Parlement sur le sujet un an après l'adoption
de la présente résolution en vue d’évaluer la
mesure dans laquelle les recommandations adoptées par le
Parlement ont été suivies ou non d’effets.