AVIS du Contrôleur européen de la protection des données sur la proposition de règlement relatif à eu-LISA.
Pour rappel, la proposition relative à eu-LISA s’inscrit dans un processus plus large visant à améliorer la gestion des frontières extérieures et à renforcer la sécurité interne dans l’Union européenne en vue de répondre à des défis précis en termes de sécurité. Cette proposition a pour objectif de confier à eu-LISA:
- la gestion opérationnelle des systèmes d’information à grande échelle actuels et futurs au sein de l’espace de liberté, de sécurité et de justice;
- le développement de certains aspects de l’interopérabilité entre ces systèmes;
- la conduite d’activités de recherche et de projets pilotes;
- et le développement, la gestion et l’hébergement d’un système d’information commun pour un groupe d’États membres optant volontairement pour une solution centralisée qui les aide à mettre en œuvre les aspects techniques de la législation de l’Union sur les systèmes décentralisés au sein de l’espace de liberté, de sécurité et de justice.
Le CEPD a été consulté de façon informelle avant la publication de la proposition eu-LISA. Elle a transmis des commentaires informels à la Commission, qui n’ont été que partiellement pris en compte.
En sa qualité d’autorité de contrôle d’eu-LISA, le CEPD:
- recommande que la proposition relative à l’Agence soit accompagnée d’une analyse d’impact approfondie du droit au respect de la vie privée et du droit à la protection des données, qui sont consacrés par la charte des droits fondamentaux de l’Union européenne;
- rappelle qu’il n’existe pas de cadre juridique relatif à l’interopérabilité des systèmes européens d’information à grande échelle. eu-LISA ne pourra donc élaborer les modalités d’exécution que si un tel cadre juridique est adopté. Le CEPD recommande supprimer les références actuelles à l’interopérabilité dans la proposition eu-LISA;
- s’inquiète de la possibilité qu’eu-LISA puisse développer et héberger une solution centralisée commune pour des systèmes d’information à grande échelle qui sont, en principe, décentralisés. Il estime que tout changement ne peut être apporté à l’architecture d’un système qu’en modifiant la base législative correspondante, à l’issue d’une analyse d’impact et d’études de faisabilité. Le CEPD propose de supprimer la disposition permettant de modifier l’architecture du système par le biais d’une convention de délégation entre eu-LISA et un groupe d’États membres.
Outre ces préoccupations, les recommandations émises par le CEPD concernent les aspects suivants de la proposition: i) les statistiques générées par le système ; ii) le contrôle interne; iii) la gestion des risques en matière de sécurité de l’information; iv) le rôle du CEPD et du délégué à la protection des données.