| CELEX | 52021PC0021 |
| Type | Proposition législative |
| Date | mercredi 20 janvier 2021 |
COMMISSION EUROPÉENNE
Bruxelles, le 20.1.2021
COM(2021) 21 final
2021/0009(COD)
Proposition de
DIRECTIVE DU PARLEMENT EUROPÉEN ET DU CONSEIL
modifiant la directive 2014/41/UE en ce qui concerne son alignement sur les règles de l’UE relatives à la protection des données à caractère personnel
EXPOSÉ DES MOTIFS
1.CONTEXTE DE LA PROPOSITION
•Justification et objectifs de la proposition
La directive (UE) 2016/680 1 (directive en matière de protection des données dans le domaine répressif) est entrée en vigueur le 6 mai 2016 et les États membres avaient jusqu’au 6 mai 2018 pour la transposer en droit national. Elle a abrogé et remplacé la décision-cadre 2008/977/JAI du Conseil 2 , mais elle constitue un instrument de protection des données beaucoup plus complet et plus général. Il est important de noter que la directive s’applique aux traitements nationaux et transfrontières de données à caractère personnel effectués par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces (article 1er, paragraphe 1).
En vertu de l’article 62, paragraphe 6, de la directive en matière de protection des données dans le domaine répressif, la Commission était tenue de réexaminer, au plus tard le 6 mai 2019, d’autres actes juridiques adoptés par l’Union qui réglementent le traitement des données à caractère personnel par les autorités compétentes à des fins répressives, afin d’apprécier la nécessité de les mettre en conformité avec la directive et de formuler, le cas échéant, les propositions nécessaires en vue de modifier ces actes pour assurer une approche cohérente de la protection des données à caractère personnel dans le cadre de la directive.
La Commission a exposé les résultats de son réexamen dans une communication intitulée «Marche à suivre en ce qui concerne la mise en conformité de l’acquis de l’ancien troisième pilier avec les règles en matière de protection des données» (24 juin 2020) 3 , qui mentionne dix actes juridiques qui devraient être alignés sur la directive et fixe un calendrier à cet effet. La liste comprend la directive 2014/41/UE du Parlement européen et du Conseil concernant la décision d’enquête européenne en matière pénale 4 . La Commission a indiqué qu’elle présenterait des modifications ciblées à ladite directive au dernier trimestre de 2020; tel est l’objet de la présente proposition.
Cette initiative ne s’inscrit pas dans le programme pour une réglementation affûtée et performante (REFIT).
•Cohérence par rapport aux dispositions existantes dans le domaine d’action
La proposition vise à aligner les règles régissant la protection des données de la directive 2014/41/UE sur les principes et règles prévus par la directive en matière de protection des données dans le domaine répressif afin de mettre en place un cadre de protection des données solide et cohérent dans l’Union.
•Cohérence par rapport aux autres politiques de l’Union
s.o.
2.BASE JURIDIQUE, SUBSIDIARITÉ ET PROPORTIONNALITÉ
•Base juridique
La présente proposition est fondée sur l’article 16, paragraphe 2, du traité sur le fonctionnement de l’Union européenne (TFUE).
L’acte initial était fondé sur l’ex-article 34, paragraphe 2, point b), de l’ancien traité sur l’Union européenne, qui correspond plutôt à l’article 82, paragraphe 1, du TFUE. Toutefois, tant l’objectif que le contenu de la modification proposée sont clairement limités à la protection des données à caractère personnel.
À cet égard, l’article 16, paragraphe 2, du TFUE constitue la base juridique la plus appropriée. Il permet l’adoption de règles relatives à la protection des personnes physiques dans le cadre du traitement des données à caractère personnel par les États membres dans l’exercice d’activités relevant du champ d’application du droit de l’Union et de règles relatives à la libre circulation des données à caractère personnel.
Conformément à l’article 2 bis du protocole nº 22, le Danemark ne sera pas lié par les règles établies sur la base de l’article 16 du TFUE portant sur le traitement de données à caractère personnel dans l’exercice d’activités qui relèvent du champ d’application des chapitres 4 et 5 du titre IV de la troisième partie du TFUE. Il en va de même pour l’Irlande, conformément à l’article 6 bis du protocole nº 21.
•Subsidiarité (en cas de compétence non exclusive)
Seule l’Union peut adopter un acte législatif modifiant la directive 2014/41/UE.
•Proportionnalité
La présente proposition est limitée à ce qui est nécessaire pour aligner la directive 2014/41/UE sur la législation de l’Union en matière de protection des données à caractère personnel (en particulier la directive en matière de protection des données dans le domaine répressif) sans modifier en aucune manière le champ d’application de la directive. La présente directive n’excède pas ce qui est nécessaire pour atteindre les objectifs poursuivis, conformément aux dispositions de l’article 5, paragraphe 4, du traité sur l’Union européenne.
•Choix de l’instrument
Pour modifier la directive 2014/41/UE, l’instrument le plus approprié est une directive.
3.RÉSULTATS DES ÉVALUATIONS EX POST, DES CONSULTATIONS DES PARTIES INTÉRESSÉES ET DES ANALYSES D’IMPACT
•Évaluations ex post/bilans de qualité de la législation existante
La présente proposition fait suite aux résultats du réexamen effectué par la Commission au titre de l’article 62, paragraphe 6, de la directive en matière de protection des données dans le domaine répressif, tels que présentés dans la communication intitulée «Marche à suivre en ce qui concerne la mise en conformité de l’acquis de l’ancien troisième pilier avec les règles en matière de protection des données». Cette communication énumère les points pour lesquels un alignement est nécessaire. En particulier, elle souligne la nécessité de préciser que tout traitement de données à caractère personnel au titre de la directive 2014/41/UE est soumis soit à la directive en matière de protection des données dans le domaine répressif, soit au règlement (UE) 2016/679 5 (règlement général sur la protection des données – RGPD), selon qu’il s’inscrit dans le cadre d’une procédure pénale ou non pénale. L’alignement devrait préciser que les données obtenues conformément à la directive 2014/41/UE ne peuvent être traitées à des fins autres que celles pour lesquelles elles sont collectées que dans les conditions prévues dans la directive en matière de protection des données dans le domaine répressif (article 4, paragraphe 2, ou article 9, paragraphe 1) ou le RGPD (article 6).
En proposant la suppression de l’article 20 de la directive 2014/41/UE, la présente proposition est limitée à ce qui est nécessaire pour traiter les points susmentionnés.
•Consultation des parties intéressées
s.o.
•Obtention et utilisation d’expertise
Lorsqu’elle a procédé au réexamen, la Commission a tenu compte d’une étude réalisée dans le cadre du projet pilote intitulé «Examen des instruments et programmes de collecte de données de l’UE sous l’angle des droits fondamentaux» 6 . L’étude a défini les actes de l’Union couverts par l’article 62, paragraphe 6, de la directive en matière de protection des données dans le domaine répressif et a recensé des dispositions susceptibles de nécessiter un alignement sur les questions de protection des données.
•Analyse d’impact
L’incidence de la présente proposition se limite au traitement des données à caractère personnel par les autorités compétentes dans les cas spécifiques régis par la directive 2014/41/UE. L’impact des nouvelles obligations découlant de la directive en matière de protection des données dans le domaine répressif a été évalué dans le cadre des travaux préparatoires de ladite directive. Cela rend superflue toute analyse d’impact spécifique pour la présente proposition.
•Réglementation affûtée et simplification
s.o.
•Droits fondamentaux
Le droit à la protection des données à caractère personnel est énoncé à l’article 8 de la charte des droits fondamentaux de l’Union européenne et à l’article 16 du TFUE. Ainsi que l’a souligné la Cour de justice de l’Union européenne 7 , le droit à la protection des données à caractère personnel n’est pas absolu, mais doit être pris en considération par rapport à sa fonction dans la société 8 . La protection des données est également étroitement liée au respect de la vie privée et familiale, tel que protégé par l’article 7 de la charte.
La présente proposition garantit que tout traitement de données à caractère personnel au titre de la directive 2014/41/UE est soumis aux principes et règles «horizontaux» de la législation de l’UE en matière de protection des données, renforçant ainsi la mise en œuvre de l’article 8 de la charte. Cette législation vise à assurer un niveau élevé de protection des données à caractère personnel et à préciser que les principes et règles de la directive (UE) 2016/680 s’appliquant au traitement des données au titre de la directive auront une incidence positive en ce qui concerne les droits fondamentaux au respect de la vie privée et à la protection des données.
4.INCIDENCE BUDGÉTAIRE
s.o.
5.AUTRES ÉLÉMENTS
•Plans de mise en œuvre et modalités de suivi, d’évaluation et d’information
s.o.
•Documents explicatifs (pour les directives)
La présente proposition ne nécessite pas de documents explicatifs sur la transposition, car elle implique la suppression d’un article de la directive 2014/41/UE.
•Explication détaillée des différentes dispositions de la proposition
L’article 1er supprime l’article 20 de la directive 2014/41/UE. Ce faisant, la présente proposition est limitée à ce qui est nécessaire pour traiter les points susmentionnés. L’article 20 exige que tout traitement de données à caractère personnel au titre de la directive soit conforme à la décision-cadre 2008/977/JAI du Conseil et aux principes énoncés dans la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (28 janvier 1981) et son protocole additionnel.
La directive en matière de protection des données dans le domaine répressif a abrogé la décision-cadre avec effet au 6 mai 2018. En vertu de l’article 59 de la directive, les références faites à la décision-cadre s’entendent comme faites à ladite directive.
En vertu de son article 2, paragraphe 1, la directive en matière de protection des données dans le domaine répressif s’applique au traitement de données à caractère personnel effectué par les autorités compétentes aux fins énoncées à son article 1er, paragraphe 1, à savoir la prévention et la détection des infractions pénales, les enquêtes et les poursuites en la matière ou l’exécution des sanctions pénales, y compris la protection contre les menaces pour la sécurité publique et la prévention de telles menaces. Toutefois, la directive 2014/41/UE s’applique également à certains types de procédures non pénales – celles-ci sont régies par le RGPD.
Le fait que l’article 20 de la directive 2014/41/UE fasse référence à la décision-cadre pourrait prêter à confusion quant à la question de savoir si la directive en matière de protection des données dans le domaine répressif s’applique également au traitement de données à caractère personnel relatives à des décisions d’enquête européennes dans le cadre de procédures non pénales (qui ne relèvent pas du champ d’application de la directive en matière de protection des données dans le domaine répressif). La suppression de l’article 20 suffit à remédier à cette situation. La directive en matière de protection des données dans le domaine répressif continue de s’appliquer au traitement de données à caractère personnel au titre de la directive 2014/41/UE dans son champ d’application.
Étant donné que la directive en matière de protection des données dans le domaine répressif et le RGPD (chacun pour ce qui est de son champ d’application) s’appliquent au traitement de données à caractère personnel au titre de la directive 2014/41/UE, le traitement de ces données à des fins autres que celles pour lesquelles elles sont collectées sera effectué conformément à la directive en matière de protection des données dans le domaine répressif (article 4, paragraphe 2, et article 9, paragraphe 1) ou au RGPD (article 6, paragraphe 4). Aucune nouvelle disposition n’est nécessaire à cet effet.
L’article 20 de la directive 2014/41/UE exige également que l’accès aux données à caractère personnel soit limité, sans préjudice des droits de la personne concernée, et que seules les personnes autorisées aient accès à ces données. La directive en matière de protection des données dans le domaine répressif et le RGPD établissent un cadre complet pour ce qui est des droits des personnes concernées et des obligations du responsable du traitement, y compris en ce qui concerne la protection des données dès la conception et par défaut, ainsi que la sécurité du traitement. Le deuxième alinéa de l’article 20 est donc redondant.
La directive 2014/41/UE ne contenant pas de règles spécifiques en matière de protection des données, aucune autre modification liée à la protection des données n’est nécessaire.
L’article 2 fixe le délai de transposition de la nouvelle directive proposée.
L’article 3 précise la date d’entrée en vigueur de la présente directive.
L’article 4 dispose que les États membres sont destinataires de la présente directive.
2021/0009 (COD)
Proposition de
DIRECTIVE DU PARLEMENT EUROPÉEN ET DU CONSEIL
modifiant la directive 2014/41/UE en ce qui concerne son alignement sur les règles de l’UE relatives à la protection des données à caractère personnel
LE PARLEMENT EUROPÉEN ET LE CONSEIL DE L’UNION EUROPÉENNE,
vu le traité sur le fonctionnement de l’Union européenne, et notamment son article 16, paragraphe 2,
vu la proposition de la Commission européenne,
après transmission du projet d’acte législatif aux parlements nationaux,
statuant conformément à la procédure législative ordinaire,
considérant ce qui suit:
(1)Conformément à l’article 62, paragraphe 6, de la directive (UE) 2016/680 9 , la Commission réexamine d’autres actes juridiques adoptés par l’Union qui réglementent le traitement de données à caractère personnel par les autorités compétentes aux fins énoncées à l’article 1er, paragraphe 1, de ladite directive, afin d’apprécier la nécessité de les mettre en conformité avec ladite directive et de formuler, le cas échéant, les propositions nécessaires en vue de modifier ces actes pour assurer une approche cohérente de la protection des données à caractère personnel dans le cadre de ladite directive. Ce réexamen a permis de déterminer que la directive 2014/41/UE 10 figurait parmi ces autres actes à modifier.
(2)Dans un souci de cohérence et de protection effective des données à caractère personnel, le traitement des données à caractère personnel au titre de la directive 2014/41/UE devrait, le cas échéant, respecter les règles énoncées dans la directive (UE) 2016/680. Le règlement (UE) 2016/679 11 devrait s’appliquer au traitement de données à caractère personnel dans le cadre des procédures visées à l’article 4, points b), c) et d), de la directive 2014/41/UE lorsqu’elles ne sont pas couvertes par la directive (UE) 2016/680.
(3)Conformément à l’article 1er, à l’article 2 et à l’article 4 bis, paragraphe 1, du protocole nº 21 sur la position du Royaume-Uni et de l’Irlande à l’égard de l’espace de liberté, de sécurité et de justice, annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, et sans préjudice de l’article 4 dudit protocole, l’Irlande ne participe pas à l’adoption de la présente directive et n’est pas liée par celle-ci ni soumise à son application.
(4)Conformément aux articles 1er et 2 du protocole nº 22 sur la position du Danemark annexé au traité sur l’Union européenne et au traité sur le fonctionnement de l’Union européenne, le Danemark ne participe pas à l’adoption de la présente directive et n’est pas lié par celle-ci ni soumis à son application.
(5)Il y a donc lieu de modifier la directive 2014/41/UE en conséquence.
(6)Le Contrôleur européen de la protection des données a été consulté conformément à l’article 42 du règlement (UE) 2018/1725 12 et a rendu un avis le XX XXXX 13 ,
ONT ADOPTÉ LA PRÉSENTE DIRECTIVE:
Article premier
Modifications de la directive 2014/41/UE
L’article 20 de la directive 2014/41/UE est supprimé.
Article 2
1.Les États membres mettent en vigueur les dispositions législatives, réglementaires et administratives nécessaires pour se conformer à la présente directive au plus tard [un an après son adoption]. Ils communiquent immédiatement à la Commission le texte de ces dispositions.
Lorsque les États membres adoptent ces dispositions, celles-ci contiennent une référence à la présente directive ou sont accompagnées d’une telle référence lors de leur publication officielle. Les modalités de cette référence sont arrêtées par les États membres.
2.Les États membres communiquent à la Commission le texte des dispositions essentielles de droit interne qu’ils adoptent dans le domaine couvert par la présente directive.
Article 3
La présente directive entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.
Article 4
Les États membres sont destinataires de la présente directive conformément aux traités.
Fait à Bruxelles, le
Par le Parlement européen Par le Conseil
Le président Le président
Ce projet pilote a été demandé par le Parlement européen, géré par la Commission et réalisé par un contractant (groupe d’experts indépendants). La Commission a sélectionné le contractant sur la base de critères déterminés par le Parlement. Les éléments livrables du projet reflètent uniquement les points de vue et avis du contractant et la Commission ne peut être tenue responsable de l’usage qui pourrait être fait des informations qui y figurent. Les résultats sont publiés à l’adresse suivante: http://www.fondazionebrodolini.it/en/projects/pilot-project-fundamental-rights-review-eu-data-collectioninstruments-and-programmes
CJUE, arrêt du 9 novembre 2010, Volker und Markus Schecke et Eifert, affaires jointes C-92/09 et C-93/09 (ECLI:EU:C:2009:284, point 48).
Conformément à l’article 52, paragraphe 1, de la charte, l’exercice du droit à la protection des données peut être subordonné à des limitations qui sont prévues par la loi, respectent le contenu essentiel des droits et libertés et (dans le respect du principe de proportionnalité) sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui.
Proposition législative — 52021PC0565
22/12/2021
Proposition législative — 52021PC0569
22/12/2021
Proposition législative — 52021PC0570
22/12/2021
Proposition législative — 52021PC0823
22/12/2021