par Sylvie Peyrou, CDRE
La lecture du dernier avis du Contrôleur Européen de la Protection des Données (CEPD) (avis du 5 septembre 2012) relatif à la proposition modifiée de règlement du Parlement européen et du Conseil quant au système « EURODAC » (COM (2012) 254) ne manque pas de laisser le commentateur perplexe. En effet, s’agissant de la protection des données à caractère personnel, il semble que jamais jusqu’à présent la conjoncture n’ait été aussi favorable à une protection maximale de ce droit fondamental. Pourtant, les choses sont loin d’être aussi simples qu’il y paraît, Peter Hustinx constatant lui même que “l’érosion progressive des droits fondamentaux se poursuit”.
Protégé, déjà, par la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales, grâce à la jurisprudence de la Cour de Strasbourg, qui l’avait inclus dans l’article 8 de la Convention relatif à la protection de la vie privée, et désormais inscrit expressis verbis dans l’article 8 de la Charte des droits fondamentaux de l’UE, le droit à la protection des données à caractère personnel semblait promis à un bel avenir.
En effet, le législateur européen, prenant acte à la fois des modifications induites par le Traité de Lisbonne et des priorités affichées pour l’espace de liberté, sécurité et justice par le Programme de Stockholm, ainsi que de la nécessité d’actualisation des règles existantes en la matière, s’est lancé dans un vaste chantier législatif, avec pour ambition de poser un « cadre juridique global » assurant une protection optimale du droit fondamental à la protection des données.
Or, ce nouveau cadre juridique attendu sera loin d’être « global », parce que le paquet législatif proposé par la Commission le 25 janvier 2012 contient non seulement une proposition de règlement à caractère général (remplaçant la directive 95/46/CE) et une proposition de directive pour le champ spécifique de l’espace de liberté, sécurité et justice (appelée à se substituer à la décision-cadre 2008/977/JAI), et que d’autres textes au surplus sont appelés à voir le jour, comme la directive « PNR » (transfert des données des dossiers passagers aux services répressifs à des fins de lutte contre le terrorisme et la criminalité organisée) ou la proposition modifiée de règlement « EURODAC » aujourd’hui. Le point commun à l’ensemble de ces textes, contre toute attente (hormis la proposition de règlement général), est que tous révèlent de préoccupantes atteintes aux droits fondamentaux.
L’avis du CEPD concernant la proposition modifiée de règlement « EURODAC » se fait largement l’écho de cette inquiétude. Un point crucial à souligner dans la proposition de la Commission est l’ajout au système EURODAC, qui permet la comparaison des empreintes digitales des demandeurs d’asile aux fins de l’application efficace du règlement de Dublin (établissant les critères et mécanismes de détermination de l’État membre responsable de l’examen d’une demande d’asile présentée dans l’un des États membres par un ressortissant d’un pays tiers), d’une disposition permettant à l’avenir aux autorités répressives d’accéder aux données EURODAC, aux fins de prévention et de détection des infractions terroristes et autres infractions pénales graves ainsi que des enquêtes en la matière.
S’il paraît évident qu’un tel mécanisme peut s’avérer utile dans la lutte contre la criminalité, il s’agit néanmoins incontestablement d’une « intrusion grave dans les droits d’un groupe de personnes vulnérable en quête de protection », comme le relève le CEPD. Cette disposition peut apparaître en outre comme discriminatoire, ou stigmatisante à tout le moins, dans la mesure où des demandeurs d’asile pourraient ainsi être identifiés grâce aux données EURODAC – si une empreinte digitale est relevée sur le lieu d’un délit – alors que d’autres personnes y échapperont parce que ce type de données n’est pas disponible pour tous les autres groupes de la société (mais l’équilibre est-il véritablement rompu, s’agissant de cet argument, dans la balance entre protection des droits fondamentaux et sauvegarde de la sûreté ?).
Par ailleurs, dans un domaine où il convient de justifier de la nécessité de mesures par définition attentatoires aux droits fondamentaux, la Commission n’a pas apporté la preuve de l’insuffisance des nombreux instruments juridiques déjà existants, permettant à un Etat membre de consulter les empreintes digitales ou autres données détenues par les autorités répressives d’un autre Etat membre, en résumé n’a pas justifié de la nécessité de l’accès aux données des demandeurs d’asile tel qu’organisé par la proposition modifiée de règlement EURODAC. Il conviendrait pour ce faire que la Commission rédige une nouvelle analyse d’impact fournissant « preuves solides et statistiques fiables » (§ 89 de l’avis du CEPD), au lieu de se contenter d’une simple référence à celle publiée en 2009.
Un certain nombre de recommandations formulées par le CEPD permettent ensuite de lister les points critiquables du texte. Pour noter les plus importants, retenons tout d’abord que l’accès aux données EURODAC par les autorités répressives devrait être soumis à des critères spécifiques et clairement définis, comme par exemple une suspicion raisonnable que l’auteur d’une infraction terroriste ou pénale grave a demandé l’asile, et ce afin de répondre aux critères impératifs de nécessité et de limitation de la finalité. Il conviendrait ensuite d’interdire clairement le transfert de données vers des pays tiers, sachant qu’il n’est actuellement pas clair comment l’interdiction formulée par l’article 35 de la proposition s’articule avec la possibilité de transfert existant en matière répressive, prévue par la décision-cadre 2008/977/JAI.
Un autre point fondamental, souligné maintes fois par le CEPD mais aussi par la CJUE en cette matière, est la nécessité de l’existence d’une autorité indépendante, afin de pouvoir contrôler la demande d’accès à des fins répressives. Il faut ajouter qu’une clarification et des précisions s’imposent quant à l’accès direct par Europol aux données EURODAC, de sorte que cet accès soit soumis aux mêmes garanties strictes que celles s’appliquant aux autorités nationales compétentes. Enfin, le CEPD réclame que soient précisées les règles relatives à la conservation et à la suppression des données.
Force est de constater au final que, effectivement, qu’il s’agisse de la proposition de directive PNR, de l’accord PNR conclu entre l’UE et les Etats-Unis, ou aujourd’hui de la proposition modifiée EURODAC, « l’érosion progressive des droits fondamentaux se poursuit », comme le relève justement le CEPD. Le juge européen s’appuyant sur une Charte des droits fondamentaux désormais clairement justiciable ne serait-il alors qu’un tigre de papier, balayé par le législateur d’un trait de plume ? Et quid de l’attitude du Parlement européen, pleinement co-législateur ? L’aval donné par lui à l’accord PNR UE-USA ne porte guère à l’optimisme (voir notre billet : Diplomatie ou droits fondamentaux, questions sur la conclusion de l’accord PNR -Etats Unis) …