AEDH-Association européenne pour la défense des Droits de l Homme Rue de la Caserne, 33 1000 Bruxelles Numéro de registre : 0648187635-62 Réponse à la consultation de la Commission européenne concernant le cadre juridique actuel régissant le droit fondamental à la protection des données L AEDH saisit l opportunité que donne la Commission européenne à la société civile de faire entendre sa voix sur la question, devenue centrale dans la société d aujourd hui pour l avenir de la démocratie, de l effectivité du droit fondamental à la protection des données à caractère personnel et profite donc de cette consultation publique pour donner son opinion et indiquer les orientations qu il lui semble souhaitable de retenir. L AEDH souhaite tout d abord rappeler qu elle n est pas un adversaire de l innovation en matière de technologies de l information et de la communication, bien au contraire. Par contre, nous prônons la neutralité d internet sur le plan technico économique pour garantir la liberté de communication, et nous prônons une conception, une mise en œuvre et des usages des technologies de l information respectueuses de la dignité des femmes et des hommes, de leurs libertés et de leurs droits fondamentaux tels que reconnus dans le pacte international relatifs aux droits civiles et politiques de 1966, dans la déclaration des droits de l Homme et de manière actualisée dans la Charte européenne des droits fondamentaux. A cet égard l AEDH est inquiète à plusieurs niveaux et propose les orientations et actions suivantes. I. Sur le front des technologies L AEDH s interroge sérieusement sur la prolifération des technologies fondées sur la biométrie. Que signifie, en effet, pour l avenir de nos sociétés et de la démocratie que les rapports entre les femmes et les hommes et leur environnement de toute nature, passe par l identification biométrique, intangible et contrôlée dans un nombre toujours plus grand d activités? Quels murs
potentiellement infranchissables d un nouveau type sommes-nous en train de laisser s édifier dans le quotidien, fondés sur le contrôle du corps humain, sous couvert de confort ou de contrôle légitime (contrôle des horaires de travail, d accès à un ordinateur, à une chambre d hôtel, à un moyen de paiement, à une cantine scolaire) et/ ou de contrôle de l immigration irrégulière et de lutte contre le terrorisme (passeport, visa, carte de séjour). Au nom même parfois de la protection de l identité par les Etats! L AEDH est favorable à un moratoire sur ces technologies tant qu'elles n'auront pas fait l'objet d'une évaluation complète et transparente par des autorités indépendantes et d'un débat démocratique 1. II. Sur le front des principes : A. L affaiblissement considérable du principe de finalité et de son corollaire, celui de la proportionnalité, sur le plan national, européen et mondial, principe cardinal du droit à la protection des données personnelles, est particulièrement inquiétant. Ce principe, pourtant reconnu par les «Fair Information Principles» formulés aux USA dès le début des années 70, a été reformulé dans la Convention n 108 du Conseil de l Europe adoptée en 1981 et dans la directive européenne de 1995 2. Dans un contexte de multiplication des bases de données sur les personnes tant dans le secteur privé que dans le secteur public, légitimées par la performance des services rendus et ses missions vis à vis des mesures visant à rendre obligatoire l allongement des durées de conservation des données personnelles au delà du temps nécessaire à la réalisation de la finalité légitime pour lesquelles elles ont été collectées (principe de finalité et de proportionnalité), et à établir de multiples interconnexions entre elles de manière excessive, ou des accès, y compris massif par des services secrets, sur le fondement de la prévention du terrorisme (en contradiction avec les mêmes principes de finalité et de proportionnalité). Ces approches transforment ces bases de données en autant de moyens de surveillance permanente de tout citoyen. Elles conduisent en pratique à la suspicion à l égard de tous, suspicion généralisée contraire aux règles élémentaires de l Etat de droit ainsi que la Cour des droits de l homme de Strasbourg l a signifié à de nombreuses reprises et encore en décembre 2008 à propos des bases de données biométriques et d ADN conservées dans le secteur de la sécurité au Royaume Uni. L AEDH tient à souligner que le rejet par le Parlement européen de la proposition permettant l ouverture de la base de données Eurodac à Europol est une bonne initiative. Cependant, l AEDH reste vigilante et espère qu aucune base de données ne sera ouverte à des services et agences ayant un but sécuritaire et répressif car cela contreviendrait aux libertés fondamentales des citoyens européens. Dans ce contexte, il serait nécessaire d accorder une attention particulière aux accords conclus avec des pays tiers qui mettent en jeu des données à caractère personnel, comme l accord PNR par exemple. Sur ce point, l AEDH est heureuse de constater que les institutions européennes ont pris la décision de revoir l accord PNR passé avec les USA. Néanmoins, l AEDH pense que toute personne, quelque soit sa nationalité, dont les données relatives aux vols qu elle effectue vers les USA à partir de l Union européenne ou se rendant en Europe à partir des 1 Déclaration "Standards mondiaux de respect de la vie privée dans un monde globalisé" de la société civile adoptée à Madrid le 3 novembre 2009 2 Directive 95/46/CE, articles 6.1 b), e) et 13.1
Etats-Unis sont transférées aux Etats-Unis, devrait bénéficier de la protection assurée dans l Union européenne à l égard de ses données. Par contre s agissant des accords EU/ SWIFT qui dérogent au principe de finalité et dont la portée est mondiale puisqu ils concernent la plateforme d échanges des transferts financiers de données établie en Europe par une société européenne relative non seulement à ceux effectués par des européens et des américains, mais aussi à ceux effectués par des personnes sans aucune attaches avec les USA ou l Europe, l AEDH s inquiète des mesures prises qui favorisent insuffisamment la transparence en Europe sur les motifs, le nombre et le contrôle des transferts demandés par les autorités américaines. B. Sur le front des mécanises de mise en œuvre, de l effectivité des règles et de leur harmonisation La directive 95/46/CE 3 institue un cadre juridique général visant à établir la libre circulation des services par l harmonisation des législations nationales. S agissant d un domaine garantissant les droits de l Homme, cette harmonisation s est effectuée en assurant un haut niveau de protection au point qu elle a conduit à renforcer la Convention n 108 du Conseil de l Europe par l adoption dans cette enceinte d un protocole additionnel sur les autorités nationales indépendantes chargées de sa mise en œuvre et sur les principes régissant les transferts de données personnelles vers un pays tiers. Sa portée et son effectivité soulèvent cependant plusieurs questions. Avec l entrée en vigueur du traité de Lisbonne, il est hautement nécessaire de revoir son champ d application pour étendre la portée de ses principes à tous les domaines de compétences de l Union européenne, en cela elle favoriserait le rétablissement du principe de finalité et des conditions de dérogation à ce principe dans une société démocratique, d ores et déjà établi en son article 13. Nombreux sont les acteurs qui déplorent que la mise en œuvre de la directive ait conduit à des disparités d interprétations au sein des Etats membres malgré les nombreux travaux du G29 qui visent à contribuer à l application homogène de la directive et notamment en matière de dérogations au principe de la protection adéquate qui doit être assurée dans un pays tiers pour autoriser un transfert vers ces pays. Concernant justement le transfert des données, la directive mentionne qu un tel transfert n est pas possible à l extérieur de l Union européenne s il ne bénéficie pas d un niveau suffisant de protection. Le problème est que ce sont les autorités nationales compétentes qui apprécient cette notion de «niveau suffisant de protection». Cela entraine une insécurité juridique au niveau européen puisque toutes les autorités nationales n adoptent pas forcément la même approche, les citoyens bénéficient en conséquence de différences de traitement de leurs données à caractère personnel. L AEDH pense qu il faudrait de ce fait instaurer des mécanismes systématiques et directement applicables à un niveau européen. La directive de 1995 a également créée un groupe des autorités nationales chargées du contrôle de la mise en œuvre, incluant le Contrôleur Européen de la Protection des Données 4 institué par le Règlement 45/2001 sur la protection des données à caractère personnel dans le cadre des institutions et des organes de l'union européenne. 3 Téléchargeable par ce lien http://www.privacycommission.be/fr/static/pdf/wetgeving/directive_95_46_ce.pdf 4 CEPD, http://www.edps.europa.eu/edpsweb/edps/lang/fr/home
L AEDH ne peut que déplorer le fait que, bien que la consultation du G29 et du CEPD soit obligatoire dès qu un projet de législation s intéresse aux données personnelles, leurs avis n en restent pas moins que consultatifs. De même, toute l activité du G29, visant les questions nouvelles, n acquiert aucune autorité dans des domaines aussi importants que l emploi, les données de santé, la vidéosurveillance etc. La nouvelle directive devrait donc renforcer les mécanismes de contrôles du CEPD et du G29 ainsi que des autorités nationales de contrôle. En effet, une partie de la directive devrait traiter tout particulièrement du contrôle effectif des autorités nationales, de leurs compétences et par-dessus tout, des champs d application de chaque autorité nationale afin d harmoniser les décisions prises par ces entités et de respecter «l acquis» en matière de protection des données à caractère personnel. La visibilité de ce travail, sa reprise sous forme contraignante, y compris ses interprétations fouillées de notion clefs, telle que celle sur la définition des données personnelles qui est citée mondialement mais dans le cercle trop restreint des experts, apporterait une sécurité, la confiance chez tous, confrontés à tant d évolution technologiques. Une telle approche dynamique contribuerait hautement à l effectivité du droit fondamental à la protection des données. Par ailleurs, le rôle et la compétence du CEPD pour superviser et contrôler des agences comme Europol qui elles, seront désormais en mesure de conclure des accords internationaux restent encore floues telles qu encadrées par le nouveau traité. C. Sur le front de la régulation mondiale L AEDH aimerait attirer l attention sur le fait que le seul instrument juridique international contraignant existant, celui de la Convention n 108 du Conseil de l Europe que développe la directive européenne, pourtant ouvert à des pays tiers, n a été ratifiée à ce jour que par un seul pays tiers, alors que c est déjà le cas pour la convention postérieurement adoptée en matière de cyber crime par la même organisation. Ces deux textes sont les deux faces d une même monnaie. La société civile de tous les continents y fait référence dans sa Déclaration de Madrid de novembre 2009. Pour mémoire, les Lignes directrices de 1980 de l OCDE, qui sont compatibles mais sont insuffisantes, ne sont pas contraignantes alors que 20 des 24 Etats membres ont déjà adoptés une législation en la matière, les Principes directeurs des Nations Unies de 1991 ne sont pas non plus contraignants et aucun mécanisme de suivi et de mise en œuvre n a jamais été mis en place. C est pourquoi, au-delà du mécanisme de la reconnaissance du niveau de protection adéquat assuré dans des pays tiers, institué par la directive de 1995 avec raison, mais qui laisse seuls ces pays tiers hors de tout mécanisme international de suivi et de mise en œuvre, il serait bon que la Commission, en tant qu organe compétente pour prendre des initiatives, ajoute cette question sur l agenda international. Deux voix sont possibles. Soit elle propose au Conseil de l Europe, comme elle le fait en d autres matières, de lui porter assistance pour promouvoir la Convention n 108 et son protocole d accord, tout en l assistant dans cette démarche au travers de tous les partenariats avec des pays tiers déjà en cours qui prévoit la question de la protection des données ainsi qu au travers des partenariats avec des organisations internationales qui se sont déjà prononcées en faveur d un telle approche conventionnelle, telle l Organisation Internationale de la Francophonie et le secrétariat Ibéro américain. Cette approche aurait le mérite de partir d une base bien encrée dans la problématique des droits de l Homme même s il conviendrait d en revoir le mécanisme de suivi et de mise en œuvre.
L autre approche étant celle par laquelle la Commission prend l initiative de l organisation d une grande conférence internationale sur la protection des données où un maximum d Etats serait impliqués afin qu une convention internationale contraignante de portée mondiale soit élaborée et adoptée. Ces deux approches, en tout état de cause, bénéficient d ores et déjà de l impressionnant travail réalisé déjà par les commissaires à la protection des données lors de leur conférence mondiale qui s est tenu à Madrid en novembre dernier sous la forme de deux résolutions complémentaires : celle sur les standards internationaux et celle sur le renforcement de la coopération. Il va sans dire qu une telle politique doit trouver son complément indispensable dans les programmes de coopération et d aide aux pays en développement, en faveur de programmes d échange et d assistance sur le plan de la sensibilisation, par exemple par l organisation de conférences régionales, sur le plan législatif, et de la mise en œuvre notamment au soutien de l installation d autorités indépendantes chargées de la protection des données personnelles. L AEDH rappelle aux institutions européennes que la vie privée et la protection des droits fondamentaux des citoyens à l égard du traitement de données personnelles ne se limitent pas au niveau législatif, mais qu elles ont aussi leur dimension technique. Mais surtout l AEDH rappelle que ces préoccupations posent aussi des considérations de caractère politique et même éthique. Une nouvelle éthique devrait être développée au sein de la société européenne en ce qui concerne la protection de la vie privée et des libertés au dans laquelle la protection devrait toujours passer avant les intérêts politiques. Il serait plus que nécessaire d arrêter ; ou au moins d infléchir ce mouvement sécuritaire qui s opère au détriment des libertés fondamentales, ce qui est d ailleurs une condition première pour l essor de l innovation dans le domaine des technologies de l information et de la communication. Contact : AEDH, Association Européenne pour la défense des Droits de l Homme 33, rue de la Caserne. B-1000 Bruxelles Tél : +32(0)25112100 Fax : +32(0)25113200 Email : aedh@aedh.eu