Le Contrôleur européen de la protection des données a pointé des risques graves liés à la réforme envisagée du règlement Europol, notamment pour les personnes sans lien établi avec une enquête pénale.
Le CEPD (Contrôleur européen de la protection des données) a publié son avis l’été dernier sur la proposition de règlement de la Commission européenne visant à réformer l’Agence de l’Union européenne pour la coopération des services répressifs. Ce texte, qui remplacerait le règlement Europol de 2016, ambitionne de consolider le rôle de l’agence comme pôle d’information, pôle opérationnel et pôle de technologie et d’innovation, face à des menaces criminelles transfrontières jugées de plus en plus complexes. Une évolution qui s’accompagnerait mécaniquement d’un volume accru de données à caractère personnel traitées, ainsi que de nouvelles opérations de traitement portant sur d’autres catégories de données et de personnes concernées, y compris des individus n’ayant aucun lien établi avec des enquêtes ou des procédures pénales.
Des garanties jugées insuffisantes
Pour Wojciech Wiewiórowski, superviseur du CEPD, la réponse aux menaces modernes ne peut se faire au prix des droits fondamentaux. Il estime que la proposition crée des risques graves, en particulier concernant le traitement des données de personnes sans lien criminel établi, et appelle à des garanties solides ainsi qu’à une surveillance réelle.
Sur le papier, le CEPD ne conteste pas la nécessité de renforcer l’architecture de sécurité européenne, ni le rôle accru d’Europol dans le soutien aux services répressifs des États membres. Mais il insiste sur l’importance d’un niveau élevé de clarté et de sécurité juridiques, condition de la prévisibilité, de la transparence et de la responsabilité attachées aux nouveaux pouvoirs de traitement confiés à l’agence.
Sa principale préoccupation porte sur la possibilité, pour Europol, de traiter des données personnelles relatives à des individus sans lien établi avec des enquêtes ou procédures pénales, pendant une durée étendue et indéterminée. Le CEPD juge que la proposition, en l’état, ne prévoit ni garanties suffisantes ni mécanismes de surveillance et d’application adéquats de la législation européenne en matière de protection des données.
Des recommandations sur la finalité, la conservation et l’accès
Pour combler ces lacunes, le CEPD formule des recommandations portant sur la stricte limitation de la finalité et de la conservation des données, ainsi que sur la sécurité juridique et la prévisibilité des critères permettant à Europol de déterminer s’il est pertinent et nécessaire de traiter les données de personnes sans lien avec une activité criminelle. L’avis aborde également les règles d’accès et d’interrogation des systèmes Europol, le traitement de données obtenues directement auprès de parties privées, la surveillance des activités menées par le personnel d’Europol dans les États membres et la coopération du CEPD avec les autorités de contrôle nationales, mais aussi la sécurité des services et outils de l’agence.
