Intervention de Simon Sutour

Il y a un an, nous avons traité de la proposition de règlement général sur la protection des données, d'application immédiate. En mars 2012, le Sénat a adopté sur mon rapport une résolution sur la proposition de règlement général sur la protection des données. Sur notre initiative, le Sénat a aussi adopté un avis motivé au titre de la subsidiarité. Ce texte est encore loin d'être finalisé : le Parlement européen devrait se prononcer en avril. La présidence irlandaise semble vouloir parvenir à un accord, au moins partiel, d'ici juin.

Voici maintenant la proposition de directive, qui doit faire l'objet d'une transposition. Fixant le cadre de la protection des données dans le domaine de la coopération policière et de la coopération judiciaire en matière pénale, elle se substitue à une décision-cadre de 2008. Si notre commission adopte la proposition de résolution, celle-ci sera renvoyée à la commission des lois.

La décision-cadre de 2008 s'applique au seul traitement des données à caractère personnel transmises ou mises à disposition entre les États membres : le traitement des données par la police et la justice dans le cadre d'affaires pénales au niveau national en étant exclu, elle n'harmonise pas les niveaux de protection sur le territoire européen, qui voit donc coexister des régimes spécifiques différents (système d'information Schengen, Europol, traité de Prüm...)..

Les autorités de protection de données regroupées au sein du groupe de l'article 29, le G29, qui comprend notamment la Cnil, ont également jugé insuffisant l'encadrement des données sensibles et des transferts de données vers des Etats tiers, ainsi que le rôle qui leur est dévolu.

Nous ne sommes pas les moins bien dotés en cette matière. La loi « Informatique et libertés » s'appliquant à tous les traitements de données, quelle que soit leur finalité, nous garantit un niveau de protection adéquat au sens de la décision-cadre, qui n'a donc pas été transposée.

D'après le traité de Lisbonne, toute personne physique a le droit à la protection des données personnelles la concernant. Le traité a en outre créé une base juridique spécifique pour les données personnelles, qui comprend la coopération policière et la coopération judiciaire en matière pénale.

Nous souscrivons au choix de la Commission européenne de traiter ces questions dans un texte spécifique. Les questions pénales, profondément marquées par les traditions nationales, rendent difficile l'adoption d'un règlement.

Si la prise en compte des échanges entre Etats membres et à l'intérieur de chaque pays constitue un progrès, l'exclusion des traitements mis en oeuvre par les organismes européens tels qu'Europol, Eurojust ou Frontex rend les dispositifs peu cohérents et lisibles.

En outre, il pourra être difficile de déterminer, pour certains traitements, s'ils relèvent de la directive ou du règlement général. De nombreux fichiers de police administrative, qui relèveraient, en l'état, de la proposition de règlement, devraient logiquement relever de la proposition de directive, afin de garantir une cohérence des règles applicables à ces fichiers mixtes. Ainsi, le fichier national des interdits de stade (FNIS) est un fichier de police administrative, à finalité de sécurité publique.

Dans plusieurs domaines, le texte risque de diminuer les protections garanties par notre droit national. Nous demandons donc qu'une disposition expresse rappelle que la directive ne fournit qu'un seuil minimal de garanties et que les Etats membres peuvent assurer un niveau supérieur de protection.