
En 2017, le Groupe de l’Article 29 (G29) a poursuivi ses travaux d’aide à l’interprétation et à l’application harmonisées de certains concepts clés du RGPD à l’attention des responsables de traitement et des sous-traitants.
Le Groupe 29 a ainsi adopté des lignes directrices très attendues concernant l’analyse d’impact relative à la protection des données (AIPD) et la manière de déterminer si le traitement est «susceptible d’engendrer un risque élevé» au sens du RGPD (WP 248).
Conformément à l’article 70, paragraphe 1, point e) du RGPD, le Comité européen de la protection des données (CEPD) pourra publier des lignes directrices, recommandations et bonnes pratiques afin d’encourager une application cohérente du RGPD. Les lignes directrices ayant pour objet d’anticiper les travaux futurs du CEPD, elles s’emploient à clarifier les dispositions pertinentes du RGPD afin de faciliter le respect de la législation par les responsables du traitement et de procurer une sécurité juridique aux responsables du traitement tenus d’effectuer une AIPD
En quelques mots, conformément à l’approche par les risques préconisée par le RGPD, il n’est pas obligatoire d’effectuer une AIPD pour chaque opération de traitement. Une AIPD n’est requise que lorsque le traitement est «susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques» (article 35, paragraphe 1). Afin de garantir une interprétation cohérente des situations dans lesquelles une AIPD est obligatoire (article 35, paragraphe 3), les lignes directrices s’attachent en premier lieu à éclaircir cet aspect et fournissent des critères pour les listes que les autorités de protection des données (APD) sont tenues d’adopter en vertu de l’article 35, paragraphe 4.
Ces lignes directrices s’efforcent dès lors de promouvoir la mise en place:
Le Groupe a également adopté des lignes directrices relatives au consentement (WP 259). Celles-ci s’appuient sur le précédent avis du Groupe 29 tout en mettant en lumière les nouvelles exigences requises par le RGPD.
Dans ses lignes directrices sur la transparence (WP 260), le Groupe insiste notamment sur le fait que cette obligation ne se limite pas à fournir aux personnes concernées les éléments d’information prévus aux articles 13 et 14 du RGPD (droit à l’information de la personne concernée) mais doit aussi s’entendre comme incluant une information de qualité et appropriée au contexte portant à la fois sur les traitements et sur l’existence et les modalités de l’exercice de leurs droits par les personnes concernées.
Le Groupe a également adopté des lignes directrices relatives à l’article 22 qui consacre l’interdiction des décisions purement automatisées, en ce compris le profilage (WP 251).
Ce qu’il faut entendre par « violations de données » (« data breach ») est également explicité dans des lignes directrices ainsi que les cas dans lesquels, en application des articles 33 et 34, celles-ci doivent être notifiées à l’autorité de contrôle ou communiquées à la personne concernée (WP 250).
Sur ces différents sujets, le Groupe 29 a organisé un second FAB-LAB (Fabrication Laboratory) avec des stakeholders de différents secteurs représentés notamment par leur fédération professionnelle pour tout à la fois ouvrir le dialogue sur les craintes et bénéfices entourent ces concepts et obligations et pour nourrir ses propres réflexions.
En matière de flux transfrontières, le Groupe 29 a mis à jour 3 documents existants pour tenir compte des spécificités contenues dans le RGPD. Ainsi, le référentiel relatif à l’adéquation (WP 254) a été revu de même que les référentiels BCR-Responsable de traitement (WP 256) et BCR-sous-traitant (WP 257).
Enfin, le Groupe a également adopté des lignes directrices relatives à l’application et la fixation des amendes administratives. Celles – ci visent à aider les autorités de contrôle, auxquelles il est destiné, à améliorer l’application du règlement et à mieux le faire respecter. Il reflète leur compréhension commune des dispositions de l’article 83 du règlement ainsi que son interaction avec les articles 58 et 70 et les considérants correspondants (WP 253).
Toutes ces lignes directrices ont, à l’exception de celles relatives aux amendes administratives, été soumises à consultation publique. Les résultats de celles-ci sont, à l’heure où ce rapport annuel est publié, déjà intégrés dans certaines des lignes directrices précitées. Les autres le seront dans un avenir proche.
A cet égard, c’est en 2017 que les versions définitives des lignes directrices adoptées en 2016 relatives à la désignation de l’autorité chef de file (WP 244), le délégué à la protection des données (WP 243) et le droit à la portabilité (WP 242) ont été revues après consultation publiques et ont été publiées dans leur version définitive.
Toutes ces lignes directrices sont disponibles sur le site Internet du Groupe 29.
Le Groupe 29 a également adopté un avis (WP 258) relatif à certaines dispositions de la Directive 2016/680/UE relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil (Directive PolJust) (WP 258). L’avis aborde quelques articles sur lesquels le Groupe entend donner un éclairage particulier compte tenu du champ d’application de la directive. En effet, nombre de dispositions de la directive reproduisent celles du RGPD et partant, sauf exceptions, le Groupe ne s’y attarde pas. Le Groupe a par contre fait le choix de commenter les articles relatifs à la durée de conservation (article 5), au traitement des données sensibles (article 10), aux décisions automatisées et au profilage (article 11), aux droits des personnes concernées ( articles 13 à 17), à la journalisation (article 25) ainsi qu’aux pouvoirs des autorités de contrôle (article 47).
Toujours dans le contexte de la réforme du cadre règlementaire, le Groupe 29 a rendu un avis (WP 247) sur le projet de règlement e-privacy destiné à se substituer à la directive 2002/58/CE (Directive communications électroniques).
De manière générale, le groupe de travail salue la proposition de règlement relatif au respect de la vie privée dans les communications électroniques présentée par la Commission européenne le 10 janvier 2017. Il se félicite que le choix se soit porté sur un règlement comme instrument réglementaire. Un règlement garantit en effet l’uniformité des règles dans toute l’Union européenne (UE) et permet en outre d’assurer la cohérence avec le règlement général sur la protection des données (RGPD). Cette cohérence est par ailleurs appuyée par le choix de confier à l’autorité chargée de surveiller le respect du RGPD la responsabilité du contrôle de l’application des règles relatives au respect de la vie privée dans les communications électroniques.
En même temps, le choix (maintien) d’un instrument juridique complémentaire est positif. La protection des communications confidentielles et de l’équipement terminal présente des caractéristiques particulières qui ne sont pas couvertes par le RGPD. À cet égard, le groupe de travail soutient fermement l’approche de principe retenue par le règlement proposé, consistant à prévoir des interdictions très vastes et des exceptions limitéesprévoir des interdictions très vastes et des exceptions limitées et à appliquer la notion de consentement de manière ciblée. Le groupe de travail se félicite également de l’extension du champ d’application du règlement proposé pour y inclure les opérateurs offrant des services de communication par contournement («over-the-top», OTT); il s’agit de services qui présentent des fonctions équivalentes aux moyens de communication plus traditionnels et peuvent donc avoir un effet similaire sur le respect de la vie privée et le droit à la confidentialité des communications des citoyens de l’UE. Il est également positif que le règlement proposé couvre clairement le contenu et les métadonnées associées et reconnaisse que les métadonnées peuvent révéler des informations très sensibles.
Le groupe de travail relève néanmoins quatre sources de préoccupation majeure. En ce qui concerne le suivi de la localisation de l’équipement terminal, les conditions dans lesquelles l’analyse du contenu et des métadonnées est autorisée, les paramètres par défaut de l’équipement terminal et des logiciels et l’accès subordonné à l’acceptation du suivi (tracking walls), le règlement proposé abaisserait le niveau de protection octroyé par le RGPD. Dans le présent avis, le groupe de travail formule des suggestions spécifiques pour veiller à ce que le règlement relatif à la vie privée et aux communications électroniques garantisse le même niveau de protection, ou un niveau plus élevé, en adéquation avec le caractère sensible des données de communications (tant pour le contenu que pour les métadonnées).
Deux thèmes sont épinglés ci-dessous : l’avis relatif au traitement des données sur le lieu de travail et les travaux liés au Bouclier de Sécurité (Privacy Shield).
Ce rapport annuel ne prétend pas présenter l’entièreté des travaux du Groupe 29. Les sujets sont multiples, les avis, et courriers nombreux et sur des thèmes variés que le lecteur averti peut retrouver sur le site du Groupe 29.
Deux thèmes sont épinglés ci-dessous : l’avis relatif au traitement des données sur le lieu de travail et les travaux liés au Bouclier de Sécurité (Privacy Shield).
Cet avis complète l’avis 8/2001 sur le traitement des données à caractère personnel dans le contexte professionnel (WP 48) et le document de travail de 2002 concernant la surveillance des communications électroniques sur le lieu de travail (WP 55) du groupe de travail. Depuis la publication de ces documents, un certain nombre de nouvelles technologies permettant de procéder à un traitement plus systématique des données à caractère personnel des employés sur le lieu de travail ont été adoptées, ce qui pose d’importants défis en matière de protection des données et de la vie privée. Partant, le groupe de travail procède à une nouvelle évaluation de l’équilibre entre les intérêts légitimes des employeurs et les attentes raisonnables des employés en matière de protection de la vie privée en décrivant les risques que posent les nouvelles technologies et en examinant la proportionnalité d’un certain nombre de scénarios dans lesquels elles pourraient être déployées.
Bien que s’intéressant principalement à la directive relative à la protection des données, le groupe de travail se penche également sur les obligations supplémentaires imposées aux employeurs par le RGPD.
Rappel : Le Bouclier de Protection des Données, mieux connu sous le nom de « Privacy Shield », est un mécanisme d’auto-certification pour les entreprises établies aux États-Unis qui a été reconnu par la Commission européenne comme offrant un niveau de protection adéquat aux données à caractère personnel transférées par une entité européenne vers des entreprises établies aux États-Unis. Depuis le 1er août 2016, le « Privacy shield », lequel se substitue au précédent « Safe Harbor » (Sphère de sécurité) est entré en vigueur. Il est désormais possible de s’y référer pour transférer des données personnelles vers les USA, à condition que les entreprises destinataires des données se soient préalablement inscrites sur le registre tenu par l’administration américaine. Au-delà de cette obligation formelle, les entreprises américaines devront respecter les obligations et les garanties de fond prévues par le « Privacy Shield».
Dès la signature du « Privacy Shield » le 12 juillet 2016, il était convenu que les autorités européennes de protection des données participeraient à la revue annuelle de ce cadre réglementaire. Après un premier bilan dressé par la Commission européenne en octobre, le Groupe 29 a également rendu son rapport.
Les autorités européennes de protection des données y reconnaissent les progrès réalisés par les autorités américaines pour répondre aux préoccupations européennes, elles n’en pointent pas moins une série de problèmes : l'absence d'accompagnement des entreprises américaines qui s'auto-déclarent « compatibles » avec les exigences posées dans le Privacy Shield, la carence d'information à destination des citoyens européens sur leurs droits et leurs possibilités de recours, le flou entourant les données professionnelles et le manque de surveillance des entreprises se disant en conformité par exemple. Un deuxième volet de critiques concerne les dérogations prévues au motif de la sécurité nationale. Le Groupe 29 exige davantage de transparence et de ciblage des programmes tels que le programme PRISM.
Elles exigent que leurs demandes prioritaires, en particulier la nomination d'un médiateur indépendant et une clarification du règlement, soient traitées d'ici au 25 mai 2018, date de l’entrée en application du RGPD. Elles demandent encore que l'ensemble de leurs critiques soient prises en considération d'ici la deuxième revue annuelle de l’accord.
Si le Groupe 29 n’exclut pas de porter l’affaire devant les juridictions nationales pur qu’à leur tour, elles saisissent les. Le lecteur averti notera que Digital Rights Ireland les a, dès 2016, devancé en saisissant la justice européenne pour obtenir l’annulation de la décision d’adéquation « Privacy Shield ». Trois associations françaises lui ont depuis, emboité le pas.
Rappel : La Convention 108 pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel crée un Comité consultatif notamment chargé de rendre des avis sur toute question relative à l’application de la convention. La Commission vie privée participe aux travaux de ce Comité aux côtés du SPF Justice.
En 2017, le Comité a adopté des lignes directrices sur la protection des personnes à l’égard du traitement des données à caractère personnel à l’ère des mégadonnées (Big Data). En introduction de ses lignes directrices, le Comité consultatif de la Convention 108 indique que les méga données (Big data) changent notre façon de comprendre la société. Elles révèlent des perspectives nouvelles et offrent des opportunités en matière d’innovation, d’amélioration de la productivité et de participation sociale.
Les Lignes directrices adoptées visent les mégadonnées qui reposent sur le traitement de données à caractère personnel. Elles sont destinées à aider les décideurs politiques et les entités qui traitent ces données, en vue de garantir que les personnes restent au centre de nos économies digitales et que leurs droits et libertés fondamentales soient respectés. La nature même des mégadonnées peut influer sur l’application des principes traditionnels de protection des données, tel que le principe de finalité ou de minimisation des données. L’objectif est donc de limiter les risques que l’utilisation de mégadonnées comporte pour les droits des personnes concernées. Ces risques sont principalement liés au caractère potentiellement biaisé de l’analyse des données, à la sous-estimation des implications juridiques, sociales et éthiques du recours aux mégadonnées pour prendre des décisions et à la marginalisation d’une participation effective et éclairée des personnes à ces processus. Les lignes directrices visent à offrir des garanties aux personnes concernées. Il est notamment primordial d’assurer que l’autonomie personnelle et le droit de contrôler ses données personnelles soient garantis et que chacun puisse en jouir dans un contexte de méga données. Compte tenu de l’ampleur expansive des mégadonnées, aux applications propres à divers secteurs, les présentes lignes directrices énoncent des orientations générales qui pourraient être complétées par d’autres orientations et des bonnes pratiques adaptées relatives à la protection des personnes dans des domaines d’application spécifiques des mégadonnées (comme dans le secteur de la santé, de la finance ou le secteur public, notamment pour les autorités chargées de l’application de la loi).
Le Comité a par ailleurs rendu >deux avis sur des demandes d’adhésion du Mexique et de l’Argentine à la Convention 108. Ce Comité est en effet ouvert à l’adhésion par des Etats tiers au Conseil de l’Europe. En 2017, 9 pays non membres du Conseil de l’Europe avaient signé la Convention (Argentine, Burkina Faso, Cap vert, Maroc, Maurice, Mexique, Sénégal, Tunisie, Uruguay) ce qui porte à 51 le nombre d’Etats Parties à celle-ci dans le monde et matérialise, chaque année un peu plus, la vocation universelle de ce document.
Le Comité a également poursuivi ses travaux relatifs aux thèmes suivants : le projet de recommandation sur la protection des données relatives à la santé, le Guide sur l’utilisation des données à caractère personnel dans le secteur de la police, le Guide sur les principes de protection de la vie privée et des données pour le traitement des données en rapport avec l’ICANN (« Internet Corporation for Assigned Names and Numbers »).
Le Comité a par ailleurs coopéré avec d’autres instances du Conseil de l’Europe, étant consulté par ces derniers sur les questions de protection des données survenant le cadre de leurs propres travaux, en particulier ceux du Comité directeur sur les médias et la société de l’information (CDMSI) et de son Comité d’experts sur les intermédiaires de l’internet (MSI-NET), mais aussi du Comité ad hoc pour les droits de l’enfant (CAHENF), du Comité de la Convention sur la cybercriminalité (T-CY), du Comité de bioéthique (DH-BIO) et de la Commission européenne pour l’efficacité de la justice (CEPEJ) dans le domaine de la justice prédictive. A ce dernier égard, le Comité a indiqué son souhait de participer activement à ces travaux relatifs à la justice prédictive en 2018.
En 2018, le Comité poursuivra ses travaux en cours et ajoutera également à ceux – ci la préparation d’un rapport préliminaire sur l’intelligence artificielle.
Sans qu’il ne s’agisse à proprement parler des travaux du Comité consultatif de la Convention 108, nous souhaitons ici informer le lecteur sur l’état d’avancement de la Convention 108 modernisée. Pour rappel, le Conseil de l’Europe a entamé un processus de modernisation de la Convention 108 depuis plusieurs années déjà. Dans un premier temps , le Comité consultatif de la Convention 108 a préparé un projet de convention révisée lequel a ensuite été soumis au Comité intergouvernemental adhoc (CAHDATA) chargé de la préparation d’un projet de Convention modernisée. L’ambition du Conseil de l’Europe est d’adopter un protocole d’amendement à la Convention 108 à laquelle se substituerait le nouveau texte de la Convention modernisée. Cette solution juridique présuppose néanmoins l’adhésion de toits les Parties à ce protocole d’amendement. A l’heure de la rédaction de ce rapport annuel, les chances de voir se concrétiser ce projet semblent compromises.
La Conférence internationale des commissaires à la protection des données s’est déroulée à Hong Kong à la fin du mois de septembre 2017. A l’automne de chaque année, la ICDPPC réunit non pas uniquement les représentants des autorités de protection des données, mais aussi des juristes, avocats, chercheurs, professeurs d’université, techniciens. Y participent également des acteurs du monde économique (telles des sociétés actives dans le domaine des médias, des télécommunications ou du marketing), de l’industrie et de la société civile (associations de consommateurs, ONG). Pour tous, la Conférence est l’occasion de s’informer, d’échanger sur le thème de la protection de la vie privée, de débattre de questions suscitant un intérêt commun ou d’identiques préoccupations ainsi que de réfléchir aux enjeux pour l’avenir et d’envisager de possibles solutions et modalités de coopération. Outre les sessions publiques ouvertes à tous, des sessions à huis clos sont réservées aux autorités de protection des données. Au terme de ces sessions restreintes, des résolutions exprimant le point de vue de la "communauté des autorités de protection des données" sont adoptées sur des thèmes d’actualité.
Trois résolutions ont été adoptées à l’issue de la Conférence d’Hong Kong.
La première résolution traite de la protection des données dans les véhicules automatisés et connectés.
La Conférence y souligne au titre de ses préoccupations qu’une vaste collecte de données transmises dans un système de véhicules connectés incluant un système de transport intelligent coopératif peut non seulement entraîner l’accumulation des profils de déplacement de particuliers, mais aussi créer de grandes quantités de données concernant l’évaluation des comportements relatifs à la conduite, qui pourraient constituer des renseignements valables pour certaines entités, par exemple les compagnies d’assurance automobile, les constructeurs de véhicules, les publicitaires et les organismes d’application de la loi et de la sécurité routière, en particulier lorsque les données seront personnalisées, par exemple par l’utilisation d’identificateurs de véhicule de diffusion. Elle se déclare également préoccupée par le manque de mécanismes d’information, de choix pour les utilisateurs, de contrôle de données et de consentement valide qui permettraient aux propriétaires, aux conducteurs et aux passagers de véhicules, aux autres usagers de la route et aux piétons de contrôler l’accès aux données des véhicules et aux données relatives à la conduite, ainsi que leur utilisation.
Partant, la Conférence appelle tous les destinataires de sa recommandation (organismes de normalisation, aux autorités publiques, constructeurs de véhicules, fabricants d’équipement et fournisseurs de services axés sur les données, à respecter intégralement les droits fondamentaux à la protection de leurs données personnelles et de leur vie privée des utilisateurs, et à en tenir compte comme il se doit à toutes les étapes de la création et du développement de nouveaux dispositifs ou services. La résolution liste une série de points d’attention particulièrement importants pour rencontrer cet impératif.
La deuxième résolution porte sur la collaboration entre les autorités chargées de la protection des données et les autorités de protection des consommateurs pour une meilleure protection des citoyens et des consommateurs dans l’économie numérique. Cette résolution a été proposée par la Commission de la protection de la vie privée (CPVP), au départ du constat qu’un rapprochement entre ces autorités serait de nature à accroitre la protection du « consommateur numérique ».
Pour améliorer la collaboration entre ces autorités afin de fournir une meilleure protection aux citoyens et consommateurs dans l’économie numérique, la Conférence a donc mis sur un pied un Groupe de Travail dénommé « Citoyens et Consommateurs Numériques » auquel, principalement, la mission est confiée (a) de développer et compléter les initiatives existantes, examiner les opportunités de collaboration ultérieures au niveau international entre les autorités chargées de la protection des données et les autorités de protection des consommateurs et ce avec des réseaux internationaux de groupes de consommateurs; (d) d’analyser et évaluer les instruments et procédures juridiques existants afin d’examiner comment les données personnelles des citoyens et des consommateurs pourraient être protégées efficacement dans le cadre des conditions générales, particulièrement pour les consommateurs de produits et services numériques et Identifier d’éventuelles améliorations des instruments internationaux pour introduire et/ou modifier des conditions générales ; et (c) d’examiner dans quelle mesure les autorités de protection des consommateurs et les autorités chargées de la protection des données et d’autres organismes compétents (par exemple en matière de concurrence) chargés de règlementer les marchés numériques pourraient collaborer en utilisant des cadres législatifs existants.
Un premier rapport du Groupe de travail « Citoyens et Consommateurs Numériques » est attendu à la 40ème Conférence internationale sur l'état de la situation juridique et matérielle concernant ces sujets et d'autres sujets pertinents ainsi que, le cas échéant, un projet de résolution proposant des mesures spécifiques ou d'autres travaux futurs.
Enfin, la troisième résolution adoptée porte sur l’exploration des possibilités futures en matière de coopération transfrontière dans l’application des lois (enforcement).
Cette résolution est également particulièrement suivie par la Commission vie privée. Elle s’inscrit dans le prolongement de l’adoption de l’ Arrangement global de coopération transfrontière dans l’application des lois ( global cross border enforcement cooperation Arrangement) adopté lors de la 36ème conférence internationale.
Aux termes de celle-ci, la Conférence prend acte de l’avancement des travaux des différentes groupes de travail visant à améliorer la coopération internationale en matière d’enforcement, notamment l’établissement de principes clés en matière de coopération, le relevé des outils et initiatives existantes en matière coopération ainsi que des modifications apportées à l’Arrangement (en vigueur dans sa version modifiée le 1er janvier 2018).
Le consentement d’un abonné téléphonique à la publication de ses données couvre également l’utilisation de celles-ci dans un autre État membre
La société belge European Directory Assistance (EDA) offre des services de renseignements téléphoniques et d’annuaire accessibles depuis le territoire belge. Elle a demandé aux entreprises qui attribuent des numéros de téléphone à des abonnés aux Pays-Bas (à savoir Tele2, Ziggo et Vodafone Libertel) de mettre à sa disposition les données relatives à leurs abonnés. EDA a invoqué à cet égard une obligation prévue dans la législation néerlandaise, qui est elle-même une transposition de la directive européenne relative au "service universel". Estimant qu’elles n’étaient pas tenues de fournir les données en question à une entreprise établie dans un autre État membre, ces entreprises ont refusé de fournir les données demandées.
Saisi du litige, le College van Beroep voor het bedrijfsleven (cour d’appel du contentieux administratif en matière économique, Pays-Bas) a soumis deux questions préjudicielles à la Cour de justice :
Dans son arrêt, la Cour déclare que la directive "service universel" couvre également toute demande faite par une entreprise établie dans un État membre autre que celui dans lequel les entreprises qui attribuent des numéros de téléphone à des abonnés sont établies. La directive impose que la mise à disposition soit faite de manière non discriminatoire. Cette façon de procéder est conforme à l’objectif poursuivi par la directive, qui vise à assurer la disponibilité, dans toute l’Union, de services de bonne qualité accessibles au public grâce à une concurrence et à un choix effectifs. En outre, le refus de mettre les données relatives à des abonnés à la disposition des demandeurs établis dans un autre État membre serait incompatible avec le principe de non-discrimination.
En ce qui concerne la deuxième question, la Cour se réfère à sa jurisprudence antérieure. Dès lors qu’un abonné a été informé par l’entreprise lui ayant attribué un numéro de téléphone de la possibilité que ses données à caractère personnel soient transmises à une entreprise tierce en vue de leur publication dans un annuaire public et qu’il a consenti à cette publication, l’abonné en question ne doit pas de nouveau consentir à la transmission de ces mêmes données à une autre entreprise, s’il est garanti que les données concernées ne seront pas utilisées à des fins autres que celles pour lesquelles elles ont été collectées en vue de leur première publication.
La Cour déclare que l’accord prévu sur le transfert des données des dossiers passagers, prévu entre l’Union européenne et le Canada, ne peut pas être conclu sous sa forme actuelle en raison de son incompatibilité avec les droits fondamentaux reconnus par l’Union.
L’Union européenne a négocié avec le Canada un accord portant sur le transfert et le traitement de données des dossiers passagers (accord PNR). Cet accord a été signé en 2014. Le Conseil de l’Union européenne ayant demandé au Parlement européen de l’approuver, ce dernier a décidé de saisir la Cour de justice pour savoir si l’accord envisagé était conforme au droit de l’Union et, en particulier, aux dispositions relatives au respect de la vie privée ainsi qu’à la protection des données à caractère personnel.
L’accord PNR permet le transfert systématique et continu des données PNR de l’ensemble des passagers aériens à une autorité canadienne en vue de leur utilisation et de leur conservation, ainsi que de leur éventuel transfert ultérieur à d’autres autorités et d’autres pays tiers, dans le but de lutter contre le terrorisme et les formes graves de criminalité transnationale. À cet effet, l'on prévoit une durée de stockage des données de cinq ans, des exigences en matière de sécurité et d'intégrité, un masquage immédiat des données sensibles, un droit d'accès aux données, la rectification et l'effacement et la possibilité d'introduire des recours administratifs ou judiciaires.
Les données PNR peuvent, entre autres, révéler un itinéraire de voyage complet, des habitudes de voyage, des relations existant entre deux ou plusieurs personnes ainsi que des informations sur la situation financière des passagers aériens, leurs habitudes alimentaires ou leur état de santé, voire fournir des informations sensibles sur ces passagers. En outre, les données PNR transférées sont destinées à être analysées de manière systématique avant l’arrivée des passagers au Canada par des moyens automatisés, fondés sur des critères préétablis. De telles analyses sont susceptibles de fournir des informations supplémentaires sur la vie privée des passagers, et ce pendant une très longue durée.
La Cour relève que le transfert des données PNR de l’Union vers le Canada ainsi que les règles sur la conservation des données, leur utilisation et leur éventuel transfert ultérieur à des autorités publiques canadiennes, européennes ou étrangères comportent une ingérence dans le droit fondamental au respect de la vie privée et à la protection des données à caractère personnel. La Cour examine ensuite si ces ingérences peuvent être justifiées par la poursuite d’un objectif d’intérêt général (la lutte contre le terrorisme et la criminalité transnationale grave) et si le transfert des données PNR vers le Canada et le traitement ultérieur de celles-ci sont des moyens appropriés pour réaliser cet objectif.
S’agissant du caractère nécessaire des ingérences, la Cour considère que plusieurs dispositions de l’accord ne sont pas limitées au strict nécessaire et ne prévoient pas des règles claires et précises. En particulier, la Cour relève que les parties à l’accord ont admis la possibilité d’un transfert des données sensibles vers le Canada, sans justification précise et particulièrement solide.
S’agissant de l’utilisation des données PNR pendant le séjour des passagers aériens au Canada, la Cour relève qu'après vérification de leurs données PNR, ces passagers aériens ont été admis à entrer sur le territoire de ce pays tiers, de sorte que l’utilisation de ces données pendant leur séjour au Canada doit se fonder sur des circonstances nouvelles justifiant cette utilisation. Dans ce cadre, on a donc besoin de règles prévoyant les conditions matérielles et procédurales régissant une telle utilisation afin, notamment, de protéger les données concernées contre les risques d’abus. On ne peut y déroger qu'en cas d'urgence, moyennant une justification en bonne et due forme.
Après le départ des passagers aériens du Canada, le stockage continu des données PNR de l’ensemble des passagers aériens n’est pas limité au strict nécessaire. En effet, s’agissant des passagers aériens pour lesquels un risque en matière de terrorisme ou de criminalité transnationale grave n’a pas été identifié à leur arrivée au Canada et jusqu’à leur départ de ce pays, il n’apparaît pas exister, une fois qu’ils sont repartis, de rapport, ne serait-ce qu’indirect, entre leurs données PNR et l’objectif poursuivi par l’accord envisagé, qui justifierait la conservation de ces données. En revanche, un stockage des données PNR des passagers aériens pour lesquels sont identifiés des éléments objectifs permettant de considérer qu’ils pourraient, même après leur départ du Canada, présenter un risque en termes de lutte contre le terrorisme et la criminalité transnationale grave est admissible au-delà de leur séjour dans ce pays, même pour une durée de cinq ans. L’utilisation des données PNR est alors soumise aux mêmes conditions que celles concernant l’utilisation des données PNR pendant le séjour des passagers aériens au Canada.
La Cour considère également que d’autres dispositions de l’accord envisagé sont incompatibles avec les droits fondamentaux, à moins que celui-ci ne soit révisé pour mieux encadrer et préciser les ingérences. La Cour en conclut que l’accord envisagé ne peut pas être conclu sous sa forme actuelle.
Les réponses écrites fournies lors d’un examen professionnel et les éventuelles annotations de l’examinateur relatives à ces réponses constituent des données à caractère personnel du candidat auxquelles il a, en principe, un droit d’accès.
Peter Nowak a échoué à un examen professionnel organisé par l’Institute of Chartered Accountants of Ireland ("CAI") et a introduit une réclamation en 2009 visant à contester le résultat de cet examen. À la suite du rejet de cette réclamation, il a présenté une demande d’accès visant l’ensemble des données à caractère personnel le concernant, détenues par le CAI. En 2010, le CAI a communiqué à monsieur Nowak 17 documents, mais a refusé de lui transmettre sa copie d’examen, au motif que celle-ci ne contenait pas de données à caractère personnel.
Devant la Supreme Court (Cour suprême, Irlande), monsieur Nowak conteste la décision du commissaire à la protection des données selon laquelle, de manière générale, les copies d’examen ne constituent pas des données à caractère personnel. Cette juridiction demande à la Cour de justice si les réponses écrites fournies par un candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur s’y rapportant constituent de telles données.
Dans son arrêt, en premier lieu, la Cour souligne qu’un candidat à un examen professionnel est une personne physique qui peut être identifiée soit directement à partir de son nom, soit indirectement à partir d’un numéro d’identification, le nom ou le numéro étant apposés sur la copie d’examen ou le feuillet de couverture de la copie. Il est sans incidence, dans ce contexte, que l’examinateur puisse ou non identifier le candidat au moment de la correction et de la notation de la copie d’examen.
En second lieu, la Cour vérifie si les réponses écrites fournies par le candidat lors d’un examen professionnel et les éventuelles annotations de l’examinateur s’y rapportant constituent des informations concernant ce candidat. Elle précise à cet égard que l’emploi de l’expression "toute information" dans le cadre de la définition de la notion de "donnée à caractère personnel" figurant dans la directive reflète l’objectif du législateur de l’Union d’attribuer un sens large à cette notion, laquelle n’est pas restreinte aux informations sensibles ou d’ordre privé, mais englobe potentiellement toutes sortes d’informations, tant objectives que subjectives, sous forme d’avis ou d’appréciations, à condition que celles-ci "concernent" la personne en cause. Cette dernière condition est satisfaite lorsque, en raison de son contenu, sa finalité ou son effet, l’information est liée à une personne déterminée. Les réponses écrites fournies par un candidat à un examen professionnel constituent dès lors de telles informations liées à sa personne.
En effet, le contenu de ces réponses reflète le niveau de connaissance et de compétence du candidat dans un domaine donné ainsi que, le cas échéant, ses processus de réflexion, son jugement et son esprit critique. En outre, la collecte des réponses a pour finalité d’évaluer les capacités professionnelles du candidat et son aptitude à exercer le métier en cause. Enfin, l’utilisation de ces informations, qui se traduit notamment par le succès ou l’échec du candidat à l’examen concerné, est susceptible d’avoir un effet sur les droits et intérêts de celui-ci, en ce qu’elle peut déterminer ou influencer, par exemple, ses chances d’accéder à la profession ou à l’emploi souhaités.
S’agissant des annotations de l’examinateur relatives aux réponses du candidat, la Cour constate qu’elles constituent des informations le concernant. Ainsi, le contenu de ces annotations reflète l’avis ou l’appréciation de l’examinateur sur les performances individuelles du candidat lors de l’examen, notamment sur ses connaissances et ses compétences dans le domaine concerné.
La Cour constate en outre que les droits d’accès et de rectification peuvent également se justifier par rapport aux réponses écrites fournies par le candidat lors d’un examen professionnel et aux éventuelles annotations de l’examinateur s’y rapportant. Il est possible qu’il y ait des situations dans lesquelles ces réponses et ces annotations se révèlent inexactes, par exemple, du fait que, par erreur, les copies d’examen ont été échangées de sorte que les réponses d’un autre candidat ont été attribuées au candidat concerné. Par ailleurs, il ne saurait être exclu qu’un candidat a le droit de demander au responsable du traitement des données que ses réponses à l’examen et les annotations de l’examinateur s’y rapportant soient, après une certaine période de temps, effacées.
Enfin, la Cour précise que ces droits d’accès et de rectification ne s’étendent pas aux questions d’examen, lesquelles ne constituent pas en tant que telles des données à caractère personnel du candidat. Par ailleurs, la Cour rappelle que le droit de l’Union prévoit certaines limitations de ces droits. Ainsi, les États membres peuvent prendre des mesures législatives visant à limiter la portée des obligations et des droits prévus, lorsqu’une telle limitation constitue une mesure nécessaire pour sauvegarder les droits et libertés d’autrui.