– EXPOSÉ DES MOTIFS – L’évolution rapide des technologies de l'information et de la communication offre régulièrement de nouveaux défis pour garantir la protection des données à caractère personnel. Le Luxembourg protège ces données depuis plus de quarante ans, notamment en tant que Partie à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel STE n° 108 (ci-après « Convention 108 »), premier instrument international juridiquement contraignant en la matière, et à son Protocole additionnel concernant les autorités de contrôle et les flux transfrontières de données STE n°181 (ci-après « Protocole additionnel 181 »). Le processus de modernisation de la Convention 108 a abouti à l’adoption du texte du Protocole d'amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel STCE n°223 (ci-après « le Protocole ») par le Comité des Ministres du Conseil de l’Europe. Outre la modernisation de cette convention, le Protocole vise à renforcer l’effectivité de sa mise en œuvre en attribuant notamment de nouvelles compétences au Comité conventionnel, telles que l’évaluation, le suivi de la mise en œuvre et l’émission de recommandations. Certes, la Convention 108 n’est pas l’unique instrument européen contraignant en matière de données à caractère personnel, mais elle présente deux spécificités remarquables : d’une part, son champ d’application matériel est plus large que celui du cadre juridique de l’Union européenne (ci-après « UE ») en la matière, et d’autre part, elle est ouverte à l’adhésion non seulement des États membres du Conseil de l’Europe, mais aussi de tout autre pays. Aussi, elle possède une double vocation : la circulation des flux de données, tout en protégeant un très large ensemble de données à caractère personnel, et un rayonnement au niveau mondial. Les travaux ayant abouti au Protocole ont été élaborés en parallèle avec ceux ayant modernisé le cadre juridique de l’UE en matière de protection des données à caractère personnel, en prenant soin d’assurer la cohérence entre les dispositions respectives. La Convention 108, telle que modernisée par le Protocole, présentera un moindre niveau de détail que le règlement (UE) 2016/6791 (« RGPD ») et que la directive (UE) 2016/6802 (dite « Police – Justice »), mais elle reposera néanmoins sur les mêmes principes et offrira les mêmes droits aux personnes physiques. La bonne articulation entre les deux cadres concernant les activités régies par le droit de l’UE est confirmée. D’ailleurs, le Conseil de l’UE a 1 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) 2 Directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil Page 1 sur 6 autorisé les États membres à ratifier le Protocole dans l’intérêt de l’UE3, pour domaines relevant de sa compétence exclusive, après autorisation du Parlement européen
- La Convention 108, telle que modernisée par le Protocole, englobera aussi des activités n’entrant pas dans le champ d’application du droit de l’UE, telles que la sécurité nationale et la défense. La loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale, qui transpose notamment la directive « Police – Justice », encadre aussi ces activités, et, l’article 1er de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données comprend les activités qui n’entreraient ni dans le champ du RGPD, ni dans le champ de la loi du 1er août 2018 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel en matière pénale ainsi qu’en matière de sécurité nationale. Ainsi, le large champ d’application de la Convention 108, telle que modernisée par le Protocole, est d’ores et déjà encadré par le droit interne et son approbation confirmerait donc les engagements de notre pays en matière de protection des données à caractère personnel. *** Le Protocole se compose d’un préambule, de quarante articles et d’une annexe portant sur des éléments pour le règlement intérieur du comité conventionnel. Le préambule du Protocole évoque les nouveaux défis qui ont vu le jour en matière de protection des données à caractère personnel depuis l’adoption de la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel STE n° 108 (ci-après « Convention 108 »). Il réaffirme la nécessité que celle-ci continue à jouer un rôle prééminent en la matière, mais aussi de façon plus générale, dans la protection des droits de l’Homme et des libertés fondamentales. L’article 1er du Protocole porte modification du préambule de la Convention
- Il réaffirme l’engagement des États signataires à la Convention 108 en faveur des droits de l’homme et des libertés fondamentales. Il ajoute une référence à la dignité humaine et à l’autonomie personnelle, en tant que composantes essentielles de la protection des données à caractère personnel. Puis, il rappelle que le droit à la protection des données à caractère personnel doit être concilié avec d’autres droits ou libertés fondamentales, tels que la liberté d’expression et le droit d’accès du public aux documents officiels. Il souligne la nécessité, à l’échelle mondiale, d’une promotion du respect de la vie privée et d’une protection des données à caractère personnel, afin de favoriser les flux internationaux de données tout en les sécurisant au regard 3 Décision (UE) 2019/682 du Conseil du 9 avril 2019 autorisant les États membres à ratifier, dans l'intérêt de l'Union européenne, le protocole d'amendement à la convention du Conseil de l'Europe pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel 4 Résolution législative du Parlement européen du 12 mars 2019 sur la proposition de décision du Conseil autorisant les États membres à ratifier, dans l’intérêt de l’Union européenne, le protocole d’amendement à la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (10923/2018 – C8-0440/2018 – 2018/0238(NLE)) Page 2 sur 6 des valeurs fondamentales. Enfin, il prône l’intensification de la coopération internationale entre les Parties à la Convention
- L’article 2 du Protocole modifie l’article 1er de la Convention 108, lequel définit l’objet et le but de celle-ci. Il est possible de relever deux suppressions. D’une part la référence au « territoire de chaque Partie » est supprimée, ce qui fait sens dans un contexte de déterritorialisation des données et d’application extraterritoriale du cadre juridique de l’Union européenne (« UE ») en matière de protection des données. D’autre part, la référence au caractère automatisé du traitement des données, afin d’élargir l’objet de la Convention 108 aux traitements non automatisés (par exemple : les traitements manuels dans des systèmes d’archivage structurés, prenant la forme de dossiers papiers). L’article 3 du Protocole actualise la liste des définitions énoncées à l’article 2 de la Convention
- Les notions de « données à caractère personnel » et « personne concernée » restent inchangées. En revanche, le concept de « fichier » est supprimé. Le terme de « maître du fichier » est remplacé par celui de « responsable du traitement » et ceux de « soustraitant » et de « destinataire » sont ajoutés, se rapprochant ainsi de la terminologie du règlement (UE) 2016/679 (« RGPD »). L’article 4 du Protocole modifie l’article 3 de la Convention 108 concernant son champ d’application. En ce qui concerne son champ d’application matériel, la portée générale de la Convention 108 est confirmée : elle concerne les traitements de données personnelles intervenant indistinctement dans les secteurs public et privé. Par comparaison au droit de l’UE, ce champ englobe aussi, par exemple, les données traitées dans le cadre des activités de sécurité nationale ou de défense. De plus, son champ d’application est élargi par certains aspects : tel qu’il a déjà été indiqué ci-dessus la Convention 108 modernisée s’applique à présent à la fois aux traitements automatisés ou non de données à caractère personnel ; et il est restreint par d’autres aspects : le présent Protocole exclut du champ d’application de la Convention « le traitement de données effectué par une personne dans le cadre d’activités exclusivement personnelles ou domestiques », à l’instar du RGPD. Par ailleurs, le Protocole permet une unification du champ d’application : il rompt avec l’application « à géométrie variable » selon laquelle les Parties pouvaient, par déclaration, exclure l’application de la Convention 108 à certains domaines compris par celle-ci, ou au contraire étendre son application à des domaines que celle-ci n’encadre pas. Enfin, l’article 4 confirme l’évolution indiquée ci-dessus concernant son champ d’application géographique (cf. la suppression des termes « aux traitements de données relevant de sa juridiction »). L’article 5 du Protocole modifie l’intitulé du chapitre II de la Convention 108 concernant les principes de base pour la protection des données à caractère personnel. L’article 6 du Protocole modifie l’article 4 de la Convention 108 en vue de renforcer l’engagement des Parties : celles-ci doivent prendre les mesures nécessaires, non seulement, pour donner effet aux dispositions de la Convention 108, telle que modernisée par le Protocole, mais aussi, pour en assurer l’application effective. En particulier, elles doivent contribuer activement au nouveau mécanisme d’évaluation qui est mis en place. Page 3 sur 6 L’article 7 du Protocole complète l’intitulé de l’article 5 de la Convention 108 et précise et actualise les principes clés de la protection des données personnelles, dans le prolongement des développements du RGPD. En effet, il réaffirme les principes de licéité, de loyauté, de limitation des finalités, de minimisation des données, d’exactitude et de limitation de la conservation. Il précise les principes de licéité et de proportionnalité et pose expressément le principe de transparence du traitement, en lien avec la loyauté de traitement. L’article 8 du Protocole modifie l’article 6 de la Convention 108 au sujet des catégories particulières de données, dites « sensibles », qui bénéficient d’un régime de protection renforcé en raison des risques encourus par leur traitement (par exemple : discrimination). Le catalogue de ces données est élargi aux données génétiques, aux données biométriques, aux données qui révèlent l’origine ethnique ou l’appartenance syndicale, ainsi qu’aux données concernant, non seulement, des condamnations pénales, mais aussi, des infractions, des procédures pénales et des mesures de sureté connexes. L’article 9 du Protocole modifie l’article 7 de la Convention 108 qui traite de la sécurité des données. Il précise qu’il appartient au responsable du traitement et, le cas échéant, au soustraitant, de prendre des mesures de sécurité appropriées. Il ajoute une nouvelle obligation à la charge du responsable du traitement : il doit notifier les violations des données, sans délai excessif, à tout le moins, à l’autorité de contrôle compétente. Cette exigence est limitée aux violations de données susceptibles de porter gravement atteinte aux droits et libertés fondamentales des personnes concernées. Cette obligation est d’ailleurs aussi prévue par le RGPD. L’article 10 du Protocole introduit un nouvel article 8 à la Convention 108, intitulé « transparence du traitement ». Cet article s’inscrit dans la réaffirmation et la précision des principes mentionnées ci-dessus. Il ajoute une obligation pour le responsable de traitement, qui est tenu d’informer les personnes concernées d’une série d’éléments. Il limite cette obligation de transparence, au cas où les données ne sont pas collectées directement auprès des personnes concernées, à condition que : la loi prévoit expressément ce traitement ou que la fourniture de ces informations se révèle impossible ou implique des efforts disproportionnés. L’article 11 du Protocole modifie l’article 8, qui devient l’article 9 de la Convention 108, et renforce les droits des personnes concernées. Il précise les droits d’accès, de rectification, à l’effacement et à un recours. Il ajoute un droit à ne pas être soumis « à une décision l’affectant de manière significative, qui serait prise uniquement sur le fondement d’un traitement automatisé de données, sans que son point de vue soit pris en compte », ce qui est pertinent notamment en cas de profilage d’individus. Il ajoute aussi le droit d’opposition et à l’assistance d’une autorité de contrôle dans l’exercice de ses droits. L’article 12 du Protocole introduit un nouvel article 10 à la Convention 108, intitulé « obligations complémentaires ». Cet article intègre la notion de « responsabilité » au dispositif de la Convention
- En effet, il prévoit de nouvelles obligations à la charge des responsables de traitement, et, le cas échéant, des sous-traitants, en particulier concernant Page 4 sur 6 les mesures techniques et organisationnelles à adopter eu égard aux risques d’atteinte aux droits et libertés fondamentales, dès la conception. L’article 13 du Protocole modifie la numérotation des articles 9 à 12 de la Convention 108, qui deviennent les articles 11 à 14 respectivement. L’article 14 du Protocole modifie ce qui devient l’article 11 de la Convention 108 portant sur les exceptions et les restrictions. Il énumère de manière limitative les exceptions et restrictions susceptibles d’être apportées à certaines dispositions de la Convention
- En effet, les droits énoncés par la Convention 108 ne sont pas absolus : ils peuvent être limités lorsque ceci est prévu par la loi et constitue une mesure nécessaire dans une société démocratique. Ces exceptions se fondent sur des motifs spécifiques et limités, dont la liste a été élargie (« objectifs essentiels d’intérêt public », droit à la liberté d’expression, fins de sécurité nationale et de défense) – tout en gardant à l’esprit que la Convention 108, telle que modernisée par le Protocole, ne permet plus d’exclure certains types de traitement du champ d’application de la convention. L’article 15 du Protocole modifie ce qui devient l’article 12 de la Convention
- Il rappelle l’engagement des États parties à établir des sanctions et des recours appropriés afin de garantir l’application effective de cette convention. Il précise la nature des recours visés : ils peuvent être juridictionnels et non juridictionnels. L’article 16 du Protocole modifie l’intitulé du chapitre III de la Convention 108 concernant les flux transfrontières de données à caractère personnel. L’article 17 du Protocole modifie ce qui devient l’article 14 de la Convention
- Il vise à faciliter la libre circulation des données à caractère personnel dans le cadre de ces flux, tout en assurant un niveau de protection adéquat aux personnes concernées. D’une part, il précise le cadre des transferts de données entre les États parties, lesquelles peuvent circuler, sauf s’il existe des règles spécifiques concernant les États membres à une organisation régionale (par exemple : le RGPD). D’autre part, il intègre l’article 2 du Protocole additionnel concernant les autorités de contrôle et les flux transfrontières de données STE n°181 (ci-après « Protocole additionnel 181 ») : il interdit les flux transfrontières de données personnelles vers un pays tiers à la Convention 108 à moins que le pays destinataire ne présente des garanties en faveur d’un niveau de protection approprié, selon les modalités énoncées dans cette disposition. L’article 18 du Protocole introduit un nouveau chapitre IV à la Convention 108 concernant les autorités de contrôle. L’article 19 du Protocole introduit un nouvel article 15 à la Convention 108 et intègre l’article 1 du Protocole additionnel
- Il énonce les pouvoirs des autorités de contrôle et rappelle que ces autorités exercent ces pouvoirs en toute indépendance et impartialité. L’article 20 du Protocole modifie l’intitulé du chapitre V de la Convention 108 portant sur la coopération et l’entraide et introduit des renumérotations. L’article 21 du Protocole modifie ce qui devient l’article 16 de la Convention 108 et traite de la désignation des autorités de contrôle. L’article 22 du Protocole ajoute un nouvel article 17 à la Convention
- Il incite à la coopération et à l’assistance mutuelle entre autorités de contrôle. L’article 23 du Protocole Page 5 sur 6 modifie ce qui devient l’article 18 de la Convention 108 portant sur l’assistance aux personnes concernées dans l’exercice de leurs droits par les Parties. L’article 24 du Protocole modifie ce qui devient l’article 19 de la Convention 108 portant sur les garanties concernant l’utilisation des informations reçues par les autorités de contrôle. L’article 25 du Protocole modifie ce qui devient l’article 20 de la Convention 108 portant sur les refus des demandes de coopération. L’article 26 du Protocole modifie ce qui devient l’article 21 de la Convention 108 portant sur les frais et procédures. L’article 27 du Protocole modifie l’intitulé du chapitre VI de la Convention 108 concerne le Comité consultatif qui devient le Comité conventionnel. L’article 28 du Protocole modifie ce qui devient l’article 22 de la Convention 108 et porte sur la composition de ce comité. L’article 29 du Protocole modifie ce qui devient l’article 23 de la Convention 108 concernant les fonctions de ce comité. Celles-ci évoluent significativement, en effet d’un comité simplement « consultatif », il acquiert le pouvoir d’évaluer et de surveiller les niveaux de protection assurés, d’une part, par un État ou une organisation internationale candidats à l’adhésion à la Convention 108 et, d’autre part, par une Partie vis-à-vis de sa conformité avec les dispositions de la Convention
- L’article 30 du Protocole modifie ce qui devient l’article 24 de la Convention 108 traite de la procédure au sein de ce comité. L’article 31 du Protocole modifie ce qui devient l’article 25 de la Convention 108 et traite de la procédure d’amendement à cette convention après son entrée en vigueur. L’article 32 du Protocole modifie ce qui devient l’article 26 de la Convention 108 concernant les modalités d’entrée en vigueur de celle-ci. L’article 33 du Protocole modifie ce qui devient l’article 27 de la Convention 108 concernant l’adhésion de pays tiers au Conseil de l’Europe ou des organisations internationales (par exemple : l’UE) au Conseil de l’Europe. Les articles 36 à 40 du Protocole constituent les clauses finales de ce protocole. Enfin, le Protocole comporte une annexe, intitulée « Éléments pour le règlement intérieur du comité conventionnel ». Page 6 sur 6