La Commission européenne a adopté le 26 mai 2010 un projet de mandat pour la négociation d'un accord entre l'Union européenne et les États Unis relatif à la protection des données à caractère personnel dans le cadre de leur coopération dans la lutte contre le terrorisme et la criminalité.

L'accord vise à assurer un niveau élevé de protection des informations à caractère personnel, telles que les données relatives aux passagers aériens ou les informations financières, qui sont transférées dans le contexte de la coopération transatlantique en matière pénale. L'accord a pour objectif de renforcer le droit des citoyens d'accéder aux données, de les faire rectifier ou effacer, en tant que de besoin.

Les citoyens de l'Union auraient un droit de recours juridictionnel aux États Unis si les données les concernant faisaient l'objet d'un traitement illicite. Des autorités publiques indépendantes verraient leur rôle renforcé dans l'assistance prêtée aux personnes qui cherchent à faire valoir leurs droits au respect de la vie privée, et dans la surveillance des transferts transatlantiques de données.

Le Conseil doit approuver le mandat de négociation de la Commission avant que les pourparlers puissent débuter. Le Parlement européen sera pleinement informé à tous les stades des négociations et devra en approuver les résultats.

Un accord cadre sur la protection des données qui permettra d’encadrer la négociation d’accords d’échange d’informations

Depuis le 11 septembre 2001 et les attentats ultérieurs perpétrés en Europe, l'UE et les États Unis ont intensifié leur coopération policière et judiciaire en matière pénale. En constituent un aspect important le transfert et le traitement de données à caractère personnel si elles sont utiles afin de prévenir la criminalité, qui inclut le terrorisme, d'enquêter en la matière, de détecter les actes criminels ou d'en poursuivre les auteurs.

Tant l'UE que les États-Unis sont attachés à la protection des données à caractère personnel et de la vie privée. Des différences demeurent néanmoins dans leurs approches respectives de la protection des données, à l'origine de certaines controverses par le passé, lors de la négociation d'accords d'échange d'informations (tels que le programme de surveillance du financement du terrorisme, dit accord SWIFT, ou les données des dossiers passagers).

En effet, comme le soulignait Viviane Reding dans un entretien qu’elle a accordé à la Neue Osnabrücker Zeitung le 21 mai dernier, la protection des données n’est pas un droit fondamental garanti par le droit constitutionnel américain alors que c’est le cas dans l’UE. Des droits comme la protection de la vie privée ou de données à caractère personnel y sont ancrés dans la Charte des Droits fondamentaux qui est devenue contraignante avec l’entrée en vigueur du traité de Lisbonne.

L'accord que la Commission a proposé le 26 mai 2010 vise à traiter ces différences de manière à les surmonter.

En vertu de la proposition adoptée, la Commission serait mandatée pour négocier un nouvel accord relatif à la protection des données en cas de transfert de données à caractère personnel aux autorités répressives dans l'UE et aux États-Unis et de traitement de ces données par ces autorités. Cette proposition obligerait également la Commission à tenir le Parlement européen pleinement informé à tous les stades des négociations.

La Commission entend instituer des normes juridiquement contraignantes et opposables de protection des données à caractère personnel

La Commission entend instituer des normes juridiquement contraignantes et opposables de protection des données à caractère personnel, qui garantiraient la sauvegarde des libertés et droits fondamentaux des personnes. Le respect de ces normes serait contrôlé par des autorités publiques indépendantes de part et d'autre de l'Atlantique.

Selon la proposition de la Commission :

• le transfert ou le traitement de données à caractère personnel par les autorités européennes ou américaines ne serait autorisé qu'à des fins déterminées, explicites et légitimes dans le cadre de la lutte contre la criminalité et le terrorisme;
• toute personne aurait un droit opposable en justice d'accéder aux données à caractère personnel la concernant;
• toute personne aurait le droit de faire rectifier ou effacer des données à caractère personnel la concernant si elles se révélaient inexactes;
• toute personne aurait un droit de recours administratif et juridictionnel, sans considération de nationalité ou de lieu de résidence.

L'accord ne constituerait pas la base juridique nécessaire pour procéder à des transferts particuliers de données à caractère personnel entre l'UE et les États-Unis. Une base juridique spécifique prévoyant ces transferts de données serait toujours exigée : par exemple, un accord relatif au transfert de données ou une loi nationale en vigueur dans un État membre de l'UE. Le nouvel accord UE-États-Unis relatif à la protection des données s'appliquerait alors à ces transferts de données.

Cette proposition fait suite à une résolution du Parlement européen qui appelait, le 26 mars 2009, à la conclusion d'un accord UE-États-Unis qui assure la protection adéquate des libertés civiles et des données à caractère personnel.  En décembre 2009, le Conseil européen a invité la Commission à proposer une recommandation "pour la négociation avec les États-Unis d'accords sur la protection et, s'il y a lieu, le partage des données à des fins répressives".

Mais elle fait aussi écho au rejet, le 11 février dernier, de l’accord dit SWIFT par le Parlement européen, qui, en privant ainsi d’effet juridique un accord qui était entré en vigueur, a mis en garde contre les lacunes en matière de protection des données et de recours judiciaire et a rendu nécessaire la négociation d’un nouvel accord qui tiendrait mieux compte de ces aspects.