• 1 « Nous sommes conscients du fait que, pour lutter contre la criminalité et le terrorisme, il faut ê (...)
• 2 Conseil de l’Union européenne, EU-US Summit, 12 June 2008. Final Report by EU-US High Level Contact (...)
• 3 Le projet de rapport final du groupe de contact à haut niveau répertorie 12 principes communs de la (...)
• 4 Toutefois, le Groupe de contact à haut niveau lui-même introduit quelques remarques sur ce langage (...)
• 5 Ces questions sont : (i) Cohérence des obligations des entités privées pendant les transferts de do (...)

1Lors du sommet UE-Etats-Unis de juin 2008, les « dirigeants de l’Union européenne et des Etats-Unis d’Amérique » déclaraient une préférence commune pour la conclusion d’un « accord international contraignant » entre Union européenne (UE) et Etats-Unis garantissant la protection de la vie privée et des données personnelles 1. La déclaration du Conseil fait référence au Rapport final du Groupe de contact de haut niveau UE-Etats-Unis (High Level Contact Group ou HLCG) sur le partage des informations et la protection de la vie privée et des données à caractère personnel 2. Les travaux du HLCG ont le double objectif de renforcer la coopération transatlantique dans le domaine du partage de données et d’informations tout en assurant les droits à la protection des données et au respect de la vie privée. Le rapport final a notamment répertorié les principes communs de la protection des données et du respect de la vie privée à des fins répressives 3, a trouvé un « langage commun » 4 et a aussi identifié les principales questions en suspens 5. Dans le même rapport, le HLCG a également avancé des options politiques principales visant à traduire les travaux exploratoires en produits réels.

• 6 Sur les différences entre protection de la vie privée et protection des données personnelles, voir  (...)

4La protection de la vie privée au niveau européen est principalement régie par l’article 8 de la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales de 1950 et l’article 7 de la Charte des droits fondamentaux de l’Union européenne de 2000. En outre, la protection des données dans l’UE est régie par la directive 95/46/CE relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (la dénommée « directive relative à la protection des données »), par la directive 2002/58/CE relative à la protection de la vie privée et au secteur des communications électroniques, par l’article 8 de la Charte des droits fondamentaux de l’Union européenne et par la Convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel de 1981 (la dénommée « Convention n° 108 ») 6.

• 7 Voir : Cour européenne de Justice, Parlement européen c. Conseil de l’Union européenne (C-317/04) e (...)
• 8 Voir De Hert p. , Papakonstantinou V., Riehle C., ‘”Data Protection in the Third Pillar : Cautious (...)
• 9 Se référant en fait à Schengen I (Accord entre les Gouvernements des Etats de l’Union économique Be (...)
• 10 Voir la Convention EUROPOL (texte consolidé) sur www.europol.europa.eu/index.asp ?page =legal
• 11 Voir Décision du Conseil du 28 février 2002 instituant Eurojust afin de renforcer la lutte contre l (...)
• 12 Conseil de l’Europe, Convention pour la protection des personnes à l’égard du traitement automatisé (...)

5En dépit d’une abondante législation en matière de respect de la vie privée et de protection des données, le cadre législatif européen semble devenir, lorsque l’on en vient aux activités du troisième pilier, plus complexe et moins cohérent. Dans le contexte d’une utilisation croissante des technologies de l’information et d’une tendance vers un accès mutuel aux bases de données privées et publiques, la structure à piliers européenne constitue un obstacle majeur à la définition d’un cadre plus efficace. En effet, le principal document de la législation européenne sur la protection des données – la Directive relative à la protection des données de 1995 – n’est valable que pour le champ d’application du droit communautaire (directive 95/46/CE art. 3(2)). De plus, comme cela a été souligné par la Cour de justice dans son arrêt PNR, la directive relative à la protection des données ne s’applique pas au traitement des données collectées en premier lieu par des acteurs privés et auxquelles on accède ensuite à des fins de sécurité publique 7. Cet aspect est encore plus inquiétant, car il risque de permettre l’accès des autorités publiques à des données commerciales dans une sorte de no man’s land 8. Plusieurs lois tentent de compenser l’absence d’un cadre approprié en fournissant des dispositions ponctuelles de protection des données dans leurs textes. Dès lors, malgré le fait que le traitement lié à la sécurité en Europe ne possède pas de base réglementaire commune, des secteurs spécifiques sont allés de l’avant : plus particulièrement l’accord de Schengen 9, mais aussi les accords Europol 10 et Eurojust 11, qui incluent tous des règles et des procédures détaillées en matière de protection des données dans leurs textes respectifs. Par conséquent, ce qui est réellement en place actuellement au sein de l’UE en ce qui concerne le traitement du troisième pilier est une série d’approches spécifiques au secteur qui coexistent avec la Convention du Conseil de l’Europe sur la protection des données de 1981 12 et la décision-cadre relative à la protection des données sous le troisième pilier (DCPD), approuvé en décembre 2008.

• 14 Voir De Hert p. , Papakonstantinou V., Riehle C., op. cit.

7La Convention 108 constitue toujours la base juridique de la protection des données couvrant les activités du troisième pilier. Bien que ses principes généraux soient toujours valables, il est important de noter qu’elle a été rédigée avant le développement massif des technologies de l’information. Si elle n’est pas intégrée ou remplacée au niveau de l’UE par un nouveau cadre, elle risque de devenir obsolète et d’être dépassée par l’application croissante d’instruments technologiques 14. Ce fait explique, par exemple, les règles de protection des données élaborées dans la Convention Europol qui complètent la Convention 108, et la récente initiative européenne de rédiger un (nouveau) cadre général relatif à la protection des données dans le cadre du troisième pilier.

• 15 Décision-Cadre du Conseil 2008/977/JHA, JO L/350/60, 30 décembre 2008. L’approbation de la DCPD est (...)

8La décision-cadre du Conseil relative à la protection des données à caractère personnel traitées dans le cadre de la coopération policière et judiciaire en matière pénale a été finalement approuvée en décembre 2008 15. Compte tenu de la récente adoption de cet instrument, ainsi que de son rôle potentiel dans la protection des données personnelles, il est important d’offrir un aperçu de son contenu.

• 16 Les données réglées par l’article 6 sont celles « révélant l’origine raciale ou ethnique, les opini (...)

16Cet aperçu des principaux principes semble confirmer que la décision-cadre reflète le même principe que la Convention n° 108 et la Directive 95/46/EC. Cependant, une analyse plus étroite révèle certaines différences, comme celle qui concerne les données sensibles et les droits d’accès aux données 16. L’article 14 sur la transmission des données à caractère personnel aux parties privées est d’un intérêt particulier. Par son existence même, cette disposition semble confirmer l’idée d’une interaction, et d’une intégration, croissante des bases de données privées et publiques dans la gestion de la sécurité.

• 17 Congrès des Etats-Unis, Bill of Rights (déclaration des droits), 1789, Ier amendement. Disponible s (...)
• 18 Schmerber c. Californie, 384 U.S. 757, 767, 1966.

19La première couche de protection de la vie privée aux Etats-Unis se trouve au niveau constitutionnel fédéral. Bien que la Constitution des Etats-Unis ne se réfère pas explicitement au respect de la vie privée, les premier, troisième, quatrième et cinquième amendements offrent plusieurs formes de protection contre l’intrusion gouvernementale dans la vie des individus 17. C’est surtout le quatrième amendement qui a fourni, et continue de fournir, la principale référence constitutionnelle à la protection de la vie privée aux Etats-Unis. Dans l’affaire Schmerber c. Californie, en 1966, la Cour suprême a déclaré que « [l]a fonction primordiale du quatrième amendement est de protéger la vie privée et la dignité contre l’intrusion injustifiée de l’Etat 18 ».

• 19 Gellman R., “A General Survey of Video Surveillance Law in the United States”, in Nouwt S. et al. ( (...)
• 20 L’affaire Katz c. Etats-Unis (1967) est pertinente par rapport à deux questions : l’importance de l (...)
• 21 Les défis soulevés par la double détermination Katz du droit au respect de la vie privée d’un indiv (...)
• 22 Dans l’affaire Kyllo c. Etats-Unis (533, U.S. 141, 2000), la Cour a décidé que l’utilisation par le (...)

20Toutefois, l’application du quatrième amendement n’est pas sans problème, en raison de l’interprétation de sa formulation dans le contexte moderne des développements technologiques 19. L’utilisation par la Cour suprême du critère des « attentes raisonnables en matière de protection de la vie privée » semble surtout – et ce contrairement à l’utilisation de celui-ci par la Cour européenne des droits de l’homme – nier la protection constitutionnelle dans la plupart des cas. Après un « début » prometteur du critère dans l’affaire Katz20, il y a eu une longue série d’affaires dans lesquelles aucune protection constitutionnelle n’a été accordée aux questions du respect de la vie privée, par exemple dans l’affaire dite du Pen Register (enregistreur graphique) 21. La récente affaire Kyllo semble toutefois suggérer qu’une application plus constructive du critère, conformément à l’affaire Katz et à la jurisprudence de la Cour européenne des droits de l’homme, est encore possible 22.

• 23 Voir : Griswold c. Connecticut, 318 U.S. 479, 1965.

21Bien que la vie privée ne soit pas seulement protégée d’une manière indirecte, il est utile de noter qu’en 1965, dans l’affaire Griswold c. Connecticut 23, la cour a déclaré que l’individu a un droit constitutionnel au respect de la vie privée. La protection des données à caractère personnel n’est pas assurée en tant que telle, et gardant à l’esprit l’affaire Pen Register et d’autres affaires, il serait mensonger de dire que les données à caractère personnel sont protégées en tant que telles par la Constitution sans qu’il y ait d’importants aspects relatifs au respect de la vie privée.

• 24 L’art. 1, sec. 1 de la Constitution californienne stipule : « Tout individu est par nature libre et (...)

22Enfin, il est important d’observer que le constitutionnalisme fédéral coexiste avec le constitutionnalisme d’Etat et qu’il est complété par celui-ci. Le droit constitutionnel au respect de la vie privée est directement assuré dans les constitutions de certains Etats. Parmi celles-ci, le droit constitutionnel californien au respect de la vie privée s’applique également aux parties privées 24.

• 25 Peter Blok se réfère à ces publications sous la « littérature d’alarme », voir Blok p. , « Protecti (...)
• 26 Le Code a été proposé par le rapport de l’United States Department of Health, Education, and Welfar (...)
• 27 U.S. Department of Health, Education, and Welfare (ministère de la Santé, de l’Education et du Bien (...)

23La protection des données est bien présente dans le paysage juridique américain. À partir des années 1960, la croissance des capacités et de la diffusion des technologies de l’information a fait l’objet d’une série de publications 25. La question principale devient, dès lors, la définition des garanties de protection de la gestion des données. Rédigé en 1973, le Code of Fair Information Practices est devenu la pierre angulaire de la législation ultérieure sur la protection des données 26. Il a identifié les cinq « pratiques » ou principes suivants : interdiction des systèmes secrets d’enregistrement des données ; possibilité d’accès pour l’individu à ces informations, principe de limitation de la finalité (sauf accord préalable), possibilité de correction des informations, principe de sécurité des informations 27.

• 28 Voir : Privacy Act (loi sur la protection de la vie privée), 5 U.S.C. § 552a, 1974.
• 29 Après une première section dédiée à la définition des termes clés, les dispositions du Privacy Act (...)

24Le principal document de la législation « dure » couvrant le traitement des données par les agences gouvernementales a été adopté l’année suivante, en 1974. Le Privacy Act (loi sur la protection de la vie privée) 28 est le principal cadre juridique protégeant les données à caractère personnel détenues par le secteur public aux Etats-Unis. Il protège les fichiers détenus par les agences gouvernementales américaines et leur demande d’appliquer des pratiques d’information justes 29. Il ressort d’un premier aperçu des dispositions principales du Privacy Act que le Code of Fair Information Practices a été largement intégré dans la formulation. Les cinq principes trouvent tous leur place dans la loi. Le principe de transparence est traduit au point (e)(4) : « Chaque agence qui entretient un système de fichiers devra […] publier dans le registre fédéral, lors de l’établissement ou de la révision, un avis d’existence et la nature du système de fichiers… ». Les principes d’accès et de correction façonnent les dispositions de la section (d) sur l’« accès aux fichiers ». La sécurité des données est abordée dans la section sur les « exigences d’agence », au point (e)(5) et (10). Enfin, le principe de limitation de la finalité est garanti au point (e)(1), qui stipule que chaque agence ne devra « conserver dans ses fichiers que les informations concernant un individu qui sont pertinentes et nécessaires pour accomplir une finalité de l’agence qui doit être exécutée par une loi ou un décret présidentiel ».

• 30 Voir : Blok p. , op. cit. ; Bignami F., “European versus American Liberty : A Comparative Privacy A (...)
• 31 En général, les détracteurs identifient au moins cinq séries de questions : le Privacy Act ne couvr (...)
• 32 Voir § 552a (a)(5)) du Privacy Act de 1974.
• 33 Voir Bignami F, “European versus American Liberty : A Comparative Privacy Analysis of Antiterrorism (...)

27Malgré cette remarquable traduction des pratiques d’information justes dans la formulation du Privacy Act, un certain nombre d’intellectuels, tant européens que nord-américains, ont développé de très vives critiques 30. Vu la portée de cette étude, il est utile de concentrer l’analyse sur certaines des failles principales relevées dans le Privacy Act, en particulier celles qui pourraient constituer (ou constituent déjà) une question essentielle en cas de négociation d’un accord transatlantique 31. Une des notions élémentaires du Privacy Act est le « système de fichiers », c’est-à-dire le « groupe de tous les fichiers sous le contrôle d’une agence à partir duquel les informations sont retrouvées par le nom de l’individu ou par un certain numéro ou symbole d’identification, ou toute autre caractéristique d’identification attribuée à l’individu 32 ». Selon un auteur, la définition actuelle du « système de fichiers », associée à l’utilisation d’un instrument d’extraction de données, pourrait entraîner l’exclusion de grandes bases de données du champ d’application du Privacy Act 33. La disponibilité et la diffusion de l’extraction de données dans une action répressive pourraient entraîner l’établissement de nouvelles bases de données sortant du champ d’application du Privacy Act. De plus, une telle interprétation du « système de fichiers » pourrait renforcer les divergences dans l’interprétation de la collecte et du partage de données.

• 34 Voir § 552a (a)(2) du Privacy Act de 1974.
• 35 Dans son avis sur le niveau d’adéquation de la protection offerte par le Privacy Act, la Commission (...)
• 36 Voir “European versus American Liberty : A Comparative Privacy Analysis of Antiterrorism Data minin (...)

28Le Privacy Act accorde certains droits à chaque « individu », en sachant qu’un « individu » est « un citoyen des Etats-Unis ou un étranger légalement admis pour une résidence permanente34 ». Dans sa simplicité plutôt paradoxale, la question du recours – ou plutôt la non-disponibilité de recours civils aux citoyens non américains – constitue une des principales questions en jeu dans le suivi des travaux du Groupe de contact de haut niveau. En fait, selon la définition de l’« individu » rappelée ci-dessus, les citoyens européens qui ne sont pas permanents aux Etats-Unis sont exclus du champ d’application du Privacy Act. Cette disposition représente à elle seule un obstacle majeur dans les négociations transatlantiques 35. Cependant, les dispositions relatives aux recours civils sont, en soi, formulées d’une manière qui limite fortement la possibilité du recours juridique. Pour intenter une action civile contre l’agence, le comportement de l’agence doit avoir eu un effet négatif sur l’individu (g)(1)(D). De plus, la Cour devrait déterminer si « l’agence a agi d’une façon qui était intentionnelle ou délibérée » (g)(4). Un cadre aussi complexe, surtout dans un contexte marqué par l’absence d’autorités structurelles indépendantes, risque de limiter ex ante l’exécution du recours juridique. En outre, le critère d’« effet négatif » pourrait être difficile à prouver dans un environnement marqué par l’utilisation de technologies de contrôle invisibles 36.

• 37 Voir § 552a (a)(7)) du Privacy Act de 1974. L’usage routinier « signifie, en ce qui concerne la div (...)
• 38 Voir Electronic Privacy Information Center – EPIC, Privacy and Human Rights, An International Surve (...)

29La troisième série de questions concerne les limitations et les exceptions à la gestion des données imposées par le Privacy Act. L’interprétation administrative de la disposition permettant la divulgation des données « pour un usage routinier37 » a, selon les dires, considérablement diminué l’efficacité de la loi 38.

• 39 Video Privacy Protection Act, 18 U.S.C. §§ 2710-2711, 1988.
• 40 Fair and Accurate Credit Transactions Act, Pub. L. No. 108-159, 2003.
• 41 Voir : Health Insurance Portability and Accountability Act (HIPAA), Pub. L. No. 104-191, 1996.
• 42 Voir : Gramm-Leach-Billey Act (GLBA), Pub. L. No. 106-102, 15 U.S.C. §§ 6801-6809, 1999.

31Ces lois pouvaient d’abord être axées sur des activités spécifiques, telles que la location de vidéos 39, jusqu’à aborder une question plus transversale telle que l’évaluation du crédit 40. Il est aussi important de mentionner le Health Insurance Portability and Accountability Act (HIPAA) de 1996 41, qui accorde au ministère américain de la Santé et des Services sociaux le pouvoir de promulguer des réglementations sur le respect de la vie privée des dossiers médicaux ; le Gramm-Leach-Billey Act (GLBA) de 1999 42 qui oblige les institutions financières à publier des avis relatifs à la protection de la vie privée et à fournir des droits d’opposition lorsqu’elles cherchent à divulguer des données à d’autres sociétés ; ainsi que le Children’s Online Privacy Protection Act de 1998 (Pub. L. No. 106-170, 15 U.S.C. §§ 6501-6569) qui restreint l’utilisation des informations collectées auprès d’enfants âgés de moins de 13 ans par des sites Internet.

• 43 18 U.S.C. §§ 2510-2522, 2701-2709, 1986
• 44 Voir Electronic Privacy Information Center – EPIC, Privacy and Human Rights, An International Surve (...)
• 45 Conseil de l’Union européenne, EU-US informal JHA senior level meeting (09-10 janvier 2008, Ljublja (...)

32Parmi les lois réglementant les activités de surveillance, il est utile de rappeler le Foreign Intelligence Surveillance Act (FISA) (loi sur le contre-espionnage) (50 U.S.C. §§ 1801-1811, 1978), amendé par l’USA Patriot Act de 2001, ainsi que l’Electronic Communication Privacy Act (loi de confidentialité des communications électroniques) 43. Ces deux lois fournissent des normes et des procédures pour l’utilisation de la surveillance électronique, le FISA se concentrant sur la collecte de renseignements extérieurs. Il est utile de remarquer que les récents amendements apportés au FISA ont affaibli ses normes protectrices. L’USA Patriot Act a modifié la nécessité de collecter des renseignements extérieurs : d’une « finalité première » à une « finalité significative » 44. L’importance potentielle de ces changements d’un point de vue transatlantique a été aussi remarquée par les hauts fonctionnaires européens impliqués dans les réunions Justice et affaires intérieures (JAI) informelles 45.

• 46 Pour une liste complète des lois adoptées depuis le début des années 1970 aux Etats-Unis, voir Solo (...)
• 47 Uniting and Strengthening America By Providing Appropriate Tools Required to Intercept and Obstruct (...)
• 48 Voir : Electronic Privacy Information Center – EPIC, Privacy and Human Rights, An International Sur (...)

33Le Congrès a également adopté d’autres lois qui traitent de la protection de la vie privée et des données, mais dans le but d’encourager l’accès du gouvernement aux données à caractère personnel 46. Parmi celles-ci, l’une des plus significatives est l’USA Patriot Act 47. Depuis son adoption, ce dernier a soulevé d’âpres discussions et critiques 48, allant de l’affaiblissement des garanties de protection de la vie privée d’autres lois jusqu’à l’accusation visant à déséquilibrer la relation entre le gouvernement et l’individu. L’USA Patriot Act introduit de nombreuses réformes dont les suivantes : une nouvelle définition du terrorisme national ; un avis retardé des mandats de perquisition ; une nouvelle définition des enregistreurs graphiques (Pen Registers) et des dispositifs de traçage (Trap and Trace devices) ; le partage des renseignements extérieurs.

• 49 Voir : Homeland Security Act (loi sur la sécurité intérieure), 6 U.S.C. § 222, 2002.
• 50 Le Homeland Security Act (loi sur la sécurité intérieure) de 2002 a établi le DHS Privacy Office. L (...)

34Une seconde loi importante traite de la protection de la vie privée et des données : le Homeland Security Act (loi sur la sécurité intérieure) 49. Cette loi consolide et fusionne vingt-deux agences fédérales au sein d’un ministère américain de la Sécurité intérieure (Department of Homeland Security, DHS) et constitue un Privacy Office au sein du même ministère 50.

• 51 Disponible sur : http ://www.usdoj.gov/oip/foiastat.htm (5 U.S.C. § 552, dernièrement amendé en 200 (...)
• 52 Il est intéressant de noter qu’un membre néerlandais du Parlement européen, Sophie In’t Veld, a déc (...)

35Enfin, il est important de mentionner ici un autre document émanant de la législation américaine qui pourrait jouer un rôle essentiel dans la protection de la vie privée. Si, comme mentionné, l’accès aux fichiers et le recours juridique pourraient être limités pour les citoyens européens en vertu du Privacy Act, le Freedom of Information Act (FOIA) (loi relative à la liberté de l’information) 51 donne la possibilité à toute personne d’accéder aux fichiers tenus par les autorités publiques américaines. Toutefois, ce droit d’accès n’est pas sans limitations, surtout lorsque les informations traitent d’activités de répression (paragraphes (b)(7) et (c)(1)), de renseignements extérieurs et de contre-espionnage (c)(3) 52.

• 53 Voir : CEPD, Opinion of the European Data Protection Supervisor on the Final Report by the EU-US Hi (...)

42Dans ce contexte, la possible conclusion d’un accord transatlantique sur l’échange et la protection des données personnelles est à la fois « bienvenue et délicate », comme cela a été souligné par le Contrôleur européen de la protection des données 53. Compte tenu des caractéristiques, des failles des deux systèmes et des options suggérées par le groupe de contact de haut niveau, la meilleure solution serait l’adoption d’un accord juridiquement contraignant. Cet accord entraînerait donc un effet direct concernant les critères minimaux de protection de données, à intégrer au cas par cas, par des mesures ponctuelles.

• 54 L’UE ne devrait pas seulement aborder la question du recours pour les citoyens non américains. Le c (...)

43Ainsi, le but des négociations devrait être d’assurer à la fois les droits de recours aux citoyens européens, ainsi que la possibilité d’être représentés par leur autorité en charge de la protection des données. Une telle possibilité pourrait considérablement rétablir les effets négatifs des procédures d’auto-assistance : contraintes financières et temporelles ainsi que la connaissance généralement limitée d’un système juridique étranger 54.

• 55 Dans ses négociations avec les Etats-Unis, l’UE devra se montrer très prudente dans ses exigences e (...)

44Etant donné son importance dans le système américain, les négociations européennes doivent aborder le champ d’application de notions telles que « données à caractère personnel » 55 ainsi que le besoin d’incorporer des principes tels que la minimisation des données, ou encore les difficultés pour les citoyens non américains à obtenir un recours juridique. Bien que de nombreux principes de protection des données tels que reconnus dans le droit européen soient présents dans le droit américain, il n’existe aucune base solide dans ce dernier pour des principes essentiels comme la limitation de la finalité et la minimisation des données. La protection de ces principes essentiels devrait être un élément central des négociations européennes.

• 56 Par ailleurs, même si le Parlement européen n’a pas participé directement au groupe de contact à ha (...)
• 57 Voir : CEPD, Opinion of the European Data Protection Supervisor on the Final Report by the EU-US Hu (...)

45D’un point de vue institutionnel, le Parlement européen devrait soutenir et participer directement aux négociations d’un accord contraignant 56. Le Contrôleur européen de la protection des données a déjà rendu public son avis sur le rapport final du HLCG 57, et lui aussi devrait participer directement aux travaux, comme cela se passe aux Etats-Unis, où le Chief Privacy Officer a déjà été intégré à ce groupe.