Rapport | Doc. 14437 | 15 novembre 2017

Projet de Protocole d’amendement à la Convention pour la protection des personnes à l'égard du traitement automatisé des données à caractère personnel (STE n° 108) et à son rapport explicatif

Commission des questions juridiques et des droits de l'homme

Rapporteur : M. Raphaël COMTE, Suisse, ADLE

Origine - Renvoi en commission: Doc. 14389, Renvoi 4334 du 13 octobre 2017 2017 - Commission permanente de novembre

Résumé

La Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (STE no 108) a été ouverte à la signature en 1981. La Convention 108 a été le premier et reste à ce jour le seul instrument juridique international contraignant dans le domaine de la protection des données.

Pour répondre aux défis liés au développement des nouvelles technologies de l’information et de la communication et renforcer la mise en œuvre effective de la Convention 108, le Comité des Ministres a établi un projet de protocole d’amendement à la Convention 108 et à son rapport explicatif.

La commission des questions juridiques et des droits de l’homme salue la préparation de ce projet de protocole d’amendement tout en constatant que, plus de six ans après le début du travail de modernisation, des difficultés à trouver un consensus sur certaines dispositions du projet persistent. C’est notamment le cas eu égard aux modalités d’entrée en vigueur du protocole.

La commission des questions juridiques et des droits de l’homme recommande au Comité des Ministres d’ouvrir le protocole d’amendement à la signature le plus rapidement possible et appelle les États membres à le ratifier le plus tôt possible.

A. Projet d’avis [(1) Projet d’avis adopté à l’unanimité par la commission le 13 novembre 2017.]

1. L’Assemblée parlementaire rappelle sa Résolution 1732 (2010) et sa Recommandation 1920 (2010) «Renforcer l'efficacité du droit des traités du Conseil de l'Europe» dans lesquelles elle a souligné le rôle essentiel du Conseil de l’Europe dans l’élaboration de normes en matière de droits de l’homme ainsi que sa contribution majeure au développement du droit international à travers ses traités. La Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (STE no 108, ci-après «Convention 108») est un exemple de convention du Conseil de l’Europe traitant de questions pressantes et fait indéniablement partie du «noyau dur» des traités du Conseil de l’Europe.

2. L’Assemblée souligne que la Convention 108 a été le premier et reste à ce jour le seul instrument juridique international contraignant dans le domaine de la protection des données. Elle n’a aucun autre équivalent dans le monde et ce à plus forte raison qu’elle est ouverte à tout pays dans le monde.

3. Afin que le corpus normatif européen développé à travers les traités du Conseil de l’Europe continue de compléter les normes internationales existantes par des dispositions novatrices, et pour faire face aux évolutions des technologies de l’information et des communications – domaine qui évolue sans cesse – l'Assemblée est convaincue qu’il est urgent de moderniser la Convention 108. L’Assemblée salue donc la préparation d’un projet de protocole d’amendement à la Convention 108 et à son rapport explicatif ayant pour buts principaux de répondre aux défis liés au développement des nouvelles technologies de l’information et de la communication et de renforcer la mise en œuvre effective de la Convention 108.

4. Rappelant sa Recommandation 2102 (2017) sur la convergence technologique, l’intelligence artificielle et les droits de l’homme, dans laquelle elle a déjà invité le Comité des Ministres à achever sans plus tarder la modernisation de la Convention 108, l’Assemblée constate que, plus de six ans après le début du travail de modernisation, des difficultés à trouver un consensus sur certaines dispositions du projet de protocole d’amendement persistent. Ces désaccords, notamment sur la question des modalités d’entrée en vigueur du protocole d’amendement, mettent en péril tout l’exercice et menacent de faire perdre au Conseil de l’Europe sa place de premier plan dans le domaine de la protection des données à caractère personnel.

5. Dans l’hypothèse optimiste selon laquelle un accord serait trouvé d’ici à la fin de l’année 2017, l’Assemblée recommande au Comité des Ministres d’ouvrir le protocole d’amendement à la signature le plus rapidement possible et appelle les États membres à le ratifier dans les plus brefs délais. Si le texte devait inclure une clause de ratification classique, celle-ci devrait être assortie d’une procédure d’évaluation de l’état d’avancement des ratifications et prévoir une solution alternative – à savoir l’adoption d’une nouvelle convention – si l’entrée en vigueur n’était pas proche d’aboutir à cette date.

6. Partant, si ces désaccords devaient persister au-delà de la fin de l’année 2017, l’Assemblée estime qu’il serait temps pour le Comité des Ministres d’envisager de prendre acte de l’impossibilité d’amender la Convention 108. Dans cette hypothèse, l’Assemblée recommande au Comité des Ministres d’en prendre acte et d’ouvrir sans attendre de nouvelles négociations en vue de l’adoption rapide d’une nouvelle convention basée sur le projet de protocole d’amendement d’ores et déjà approuvé par le Comité ad hoc sur la protection des données (CAHDATA).

B. Exposé des motifs, par M. Raphaël Comte, rapporteur

1. Introduction

1. Le Comité des Ministres a invité, lors de sa 1291ème réunion le 5 juillet 2017, l'Assemblée parlementaire à présenter dès que possible un avis sur le Projet de protocole d’amendement à la Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel (STE no108, ci-après «Convention 108») et à son rapport explicatif [(2) Voir Doc 14389 et STE n° 108 (1981); CM(2016)123-prov4; CM(2016)123-addrev7; GR-J(2016)14-rev4.]. Le 5 septembre 2017, la commission des questions juridiques et des droits de l’homme m’a nommé rapporteur. La commission a invité le Vice-Président du Comité consultatif de la Convention 108, M. Jean-Philippe Walter, à un échange de vues avec la commission à l’occasion de sa réunion du 9 octobre 2017. Je tiens à remercier M. Walter, qui a présenté à la commission les enjeux de la révision de la Convention 108 ainsi que les points qui, après des années de négociation à toutes les étapes de la modernisation (travaux au sein du Comité consultatif de la Convention, puis au sein du Comité ad hoc sur la protection des données, puis au sein du Groupe de Rapporteurs du Comité des Ministres sur la coopération juridique) ne font toujours pas l’unanimité au sein du Comité des Ministres (tout en notant les avancées réalisées s’agissant de certains de ces points).

2. La Convention 108 – une des conventions clés du Conseil de l’Europe

2. La Convention 108, ouverte à la signature à Strasbourg le 28 janvier 1981, a été le premier et reste à ce jour le seul instrument juridique international contraignant dans le domaine de la protection des données.

3. La Convention 108 est ouverte à tous les États dans le monde et compte actuellement 51 États Parties, à savoir les 47 États membres du Conseil de l’Europe et l’Uruguay, l’île Maurice, le Sénégal et la Tunisie (par ordre d’adhésion, la Tunisie étant devenue Partie le 1er novembre 2017). L’Argentine, le Burkina Faso, le Cap Vert et le Maroc ont également été invités à y adhérer et le Mexique vient d’en faire la demande.

4. Lors de son échange de vues avec notre commission, M. Walter a rappelé que «la Convention [108] et son protocole additionnel sont les seuls instruments juridiquement contraignants au monde dans le domaine de la protection des données et de par leur caractère ouvert, ces textes ont une vocation universelle». Il a ensuite souligné la nécessité du processus de révision pour répondre aux évolutions des technologies de l’information et des communications et renforcer le droit à la protection des données.

5. Dans sa Résolution 1732 (2010) «Renforcer l'efficacité du droit des traités du Conseil de l'Europe» l’Assemblée», a souligné de manière générale que «[p]our que le droit des traités du Conseil de l’Europe conserve toute sa pertinence et sa richesse, il est essentiel que les traités reflètent la réalité de la société d’aujourd’hui» [(3) Voir également le rapport sur «Renforcer l'efficacité du droit des traités du Conseil de l'Europe» (rapporteur: M. John Prescott, Royaume-Uni, SOC), Doc. 12175, et Recommandation 1920 (2010).].

6. Dans sa Recommandation 2102 (2017) sur la convergence technologique, l’intelligence artificielle et les droits de l’homme, l’Assemblée a plus précisément demandé au Comité des Ministres d’achever sans plus tarder la modernisation de la Convention 108 «afin d’avoir de nouvelles dispositions permettant la mise en place rapide d’une protection mieux adaptée». Comme l’a indiqué le rapporteur de notre commission, Boriss Cilevičs, dans son avis sur le rapport préparé à ce sujet par la commission de la culture, de la science, de l’éducation et des médias: «Il est clair que le domaine des nouvelles technologies de l’information et de la communication a connu une gigantesque évolution depuis 1981, surtout pour ce qui est du traitement automatisé des données. Cette évolution entraîne de nouveaux défis à relever pour le respect de la vie privée. (…) Il est donc devenu indispensable de moderniser la Convention no 108 pour qu’elle reflète la nouvelle réalité de la situation et continue à assurer une protection adéquate au vu de l’évolution des technologies et de l’apparition de nouvelles technologies. [(4) Doc. 14303.]» Dans sa réponse à la Recommandation 2102 (2017) [(5) Doc. 14432.], le Comité des Ministres a «pris note de l’invitation de l’Assemblée» lui demandant d’achever la modernisation de la Convention 108 tout en indiquant être «bien conscient de l’urgence».

3. But de la révision et principales modernisations

7. Le processus de modernisation a été lancé dès septembre 2009 par le Comité consultatif de la Convention 108. Les travaux de révision de la Convention 108 ont ensuite formellement débuté par l’ouverture d’une consultation publique en janvier 2011, à l’occasion du 30ème anniversaire de son ouverture à signature. Le 30 novembre 2012, le Comité consultatif de la Convention 108 a adopté à l’unanimité un projet de modernisation. Le Comité des Ministres a alors chargé le comité intergouvernemental compétent (Comité ad hoc sur la protection des données – CAHDATA) de finaliser le projet. En juin 2016, le CAHDATA a approuvé un projet de protocole d’amendement (différant très peu du projet préparé par le Comité consultatif en 2012). Bien qu’il eût été souhaitable que le Comité des Ministres achève ses travaux de révision à la fin de l’année 2016, ce qui aurait idéalement permis une entrée en vigueur de la convention modernisée en 2018, à ce jour, les discussions sont toujours en cours.

8. La modernisation de la Convention 108 poursuit deux buts principaux: répondre aux défis liés au développement des nouvelles technologies de l’information et de la communication et renforcer la mise en œuvre effective de la Convention.

9. Le projet de protocole d’amendement à la Convention 108 vise principalement à apporter des modifications en vue de: 1) gérer les défis à la vie privée qui résultent de l’utilisation des technologies de l’information et des télécommunications; 2) renforcer le droit à la protection des données en tant que droit fondamental indispensable à l’exercice d’autres droits et libertés fondamentales lors du traitement de données à caractère personnel; 3) concilier le droit à la protection des données avec l’exercice d’autres droits et libertés fondamentales (notamment la liberté d’expression); 4) renforcer les mécanismes de suivi de la Convention; 5) maintenir la nature générale et technologiquement neutre des dispositions de la Convention; 6) assurer la cohérence et la compatibilité avec d’autres cadres juridiques applicables en la matière, notamment celui de l’Union européenne; et 7) préserver, réaffirmer, renforcer et promouvoir la vocation universelle et le caractère ouvert de la Convention 108.

10. La révision a pour objectif, entre autres, d’assurer la cohérence de la Convention avec le droit de l’Union européenne. En effet, alors que la Convention 108 est le texte de référence de nombreux textes internationaux et nationaux, à commencer par la Directive 95/46/CE [(6) Directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données.] et le Règlement général sur la protection des données [(7) Règlement (UE) 2016/679 du Parlement Européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la Directive 95/46/CE (règlement général sur la protection des données).] (RGPD) qui lui succédera à compter du 25 mai 2018, il est nécessaire de mettre à jour la Convention 108 pour assurer sa cohérence et sa compatibilité avec le cadre juridique de l’Union européenne. Par nature, la Convention 108 révisée demeurera «relativement générale et abstraite» et n’atteindra pas le degré de détails du règlement européen. Mais, ainsi que nous l’a exposé M. Walter, elle renfermera, avec son exposé des motifs, «explicitement et implicitement tous les principes et règles énoncés dans le droit de l’Union européenne, tout en laissant une certaine marge de manœuvre aux Parties». M. Walter l’a qualifiée de «trait d’union entre le cadre juridique de l’Union européenne et les autres cadres juridiques existants».

11. Les principales nouveautés apportées à la Convention 108 par le protocole d’amendement auraient notamment pour effet:

• de mieux souligner l’objectif de la Convention, à savoir protéger toute personne physique, quelle que soit sa nationalité ou sa résidence, à l’égard du traitement de ses données afin d’assurer le respect de ses autres droits et libertés fondamentales, notamment de son droit à la vie privée (article 1 Convention 108 révisée);
• d’étendre le champ d’application à l’ensemble des traitements automatisés ou non automatisés de données personnelles qui relèvent de la juridiction d’une Partie. Le champ d’application continue de couvrir le traitement des données personnelles dans le secteur privé comme dans le secteur public, cet élément étant une des forces de la Convention 108 (articles 2 et 3 Convention 108 révisée);
• que la Convention 108 ne s’appliquerait plus aux traitements de données effectués par une personne physique pour l’exercice d’activités exclusivement personnelles ou domestiques (afin d’éviter d’imposer des obligations déraisonnables dans le cadre de la sphère personnelle sans visées commerciales ou professionnelles) (article 3 Convention 108 révisée);
• de supprimer la possibilité pour les États Parties de faire des déclarations en vue de soustraire du champ d’application de la Convention certaines catégories de traitements de données à caractère personnel (article 3 Convention 108);
• de préciser ou mettre à jour certaines définitions (telle que la notion de «sous-traitant») (article 2 Convention 108 révisée);
• de renforcer l’effectivité de la protection des données en prévoyant que le Comité conventionnel puisse évaluer l’efficacité des mesures prises en droit interne pour donner effet aux dispositions de la Convention (laquelle n’est pas d’application directe) (article 4 Convention 108 révisée);
• de clarifier l’application du principe de proportionnalité (article 5 Convention 108 révisée);
• de préciser que le traitement des données ne peut intervenir que si la personne concernée a donné son consentement de manière libre, spécifique, éclairée et non équivoque, ou si le traitement repose sur un autre fondement légitime prévu par la loi (article 5 Convention 108 révisée);
• de compléter le catalogue des données sensibles en y ajoutant notamment les données génétiques, les données biométriques identifiant un individu de façon unique, les données relatives à l’appartenance syndicale (article 6 Convention 108 révisée);
• d’introduire l’obligation d’annoncer (au moins aux autorités de contrôle en matière de protection des données) les cas significatifs de violation des données, c’est-à-dire des violations susceptibles de porter gravement atteinte aux droits et libertés fondamentales des personnes concernées (article 7 Convention 108 révisée);
• d’introduire l’obligation de garantir la transparence des traitements des données (identité, résidence ou lieu d’établissement du responsable du traitement, finalités du traitement, destinataires des données, durée de conservation des données et moyens d’exercer les droits des personnes concernées) (article 7 bis Convention 108 révisée);
• de renforcer les droits des personnes concernées afin de leur permettre de mieux assurer la maîtrise sur leurs données et de garantir le respect du droit à la dignité humaine et à la non-discrimination (à travers notamment un droit d’accès aux informations plus étendu ainsi qu’un droit de connaître les raisons qui sous-tendent le traitement des données dont les résultats lui sont opposés ou appliqués) (article 8 Convention 108 révisée);
• de renforcer les responsabilités de ceux qui traitent ou font traiter des données, notamment au moyen de l’obligation pour eux d’être en mesure de démontrer la conformité de leur activité avec les prescriptions en la matière, d’intégrer – dès la conception et par défaut – la prise en compte de la protection des données, ainsi que par la réalisation d’études d’impact (article 8 bis Convention 108 révisée);
• de permettre le flux transfrontière des données entre les Parties à la Convention et de renforcer l’encadrement des transferts des données vers des juridictions non Parties à la Convention dans le but d’assurer une protection appropriée des personnes en matière du traitement de données à caractère personnel (article 12 Convention 108 révisée);
• de compléter le catalogue des compétences des autorités (pouvoirs d’intervention, d’investigation, d’ester en justice ou de porter à la connaissance de l’autorité judiciaire les violations des dispositions applicables, mais aussi devoir de sensibilisation, d’information et d’éducation des acteurs impliqués) (article 12 bis Convention 108 révisée);
• de renforcer le rôle et les compétences du Comité consultatif de la Convention qui, au-delà de son rôle jusqu’alors consultatif, assumera un rôle d’évaluation et de suivi. Il serait d’ailleurs renommé ‘Comité conventionnel’ (articles 18 à 20 Convention 108 révisée).

12. S’agissant du droit à l’oubli numérique, il a été considéré que les garanties existantes (durée de conservation des données, droit de rectification ou d’effacement des données) ainsi que le droit d’opposition et le droit à un recours offraient une protection suffisante et étaient suffisants pour garantir le droit à l’oubli même dans le numérique et qu’il n’était par conséquent pas nécessaire d’introduire un tel droit dans la Convention.

13. En revanche, les droits des personnes concernées n’étant pas absolus, l’article 9 du projet de protocole y prévoit, tout comme la Convention 108 actuelle, de possibles restrictions lorsque cela est prévu par la loi et constitue une mesure nécessaire dans une société démocratique à la réalisation d’intérêts légitimes.

14. Comme indiqué précédemment, le Comité consultatif de la Convention deviendra Comité conventionnel. À ce titre il pourra:

• émettre des avis préalablement à l’adhésion d’une Partie à la Convention, sur le niveau de protection des données du candidat à l’adhésion;
• procéder à l’évaluation de la conformité des règles du droit interne d’une Partie;
• vérifier l’effectivité des mesures prises pour mettre en œuvre les dispositions de la Convention;
• évaluer si les normes juridiques régissant le transfert des données offrent des garanties suffisantes pour protéger les données de manière appropriée;
• élaborer des modèles de mesures juridiques standardisées;
• jouer un rôle de facilitateur à la résolution à l’amiable de difficultés surgissant dans l’application de la Convention.

15. Le mécanisme de vérification de la conformité du droit interne des Parties aux dispositions de la Convention prévu par le protocole d’amendement permettra donc d’accroître l’effectivité de la protection des données.

4. Points qui ne font pas l’unanimité

16. Fait inhabituel, le projet de Protocole d’amendement qui nous a été soumis par le Comité des Ministres est incomplet. Le Comité des Ministres n’a pas finalisé ses travaux et quelques points restent en suspens. Ces questions ne font toujours pas l’objet d’un consensus au sein du Comité des Ministres après plus d’un an de négociations menées au sein du Groupe de Rapporteurs sur la coopération juridique.

17. En effet, quatre points sont toujours en cours de négociation. Ces points ont été mentionnés par M. Walter. Il s’agit de questions ayant trait au régime d’exceptions (article 9.3 de la Convention révisée), aux flux transfrontaliers (article 12.1), au droit de vote au sein du Comité de la Convention – notamment au droit de vote de l’Union européenne (article 20) ainsi qu’aux modalités d’entrée en vigueur du protocole.

18. Eu égard à l’article 9.3 portant sur les dérogations à certaines dispositions de la Convention, il convient de noter que le projet soumis par le CAHDATA au Comité des Ministres étend largement, par rapport au texte actuel de la Convention, les possibilités d’avoir recours à de telles dérogations. Étendre plus encore le catalogue des exceptions aurait pour conséquence d’affaiblir la protection des données. Il conviendrait donc que le Comité des Ministres s’accorde à ne pas étendre ce catalogue au-delà de la proposition du CAHDATA.

19. L’article 12.1 qui a trait au principe de la libre circulation des données entre les Parties présumant un niveau de protection des données équivalent, prévoit une exception à ce principe de libre circulation dans la situation où une Partie à la Convention est régie par des règles de protection harmonisées contraignantes et communes à des États appartenant à une organisation internationale régionale, en l’occurrence ceci vise le régime de l’Union européenne. En conformité avec le mécanisme d’adéquation prévu dans le droit de l’Union européenne, les Parties à la Convention qui sont membres de l’Union européenne ne pourront échanger librement avec d’autres Parties non membres de l’Union européenne. Cette disposition, qui n’avait pas d’équivalent dans la Convention 108 auparavant, a fait l’objet de critiques, certains États ayant considéré que cette entrave à la libre circulation des données entre les Parties à la Convention allait rendre la Convention révisée moins attractive pour les États non membres de l’Union européenne. Cette disposition reflète cependant la réalité depuis l’entrée en vigueur de la Directive 95/46/CE (qui prévoit déjà la possibilité de transferts de données à caractère personnel vers des pays tiers assurant un niveau de protection en conformité avec le mécanisme d’adéquation) [(8) «(56) considérant que des flux transfrontaliers de données à caractère personnel sont nécessaires au développement du commerce international; que la protection des personnes garantie dans la Communauté par la présente directive ne s'oppose pas aux transferts de données à caractère personnel vers des pays tiers assurant un niveau de protection adéquat; que le caractère adéquat du niveau de protection offert par un pays tiers doit s'apprécier au regard de toutes les circonstances relatives à un transfert ou à une catégorie de transferts.»]. Il apparaît alors crucial pour l’attractivité de la Convention que l’Union européenne mette la Convention au premier plan dans le cadre de ses relations et négociations avec des États tiers, cela à plus forte raison que la Convention est d’application aussi bien au secteur privé qu’au secteur public. Il serait souhaitable que l’Union européenne s’engage, par le biais d’une déclaration d’intention peut-être, à ce que l’adhésion à la Convention 108 (et a fortiori à la Convention révisée) soit un facteur prépondérant dans la reconnaissance de l’adéquation [(9) Voir en ce sens www.europarl.europa.eu/meetdocs/2014_2019/documents/libe/dv/auditionlibe_/auditionlibe_en.pdf.] [(9) «Un premier pas a été fait avec une communication de la commission du 29 novembre 2013 au Parlement européen et au Conseil concernant les flux de données entre l’Union européenne et les États-Unis dans laquelle la commission estime qu’il faut favoriser l’adhésion d’État tiers à la Convention.» Le Considérant 105 du Règlement européen RGPD stipule également que dans l’appréciation du niveau adéquat il y a lieu, en particulier, de prendre en considération l’adhésion du pays tiers à la Convention 108.]. La prise en compte par l’Union européenne, comme élément favorable, de l’adhésion à la Convention d’un État candidat à une décision d’adéquation prévue par le RGPD (Règlement général sur la protection des données) est un pas dans cette direction qu’il convient de saluer et qui devra s’accompagner d’efforts de promotion de la Convention.

20. En ce qui concerne l’article 20, qui prévoit les modalités de vote au sein du Comité de la Convention, le CAHDATA n’avait pas été chargé de traiter de cette question et le projet de protocole d’amendement soumis au Comité des Ministres en juin 2016 ne comportait donc aucune proposition à cet égard. Il avait en effet était jugé que la question du droit de vote dépassait le cadre spécifique de la protection des données et qu’il s’agissait d’une question politique et stratégique à l’échelle de l’Organisation et de la participation de l’Union européenne aux travaux du Conseil de l’Europe. Comme M. Walter l’a expliqué à la commission, la dynamique est binaire: d’aucuns souhaiteraient que le principe d’ «une Partie, un vote» soit maintenu, d’autres souhaiteraient que l’Union européenne vote au nom de ses États membres, le cas échéant avec un mécanisme préservant l’équilibre décisionnel avec pour l’essentiel recours à des «hypers majorités» (c’est-à-dire des majorités qualifiées avec un seuil élevé) et à une règle d’abstention de la Partie concernée en cas d’évaluation.

21. Dernier point n’ayant pas fait l’objet d’un consensus, et pas des moindres: les dispositions régissant l’entrée en vigueur du protocole d’amendement. Le projet préparé par le CAHDATA prévoit une entrée en vigueur «tacite» deux ans après l’ouverture du protocole d’amendement à la signature, sauf si une partie notifie une objection à son entrée en vigueur. Bien qu’une telle clause ait déjà été utilisée pour d’autres conventions du Conseil de l’Europe – certes à caractère plus technique (par exemple très récemment pour le Protocole portant amendement à la Convention européenne du paysage, STCE n° 219, 2016) [(10) Voir encore le Protocole additionnel à l'Accord européen relatif à l'échange de substances thérapeutiques d'origine humaine (STE n° 109), le Protocole additionnel à l'Accord pour l'importation temporaire en franchise de douane, à titre de prêt gratuit et à des fins diagnostiques ou thérapeutiques, de matériel médico-chirurgical et de laboratoire destiné aux établissements sanitaires (STE n° 110), le Protocole additionnel à l'Accord européen relatif à l'échange des réactifs pour la détermination des groupes sanguins (STE n° 111) et le Protocole portant amendement à la Convention européenne sur la télévision transfrontière (STE n° 171).], certains gouvernements s’y opposent car le pouvoir souverain des parlements en matière de ratification de traités internationaux ne serait pas respecté. En ma qualité de parlementaire, il s’agit évidemment d’un point de vue que j’ai tendance à partager. Cependant, nous devons garder à l’esprit l’énorme lourdeur qu’implique une procédure classique d’adoption s’agissant d’un protocole d’amendement à faire ratifier par l’ensemble des États Parties à la Convention 108, soit 51 pays. Dix années pourraient s’écouler sans que le protocole d’amendement ne soit entré en vigueur. Nous nous souvenons tous du délai d’entrée en vigueur du Protocole no 14 à la Convention européenne des droits de l’homme (STCE no 194) dont l’entrée en vigueur a été retardée pendant presque quatre ans parce qu’un seul État Partie ne l’avait pas ratifié. La condition de ratification par tous les États Parties à la Convention européenne des droits de l’homme s’est révélée être un écueil d’une importance telle que le Comité des Ministres avait alors pris l’initiative d’élaborer le Protocole no 14 bis conçu comme un protocole additionnel, dont la ratification par l’ensemble des États Parties n’était pas indispensable [(11) Voir à ce sujet le rapport sur le «Projet de Protocole no 14 bis à la Convention de sauvegarde des droits de l'homme et des libertés fondamentales» (rapporteur: M. Klaas de Vries, Pays-Bas, SOC), Doc. 11879, et Avis 271 (2009) (adopté le 30 avril 2009).]. Si malgré tout le Comité des Ministres finissait par trouver un accord sur le texte du protocole d’amendement avec une clause de ratification classique, celle-ci devrait au minimum être assortie d’une procédure prévoyant l’évaluation du processus de ratification au bout d’une période donnée, par exemple après 15 mois. Si à ce moment-là la ratification par toutes les Parties n’était pas proche d’aboutir, le Comité des Ministres devrait prévoir de s’engager sur une autre voie.

5. Le besoin éventuel d’aller vers une nouvelle convention?

22. Bien que, pour éviter que la Convention 108 ne devienne obsolète, les travaux sur le protocole d’amendement aient commencé il y a plus de sept ans, les négociations ont duré si longtemps que l’entrée en vigueur rapide de la Convention révisée est devenue une nécessité. En effet, si l’entrée en vigueur de la version révisée de la Convention 108 devait prendre plusieurs années, le Conseil de l’Europe perdrait sa place de pionnier et de référence dans le domaine de la protection des données.

23. Fort de ce constat, et étant donné la nature et la durée du désaccord au sein du Comité des Ministres, peut-être serait-il plus sage à ce stade d’acter du désaccord, et donc d’envisager une autre voie.

24. S’il s’avère en effet impossible de s’accorder sur une clause d’entrée en vigueur du protocole d’amendement qui lui permettrait d’entrer en vigueur rapidement, alors la révision de la Convention 108 perdra son sens. La clause d’entrée en vigueur tacite pose problème, à juste titre, eu égard aux compétences des parlements en matière de ratification de traités internationaux.

25. Dans ces conditions, la rédaction d’une nouvelle convention, dont le texte ne serait autre que celui de la Convention révisée tel que préparé par le CAHDATA, auquel je crois comprendre qu’il conviendrait d’ajouter les propositions relatives au droit de vote développées dans l’intervalle (les autres questions en suspens – du régime d’exceptions et des flux transfrontaliers – étant en passe d’être résolues), pourrait offrir une solution alternative.

26. Certes, la rédaction d’une nouvelle convention aurait pour effet de mettre en place un système à deux vitesses, avec des États Parties à la Convention 108 et d’autres Parties à la Convention révisée. Pendant quelques années au moins, voire quelques décennies, si l’un ou l’autre État demeure réfractaire aux dispositions mises à jour, deux conventions du Conseil de l’Europe ayant le même objet seraient en vigueur en parallèle. Certaines complications structurelles seraient inévitables (telle que l’existence de deux comités conventionnels sur des questions pour le moins connexes). Mais cela permettrait d’éviter qu’un protocole d’amendement nécessitant la ratification de 51 États Parties n’entre pas en vigueur pendant ce qui pourrait durer des décennies.

27. À choisir entre avoir un système unique consistant en la Convention 108, surannée, et un protocole d’amendement certes à jour mais ne voyant pas le jour (car pas en vigueur dans un avenir proche), et un système à deux vitesses avec la vieille Convention 108 en vigueur et une nouvelle convention (à jour et qui pourrait entrer rapidement en vigueur après un nombre limité de ratifications), l’adoption d’une nouvelle convention me semble être la solution la plus raisonnable. Cela permettrait au Conseil de l’Europe de conserver son statut de pionner et de référence dans le domaine de la protection des données à caractère personnel.

6. Conclusions

28. Pour conclure, le Comité des Ministres nous a soumis un projet de protocole d’amendement quasi abouti et équilibré qu’il est urgent de finaliser. Le projet de texte a été soigneusement rédigé par le Comité consultatif de la Convention 108 puis par le CAHDATA, sous la tutelle du Comité des Ministres, et les ajouts sont parfaitement motivés. Le protocole devrait effectivement contribuer à moderniser la Convention 108 en vue de répondre – sur la durée – aux défis émergents en matière de protection des données. Je ne propose donc aucun amendement au texte et il convient d’accueillir favorablement dans leur intégralité les dispositions qui nous ont été soumises pour avis.

29. La réelle difficulté réside évidemment dans les points qui ne font pas encore l’objet d’un consensus et surtout les modalités d’entrée en vigueur du protocole d’amendement.

30. Etant donné l’urgence de parvenir à un accord, il semblerait judicieux d’envisager de transformer le projet de protocole d’amendement de la Convention 108 en une nouvelle convention. Les importants écueils liés à la question des modalités de mise en œuvre du protocole d’amendement seraient ainsi évités. Une clause d’entrée en vigueur classique prévoyant l’entrée en vigueur de la nouvelle convention après par exemple cinq ratifications incluant au moins trois États membres du Conseil de l'Europe [(12) Comme cela a été le cas récemment pour la Convention du Conseil de l’Europe contre le trafic d’organes humains (STCE n° 216), article 28.3: «La présente Convention entrera en vigueur le premier jour du mois suivant l’expiration d’une période de trois mois après la date à laquelle cinq signataires, dont au moins trois États membres du Conseil de l’Europe, auront exprimé leur consentement à être liés par la Convention, conformément aux dispositions du paragraphe précédent.»], ou six et quatre [(13) Comme cela a été le cas pour le Protocole additionnel à la Convention du Conseil de l’Europe pour la prévention du terrorisme (STCE n° 217), article 10.2: «Le présent Protocole entrera en vigueur le premier jour du mois qui suit l’expiration d’une période de trois mois après le dépôt du sixième instrument de ratification, d’acceptation ou d’approbation, dont au moins quatre États membres du Conseil de l’Europe.»] respectivement, permettrait sans nul doute une entrée en vigueur rapide du nouveau traité, d’autant qu’une volonté marquée de la part de l’Union européenne d’assurer une entrée en vigueur rapide de ce nouvel instrument pourrait être présagée. Le texte existe et les propositions de modernisation «minutieusement rédigées» (comme le fait fort justement remarquer le Comité des Ministres dans sa réponse à la Recommandation 2102 (2017) de l’Assemblée) pourraient être reprises en l’état sous la forme d’une nouvelle convention. Il s’agirait là, selon toute vraisemblance, de la solution la plus rationnelle et la plus efficace à ce stade des discussions.