Parquet européen : comment concilier procédure pénale et respect des données personnelles ?

Au terme de près de 10 mois de recherche, Vanessa Franssen et Marine Corhay ont bouclé une étude commandée par l’EDPS (European Data Protection Supervisor - Contrôleur Européen de la Protection des Données) relative au tout nouveau Parquet européen. Retour sur un travail de longue haleine.

D’ici le 1^er juin 2021, le tout nouveau Parquet européen devrait commencer à enquêter et poursuivre en justice les auteurs d’infractions portant atteinte au budget de l’Union européenne. Fraude transfrontalière à la TVA, corruption, détournement de subsides européens… Chaque année plusieurs milliards d’euros échappent au budget européen. Cet organe supranational sera chargé de lutter contre ces atteintes aux intérêts financiers de l’Union.

Une structure hybride qui pose question

Sur le papier, la mission de ce nouvel organe semble limpide. Mais dans la pratique, une série de questions se posent. « Le Parquet européen est une structure hybride et très imbriquée », explique Vanessa Franssen. « Sa principale particularité est qu’il fonctionne à la fois de manière centralisée, depuis son siège au Luxembourg, et de manière décentralisée via un réseau de procureurs européens délégués au niveau des États membres. Ces derniers sont chargés de mener les enquêtes sur le terrain et les poursuites pénales devant les tribunaux nationaux. »

Parmi les questions pratiques que suscite le fonctionnement de ce nouvel organe, il y a celle, délicate, du respect des règles en matière de protection des données. Quelle instance est compétente pour superviser quoi ? Dans quels cas faut-il s’en référer au règlement européen ou aux règles en vigueur au niveau national ? Comment les échanges de données à caractère personnel entre le niveau national et le niveau européen vont-ils s’organiser ? C’est pour apporter des éléments de réponse à ces questions très concrètes que l’EDPS a sollicité Vanessa Franssen.

Une matière en évolution constante

Près de 10 mois de recherche ont été nécessaires à Vanessa Franssen et Marine Corhay pour finaliser leur étude. Pour ce faire, elles se sont appuyées sur l’analyse de documents juridiques, de la recherche comparative et des entretiens avec les différentes parties prenantes (par vidéoconférence ou téléphone, COVID-19 oblige…).

« Cela n’a pas été évident de travailler sur cette matière, car c’est un sujet qui a continué d’évoluer au cours de notre recherche. Par exemple, en Belgique, la loi prenant les dispositions nécessaires pour l’entrée en fonction du Parquet européen date du 17 février 2021. Nous avons dû à chaque fois prendre connaissance des nouveaux éléments et les incorporer à notre travail », explique Vanessa Franssen.

« Par ailleurs, la protection des données reste un sujet sensible avec, bien souvent, des logiques très différentes entre d’une part les autorités pénales et, de l’autre, celles chargées de protéger les données personnelles. Susciter le dialogue entre ces deux univers n’est pas toujours simple », ajoute-t-elle.

Une mise en pratique qui s’annonce complexe

Au terme de leur étude, Vanessa Franssen et Marine Corhay confirment le rôle central de l’EDPS pour contrôler l’ensemble des données personnelles traitées par le Parquet européen, même celles qui se situent au niveau national. « Cela pose une série de défis, car cela suppose notamment un accès aux données et aux bâtiments pour vérifier que les données sont correctement traitées, corrigées le cas échéant… », constate Vanessa Franssen. Deux approches ont été proposées par les chercheuses : une approche fonctionnaliste et une approche pragmatique. 

Si l’approche fonctionnaliste est la seule vraiment légale, elle sera fort compliquée à mettre en place, car « elle implique une charge de travail conséquente pour l’EDPS et requiert, en plus de ressources humaines substantielles, une coopération continue entre l’EDPS et les autorités compétentes au niveau national », relève Vanessa Franssen.

L’approche pragmatique, en revanche, opère une distinction selon le niveau (national ou européen) où les données sont traitées. Elle serait plus facile à organiser puisque l’EDPS pourrait se limiter à superviser le traitement des données stockées dans le système informatique géré par le Parquet européen (le case management system). « La légalité de cette approche est cependant douteuse. En effet, le Parquet européen est, en principe, également responsable du traitement de données par les procureurs européens délégués, qui gèrent les dossiers répressifs au niveau national. De même que celui opéré par les autorités nationales aux fins des enquêtes du Parquet européen, peu importe l’endroit de stockage », commente Vanessa Franssen.

Prochaine étape pour les chercheuses : une présentation des résultats de l’étude le 31 mai prochain devant le Coordinated Supervision Committee, un comité dépendant de l’European Data Protection Board, qui devrait faciliter la supervision coordonnée du Parquet européen.

Par la suite, les chercheuses espèrent que l’étude pourra faire l’objet d’une publication en accès ouvert par l’EDPS. Elles projettent également de publier un article, car le sujet est encore peu traité et documenté. Nous ne manquerons pas de vous en tenir informés !