B. UNE STRUCTURE DE COOPÉRATION POLICIÈRE QUI A DÉMONTRÉ SON EFFICACITÉ MAIS QUI EST « SOUS SURVEILLANCE » EN MATIÈRE DE PROTECTION DES DONNÉES
1. L'efficacité d'Europol est aujourd'hui démontrée dans l'analyse de la criminalité et le soutien opérationnel aux services de police des États membres
L'action de soutien d'Europol a démontré son efficacité dans plusieurs domaines, au cours des dernières années.
a) Une capacité d'analyse de référence sur la criminalité
Europol est tout d'abord aujourd'hui un organe de référence pour l'élaboration d'analyses thématiques et de « photographies » de l'évolution de la criminalité à vocation prospective et stratégique (en 2025, l'agence a produit 35 analyses stratégiques et 451 rapports d'analyse opérationnelle) : il faut citer à cet égard, le rapport EU-SOCTA (pour EU Serious and Organised Crime Threat Assessment)11(*), déjà évoqué, qui évalue régulièrement les principales « figures » et les grandes tendances de la criminalité organisée dans l'Union européenne. Dans le cadre de cette analyse, en 2025, l'agence a démontré le changement de physionomie de la criminalité organisée en Europe, à savoir une criminalité intégrant le numérique dans leurs stratégies et actions (messageries cryptées ; « dark web » ; cryptomonnaies...), plus violente et plus internationalisée.
Le développement de ces usages en ligne est aussi le fait des groupes terroristes actifs en Europe. C'est l'une des conclusions du dernier rapport d'Europol sur la situation du terrorisme et ses principales évolutions en Europe (UE-TE SAT)12(*), paru en juillet dernier. Ce rapport souligne, à la fois, que la menace terroriste demeure élevée en Europe (avec 45 attentats terroristes constatés en 2025 dans dix États membres), que les idéologies terroristes et extrémistes violentes bien établies persistent (djihadisme, terrorisme d'extrême droite, d'extrême gauche, anarchiste et ethno-nationaliste) mais que la menace se complexifie avec des frontières plus floues.
Quant au dernier rapport d'Europol sur l'évaluation de la menace de la criminalité organisée sur internet (IOCTA pour Internet Organised Crime Threat Assessment)13(*), paru en avril 2026, il précise que la criminalité numérique est puissante, résistante et démontre une remarquable capacité d'adaptation. Facilitées par l'intelligence artificielle (IA) générative, les fraudes en ligne augmentent fortement alors que les « rançongiciels »14(*) et les abus sexuels sur mineurs en ligne demeurent élevés. Face à cette criminalité qui se sophistique, le rapport appelle Europol et les services de police à combler au plus vite ce fossé technologique d'assurer la sécurité dans le monde numérique.
b) Un appui opérationnel précieux pour les États membres
Europol a également acquis et développé une expertise sectorielle mise à disposition des États membres, avec ses centres spécialisés précités, dans l'appui opérationnel aux services compétents des États membres.
Les différentes structures spécialisées d'Europol :
a) un centre opérationnel et d'analyse (Operational and Analysis centre ou OAC en anglais), qui a été mis en place en juin 2020, et est actif 24h/24h et 7 jours sur 7. Il est le premier interlocuteur des États membres et des pays tiers lorsqu'ils demandent un soutien en matière de traitement des données, la constitution d'une équipe commune d'enquête...
b) le centre européen de lutte contre la grande criminalité et la criminalité organisée (European serious and organised crime centre (ESOCC)), qui apporte un soutien opérationnel aux services de police des États membres enquêtant sur ces réseaux criminels (analyse du renseignement criminel ; apport d'une expertise spécifique ; déploiements de moyens de soutien sur le terrain ; échange d'informations en temps réel...). Il est constitué de trois piliers :
· l'unité contre le crime organisé, spécialisé dans la lutte contre la grande criminalité, la criminalité environnementale et les crimes contre les biens ;
· l'unité drogues, spécialisée dans la lutte contre le narcotrafic, dans les armes à feu et les explosifs ;
· le centre européen de lutte contre le trafic de migrants (European migrants smuggling centre ou EMSC), mis en place en 2016, qui, en lien avec l'agence européenne de coopération judiciaire (Eurojust) et l'agence européenne de gardes-frontières et de garde-côtes (Frontex), aide les services de police et de contrôle des frontières à coordonner des opérations transfrontalières très complexes de lutte contre les trafics de migrants.
En 2024, l'ESOCC a apporté son soutien à 1 187 opérations de police, qui ont conduit à 2 977 arrestations et à la saisie de 346 millions d'euros ;
c) le centre européen de lutte contre la cybercriminalité (European cybercrime centre ou EC3), créé en 2013, apporte ce même soutien opérationnel dans les affaires de cybercriminalité (cyberattaques ; abus sexuels sur les enfants en ligne ; fraudes...). En 2024, il a apporté son soutien à 535 opérations qui ont conduit à 199 arrestations ;
d) institué à la suite des attentats de 2015 en France et dans plusieurs États membres, le centre européen de lutte contre le terrorisme (European counter terrorism centre ou ECTC) appuie les opérations des États membres contre les groupuscules terroristes (collecte et traitement de données ; échanges d'information...). En 2024, il a soutenu 1 255 opérations qui ont mené à 56 arrestations ;
e) le centre européen de lutte contre la criminalité financière et économique (European economic and financial crime centre ou EFECC), établi en 2020, assiste les États membres dans leurs enquêtes relatives aux faits de corruption, au blanchiment de capitaux ou aux fraudes, par des actions de renseignement, d'analyse ou d'identification des avoirs criminels. Ce centre a soutenu 400 opérations en 2024, qui ont conduit à l'arrestation de 979 personnes et à la saisie d'un montant de 1,15 milliard d'euros.
Ainsi, en 202515(*), Europol a contribué à l'arrestation de 3 328 personnes, ainsi qu'à la saisie de 2,8 milliards d'euros d'avoirs criminels.
Services de police et autorités compétentes des États membres et de pays tiers ont échangé 2,1 millions de messages et ont ouvert 191 000 dossiers sur le système d'information sécurisé d'Europol (SIENA).
Également en 2025, le centre européen de lutte contre la grande criminalité et la criminalité organisée d'Europol a soutenu 1 378 opérations des services de police des États membres.
À titre d'exemple :
· en février 2025, un vaste réseau de trafic de drogue entre l'Espagne et la France a été démantelé. L'opération, menée par la France avec le soutien de l'Espagne et d'Europol, visait un réseau responsable de l'importation de résine de cannabis et de cocaïne en France, via l'Espagne. Cette opération a conduit à l'arrestation de 24 personnes et à la saisie de 151 kg de drogues, pour une valeur estimée de 2,5 millions d'euros ;
· en octobre 2025, un réseau de criminels « russophones » impliqué dans le vol de plus de 100 véhicules de luxe, pour un coût estimé à 3 millions d'euros, a été arrêté dans le cadre d'une opération internationale conduite par l'Italie avec le soutien d'Europol et d'Eurojust. 9 personnes ont été arrêtées ;
· enfin le 19 novembre 2025, une action coordonnée par la Bulgarie et soutenue par Europol a permis le démantèlement d'un réseau criminel impliqué dans un large trafic de biens culturels à travers l'Europe et au-delà. Cette opération, impliquant des services de police et des autorités judiciaires originaires d'Albanie, d'Allemagne, de France, de Grèce, d'Italie et du Royaume-Uni, a abouti à l'arrestation de 35 personnes, à la saisie de 3 000 objets d'art pour une valeur estimée de 100 millions d'euros.
Le démantèlement des réseaux criminels utilisant Encrochat est l'une des plus grandes opérations de police criminelle menée à ce jour
Encrochat (fermée en 2020) et Sky ECC (décryptée à partir de 2019) étaient deux messageries cryptées utilisées par les réseaux criminels actifs en Europe.
À partir de 2017, la gendarmerie française a découvert le système de communications clandestin Encrochat. Ensuite épaulés par Europol, Eurojust et la police néerlandaise dans le cadre d'une équipe commune d'enquête (ECE), les enquêteurs ont analysé plus de 115 millions de messages concernant 60 000 usagers, afin d'en extraire les données pertinentes. Cette opération « hors normes », surnommée « Emma », a conduit à l'arrestation de 6 558 personnes et à la saisie de 900 millions d'euros d'avoirs criminels, de 270 tonnes de drogues, de 971 véhicules, de 271 propriétés et de 923 armes.
Une seconde opération, coordonnée par Europol depuis 2021, avec la participation de la France, de la Belgique et des Pays-Bas - qui est toujours en cours - a visé une autre messagerie cryptée utilisée par les réseaux criminels : Sky ECC. La plateforme proposait diverses fonctionnalités, notamment la confidentialité des échanges (messages, photos ou messages vocaux) et l'anonymat des utilisateurs, ainsi que des mesures de sécurité inédites pour protéger les appareils. L'application a donc été largement utilisée pour des activités criminelles, telles que le trafic de drogue et le blanchiment d'argent.
Même si SKY ECC a été officiellement fermée en mars 2021, des centaines de millions de messages chiffrés demeurent accessibles. Ceux-ci fournissent des renseignements précieux sur la structure, le fonctionnement et les liens internationaux des réseaux criminels, et continuent d'étayer des enquêtes au sein de l'Union européenne.
c) Le développement de la coopération européenne et internationale d'Europol
(1) La coopération avec les autres organes de l'Union européenne
Enfin, depuis la révision de son statut en 2022, et conformément à la stratégie de sécurité intérieure de l'Union européenne, Europol travaille au renforcement des synergies entre son action et celle des autres organes de l'Union européenne compétents en matière d'enquêtes pénales et de lutte contre la criminalité financière, tels qu'Eurojust, le Parquet européen, ou l'Autorité européenne de lutte anti blanchiment.
Avec Eurojust, Europol doit partager des informations, peuvent convenir de mettre en commun des plateformes opérationnelles communes et d'autres formes de coopération structurée. Les deux agences doivent aussi coopérer pour aider les autorités compétentes des États membres dans le contexte d'enquêtes numériques et de l'accès aux données (article 82).
Avec le Parquet européen, l'article 81 de la proposition de règlement établit et entretient « une relation étroite » sur la base d'un arrangement de travail. Si le Parquet le demande, Europol doit soutenir ses enquêtes. L'agence doit aussi lui accorder un accès indirect à ses informations.
|
Autorité concernée |
Base |
Modalités de coordination |
|
Eurojust (agence européenne de coopération judiciaire pénale) |
*Règlements statutaires d'Europol et d'Eurojust *Accord de coopération (2010) et protocole d'accord (2018) |
-Coopération stratégique et opérationnelle ; -Information mutuelle sur les affaires en cours ; -Nomination de représentants d'Eurojust dans certains centres d'expertise d'Europol. |
|
Parquet européen (sa mission est de lutter contre les atteintes aux intérêts financiers de l'Union européenne) |
Règlement statutaire d'Europol (depuis sa révision de 2022) |
-Europol doit « collaborer étroitement » avec le Parquet européen et soutenir ses enquêtes ; -Europol doit aussi signaler au Parquet européen tout acte délictueux relevant de sa compétence ; -Le Parquet européen obtient un accès indirect à certaines données d'Europol. |
|
Frontex (agence européenne de garde-frontières et de garde-côtes) |
*Règlement « Schengen » de 2019 ; *Arrangement de travail signé en 2015, remplacé par un nouvel arrangement signé en juillet 2026 |
*Échange d'informations, y compris des données personnelles, sur la situation migratoire aux frontières, sur les réseaux de passeurs... *Coopération opérationnelle (opérations conjointes ; échanges d'experts et d'officiers de liaison ; formations communes...). |
|
Autorité européenne de lutte anti-blanchiment (ALBC) |
La création de l'ALBC est récente (2024). Les bases juridiques de sa coopération avec Europol sont prévues dans la présente proposition de règlement |
|
|
Office de lutte anti-fraude de l'Union européenne (OLAF) |
Arrangement de travail |
|
|
Agence de l'Union européenne sur les drogues |
Arrangement de travail |
(2) La coopération avec les pays tiers et les organisations internationales
Europol a aussi développé une coopération avec les organisations internationales et certains pays tiers, dans le domaine de la sécurité et des affaires intérieures. Cette coopération suppose le plus souvent des échanges d'informations, y compris des données personnelles. Conformément à l'article 25 du règlement (UE) 2016/794, ces échanges sont basés :
· sur une décision « d'adéquation » de la Commission européenne16(*), selon laquelle le pays tiers, un territoire ou un ou plusieurs secteurs déterminés au sein de ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat. Ce type de décision existe, par exemple, avec le Royaume-Uni ;
· sur un accord international conclu entre l'Union européenne et le pays tiers ou l'organisation internationale concerné17(*), offrant des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes. Précédemment, le Conseil a autorisé l'ouverture de négociations avec l'Algérie, l'Égypte, la Jordanie, Israël, le Liban, le Maroc, la Tunisie et la Turquie en vue d'accords internationaux sur l'échange de données à caractère personnel avec Europol ;
· sur un accord de coopération autorisant l'échange de données à caractère personnel, conclu avant le 1er mai 2017 entre Europol et le pays tiers ou l'organisation internationale concerné18(*). De tels accords existent avec les États-Unis et la Suisse ;
En complément, l'agence a passé des arrangements de travail avec plusieurs pays tiers et organisations19(*).
2. Mais les pratiques de l'agence en matière de traitement des données personnelles sont contestées
a) Un conflit au long cours entre l'agence et le Contrôleur européen de la protection des données (CEPD) sur la conservation et le traitement, par l'agence, de volumes massifs de données personnelles...
Par essence, les traitements de données personnelles par Europol sont sensibles et doivent être soumis aux « garanties appropriées » du règlement (UE) 2018/1725 et du règlement statutaire « Europol » lui-même.
Cependant, la mise en oeuvre effective de ces modalités de traitement des données personnelles par l'agence a suscité des tensions entre elle et le CEPD.
Ainsi, le 30 avril 2019, ce dernier lançait une enquête sur les traitements de volumes massifs de données à des fins d'analyses stratégiques et opérationnelles, afin de vérifier la compatibilité de ces traitements avec le cadre juridique européen de protection des données, au regard du principe de minimisation des données20(*), de l'exactitude des données traitées ou encore, des durées de stockage.
À la suite de cette enquête, le 17 septembre 2020, le CEPD concluait à des pratiques incompatibles avec les règles applicables concernant les grands volumes de données, et adressait un avertissement à Europol. Soucieux de préserver la capacité de l'agence à soutenir efficacement les enquêtes pénales des services de police, cet avertissement ne recommandait ni l'arrêt des traitements concernés, ni l'effacement immédiat des données visées, mais demandait à Europol d'adopter un plan d'action pour résoudre les difficultés constatées (dans un délai de deux mois) et d'en rendre compte (dans un délai de six mois).
Par la suite, l'agence avait présenté son plan d'action (17 novembre 2020) mais avait indiqué qu'elle devait conserver les données intéressées aussi longtemps que cela est nécessaire et proportionné pour le soutien aux enquêtes, sans fixer de délai maximal. En réponse, le CEPD avait estimé que ce plan était insuffisant et préconisé de renforcer les actions annoncées, en particulier en fixant une durée maximale de conservation des données non catégorisées. Europol avait proposé plutôt une durée de vingt mois (prolongée, le cas échéant, d'une période de six mois supplémentaires).
Face à ce « dialogue de sourds », le CEPD avait émis une décision21(*) dans lequel il enjoignait à Europol, d'une part, de « catégoriser » toutes les données personnelles qu'elle recevrait dans un délai de six mois de leur réception ou, à défaut, de les effacer (par exception, un délai de douze mois lui était accordé pour « catégoriser » les données déjà en sa possession au jour de la notification de la décision) et, d'autre part, de présenter des rapports d'étape tous les trois mois sur sa mise en oeuvre.
L'affaire n'en est pas restée là car le Conseil et le Parlement européen, qui négociaient la réforme statutaire de l'agence finalement adoptée en juin 2022, ont décidé d'autoriser l'agence à poursuivre ses traitements des grands ensembles de données en lui faisant bénéficier de dix-huit mois pour effectuer une analyse préalable des données reçues des États membres et les « catégoriser », cette période pouvant être prolongée pour une nouvelle période de dix-huit mois.
b) ...a été tranché par la révision du règlement « Europol » de 2022, qui autorise ces traitements, tout en prévoyant plusieurs garanties
La révision du règlement « Europol » en 202222(*) a autorisé l'agence à effectuer des traitements de données personnelles dans quatre situations distinctes : soit, parce qu'elles appartiennent aux catégories de données dont les traitements sont autorisés (ces catégories étant mentionnées dans une liste limitative prévue à l'annexe II du règlement « Europol »), soit, parce qu'elles ont été transmises à Europol, en lien avec une demande de soutien dans une enquête pénale, par un État membre, le Parquet européen, Eurojust ou un pays tiers, soit, encore, pour vérifier que des données non identifiées peuvent être classées dans les deux premières catégories, soit, enfin, parce que ces données portent sur des projets de recherche et d'innovation.
Dans le cadre de son soutien aux enquêtes menées par les services compétents des États membres, l'agence a aussi été autorisée à traiter des ensembles de données vastes et complexes de données personnelles, de manière à déterminer des liens entre ces données et celles d'autres affaires ou avec des réseaux criminels connus.
Enfin, pour les nombreuses données personnelles qui étaient en sa possession et qui faisaient l'objet du litige avec le CEPD, Europol a obtenu un délai de dix-huit mois pour les « catégoriser » avec une possibilité de prolonger cette période jusqu'à trois ans lorsque cela est nécessaire et proportionné.
Cependant, cette révision du règlement « Europol » de 2022 a aussi confirmé ou ajouté plusieurs garanties procédurales destinées à assurer la protection des données personnelles et, par là-même, celles des personnes dont les données font l'objet des traitements précités :
· l'agence doit ainsi traiter les données à caractère personnel « loyalement et licitement », les collecter « pour des finalités déterminées, explicites et légitimes », sans les traiter « ultérieurement de manière incompatible avec ces finalités. » ;
· les données traitées doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées », et « exactes et tenues à jour ». Elles doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées et traitées de manière à leur assurer un niveau de sécurité approprié (article 28) ;
· l'agence ne doit traiter que les données personnelles appartenant aux catégories mentionnées à l'annexe II du règlement « Europol » actuel ou celles qu'elle doit essayer de « catégoriser » ;
· les traitements de données par l'agence sont contrôlés, à la fois, par un délégué à la protection des données désigné au sein de l'agence et travaillant en toute indépendance, par les autorités de contrôle nationales compétentes (ex. : la CNIL pour la France) et par le Contrôleur européen de la protection des données (CEPD) ; article 39) ;
· tout nouveau type de traitement de catégories particulières de données ou comportant un risque pour les droits et libertés fondamentaux, doit faire l'objet d'une consultation préalable du CEPD (qui répond alors au conseil d'administration de l'agence dans un délai de deux mois ; article 39) ;
· Europol établit une « journalisation » des traitements de données personnelles, c'est-à-dire qu'elle met en place des relevés de la collecte, de la modification, de l'accès, de la divulgation, de la combinaison ou de l'effacement des données à caractère personnel (article 40) ;
· toute violation de données à caractère personnel constatée doit donner lieu à une notification au CEPD et aux autorités compétentes des États membres concernés (article 34) ;
· les personnes concernées par ces traitements ont à la fois, un droit d'accès aux données et un droit de rectification, d'effacement ou de limitation de ces données (articles 36 et 37).
* 11 Voir le dernier rapport EU-SOCTA, daté du 18 mars 2025 : « Le changement d'ADN de la criminalité grave et organisée ». Ce rapport souligne en particulier l'augmentation du recours à la violence, aux mineurs et aux technologies numériques, par les réseaux criminels actifs en Europe.
* 12 Rapport sur la situation et les tendances en matière de terrorisme dans l'Union européenne en 2026, en date du 13 juillet 2026. Sur les 45 attaques terroristes répertoriées dans dix États membres en 2025, 24 ont été perpétrés par des terroristes djihadistes, 12, par des terroristes d'extrême-gauche, 4, par des terroristes d'extrême-droite et 4 ne peuvent être attribuées à un « courant idéologique ».
* 13 « L'évolution du paysage des menaces : comment le cryptage, les proxys et l'IA sont en train d'étendre la cybercriminalité. » ; rapport IOCTA du 28 avril 2026.
* 14 Le « rançongiciel » (ou « ransomware » en anglais) est un type d'attaque informatique qui bloque l'accès à l'appareil ou aux fichiers d'une victime et qui exige le paiement d'une rançon en échange du rétablissement de l'accès.
* 15 Les chiffres mentionnés sont issus du rapport annuel d'activité consolidé d'Europol (2025), 22 juin 2026.
* 16 Conformément à l'article 36 de la directive (UE) 2016/680.
* 17 Prévu par l'article 218 du traité sur le fonctionnement de l'Union européenne (TFUE).
* 18 Conformément à l'article 23 de la décision 2009/371/JAI.
* 19 Andorre ; Argentine ; Arménie ; Chili ; Corée du sud ; Égypte ; Équateur ; Inde ; Israël ; Japon ; Jordanie ; Kosovo ; Mexique ; Qatar ; San Marin ; Singapour.
* 20 En application de l'article 28 du Règlement Général sur la protection des données (RGPD), ce principe pose que les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.
* 21 Décision du 21 décembre 2021 (dossiers 2019-0370 et 2021-0699).
* 22 Règlement (UE) 2022/991 du 8 juin 2022.