D. DES ÉCHANGES ET TRAITEMENTS DE DONNÉES PERSONNELLES ÉTENDUS
1. Un assouplissement important des conditions de traitement des données personnelles
Les articles 28 à 56 réforment les modalités de traitement des données et d'échange d'informations par Europol, en introduisant des souplesses réglementaires conformes à l'approche générale prônée par le règlement (UE) 2018/172535(*), qui fait l'objet d'une réécriture dans le paquet présenté par la Commission européenne, le 24 juin dernier36(*).
Le changement fondamental est prévu à l'article 32 et à l'annexe II de la proposition. En l'état du règlement « statutaire » Europol, l'agence, sauf exception, peut traiter exclusivement des données classées dans les catégories de données personnelles limitativement énumérées dans cette annexe II (qui contient aussi les catégories de personnes concernées par ces traitements). Or, la proposition de règlement supprime cette limitation. Europol pourrait désormais traiter toutes les données personnelles reçues, quels qu'en soit la source, le volume et les personnes concernées, dès lors que ce traitement est nécessaire et proportionné. Les seules obligations imposées à Europol, ultérieures à la réception des données, seraient d'essayer d'établir une distinction claire entre les données personnelles qu'elle a reçues, entre celles qui relèvent des catégories de personnes mentionnées à l'annexe II et les autres, de les classer séparément, et de les effacer immédiatement, une fois le traitement achevé.
En complément, les finalités autorisées de traitement seraient élargies, reprenant la plupart des objectifs déjà inscrits dans le droit en vigueur (recoupements ; analyses stratégiques, thématiques ou opérationnelles ; facilitation de l'échange d'informations entre États membres, Europol, d'autres organes de l'Union européenne, les pays tiers, les organisations internationales et des parties privées ; projets de recherche et d'innovation (désormais restreints à ceux menés au titre du programme-cadre de l'Union européenne) ; soutien apporté aux États membres, à leur demande, pour informer le public sur des individus, soupçonnés ou condamnés, et recherchés).
La réforme étendrait leur champ de mise en oeuvre. Ainsi, les recoupements seraient désormais possibles pour établir un lien ou d'autres rapports pertinents entre des informations relatives à une infraction pénale relevant de la compétence d'Europol, et plus seulement entre des informations relatives à des personnes soupçonnées ou à celles pour lesquelles il existe des indices concrets ou de bonnes raisons de croire qu'elles commettront des infractions. La finalité de facilitation de l'échange d'informations concernerait aussi désormais les échanges avec les « institutions », les « organismes » et les « missions » de l'UE. En outre, une nouvelle finalité serait ajoutée à la liste de celles existantes : l'établissement d'une distinction entre les « données opérationnelles »37(*) relatives aux catégories de personnes visées à l'annexe II du règlement « Europol ».
En effet, en application de l'article 73 du règlement (UE) 2018/1725, applicable à la protection des personnes concernées par les traitements de données personnelles d'Europol et des autres organes de l'Union européenne, ces données personnelles doivent être clairement distinguées par le responsable de traitement.
La proposition de règlement institue également plusieurs dispositifs techniques pour faciliter les échanges et les traitements de données personnelles : mise en place d'un service de recoupement (articles 36 à 39), d'un environnement de données d'un environnement d'analyse (articles 35 et 40), d'un mécanisme d'échange d'information avec les parties privées (article 47) et d'une « infrastructure en nuage » (cloud) pour faciliter le stockage, l'analyse, le traitement et l'échange de données (article 50).
En complément, l'article 54 de la proposition prévoit le développement d'une nouvelle application de correspondance ADN au niveau européen.
2. Des possibilités d'échanges élargies avec les autres organes de l'Union européenne, les pays tiers et les organisations internationales
La proposition adapte aussi des règles actualisées permettant à Europol de nouer une « relation étroite » avec les autres organes de l'Union européenne compétents dans l'espace de liberté, de sécurité et de justice38(*) (articles 79 à 90), afin de renforcer l'efficacité globale de la réponse de l'UE et d'éviter les « doublons » opérationnels, en prévoyant un cadre juridique pour faciliter les arrangements de travail entre Europol et les autres organes et organismes de l'UE travaillant dans l'espace de liberté, de sécurité et de justice, et en leur donnant, un accès indirect aux informations d'Europol, selon un système de/non concordance et sous réserve de réciprocité (articles 79 et 80).
Dans ces transferts de données, le principe de propriété des données39(*) serait préservé, avec cependant, une exception prévue pour les transferts de données au Parquet européen (article 81). En outre, sa mise en oeuvre serait plus complexe : en application de l'article 33, les États membres devraient indiquer les restrictions d'accès à ces informations qu'ils souhaitent faire respecter lorsqu'ils transmettent ces informations à Europol alors, qu'aujourd'hui, l'agence doit interroger l'État membre propriétaire d'une donnée, au moment où elle souhaite la transmettre à un tiers.
Les articles 92 à 95 sont relatifs à la coopération avec les pays tiers. Ils prévoient en particulier un cadre spécifique pour les échanges avec les pays associés à l'espace Schengen (statut d'observateur ; accès au service de recoupement...). Les modalités de coopération avec les parties privées, prévues aux articles 96 et 97, seraient actualisées. Les échanges de données devraient être « nécessaires et proportionnés » (évaluation au cas par cas) et soumis à plusieurs limitations (la mise en cause éventuelle des droits fondamentaux issue de ces échanges ne devrait pas être supérieur à l'intérêt public qui les justifient), ces dernières étant logiquement plus élevées lorsque la partie privée intéressé est installée hors de l'UE (le transfert devrait être alors nécessaire à la sauvegarde des intérêts vitaux de la personne concernée, à la prévention d'une menace grave et immédiate pour la sécurité publique...).
3. Un cadre européen de protection des données personnelles assoupli (articles 98 à 115)
Le régime juridique de protection des données personnelles d'Europol serait, autant que possible, aligné sur celui du règlement (UE) 2018/1725 précité (RPDUE), qui fait lui-même l'objet d'une modification en cours de négociation qui a été présentée en même temps que la réforme d'Europol (voir encadré infra).
La réforme en cours de négociation du règlement (UE) 2018/1725 (RPDUE)
Cette réforme, présentée le 24 juin dernier en même temps que celle du statut d'Europol, vise, à titre principal :
- à compléter les dispositions de son chapitre IX pour étendre au traitement des données opérationnelles à caractère personnel, la compétence des délégués à la protection des données (articles 43 à 45 du règlement (UE) 2018/1725), la tenue de registres des activités de traitement aux données opérationnelles à caractère personnelle (article 87 bis du règlement (UE) 2018/1725), les règles de coopération entre autorités compétentes (chapitre VII) et celles relatives aux recours, à la responsabilité et aux sanctions (chapitre VIII) ;
- à aligner le régime juridique des transferts internationaux de données opérationnelles à caractère personnel sur celui qui existe déjà dans la « directive justice-police » (articles 94 à 94 quinquies du règlement (UE) 2018/1725) ;
- à intégrer le Parquet européen dans le champ d'application du chapitre IX du règlement (UE) 2018/1725 précité (article 2 de ce règlement) ;
- à préciser les pouvoirs du Contrôleur européen de la protection des données (CEPD) pour le traitement des données opérationnelles à caractère personnel : pouvoir d'enquêter et d'imposer des amendes administratives (article 66) ; régime des notifications des violations de données à caractère personnel (notification d'une violation de données à caractère personnel seulement si elle est susceptible d'engendrer un risque élevé pour les droits et libertés de personnes physiques...) et à unifier le cadre juridique applicable à son activité au sein du règlement (UE) 2018/1725 (suppression des dispositions relatives au CEPD dans les textes statutaires Europol, Eurojust...). En effet, à l'heure actuelle, ses compétences divergent en fonction des organes européens concernés (Europol ; Eurojust...) et n'existent même pas à l'égard de Frontex ;
- à harmoniser, autant que possible, les dispositions du règlement (UE) 2018/1725 relatives au traitement des données opérationnelles avec celles de la proposition de règlement « omnibus numérique », qui limiteraient la portée des dispositions du RGPD. Cette harmonisation implique la transformation de l'interdiction actuelle des décisions individuelles automatisées (y compris le profilage) en autorisation sous conditions et la mise en place de garanties dont, a minima, une intervention humaine de la part du responsable de traitement (article 77 du règlement (UE) 2018/1725).
Cette réforme suppose aussi l'élargissement des motifs de restriction du droit d'accès d'une personne à ses données, en cas de demande manifestement infondée ou excessive (article 78 du règlement (UE) 2018/1725)et l'extension du délai de notification d'une violation de données opérationnelles à caractère personnel, de 72 heures aujourd'hui à 96 heures (article 92 du règlement (UE) 2018/1725). Pour rappel, le Sénat a adopté une résolution européenne n° 144 sur l'omnibus numérique », le 19 juin dernier, dans laquelle il a rappelé que « l'objet du RGPD (n'était) pas en soi la protection des données, mais la protection des libertés et droits des personnes qui sont concernées par ces données » et a souligné que les « révisions proposées au RGPD [dans « l'omnibus numérique »] (étaient) trop substantielles et potentiellement dangereuses ». Il a cependant soutenu l'extension, de 72 à 96 heures, du délai de notification des incidents relatifs aux données personnelles, estimant qu'elle donnerait davantage de temps aux délégués à la protection des données pour remplir leurs missions.
En pratique, cette référence serait applicable aux activités de l'agence (article 98), en définissant le régime juridique du traitement des données sensibles, en précisant les durées de conservation et d'effacement des données ainsi que les règles de responsabilité, en garantissant les droits des personnes concernées par les traitements en matière d'accès, d'effacement ou de rectification des données, de responsabilité en matière de protection des données, et en renforçant les mécanismes de veille, assurés par le délégué à la protection des données et l'officier aux droits fondamentaux d'Europol, ainsi qu'en matière de contrôle, mis en oeuvre par le CEPD et par les autorités nationales de contrôle.
À cet égard, l'article 108 précise qu'en cas de nécessité opérationnelle et urgente dûment justifiée, Europol pourrait débuter un nouveau traitement de données personnelles, sans attendre le résultat de la consultation préalable du CEPD. Dans ce cas, ce dernier en serait informé et son avis écrit serait pris en compte par l'agence a posteriori.
Enfin, l'article 102 prévoit un cadre juridique spécifique pour la protection des données personnelles concernées par des traitements liés à des projets de recherche et d'innovation (ces traitements devant être nécessaires et « dûment motivés » ; ils doivent être lancés avec l'accord préalable du directeur exécutif ; s'ils comportent un « risque important » pour les droits fondamentaux, ils doivent être accompagnés par une analyse d'impact).
4. L'affirmation d'un rôle pionnier d'Europol en matière de recherche et d'innovation dans le domaine de la sécurité intérieure (articles 57 à 64)
Europol se voit reconnaître un rôle de conseil de la Commission européenne dans l'élaboration des programmes de financement soutenant la recherche et l'innovation (article 58), ainsi que la responsabilité de la mise en place d'un cadre commun de prospective et de développement des capacités communes. Ce dernier doit lui permettre de favoriser l'interopérabilité, la normalisation et la mise en commun des capacités des États membres dans le domaine de la sécurité intérieure.
En outre, Europol pourrait mener des activités de recherche (en particulier, de sa propre initiative ou à la demande de trois États membres, elle peut développer des « capacités avancées »), expérimenter des outils algorithmiques et des systèmes d'intelligence artificielle (IA) via un « bac à sable » réglementaire40(*), et effectuer des essais.
5. Une gouvernance d'Europol remodelée au profit de la Commission européenne
Le dernier grand volet de la réforme tend à modifier structurellement l'organisation interne d'Europol. Cette dernière est aujourd'hui composée d'un conseil d'administration (où siègent un représentant par État membre et un représentant de la Commission européenne), chargé de définir les priorités stratégiques de l'agence et de voter son budget, et d'un directeur exécutif, qui assure la gestion de l'agence et rend compte au conseil d'administration.
La proposition tend à modifier structurellement cette gouvernance - et à la complexifier.
Europol est aujourd'hui dirigée par un conseil d'administration, composé d'un représentant par État membre et d'un représentant de la Commission européenne, et par un directeur exécutif désigné sur la base d'une liste établie par le Conseil.
Or, sans justification et à traité constant, la réforme prévoit la création d'un poste de représentant supplémentaire et d'un « quasi droit de veto » pour la seule Commission européenne au sein du conseil d'administration. D'une part, l'article 73 de la proposition de règlement prévoit que, lorsque la Commission rend un avis négatif pour des motifs liés au respect du droit de l'Union, à la compatibilité avec les objectifs stratégiques de l'Union ou à la bonne gestion financière, le conseil d'administration doit réexaminer le projet de document unique de programmation avant son adoption. D'autre part, l'article 74 de la proposition de règlement précise que lorsque la Commission exprime de fortes préoccupations au sujet d'une proposition de décision présentée au conseil d'administration sur des questions liées au règlement délégué (UE) 2019/715, qui porte règlement financier-cadre des organismes créés en vertu du traité sur le fonctionnement de l'Union européenne et du traité Euratom, ainsi qu'au statut des fonctionnaires et au régime applicable aux autres agents, le conseil d'administration reporte l'adoption de la décision concernée. Dans un délai de quinze jours, le conseil d'administration devrait alors réexaminer la décision, l'adoption étant conditionnée à majorité des deux tiers, incluant les représentants de la Commission, ou une majorité des quatre cinquièmes des représentants des États membres .
La proposition de règlement prévoit en outre la désignation du directeur exécutif sur la base d'une liste de candidats désormais établie par la Commission, au lieu du Conseil (articles 69, 75, 76 et 78).
En complément, l'article 116 de la proposition mentionne le contrôle démocratique exercé sur le fonctionnement de l'agence par le groupe de contrôle parlementaire conjoint (GCPC) d'Europol, composé de représentants du Parlement européen et des parlements nationaux des 27 États membres. Ce groupe se réunit au moins deux fois par an et le Sénat y est régulièrement représenté (article 116).
6. En complément de la proposition de règlement, la Commission européenne a promis une augmentation considérable des moyens d'Europol
Enfin, alors que les articles 120 à 124 (chapitre XII) décrivent le cadre financier du fonctionnement d'Europol, signalons sur ce point, que la Commission européenne a annoncé qu'elle voulait augmenter le budget d'Europol pour le porter à 3 milliards d'euros sur la période 2028-2034, soit environ 428 millions d'euros par an, en moyenne, contre 273 millions d'euros en 2026 (+ 56 %).
Cependant, ce souhait dépendra en pratique de l'issue des négociations interinstitutionnelles en cours du cadre financier pluriannuel (CFP) 2028-2034. Or, à l'heure actuelle, les États membres sont divisés sur le montant global du futur CFP. En juillet 2025, la Commission avait proposé un montant de 1 985 milliards d'euros courants. Mais, sous la pression d'un groupe d'États membres dit « frugaux », conduits par l'Allemagne, qui souhaite une baisse drastique des dépenses européennes, la présidence irlandaise du Conseil a émis, le 12 octobre dernier, une proposition basée sur une enveloppe financière de 1 620 milliards d'euros.
Outre ces incertitudes sur le montant global du CFP, il faut noter aussi que le projet de CFP 2028-2034 présenté par la Commission, le 16 juillet 2025 dernier intégrerait désormais les politiques dites « traditionnelles » de l'Union européenne, dont les politiques d'immigration et de sécurité, dans de nouveaux plans de partenariat nationaux et régionaux (PPNR). Le Sénat s'est exprimé en défaveur de ces plans. Selon lui, en effet, les PPNR répondent à une « logique de performance » peu adaptée et fonction de critères flous, et risquent d'aboutir à une « renationalisation » des politiques concernées, avec une « concurrence » possible entre politiques visées dans l'attribution des fonds européens (leurs montants étant désormais à arbitrer au niveau national) et même la crainte de « devoir sacrifier l'une de ces politiques pour financer les autres »41(*).
* 35 Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n°45/2001 et la décision n°1247/2002/CE.
* 36 Proposition COM(2026) 314 final.
* 37 Sont considérées comme « données opérationnelles à caractère personnel », (article 3 du règlement (UE) 2018/1725 du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement de données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n°45/2001 et la décision n°1247/2002/CE).
* 38 Eurojust ; Parquet européen ; office de lutte anti-fraude de l'Union européenne (OLAF) ; Autorité de lutte contre le blanchiment de capitaux et le financement du terrorisme (ALBC) ; Frontex ; agence des systèmes d'information à grande échelle de l'espace de liberté, de sécurité et de justice eu-LISA ; agence de l'Union européenne sur les drogues ; agence des droits fondamentaux de l'Union européenne (ADFUE/FRA) ; autorité douanière de l'Union européenne ; agence européenne de cybersécurité (ENISA).
* 39 Selon ce principe, un État membre ayant transmis une information à Europol en reste l ; le détenteur et doit, sauf exceptions limitées, autoriser le transfert de cette donnée par Europol à un autre acteur.
* 40 C'est-à-dire un dispositif d'expérimentation réglementaire qui permet de déroger aux normes applicables pour tester des produits/équipements innovants.
* 41 Résolution européenne du Sénat n°106 (2025-2026) du 11 mai 2026 relative aux négociations sur le cadre financier pluriannuel (CFP) 2028-2034, adoptée sur le rapport des sénatrices Christine Lavarde et Florence Blatrix-Contat.