Avenir d'Europol

---

AVANT-PROPOS

« Aujourd'hui, 25 ans après sa création, Europol est plus que jamais au coeur du cadre de sécurité de l'Union européenne. »^1(*) Agence d'appui et de renforcement des services de police des États membres de l'Union européenne, Europol a su « monter en puissance », dans l'analyse des grands réseaux criminels actifs en Europe, dans le soutien opérationnel aux enquêtes pénales transfrontières, et dans le traitement de volumes importants de données personnelles, afin d'effectuer des recoupements entre plusieurs affaires.

À titre d'exemple, le 22 juillet dernier, la police nationale espagnole a procédé à l'arrestation de 21 personnes soupçonnées d'appartenir à un réseau clandestin fournissant des services bancaires souterrains au crime organisé et a saisi ou gelé des avoirs d'un montant de 20 millions d'euros. Cette opération fait suite à plusieurs années d'enquête soutenues par Europol, qui a facilité les échanges d'informations, fourni des analyses opérationnelles et financières et coordonné une partie des investigations dans une « task force opérationnelle ».

Cependant, Europol a décrit, dans son rapport 2025 d'évaluation de la menace représentée par la grande criminalité (rapport SOCTA 2025), « l'ADN en mutation de la grande criminalité organisée » en Europe. Ce rapport a ainsi démontré que la criminalité active en Europe prospérait en ligne et voyait ses activités facilitées par l'intelligence artificielle et par les nouvelles technologies, qu'elle était désormais parfois en lien avec des auteurs de menaces hybrides^2(*) et plus violente, et qu'elle tendait à utiliser de plus en plus, de jeunes délinquants mineurs pour commettre vols ou meurtres en son nom.

Or, face à ces changements, la Commission européenne estime qu'Europol ne dispose pas de moyens, que son action de soutien demeure « limitée et fragmentée » et que son mandat ne couvre pas les nouvelles formes de criminalité (cyberattaques, menaces hybrides...).

Voilà pourquoi elle a souhaité modifier le statut actuel d'Europol en présentant, le 24 juin dernier, la proposition de règlement COM (2026) 580 final. Cette proposition fait partie d'un ensemble de quatre textes ayant trait à la coopération européenne en matière de police et de justice pénale, avec :

· une proposition de réforme du statut et des missions d'Eurojust, agence de coopération européenne en matière de justice pénale (COM(2026) 570 final) ;

· une proposition de règlement COM(2026) 314 final modifiant le règlement (UE) 2018/1725 (ou RPDUE) qui décline le cadre juridique européen de protection des données personnelles (RGPD) pour les traitements de données effectués par les institutions et organes de l'Union européenne, en particulier ceux compétents dans le secteur « Justice-Affaires intérieures » ;

· une proposition de révision de la directive 2014/41/UE sur la décision d'enquête européenne en matière pénale (COM(2026) 313 final).

Afin d'adapter le mandat de l'agence à l'évolution de la criminalité dans l'Union européenne, cette proposition de règlement tend à remplacer le règlement « Europol » actuel^2(*) par un nouveau cadre normatif permettant, en particulier, de renforcer la capacité d'analyse de l'agence, son appui opérationnel aux États membres et ses modalités de coopération avec les pays tiers et les parties privées.

Toutefois, cette proposition de règlement suscite plusieurs interrogations au regard des principes de subsidiarité et de proportionnalité.

I. I. EUROPOL, UNE AGENCE AU CoeUR DE LA NOUVELLE STRATÉGIE DE SÉCURITÉ INTÉRIEURE DES ÉTATS MEMBRES

A. UNE AGENCE QUI TRAVAILLE À FACILITER LA COOPÉRATION POLICIÈRE EUROPÉENNE

1. Europol est inscrite dans les traités de l'Union européenne et dans les stratégies européennes de sécurité intérieure

Installée en 1995 à La Haye (Pays-Bas), l'agence européenne de coopération policière Europol, intervient pour faciliter les échanges et pour coordonner les services répressifs des États membres contre la criminalité.

Aux termes de l'article 88 du traité sur le fonctionnement de l'Union européenne (TFUE), la mission d'Europol est « d'appuyer et de renforcer l'action des autorités policières et des autres services répressifs des États membres ainsi que leur collaboration mutuelle dans la prévention de la criminalité grave affectant deux ou plusieurs États membres, du terrorisme et des formes de criminalité qui portent atteinte à un intérêt commun qui fait l'objet d'une politique de l'Union, ainsi que la lutte contre ceux-ci ».

Le règlement (UE) 2016/794 du 11 mai 2016, ou « règlement Europol », confirme que l'agence « appuie et renforce l'action des autorités compétentes des États membres et leur collaboration mutuelle dans la prévention de la criminalité grave affectant deux ou plusieurs États membres, du terrorisme et des formes de criminalité qui portent atteinte à un intérêt commun qui fait l'objet d'une politique de l'Union [européenne], ainsi que dans la lutte contre ceux-ci. » En pratique, ces formes de terrorisme et de criminalité grave sont visées par l'annexe I du règlement^3(*).

L'action d'Europol est également inscrite au coeur de stratégies de sécurité intérieure de l'Union européenne. Ainsi la stratégie de l'Union de la sécurité, présentée le 24 juillet 2020 par la Commission européenne^4(*), en vigueur jusqu'en 2025, avait reconnu le rôle précieux d'Europol dans la protection des citoyens des États membres contre le terrorisme et la criminalité organisée et considéré que la solidité de « écosystème européen de sécurité » impliquait un renforcement de l'agence (ce qui a abouti à l'adoption d'une réforme du mandat de l'agence, le 8 juin 2022^5(*)).

La stratégie européenne de sécurité intérieure « ProtectEU », qui lui a succédé le 1^er avril 2025^6(*), a demandé, dans le même esprit, un nouveau renforcement des moyens et du mandat d'Europol en 2026 pour adapter l'agence aux nouvelles formes de criminalité, et une plus grande complémentarité entre les organismes de l'Union européenne (UE) intervenant dans le domaine de la sécurité intérieure dans le cadre de la plateforme pluridisciplinaire européenne contre les menaces criminelles (EMPACT). En complément, la stratégie a indiqué que la Commission européenne devait présenter une initiative normative visant à moderniser les règles européennes de lutte contre la criminalité organisée.

Dans ce cadre, le conseil d'administration d'Europol organise, depuis juin 2023^7(*), ses actions autour de six objectifs stratégiques :

· servir de centre d'information criminelle de l'Union européenne, notamment en matière de collecte de données ;

· fournir un soutien opérationnel agile et en temps réel ;

· servir de plateforme pour les solutions policières européennes ;

· rassembler les partenaires concernés autour d'une coopération transfrontalière et d'une action commune ;

· être à la pointe de l'innovation et de la recherche dans le domaine de l'application de la loi ;

· être l'organisation modèle de l'Union européenne en matière de coopération entre les forces de l'ordre.

2. Les missions d'Europol sont larges et reflètent « l'actualité de la criminalité en Europe »

a) Les missions d'Europol découlent des priorités opérationnelles de la coopération policière européenne, définie dans la stratégie EMPACT

Dans le cadre de cycles d'évaluation permanents (SOCTA, pour Serious and Organised Crime Threat Assessment et EMPACT pour European Multidisciplinary Platform Against Criminal Threats), les États membres adoptent régulièrement des priorités opérationnelles contre la criminalité, sur la base d'échanges et de retours d'expérience des services de police des États membres (voir encadré ci-dessous).

EMPACT, instrument permanent de coopération européenne contre la criminalité internationale

Depuis 2012, EMPACT est le cadre de la coopération européenne contre la criminalité organisée dans l'UE, organisé par cycles de quatre années. En pratique, chaque cycle comprend 4 étapes :

a) une analyse de l'évolution de la criminalité en Europe (rapport SOCTA d'Europol (le dernier est paru en 2025)) ;

b) la définition des priorités stratégiques de l'Union européenne. Les priorités pour la période 2026-2029, qui ont été adoptées en juin 2025 par le Conseil de l'Union européenne, sont le suivantes : réseaux criminels et individus les plus menaçants ; crimes en ligne à la croissance rapide (cyberattaques ; exploitation sexuelle des enfants en ligne ; stratagèmes de fraude en ligne) ; trafic de drogue ; trafic de migrants et traite des êtres humains ; crimes liés aux armes à feu et aux explosifs ; crimes environnementaux ; criminalité économique et financière (fraudes à la TVA et aux droits de douane, contrefaçons...) ;

c) la mise en oeuvre opérationnelle des priorités stratégiques par les services compétents des États membres ;

d) une évaluation du cycle.

b) Les missions d'Europol sont définies dans le règlement (UE) 2016/794

Conformément aux dispositions de l'article 4 du règlement statutaire d'Europol, le règlement (UE) 2016/794^8(*) précise les missions de l'agence. Celles-ci sont, à titre principal, de :

a) collecter, stocker, traiter, analyser et échanger des informations, y compris des éléments de renseignement criminel ;

b) communiquer sans retard aux États membres, via leurs unités nationales présentes au sein d'Europol, toute information ou tout lien entre des infractions pénales qui les concernent ;

c) coordonner, organiser et réaliser des enquêtes et des actions opérationnelles pour soutenir et renforcer les actions des autorités compétentes des États membres, qui sont menées, soit, conjointement avec les autorités compétentes des États membres, soit, dans le cadre d'équipes communes d'enquête en liaison avec Eurojust (l'agence européenne de coopération en matière judiciaire) ;

d) participer à des équipes communes d'enquête^9(*), qui sont les outils les plus avancés utilisés dans la coopération européenne en matière pénale. Ces équipes, autorisées par un accord juridique entre les autorités compétentes de deux ou plusieurs États, permettent la réalisation d'enquêtes pénales transfrontalières avec des procureurs et des policiers ou gendarmes issus des différents États participants. Elles sont établies pour une période déterminée, généralement entre 12 et 24 mois ;

e) fournir aux États membres des informations et une aide à l'analyse lors d'évènements internationaux majeurs ;

f) établir des évaluations de la menace, ainsi que des analyses stratégiques et opérationnelles ;

g) développer des centres d'expertise spécialisés de l'Union européenne pour lutter contre certaines formes de criminalité relevant des objectifs d'Europol. En pratique, ces centres ont démontré leur utilité, en particulier pour les plus petits États membres, en fournissant des analyses tactiques, en procédant à des rapprochements avec d'autres affaires criminelles en Europe, etc.

c) Le mandat d'Europol a été renforcé en 2022, en particulier, pour sécuriser ses traitements de données personnelles et faciliter ses échanges avec les pays tiers et les parties privées

Le mandat d'Europol a été sensiblement renforcé par le règlement (UE) 2022/991 du Parlement européen et du Conseil du 8 juin 2022 afin d'adapter l'action de soutien de l'agence à l'évolution rapide de la grande criminalité.

Cette adaptation a consisté, en particulier, à :

a) promouvoir le rôle d'Europol dans l'aide aux États membres en matière de recherche et développement de solutions technologiques communes au service de la sécurité intérieure, y compris en utilisant l'intelligence artificielle (IA) ;

b) conférer à Europol le droit de traiter des ensembles de données vastes et complexes afin de soutenir les États membres dans leur lutte contre les formes graves de criminalité et le terrorisme, tout en s'assurant que les traitements de données d'Europol sont conformes aux droits fondamentaux, y compris le droit au respect de la vie privée ;

c) autoriser Europol à recevoir directement des données personnelles de la part de parties privées (entreprises, individus...) - qui détiennent un volume toujours plus important de données, en raison de l'accroissement notable de l'utilisation des services en ligne par les criminels ;

d) étendre les possibilités de coopération de l'agence (échanges de données personnelles) avec les pays tiers qui présentent des garanties appropriées dans ce domaine ;

e) prévoir une collaboration accrue de l'agence Europol avec le Parquet européen, en particulier, en lui imposant de soutenir ses enquêtes et en lui signalant tout fait délictueux qui pourrait relever de sa compétence ;

f) donner la possibilité à Europol de proposer aux services compétents des États membres, d'une part, d'introduire des signalements dans le système d'information Schengen (SIS) et, d'autre part, d'ouvrir une enquête sur des crimes transfrontaliers portant atteinte à des intérêts communs (à charge pour les services nationaux compétents d'accepter ou non cette suggestion).

3. Pour mener ces missions, Europol bénéficie de moyens importants qui pourraient augmenter très fortement

Selon le dernier rapport de programmation de l'agence, le budget d'Europol s'élève à 273 millions d'euros en 2026 (contre 217 millions en 2023). Le budget prévisionnel pour 2027 est fondé sur une enveloppe de 286 millions d'euros, ces ressources provenant d'un financement issu du budget de l'Union européenne.

Pour la période 2028-2034, en revanche, les ressources de l'agence - que la Commission européenne voudrait voir augmenter sensiblement - dépendront des négociations du prochain Cadre financier pluriannuel (CFP) (voir II) 6)).

Concernant les ressources humaines d'Europol, en 2026, l'agence emploie 1 128 personnes, dont 809 personnels internes (814 administrateurs et 23 assistants) et 319 externes (227 agents contractuels et 92 experts nationaux détachés). Ces effectifs connaîtraient une augmentation importante en 2027 (1 251 personnels, soit + 133 personnels, dont 28 recrutements internes et + 95 externes), en anticipation de l'adoption du nouveau statut de l'agence.

4. Une gouvernance reflétant son lien avec les États membres et une action contrôlée par les parlements de l'Union européenne

a) Les États membres ont une place prépondérante dans la gouvernance d'Europol

Concernant la gouvernance actuelle d'Europol, elle est assurée par un conseil d'administration (qui comprend un représentant par État membre et un pour la Commission) chargé d'adopter chaque année la programmation des actions de l'agence et son budget, et par un directeur exécutif, désigné pour quatre ans, qui est le représentant légal de l'agence et qui doit mettre en oeuvre les missions confiées à Europol. À cet égard, il faut signaler que, le 2 mai 2026, M. Jürgen Ebner, qui était auparavant directeur de la gouvernance d'Europol, est devenu le directeur exécutif de l'agence, en remplacement de Mme Catherine de Bolle (mai 2018-mai 2026).

Enfin, concernant la présence française au sein de l'agence, le général de gendarmerie Jean-Philippe Lecouffe, directeur exécutif adjoint, dirige les opérations d'Europol depuis le 1^er mai 2021.

b) Une agence de l'Union européenne qui fait l'objet d'un contrôle conjoint inédit de la part des parlements nationaux des États membres et du Parlement européen

Conformément à l'article 88 du TFUE précité, Europol présente également la spécificité de faire l'objet d'un contrôle parlementaire conjoint du Parlement européen et des parlements nationaux.

Cette association des parlements nationaux au contrôle des activités d'une agence de l'Union européenne, qui semble logique dès lors que le champ d'action de cette dernière concerne le domaine régalien de la sécurité, dans lesquels les États membres sont premiers ou uniques responsables, est logique, mais elle est malheureusement inédite. D'autres agences européennes présentant les mêmes caractéristiques, telles que Frontex, ne sont en effet pas contrôlées directement par une telle association de parlementaires nationaux et de députés européens, malgré les demandes du Sénat en ce sens.

Les parlementaires membres de ce groupe peuvent dialoguer avec les responsables opérationnels de l'agence, effectuer un bilan des activités de l'agence et discuter de leurs priorités pour l'avenir. Pour ce faire, ses membres ont accès à l'ensemble des documents pertinents (rapports d'activités ; rapports sur l'évaluation de la criminalité dans l'Union européenne...) et le groupe de contrôle est représenté au sein du conseil d'administration d'Europol.

Ce groupe constitue un incontestable atout démocratique. En revanche, ses discussions devraient désormais inciter l'agence à faire preuve de plus de transparence sur la mise en oeuvre de son budget et sur ses traitements de données personnelles.

Le groupe de contrôle parlementaire conjoint (GCPC), qui incarne ce contrôle, rassemble des élus de ces parlements et se réunit en principe une fois par semestre^10(*).

Lors de sa dernière réunion (tenue à Chypre, les 4-5 février 2026), les co-présidents du GCPC, dans une déclaration finale, ont ainsi salué l'importance du soutien apporté par Europol aux États membres pour faire face aux conséquences de la guerre en Ukraine (trafics d'armes ; cyberattaques ; désinformation...) et accueilli avec satisfaction les liens accrus entre Europol, Eurojust et le Parquet européen. Ils ont aussi demandé une mise en oeuvre effective de l'ensemble des dispositions du règlement « Europol » en matière de respect des droits fondamentaux et de protection des données et, dans cet esprit, préconisé une adaptation de ces règles à due proportion lors de l'extension à venir des prérogatives envisagées de l'agence, sur la base des recommandations du Contrôleur européen de la protection des données (CEPD).

La prochaine réunion de ce groupe aura lieu, les 9 et 10 novembre prochain, au Parlement européen (à Bruxelles). Les principaux points à l'ordre du jour de cette réunion : la présentation du projet de document de programmation pluriannuelle 2027-2029 d'Europol ; la protection des droits fondamentaux ; la présente proposition de règlement révisant le statut d'Europol ; le renforcement de la coopération d'Europol avec les pays tiers contre la criminalité et les « menaces hybrides » ; la lutte contre la criminalité économique et financière.

B. UNE STRUCTURE DE COOPÉRATION POLICIÈRE QUI A DÉMONTRÉ SON EFFICACITÉ MAIS QUI EST « SOUS SURVEILLANCE » EN MATIÈRE DE PROTECTION DES DONNÉES

1. L'efficacité d'Europol est aujourd'hui démontrée dans l'analyse de la criminalité et le soutien opérationnel aux services de police des États membres

L'action de soutien d'Europol a démontré son efficacité dans plusieurs domaines, au cours des dernières années.

a) Une capacité d'analyse de référence sur la criminalité

Europol est tout d'abord aujourd'hui un organe de référence pour l'élaboration d'analyses thématiques et de « photographies » de l'évolution de la criminalité à vocation prospective et stratégique (en 2025, l'agence a produit 35 analyses stratégiques et 451 rapports d'analyse opérationnelle) : il faut citer à cet égard, le rapport EU-SOCTA (pour EU Serious and Organised Crime Threat Assessment)^11(*), déjà évoqué, qui évalue régulièrement les principales « figures » et les grandes tendances de la criminalité organisée dans l'Union européenne. Dans le cadre de cette analyse, en 2025, l'agence a démontré le changement de physionomie de la criminalité organisée en Europe, à savoir une criminalité intégrant le numérique dans leurs stratégies et actions (messageries cryptées ; « dark web » ; cryptomonnaies...), plus violente et plus internationalisée.

Le développement de ces usages en ligne est aussi le fait des groupes terroristes actifs en Europe. C'est l'une des conclusions du dernier rapport d'Europol sur la situation du terrorisme et ses principales évolutions en Europe (UE-TE SAT)^12(*), paru en juillet dernier. Ce rapport souligne, à la fois, que la menace terroriste demeure élevée en Europe (avec 45 attentats terroristes constatés en 2025 dans dix États membres), que les idéologies terroristes et extrémistes violentes bien établies persistent (djihadisme, terrorisme d'extrême droite, d'extrême gauche, anarchiste et ethno-nationaliste) mais que la menace se complexifie avec des frontières plus floues.

Quant au dernier rapport d'Europol sur l'évaluation de la menace de la criminalité organisée sur internet (IOCTA pour Internet Organised Crime Threat Assessment)^13(*), paru en avril 2026, il précise que la criminalité numérique est puissante, résistante et démontre une remarquable capacité d'adaptation. Facilitées par l'intelligence artificielle (IA) générative, les fraudes en ligne augmentent fortement alors que les « rançongiciels »^14(*) et les abus sexuels sur mineurs en ligne demeurent élevés. Face à cette criminalité qui se sophistique, le rapport appelle Europol et les services de police à combler au plus vite ce fossé technologique d'assurer la sécurité dans le monde numérique.

b) Un appui opérationnel précieux pour les États membres

Europol a également acquis et développé une expertise sectorielle mise à disposition des États membres, avec ses centres spécialisés précités, dans l'appui opérationnel aux services compétents des États membres.

Les différentes structures spécialisées d'Europol :

a) un centre opérationnel et d'analyse (Operational and Analysis centre ou OAC en anglais), qui a été mis en place en juin 2020, et est actif 24h/24h et 7 jours sur 7. Il est le premier interlocuteur des États membres et des pays tiers lorsqu'ils demandent un soutien en matière de traitement des données, la constitution d'une équipe commune d'enquête...

b) le centre européen de lutte contre la grande criminalité et la criminalité organisée (European serious and organised crime centre (ESOCC)), qui apporte un soutien opérationnel aux services de police des États membres enquêtant sur ces réseaux criminels (analyse du renseignement criminel ; apport d'une expertise spécifique ; déploiements de moyens de soutien sur le terrain ; échange d'informations en temps réel...). Il est constitué de trois piliers :

· l'unité contre le crime organisé, spécialisé dans la lutte contre la grande criminalité, la criminalité environnementale et les crimes contre les biens ;

· l'unité drogues, spécialisée dans la lutte contre le narcotrafic, dans les armes à feu et les explosifs ;

· le centre européen de lutte contre le trafic de migrants (European migrants smuggling centre ou EMSC), mis en place en 2016, qui, en lien avec l'agence européenne de coopération judiciaire (Eurojust) et l'agence européenne de gardes-frontières et de garde-côtes (Frontex), aide les services de police et de contrôle des frontières à coordonner des opérations transfrontalières très complexes de lutte contre les trafics de migrants.

En 2024, l'ESOCC a apporté son soutien à 1 187 opérations de police, qui ont conduit à 2 977 arrestations et à la saisie de 346 millions d'euros ;

c) le centre européen de lutte contre la cybercriminalité (European cybercrime centre ou EC3), créé en 2013, apporte ce même soutien opérationnel dans les affaires de cybercriminalité (cyberattaques ; abus sexuels sur les enfants en ligne ; fraudes...). En 2024, il a apporté son soutien à 535 opérations qui ont conduit à 199 arrestations ;

d) institué à la suite des attentats de 2015 en France et dans plusieurs États membres, le centre européen de lutte contre le terrorisme (European counter terrorism centre ou ECTC) appuie les opérations des États membres contre les groupuscules terroristes (collecte et traitement de données ; échanges d'information...). En 2024, il a soutenu 1 255 opérations qui ont mené à 56 arrestations ;

e) le centre européen de lutte contre la criminalité financière et économique (European economic and financial crime centre ou EFECC), établi en 2020, assiste les États membres dans leurs enquêtes relatives aux faits de corruption, au blanchiment de capitaux ou aux fraudes, par des actions de renseignement, d'analyse ou d'identification des avoirs criminels. Ce centre a soutenu 400 opérations en 2024, qui ont conduit à l'arrestation de 979 personnes et à la saisie d'un montant de 1,15 milliard d'euros.

Ainsi, en 2025^15(*), Europol a contribué à l'arrestation de 3 328 personnes, ainsi qu'à la saisie de 2,8 milliards d'euros d'avoirs criminels.

Services de police et autorités compétentes des États membres et de pays tiers ont échangé 2,1 millions de messages et ont ouvert 191 000 dossiers sur le système d'information sécurisé d'Europol (SIENA).

Également en 2025, le centre européen de lutte contre la grande criminalité et la criminalité organisée d'Europol a soutenu 1 378 opérations des services de police des États membres.

À titre d'exemple :

· en février 2025, un vaste réseau de trafic de drogue entre l'Espagne et la France a été démantelé. L'opération, menée par la France avec le soutien de l'Espagne et d'Europol, visait un réseau responsable de l'importation de résine de cannabis et de cocaïne en France, via l'Espagne. Cette opération a conduit à l'arrestation de 24 personnes et à la saisie de 151 kg de drogues, pour une valeur estimée de 2,5 millions d'euros ;

· en octobre 2025, un réseau de criminels « russophones » impliqué dans le vol de plus de 100 véhicules de luxe, pour un coût estimé à 3 millions d'euros, a été arrêté dans le cadre d'une opération internationale conduite par l'Italie avec le soutien d'Europol et d'Eurojust. 9 personnes ont été arrêtées ;

· enfin le 19 novembre 2025, une action coordonnée par la Bulgarie et soutenue par Europol a permis le démantèlement d'un réseau criminel impliqué dans un large trafic de biens culturels à travers l'Europe et au-delà. Cette opération, impliquant des services de police et des autorités judiciaires originaires d'Albanie, d'Allemagne, de France, de Grèce, d'Italie et du Royaume-Uni, a abouti à l'arrestation de 35 personnes, à la saisie de 3 000 objets d'art pour une valeur estimée de 100 millions d'euros.

Le démantèlement des réseaux criminels utilisant Encrochat est l'une des plus grandes opérations de police criminelle menée à ce jour 

Encrochat (fermée en 2020) et Sky ECC (décryptée à partir de 2019) étaient deux messageries cryptées utilisées par les réseaux criminels actifs en Europe.

À partir de 2017, la gendarmerie française a découvert le système de communications clandestin Encrochat. Ensuite épaulés par Europol, Eurojust et la police néerlandaise dans le cadre d'une équipe commune d'enquête (ECE), les enquêteurs ont analysé plus de 115 millions de messages concernant 60 000 usagers, afin d'en extraire les données pertinentes. Cette opération « hors normes », surnommée « Emma », a conduit à l'arrestation de 6 558 personnes et à la saisie de 900 millions d'euros d'avoirs criminels, de 270 tonnes de drogues, de 971 véhicules, de 271 propriétés et de 923 armes.

Une seconde opération, coordonnée par Europol depuis 2021, avec la participation de la France, de la Belgique et des Pays-Bas - qui est toujours en cours - a visé une autre messagerie cryptée utilisée par les réseaux criminels : Sky ECC. La plateforme proposait diverses fonctionnalités, notamment la confidentialité des échanges (messages, photos ou messages vocaux) et l'anonymat des utilisateurs, ainsi que des mesures de sécurité inédites pour protéger les appareils. L'application a donc été largement utilisée pour des activités criminelles, telles que le trafic de drogue et le blanchiment d'argent.

Même si SKY ECC a été officiellement fermée en mars 2021, des centaines de millions de messages chiffrés demeurent accessibles. Ceux-ci fournissent des renseignements précieux sur la structure, le fonctionnement et les liens internationaux des réseaux criminels, et continuent d'étayer des enquêtes au sein de l'Union européenne.

c) Le développement de la coopération européenne et internationale d'Europol

(1) La coopération avec les autres organes de l'Union européenne

Enfin, depuis la révision de son statut en 2022, et conformément à la stratégie de sécurité intérieure de l'Union européenne, Europol travaille au renforcement des synergies entre son action et celle des autres organes de l'Union européenne compétents en matière d'enquêtes pénales et de lutte contre la criminalité financière, tels qu'Eurojust, le Parquet européen, ou l'Autorité européenne de lutte anti blanchiment.

Avec Eurojust, Europol doit partager des informations, peuvent convenir de mettre en commun des plateformes opérationnelles communes et d'autres formes de coopération structurée. Les deux agences doivent aussi coopérer pour aider les autorités compétentes des États membres dans le contexte d'enquêtes numériques et de l'accès aux données (article 82).

Avec le Parquet européen, l'article 81 de la proposition de règlement établit et entretient « une relation étroite » sur la base d'un arrangement de travail. Si le Parquet le demande, Europol doit soutenir ses enquêtes. L'agence doit aussi lui accorder un accès indirect à ses informations.

Autorité concernée	Base	Modalités de coordination
Eurojust (agence européenne de coopération judiciaire pénale)	*Règlements statutaires d'Europol et d'Eurojust *Accord de coopération (2010) et protocole d'accord (2018)	-Coopération stratégique et opérationnelle ; -Information mutuelle sur les affaires en cours ; -Nomination de représentants d'Eurojust dans certains centres d'expertise d'Europol.
Parquet européen (sa mission est de lutter contre les atteintes aux intérêts financiers de l'Union européenne)	Règlement statutaire d'Europol (depuis sa révision de 2022)	-Europol doit « collaborer étroitement » avec le Parquet européen et soutenir ses enquêtes ; -Europol doit aussi signaler au Parquet européen tout acte délictueux relevant de sa compétence ; -Le Parquet européen obtient un accès indirect à certaines données d'Europol.
Frontex (agence européenne de garde-frontières et de garde-côtes)	*Règlement « Schengen » de 2019 ; *Arrangement de travail signé en 2015, remplacé par un nouvel arrangement signé en juillet 2026	*Échange d'informations, y compris des données personnelles, sur la situation migratoire aux frontières, sur les réseaux de passeurs... *Coopération opérationnelle (opérations conjointes ; échanges d'experts et d'officiers de liaison ; formations communes...).
Autorité européenne de lutte anti-blanchiment (ALBC)	La création de l'ALBC est récente (2024). Les bases juridiques de sa coopération avec Europol sont prévues dans la présente proposition de règlement
Office de lutte anti-fraude de l'Union européenne (OLAF)	Arrangement de travail
Agence de l'Union européenne sur les drogues	Arrangement de travail

(2) La coopération avec les pays tiers et les organisations internationales

Europol a aussi développé une coopération avec les organisations internationales et certains pays tiers, dans le domaine de la sécurité et des affaires intérieures. Cette coopération suppose le plus souvent des échanges d'informations, y compris des données personnelles. Conformément à l'article 25 du règlement (UE) 2016/794, ces échanges sont basés :

· sur une décision « d'adéquation » de la Commission européenne^16(*), selon laquelle le pays tiers, un territoire ou un ou plusieurs secteurs déterminés au sein de ce pays tiers, ou l'organisation internationale en question assure un niveau de protection adéquat. Ce type de décision existe, par exemple, avec le Royaume-Uni ;

· sur un accord international conclu entre l'Union européenne et le pays tiers ou l'organisation internationale concerné^17(*), offrant des garanties suffisantes au regard de la protection de la vie privée et des libertés et droits fondamentaux des personnes. Précédemment, le Conseil a autorisé l'ouverture de négociations avec l'Algérie, l'Égypte, la Jordanie, Israël, le Liban, le Maroc, la Tunisie et la Turquie en vue d'accords internationaux sur l'échange de données à caractère personnel avec Europol ;

· sur un accord de coopération autorisant l'échange de données à caractère personnel, conclu avant le 1^er mai 2017 entre Europol et le pays tiers ou l'organisation internationale concerné^18(*). De tels accords existent avec les États-Unis et la Suisse ;

En complément, l'agence a passé des arrangements de travail avec plusieurs pays tiers et organisations^19(*).

2. Mais les pratiques de l'agence en matière de traitement des données personnelles sont contestées

a) Un conflit au long cours entre l'agence et le Contrôleur européen de la protection des données (CEPD) sur la conservation et le traitement, par l'agence, de volumes massifs de données personnelles...

Par essence, les traitements de données personnelles par Europol sont sensibles et doivent être soumis aux « garanties appropriées » du règlement (UE) 2018/1725 et du règlement statutaire « Europol » lui-même.

Cependant, la mise en oeuvre effective de ces modalités de traitement des données personnelles par l'agence a suscité des tensions entre elle et le CEPD.

Ainsi, le 30 avril 2019, ce dernier lançait une enquête sur les traitements de volumes massifs de données à des fins d'analyses stratégiques et opérationnelles, afin de vérifier la compatibilité de ces traitements avec le cadre juridique européen de protection des données, au regard du principe de minimisation des données^20(*), de l'exactitude des données traitées ou encore, des durées de stockage.

À la suite de cette enquête, le 17 septembre 2020, le CEPD concluait à des pratiques incompatibles avec les règles applicables concernant les grands volumes de données, et adressait un avertissement à Europol. Soucieux de préserver la capacité de l'agence à soutenir efficacement les enquêtes pénales des services de police, cet avertissement ne recommandait ni l'arrêt des traitements concernés, ni l'effacement immédiat des données visées, mais demandait à Europol d'adopter un plan d'action pour résoudre les difficultés constatées (dans un délai de deux mois) et d'en rendre compte (dans un délai de six mois).

Par la suite, l'agence avait présenté son plan d'action (17 novembre 2020) mais avait indiqué qu'elle devait conserver les données intéressées aussi longtemps que cela est nécessaire et proportionné pour le soutien aux enquêtes, sans fixer de délai maximal. En réponse, le CEPD avait estimé que ce plan était insuffisant et préconisé de renforcer les actions annoncées, en particulier en fixant une durée maximale de conservation des données non catégorisées. Europol avait proposé plutôt une durée de vingt mois (prolongée, le cas échéant, d'une période de six mois supplémentaires).

Face à ce « dialogue de sourds », le CEPD avait émis une décision^21(*) dans lequel il enjoignait à Europol, d'une part, de « catégoriser » toutes les données personnelles qu'elle recevrait dans un délai de six mois de leur réception ou, à défaut, de les effacer (par exception, un délai de douze mois lui était accordé pour « catégoriser » les données déjà en sa possession au jour de la notification de la décision) et, d'autre part, de présenter des rapports d'étape tous les trois mois sur sa mise en oeuvre.

L'affaire n'en est pas restée là car le Conseil et le Parlement européen, qui négociaient la réforme statutaire de l'agence finalement adoptée en juin 2022, ont décidé d'autoriser l'agence à poursuivre ses traitements des grands ensembles de données en lui faisant bénéficier de dix-huit mois pour effectuer une analyse préalable des données reçues des États membres et les « catégoriser », cette période pouvant être prolongée pour une nouvelle période de dix-huit mois.

b) ...a été tranché par la révision du règlement « Europol » de 2022, qui autorise ces traitements, tout en prévoyant plusieurs garanties

La révision du règlement « Europol » en 2022^22(*) a autorisé l'agence à effectuer des traitements de données personnelles dans quatre situations distinctes : soit, parce qu'elles appartiennent aux catégories de données dont les traitements sont autorisés (ces catégories étant mentionnées dans une liste limitative prévue à l'annexe II du règlement « Europol »), soit, parce qu'elles ont été transmises à Europol, en lien avec une demande de soutien dans une enquête pénale, par un État membre, le Parquet européen, Eurojust ou un pays tiers, soit, encore, pour vérifier que des données non identifiées peuvent être classées dans les deux premières catégories, soit, enfin, parce que ces données portent sur des projets de recherche et d'innovation.

Dans le cadre de son soutien aux enquêtes menées par les services compétents des États membres, l'agence a aussi été autorisée à traiter des ensembles de données vastes et complexes de données personnelles, de manière à déterminer des liens entre ces données et celles d'autres affaires ou avec des réseaux criminels connus.

Enfin, pour les nombreuses données personnelles qui étaient en sa possession et qui faisaient l'objet du litige avec le CEPD, Europol a obtenu un délai de dix-huit mois pour les « catégoriser » avec une possibilité de prolonger cette période jusqu'à trois ans lorsque cela est nécessaire et proportionné.

Cependant, cette révision du règlement « Europol » de 2022 a aussi confirmé ou ajouté plusieurs garanties procédurales destinées à assurer la protection des données personnelles et, par là-même, celles des personnes dont les données font l'objet des traitements précités :

· l'agence doit ainsi traiter les données à caractère personnel « loyalement et licitement », les collecter « pour des finalités déterminées, explicites et légitimes », sans les traiter « ultérieurement de manière incompatible avec ces finalités. » ;

· les données traitées doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées », et « exactes et tenues à jour ». Elles doivent être conservées sous une forme permettant l'identification des personnes concernées pendant une durée n'excédant pas celle nécessaire à la réalisation des finalités pour lesquelles elles sont traitées et traitées de manière à leur assurer un niveau de sécurité approprié (article 28) ;

· l'agence ne doit traiter que les données personnelles appartenant aux catégories mentionnées à l'annexe II du règlement « Europol » actuel ou celles qu'elle doit essayer de « catégoriser » ;

· les traitements de données par l'agence sont contrôlés, à la fois, par un délégué à la protection des données désigné au sein de l'agence et travaillant en toute indépendance, par les autorités de contrôle nationales compétentes (ex. : la CNIL pour la France) et par le Contrôleur européen de la protection des données (CEPD) ; article 39) ;

· tout nouveau type de traitement de catégories particulières de données ou comportant un risque pour les droits et libertés fondamentaux, doit faire l'objet d'une consultation préalable du CEPD (qui répond alors au conseil d'administration de l'agence dans un délai de deux mois ; article 39) ;

· Europol établit une « journalisation » des traitements de données personnelles, c'est-à-dire qu'elle met en place des relevés de la collecte, de la modification, de l'accès, de la divulgation, de la combinaison ou de l'effacement des données à caractère personnel (article 40) ;

· toute violation de données à caractère personnel constatée doit donner lieu à une notification au CEPD et aux autorités compétentes des États membres concernés (article 34) ;

· les personnes concernées par ces traitements ont à la fois, un droit d'accès aux données et un droit de rectification, d'effacement ou de limitation de ces données (articles 36 et 37).

C. DE NOUVEAUX DÉFIS À RELEVER PAR EUROPOL MAIS DES VISIONS DIFFÉRENTES SUR SON AVENIR

1. Un changement de paradigme sécuritaire en Europe

La dernière adaptation du mandat d'Europol est récente (2022) mais, depuis l'adoption de ce statut amendé, la criminalité organisée connaît de nouveau de profondes mutations. En effet, la période actuelle est celle d'une « transformation fondamentale de la nature de la criminalité. Les réseaux criminels sont plus résilients, technologiquement compétents et transnationaux qu'auparavant. Ils opèrent simultanément depuis plusieurs juridictions et s'appuient de manière extensive sur des infrastructures numériques, le chiffrement, des systèmes financiers et les nouvelles technologies (à l'exemple des cryptomonnaies ou des outils d'anonymisation) pour organiser, étendre et dissimuler leurs activités. La numérisation [de la société et de l'économie] a accéléré la taille, la portée et la sophistication des acteurs criminels et terroristes. Par exemple, les groupes criminels ont considérablement renforcé leur usage des plateformes de communication encryptées, des places de marché en ligne et des paiements numériques pour coordonner leurs activités transfrontières. Dans le même temps, la convergence croissante entre la cybercriminalité, la criminalité financière et le terrorisme augmentent la complexité de la menace. »^23(*)

Face à cette évolution, l'analyse d'impact de la présente proposition de règlement^24(*) a souligné :

· que l'agence et les autorités nationales compétentes faisaient face à des lacunes persistantes d'information quand elles enquêtent sur des crimes transfrontières et des menaces identifiées ;

· que le soutien opérationnel d'Europol demeurait trop limité et trop fragmenté.

2. Deux visions distinctes de l'avenir d'Europol

a) La volonté de la Commission européenne d'une agence « véritablement opérationnelle » dans une nouvelle architecture de la coopération européenne dans le domaine « justice-affaires intérieures-migration »

La réalité d'une nécessaire adaptation d'Europol aux évolutions de la criminalité n'est contestée par aucun acteur de la sécurité intérieure en Europe. Tous les responsables européens sont d'accord pour adapter Europol et, plus généralement, les organes et systèmes d'information européens soutenant les États membres dans leur lutte contre la criminalité transnationale et le terrorisme. En revanche, deux visions de l'avenir d'Europol divergent.

La première, exprimée par la Commission européenne, souhaite mettre en place une « architecture européenne de sécurité intérieure plus intégrée et plus opérationnelle » ^25(*) dont les contours ont été posés dans la stratégie « ProtectEU » présentée en avril 2025^26(*).

C'est bien cette vision globale qui fonde les propositions de révision des mandats d'Europol et d'Eurojust^27(*), ainsi que la refonte des règles de protection des données personnelles dans les traitements auxquels procèdent les organes de l'Union européenne compétents dans le secteur « justice-affaires intérieures » (règlement dit RPDUE), qui ont été présentées le 24 juin dernier^28(*).

Il en va de même pour la réforme du statut de l'agence européenne de garde-frontières et de garde-côtes (Frontex), présentée le 27 octobre dernier^29(*), ainsi que pour la révision à venir du statut du Parquet européen^30(*) et celle de la directive sur la protection des intérêts financiers de l'Union européenne (dite « directive PIF »). ^31(*)

Dans chacun de ces textes ou projets, certains objectifs généraux de la Commission européenne se retrouvent, à savoir :

· augmenter les échanges, en particulier de données personnelles, et les interconnexions entre agences et organes de l'Union européenne compétents dans les domaines de la justice, de la sécurité intérieure et de la politique migratoire^32(*) ;

· accroître les compétences de ces organes, afin de les faire évoluer, à traités européens constants, de structures d'appui et de renfort aux autorités compétentes des États membres vers des agences en voie d'autonomisation ;

· modifier la gouvernance de ces agences et organes afin d'y renforcer son influence au détriment de celle des États membres.

Sur cette base, la réforme d'Europol voulue par la Commission européenne avait pour objectif initial de reconnaître des compétences autonomes à Europol, en particulier un pouvoir d'enquête propre, afin d'améliorer les échanges d'informations opérationnelles et l'efficacité de la lutte contre la grande criminalité en Europe. Mme Ursula von der Leyen, dans ses orientations politiques pour 2024-2029, a affirmait ainsi qu'elle souhaitait « faire d'Europol une agence véritablement opérationnelle et (...) augmenter ses effectifs du plus du double au fil du temps. »

b) Le souhait des États membres d'amender le statut d'Europol tout en préservant des missions et un statut jugés satisfaisants

Simultanément, une majorité d'États membres de l'Union européenne, dont la France, considère que l'action actuelle d'Europol est satisfaisante, malgré les limites constatées. Par conséquent, pour ces acteurs, plutôt qu'une réforme globale du statut d'Europol, il semblait plus pertinent d'amender le statut existant. Et la réforme envisagée ne doit pas fragiliser la confiance mutuelle et les acquis opérationnels. Ainsi, au lieu de chercher à substituer Europol à des services de police nationaux préjugés défaillants, ils souhaitent plutôt les compléter utilement, en particulier, par le développement de l'expertise de l'agence en matière de collectes et des traitements de données et de ses missions de soutien opérationnel. Il s'agit donc, pour eux, de préserver le modèle actuel de l'agence qui fonctionne.

Le Sénat est sur la même ligne et s'est exprimé récemment sur ce point. D'abord, dans sa résolution européenne n° 107 du 28 avril 2025 sur le programme de travail de la Commission européenne pour 2025, il a rappelé « qu'Europol est et doit demeurer une agence de soutien et d'expertise appuyant les services de police des États membres et des pays associés ». Puis, dans sa résolution européenne n° 42 du 23 janvier 2026 sur le programme de travail de la Commission européenne pour 2026, il a exprimé deux « lignes rouges » :

· d'une part, les réformes statutaires annoncées des agences européennes Eurojust, Europol et Frontex ne doivent pas être sources de « nouvelles dépenses excessives » ;

· d'autre part, ces réformes doivent conforter ces agences comme des organes d'appui aux États membres et non les transformer en « structures opérationnelles autonomes ». Dans ce cadre, Europol ne doit pas devenir un « FBI européen ».^33(*)

C'est dans ce contexte que la réforme du statut d'Europol a été présentée, le 24 juin dernier.

II. LA PROPOSITION DE RÈGLEMENT COM(2026) 580 FINAL ÉTEND LES COMPÉTENCES ET LES OUTILS DE COOPÉRATION D'EUROPOL

A. UN RÈGLEMENT STATUTAIRE QUI « DOUBLE DE VOLUME »

Il faut d'abord noter que la proposition de règlement COM(2026) 580 final ferait doubler le statut de l'agence de volume (qui passerait de 77 à 141 articles !). En effet, le texte précise de manière beaucoup plus exhaustive les règles applicables en matière d'échanges d'informations, de protection des données personnelles et de coopération avec les autres organes de l'UE, les pays tiers, etc.

Si cette réforme était adoptée en l'état, le règlement « Europol » énumérerait également dans son dispositif l'ensemble des centres spécialisés de l'agence en détaillant leurs missions et modalités de fonctionnement, et même des groupes de travail internes.

Une telle mention de « mesures d'ordre intérieur » dans un règlement européen d'application directe et immédiate aux 27 États membres pose question car elle « rigidifie » l'organisation interne de l'agence. En effet, toute modification à venir de cette organisation nécessiterait, soit un nouveau règlement, soit un acte délégué de la Commission européenne.

B. UNE EXTENSION DES MISSIONS D'EUROPOL

La proposition de règlement (articles 1^er à 11 et annexe II) actualise d'abord les compétences de l'agence, en insistant sur l'analyse stratégique et opérationnelle, le traitement de l'information et des données, la recherche et l'innovation....

Dans ce cadre, elle étend les compétences d'Europol : d'une part, en lui confiant la lutte contre les « menaces hybrides »^34(*) liées aux infractions pénales relevant de sa compétence (articles 5 à 8) et, d'autre part, en lui permettant d'agir contre les cyberattaques et contre les violences fondées sur le genre (annexe II).

C. UNE ABSENCE DE « FBI EUROPÉEN » CONFIRMÉE MAIS UNE AFFIRMATION DU SOUTIEN OPÉRATIONNEL D'EUROPOL (ARTICLES 8 À 27)

Dans ce cadre, le rôle d'Europol est affirmé ou réaffirmé dans l'appui aux enquêtes (pénales et financières), à l'identification des réseaux criminels, à la détection des menaces, au recouvrement des avoirs criminels, et à la mise en oeuvre des priorités stratégiques de l'UE en matière de sécurité intérieure (articles 8 et 9). Europol pourrait désormais aussi apporter un soutien financier aux services de police des États membres (article 10).

En complément, les articles 12 à 19 de la proposition mentionnent les centres spécialisés d'Europol (centres de lutte contre la criminalité financière, le trafic de migrants etc.). Les articles 20 à 24 précisent les modalités concrètes de soutien d'Europol aux enquêtes pénales des services de police des États membres (task forces opérationnelles ; participation aux équipes communes d'enquête (ECE) ; déploiements d'agents d'Europol dans un État membre ; utilisation de réserves opérationnelles et techniques...).

Enfin, la proposition précise le rôle des « unités nationales », qui sont les structures de liaison de chaque État membre auprès d'Europol situées dans les capitales (article 25). Elle envisage d'intégrer au sein de chacune d'elles un « bureau d'appui » composé de fonctionnaires d'Europol pour faciliter l'utilisation, par les États membres, des moyens d'Europol et la mobilisation de l'expertise nationale dans les actions opérationnelles communes, et pour les aider à préparer et à mettre en oeuvre ces activités opérationnelles (article 26).

D. DES ÉCHANGES ET TRAITEMENTS DE DONNÉES PERSONNELLES ÉTENDUS

1. Un assouplissement important des conditions de traitement des données personnelles

Les articles 28 à 56 réforment les modalités de traitement des données et d'échange d'informations par Europol, en introduisant des souplesses réglementaires conformes à l'approche générale prônée par le règlement (UE) 2018/1725^35(*), qui fait l'objet d'une réécriture dans le paquet présenté par la Commission européenne, le 24 juin dernier^36(*).

Le changement fondamental est prévu à l'article 32 et à l'annexe II de la proposition. En l'état du règlement « statutaire » Europol, l'agence, sauf exception, peut traiter exclusivement des données classées dans les catégories de données personnelles limitativement énumérées dans cette annexe II (qui contient aussi les catégories de personnes concernées par ces traitements). Or, la proposition de règlement supprime cette limitation. Europol pourrait désormais traiter toutes les données personnelles reçues, quels qu'en soit la source, le volume et les personnes concernées, dès lors que ce traitement est nécessaire et proportionné. Les seules obligations imposées à Europol, ultérieures à la réception des données, seraient d'essayer d'établir une distinction claire entre les données personnelles qu'elle a reçues, entre celles qui relèvent des catégories de personnes mentionnées à l'annexe II et les autres, de les classer séparément, et de les effacer immédiatement, une fois le traitement achevé.

En complément, les finalités autorisées de traitement seraient élargies, reprenant la plupart des objectifs déjà inscrits dans le droit en vigueur (recoupements ; analyses stratégiques, thématiques ou opérationnelles ; facilitation de l'échange d'informations entre États membres, Europol, d'autres organes de l'Union européenne, les pays tiers, les organisations internationales et des parties privées ; projets de recherche et d'innovation (désormais restreints à ceux menés au titre du programme-cadre de l'Union européenne) ; soutien apporté aux États membres, à leur demande, pour informer le public sur des individus, soupçonnés ou condamnés, et recherchés).

La réforme étendrait leur champ de mise en oeuvre. Ainsi, les recoupements seraient désormais possibles pour établir un lien ou d'autres rapports pertinents entre des informations relatives à une infraction pénale relevant de la compétence d'Europol, et plus seulement entre des informations relatives à des personnes soupçonnées ou à celles pour lesquelles il existe des indices concrets ou de bonnes raisons de croire qu'elles commettront des infractions. La finalité de facilitation de l'échange d'informations concernerait aussi désormais les échanges avec les « institutions », les « organismes » et les « missions » de l'UE. En outre, une nouvelle finalité serait ajoutée à la liste de celles existantes : l'établissement d'une distinction entre les « données opérationnelles »^37(*) relatives aux catégories de personnes visées à l'annexe II du règlement « Europol ».

En effet, en application de l'article 73 du règlement (UE) 2018/1725, applicable à la protection des personnes concernées par les traitements de données personnelles d'Europol et des autres organes de l'Union européenne, ces données personnelles doivent être clairement distinguées par le responsable de traitement.

La proposition de règlement institue également plusieurs dispositifs techniques pour faciliter les échanges et les traitements de données personnelles : mise en place d'un service de recoupement (articles 36 à 39), d'un environnement de données d'un environnement d'analyse (articles 35 et 40), d'un mécanisme d'échange d'information avec les parties privées (article 47) et d'une « infrastructure en nuage » (cloud) pour faciliter le stockage, l'analyse, le traitement et l'échange de données (article 50).

En complément, l'article 54 de la proposition prévoit le développement d'une nouvelle application de correspondance ADN au niveau européen.

2. Des possibilités d'échanges élargies avec les autres organes de l'Union européenne, les pays tiers et les organisations internationales

La proposition adapte aussi des règles actualisées permettant à Europol de nouer une « relation étroite » avec les autres organes de l'Union européenne compétents dans l'espace de liberté, de sécurité et de justice^38(*) (articles 79 à 90), afin de renforcer l'efficacité globale de la réponse de l'UE et d'éviter les « doublons » opérationnels, en prévoyant un cadre juridique pour faciliter les arrangements de travail entre Europol et les autres organes et organismes de l'UE travaillant dans l'espace de liberté, de sécurité et de justice, et en leur donnant, un accès indirect aux informations d'Europol, selon un système de/non concordance et sous réserve de réciprocité (articles 79 et 80).

Dans ces transferts de données, le principe de propriété des données^39(*) serait préservé, avec cependant, une exception prévue pour les transferts de données au Parquet européen (article 81). En outre, sa mise en oeuvre serait plus complexe : en application de l'article 33, les États membres devraient indiquer les restrictions d'accès à ces informations qu'ils souhaitent faire respecter lorsqu'ils transmettent ces informations à Europol alors, qu'aujourd'hui, l'agence doit interroger l'État membre propriétaire d'une donnée, au moment où elle souhaite la transmettre à un tiers.

Les articles 92 à 95 sont relatifs à la coopération avec les pays tiers. Ils prévoient en particulier un cadre spécifique pour les échanges avec les pays associés à l'espace Schengen (statut d'observateur ; accès au service de recoupement...). Les modalités de coopération avec les parties privées, prévues aux articles 96 et 97, seraient actualisées. Les échanges de données devraient être « nécessaires et proportionnés » (évaluation au cas par cas) et soumis à plusieurs limitations (la mise en cause éventuelle des droits fondamentaux issue de ces échanges ne devrait pas être supérieur à l'intérêt public qui les justifient), ces dernières étant logiquement plus élevées lorsque la partie privée intéressé est installée hors de l'UE (le transfert devrait être alors nécessaire à la sauvegarde des intérêts vitaux de la personne concernée, à la prévention d'une menace grave et immédiate pour la sécurité publique...).

3. Un cadre européen de protection des données personnelles assoupli (articles 98 à 115)

Le régime juridique de protection des données personnelles d'Europol serait, autant que possible, aligné sur celui du règlement (UE) 2018/1725 précité (RPDUE), qui fait lui-même l'objet d'une modification en cours de négociation qui a été présentée en même temps que la réforme d'Europol (voir encadré infra).

La réforme en cours de négociation du règlement (UE) 2018/1725 (RPDUE)

Cette réforme, présentée le 24 juin dernier en même temps que celle du statut d'Europol, vise, à titre principal :

- à compléter les dispositions de son chapitre IX pour étendre au traitement des données opérationnelles à caractère personnel, la compétence des délégués à la protection des données (articles 43 à 45 du règlement (UE) 2018/1725), la tenue de registres des activités de traitement aux données opérationnelles à caractère personnelle (article 87 bis du règlement (UE) 2018/1725), les règles de coopération entre autorités compétentes (chapitre VII) et celles relatives aux recours, à la responsabilité et aux sanctions (chapitre VIII) ;

- à aligner le régime juridique des transferts internationaux de données opérationnelles à caractère personnel sur celui qui existe déjà dans la « directive justice-police » (articles 94 à 94 quinquies du règlement (UE) 2018/1725) ;

- à intégrer le Parquet européen dans le champ d'application du chapitre IX du règlement (UE) 2018/1725 précité (article 2 de ce règlement) ;

- à préciser les pouvoirs du Contrôleur européen de la protection des données (CEPD) pour le traitement des données opérationnelles à caractère personnel : pouvoir d'enquêter et d'imposer des amendes administratives (article 66) ; régime des notifications des violations de données à caractère personnel (notification d'une violation de données à caractère personnel seulement si elle est susceptible d'engendrer un risque élevé pour les droits et libertés de personnes physiques...) et à unifier le cadre juridique applicable à son activité au sein du règlement (UE) 2018/1725 (suppression des dispositions relatives au CEPD dans les textes statutaires Europol, Eurojust...). En effet, à l'heure actuelle, ses compétences divergent en fonction des organes européens concernés (Europol ; Eurojust...) et n'existent même pas à l'égard de Frontex ;

- à harmoniser, autant que possible, les dispositions du règlement (UE) 2018/1725 relatives au traitement des données opérationnelles avec celles de la proposition de règlement « omnibus numérique », qui limiteraient la portée des dispositions du RGPD. Cette harmonisation implique la transformation de l'interdiction actuelle des décisions individuelles automatisées (y compris le profilage) en autorisation sous conditions et la mise en place de garanties dont, a minima, une intervention humaine de la part du responsable de traitement (article 77 du règlement (UE) 2018/1725).

Cette réforme suppose aussi l'élargissement des motifs de restriction du droit d'accès d'une personne à ses données, en cas de demande manifestement infondée ou excessive (article 78 du règlement (UE) 2018/1725)et l'extension du délai de notification d'une violation de données opérationnelles à caractère personnel, de 72 heures aujourd'hui à 96 heures (article 92 du règlement (UE) 2018/1725). Pour rappel, le Sénat a adopté une résolution européenne n° 144 sur l'omnibus numérique », le 19 juin dernier, dans laquelle il a rappelé que « l'objet du RGPD (n'était) pas en soi la protection des données, mais la protection des libertés et droits des personnes qui sont concernées par ces données » et a souligné que les « révisions proposées au RGPD [dans « l'omnibus numérique »] (étaient) trop substantielles et potentiellement dangereuses ». Il a cependant soutenu l'extension, de 72 à 96 heures, du délai de notification des incidents relatifs aux données personnelles, estimant qu'elle donnerait davantage de temps aux délégués à la protection des données pour remplir leurs missions.

En pratique, cette référence serait applicable aux activités de l'agence (article 98), en définissant le régime juridique du traitement des données sensibles, en précisant les durées de conservation et d'effacement des données ainsi que les règles de responsabilité, en garantissant les droits des personnes concernées par les traitements en matière d'accès, d'effacement ou de rectification des données, de responsabilité en matière de protection des données, et en renforçant les mécanismes de veille, assurés par le délégué à la protection des données et l'officier aux droits fondamentaux d'Europol, ainsi qu'en matière de contrôle, mis en oeuvre par le CEPD et par les autorités nationales de contrôle.

À cet égard, l'article 108 précise qu'en cas de nécessité opérationnelle et urgente dûment justifiée, Europol pourrait débuter un nouveau traitement de données personnelles, sans attendre le résultat de la consultation préalable du CEPD. Dans ce cas, ce dernier en serait informé et son avis écrit serait pris en compte par l'agence a posteriori.

Enfin, l'article 102 prévoit un cadre juridique spécifique pour la protection des données personnelles concernées par des traitements liés à des projets de recherche et d'innovation (ces traitements devant être nécessaires et « dûment motivés » ; ils doivent être lancés avec l'accord préalable du directeur exécutif ; s'ils comportent un « risque important » pour les droits fondamentaux, ils doivent être accompagnés par une analyse d'impact).

4. L'affirmation d'un rôle pionnier d'Europol en matière de recherche et d'innovation dans le domaine de la sécurité intérieure (articles 57 à 64)

Europol se voit reconnaître un rôle de conseil de la Commission européenne dans l'élaboration des programmes de financement soutenant la recherche et l'innovation (article 58), ainsi que la responsabilité de la mise en place d'un cadre commun de prospective et de développement des capacités communes. Ce dernier doit lui permettre de favoriser l'interopérabilité, la normalisation et la mise en commun des capacités des États membres dans le domaine de la sécurité intérieure.

En outre, Europol pourrait mener des activités de recherche (en particulier, de sa propre initiative ou à la demande de trois États membres, elle peut développer des « capacités avancées »), expérimenter des outils algorithmiques et des systèmes d'intelligence artificielle (IA) via un « bac à sable » réglementaire^40(*), et effectuer des essais.

5. Une gouvernance d'Europol remodelée au profit de la Commission européenne

Le dernier grand volet de la réforme tend à modifier structurellement l'organisation interne d'Europol. Cette dernière est aujourd'hui composée d'un conseil d'administration (où siègent un représentant par État membre et un représentant de la Commission européenne), chargé de définir les priorités stratégiques de l'agence et de voter son budget, et d'un directeur exécutif, qui assure la gestion de l'agence et rend compte au conseil d'administration.

La proposition tend à modifier structurellement cette gouvernance - et à la complexifier.

Europol est aujourd'hui dirigée par un conseil d'administration, composé d'un représentant par État membre et d'un représentant de la Commission européenne, et par un directeur exécutif désigné sur la base d'une liste établie par le Conseil.

Or, sans justification et à traité constant, la réforme prévoit la création d'un poste de représentant supplémentaire et d'un « quasi droit de veto » pour la seule Commission européenne au sein du conseil d'administration. D'une part, l'article 73 de la proposition de règlement prévoit que, lorsque la Commission rend un avis négatif pour des motifs liés au respect du droit de l'Union, à la compatibilité avec les objectifs stratégiques de l'Union ou à la bonne gestion financière, le conseil d'administration doit réexaminer le projet de document unique de programmation avant son adoption. D'autre part, l'article 74 de la proposition de règlement précise que lorsque la Commission exprime de fortes préoccupations au sujet d'une proposition de décision présentée au conseil d'administration sur des questions liées au règlement délégué (UE) 2019/715, qui porte règlement financier-cadre des organismes créés en vertu du traité sur le fonctionnement de l'Union européenne et du traité Euratom, ainsi qu'au statut des fonctionnaires et au régime applicable aux autres agents, le conseil d'administration reporte l'adoption de la décision concernée. Dans un délai de quinze jours, le conseil d'administration devrait alors réexaminer la décision, l'adoption étant conditionnée à majorité des deux tiers, incluant les représentants de la Commission, ou une majorité des quatre cinquièmes des représentants des États membres .

La proposition de règlement prévoit en outre la désignation du directeur exécutif sur la base d'une liste de candidats désormais établie par la Commission, au lieu du Conseil (articles 69, 75, 76 et 78).

En complément, l'article 116 de la proposition mentionne le contrôle démocratique exercé sur le fonctionnement de l'agence par le groupe de contrôle parlementaire conjoint (GCPC) d'Europol, composé de représentants du Parlement européen et des parlements nationaux des 27 États membres. Ce groupe se réunit au moins deux fois par an et le Sénat y est régulièrement représenté (article 116).

6. En complément de la proposition de règlement, la Commission européenne a promis une augmentation considérable des moyens d'Europol

Enfin, alors que les articles 120 à 124 (chapitre XII) décrivent le cadre financier du fonctionnement d'Europol, signalons sur ce point, que la Commission européenne a annoncé qu'elle voulait augmenter le budget d'Europol pour le porter à 3 milliards d'euros sur la période 2028-2034, soit environ 428 millions d'euros par an, en moyenne, contre 273 millions d'euros en 2026 (+ 56 %).

Cependant, ce souhait dépendra en pratique de l'issue des négociations interinstitutionnelles en cours du cadre financier pluriannuel (CFP) 2028-2034. Or, à l'heure actuelle, les États membres sont divisés sur le montant global du futur CFP. En juillet 2025, la Commission avait proposé un montant de 1 985 milliards d'euros courants. Mais, sous la pression d'un groupe d'États membres dit « frugaux », conduits par l'Allemagne, qui souhaite une baisse drastique des dépenses européennes, la présidence irlandaise du Conseil a émis, le 12 octobre dernier, une proposition basée sur une enveloppe financière de 1 620 milliards d'euros.

Outre ces incertitudes sur le montant global du CFP, il faut noter aussi que le projet de CFP 2028-2034 présenté par la Commission, le 16 juillet 2025 dernier intégrerait désormais les politiques dites « traditionnelles » de l'Union européenne, dont les politiques d'immigration et de sécurité, dans de nouveaux plans de partenariat nationaux et régionaux (PPNR). Le Sénat s'est exprimé en défaveur de ces plans. Selon lui, en effet, les PPNR répondent à une « logique de performance » peu adaptée et fonction de critères flous, et risquent d'aboutir à une « renationalisation » des politiques concernées, avec une « concurrence » possible entre politiques visées dans l'attribution des fonds européens (leurs montants étant désormais à arbitrer au niveau national) et même la crainte de « devoir sacrifier l'une de ces politiques pour financer les autres »^41(*).

I. III. LA PROPOSITION D'AVIS MOTIVÉ

A. L'OBJECTIF DE L'AVIS MOTIVÉ : AMENER LES NÉGOCIATEURS DE LA PROPOSITION À LA MODIFIER POUR LA RENDRE COMPATIBLE AVEC LE PRINCIPE DE SUBSIDIARITÉ

Consacré par le traité de Maastricht, le principe de subsidiarité est un principe selon lequel une action ne doit être réalisée au niveau de l'Union que si les objectifs de l'action ne peuvent être réalisés de manière suffisante par les États membres et si l'Union est plus efficace à agir. Le principe de subsidiarité a donc pour finalité de préserver les compétences des États contre une intervention non justifiée des institutions de l'Union.

Le principe de subsidiarité est défini à l'article 5 § 3 du traité sur l'Union européenne (TUE) : « En vertu du principe de subsidiarité, dans les domaines qui ne relèvent pas de sa compétence exclusive, l'Union intervient seulement si, et dans la mesure où, les objectifs de l'action envisagée ne peuvent pas être atteints de manière suffisante par les États membres, tant au niveau central qu'au niveau régional et local, mais peuvent l'être mieux, en raison des dimensions ou des effets de l'action envisagée, au niveau de l'Union ».

Dans les domaines de compétences partagées entre États membres et Union européenne, l'exercice de la compétence non exclusive revient donc en principe aux États, sauf preuve apportée par l'Union que son intervention se justifie au regard des deux conditions posées : l'action des États membres est insuffisante pour atteindre l'objectif européen souhaité et l'action européenne a une plus grande efficacité.

En pratique, les traités européens (article 5 du TUE précité et protocole II annexé aux traités) et la Constitution (article 88-6) confient le contrôle de subsidiarité aux parlements nationaux des États membres de l'Union européenne. Ainsi, les projets d'actes normatifs de la Commission européenne sont transmis aux parlements nationaux qui disposent d'un délai strict de 8 semaines pour formuler leurs observations. Dans ce délai, tout parlement national peut adresser aux institutions de l'Union un avis motivé exposant les raisons pour lesquelles il estime que le projet ne respecte pas le principe de subsidiarité.

Lorsque des avis motivés sur un texte ont été adoptés par au moins un tiers des voix attribuées aux parlements nationaux^42(*), ou un quart pour les projets d'actes relatifs à la coopération policière ou judiciaire en matière pénale (Chaque chambre dispose d'une voix pour les parlements bicaméraux ; chaque parlement monocaméral dispose de deux voix), le projet doit être réexaminé (c'est ce que l'on appelle le « carton jaune »).

L'institution dont émane le projet d'acte législatif (le plus souvent, la Commission européenne) peut décider soit de maintenir le projet, soit de le modifier, soit de le retirer, en motivant cette décision.

L'objectif du Sénat est ici d'obtenir, soit par la Commission européenne elle-même, soit via les discussions en cours au Conseil et au Parlement européen, des modifications du projet initial afin de lever les incompatibilités de la réforme avec le principe de subsidiarité, relevées dans le B) (ci-dessous).

B. PLUSIEURS DISPOSITIONS DE LA PROPOSITION DE RÈGLEMENT COM(2026) 580 FINAL SUSCITENT DES INTERROGATIONS AU TITRE DU CONTRÔLE DE SUBSIDIARITÉ

1. Des changements injustifiés dans la gouvernance d'Europol au profit de la Commission européenne

Tout d'abord, force est de constater que les articles 69, 75, 76 et 78 de la proposition de règlement, relatifs à la gouvernance d'Europol tendent à mettre cette dernière sous l'autorité de la Commission européenne, au lieu de celle des États membres.

Les dispositions visées sont plus particulièrement :

· l'augmentation du nombre de représentants (d'un à deux) de la seule Commission européenne au sein du conseil d'administration, tandis que le nombre de représentants des États membres demeurerait stable (à un par État membre) (article 69) ;

· l'instauration d'un « quasi droit de veto » à la Commission européenne sur les décisions du conseil d'administration. En effet, dans l'hypothèse où la Commission exprimerait de fortes préoccupations au sujet d'une proposition de décision présentée au conseil d'administration sur des questions liées au règlement délégué (UE) 2019/715, qui porte règlement financier-cadre des organismes créés en vertu du traité sur le fonctionnement de l'Union européenne et du traité Euratom, ainsi qu'au statut des fonctionnaires et au régime applicable aux autres agents, le conseil d'administration devrait reporter l'adoption de la décision concernée. Puis, dans un délai de quinze jours, le conseil d'administration devrait alors réexaminer la décision, l'adoption étant conditionnée à majorité des deux tiers, incluant les représentants de la Commission, ou une majorité des quatre cinquièmes des représentants des États membres (article 74) ;

· la mise en place d'un conseil exécutif pour préparer les décisions du conseil d'administration (article 75).

· la désignation du directeur exécutif d'Europol, non plus par le Conseil de l'Union européenne, mais par le conseil d'administration de l'agence sur la base d'une liste de candidats établie par la Commission (article 76).

Ces évolutions ne résultent ni d'une demande de l'agence Europol ni du groupe de contrôle parlementaire conjoint (GCPC). Car, en l'état des traités, Europol est une agence d'appui et de renfort des services de police des États membres (article 88 du TFUE). Elle n'a pas d'autre raison d'être. Ces services sont les interlocuteurs du quotidien de l'agence. Et ses priorités opérationnelles sont définies sur la base des retours d'expérience et des demandes de ces services au sein de la stratégie EMPACT.

Il est donc non seulement légitime mais également nécessaire qu'Europol ait un lien « structurel » avec ces services et les États membres.

En revanche, la Commission européenne n'a, aux termes des traités, aucun rôle opérationnel en matière de police et de sécurité intérieure.

Il faut signaler que le Bundesrat allemand, dans une décision rendue le 16 octobre dernier, a également exprimé ses fortes réserves sur ce projet de gouvernance.

2. L'extension des compétences d'Europol appelle trois observations

Autre point d'attention, l'extension de la compétence d'Europol appelle deux observations.

L'extension des compétences à la lutte contre les cyberattaques et les violations des mesures restrictives de l'Union européenne ne semblent pas poser problème, du fait de leur caractère transfrontalier et de leur lien avec des enquêtes pénales. Il en va de même pour les violences de genre.

En revanche, l'octroi d'une compétence par Europol en matière de lutte contre les « menaces hybrides » paraît contraire au principe de subsidiarité et doit à ce titre être exclue car une part majeure des actions de lutte contre ces menaces relève des services de renseignement et, par là même, de la sécurité nationale qui demeure de la seule responsabilité des États membres », aux termes de l'article 4, paragraphe 2, du traité sur l'Union européenne (TUE).

Le cas échéant, en cas de nécessité et, à titre de compromis, certaines infractions susceptibles de constituer de possibles « menaces hybrides », pourraient être ajoutées à la liste des infractions pénales relevant de la compétence d'Europol (annexe I).

3. De nouvelles obligations de transmissions d'informations excessives, des États membres vers Europol

Parmi les autres sujets de préoccupation, il faut mentionner les articles de la proposition qui contraindraient divers services de l'État à transmettre obligatoirement et systématiquement des informations à Europol ou à donner à cette agence, « un accès direct et immédiat » à leurs bases de données.

L'article 8, paragraphe 7, permettrait à Europol de demander aux États membres des transmettre des informations pertinentes, et, le cas échéant, des « éléments de renseignement criminel », pour faciliter les tâches opérationnelles ou d'analyse d'Europol. Les autorités des États membres devraient y répondre « dans les meilleurs délais » et motiver leur refus de ne pas apporter la contribution demandée.

Dans le même esprit, les dispositions des paragraphes 1 et 2 de l'article 9, prévoient, sur un pied d'égalité avec les bureaux de recouvrement des avoirs des États membres, d'une part, un « accès direct et immédiat » d'Europol à certaines informations sensibles^43(*), et, d'autre part, l'obtention rapide d'autres catégories d'informations fiscales, sociales ou douanières^44(*), lorsque cela est nécessaire à l'agence pour l'accomplissement de ses missions de lutte contre la criminalité économique et financière.

Les États membres pourraient toutefois refuser ces accès dans certains cas limités^45(*) ou les soumettre à une demande motivée ou à une autorisation judiciaire préalable^46(*).

En outre, l'article 9, paragraphe 5, impose aux cellules de renseignement financier, comme Tracfin en France, de donner suite aux demandes dûment justifiées qui sont présentées par Europol, dans le cadre d'opérations de confiscation d'avoirs criminels^47(*).

Ces articles n'apparaissent pas conformes au principe de subsidiarité pour les motifs suivants :

a) en premier lieu, ces transmissions d'informations massives et « à sens unique », des États membres vers Europol, posent à la fois une question de principe (pourquoi Europol aurait-elle besoin d'un accès direct et immédiat aux registres immobiliers, commerciaux et d'état civil ?), et constitueraient pour les services nationaux compétents une charge administrative excessive. Elles nécessiteraient des créations d'emplois ou, si elles ne sont pas possibles, une mobilisation exclusive d'effectifs supplémentaires pour accomplir ces tâches administratives. Ces transmissions s'effectueraient ainsi au détriment de la disponibilité opérationnelle, ce qui serait aberrant ;

b) l'accès direct et immédiat d'Europol aux données personnelles sensibles (registres d'état civil, registres immobiliers nationaux, registres de commerce...) des bureaux nationaux de recouvrement des avoirs serait de surcroît contraire aux exigences et principes constitutionnels de notre pays. En effet, l'agence Europol qui est une agence de soutien aux services de police des États membres ne peut être assimilée à un tel bureau. En outre, les justifications pour un tel accès manquent, tout comme les garanties appropriées pour assurer la protection des données de nos concitoyens. Certes, les États membres pourraient exiger une demande motivée et refuser cet accès dans un certain nombre de cas limités^48(*), mais en réalité, pour se conformer aux exigences précitées, le caractère direct et immédiat de l'accès envisagé semble devoir être supprimé ;

c) de plus, ces articles semblent inverser les relations entre les États membres et Europol qui sont inscrites dans les traités. En effet, d'une agence d'appui et de renfort aux États membres, Europol, deviendrait, dans les dispositions précitées, une agence en « surplomb » de ceux-ci, avec la possibilité de leur demander des informations, de les relancer, de les contraindre à motiver leur refus, etc. ;

d) les articles 8 et 9 tentent d'intégrer Europol, et par là-même la Commission européenne du fait des changements de gouvernance précités, dans des échanges d'informations comprenant des éléments de « renseignement ». Une telle insertion ne serait pas conforme aux traités, d'une part, parce qu'Europol n'est pas un service de renseignement et, d'autre part, parce que ces derniers relèvent exclusivement de la sécurité nationale et disposent de leur propre circuit d'échanges d'informations au niveau européen.

4. En contravention avec les traités, un nouveau pouvoir d'injonction aux États membres qui semble faire d'Europol le « superviseur » des services nationaux

D'autres dispositions de la proposition de règlement apparaissent contraires au principe de subsidiarité car, elles aussi, inversent les relations prévues entre les États membres et l'agence Europol et constitueraient des charges administratives disproportionnées. Sur ce point, il faut mentionner les dispositions :

· de l'article 9, paragraphe 3, qui autorisent Europol, lorsque l'agence « estime qu'il existe un risque imminent de disparition des biens dépistés et identifiés » à la suite des activités de lutte contre la criminalité économique et financière, à demander aux autorités compétentes des États membres de prendre des « mesures immédiates » de gel de ces biens, sauf si, dans un délai de 24 heures, cette autorité prouvait qu'une telle mesure serait contraire aux intérêts essentiels de l'État membre concerné en matière de sécurité ;

· de l'article 11, qui lui permettent d'enjoindre à un État membre d'ouvrir une enquête pénale, sauf réponse négative motivée apportée par ce dernier dans le délai d'un mois ;

· de l'article 24, qui imposent aux États membres de doter les pôles opérationnels et spécialisés d'Europol en experts, alors même que ces derniers sont déjà parfois insuffisants pour répondre aux priorités nationales en matière de sécurité (numérique et IA ; lutte anti-terroriste...).

Ces dispositions ont également été critiquées par le Bundesrat allemand dans sa décision précitée du 16 octobre 2026.

5. L'insertion obligatoire de « bureaux d'appui Europol » au sein des unités nationales de l'agence ne semble pas compatible avec le principe de subsidiarité

L'article 26 de la proposition de règlement prévoit l'insertion obligatoire de « bureaux d'appui Europol », composés d'agents d'Europol ayant déjà travaillé dans les services compétents des États membres, au sein des unités nationales Europol, qui sont les bureaux de liaison des États membres auprès de l'agence, dans les capitales.

Officiellement, cette proposition vise à s'assurer que les États membres prennent les mesures appropriées pour bénéficier d'un soutien efficace d'Europol. En réalité, alors qu'Europol fonctionne de manière satisfaisante avec ces unités nationales, une telle insertion donnerait un « signal politique » très négatif. Elle témoignerait en effet, d'une part, d'une volonté de contrôle, par l'agence, de l'activité des unités nationales, dont une part de l'activité relève pourtant de la sécurité nationale, et, d'autre part, d'une défiance des institutions de l'Union européenne à l'égard des actions de coopération des services de police des États membres.

Le Sénat tchèque, dans un avis politique du 21 octobre 2026, a dénoncé la contrariété de cette disposition au principe de subsidiarité.

*

La commission des affaires européennes du Sénat a, en conséquence, adopté la proposition de résolution européenne portant avis motivé suivante :

PROPOSITION DE RÉSOLUTION EUROPÉENNE PORTANT AVIS MOTIVÉ SUR LA CONFORMITÉ AU PRINCIPE DE SUBSIDIARITÉ DE LA PROPOSITION DE RÈGLEMENT DU PARLEMENT EUROPÉEN ET DU CONSEIL RELATIF À L'AGENCE POUR LA COOPÉRATION DES SERVICES RÉPRESSIFS (EUROPOL), MODIFIANT LE RÈGLEMENT (UE) 2018/1726 ET LE RÈGLEMENT (UE) 2024/982, ET ABROGEANT LE RÈGLEMENT (UE) 2016/794 - COM(2026) 580 FINAL

Coller ici l'avis motivé adopté en commission

EXAMEN EN COMMISSION

Le compte rendu sera publié ultérieurement.

LISTE DES PERSONNES ENTENDUES

Représentation permanente de la France auprès de l'Union européenne :

-M. Nicolas de Maistre, chef du service « justice-affaires intérieures » ;

-Mme Marie Dugré, adjointe au chef du service « justice-affaires intérieures », conseiller justice pénale ;

-M. Alexandre Nascioli, conseiller affaires intérieures.

---

* ¹ « ProtectEU : une stratégie européenne de sécurité intérieure », COM(2025) 148 final, 1^er avril 2025.

* ² Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI.

* ³ Terrorisme ; criminalité organisée ; trafic de stupéfiants ; activités de blanchiment d'argent ; criminalité liée aux matière nucléaires et radioactives ; trafic de migrants ; traite des êtres humains ; criminalité liée au trafic de véhicules volés ; meurtre et coups et blessures graves ; trafic d'organes et de tissus humains ; enlèvement, séquestration et prise d'otage ; racisme et xénophobie ; vol qualifié et vol aggravé ; trafic de biens culturels, y compris les antiquités et les oeuvres d'art ; escroquerie et fraude ; infractions portant atteinte aux intérêts financiers de l'Union européenne ; délits d'initiés et manipulation des marchés financiers ; racket et extorsion de fonds ; contrefaçon et piratage de produits ; falsification de documents administratifs et trafic de faux ; faux-monnayage et falsification de moyens de paiement ; criminalité informatique ; corruption ; trafic d'armes, de munitions et d'explosifs ; trafic d'espèces animales ou végétales menacées ; criminalité au détriment de l'environnement, y compris la pollution causée par les navires ; trafic de substances hormonales et d'autres facteurs de croissance ; abus sexuels et exploitation sexuelle, y compris matériel pédopornographique et sollicitation d'enfants à des fins sexuelles ; génocides, crimes contre l'humanité et crimes de guerre ; violation des mesures restrictives de l'Union.

* ⁴ Communication COM(2020) 605 final.

* ⁵ Règlement(UE) 2022/991 du Parlement européen et du Conseil du 8 juin 2022 modifiant le règlement (UE) 2016/794 en ce qui concerne la coopération d'Europol avec les parties privées, le traitement de données à caractère personnel par Europol à l'appui d'enquêtes pénales et le rôle d'Europol en matière de recherche et d'innovation.

* ⁶ Communication COM(2025) 148 final du 1^er avril 2025.

* ⁷ Stratégie interne intitulée « Assurer la sécurité en partenariat » (Delivering security in partnership).

* ⁸ Règlement (UE) 2016/794 du Parlement européen et du Conseil du 11 mai 2016 relatif à l'agence de l'Union européenne pour la coopération des services répressifs (Europol) et remplaçant et abrogeant les décisions du Conseil 2009/371/JAI, 2009/934/JAI, 2009/935/JAI, 2009/936/JAI et 2009/968/JAI.

* ⁹ En France, ces équipes sont prévues aux articles 695-2 à 695-3 du code de procédure pénale.

* ¹⁰ L'usage veut que la première réunion de l'année se tienne dans la capitale de l'État membre assurant la présidence « tournante » du Conseil de l'Union européenne (Chypre en 2026) et la seconde, au Parlement européen (sur son site de Bruxelles).

* ¹¹ Voir le dernier rapport EU-SOCTA, daté du 18 mars 2025 : « Le changement d'ADN de la criminalité grave et organisée ». Ce rapport souligne en particulier l'augmentation du recours à la violence, aux mineurs et aux technologies numériques, par les réseaux criminels actifs en Europe.

* ¹² Rapport sur la situation et les tendances en matière de terrorisme dans l'Union européenne en 2026, en date du 13 juillet 2026. Sur les 45 attaques terroristes répertoriées dans dix États membres en 2025, 24 ont été perpétrés par des terroristes djihadistes, 12, par des terroristes d'extrême-gauche, 4, par des terroristes d'extrême-droite et 4 ne peuvent être attribuées à un « courant idéologique ».

* ¹³ « L'évolution du paysage des menaces : comment le cryptage, les proxys et l'IA sont en train d'étendre la cybercriminalité. » ; rapport IOCTA du 28 avril 2026.

* ¹⁴ Le « rançongiciel » (ou « ransomware » en anglais) est un type d'attaque informatique qui bloque l'accès à l'appareil ou aux fichiers d'une victime et qui exige le paiement d'une rançon en échange du rétablissement de l'accès. 

* ¹⁵ Les chiffres mentionnés sont issus du rapport annuel d'activité consolidé d'Europol (2025), 22 juin 2026.

* ¹⁶ Conformément à l'article 36 de la directive (UE) 2016/680.

* ¹⁷ Prévu par l'article 218 du traité sur le fonctionnement de l'Union européenne (TFUE).

* ¹⁸ Conformément à l'article 23 de la décision 2009/371/JAI.

* ¹⁹ Andorre ; Argentine ; Arménie ; Chili ; Corée du sud ; Égypte ; Équateur ; Inde ; Israël ; Japon ; Jordanie ; Kosovo ; Mexique ; Qatar ; San Marin ; Singapour.

* ²⁰ En application de l'article 28 du Règlement Général sur la protection des données (RGPD), ce principe pose que les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées.

* ²¹ Décision du 21 décembre 2021 (dossiers 2019-0370 et 2021-0699).

* ²² Règlement (UE) 2022/991 du 8 juin 2022.

* ²³ Voir l'analyse d'impact précitée de la proposition de règlement (p 7).

* ²⁴ SWD(2026) 580 final.

* ²⁵ Analyse d'impact de la proposition de règlement COM(2026) 580 final, SWD(2026) 580 final, 24 juin 2026, p 8.

* ²⁶ COM(2025) 148 final.

* ²⁷ COM(2026) 570 final.

* ²⁸ COM(2026) 314 final.

* ²⁹ COM(2026) 1 030 final.

* ³⁰ Règlement (UE) 2017/1939 du Conseil du 12 octobre 2017 mettant en oeuvre une coopération renforcée concernant la création du Parquet européen.

* ³¹ Directive (UE) 2017/1371 du Parlement européen et du Conseil du 5 juillet 2017 à la lutte contre la fraude portant atteinte aux intérêts financiers de l'Union au moyen du droit pénal (dite directive « PIF »).

* ³² La stratégie ProtectEU mentionne explicitement Europol, Eurojust, Frontex, le Parquet européen, l'Office de lutte antifraude de l'Union européenne (OLAF), l'Agence des droits fondamentaux de l'Union européenne, l'Autorité de lutte contre le blanchiment de capitaux (ALBC), l'Autorité douanière de l'Union européenne, l'agence eu-LISA (en charge des systèmes d'information à grande échelle de l'Union européenne dans le secteur « Justice-affaires intérieures ») et l'agence de l'Union européenne pour la cybersécurité (ENISA).

* ³³ Ces résolutions européennes ont été adoptées par le Sénat à l'initiative de sa commission des affaires européennes, sur le rapport des sénateurs Jean-François Rapin, alors président de la commission, et Didier Marie.

* ³⁴ Actions malveillantes de pays tiers hostiles aux États membres de l'Union européenne visant à les déstabiliser (cyberattaques ; survols de drones ; sabotages d'infrastructures critiques ; désinformation...).

* ³⁵ Règlement (UE) 2018/1725 du Parlement européen et du Conseil du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n°45/2001 et la décision n°1247/2002/CE.

* ³⁶ Proposition COM(2026) 314 final.

* ³⁷ Sont considérées comme « données opérationnelles à caractère personnel », (article 3 du règlement (UE) 2018/1725 du 23 octobre 2018 relatif à la protection des personnes physiques à l'égard du traitement de données à caractère personnel par les institutions, organes et organismes de l'Union et à la libre circulation de ces données, et abrogeant le règlement (CE) n°45/2001 et la décision n°1247/2002/CE).

* ³⁸ Eurojust ; Parquet européen ; office de lutte anti-fraude de l'Union européenne (OLAF) ; Autorité de lutte contre le blanchiment de capitaux et le financement du terrorisme (ALBC) ; Frontex ; agence des systèmes d'information à grande échelle de l'espace de liberté, de sécurité et de justice eu-LISA ; agence de l'Union européenne sur les drogues ; agence des droits fondamentaux de l'Union européenne (ADFUE/FRA) ; autorité douanière de l'Union européenne ; agence européenne de cybersécurité (ENISA).

* ³⁹ Selon ce principe, un État membre ayant transmis une information à Europol en reste l ; le détenteur et doit, sauf exceptions limitées, autoriser le transfert de cette donnée par Europol à un autre acteur.

* ⁴⁰ C'est-à-dire un dispositif d'expérimentation réglementaire qui permet de déroger aux normes applicables pour tester des produits/équipements innovants.

* ⁴¹ Résolution européenne du Sénat n°106 (2025-2026) du 11 mai 2026 relative aux négociations sur le cadre financier pluriannuel (CFP) 2028-2034, adoptée sur le rapport des sénatrices Christine Lavarde et Florence Blatrix-Contat.

* ⁴² Chaque chambre d'un parlement bicaméral dispose d'une voix et chaque parlement monocaméral dispose de deux voix.

* ⁴³ Registres immobiliers nationaux ; registres nationaux de citoyenneté et de population ; registres nationaux de véhicules à moteur ; registres de commerce ; registres nationaux des bénéficiaires effectifs ; registres centralisés des comptes bancaires (article 6, paragraphe 2, de la directive (UE) 2024/1260 du Parlement européen et du Conseil du 24 avril 2024 relative au recouvrement et à la confiscation des avoirs).

* ⁴⁴ Données fiscales ; données nationales de sécurité sociale ; informations pertinentes sur les enquêtes pénales ; hypothèques et prêts ; informations sur la monnaie, les opérations de change, les titres, les données douanières, les états financiers annuels des entreprises, les virements électroniques et les cryptoactifs (article 6, paragraphe 3, de la directive (UE) 2024/1260 du Parlement européen et du Conseil du 24 avril 2024 relative au recouvrement et à la confiscation des avoirs).

* ⁴⁵ Mise en danger d'une enquête en cours ; atteinte disproportionnée par rapport aux intérêts légitimes d'une personne ; les informations concernées ont été transférées par un État membre ou un pays tiers et il n'est pas possible d'obtenir son consentement (mise en pratique du principe de propriété des données

* ⁴⁶ Ces conditions sont fixées par référence aux articles 5 et 6 de la directive (UE) 2024/1260 précitée.

* ⁴⁷ Conformément à l'article 12 de la directive (UE) 2024/1260 précitée.

* ⁴⁸ Si cet accès compromet le bon déroulement d'une enquête en cours, s'il est clairement disproportionné par rapport aux intérêts légitimes d'une personne physique ou morale au regard des finalités pour lesquelles l'accès a été demandé, ou s'il comporte des informations fournies par un autre État membre ou un pays tiers et qu'il n'est pas possible d'obtenir leur consentement en vue d'une transmission ultérieure de ces informations (article 6 de la directive (UE) 2024/1260 du Parlement européen et du Conseil du 24 avril 2024 relative au recouvrement et à la confiscation d'avoirs.