Ce projet de décision, présenté par M. Guy GEOFFROY , rapporteur, au cours de la réunion de la Commission du 17 novembre 2009, vise à établir le nouveau cadre dans lequel des données de messagerie financière seront accessibles aux autorités répressives américaines en vue de lutter contre le terrorisme.

I. Un nouvel accord d’accès aux données de messagerie financière

L’accord actuellement en vigueur est connu sous le nom d’accord « SWIFT », du nom de la société qui fournit des services de messagerie financière internationale en matière de paiement. La Society for Worldwide Interbank Financial Telecommunication (SWIFT) est une société de droit belge. SWIFT transporte les messages standardisés de ses 8.000 clients (banques, institutions financières et clients professionnels) entre établissements financiers. Le centre d’exploitation est situé aux Pays-Bas et la duplication de cette base de données est assurée dans une base de donnés située aux EtatsUnis.

Suite aux attentats du 11 septembre 2001, le département du Trésor des Etats-Unis a mis au point un programme de surveillance du financement du terrorisme (« Terrorist Finance Tracking Program  » dénommé « TFTP »). Le département du Trésor des Etats-Unis a admis en 2006 avoir adressé des injonctions à la société SWIFT afin que les bureaux de SWIFT implantés aux Etats-Unis transfèrent au bureau de contrôle des avoirs étrangers du département du Trésor des données à caractère personnel conservées sur le serveur situé aux Etats-Unis dans le cadre de la lutte contre le terrorisme.

L’autorité belge en charge de la protection des données et le G29 avaient jugé que SWIFT violait les règles de protection des données en n’assurant pas une protection des données adéquate et en n’informant pas les personnes concernées du traitement des informations. Le Parlement européen s’était également fermement opposé à ces échanges de données.

Dans un échange de lettres en date des 28 juin 2007 et 20 juillet 2007 entre le département du Trésor et la Commission européenne, une série d’observations (une dizaine de pages) sur les contrôles et garanties en matière de protection des données avaient été données par les Etats-Unis. Une personnalité européenne éminente (il s’agira du juge Jean-Louis Bruguière) sera désignée afin de vérifier que le programme est mis en œuvre conformément aux engagements du Trésor. Le juge Jean-Louis Bruguière a rendu son rapport, classifié, le 16 février dernier et, selon les informations disponibles dans la presse, le Trésor américain aurait apporté la démonstration du respect des garanties prévues par les échanges de lettres. Les autorités américaines auraient respecté leurs engagements en matière de protection des données provenant de l’Union et l’exploitation de ces données aurait permis d’accroître l’efficacité de la lutte contre le terrorisme.

La société SWIFT a décidé de renoncer à sa base de données située aux Etats-Unis pour les données internes à l’espace européen et de répartir son activité entre deux bases, dont l’une serait aux Pays-Bas en charge des données internes à l’Union européenne et de certains pays l’ayant choisie, l’autre base, située en Suisse, conservant les autres données (les données internes aux EtatsUnis y seraient toujours traitées avec une sauvegarde en Suisse). Le trafic entre la zone européenne et la zone transatlantique serait stocké à la fois dans la zone d’émission et dans la zone de réception. SWIFT mettra en œuvre cette nouvelle architecture dès l’automne. Une partie importante des données constituant la base des injonctions rendues dans le cadre du TFTP ne sera donc plus stockée aux Etats-Unis.

En conséquence, la conclusion d’un accord avec les Etats-Unis, lié à cette nouvelle configuration, s’impose. Tel est l’objet du présent document.

La commission a eu à examiner cet été un projet de mandat de négociation pour le nouvel accord SWIFT (document E 4551).

Suite à la demande d’examen en urgence présentée par M. Pierre Lellouche (courrier du 22 juillet 2009), le président Pierre LEQUILLER lui a écrit afin d’émettre de fortes réserves sur la procédure suivie pour un texte de cette importance et posant de vraies questions de protection des données personnelles. Le Ministre n’a pas pu obtenir de nos partenaires européens un délai supplémentaire qui aurait permis à notre Commission d’examiner ce texte selon la procédure classique. Compte tenu de ce qu’un nouvel accord devait être négocié rapidement avant que la société SWIFT ne supprime sa base de données située aux États-Unis et de la nécessité de ne pas interrompre ces échanges de données stratégiques en matière de lutte contre le terrorisme, le Président Pierre LEQUILLER a accepté de procéder à l’examen en urgence. Cela était nécessaire afin de permettre d’engager les négociations avec les ÉtatsUnis. Le mandat a été adopté par le Conseil le 27 juillet 2009.

II. Un projet qui soulève plusieurs difficultés

L’accord serait un accord relevant du troisième pilier conclu pour une durée limitée. Par rapport à un échange de lettres comme lors de la procédure suivie en 2007, l’accord présente l’avantage de lier les autorités américaines.

Le mandat encadrait relativement strictement les possibilités de transfert et d’utilisation des données. L’accord devait apporter des garanties en matière de protection des droits fondamentaux et notamment de protection des données à caractère personnel et de respect de la vie privée.

En matière de définition des finalités, de protection des données et d’encadrement de leur utilisation, plusieurs types de garanties sont effectivement posés.

Néanmoins, un certain nombre de points doivent encore être clarifiés et, au regard des standards européens de protection des données, des exigences doivent être soulignées. Les travaux du Parlement européen (résolution du 17 septembre 2009) doivent être soutenus.

*

* *

L’exposé de M. Guy GEOFFROY , rapporteur, a été suivi d’un débat.

« Le Président Pierre LEQUILLER . Nous avons entendu, à deux reprises, le Président de la Commission nationale de l’informatique et des libertés (CNIL), M. Alex Türk, qui était inquiet sur cette affaire. Cet accord serait conclu pour une durée limitée. Mais il faudra le renégocier, et l’améliorer, dans le contexte de l’entrée en vigueur du traité de Lisbonne. Mais nous devons aujourd’hui l’approuver compte tenu de ce caractère provisoire.

M. Jérôme LAMBERT . Je souhaite savoir quelles sont les positions de nos partenaires européens et notamment de l’Autriche, de l’Allemagne et de la Finlande.

M. Guy GEOFFROY , rapporteur. Un certain nombre de réticences sont partagées par plusieurs Etats. Il faut convenir qu’aujourd’hui la nécessité de conclure l’accord s’impose. On doit empêcher la rupture de la transmission des données, tout en restant libres d’affirmer que des insuffisances existent, et de prendre date pour l’accord qui sera conclu de manière pérenne ensuite.

M. Jérôme LAMBERT . Je souhaite également faire des propositions d’ajouts aux conclusions dont certaines sont reprises des travaux du Parlement européen qui a adopté une résolution le 17 septembre dernier. »

Sur proposition du rapporteur, la Commission a ensuite adopté les conclusions suivantes :

«  La Commission des affaires européennes,

Vu l’article 88-4 de la Constitution,

Vu le projet d’accord entre l’Union européenne et les Etats-Unis d’Amérique sur le traitement et le transfert de données de messagerie financière de l’Union européenne aux Etats-Unis d’Amérique aux fins du programme de surveillance du financement du terrorisme (accord SWIFT) ;

Souligne l’intérêt mutuel de l’échange de données au regard de la lutte antiterroriste,

Rappelle qu’il est nécessaire de ne pas se trouver dans une situation dans laquelle l’accès aux données pour la lutte antiterroriste serait interrompu, SWIFT ayant modifié son architecture mais aucun accord n’ayant pu être signé,

Considère, pour autant qu’un accord international soit nécessaire, qu’un certain nombre de garanties, en premier lieu en matière de protection des données, doivent être assurées,

Prend acte du caractère provisoire de l’accord,

Demande :

- que le rôle exact des autorités chargées de recevoir et de traiter les demandes du département du Trésor américain soit clarifié,

- que l’accord ne permette que le transfert de données précisément limitées,

- que le partage éventuel des données avec les autorités des Etats tiers soit soumis à des conditions extrêmement strictes, garantissant la protection des données à caractère personnel conformément aux règles de l’Union européenne en la matière,

- que des garanties soient apportées sur les possibilités effectives de recours des personnes concernées,

- que les données utilisées ne puissent être conservées que durant une période réduite clairement définie,

- que les exigences minimales formulées dans le point 7 de la résolution du Parlement européen du 17 septembre 2009 sur l'accord international envisagé à ce propos avec les Etats-Unis, soient garanties dès cet accord.  »

Sous réserve de ces conclusions, la Commission a approuvé le projet de décision du Conseil relative à la signature de l’accord.