Le gendarme européen de la protection des données a annoncé lundi (10 janvier) avoir ordonné à l’agence de police Europol de supprimer de ses fichiers un grand nombre d’informations ne respectant pas les garde-fous érigés, notamment sur la durée de stockage d’éléments sensibles.
Cela concerne des données transmises par les pays membres de l’UE sur des individus soupçonnés d’activités criminelles, a déclaré dans un communiqué l’EDPS (European Data Protection Supervisor), une agence chargée de contrôler tous les organismes et les institutions de l’UE dans ce domaine de la gestion des données personnelles.
Si dans un délai de six mois après la réception de ces données le lien avec une activité criminelle n’a pu être prouvé, il est interdit de les conserver.
« Un délai de six mois pour la pré-analyse et le filtrage de grands ensembles de données devrait permettre à Europol de répondre aux requêtes opérationnelles des États membres de l’UE qui lui demandent un soutien technique et analytique, tout en réduisant au minimum les risques pour les droits et les libertés des personnes », a expliqué le chef de l’EDPS, Wojciech Wiewiorowski.
À l’issue d’une enquête ouverte en 2019, le Contrôleur européen de la protection des données accuse ainsi Europol d’avoir enfreint sa propre réglementation en conservant « plus longtemps que nécessaire » certaines données.
Il précise avoir notifié le 3 janvier à Europol l’ « ordre de supprimer des données concernant des individus sans lien établi avec une activité criminelle ».
Il s’agit d’une nouvelle étape après l’avertissement envoyé en septembre 2020 sur la nécessité de mettre fin à ce stockage de données jugé illégal.
Pour Europol, la décision de l’EDPS est susceptible d’entraver ses activités : « Cela aura un impact sur notre capacité à analyser de vastes et complexes ensembles de données à la demande des forces de l’ordre », a réagi l’agence lundi dans un communiqué.
La décision concerne notamment des données détenues par les États et fournies à Europol pour des enquêtes touchant « au terrorisme, à la cybercriminalité, au trafic de drogues international, à la pédocriminalité, entre autres », dans lesquelles l’intervention d’Europol « couvre fréquemment des périodes supérieures à six mois », a-t-elle fait valoir.
Désormais, Europol dispose d’un délai de douze mois pour effacer les données problématiques qui n’auraient pas encore été éradiquées à la date du 3 janvier 2022.
La Commission européenne a salué ce délai offert « à titre de dérogation » par l’EDPS, estimant que cela donnera « suffisamment de temps » à Europol pour se conformer à la décision.
Charge ensuite au Parlement européen et au Conseil (qui représente les 27 pays de l’UE) de « fournir une solution appropriée et une clarté juridique sur le traitement des big data par Europol », a aussi relevé l’exécutif européen dans un communiqué.
L’agence européenne de police Europol, établie à La Haye, aux Pays-Bas, assiste et soutient les 27 pays de l’UE dans la lutte contre la criminalité organisée (drogue, armes, etc.) et les réseaux terroristes.
Avec un millier d’employés et 220 officiers de liaison à travers le monde, elle revendique, sur son site internet, une aide à plus de 40 000 enquêtes internationales par an.
