Signature d'un accord avec les États-Unis sur le traitement et le transfert de données de messagerie financière (Accord « SWIFT »)

Je vous rappelle que nous avons adopté une proposition de résolution le 28 octobre dernier. Cette proposition a été adoptée sans modification par la commission des lois, dans sa réunion du 16 novembre. Par le jeu des nouvelles dispositions du règlement, elle est devenue résolution du Sénat le 21 novembre.

Cette résolution affirme huit priorités dans la perspective de la conclusion du projet d'accord. Je voudrais faire un point sur ces priorités à la lumière du dernier état de la négociation. Je précise que, dans sa dernière version, le projet d'accord est soumis aujourd'hui même au COREPER en vue de son adoption par le Conseil « Justice et Affaires intérieures » du 30 novembre. L'objectif demeure que le dispositif soit en place pour l'entrée en vigueur de la nouvelle architecture SWIFT qui sera opérationnelle d'ici la fin de l'année.

1. La finalité de la transmission des données

Selon la résolution du Sénat, la lutte contre le terrorisme doit être la finalité exclusive de la transmission de données.

La nouvelle version du projet d'accord affirme clairement que la lutte contre le terrorisme et son financement sera la finalité exclusive de la transmission des données SWIFT (articles 1er et 5). Nous pouvons donc prendre acte de cette garantie qui est essentielle.

En outre, nous avions demandé que soit vérifiée la compatibilité de la définition du terrorisme - qui correspond à la définition américaine - qui figurera dans l'accord avec la définition européenne, telle qu'elle résulte de la décision cadre du 13 juin 2002. Le Gouvernement fait valoir que la définition retenue ne pose pas de difficulté. Je souhaite pour ma part que cette question soit examinée attentivement dans la perspective de l'accord à long terme qui devrait également être conclu.

Surtout, la nouvelle version permet une transmission en masse des données « potentiellement intéressantes » lorsque le fournisseur ne sera pas en mesure d'identifier et de produire les données spécifiques correspondant à la demande (article 4 § 6). Cependant, cette possibilité ne sera ouverte que sous réserve des dispositions spécifiques de l'accord relatives à la protection des données (article 5 § 2). Les autorités américaines s'engagent aussi à effacer sans délai les données transmises qui ne font pas partie de la demande initiale (article 5 § 2, j)).

En dépit de ces précautions, cette méthode me paraît très contestable. Elle aboutira nécessairement à la transmission de données sans lien direct avec la finalité de l'accord. En outre, a disparu le considérant n° 9 bis de la version précédente qui spécifiait la faculté des États membres de l'Union européenne de suspendre les flux de données afin de protéger les particuliers en cas de non-respect de l'accord ou de carence du Trésor américain. Chaque « partie » pourra certes suspendre ou dénoncer l'accord (article 14). Mais, cette faculté n'appartiendra pas aux États membres qui ne sont pas formellement « parties » à l'accord.

En vue de l'accord à long terme, cette question devra donc être reconsidérée pour qu'on s'en tienne à une transmission ciblée sur les seules données pertinentes pour la lutte contre le terrorisme.

2. La définition et le rôle des autorités compétentes pour la transmission des données 

Selon la résolution du Sénat, la qualité et les missions qu'aura l'autorité européenne responsable de la transmission des données doivent être définies précisément. Cette autorité doit pouvoir exercer un contrôle effectif sur la conformité des demandes aux conditions posées par le projet d'accord et par l'accord bilatéral sur l'entraide judiciaire.

La nouvelle version du projet d'accord ne précise pas quelle sera la qualité de cette autorité. En principe, il s'agira d'une autorité belge. En revanche, le projet d'accord prévoit expressément que cette autorité devra vérifier que la demande est conforme aux dispositions de l'accord et à celles applicables de l'accord bilatéral sur l'entraide judiciaire (article 4 § 5). Ce qui me paraît répondre à notre demande.

3. Le partage de l'information

La résolution du Sénat demande que des garanties soient apportées sur la conservation des données, que l'accès aux données soit réservé à des services dûment habilités et pour cette seule finalité et que la communication des données fournies à des tiers soit prohibée.

La nouvelle version du projet d'accord précise que le programme américain de lutte contre le financement du terrorisme n'inclut pas et n'inclura pas « l'exploration de données ni aucun autre type de profilage algorithmique ou informatisé, ou de filtrage. » (article 5 § 2). Il envisage une conservation des données dans un environnement sécurisé et séparée de toutes les autres données. L'accès sera limité aux analystes enquêtant sur le terrorisme et aux personnes chargées du soutien technique, de la gestion et de la surveillance du programme de surveillance du financement du terrorisme. Mais l'information ainsi obtenue pourra être partagée avec des autorités chargées de la lutte contre le terrorisme dans les États tiers (article 5 § 2, h)).

Outre une question de principe, cette transmission pose tout le problème des garanties pour la protection des données.

Cependant, la négociation a permis d'apporter de nouvelles précisions. Les données SWIFT en tant que telles ne pourront être transmises. Seuls les « indices d'activité terroriste » obtenus par l'intermédiaire du programme américain de surveillance du financement du terrorisme pourront être communiqués. C'est un acquis de la négociation qui doit être souligné.

En outre, à la demande de la France, une déclaration du Conseil qui sera annexée à l'accord précise que celui-ci « est sans préjudice d'aucune des dispositions de l'accord à long terme, en particulier en ce qui concerne (...) la transmission de données aux États tiers. »

En vue de l'accord à long terme, il est en effet indispensable que cette question soit réexaminée.

4. Le délai de conservation des données

Dans sa résolution, le Sénat demande que le délai de conservation soit proportionné aux finalités de l'accord et que celui-ci détermine un délai raisonnable.

La nouvelle version du projet d'accord maintient une durée de conservation de cinq ans prévue dans le projet initial (article 5 § 2, k) et l)). Pour le PNR européen, le Sénat avait proposé une durée de 3 ans, qui pourrait être complétée par un nouveau délai de 3 ans pour les données ayant montré un intérêt particulier.

Dans la perspective d'un accord à long terme, cette question méritera un examen plus approfondi pour vérifier l'adéquation du délai de cinq ans avec la finalité poursuivie.

5. Le droit des personnes concernées

La résolution du Sénat demande que des garanties soient établies sur les droits des personnes concernées en particulier pour leur permettre d'exercer un recours administratif ou juridictionnel effectif tant dans un État membre qu'aux États-Unis.

La nouvelle version affirme bien ce droit. Mais ce droit sera exercé « en application de la législation des États-Unis » (article 11 § 3). Cette législation n'empêche pas des ressortissants européens d'exercer un recours administratif. Mais la législation américaine, qui ne sera pas affectée par l'accord, réserve le droit au recours judiciaire aux citoyens et résidents permanents des États-Unis. Le considérant n° 10 indique que les parties sont conscientes « qu'un droit de recours administratif ou juridictionnel approprié est prévu par la législation des États-Unis. »

Cependant, la déclaration du Conseil annexée à l'accord précise que celui-ci « est sans préjudice d'aucune des dispositions de l'accord à long terme, en particulier en ce qui concerne les questions de recours. »

On ne peut admettre que perdure une situation dans laquelle les citoyens européens ne disposent pas de toutes les voies de recours judiciaire ouvertes aux citoyens et résidents permanents des États-Unis.

6. Le rôle des autorités de contrôle de la protection des données dans la supervision et l'évaluation de l'accord 

La proposition de résolution insiste sur le rôle des autorités de contrôle de la protection des données pour superviser et évaluer la mise en oeuvre de l'accord. Elle demande notamment que le groupe des « CNIL européennes » que préside Alex Türk soit étroitement associé à ces procédures.

La nouvelle version du projet d'accord prévoit que, pour le réexamen de l'accord, qui se fera dans un délai de six mois, la délégation de l'Union européenne comprendra deux représentants des autorités de contrôle dont l'un au moins sera issu d'un État membre où le fournisseur désigné est établi (la Belgique). En revanche, elle ne fait pas référence au groupe des « CNIL européennes » (article 10 § 2). Mais la négociation a permis de faire préciser que le programme de surveillance du financement du terrorisme pourra faire l'objet d'un contrôle à tout moment à la demande de l'Union européenne. Les deux « CNIL européennes » participeront à ce contrôle. Je crois que c'est là encore un acquis de la négociation qui répond à notre souhait d'une procédure de supervision de l'accord pendant toute sa période d'application.

7. L'accès des Parlements nationaux aux évaluations

La résolution du Sénat demande que les parlements nationaux aient accès aux résultats de la supervision et à l'évaluation qui sera faite de l'accord. Aucune précision n'est apportée dans la nouvelle version du projet d'accord sur la publicité de l'évaluation. Nous devrons rester vigilants pour que ne se répète pas le secret qui a entouré le rapport de M. Bruguière.

8. La reconduction de l'accord

Dans sa résolution, le Sénat souligne que l'accord devra expressément mentionner qu'il s'appliquera à titre provisoire en vertu d'une clause de caducité ne pouvant excéder douze mois et que, dès l'entrée en vigueur du traité de Lisbonne qui sera notifiée aux autorités américaines, un nouvel accord devra être négocié et conclu sur les nouvelles bases juridiques prévues par le traité.

La nouvelle version précise effectivement que l'accord expirera et cessera de produire ses effets au plus tard le 31 janvier 2011 et que, dès l'entrée en vigueur du traité de Lisbonne, c'est-à-dire le 1^er décembre, les parties s'efforceront de conclure un accord à long terme (article 15 § 3 et 4). C'est une précision essentielle.

*

Pour conclure, je crois que nous devons réaffirmer les enjeux qui s'attachent à la transmission de ces données financières. Il y a un enjeu d'efficacité de la lutte contre le terrorisme que nous partageons. Sur ce point, nous ne pouvons que prendre acte de l'argument selon lequel il est essentiel qu'il n'y ait pas de rupture dans l'utilisation des données SWIFT.

Il y a aussi un enjeu majeur de protection des droits fondamentaux, en particulier des données personnelles. Au regard de ce dernier enjeu, il aurait été préférable d'anticiper davantage la perspective de la mise en place de la nouvelle architecture SWIFT pour engager des négociations beaucoup plus approfondies.

Je constate néanmoins que la négociation a permis d'obtenir certaines avancées. Nous pouvons nous féliciter que la France ait joué un rôle très actif pour faire évoluer le texte de l'accord dans un sens plus conforme aux exigences en matière de protection des données. Je crois pouvoir dire que notre résolution a eu à cet égard un impact positif.

Mais, en l'état, le texte laisse encore subsister des lacunes importantes, notamment sur le droit de recours. C'est pourquoi il est essentiel que l'accord revête un simple caractère provisoire et qu'une nouvelle négociation s'ouvre au plus vite en vue d'un accord à long terme. Dans ce cadre, les questions encore en suspens devront recevoir des réponses adéquates. Nous devrons bien sûr être très vigilants sur le déroulement des négociations.

Ce n'est que sous ces réserves que nous pouvons prendre acte du dernier état de la négociation sur ce projet d'accord transitoire.