Strasbourg, le 5 septembre 2012

                                                                                                          T-PD (2012)10

LE COMITÉ CONSULTATIF DE LA CONVENTION POUR LA PROTECTION DES PERSONNES A L’ÉGARD DU TRAITEMENT AUTOMATISÉ

DES DONNÉES A CARACTÈRE PERSONNEL

(T-PD)

______

Note relative à l’introduction du concept de juridiction
dans l’article 1^e de la Convention n° 108

(Mise à jour – 5 septembre 2012)

______

DG I – Droits de l’Homme et État de droit

______

Jean-Philippe Moiny – aspirant F.R.S.-FNRS – CRIDS Université de Namur

Avertissement important

L’objectif des développements suivants, dont la concision emporte nécessairement certaines simplifications, est triple. Il s’agit d’abord d’offrir au lecteur quelques éléments d’analyse quant à la possible modification de l’article 1^e de la Convention n° 108 du Conseil de l’Europe et à l’utilisation du concept de « juridiction », et ensuite de répondre (implicitement) à certaines interrogations soulevées lors des réunions (plénières ou non) du T-PD. Enfin, il est proposé de modifier le texte de la Convention (infra, au point n° 5, (B2)). La présente note n’a pas pour objet de présenter exhaustivement la question traitée, ni d’apporter des solutions aux problématiques évoquées. Des recherches et développements substantiels supplémentaires seraient nécessaires à cette fin.

1 - Dispositions juridiques pertinentes

Article 1^e CEDH : « les Hautes Parties contractantes reconnaissent à toute personne relevant de leur juridiction [- « within their jurisdiction » -] les droits et libertés définis au titre I de la présente Convention : »

Article 1^e Convention 108 – Objet et but : « le but de la présente Convention est de garantir, sur le territoire de chaque Partie [ - « to secure in the territory of each Party » -], à toute personne physique, quelles que soient sa nationalité ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l'égard du traitement automatisé des données à caractère personnel la concernant («protection des données»). »

Proposition de modification initiale (révisée infra, au point n° 5, (B2)) : « le but de la présente Convention est de garantir, à toute personne relevant de leur juridiction, quelles que soient sa nationalité ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l'égard du traitement automatisé des données à caractère personnel la concernant («protection des données»). »

2 - Concept de juridiction en général[1]

« Juridiction » et compétence. En doctrine anglophone, le concept de « jurisdiction » est généralement utilisé pour celui de compétence de l’Etat[2]. Il s’agit du pouvoir, attribué par le droit international à l’Etat, de réglementer le comportement des personnes, de l’influencer, et d’attacher des conséquences à des événements. La compétence de l’Etat découle de sa souveraineté (territoriale) qui en constitue la base.

Cette compétence générale peut être divisée en deux catégories générales de compétences : les « compétences normatives » (ou « prescriptive jurisdiction ») et les « compétences d’exécution » (« enforcement jurisdiction »). Par exemple, la loi, les réglementations adoptées par les gouvernements (arrêtés royaux en Belgique, décrets en France, etc.), les jugements, etc., relèvent des compétences normatives de l’Etat. Tandis que l’ensemble des voies d’exécution, saisie, expulsion, arrestation, recherche de preuves, etc., sont le fruit de la compétence d’exécution de l’Etat. On notera toutefois que la doctrine établit d’autres types de distinctions et nuances dans le détail desquelles on ne rentrera pas en l’espèce.

Lorsque le droit international fonde la compétence de l’Etat, c’est à plusieurs titres. A l’heure actuelle, sont unanimement admis par la doctrine les titres que constituent le territoire national (compétence territoriale) et la nationalité (compétence personnelle). Quant à la souveraineté territoriale d’un Etat, celle-ci présente deux caractères : la plénitude et l’exclusivité. En quelques mots, l’Etat peut produire des normes en toutes matières quant à son territoire, et il est le seul à disposer de ce pouvoir à cet endroit. En principe, la compétence de l’Etat a une portée territoriale. Ce n’est qu’exceptionnellement qu’une portée extraterritoriale peut lui être reconnue. Nous retiendrons de la célèbre affaire du Lotus, tranchée par l’ancienne Cour Permanente de Justice Internationale[3], ce qui suit : la compétence normative de l’Etat n’est pas territorialement limitée par le droit international public – ce qui est controversé en doctrine – mais sa compétence d’exécution est strictement limitée à son territoire – ce qui est indiscutable. En d’autres termes, un Etat ne violerait pas le droit international public s’il adoptait des lois à portée extraterritoriale, mais il le violerait s’il entendait mettre en œuvre ces réglementations en territoire étranger, via l’exercice de sa compétence d’exécution.

Bref, il y a place pour les réglementations extraterritoriales, même si la compétence de l’Etat est par définition essentiellement territoriale. La pratique des Etats atteste clairement de cette réalité. Il suffit d’évoquer les droits américain et européen de la concurrence – surtout le droit américain. Ce dernier, dont la « jurisdiction » est le cas échéant fondée sur la théorie des effets, a indiscutablement des effets extraterritoriaux, tout comme le droit européen, dont l’applicabilité est certes fondée sur une théorie différente mais également de portée extraterritoriale[4].

On relèvera en outre que les deux titres de compétence précité – territorialité et nationalité – reçoivent des acceptions extensives de nature à également permettre des effets extraterritoriaux aux réglementations nationales[5]. En matière de protection des données par exemples, la Convention n° 108 du Conseil de l’Europe et la directive européenne n° 95/46 consacrent un régime juridique des flux transfrontières de données présentant un effet extraterritorial[6]. En matière de piraterie, de crimes de guerre, contre l’humanité et de génocide, etc., il est même question de compétence universelle. 

Conflits de juridictions. Les compétences des Etats, selon le titre les fondant, sont susceptibles d’entrer en conflit. Ces conflits de juridictions sont réglés par la coopération judiciaire en matière civile (ou pénale vu que les règles de protection des données sont potentiellement sanctionnées pénalement) et, par conséquent, par les règles de droit international privé (ou, à nouveau, pénal). Il est ainsi intéressant d’illustrer succinctement l’éventualité, en matière de protection des données, de tels conflits de juridictions (en termes de droit international public).

Un premier exemple vise un responsable de traitement qui, établi sur le territoire d’un Etat A, utilise des moyens de traitement (data centers par exemple) sur le territoire d’un Etat B – peu importe que ces Etats soient ou non tous deux parties à la Convention n° 108. Dans une telle hypothèse, les deux Etats sont à tout le moins susceptibles d’invoquer leur compétence normative (prescriptive jurisdiction) fondée, en droit international public, sur un titre territorial (localisation du responsable de traitement ou localisation des moyens de traitement). L’Etat B ne pourra toutefois pas exercer sa compétence d’exécution (enforcement jurisdiction) sur le territoire de l’Etat A, sans le consentement de cet Etat A. Le cas échéant, en théorie, il pourrait envisager d’exercer cette compétence d’exécution vis-à-vis de biens dont le responsable de traitement serait propriétaire sur le territoire de l’Etat B. 

Le second exemple vise une hypothèse, un peu plus complexe, de flux transfrontières de données à destination de pays tiers. Une succursale Y, d’une entreprise X établie dans un Etat A – tiers aux parties à la Convention n° 108 – selon le droit de cet Etat, exerce son activité de traitement de données dans un Etat B – également tiers aux parties à la Convention n° 108. Les données à caractère personnel qu’elle traite lui sont communiquées à partir d’un Etat C, cette fois partie à la Convention n° 108. Les services policiers de l’Etat A adressent à l’entreprise X une requête, fondée en droit de l’Etat A, afin d’obtenir les données traitées par la succursale Y qui, en tant que succursale, n’a pas de personnalité juridique propre distincte de celle de l’entreprise X. L’exemple n’est pas irréaliste[7]. Dans la présente hypothèse, l’Etat C peut utiliser sa compétence territoriale (normative et d’exécution) pour interdire à toute personne se trouvant sur son territoire de communiquer à destination d’Etats tiers des données à caractère personnel. Cette compétence concerne plus précisément la personne (morale ou physique) qui entend communiquer les données à la succursale Y. L’Etat B peut exercer sa compétence territoriale (normative et d’exécution) sur les activités de traitement de la succursale Y. Et l’Etat A exerce sa compétence (normative et d’exécution) à deux titres sur l’entreprise X : au titre du territoire car elle y est établie – incorporée –, et également, au titre de sa nationalité. C’est d’ailleurs surtout ce titre de nationalité qui lui permettrait, peut-être non sans controverses, d’atteindre la succursale Y. Si la succursale Y était en fait une filiale de l’entreprise X, donc dotée de personnalité juridique, le contrôle exercé par l’entreprise X sur sa société fille pourrait également être invoqué pour l’exercice de sa compétence par l’Etat A. Ce titre de compétence serait toutefois d’autant plus susceptible de controverses. Enfin, l’Etat de nationalité de la personne concernée pourrait invoquer, le cas échéant, une compétence personnelle passive.  

3 – Concept de juridiction et CEDH

Origines. La Cour européenne des droits de l’homme s’est penchée à plusieurs reprises sur l’applicabilité de l’article 1^e de la CEDH (précité) renvoyant au concept de juridiction. Dans sa célèbre décision Bankovic[8], elle retrace l’historique de l’apparition de ce concept dans la CEDH :

« 3. La genèse de l’article 1 de la Convention

19.  Le texte rédigé par la commission des affaires juridiques et administratives de l’Assemblée consultative du Conseil de l’Europe prévoyait, dans ce qui allait devenir l’article 1 de la Convention, que les « Etats membres s’engage[aie]nt à garantir à toute personne résidant sur leur territoire les droits (...) ». Le comité d’experts intergouvernemental qui se pencha sur le projet de l’Assemblée consultative décida de remplacer les mots « résidant sur leur territoire » par les termes « relevant de leur juridiction ». Les motifs ayant présidé à cette modification se trouvent décrits dans l’extrait suivant du Recueil des travaux préparatoires de la Convention européenne des Droits de l’Homme (vol. III, p. 260):

« Le projet de l’Assemblée avait attribué le bénéfice de la Convention à « toute personne résidant sur le territoire des Etats signataires. » Il a semblé au Comité que le terme « résidant » pourrait être considéré comme étant trop restrictif. En effet, il y aurait lieu d’accorder le bénéfice de la Convention à toute personne se trouvant sur le territoire des Etats signataires, même à celles qui ne sauraient être considérées comme y résidant au sens juridique du mot. D’ailleurs, ce sens n’est pas le même selon toutes les législations nationales. Le Comité a donc remplacé le terme « résidant » par les mots « relevant de leur juridiction », qui figurent également dans l’article 2 du projet de Pacte de la Commission des Nations Unies. »

20.  L’adoption de l’article 1 de la Convention fut encore précédée d’une observation du représentant belge, qui, le 25 août 1950, lors de la séance plénière de l’Assemblée consultative, s’exprima comme suit :

« (...) actuellement le droit de protection de nos Etats, en vertu d’une clause formelle de la Convention, pourra s’exercer intégralement et sans division ni distinction en faveur des individus quelle qu’en soit la nationalité qui, sur le territoire de l’un quelconque de nos Etats, auraient eu à se plaindre d’une violation de [leurs] droit[s]. »

21.  Il est ensuite précisé dans les travaux préparatoires que le libellé de l’article 1 comportant les mots « relevant de leur juridiction » ne prêta pas à discussion et que le texte tel qu’il se présentait alors (et tel qu’il existe aujourd’hui) fut adopté par l’Assemblée consultative le 25 août 1950 sans subir de nouveaux amendements (Recueil précité, vol. VI, p. 132). »

Sans entrer dans les détails de l’analyse, il importe de souligner que l’utilisation, dans la jurisprudence de la Cour, du concept de juridiction n’est pas évidente à comprendre et systématiser. Dans ce contexte, il a par exemple été récemment défendu que « the notion of jurisdiction in human rights treaties relates essentially to a question of fact, of actual authority and control that a state has over a given territory or person »[9].

Territorialité et extraterritorialité. Nous ne développons ici que quelques considérations relatives à l’élément de territorialité évoqué précédemment. Celui-ci n’impose évidemment pas aux Etats parties d’empêcher tout effet extraterritorial de la CEDH. Ils sont libres d’élargir le champ d’application spatial de leurs règles de mise en œuvre de la Convention, conformément au droit international public, s’ils l’entendent. Au contraire, les Etats pourraient même être obligés de reconnaître une certaine extraterritorialité de la CEDH. A ce propos, nous serions tentés de considérer que les Etats parties à la CEDH doivent appliquer – et faire respecter –  celle-ci dans la mesure rendue possible par la compétence qu’ils sont en droit d’exercer vis-à-vis d’une situation. En d’autres termes, il s’agirait pour eux de devoir appliquer la CEDH dans l’exercice de l’ensemble de leurs compétences – normatives et d’exécution –, bref dans l’exercice de leur « jurisdiction » territoriale ou extraterritoriale. Apparaîtrait alors ici en filigrane, la difficile question de déterminer la mesure des obligations positives de l’Etat vis-à-vis d’une situation internationale (i.e., comportant plus ou moins des éléments d’extranéité) dont il se saisit (ou est saisi) dans l’exercice de l’une ou l’autre de ses compétences[10].

Toutefois, ce qui est proposé est peut-être un raccourci inexact, et cette vue serait tantôt confirmée par la jurisprudence de la Cour, tantôt infirmée. Il est impossible de développer et défendre plus amplement ces considérations dans la présente note. Les jurisprudences de la Cour et de l’ancienne Commission pouvant difficilement être systématisées à ce propos, quelques décisions sont citées afin d’illustrer l’application que peut recevoir l’article 1^e CEDH, et une certaine extraterritorialité que la CEDH doit avoir en application de cette jurisprudence. Ainsi, en schématisant et sans être exhaustif[11] :

-          un Etat partie à la CEDH est tenu d’appliquer la Convention lorsqu’un suspect est remis à ses agents à l’étranger[12], lorsqu’il exerce le contrôle effectif global et militaire (occupation) d’une partie du territoire d’un Etat tiers[13] et lorsque ses agents diplomatiques et consulaires exercent leurs fonctions à l’étranger[14] ;

-          en matière d’extradition, un Etat partie à la CEDH ne peut extrader un individu si celui-ci encourt des risques réels de faire l’objet, dans l’Etat requérant, d’un traitement contraire à l’article 3 CEDH ou s’il risque d’y supporter un déni de justice flagrant (violation de l’article 6 CEDH)[15] ; on ne manquera pas de rapprocher cette jurisprudence du régime des flux transfrontières de données  ;

-          en matière de coopération judiciaire en matières civile et pénale, la Cour a également reconnu que les Etats parties à la CEDH étaient débiteurs de certaines obligations de nature à donner un effet extraterritorial à la Convention[16].

4 - Modification de la Convention n° 108

Motifs. Deux raisons principales semblaient en faveur d’une modification de l’article 1^e de la Convention n° 108 telle que suggérée initialement. D’une part, il s’agirait d’aligner le champ d’application spatial de la Convention n° 108 sur celui de la CEDH et, plus particulièrement, de l’article 8 CEDH qui en constitue un fondement essentiel, même si la Convention n° 108 n’a pas pour seul objectif la protection de la vie privée. Dans l’optique de l’utilisation de la Convention n° 108 comme instrument international dépassant les Etats du Conseil de l’Europe, il faut souligner que si les Etats tiers ne sont peut-être pas nécessairement familiarisés à la jurisprudence de la Cour EDH, la CEDH n’est pas le seul traité de droits de l’homme à utiliser le concept de juridiction[17]. 

D’autre part, la modification se référant au concept de juridiction plutôt qu’à une référence territoriale paraît plus à apte à résister au temps et aux évolutions technologiques incessantes. La nouvelle rédaction semblerait plus fertile pour l’interprétation juridique et disposerait d’une meilleure adaptabilité.

Il faut ajouter à ce sujet que le recours au concept de territoire pourrait être problématique quant à l’éventualité de l’adhésion d’une organisation internationale à la Convention n° 108 – si cette possibilité est envisageable et envisagée.  Dans une telle hypothèse d’adhésion, il importe d’abord que l’organisation traite les données conformément à la Convention  (e.g : traitements d’informations communiquées par les Etats, traitement  par les services de l’organisation tels que la communication des données à un Etat membre ou à un tiers  à l’organisation, ou le traitement des données relatives au personnel – Interpol ?). Ce qui compte ensuite est que, lorsqu’elle a le pouvoir d’adopter des textes qui s’imposent à ses Etats membres et donc sur le territoire de ces derniers, ces textes soient conformes à la Convention (on vise là une organisation comprenant des Etats et susceptibles d’adopter des normes contraignantes). Au final, ce qui est important est que l’organisation internationale s’engage à appliquer la Convention dans l’exercice de l’ensemble de ses compétences. Est-ce que la référence au territoire permettrait cela pour tous les types d’organisations internationales ?

Conflits de lois (droit applicable) ; absence de conséquences. Le changement de texte, tel qu’originellement suggéré, n’est pas sans conséquence. Certes, aujourd’hui, la conséquence d’une modification dans le sens proposé serait limitée (voir l’exemple de la République de Chypre, infra), voire peut-être même inexistante sur le plan du droit national de la protection des données dont les conditions d’applicabilités spatiale (droit international privé) sont déjà définies. Des dispositions telles que les articles 1^e de la CEDH et de la Convention n° 108 n’entraînent en principe pas de remise en cause fondamentale du droit international privé des Etats parties qui a de toute façon vocation à s’appliquer. Même, par exemple, une disposition telle que l’article 22 de la Convention du Conseil de l’Europe sur la cybercriminalité, qui va plus loin dans le détail du droit pénal international[18] – autrement dit des règles qui, en droit interne, définissent la compétence de l’Etat en matière pénale – n’entraîne pas de bouleversement de droit interne en matière de compétence. Il s’agirait d’ailleurs plutôt de la traduction dans la Convention sur la cybercriminalité des principes d’application dans de nombreux Etats. La disposition impose toutefois explicitement à l’Etat d’exercer sa compétence (normative et d’exécution) dans ces hypothèses.

Nous retiendrons qu’en matière de protection des données et dans le cadre de la CEDH, les questions de conflits de juridictions (voy. supra) (et les questions sous-jacentes de droit international privé ou de droit pénal international) restent d’abord l’apanage de l’Etat. Quant à la question du droit applicable, il est clair que la Convention n° 108 ne consacre pas, à proprement parler, de règle de conflits de lois. L’article 1^er actuel ne tranche pas la question des conflits de lois ou, en d’autres termes, le problème de l’applicabilité du texte national adopté pour mettre en œuvre la Convention. Elle pourra toutefois avoir une certaine influence limitée sur ces  conflits. En effet d’une part, par une obligation de non discrimination, elle interdit à un Etat partie de prendre en compte la nationalité où la résidence des personnes concernées lorsqu’il est question de « garantir » à celles-ci, « sur le territoire » de l’Etat en question, le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l’égard du traitement de données[19]. Evoquant les origines de l’utilisation du concept de juridiction dans le cadre de la CEDH, nous avons montré que cette limite imposée à l’Etat ne serait pas perdue en raison de l’utilisation du concept de juridiction. D’autre part, les règles relatives aux flux transfrontières de données, dans la mesure où elles subordonnent, en principe, la possibilité de réaliser des flux à destination d’un Etat tiers à la garantie par ce dernier d’un niveau adéquat de protection des données, peuvent également avoir une certaine influence en matière de conflits de lois.

            Il importe de réaliser ici un bref commentaire quant à la sécurité juridique qui pourrait paraître résulter de l’utilisation du terme « territoire » dans l’article 1^er actuel de la Convention n° 108. Ainsi d’une part, il ne faudrait pas lire dans cette disposition une limitation nécessaire quant à la largesse de l’exercice de sa compétence par un Etat. La Convention n’empêche a priori pas, par exemple, un Etat de soumettre à son droit tout traitement de données concernant une personne physique résidant habituellement sur son territoire, peu importe la localisation du responsable de traitement, celle de l’opération de traitement ou de la personne concernée au moment de la collecte de données, etc.). Il ne s’agirait donc pas d’y lire une limitation quelconque du pouvoir de l’Etat d’étendre largement le champ d’application spatial de ses règles de protection des données.

D’autre part, et sous un autre angle, la disposition pourrait être interprétée d’une manière restrictive quant aux devoirs des Etats, non seulement dans la société de l’information telle qu’elle est aujourd’hui connue, mais aussi dans des situations plus « classiques ». Ainsi, on pourrait considérer, à la lecture de la disposition, que la seule opération de traitement visée par les garanties consacrée dans la Convention est celle dont tous les éléments constitutifs (matériels et humains) seraient localisés sur le territoire de l’Etat. Ainsi, le traitement qui serait effectué en dehors de ce territoire (dans une ambassade ou un consulat, ou à un endroit où agissent des autorités publiques, par exemple en cas d’occupation militaire ou de collecte de données à l’occasion d’une enquête à l’étranger[20]) pourrait être considéré comme ne devant pas, en vertu de la Convention, être inclus dans la réglementation nationale.

On pourrait encore se demander s’il ne serait pas du devoir de l’Etat, au titre de l’article 1^er de la Convention n° 108, d’appliquer sa réglementation nationale à un opérateur de service situé à l’étranger, et destinant son service (opéré depuis l’étranger et accessible via Internet) aux ressortissants de cet Etat dont il entend traiter des données collectées à l’occasion de la fourniture du service. C’est en effet bien sur et depuis le territoire de cet Etat, sur lequel la protection des données doit être garantie, que le service est offert et utilisé.        

Extension de l’application de la Convention aux territoires « contrôlés » ; République de Chypre (exemple).Dans l’affaire Loizidou c. Turquie (exceptions préliminaires)[21], la responsabilité de la Turquie en Chypre du Nord fut mise en cause par une cypriote. Cette affaire est un des cas où s’est posée la question de la portée du concept de juridiction de l’Etat qu’il a été proposé d’introduire dans l’article 1^er de la Convention n° 108. Au stade de l’exception préliminaire, la Cour a décidé que, « [c]ompte tenu de l’objet et du but de la Convention, une Partie contractante peut également voir engager sa responsabilité lorsque, par suite d’une action militaire - légale ou non -, elle exerce en pratique le contrôle sur une zone située en dehors de son territoire national. L’obligation d’assurer dans une telle région le respect des droits et libertés garantis par la Convention découle du fait de ce contrôle, qu’il s’exerce directement, par l’intermédiaire des forces armées de l’Etat concerné ou par le biais d’une administration locale subordonnée »[22] (emphase ajoutée par nous). Poursuivant sur la question de la responsabilité au fond, la Cour juge, dans Loizidou c. Turquie (fond)[23], que « [l]a responsabilité [des Hautes Parties contractantes] peut entrer […] en jeu à raison d’actes ou d’omissions émanant de leurs organes et déployant leurs effets en dehors de leur territoire »[24]. Et cette responsabilité peut être la suite d’une action militaire et du contrôle global en résultant sur le territoire en question[25].

L’arrêt Chypre c. Turquie[26], toujours au sujet de violations de la CEDH en Chypre du Nord, précisera que l’affaire Loizidou « revêt la forme d’une déclaration de principe quant à la responsabilité de manière générale de la Turquie au regard de la Convention à raison des mesures et actes des autorités "RTCN" »[27] (italique ajouté par nous). La Cour a explicité de manière limpide et à plusieurs reprises qu’elle ne mettait aucunement en doute le point de vue de la communauté internationale au sujet de la création de la RTCN ou le fait que le gouvernement de la République de Chypre demeure l’unique gouvernement légitime de Chypre[28]. C’est bien de la responsabilité d’un Etat au titre de violation des droits de l’homme dont la Cour a dû juger. Et c’est ce dont il fut question ici dans la nouvelle rédaction de l’article 1^er de la Convention n° 108 : établir la responsabilité de l’Etat dans l’exercice de sa compétence (le cas échéant, extraterritoriale). L’utilisation du concept de juridiction ou de territoire n’implique assurément pas la reconnaissance de la légitimité d’une occupation quelle qu’elle soit ; tel n’est pas l’objectif de l’article 1^er de la Convention. Si la Turquie devenait partie à la Convention n° 108 dont l’article 1^er serait modifié par l’insertion du terme « juridiction » (la Turquie n’a toutefois pas ratifié la Convention), elle deviendrait alors responsable de la mise en œuvre, en RTCN, des garanties consacrées dans la Convention n° 108, la République de Chypre étant par ailleurs empêchée d’y exercer sa compétence. Il y aurait bien une certaine extension du champ de la Convention[29].  

Conséquences et flux transfrontières. Il importe enfin de noter que l’introduction du concept de juridiction dans l’article 1^e de la Convention n° 108 ne rendrait pas inopérant ou sans pertinence le recours au concept de territoire dans l’établissement du régime des flux transfrontières de données entre parties à la Convention[30]. Il s’agit là d’identifier le lieu de destination des données. C’est en cet endroit qu’il importe de savoir quel est le degré de protection – en l’espèce, celui d’un Etat partie avec lequel les données doivent librement circuler.

Par rapport à un flux de données, le critère du territoire, également implicitement utilisé par la directive européenne n° 95/46 (« vers un pays tiers »), présente une certaine simplicité ; il suffit d’identifier où se situe le destinataire des données pour savoir si le flux est permis. Le régime constitue un garde-fou dont l’objectif est d’éviter que les données une fois à l’étranger, puissent être traitées en dépit d’exigences de protection des données.

Le protocole additionnel à la Convention n° 108 utilise par contre le concept de juridiction quant aux flux transfrontières de données à destination d’Etat tiers[31]. Il y aurait donc là une raison supplémentaire de se rallier à la rédaction originellement proposée de l’article 1^e de la Convention n° 108[32]. Par souci de cohérence et d’uniformité, on pourrait alors penser à enlever la référence au territoire dans l’article 12 de la Convention et viser à la place le destinataire « soumis à la juridiction d’un Etat partie ». Mais l’inverse serait également envisageable.

5 - Propositions de modification de l’article 1^er et de l’article 3

Attention : ne sont prises en compte que les modifications relatives à la question du champ d’application (i.e., pas ce qui concerne les relations entre protection des données et droits de l’homme, etc.).

Au cours des discussions, différentes propositions ont été effectuées si bien qu’il peut-être utile à présent de récapituler les possibilités ouvertes et d’en proposer une qui semblerait être la meilleure. Dés lors que la Convention n° 108 n’a pas pour vocation l’applicabilité universelle – à l’instar de la CEDH –, son article 1^er établit une limite quant à son champ d’application.

(A) Une première proposition de modification vise à inclure le terme de « juridiction » au sein de la disposition :  

(article 1^er modifié) « le but de la présente Convention est de garantir, à toute personne relevant de leur juridiction, quelles que soient sa nationalité ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l'égard du traitement automatisé des données à caractère personnel la concernant («protection des données»). »

            De manière apparemment plus pertinente, le concept de juridiction pourrait viser le traitement de données. On peut toutefois se demander si tel qu’entendu dans une formulation telle que celle de la CEDH, le concept pourrait viser un traitement plutôt qu’une personne ou un espace. Le tout, nous semble-t-il, sera d’être clair dans le rapport explicatif à ce sujet. L’article à proposer se rédigeant alors ainsi :

(article 1^er modifié) « le but de la présente Convention est de garantir, à toute personne physique, quelles que soient sa nationalité ou sa résidence, la protection des données à caractère personnel, contribuant au respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l'égard du traitement de ses données à caractère personnel relevant de la juridiction des Parties.

            L’article 3, tel que suggéré dans les propositions de modification datant du 15 juin 2012, fait également référence au terme de juridiction, en prescrivant l’applicabilité de la Convention aux traitements effectués par tout « responsable du traitement relevant de sa juridiction ». La disposition, telle quelle, est toutefois problématique quant à sa lecture en conjonction avec l’article 1^er. En effet, les deux dispositions pourraient paraître contradictoires, ou semblerait en tous cas apporter des limitations cumulatives au champ d’application du texte, et leur application pourrait être source de confusion. Par ailleurs, l’article 3 gagnerait en pertinence à être centré sur le traitement (et donc toutes ses composantes humaines et matérielles), plutôt que sur le responsable de traitement (le commentaire supra de ce concept par rapport à un traitement plutôt qu’un espace ou une personne demeurant pertinent).  Et en toute hypothèse, les traitements de secteur public demeureraient inclus dans le champ d’application de la Convention. Dans l’optique où une modification de l’article 1^er telle que dans le texte suggéré au § (A), supra, serait adoptée, ou dans celle d’un statu quo, le texte actuel du § 1^er, de l’article 3 de la Convention pourrait être conservé :

(article 3 conservé) « Les Parties s’engagent à appliquer la présente Convention aux fichiers et aux traitements automatisés de données à caractère personnel dans le secteur public et privé » ;

            (B) Une autre voie pourrait être envisagée, voie au terme de laquelle les articles 1^er et 3 de la Convention seraient modifiés. Il s’agirait alors de focaliser le champ d’application de la convention sur le traitement (comprenant ses composantes personnelles et matérielles), dans l’article 3. Les textes seraient rédigés comme suit (B1) :

(article 1^er modifié) « le but de la présente Convention est de garantir, dans les limites de l’article 3, à toute personne physique, quelles que soient sa nationalité ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l'égard du traitement automatisé des données à caractère personnel la concernant («protection des données»). »

(article 3 modifié) « Chaque Partie s’engage à appliquer la présente Convention aux […] traitements […] de données […] relevant de sa juridiction » ;

Le rapport explicatif pourrait alors expliciter quels types de traitements sont à tout le

moins considérés comme relevant de la juridiction d’un Etat (e.g., les traitements dont toutes les composantes sont situées sur son territoire et les traitements réalisé par les autorités internes), et doivent donc se voir appliquer le régime prévu par la Convention.

            Une dernière possibilité (B2) nous semblerait plus claire, plus précise et donc plus sure. La portée des obligations des Etats y serait, nous semble-t-il, plus explicite. Il s’agirait cette fois de se passer du terme de « juridiction » qui a suscité des réticences et des interrogations. Il importerait alors de rédiger la disposition relative aux flux transfrontières de manière similaire à celle portant sur les flux entre Etats Parties à la Convention, autrement dit en abandonnant de la sorte le recours au concept de juridiction dans l’actuel protocole additionnel. Le texte pourrait être rédigé ainsi : 

(article 1^er modifié) « le but de la présente Convention est de garantir, dans les limites de l’article 3, à toute personne physique, quelles que soient sa nationalité ou sa résidence, le respect de ses droits et de ses libertés fondamentales, et notamment de son droit à la vie privée, à l'égard du traitement automatisé des données à caractère personnel la concernant («protection des données»). »

(article 3 modifié) « Chaque Partie s’engage à appliquer la présente Convention aux […] traitements […] de données […] dont est responsable au moins[33] une autorité publique interne, et à tout autre traitement de données présentant un lien suffisant avec son territoire]» ;

 

Comme cela vient d’être mentionné, cette formulation a le mérite d’être plus claire. Ainsi, elle met en évidence, en matière de droits de l’homme, les obligations « négatives » et « positives » de l’Etat, qui ne peuvent apparaître qu’implicitement par le biais d’une formulation n’utilisant que le concept de juridiction (cf. supra, (A)). D’une part, celui-ci doit s’abstenir de porter atteinte à la protection des données – et aux droits et libertés fondamentaux – lorsqu’il traite des données. A cet égard, comme responsable de traitement, il est soumis aux obligations de la Convention. Mais d’autre part, l’Etat doit mettre en place un arsenal législatif empêchant que les individus responsables de traitement portent atteinte au droit à la protection des données, etc., d’autres individus. Il s’agit ici, dans le contexte de la CEDH, de « l’horizontalisation » de l’article 8 dans le contexte du traitement de données. La disposition impose plus clairement à l’Etat un devoir dans l’exercice de sa compétence, d’une certaine façon à la manière de l’article 22 de la Convention de Budapest déjà évoqué[34].

Toutefois, la proposition présente deux difficultés – certes curables. D’une part quant aux organisations internationales, le terme « lien suffisant avec le territoire » peut ne pas être pertinent. Si par exemple, une organisation telle qu’Interpol devient Partie, ce qui importe est qu’elle mette en œuvre les garanties consacrées dans la Convention dans l’exercice de ses compétences (i.e., lorsqu’elle partage des informations). Cela n’a pas de sens de se reporter à son territoire. Il conviendrait donc, dans le cas de l’adhésion d’une Organisation internationale, de spécifier comment la disposition doit être interprétée au sein de l’acte d’adhésion, voire même de spécifier dans la Convention comment doit être lue la disposition lorsqu’il est question d’une Partie Organisation internationale.

D’autre part, en matière de traitements de données réalisés dans le secteur privé, la jurisprudence de la Cour EDH en matière d’occupation et d’interprétation du concept de « juridiction » risquerait de ne pas pouvoir être transposée (cf. le cas Chypre évoqué supra). Outre son propre territoire, il conviendrait alors d’étendre la disposition aux territoires sur lesquels la Partie en question exerce un contrôle – un « contrôle global et effectif » pour reprendre les termes de la Cour EDH. En tout cas, c’est ainsi qu’il conviendrait alors d’entendre le concept de territoire.   

Enfin en ce qui concerne le « lien suffisant », celui-ci pourrait être explicité dans le rapport explicatif, voire dans un paragraphe additionnel. Par exemple, il peut être spécifié qu’il existe un lien suffisant entre une partie et un traitement de données lorsque le responsable de traitement, à tout le moins pour la réalisation de ce traitement, peut être considéré comme établi sur le territoire de la Partie en question (il s’agit d’une société qui y exerce ses activités, d’une personne qui y réside habituellement, etc.). L’impact de la disposition sur les conflits de lois peut être ici plus important. Toutefois, il importe de souligner que le devoir des parties porte sur l’applicabilité des garanties de la Convention sans préciser de quel droit national elles doivent être issues. Ainsi, s’il est considéré qu’un traitement de données présente un lien suffisant avec un Etat Partie A lorsque le sous-traitant est établi sur son territoire, l’Etat Partie A demeurerait en conformité avec l’article 3 de la Convention s’il appliquait, plutôt que son droit national, le droit d’un autre Etat Partie B (pour peu que ce dernier ait correctement mis en œuvre la Convention) sur le territoire duquel serait établi le responsable de traitement. 

è Pour les raisons évoquées précédemment, nous proposerions l’adoption de la modification (B2) (en tous cas d’une version similaire).