Europol et données des mineurs : l'EDPB lance un contrôle

Focus — Europol et données des mineurs : l'EDPB lance une action de contrôle coordonnée

Le Comité Européen de la Protection des Données (CEPD, ou EDPB en anglais) a annoncé le lancement d'une action de surveillance coordonnée d'envergure. Cette initiative vise à examiner de près les pratiques d'Europol, l'agence de l'Union européenne pour la coopération des services répressifs, concernant le traitement des données personnelles de mineurs de moins de 15 ans.

Ces jeunes, classifiés comme 'suspects' ou 'criminels potentiels', représentent une catégorie de personnes particulièrement vulnérables, dont les données sont collectées dans un contexte de lutte contre la grande criminalité et le terrorisme. L'enjeu principal est de s'assurer que les activités de traitement de données d'Europol respectent scrupuleusement le cadre juridique strict qui régit la protection des données dans le secteur répressif, en particulier pour les plus jeunes.

💡 Sujet/Concept clé : de quoi parle-t-on ?

L'action s'inscrit dans le cadre du 'Coordinated Enforcement Framework' (CEF) de l'EDPB. Il s'agit d'un mécanisme permettant aux différentes autorités de protection des données (APD) nationales, comme la CNIL en France, de mener des enquêtes conjointes sur un sujet prédéfini. L'objectif est d'harmoniser l'application du droit de la protection des données à travers l'UE et de mutualiser les ressources pour des contrôles plus efficaces, notamment sur des acteurs transnationaux comme Europol.

Europol a pour mission de soutenir les États membres dans leur lutte contre les formes graves de criminalité internationale (terrorisme, cybercriminalité, trafic de drogue...). Pour ce faire, l'agence collecte, analyse et partage de grandes quantités d'informations, y compris des données personnelles. Le traitement de données concernant des mineurs, surtout lorsqu'ils sont qualifiés de 'suspects', soulève des questions fondamentales sur la proportionnalité, la nécessité et les garanties entourant ces pratiques. La qualification de 'criminel potentiel' est particulièrement sensible, car elle peut s'apparenter à des logiques de profilage prédictif.

La base légale et réglementaire

Le traitement des données par Europol n'est pas régi par le RGPD, mais par un texte spécifique : le Règlement (UE) 2016/794, dit 'Règlement Europol'. Ce règlement établit un cadre sur mesure pour les activités de l'agence, en équilibrant les impératifs de sécurité et la protection des droits fondamentaux. Il impose des principes stricts de limitation des finalités, de minimisation des données et des durées de conservation précises.

L'article 30 du Règlement Europol, par exemple, détaille les garanties applicables aux différentes catégories de personnes concernées. Le traitement des données de personnes vulnérables, notamment les mineurs, doit faire l'objet de garanties renforcées. La supervision directe d'Europol est assurée par le Contrôleur Européen de la Protection des Données (CEPD, ou EDPS en anglais), qui a le pouvoir d'ordonner des mesures correctrices, y compris la suppression de données traitées illégalement. L'action coordonnée de l'EDPB vient appuyer ce travail de supervision en mobilisant l'expertise des APD nationales.

Une surveillance accrue sur les bases de données répressives

Cette action coordonnée n'est pas un événement isolé. Elle reflète une tendance de fond des régulateurs européens à exercer un contrôle plus strict sur les grandes bases de données utilisées à des fins répressives. La collecte massive de données, y compris sur des personnes non condamnées, présente des risques élevés d'atteinte à la vie privée et de stigmatisation, a fortiori lorsqu'il s'agit d'enfants.

Le choix de cibler les mineurs de moins de 15 ans est stratégique. Il met en lumière la tension maximale entre la mission de sécurité publique d'Europol et l'obligation de protéger les plus vulnérables. Les enquêteurs chercheront à comprendre la justification légale pour la collecte de ces données, les critères utilisés pour qualifier un mineur de 'suspect' ou 'potentiel criminel', les mesures de sécurité mises en place pour protéger ces informations et les politiques de conservation et de suppression.

La méthodologie de l'action coordonnée impliquera probablement l'envoi de questionnaires standardisés aux unités nationales d'Europol via les APD locales, tandis que l'EDPS mènera des investigations au siège d'Europol. Les résultats seront ensuite consolidés dans un rapport public, qui pourrait déboucher sur des recommandations contraignantes ou des sanctions si des manquements graves sont identifiés.

Ce que ça change opérationnellement (Plan d'action)

Même si votre organisation n'est pas Europol, cette initiative est riche d'enseignements et doit inciter à une vigilance accrue. Voici un plan d'action pour tout Compliance Officer ou DPO :

• Auditer spécifiquement le traitement des données de mineurs : Lancez une revue ciblée de tous les traitements de données concernant des mineurs au sein de votre organisation. Vérifiez la base légale (le consentement parental est-il correctement recueilli ?), la finalité et la stricte nécessité de la collecte. Les garanties sont-elles suffisantes ?

• Renforcer les Analyses d'Impact sur la Protection des Données (AIPD) : Pour tout nouveau projet impliquant des données de personnes vulnérables (mineurs, personnes en situation de fragilité), assurez-vous que l'AIPD est particulièrement rigoureuse. Le risque pour les droits et libertés doit être évalué avec une acuité maximale, en envisageant les pires scénarios.

• Challenger les politiques de catégorisation des personnes : L'affaire Europol met en garde contre les dangers des étiquetages ('suspect', 'à risque', 'potentiel...'). Si votre entreprise utilise des systèmes de scoring ou de catégorisation, vérifiez que les critères sont objectifs, transparents, non discriminatoires et documentés. Une mauvaise classification peut avoir des conséquences graves.

• Revoir les durées de conservation des données sensibles : L'un des points clés de l'enquête sera la justification de la durée de conservation des données des mineurs. C'est l'occasion de réexaminer vos propres politiques de rétention. Sont-elles justifiées au regard de la finalité ? Sont-elles appliquées en pratique via des purges automatiques et documentées ?

• Anticiper les contrôles coordonnés : Le format de l'action coordonnée est une méthode que les régulateurs (pas seulement en data, mais aussi en LCB-FT ou anticorruption) privilégient de plus en plus. Préparez vos équipes à répondre de manière cohérente et rapide à des questionnaires d'autorités multiples sur un même sujet.

Sources :

• 📎 EDPB — Coordinated supervisory action on minors under 15 years old processed by Europol as suspects or potential criminals