Le 15 juin, le Parlement européen a adopté, à Bruxelles, une Recommandation concernant le logiciel espion Pegasus. Cet important travail faire suite à une enquête approfondie sur les allégations d’infraction et de mauvaise administration dans l’application du droit de l’Union lors de l’utilisation de Pegasus et de logiciels espions de surveillance équivalents. Cette enquête fait écho au rapport du Conseil de l’Europe sur Pegasus. Le PE en appelle à la Commission européenne et les Etats membres à mettre en œuvre ces recommandations car, jusqu’à maintenant « Aucune victime d’abus de logiciels espions n’a obtenu justice. Aucun gouvernement n’a vraiment été tenu responsable ».

Cette Recommandation fait plusieurs références à la Convention 108 ainsi qu’à sa version modernisée connue en tant que « Convention 108+ », notant que la Convention s’applique au traitement des données à caractère personnel à des fins de la sécurité de l’État (nationale), y compris la défense et que tous les Etats membres de l’UE sont partie à la Convention 108.  Ainsi, le Parlement européen notamment:

• invite tous les Etats membres à ratifier la Convention 108+, laquelle prévoit des normes et obligations relatives à la protection des personnes eu égard au traitement des données personnelles, y compris aux fins de sécurité nationale ;
• rappelle que la convention 108 + est un cadre européen contraignant régissant le traitement des données par les services de renseignement et de sécurité ;
• souligne que les exceptions et les restrictions à un nombre limité de dispositions de la convention ne sont admises que lorsqu’elles respectent les exigences énoncées à l’article 11 de la convention, c’est-à-dire que chaque exception et restriction spécifique dans l’application de la convention 108+ doit être prévue par la loi, respecter l’essence des droits et libertés fondamentales et doit justifier qu’elle «constitue une mesure nécessaire et proportionnée dans une société démocratique» pour l’un des motifs légitimes énumérés à l’article 11 et que ces exceptions et restrictions ne doivent pas interférer avec «le contrôle et la supervision indépendants effectifs selon la législation nationale de chaque partie»;
• estime que l’absence de pouvoirs contraignants des organes de contrôle dans le domaine de la sécurité nationale est incompatible avec le critère énoncé dans la convention 108+ selon lequel cela «constitue une mesure nécessaire et proportionnée dans une société démocratique»;
• souligne que la convention 108+ prévoit un nombre très limité d’exceptions en ce qui concerne son article 15, mais qu’elle n’en prévoit pas en ce qui concerne le paragraphe 2 [obligations de sensibilisation], le paragraphe 3 [consultation sur toute proposition législative ou administrative], le paragraphe 4 [demandes et plaintes des personnes concernées], le paragraphe 5 [indépendance et impartialité], le paragraphe 6 [ressources nécessaires à l’accomplissement effectif des fonctions], le paragraphe 7 [rapports d’activités périodiques], le paragraphe 8 [confidentialité], le paragraphe 9 [possibilité de recours juridictionnel] et le paragraphe 10 [absence de compétences s’agissant des traitements effectués par des organes dans l’exercice de leurs fonctions juridictionnelles].

Et le Parlement européen appelle aussi l’UE à signer la Convention 108+.

Il convient de rappeler que la Convention 108 compte 55 Etats parties et quelque 40 observateurs du monde entier. La Convention 108 reste le seul instrument international et multilatéral juridiquement contraignant sur la protection de la vie privée et des données à caractère personnel. Il s’agit d’une approche fondée sur des principes transposables et faciles à adapter, ouverte à la ratification des pays du monde entier, créant les conditions nécessaires à une société numérique fondée sur la confiance et le respect de la dignité humaine et des droits de l’homme pour tous. La Convention modernisée - la Convention 108+ - fixe le niveau de protection communément acceptable qu’un individu est en droit d’attendre à l’ère numérique en constante expansion, afin de garantir une sphère privée intime et de jouir pleinement du droit à l’autodétermination informationnelle. La Convention 108+ peut être considérée comme une occasion unique de replacer l’être humain en position de sujet, et non de simple objet de déduction, de contrôle ou de surveillance algorithmique, tout en donnant l’assurance nécessaire aux responsables du traitement des données dans les secteurs public et privé de traiter les données personnelles au quotidien.

La Convention 108+ compte actuellement 26 ratifications ; 12 sont encore nécessaires pour son entrée en vigueur, qui est attendue pour 2024.