Monsieur le Président, je vous remercie de me permettre d'exposer devant la Commission les préoccupations de la CNIL à propos de ce dossier.

Je tiens tout d'abord à souligner, pour éviter toute ambiguïté, que la CNIL souscrit pleinement à l'idée que tout le nécessaire doit être fait pour lutter contre le terrorisme et qu'elle n'est évidemment pas hostile à une collaboration entre les Etats-Unis et l'Europe en la matière. Cependant, il existe un fossé entre les conceptions américaine et européenne de la protection des données personnelles et de la vie privée.

Pour ce qui concerne SWIFT, les problèmes sont apparus voilà environ trois ans, lorsque la presse américaine a fait état d'un contrôle insuffisant sur ce système – on ignorait en effet quelle était la nature des interventions des autorités américaines dans ce mécanisme. Initialement, le système devait comporter un unique centre, situé aux Pays-Bas, près d'Amsterdam. Pour des raisons de sécurité parfaitement compréhensibles, liées notamment aux risques d'attentats, le groupe SWIFT a jugé préférable de créer aux Etats-Unis un deuxième centre. Après les attentats du 11 septembre, les autorités américaines ont souhaité pouvoir intervenir dans le système SWIFT pour les informations passant par ce centre, situé en Virginie, afin de vérifier que les transferts financiers n'avaient pas de liens avec des activités terroristes. Ces données, je le rappelle, présentent un intérêt extraordinaire pour qui peut se les procurer.

La préoccupation dont la presse faisait état en 2006 à propos du contrôle exercé par les autorités américaines sur ce système était initialement liée à la crainte de l'espionnage économique. De fait, certaines grandes entreprises, notamment européennes, s'inquiétaient de constater que les autorités américaines accédaient aux transferts de données intra-européens, qui pouvaient concerner par exemple les tarifs d'activités industrielles essentielles. Ce diagnostic a alerté la CNIL qui, si elle n'a pas de compétence en matière d'espionnage économique, doit se soucier des transferts internationaux de données personnelles, qui obéissent à un régime juridique complexe et très protecteur.

Nous avons donc cherché à obtenir des informations. J'ai pour ma part mené des consultations à Paris auprès des banques et, à Bruxelles, auprès du groupe des 27 CNIL européennes, que je préside, ainsi que des ministères et de diverses autres autorités. Les autres CNIL ont fait de même dans leurs pays respectifs. Il est apparu que nous avions en réalité peu de garanties sur l'usage que faisaient de ces informations les autorités des Etats-Unis. Etaient-elles conservées exclusivement par les autorités chargées de la lutte contre le terrorisme, ou pouvaient-elles être communiquées à d'autres autorités américaines, intervenant notamment dans le domaine commercial ? Nous n'avons obtenu aucune information à ce propos et les bruits qui nous parvenaient n'avaient rien de rassurant. La même incertitude prévalait quant à la durée de conservation de ces informations. Il nous a donc paru absolument nécessaire de mettre en place un système de garanties.

Dans les mois qui ont suivi, des initiatives très satisfaisantes ont été prises. Tout d'abord, des garanties ont été données, consistant à fixer la durée de conservation des données, à en déterminer les destinataires et à définir les règles selon lesquelles les Etats-Unis devraient justifier l'opportunité de leurs demandes et la proportionnalité entre celles-ci et les exigences de la lutte contre le terrorisme.

Par ailleurs, les 27 CNIL européennes avaient obtenu que SWIFT accepte d'ouvrir en Suisse un troisième centre – ce sera fait dans les prochains jours –, chargé de toutes les transactions intra-européennes. Après la création d'un deuxième centre, qui évitait le risque de catastrophe mondiale que provoquerait un attentat brisant le système des transactions bancaires, celle de ce troisième centre permettait de déporter vers la Suisse le flux des transactions intra-européennes, dont il ne nous semblait pas que les autorités américaines puissent avoir des raisons de vouloir le contrôler. Cette formule a été acceptée par tous les partenaires et les banques ont accepté de la financer.

Nous pensions enfin qu'un contrôle sur place était nécessaire pour vérifier au nom de l'Union européenne que les contrôles et les investigations menés par les autorités américaines de lutte contre le terrorisme étaient strictement limités aux besoins de cette lutte. Nous avons également obtenu satisfaction sur ce point et l'Union européenne a fait savoir qu'elle désignerait une « personnalité éminente » ayant des compétences en matière de protection des données personnelles. J'étais personnellement très satisfait de ce que je considérais alors comme une grande victoire des CNIL européennes, mais j'étais trop optimiste…

SWIFT a d'abord confirmé la création du centre en Suisse et la partie américaine s'est engagée à respecter certaines règles. Puis la personnalité chargée du contrôle a été nommée : il s'agissait du juge Bruguière, à qui nous avons exposé nos préoccupations avant son départ pour les États-Unis. Auditionné à son retour devant le groupe de l'article 29, réunissant les 27 CNIL européennes, à Bruxelles, il a déclaré en substance que tout allait très bien, que les autorités américaines étaient très efficaces dans leur lutte contre le terrorisme et que rien ne s'opposait à ce que le système soit maintenu en l'état. Il a toutefois déclaré aussi qu'il ne pouvait pas nous rendre son rapport, au motif que les autorités américaines avaient décidé de le classifier. Pour la première fois donc, à la grande surprise des CNIL européennes, un contrôlé classifiait le rapport du contrôleur ! Quatre mois après son audition, M. Bruguière ne nous a toujours pas fourni ce rapport. Auditionné à Paris devant la CNIL, il a accepté l'idée de nous remettre une note qui le synthétiserait. Après quatre rappels, je n'ai toujours pas reçu cette note.

Dès lors, nous n'avons plus aucune garantie de la part du contrôleur européen que tout se passait conformément aux accords conclus entre l'Union européenne et les Etats-Unis. Cependant, sur la foi du rapport – inconnu – de M. Bruguière, la Commission européenne a considéré qu'il n'y avait plus de raison d'interdire aux Etats-Unis d'accéder aux données sur les transactions intra-européennes à partir du nouveau centre.

Le juge Bruguière, la presse ayant indiqué que c'était sur la foi de son rapport oral que la Commission européenne avait accepté l'accès des Etats-Unis aux données, m'a téléphoné voici quelques jours et je le rencontrerai très prochainement.

Cette baisse du niveau de protection des données est un sérieux problème. Je rappelle à cet égard que la solution que nous avions préconisée avait été considérée par les banquiers, par les pouvoirs publics, par l'Union européenne et par les autorités chargées de la protection des données en Europe comme parfaitement équilibrée, car elle permettait de renforcer la lutte contre le terrorisme, comme nous le souhaitons tous, tout en assurant la protection des données personnelles et, en filigrane, la protection contre l'espionnage économique. L'affaire a malheureusement été menée dans la précipitation.

J'ai tenu à être auditionné par votre commission non seulement parce que cette question est de votre compétence, mais aussi parce que le débat devrait être rouvert avec la ratification du traité de Lisbonne. Il importe de préparer cette discussion globale, qui sera sans doute la dernière, pour tenter d'obtenir le respect des garanties évoquées.

Le Président Pierre Lequiller. La ratification du traité de Lisbonne donnerait en effet au Parlement européen un rôle accru et il conviendrait alors de renégocier la convention.

Le Parlement européen est évidemment très réticent à l'idée que les garanties nécessaires pourraient ne pas être données.

Il est aberrant qu'une personne mandatée par l'Union européenne se plie aux injonctions de la structure sur laquelle elle doit enquêter. Si cela devenait la règle dans les relations entre les Etats-Unis et l'Union européenne, nous irions au-devant de sérieuses difficultés. En tout cas, que le juge Bruguière ait accepté de ne pas rendre publiques ses conclusions alors qu'elles pouvaient lever bien des inquiétudes et aller dans le sens d'une bonne coopération entre les deux parties, voilà qui paraît pour le moins curieux.

La question a-t-elle donné lieu à discussion entre le juge Bruguière et les Américains ?

La discussion a dû être assez lacunaire et M. Bruguière lui-même nous a déclaré qu'il comprenait que les Etats-Unis ne souhaitent pas que certaines informations soient dans le domaine public. Selon moi, il y a toutefois une marge entre le fait de ne pas publier de telles informations et celui ne pas publier du tout le rapport. A dire vrai, le groupe de l'article 29 a été très étonné en découvrant la position de M. Bruguière.

Le contrôleur européen, auditionné par la commission LIBE du Parlement européen, a abondé dans notre sens – et il est d'ailleurs difficile de ne pas être choqué.

Je rappelle que le centre Swift de Suisse sera ouvert dans quelques jours. Nous sommes étonnés que les banques aient persisté à la financer bien qu'il ait perdu de son intérêt, mais, interrogées, elles n'ont pas souhaité répondre sur ce point.

Le Président Pierre Lequiller. Monsieur le Président, je vous remercie. Nous suivrons cette affaire avec le plus grand intérêt.

Je signale par ailleurs que, selon un sondage de vendredi dernier, relatif à la ratification du traité de Lisbonne, on compterait 48 % de « oui » – au lieu de 62 % précédemment –, cependant que le nombre des « non » serait monté à 33 %, celui des indécis tombant à 19 %. Le suspense est donc entier pour le vote du 2 octobre.

Le développement des systèmes intelligents de transport (STI) est extrêmement important ; il va toucher, dans leur vie quotidienne, tous les Européens ; il doit être encouragé, harmonisé et rendu compatible, au sein de l'Union européenne.

Je vous ai présenté, le 4 mars 2009, une communication sur la proposition de directive du Parlement européen et du Conseil établissant le cadre pour le déploiement de systèmes de transport intelligents dans le domaine du transport routier et d'interfaces avec d'autres modes de transport.

Comme je l'avais indiqué dans ce document, nos divergences avec la proposition de la Commission européenne ne portent en aucun cas sur le fond mais sur les procédures envisagées et, en particulier, sur le recours, excessif, à la comitologie.

Suite à la communication du Président Pierre Lequiller de la semaine dernière sur ce thème, je développerai devant vous la stratégie utilisée pour obtenir un meilleur encadrement en amont d'une proposition de directive.

En effet, le texte qui nous est soumis est une directive-cadre, renvoyant à des mesures d'application, sans préciser les points qui seront réglés par des règlements, du Conseil et du Parlement européen, et ceux qui le seront par des décisions de la Commission européenne, soumis à la procédure de comitologie.

Or, dans des domaines qui touchent aux libertés publiques (par exemple l'utilisation des données informatiques individuelles) ou qui peuvent avoir un impact financier considérable (équiper en STI tout le réseau routier) il est difficilement concevable que la législation européenne soit élaborée par la procédure de comitologie, qui doit être cantonnée aux questions techniques, relevant en France du pouvoir réglementaire.

Aujourd'hui, les questions que j'ai soulevées ne sont toujours pas réglées, mais je me félicite de l'écoute du Secrétaire d'Etat aux transports, qui a intégré les préoccupations exprimées par notre Commission dans la position des négociateurs français.

L'examen de cette proposition de directive, qui devait être approuvée par le Conseil au mois de juin, a été repoussé, et la négociation se poursuit sur deux points essentiels : son champ d'application et la procédure suivie.

Comme je l'ai souligné dans ma précédente communication, il est malaisé de définir un domaine qui est en pleine évolution. Je ne prendrai qu'un seul exemple, celui de l'intermodalité.

La directive pose le principe de l'installation dans les véhicules d'un boîtier permettant le dialogue entre l'infrastructure et les véhicules. Il n'est pas complètement évident que le téléphone portable, que nous pouvons garder sur nous quel que soit le mode de transport utilisé, ne soit pas à terme un meilleur outil, si nous utilisons plusieurs modes successifs de transport, qu'un ensemble fixé dans le véhicule. Je n'ai pas la réponse, mais prétendre trancher ce débat est peut-être prématuré.

Devant les incertitudes liées aux évolutions techniques, j'ai tendance à penser qu'il ne faut pas présumer des évolutions techniques. Cette attitude, je crois de bon sens, pose un problème dans la définition du champ de la directive : doit-elle préciser les outils à utiliser ou se limiter à une exigence de résultat, à savoir la compatibilité des différents outils et systèmes ?

La première approche, qui est privilégiée par la Commission européenne, a deux inconvénients : elle peut figer la recherche et les évolutions technologiques, ce qui n'est pas souhaitable, et surtout elle peut impliquer la nécessité de recourir à des « systèmes propriétaires », c'est-à-dire des dispositifs impliquant le paiement d'une redevance au détenteur d'un brevet. Ce risque est dénoncé par les constructeurs automobiles français et allemands qui sont d'accord pour atteindre les objectifs de dialogue entre véhicules et entre l'infrastructure et les véhicules, mais souhaitent demeurer libres de définir les outils qu'ils installeront sur leurs véhicules pour atteindre l'objectif souhaité.

Si, comme je l'ai indiqué dans ma précédente communication, nous nous situons dans une compétence communautaire incontestable, nous pouvons nous demander si, au regard du principe de subsidiarité, il ne serait pas utile de limiter le champ de cette directive à la définition des normes permettant la compatibilité des différents matériels utilisés dans l'Union européenne.

La nature des services qui doivent être offerts (en dehors peut-être de l'appel d'urgence), le rythme et la décision de déploiement par les autorités nationales, doivent-ils relever de Bruxelles, alors que les coûts de ces infrastructures sont considérables et les moyens des Etats et des collectivités locales de l'Union européenne très disparates ?

La réponse à cette question ne saurait être simple. Les perspectives de mise en place d'écotaxes liées au kilométrage parcouru, ou la gestion des appels d'urgence, très utiles quand l'accidenté ne parle pas la langue du pays, imposent la définition d'outils au niveau européen.

Nous devons être plus circonspects quand il s'agit de données à usage local. Par exemple, le système permettant à l'automobiliste de synchroniser sa vitesse pour éviter les feux rouges est certainement utile, mais il nous semble que la décision de le déployer doit relever des autorités locales.

En l'état actuel de la proposition de directive, je ne peux vous indiquer la solution retenue en matière de répartition des compétences entre les différents acteurs car tous les aspects du déploiement des STI pourraient, en théorie, être réglementés par l'Union européenne.

Il est clair qu'il est dans la nature d'une directive-cadre de ne pas rentrer dans les détails, mais que le texte qui nous est soumis doit impérativement définir plus précisément les domaines de compétence de l'Union européenne.

Lors de ma précédente communication sur cette proposition, je concluais en indiquant à notre Commission que : « j'essaierai de proposer un dispositif limitant et encadrant la procédure de comitologie. En effet, s'agissant de décisions qui auront un impact majeur sur les conditions de vie des Européens, le contrôle politique doit trouver à s'affirmer ».

En constatant les difficultés que rencontrait l'adoption par le Conseil de cette proposition de directive, j'ai entrepris une action de sensibilisation auprès de M. Dominique Bussereau, Secrétaire d'Etat aux transports. Elle semble avoir porté quelques fruits, puisque la position française a sensiblement évolué et que les préoccupations exprimées dans mes notes au Secrétaire d'Etat, des 21 juillet et 8 septembre 2009, ont été relayées par les négociateurs français.

En ce qui concerne la question des données personnelles et le recours à la comitologie, le groupe de travail du Conseil, sur la suggestion de la France, a demandé que la Commission européenne précise par écrit ses intentions, et indique si elle entendait proposer un règlement du Conseil et du Parlement européen ou promulguer une décision de la Commission par voie de comitologie.

Le Secrétaire d'Etat aux transports a également saisi la CNIL d'une demande d'avis sur cette question.

S'agissant d'une directive-cadre, procédé peu usité jusqu'à présent, le groupe du Conseil de travail a considéré que la réponse de la Commission (« nous appliquerons les textes ») n'était pas satisfaisante et qu'il était fondamental de définir la nature des textes découlant de la directive, en précisant les champs respectifs de la codécision et de la comitologie.

Je me suis rendu à deux reprises en Allemagne depuis le début de l'année car, dans le domaine des transports routiers, la géographie donne à l'Allemagne et à la France un poids considérable.

La proposition de directive relative aux STI bute sur un désaccord franco-allemand.

Après ma mission du mois de juillet, j'ai indiqué au Gouvernement la volonté allemande d'aboutir à un accord avec la France sur la base d'un contre-projet qui m'avait été communiqué et qui privilégiait la voie de la normalisation.

Les négociateurs français et allemands se sont rencontrés à deux reprises depuis le mois de juillet. Il semble qu'un accord sur un mandat de normalisation soit en passe d'aboutir.

Les objections allemandes au recours à la comitologie sont aujourd'hui relayées par la France.

Au vu des explications données lors de cette réunion j'estime que M. Dominique Bussereau a parfaitement relayé les inquiétudes dont je lui avais fait part, après en avoir informé notre Commission.

Ce travail est une illustration de ce qui s'est dit lors de notre réunion de la semaine dernière consacrée à la comitologie. Notre Commission a intérêt à se saisir de cette problématique car, ce faisant, nous aidons le Parlement français, les parlements étrangers et le Gouvernement. Nous pouvons rectifier des erreurs, même sur des sujets mineurs et éviter ainsi des bévues.

Le Président Pierre Lequiller. Je suis d'accord avec vos conclusions, mais je souhaiterais ajouter qu'en l'occurrence, il y a certes eu un défaut dans le fonctionnement du système – la décision aurait dû être déférée au ministre des transports et les experts n'ont pas cru bon de le faire – mais que la comitologie, concernant plus d'un millier d'actes, présente aussi des aspects positifs, dans la mesure où elle encadre le pouvoir réglementaire de la Commission. Notre devoir est de suivre l'application des textes européens et cette fonction est en phase avec l'idée du renforcement du rôle du Parlement. Notre Commission des affaires européennes s'est vu confier de nouvelles prérogatives dans l'application des directives et notre antenne de Bruxelles participera à ce travail. Par ailleurs, le Gouvernement doit aussi exercer ce contrôle.

La comitologie est utile mais doit être maîtrisée par le pouvoir politique, au risque de dessaisissement. Il nous appartient, notamment aux rapporteurs chacun dans leurs domaines de compétence, d'assurer cette surveillance. Une vigilance particulière est nécessaire et c'est la raison pour laquelle il était nécessaire de faire un rapport sur un sujet mal connu, afin de renforcer notre contrôle.

Sur le rapport du Président Pierre Lequiller, la Commission a examiné des textes soumis à l'Assemblée nationale en application de l'article 88-4 de la Constitution.

Aucune observation n'ayant été formulée, la Commission a approuvé les textes suivants :

l Point A

Ø Budget de la Communauté européenne

- lettre rectificative No 1 à l'avant-projet de budget 2010 : état des dépenses par section - Section III - Commission (documentE 4728).