Le 13 avril 2016, le groupe de travail “Article 29” a publié un document de travail concernant la justification des atteintes aux droits fondamentaux par des mesures de surveillance dans le cadre du transfert de données à caractère personnel (Document de travail 01/2016 sur la justification des interférences avec les droits fondamentaux à la vie privée et à la protection des données par des mesures de surveillance lors du transfert de données à caractère personnel (garanties essentielles européennes)).
Selon le groupe de travail, quatre garanties essentielles (European Essential Guarantees) devraient être respectées lors de la transmission de données personnelles afin de protéger les droits fondamentaux des personnes concernées contre des mesures de surveillance par les services secrets :
- Le traitement des données doit se fonder sur des règles claires, précises et accessibles. Les atteintes aux droits fondamentaux doivent donc être fondées sur une base légale. Les personnes concernées doivent pouvoir prévoir dans quelles conditions les services secrets peuvent avoir accès à leurs données personnelles, quelles circonstances peuvent donner lieu à des mesures de surveillance et quelles mesures de surveillance peuvent être prises.
- L’action des services secrets et la mise en œuvre de mesures de surveillance doivent être nécessaires et appropriées. Il est donc nécessaire de procéder à une pesée des intérêts entre l’intérêt des services secrets à consulter et à collecter des données et l’intérêt de la personne concernée à la protection de ses données personnelles et de sa vie privée et familiale.
- Un mécanisme de surveillance indépendant est nécessaire. La surveillance ne doit pas nécessairement être soumise à un tribunal, mais peut également être assurée par une autorité administrative indépendante ou un organe parlementaire. L’organe de surveillance doit toutefois être à la fois indépendant et compétent pour pouvoir exercer effectivement la surveillance nécessaire.
- Il est nécessaire de mettre en place des voies de recours efficaces. Toute personne concernée doit disposer d’un recours effectif contre l’accès et le traitement de ses données à caractère personnel dans le cadre de mesures de surveillance par les services de renseignement.
Le groupe de travail souligne que les garanties essentielles doivent également être prises en compte lors du transfert de données à caractère personnel vers des pays tiers, car un transfert ne peut avoir lieu que vers des pays tiers qui garantissent un niveau de protection des données adéquat du point de vue européen.